Keine zulässige Datenverarbeitung ohne Zwecke

Der Zweck bezeichnet im Datenschutzrecht immer das Ergebnis, für das ein Verantwortlicher eine Verarbeitung personenbezogener Daten durchführen will. Fehlt dieser Zweck, kann eine Datenverarbeitung nicht zulässig sein. Deshalb sind Vorratsdatenspeicherungen, soweit es nicht – wie im Telekommunikationsgesetz mit der Pflicht zur Speicherung von Verkehrsdaten (§ 113b TKG) – ausdrücklich vorgesehen ist, datenschutzrechtlich unzulässig.

Keine zulässige Datenverarbeitung ohne Erforderlichkeit für einen Zweck

Die Verarbeitung muss für den festgelegten Zweck erforderlich sein. Der Zweck schränkt damit die Datenverarbeitung ein. Verarbeitungen, die den vorgesehenen Zweck nicht erreichen können, die ungeeignet sind, müssen unterbleiben. Zudem sind Verarbeitungen zu unterlassen, die der Verantwortliche vor allem durch eine weniger stark ins Datenschutzrecht eingreifende Verarbeitung erreichen kann.

Beschränkung der Zweck durch die Erlaubnistatbestände des Art. 6 DSGVO

Liegt die Erlaubnis der Datenverarbeitung in der Erfüllung einer gesetzlichen Pflicht, wird der Zweck durch den Inhalt hinreichend beschrieben. Bei Betriebs- und Dienstvereinbarungen ist der Zweck vorgegeben und die Verarbeitung nur dann zulässig, wenn sie für die Ausübung oder Erfüllung von Rechten und Pflichten aus dieser Vereinbarung erforderlich ist. Bei vertraglicher Befugnis sind die geschriebenen oder sich durch Interpretation ergebenden Rechte und Pflichten des Vertrags Ausgangspunkt der Zweckbestimmung. Nur eine erforderliche Verarbeitung für die Umsetzung dieser Rechte oder Pflichten ist erlaubt. Fehlt auch ein konkreter Vertrag, kann der von Unternehmen verfolgte Zweck im Wesentlichen nur in den berechtigten Interessen im Rahmen der Interessenabwägung oder dem Einwilligungsinhalt liegen. Bei der Interessenabwägung ist es der Zweck, mit dem die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, abzuwägen sind. Bei der Einwilligung wird mit dem Zweck der Inhalt der Einwilligung beschrieben, für welches konkrete Ziel die Verarbeitung der sie betreffenden personenbezogenen Daten stattfinden soll.

Gemeinsame Zweckfestlegung

Wird – neben der Art der Datenverarbeitung – der Zweck der Verarbeitung durch mehr als einen Verantwortlichen festgelegt, müssen die Verantwortlichen in einer Vereinbarung festlegen, wer die Datenschutzpflichten erfüllt.

(Dieses "Stichwort des Monats" ist in der Ausgabe 11/2018 des Datenschutz-Berater erschienen)