Zweckbindung – Purpose Limitation – ist ein Kernprinzip der DSGVO (Art. 5 Abs. 1 lit. b) und besagt, dass personenbezogene Daten nur für den Zweck verwendet werden dürfen, für den sie ursprünglich erhoben wurden. Wenn Daten für die Bestellabwicklung erhoben wurden, dürfen sie nicht ohne weiteres für Marketing, Profilbildung oder die Weitergabe an andere Systeme verwendet werden. Jede Nutzung für einen anderen Zweck benötigt entweder eine neue Rechtsgrundlage oder ist schlicht unzulässig.
In Automatisierungsworkflows ist Zweckbindung eine häufige Compliance-Falle: Daten, die für einen Prozess verfügbar sind, werden einfach in einen anderen Workflow weitergeleitet – weil es technisch einfach ist und praktisch erscheint. Ohne explizite Prüfung, ob der neue Verwendungszweck mit der ursprünglichen Erhebung kompatibel ist, entsteht ein DSGVO-Verstoß, auch wenn die Daten bereits im System vorhanden sind.
Zweckbindung in der Workflow-Praxis
| Daten erhoben für | Geplante Nutzung | Vereinbar? |
| E-Mail (Bestellung) | Auftragsbestätigung senden | ✓ Kompatibel |
| E-Mail (Bestellung) | Newsletter-Liste hinzufügen | ✗ Neue Einwilligung nötig |
| Support-Tickets | Kundenzufriedenheit analysieren | ✓ Kompatibel (statistisch) |
| Support-Tickets | Upselling-Profiling | ✗ Neuer Zweck, neue Grundlage |
| Gehaltsabrechnung | HR-Reporting (anonym) | ✓ Aggregiert kompatibel |
Zweckbindung im Automatisierungskontext sicherstellen
- Verzeichnis von Verarbeitungstätigkeiten (VVT): Für jeden Workflow dokumentieren, welche Daten für welchen Zweck auf welcher Rechtsgrundlage verarbeitet werden – verbindliche DSGVO-Pflicht (Art. 30)
- Zweckprüfung bei neuen Integrationen: Wenn Daten aus einem Workflow in einen anderen fließen sollen, explizit prüfen: Ist der neue Verwendungszweck mit dem ursprünglichen Erhebungszweck kompatibel?
- Technische Durchsetzung: Datenbankfelder mit Zweck-Tags versehen. API-Endpunkte nur für definierte Verwendungszwecke öffnen. Datenzugriffsrechte nach Zweck strukturieren
- Einwilligung als Lösung für Zweckerweiterung: Wenn ein neuer Zweck gewünscht ist und keine Kompatibilität besteht: neue, informierte Einwilligung einholen – kein stilles Zwecke-Erweitern
Praxisbeispiel
Ein E-Commerce-Unternehmen nutzt einen Automationsworkflow für die Bestellabwicklung. Dabei werden Kunden-E-Mail-Adressen verarbeitet (Rechtsgrundlage: Vertragserfüllung). Das Marketing-Team möchte diese E-Mail-Adressen direkt in den Newsletter-Workflow einspeisen. Zweckbindungs-Analyse: Bestellabwicklung (ursprünglicher Zweck) ist nicht mit Marketing-Kommunikation (neuer Zweck) vereinbar – beide dienen fundamental verschiedenen Zwecken und wurden von Kunden nicht gemeinsam erteilt. Lösung A: Explizite Marketing-Einwilligung im Bestellprozess einholen (Opt-in-Checkbox, klar von Pflichtfeldern getrennt). Nur Kunden, die eingewilligt haben, fließen in den Newsletter-Workflow. Lösung B: Newsletter-Kampagne nach dem Kauf mit explizitem Einwilligungs-Angebot. Nicht umgesetzt: Stilles Einspeisen aller Bestellkunden in Newsletter. Resultat: Kleinere Newsletter-Liste, aber vollständig rechtmäßig erworben.
