Читать книгу Praxishandbuch DSGVO - Tobias Rothkegel - Страница 63

10

Der Zweckbindungsgrundsatz gemäß Art. 5 Abs. 1 lit. b DSGVO ist ebenfalls von besonders hervorgehobener Bedeutung:18 Danach dürfen personenbezogene Daten ausschließlich für die bei der Erhebung festgelegten, eindeutigen und legitimen Zwecke verarbeitet werden. Im Kern bedeutet dies, dass eine Datenerhebung quasi „auf Vorrat“ unzulässig ist, weil hier ein Zweck bei der Erhebung noch nicht feststeht sondern erst nachträglich bestimmt werden soll.

11

Der Verantwortliche muss die Zwecke ausdrücklich festlegen, was einem Akt der Selbstbindung gleichkommt.19 Dies muss bereits vor dem Verarbeitungsvorgang geschehen und erfordert deshalb einige Vorüberlegungen.20 Unbestimmte oder unzulässige Zwecke genügen mithin den Anforderungen an eine Festlegung nicht.21

12

Aus der Eindeutigkeit folgt die Notwendigkeit der Konkretisierung der jeweiligen Zwecke, indem sie ausdrücklich bezeichnet und inhaltlich hinreichend bestimmt werden.22 Zwar ist keine bestimmte Form festgelegt, es empfiehlt sich aber eine schriftliche Dokumentation, die eine Nachweisfunktion erfüllen kann.23 Der Begriff „eindeutig“ bedeutet jedoch nicht, dass jeweils nur ein einziger Verarbeitungszweck festgelegt werden darf.24 Es ist deshalb zulässig, von vornherein auch eine Mehrzahl von Zwecken festzulegen, soweit diese sämtlich hinreichend bestimmt sind.25

13

Der Verarbeitungszweck ist legitim, soweit für ihn eine geeignete Rechtsgrundlage existiert und er nicht im Widerspruch zu einer geltenden Rechtsnorm steht.26

14

Schließlich gilt für Verarbeitungen, die nicht 1:1 den ursprünglichen Erhebungszwecken entsprechen, dass sie nicht von vornherein unzulässig sind – sie müssen aber zumindest mit ihnen kompatibel sein.27 Die Kompatibilität der Zwecke ist u.a. an den Kriterien aus Art. 6 Abs. 4 DSGVO zu messen,28 die Aufschluss darüber geben, ob die (Weiter-)Verarbeitung zu einem anderen Zweck mit dem ursprünglichen Erhebungszweck vereinbar ist.29 Soweit der Kompatibilitätstest negativ ausfällt, ist eine Weiterverarbeitung ohne Einwilligung ausgeschlossen.30

15

Grundsätzlich möglich ist es aber, dass der Verantwortliche von der ursprünglichen Zwecksetzung abweicht, allerdings nur, wenn der neue Weiterverarbeitungszweck mit dem anfänglich festgelegten Zweck gemäß Art. 6 Abs. 4 DSGVO kompatibel ist, eine Rechtsvorschrift die Zweckänderung ausdrücklich zulässt oder eine dahingehende Einwilligung des Betroffenen vorliegt.