Was ist eine Zweckänderung bei der Datenverarbeitung?

In der heutigen Geschäftswelt ist der Umgang mit personenbezogenen Daten ein zentraler Bestandteil vieler Unternehmensprozesse. Dabei spielt die Zweckbindung eine entscheidende Rolle: Daten dürfen nur für den bei ihrer Erhebung festgelegten Zweck verwendet werden. Doch was passiert, wenn sich die Notwendigkeit ergibt, diese Daten für einen anderen Zweck zu nutzen? Hier kommt die sogenannte Zweckänderung ins Spiel. In diesem Artikel erläutern wir, was eine Zweckänderung ist, unter welchen Bedingungen sie zulässig ist und welche praktischen Schritte Unternehmen beachten sollten.

Definition und rechtliche Grundlagen der Zweckänderung

Was versteht man unter einer Zweckänderung?

Eine Zweckänderung liegt vor, wenn personenbezogene Daten zu einem anderen Zweck verarbeitet werden sollen als dem, für den sie ursprünglich erhoben wurden. Dies bedeutet, dass die Daten für neue, zuvor nicht festgelegte Zwecke genutzt werden sollen.

Rechtliche Rahmenbedingungen gemäß DSGVO

Die Datenschutz-Grundverordnung (DSGVO) legt in Artikel 5 Absatz 1 Buchstabe b den Grundsatz der Zweckbindung fest. Demnach dürfen personenbezogene Daten nur für festgelegte, eindeutige und legitime Zwecke erhoben und nicht in einer mit diesen Zwecken unvereinbaren Weise weiterverarbeitet werden. Eine Zweckänderung ist unter bestimmten Bedingungen zulässig, insbesondere wenn die neuen Zwecke mit den ursprünglichen Zwecken vereinbar sind. Artikel 6 Absatz 4 DSGVO nennt Kriterien zur Beurteilung dieser Vereinbarkeit, wie den Zusammenhang zwischen den Zwecken, den Kontext der Datenerhebung und die Art der Daten.

Voraussetzungen und Kriterien für eine zulässige Zweckänderung

Prüfung der Vereinbarkeit der Zwecke

Bevor eine Zweckänderung vorgenommen wird, muss geprüft werden, ob der neue Verarbeitungszweck mit dem ursprünglichen Zweck vereinbar ist. Dabei sind folgende Kriterien zu berücksichtigen:

• Verbindung zwischen den Zwecken: Gibt es einen inhaltlichen Zusammenhang zwischen dem ursprünglichen und dem neuen Zweck?
• Kontext der Datenerhebung: In welchem Verhältnis stehen die betroffene Person und der Verantwortliche zueinander?
• Art der personenbezogenen Daten: Handelt es sich um sensible Daten, wie Gesundheitsdaten oder Daten zur ethnischen Herkunft?
• Mögliche Folgen für die betroffene Person: Welche Auswirkungen hat die Zweckänderung auf die Rechte und Freiheiten der betroffenen Person?
• Vorhandensein geeigneter Garantien: Sind Maßnahmen wie Pseudonymisierung oder Verschlüsselung vorhanden, um die Daten zu schützen?

Einwilligung der betroffenen Person

Wenn die Prüfung ergibt, dass der neue Zweck nicht mit dem ursprünglichen Zweck vereinbar ist, darf die Zweckänderung nur mit der ausdrücklichen Einwilligung der betroffenen Person erfolgen. Diese Einwilligung muss freiwillig, informiert und unmissverständlich sein.

Praktische Umsetzung und Empfehlungen für Unternehmen

Dokumentation und Transparenz

Unternehmen sollten den Zweck der Datenverarbeitung bereits bei der Erhebung klar festlegen und dokumentieren. Änderungen des Zwecks müssen ebenfalls sorgfältig dokumentiert und gegenüber den betroffenen Personen transparent kommuniziert werden.

Interne Prozesse und Schulungen

Es ist wichtig, interne Prozesse zu etablieren, die sicherstellen, dass Zweckänderungen nur nach sorgfältiger Prüfung und unter Einhaltung der rechtlichen Vorgaben erfolgen. Schulungen für Mitarbeiter können dazu beitragen, das Bewusstsein für die Bedeutung der Zweckbindung und die Anforderungen an Zweckänderungen zu schärfen.

Technische und organisatorische Maßnahmen

Technische Maßnahmen wie Zugriffsbeschränkungen, Pseudonymisierung und Verschlüsselung können helfen, die Daten vor unbefugter Nutzung zu schützen und die Einhaltung der Zweckbindung sicherzustellen.