FR-Exklusiv

EU-Datenschutz - Die Zweckbindung

Mit dem Eintreten der neuen EU-Datenschutzrichtlinie müssen Unternehmen nachweisen, dass sie datenschutzkonform sind (Rechenschaftspflicht). Bei Verstößen gegen Datenschutzbestimmungen drohen zukünftig Bußgelder bis zu 20 Millionen Euro oder 4% des gesamten weltweit erzielten Jahresumsatzes.

Die DS-GVO basiert auf Grundsätzen für die Verarbeitung personenbezogener Daten. Ein Grundsatz ist die Zweckbindung. Danach dürfen personenbezogene Daten nur für festgelegte, eindeutige und legitime Zwecke erhoben werden. Im Umkehrschluss scheidet eine Verarbeitung personenbezogener Daten zu noch nicht festgelegten Zwecken aus. Die Speicherung von Daten auf Vorrat ist verboten.

Zweckbindungsgrundsatz weitet die Informationspflichten aus

Der Zweck der Verarbeitung muss schon bei der Erhebung der Daten feststehen und für die betroffene Person eindeutig erkennbar sein (Transparenz der Datenverarbeitung / Informationspflichten). Die datenschutzrechtlichen Informationspflichten gehen mit der DS-GVO viel weiter als zuvor. Ähnliche Informationstexte, wie man sie bisher als Datenschutzerklärungen auf Webseiten kennt, sind zukünftig immer erforderlich, wenn personenbezogene Daten verarbeitet werden. Damit kommen noch weitere Informationen zu den häufig bereits umfangreichen und damit unübersichtlichen Informationspflichten, die rund um Finanzprodukte bestehen.

Der einmal festgelegte Zweck beschränkt anschließend die zulässige Datenverarbeitung und damit den Umfang der Daten, die erhoben werden dürfen. So darf die Datenabfrage für die Anlage eines Girokontos nicht um Angaben ergänzt werden, die nur für ein zukünftiges Cross-Selling anderer Finanzprodukte interessant sein könnten. Auch die zulässige Art und Weise der Verarbeitung ist durch den festgelegten Zweck begrenzt. Die Daten dürfen daher nicht ohne weiteres im Rahmen eines konzernweiten Data-Minings eingesetzt werden. Bwedacht werden muss weiterhin, dass personenbezogene Daten grundsätzlich mit dem Wegfall des Zwecks zu löschen (Löschpflicht) sind, auch wenn sie für die Vermarktung zukünftiger Produkte meist gut nutzbar wären.

Anonyme Datenerhebung hat Vorrang

Die DS-GVO stellt klar, dass personenbezogenen Daten für die Zwecke, zu denen sie verarbeitet werden, angemessen und erheblich sowie auf das für die Zwecke ihrer Verarbeitung notwendige Maß beschränkt sein sollten. Personenbezogene Daten dürfen nur verarbeitet werden, wenn der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann. Ein anderes Mittel kann etwa die Nutzung anonymer Daten sein. Anonyme Daten lassen keinen Bezug auf einzelne Individuen zu und sind daher nicht personenbezogen. Deshalb gilt für sie kein Datenschutz. Anonyme Daten reichen etwa, wenn eine Big Data-Analyse der allgemeinen Bestimmung von Kundeninteressen dient, ohne dass es auf individuelle Kunden ankommt.