Grundsatz der Zweckbindung: Warum vorhandene Daten keine Erlaubnis sind
„Die Daten haben wir doch schon – warum sollten wir sie nicht auch dafür nutzen?“ Dieser Gedanke klingt zunächst einleuchtend und begegnet uns in der Praxis ständig: Der Vertrieb möchte Kundendaten aus dem CRM-System für eine neue Marketingkampagne auswerten. Die IT-Abteilung will die Produktivdatenbank für einen Systemtest kopieren. Ein Abteilungsleiter entdeckt, dass sich aus den Zutrittsprotokollen praktischerweise auch ablesen lässt, wann Mitarbeiter morgens erscheinen.
In all diesen Fällen sind die Daten bereits vorhanden und wurden ursprünglich rechtmäßig erhoben. Trotzdem ist die neue Nutzung nicht automatisch erlaubt. Genau hier setzt einer der wichtigsten, aber in der Praxis am meisten unterschätzten Grundsätze der DSGVO an: die Zweckbindung.
Art. 5 Abs. 1 lit. b) DSGVO verlangt, dass personenbezogene Daten für festgelegte, eindeutige und legitime Zwecke erhoben werden und anschließend nicht in einer Weise weiterverarbeitet werden, die mit diesen Zwecken unvereinbar ist. Der EuGH hat dazu klargestellt, dass die Vorschrift zwei Ebenen enthält: Schon die ursprüngliche Erhebung muss einen klaren Zweck haben, und dieser Zweck begrenzt anschließend, was mit den Daten später geschehen darf (EuGH, Urt. v. 24.02.2022 – C-175/20).
Für die Praxis lässt sich der wichtigste Satz zur Zweckbindung so zusammenfassen: Dass personenbezogene Daten im Unternehmen vorhanden sind, bedeutet nicht, dass sie für jeden sinnvollen neuen Zweck verwendet werden dürfen. Eine Mitarbeiteradresse, die für das Beschäftigungsverhältnis gespeichert wurde, darf nicht ohne Weiteres an einen externen Werbedienstleister weitergegeben werden. Eine Zutrittskontrolle, die der Gebäudesicherheit dient, darf nicht automatisch zur Arbeitszeitkontrolle werden. Die Information ist dieselbe – ihr Verwendungszweck aber ein anderer, und genau darauf kommt es an.
Daten vorhanden ≠ Nutzung erlaubt: Personenbezogene Daten dürfen nicht allein deshalb für neue Zwecke eingesetzt werden, weil sie bereits im Unternehmen vorhanden sind. Neue Verwendungen müssen auf ihre datenschutzrechtliche Zulässigkeit geprüft werden.
Was einen Zweck rechtlich trägt
Ein zulässiger Zweck muss drei Anforderungen erfüllen. Er muss festgelegt sein, das heißt spätestens bei der Datenerhebung feststehen – ein Unternehmen darf Daten nicht „vorsorglich“ sammeln, weil sie irgendwann nützlich sein könnten. Er muss eindeutig sein: Formulierungen wie „Geschäftszwecke“, „Optimierungszwecke“ oder selbst „Kundenverwaltung“ sind meist zu unbestimmt. Konkreter und praxistauglicher ist etwa „Abwicklung von Kundenbestellungen einschließlich Lieferung und Rechnungsstellung“ statt schlicht „Kundenverwaltung“, oder „Erkennung und Abwehr unberechtigter Zugriffe anhand von Sicherheitsprotokollen“ statt „IT-Zwecke“. Ein guter Praxistest lautet: Lässt sich anhand der Zweckbeschreibung beurteilen, welche Daten dafür erforderlich sind und welche nicht? Wenn nicht, ist der Zweck zu allgemein formuliert. Und der Zweck muss legitim sein, also mit der Rechtsordnung vereinbar – wobei Legitimität nicht mit der Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO verwechselt werden darf. Ein Unternehmen kann ein völlig legitimes Ziel verfolgen und die Verarbeitung trotzdem nicht durchführen dürfen, weil die Rechtsgrundlage fehlt.
Ein klar formulierter Zweck ist dabei keine bloße Formalie. Er entscheidet, welche Daten überhaupt erforderlich sind, wie lange sie gespeichert werden dürfen, wer darauf zugreifen darf und worüber die betroffene Person informiert werden muss. Deshalb sollte die Zweckbestimmung am Anfang jeder datenschutzrechtlichen Prüfung stehen – nicht die Suche nach einer passenden Rechtsgrundlage.
Wann aus vorhandenen Daten etwas Neues wird
Nicht jede Veränderung ist eine Zweckänderung. Wechselt ein Unternehmen lediglich die Software, mit der Kundendaten zur Bestellabwicklung verarbeitet werden, bleibt der Zweck identisch – auch wenn dabei neue Fragen zu Auftragsverarbeitung oder Cloud-Nutzung entstehen. Anders liegt der Fall, wenn dieselbe Software plötzlich zusätzlich das Kaufverhalten analysiert, um individuelle Preise zu berechnen: Dann tritt neben die Vertragsabwicklung ein völlig neuer Zweck.
Auch das bloße Kopieren von Daten kann bereits eine zweckändernde Weiterverarbeitung sein. Das hat der EuGH in der Rechtssache DIGI entschieden: Ein Telekommunikationsanbieter hatte nach einer technischen Störung Kundendaten in eine Testdatenbank kopiert. Der Gerichtshof stellte klar, dass dies eine Weiterverarbeitung darstellt – erklärte eine solche Nutzung aber nicht per se für unzulässig. Entscheidend ist die Vereinbarkeit mit dem ursprünglichen Zweck und die Speicherbegrenzung (EuGH, Urt. v. 20.10.2022 – C-77/21). Im konkreten Fall verhängte die ungarische Aufsichtsbehörde ein Bußgeld von 100 Millionen Forint, weil die Testdatenbank nach Abschluss der Fehlerbehebung schlicht nicht gelöscht wurde. Die Lehre daraus ist nicht „Produktivdaten dürfen niemals in Testsysteme“, sondern: Testzweck definieren, Erforderlichkeit prüfen, Datenmenge begrenzen, Zugriff beschränken und nach Abschluss löschen.
Die Kompatibilitätsprüfung nach Art. 6 Abs. 4 DSGVO
Liegt tatsächlich ein neuer Zweck vor, verbietet die DSGVO die Weiterverarbeitung nicht automatisch. Art. 6 Abs. 4 DSGVO stellt eine Vereinbarkeitsprüfung zur Verfügung, mit der beurteilt wird, ob der neue Zweck noch hinreichend eng mit dem ursprünglichen verbunden ist. Dabei spielen insbesondere folgende Gesichtspunkte eine Rolle:
die sachliche Nähe zwischen ursprünglichem und neuem Zweck,
die vernünftigen Erwartungen der betroffenen Person angesichts der ursprünglichen Datenerhebung,
die Art der betroffenen Daten – je sensibler, desto strenger die Prüfung,
die möglichen Folgen für die betroffene Person, etwa bei Preisänderungen oder Bewertungen,
vorhandene Garantien wie Pseudonymisierung, Verschlüsselung oder strikte Zugriffsrechte.
Wichtig ist dabei ein verbreiteter Irrtum: Art. 6 Abs. 4 DSGVO ist keine eigenständige Rechtsgrundlage. Fällt die Kompatibilitätsprüfung positiv aus, ist zwar regelmäßig keine gesonderte neue Rechtsgrundlage neben der ursprünglichen erforderlich – die ursprüngliche Verarbeitung muss aber rechtmäßig gewesen sein, und ihre Grenzen bleiben maßgeblich. Beruhte die ursprüngliche Erhebung auf einer Einwilligung oder einer gesetzlichen Pflicht, lässt sich deren Rahmen nicht einfach über eine Kompatibilitätsprüfung erweitern. Hier ist regelmäßig eine neue, eigene Rechtsgrundlage nötig.
Eine besondere Erleichterung schafft § 24 BDSG für nichtöffentliche Stellen, etwa wenn Daten zur Abwehr von Gefahren für die öffentliche Sicherheit oder zur Geltendmachung zivilrechtlicher Ansprüche benötigt werden – etwa E-Mail-Korrespondenz, die ursprünglich zur Vertragsabwicklung diente und später zur Rechtsverteidigung in einem Streitfall gebraucht wird. Die Vorschrift ist jedoch kein pauschaler Freibrief für die Aufbewahrung „für den Fall eines Rechtsstreits“ und muss stets mit Erforderlichkeit und Interessenabwägung zusammen gedacht werden.
Dürfen vorhandene Daten für einen neuen Zweck genutzt werden? Das Prüfschema zeigt, welche Fragen vor einer Weiterverarbeitung personenbezogener Daten geklärt werden sollten – vom ursprünglichen Zweck über eine tragfähige Grundlage und die Kompatibilitätsprüfung bis zu Datenminimierung und Informationspflichten.
Wenn KI vorhandenen Daten einen neuen Aussagegehalt gibt
Besonders praxisrelevant ist die Zweckbindung bei neuen Analyseverfahren, allen voran beim Einsatz künstlicher Intelligenz. Die ungarische Datenschutzbehörde verhängte gegen die Budapest Bank ein Bußgeld von umgerechnet rund 650.000 Euro, weil die Bank Kundentelefonate mittels KI auf Emotionen und Unzufriedenheit hin auswertete und daraus gezielt Folgeanrufe ableitete – ohne angemessene Information der Kunden und ohne wirksame Widerspruchsmöglichkeit. Eine Telefonaufzeichnung, die ursprünglich zur Qualitätssicherung erstellt wurde, darf eben nicht ohne Weiteres für Emotionserkennung oder Mitarbeiterbewertung verwendet werden. Bei KI-Projekten sollte die Frage nach dem ursprünglichen Zweck der eingesetzten Daten deshalb ganz am Anfang stehen, nicht als nachträgliche Compliance-Prüfung.
Der Praxistest vor jedem neuen Datenprojekt
Für die tägliche Arbeit lohnt sich eine einfache Einstiegsfrage vor jedem neuen Vorhaben, das auf vorhandene personenbezogene Daten zurückgreifen soll: Warum haben wir diese Daten ursprünglich – und was möchten wir jetzt mit ihnen machen? Beschreiben Sie zunächst in normalen Worten, was tatsächlich passieren soll, statt sofort nach einer Rechtsgrundlage zu suchen. Prüfen Sie dann, ob es sich wirklich um ein neues Ziel handelt oder nur um eine andere technische Umsetzung desselben Zwecks. Fällt die Antwort unterschiedlich aus, ist die neue Verwendung zu prüfen: Reicht eine Einwilligung, eine spezielle Rechtsvorschrift wie § 24 BDSG oder die Kompatibilitätsprüfung nach Art. 6 Abs. 4 DSGVO? Und nicht zuletzt: Reichen weniger Daten aus – müssen es wirklich Namen und Adressen sein, oder genügen aggregierte, anonymisierte Werte? Sehr häufig lautet die Antwort: Nein, der Personenbezug wird für den neuen Zweck gar nicht mehr gebraucht.
Wird ein neuer Zweck als zulässig eingestuft, ist damit die Arbeit noch nicht beendet. Art. 13 Abs. 3 bzw. Art. 14 Abs. 4 DSGVO verlangen, dass betroffene Personen vor Beginn der Weiterverarbeitung informiert werden – und diese Informationspflicht wird in der Praxis erfahrungsgemäß am häufigsten vergessen.
Zusammenfassung
Die Zweckbindung wirkt auf den ersten Blick wie eine Einschränkung. In der Praxis ist sie vor allem eines: ein Organisationsprinzip. Wer für jede Verarbeitung klar benennen kann, welchem Zweck sie dient, beantwortet nahezu automatisch viele weitere Fragen – welche Daten nötig sind, wer zugreifen darf, wann gelöscht werden kann. Die Zweckbindung verbietet spätere Nutzungen nicht grundsätzlich, sie verlangt lediglich eine Prüfung, bevor Daten für etwas Neues eingesetzt werden. Wer diesen Prüfpunkt fest in seine Abläufe integriert, vermeidet den Großteil der typischen Datenschutzverstöße bereits im Ansatz – und das mit überschaubarem organisatorischem Aufwand.
Autorin Daniela Frank, LL.B.
Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.
Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.
