de en
Nexia Ebner Stolz

Rechtsberatung

Rechtmäßigkeit und Zweckbindung im Datenschutz

Auch un­ter Gel­tung der Da­ten­schutz­grund­ver­ord­nung dürfen per­so­nen­be­zo­gene Da­ten durch Un­ter­neh­men ge­nutzt wer­den - al­ler­dings nur mit ent­spre­chen­der Rechts­grund­lage und zu dem bei Da­ten­er­he­bung fest­ge­leg­ten Zweck.

Grund dafür sind die Da­ten­schutz-Prin­zi­pien der Rechtmäßig­keit und Zweck­bin­dung. Das bis­her höchste DS­GVO-Bußgeld in Deutsch­land wurde we­gen Verstößen ge­gen diese Grundsätze verhängt.

Grundsatz der Rechtmäßigkeit der Datenverarbeitung

Da­ten dürfen nur er­ho­ben, ge­spei­chert und ge­nutzt wer­den, wenn die DS­GVO oder ein Ge­setz dies er­laubt. Es be­darf da­her ei­ner Rechts­grund­lage. Die wich­tigs­ten Rechts­grund­la­gen für Un­ter­neh­men sind:

  • frei­wil­lige und ausdrück­li­che Ein­wil­li­gung der be­trof­fe­nen Per­son
  • Erfüllung ei­nes Ver­trags zwi­schen Un­ter­neh­men und der be­trof­fe­nen Per­son
  • ge­setz­li­che Pflicht
  • be­rech­tig­tes In­ter­esse des Un­ter­neh­mens, das die Da­ten nutzt.

In Un­ter­neh­men wer­den Da­ten zu ver­schie­de­nen Zwecken in un­ter­schied­li­chen Pro­zes­sen ver­ar­bei­tet. Die Ge­samt­heit die­ser Pro­zesse sind die Ver­ar­bei­tungstätig­kei­ten, die in einem Ver­ar­bei­tungs­ver­zeich­nis zu do­ku­men­tie­ren sind. Für jede ein­zelne Ver­ar­bei­tungstätig­keit sollte geprüft wer­den, ob eine Rechts­grund­lage vor­liegt.

Die Rechts­grund­la­gen set­zen in der Re­gel vor­aus, dass die Nut­zung der Da­ten er­for­der­lich ist.

Bei­spiel: Zur Erfüllung ei­nes Kauf­ver­tra­ges ist eine Lie­feran­schrift er­for­der­lich, so­fern die Ware ver­sandt wer­den soll. Der Ver­sand von Wer­bung ist dafür da­ge­gen nicht er­for­der­lich, so dass für Wer­bung die Rechts­grund­lage „Ver­trag“ aus­schei­det.

Die Ver­ar­bei­tung be­son­ders sen­si­bler Da­ten wie Ge­sund­heits­da­ten, po­li­ti­sche Mei­nun­gen oder Re­li­gi­ons­zu­gehörig­keit ist nur un­ter be­son­ders stren­gen Vor­ga­ben er­laubt.

Grundsatz der Zweckbindung

Mit dem Prin­zip der Rechtmäßig­keit ver­wandt ist der Grund­satz der Zweck­bin­dung. Zweck­bin­dung be­deu­tet, dass

  • schon vor der Er­he­bung von Da­ten die Zwecke der Da­ten­ver­ar­bei­tung fest­ge­legt wer­den müssen und
  • später die Da­ten nur zu die­sen Zwecken ge­nutzt wer­den dürfen.

In Aus­nah­mefällen ist aber auch eine spätere Ände­rung des Ver­ar­bei­tungs­zwecks möglich. Die Zwecke sind im Ver­zeich­nis der Ver­ar­bei­tungstätig­kei­ten zu do­ku­men­tie­ren und in Da­ten­schutz­erklärun­gen mit­zu­tei­len.

Datenminimierung: Zweckbindung schon bei Datenerhebung

Das Prin­zip der Da­ten­mi­ni­mie­rung ist eine Spiel­art des Grund­sat­zes der Zweck­bin­dung. Dem­nach soll schon das erst­ma­lige Er­he­ben der Da­ten auf das für die Zwecke der Ver­ar­bei­tung not­wen­dige Maß be­schränkt wer­den. Da­durch soll ver­hin­dert wer­den, dass Da­ten auf Vor­rat er­ho­ben wer­den.

Bei­spiel: Für die An­mel­dung zu einem E-Mail-News­let­ter wird zwar eine E-Mail-Adresse benötigt, nicht aber eine Te­le­fon­num­mer. Letz­tere darf da­her nicht zwin­gend ab­ge­fragt wer­den.

Speicherbegrenzung: Löschkonzept erforderlich

Das Prin­zip der Spei­cher­be­gren­zung kon­kre­ti­siert das Zweck­bin­dungs-Prin­zip in zeit­li­cher Hin­sicht: Da­ten dürfen nur so lange ge­spei­chert wer­den, wie es für die Zwecke, für die die Da­ten ge­nutzt wer­den, er­for­der­lich ist. Um die­ses Prin­zip ein­hal­ten zu können, müssen Spei­cher­fris­ten er­mit­telt, fest­ge­setzt und durch Löschkon­zepte um­ge­setzt wer­den. 

Privacy by default

Der Grund­satz Pri­vacy by de­fault be­sagt, dass IT-Sys­teme tech­ni­sch so ent­wi­ckelt wer­den müssen, dass das Prin­zip der Da­ten­mi­ni­mie­rung später ein­ge­hal­ten wer­den kann. Das IT-Sys­tem muss dem­nach in der Grund­kon­fi­gu­ra­tion so ein­ge­stellt sein, dass möglichst we­nig Da­ten ver­ar­bei­tet wer­den. Die­ser Grund­satz gilt schon weit vor der ers­ten Da­ten­ver­ar­bei­tung. Er ist so­mit schon im Ent­wick­lungs­pro­zess oder beim Ein­kauf von Soft­ware zur berück­sich­ti­gen.

Bei­spiel: Ver­zicht auf vor­an­ge­kreuzte Check­bo­xes, Zu­griff auf die Handy-Ka­mera durch eine App erst nach Frei­schal­tung.

Rechtmäßigkeit und Zweckbindung im Datenschutz

Hinweis

Die Prin­zi­pien der Rechtmäßig­keit und Zweck­bin­dung gehören zu den wich­tigs­ten Grundsätzen des Da­ten­schutz­rechts. Während man­che Rechts­grund­la­gen für die Da­ten­ver­ar­bei­tung leicht geprüft wer­den können, er­for­dern an­dere eine aufwändige In­ter­es­sens­abwägung. In der Pra­xis wird der Zweck­bin­dungs­grund­satz un­ter­schätzt: Die Ver­ar­bei­tungs­zwe­cke wer­den in Da­ten­schutz­erklärun­gen und Ver­ar­bei­tungs­ver­zeich­nis­sen oft nicht de­tail­liert ge­nug be­schrie­ben.

nach oben