Zweckbindung ist ein Grundsatz der Datenschutz-Grundverordnung, wonach personenbezogene Daten nur für festgelegte, eindeutige und legitime Zwecke erhoben und verarbeitet werden dürfen.
Wer Daten für einen bestimmten Zweck erhebt – etwa zur Vertragsabwicklung –, darf sie nicht ohne weiteres für einen völlig anderen Zweck weiterverwenden, ohne dies rechtlich abzusichern.
Vor der Datenerhebung muss der Zweck klar festgelegt werden. Eine spätere Verarbeitung zu einem anderen Zweck ist nur zulässig, wenn dieser mit dem ursprünglichen Zweck vereinbar ist oder eine eigene Rechtsgrundlage – etwa eine neue Einwilligung – vorliegt. Die Regelung findet sich in Art. 5 Abs. 1 lit. b der Datenschutz-Grundverordnung.
Daten, die zur Lieferung einer Online-Bestellung erhoben wurden, dürfen nicht ohne weitere Grundlage automatisch für personalisierte Werbung an Dritte genutzt werden.
Zweckbindung ist ein zentrales Prüfkriterium bei der Gestaltung von Datenverarbeitungsprozessen, Einwilligungserklärungen und Datenschutzerklärungen in Unternehmen und Behörden.
Zweckbindung verbietet nicht jede Weiterverarbeitung, sondern verlangt eine Prüfung der Vereinbarkeit mit dem ursprünglichen Zweck. Häufig wird übersehen, dass eine zu vage formulierte Zweckbestimmung selbst schon einen Verstoß gegen den Grundsatz darstellen kann.
Nicht zu verwechseln mit der Einwilligung (Datenschutz), die eine eigene Rechtsgrundlage für die Verarbeitung ist, mit Privacy by Design, einem technischen Gestaltungsprinzip, oder mit der Auftragsverarbeitung, die ein Rollenverhältnis regelt.