Zweckbindung
Personenbezogene Daten dürfen nur für festgelegte Zwecke genutzt werden. Eine Weiterverarbeitung für andere, unvereinbarte Zwecke ist nicht erlaubt. Dies ist der Grundsatz der Zweckbindung in der Datenverarbeitung. Für jeden anderen Zweck, für den Datenverarbeiter personenbezogene Daten nutzen möchten, müssen sie eine gesonderte Einwilligung einholen oder andere Gründe für eine rechtmäßige Datenverarbeitung geltend machen.
Es gibt allerdings Ausnahmen von der Zweckbindung: Eine Datenverarbeitung für wissenschaftliche Forschungszwecke, für statistische Zwecke oder Archivzwecke im öffentlichen Interesse ist gestattet (siehe Forschungszwecke).
In Deutschland sieht das Bundesdatenschutzgesetz weitere Beschränkungen der Zweckbindung vor:
- Öffentliche Stellen dürfen Daten von Betroffenen verarbeiten, wenn dies offensichtlich im Interesse des Betroffenen liegt und eine Einwilligungsverweigerung nicht abzusehen ist.
- Öffentliche Stellen dürfen außerdem personenbezogene Daten in der Strafverfolgung, in Fragen der nationalen Sicherheit oder zur Wahrnehmung von Kontrollaufgaben nutzen.
- Nichtöffentliche Stelle wie zum Beispiel Unternehmen dürfen Daten von Betroffenen auch dann verarbeiten, wenn dies für die öffentliche Sicherheit oder zur Ausübung zivilrechtlicher Ansprüche erforderlich ist.
Artikel 5 Absatz 1 b) DSGVO (Grundsätze für die Verarbeitung personenbezogener Daten)
[Personenbezogene Daten müssen] für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“)
Quelle: Verordnung (EU) 2016/679 (siehe auch Erwägungsgrund 39)
Artikel 13 Absatz 3 DSGVO (Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person)
Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erhoben wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.
Quelle: Verordnung (EU) 2016/679
Artikel 14 Absatz 4 DSGVO (Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden)
Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erlangt wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.
Quelle: Verordnung (EU) 2016/679
§ 23 BDSG (Verarbeitung zu anderen Zwecken durch öffentliche Stellen)
(1) Die Verarbeitung personenbezogener Daten zu einem anderen Zweck als zu demjenigen, zu dem die Daten erhoben wurden, durch öffentliche Stellen im Rahmen ihrer Aufgabenerfüllung ist zulässig, wenn
1. offensichtlich ist, dass sie im Interesse der betroffenen Person liegt und kein Grund zu der Annahme besteht, dass sie in Kenntnis des anderen Zwecks ihre Einwilligung verweigern würde,
2. Angaben der betroffenen Person überprüft werden müssen, weil tatsächliche Anhaltspunkte für deren Unrichtigkeit bestehen,
3. sie zur Abwehr erheblicher Nachteile für das Gemeinwohl oder einer Gefahr für die öffentliche Sicherheit, die Verteidigung oder die nationale Sicherheit, zur Wahrung erheblicher Belange des Gemeinwohls oder zur Sicherung des Steuer- und Zollaufkommens erforderlich ist,
4. sie zur Verfolgung von Straftaten oder Ordnungswidrigkeiten, zur Vollstreckung oder zum Vollzug von Strafen oder Maßnahmen im Sinne des § 11 Absatz 1 Nummer 8 des Strafgesetzbuchs oder von Erziehungsmaßregeln oder Zuchtmitteln im Sinne des Jugendgerichtsgesetzes oder zur Vollstreckung von Geldbußen erforderlich ist,
5. sie zur Abwehr einer schwerwiegenden Beeinträchtigung der Rechte einer anderen Person erforderlich ist oder
6. sie der Wahrnehmung von Aufsichts- und Kontrollbefugnissen, der Rechnungsprüfung oder der Durchführung von Organisationsuntersuchungen des Verantwortlichen dient; dies gilt auch für die Verarbeitung zu Ausbildungs- und Prüfungszwecken durch den Verantwortlichen, soweit schutzwürdige Interessen der betroffenen Person dem nicht entgegenstehen.
(2) Die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Artikels 9 Absatz 1 der Verordnung (EU) 679/2016 zu einem anderen Zweck als zu demjenigen, zu dem die Daten erhoben wurden, ist zulässig, wenn die Voraussetzungen des Absatzes 1 und ein Ausnahmetatbestand nach Artikel 9 Absatz 2 der Verordnung (EU) 679/2016 oder nach § 22 vorliegen.
Quelle: Bundesdatenschutzgesetz
§ 24 BDSG (Verarbeitung zu anderen Zwecken durch nichtöffentliche Stellen)
(1) Die Verarbeitung personenbezogener Daten zu einem anderen Zweck als zu demjenigen, zu dem die Daten erhoben wurden, durch nichtöffentliche Stellen ist zulässig, wenn
1. sie zur Abwehr von Gefahren für die staatliche oder öffentliche Sicherheit oder zur Verfolgung von Straftaten erforderlich ist oder
2. sie zur Geltendmachung, Ausübung oder Verteidigung zivilrechtlicher Ansprüche erforderlich ist,
sofern nicht die Interessen der betroffenen Person an dem Ausschluss der Verarbeitung überwiegen.
(2) Die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Artikels 9 Absatz 1 der Verordnung (EU) 679/2016 zu einem anderen Zweck als zu demjenigen, zu dem die Daten erhoben wurden, ist zulässig, wenn die Voraussetzungen des Absatzes 1 und ein Ausnahmetatbestand nach Artikel 9 Absatz 2 der Verordnung (EU) 679/2016 oder nach § 22 vorliegen.
Quelle: Bundesdatenschutzgesetz
