FR-Exklusiv

EU-Datenschutz - Die Zweckbindung - Seite 2

Den festgelegten Zweck zu ändern, ist nicht ohne weiteres rechtlich möglich. Das ist besonders im Umfeld der Digitalisierung der Finanzindustrie relevant. Kundendaten sind eine wesentliche Ressource bei der Erschließung neuer Wertschöpfungspotentiale. Diese Entwicklung wird durch FinTechs und die neuen Regelungen der PSD2 zum Kontenzugang für Drittanbieter (XS2A) bestärkt. So lassen sich Transaktionsdaten innovativ nutzen, etwa um bestehende Finanzprodukte zu identifizieren und den Bestand zu optimieren (z. B. Zahlungen für Sparplan), Über- oder Unterversicherungen zu erkennen, das Einnahmen-, Ausgabenverhältnis zu analysieren oder Bonitätsprüfungen vorzunehmen. Dabei handelt es sich jedoch um einen neuen Zweck der Datenverarbeitung.

Die Verarbeitung der Daten zu einem geänderten Zweck ist grundsätzlich möglich, wenn die betroffene Person in diese Zweckänderung einwilligt. Dies bedeutet einen erheblichen Aufwand für Unternehmen, wenn die Zweckänderung ihre gesamte Kundendatenbank betrifft, etwa bei einer geplanten erweiterten Nutzung bestehender CRM-Daten. Für die Weiterverarbeitung zu einem neuen Zweck genügt es aber, dass der neue Zweck mit dem ursprünglichen Zweck vereinbar ist (Zweckkompatibilität).

Short-Cut für die Zweckvereinbarkeit

Für die Prüfung der Vereinbarkeit des Zwecks der Datenerhebung mit dem Zweck ihrer Weiterverarbeitung (Kompatibilitätsprüfung), nennt die DS-GVO Beispielkriterien. Das Unternehmen muss für die Kompatibilitätsprüfung unter anderem berücksichtigen, ob ein Zusammenhang zwischen dem Zweck der Datenerhebung und dem Zwecken der beabsichtigten Weiterverarbeitung besteht. Zudem ist zu beachten, in welchem Kontext die Daten ursprünglich erhoben wurden. Dabei sind insbesondere die Erwartungen der betroffenen Person wichtig, die diese auf Grund ihrer Beziehung zu dem für die Datenerhebung Verantwortlichen vernünftigerweise haben durfte. Die Art der personenbezogenen Daten ist ebenfalls relevant.

Die Anforderungen steigen, wenn es sich um besonders geschützte Kategorien von Daten handelt. Hierzu zählen Daten zur rassischen und ethnischen Herkunft, politische Meinungen, religiösen oder weltanschaulichen Überzeugungen oder die Gewerkschaftszugehörigkeit sowie genetischen und biometrischen Daten, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung sowie Daten über strafrechtliche Verurteilungen und Straftaten. Solche Daten können etwa in Transaktionsdaten enthalten sein, die sich auf eine ärztliche Behandlung beziehen. Schließlich ist es wichtig, welche Folgen die beabsichtigte Weiterverarbeitung für die betroffenen Personen hat und ob sowohl beim ursprünglichen als auch beim beabsichtigten Weiterverarbeitungsvorgang geeignete Garantien bestehen. Hierzu kann die Verschlüsselung oder Pseudonymisierung der Daten gehören, durch die die Sicherheit der Datenverarbeitung erhöht wird.

Das Risiko bleibt bei den Unternehmen

Die Anforderungen an eine Zweckänderung sind jedoch teilweise noch umstritten. Das Bewertungsrisiko liegt bei den Unternehmen. Wegen der erhöhten Nachweispflichte und Sanktionen ist daher mit Zweckänderungen vorerst vorsichtig umzugehen, bis konkrete Vorgaben der Aufsichtsbehörden vorliegen. In jedem Fall sollte nachweisbar sein, dass die in die Grundsätze der DS-GVO angewandt werden und insbesondere die betroffene Person über diese anderen Zwecke und über ihre Rechte unterrichtet wird.