Kurz gesagt: Personenbezogene Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben und nicht in einer damit unvereinbaren Weise weiterverarbeitet werden. Eine Nutzung für einen neuen Zweck ist nur erlaubt, wenn sie mit dem ursprünglichen Zweck vereinbar ist oder eine Vorschrift wie Paragraf 24 BDSG sie erlaubt.
Im Sicherheitsdienst entstehen ständig Daten, die auch für andere Dinge interessant wären. Das Zutrittssystem zeigt, wer zu spät kommt. Die Kamera sieht, wer lange raucht. Das Besucherbuch enthält Kontakte, die der Vertrieb gern hätte. Genau hier setzt die Zweckbindung an. Sie ist einer der Grundsätze, die in Fallfragen am häufigsten auftauchen, weil sie im Alltag so leicht verletzt wird.
Was im Gesetz steht
Art. 5 Abs. 1 Buchstabe b DSGVO verlangt, dass personenbezogene Daten für festgelegte, eindeutige und legitime Zwecke erhoben werden. Sie dürfen nicht in einer Weise weiterverarbeitet werden, die mit diesen Zwecken nicht vereinbar ist. Für Archivzwecke im öffentlichen Interesse, Forschung und Statistik gibt es eine Sonderregel. Für den Wachdienst spielt sie kaum eine Rolle.
Die drei Anforderungen an den Zweck
- Festgelegt: Der Zweck muss vor der Erhebung bestimmt sein. "Mal sehen, wofür wir es brauchen" geht nicht.
- Eindeutig: Der Zweck muss klar formuliert sein. "Sicherheit" allein ist sehr weit. Besser ist zum Beispiel "Kontrolle, wer sich auf dem Gelände aufhält, und Evakuierung im Notfall".
- Legitim: Der Zweck muss rechtlich zulässig sein. Ein Zweck wie "Überwachung, welche Mitarbeiter sich mit dem Betriebsrat treffen" ist es nicht.
Den Zweck legt der Verantwortliche fest, also der Kunde oder dein Arbeitgeber. Er muss ihn den Betroffenen nach Art. 13 DSGVO mitteilen, etwa auf einem Hinweisschild oder in einem Datenschutzhinweis. Diese Information ist Teil der Rechte der betroffenen Personen.
Zweckänderung: wann sie trotzdem erlaubt ist
Die Zweckbindung verbietet nicht jede spätere Nutzung. Das gilt auch für Aufnahmen aus der Videoüberwachung. Es gibt drei Wege, auf denen eine Weiterverarbeitung zu einem anderen Zweck zulässig sein kann:
1. Einwilligung oder eigene Rechtsvorschrift
Willigt die Person in den neuen Zweck ein, oder erlaubt eine Rechtsvorschrift die Zweckänderung, ist sie zulässig. Für private Stellen ist Paragraf 24 BDSG die wichtigste Vorschrift. Danach dürfen Daten zu einem anderen Zweck verarbeitet werden, wenn das erforderlich ist
- zur Abwehr von Gefahren für die staatliche oder öffentliche Sicherheit,
- zur Verfolgung von Straftaten oder
- zur Geltendmachung, Ausübung oder Verteidigung zivilrechtlicher Ansprüche,
sofern nicht die Interessen der betroffenen Person am Ausschluss der Verarbeitung überwiegen.
2. Vereinbarkeitsprüfung nach Art. 6 Abs. 4 DSGVO
Gibt es weder Einwilligung noch Vorschrift, prüft der Verantwortliche, ob der neue Zweck mit dem alten vereinbar ist. Art. 6 Abs. 4 nennt dafür Gesichtspunkte: die Verbindung zwischen beiden Zwecken, den Zusammenhang, in dem die Daten erhoben wurden, besonders das Verhältnis zur betroffenen Person, die Art der Daten, die möglichen Folgen für die Person und vorhandene Garantien wie Verschlüsselung oder Pseudonymisierung. Je weiter der neue Zweck vom alten entfernt ist und je stärker er die Person belastet, desto eher ist er unvereinbar.
3. Information über den neuen Zweck
Wird zulässig für einen anderen Zweck weiterverarbeitet, muss die betroffene Person nach Art. 13 Abs. 3 DSGVO grundsätzlich vorher darüber informiert werden.
Beispiele aus dem Wachdienst
| Erhoben für | Neue Nutzung | Einschätzung |
|---|---|---|
| Videoüberwachung gegen Einbrüche | Übergabe der Aufnahme eines Einbruchs an die Polizei | In der Regel zulässig, Strafverfolgung nach Paragraf 24 BDSG |
| Videoüberwachung gegen Einbrüche | Kontrolle, wie lange Mitarbeiter Pause machen | Unvereinbar, neuer belastender Zweck |
| Besucherliste zur Gebäudesicherheit | Adressen für Werbung an den Vertrieb | Unvereinbar |
| Besucherliste zur Gebäudesicherheit | Abgleich nach einem Diebstahl, wer im Raum war | In der Regel zulässig, Strafverfolgung und zivilrechtliche Ansprüche |
| Zutrittsprotokolle für die Türfreigabe | Lückenlose Arbeitszeitkontrolle aller Mitarbeiter | Problematisch, braucht eigene Rechtsgrundlage und meist den Betriebsrat |
Die Entscheidung über eine Zweckänderung triffst nicht du. Du gibst keine Aufnahmen oder Listen eigenmächtig heraus, sondern hältst dich an Dienstanweisung und Vorgesetzten.
Ein Fall aus dem Dienst
Du machst Empfangsdienst in einem Verwaltungsgebäude. Eine Abteilungsleiterin bittet dich: "Sag mir bitte jeden Morgen, wann Frau S. ihren Ausweis am Drehkreuz gebucht hat. Ich glaube, sie kommt ständig zu spät."
Die Zutrittsdaten dienen der Sicherheit und der Türfreigabe, nicht der Leistungskontrolle einzelner Mitarbeiter. Die Weitergabe an die Vorgesetzte wäre ein neuer Zweck, für den es hier weder eine Einwilligung noch eine klare Rechtsgrundlage gibt. Du lehnst freundlich ab und verweist auf den offiziellen Weg über die Personalabteilung, deinen Objektleiter oder den Datenschutzbeauftragten. Ob es einen zulässigen Weg gibt, entscheidet der Verantwortliche.
Typische Prüfungsfallen
- Der Zweck muss vor der Erhebung feststehen, nicht erst danach.
- Zweckbindung heißt nicht, dass Daten nie für etwas anderes genutzt werden dürfen. Es braucht aber eine Rechtfertigung.
- Paragraf 24 BDSG erlaubt privaten Stellen die Zweckänderung zur Strafverfolgung, Gefahrenabwehr und für zivilrechtliche Ansprüche.
- Über eine Zweckänderung entscheidet der Verantwortliche, nicht die Wachperson.
- Sicherheitsdaten sind kein Instrument zur heimlichen Leistungskontrolle.
Teste dich: Übungsfragen zu diesem Thema
Wie in der IHK-Prüfung können eine oder zwei Antworten richtig sein. Kreuze an und prüfe dann.
Welche Anforderungen stellt Art. 5 Abs. 1 Buchstabe b DSGVO an den Zweck einer Datenerhebung?
Videoaufnahmen zum Schutz vor Einbrüchen zeigen einen Einbrecher. Darf der Verantwortliche die Aufnahme der Polizei übergeben?
Eine Abteilungsleiterin möchte von dir täglich wissen, wann eine bestimmte Mitarbeiterin am Drehkreuz gebucht hat. Wie verhältst du dich?
Welche Gesichtspunkte nennt Art. 6 Abs. 4 DSGVO für die Prüfung, ob ein neuer Zweck mit dem alten vereinbar ist?
Der Vertrieb des Kunden will die Besucherliste nutzen, um Besuchern Werbung zu schicken. Was gilt?
Wer entscheidet im Bewachungsalltag darüber, ob Daten für einen neuen Zweck genutzt werden dürfen?
Mehr Fragen aus diesem Sachgebiet gibt es in der Prüfungssimulation und gesammelt auf der Seite Prüfungsfragen Datenschutzrecht.
Art. 5 DSGVO im Wortlaut (gesetze-im-internet.de) · Diese Seite ersetzt keine Rechtsberatung. Maßgeblich ist der aktuelle Gesetzestext.