Kurze Antwort: Die Zweckbindung besagt, dass personenbezogene Daten für festgelegte Zwecke erhoben und nicht in einer mit diesen Zwecken unvereinbaren Weise weiterverarbeitet werden dürfen. Ein neuer Zweck ist damit nicht automatisch verboten, braucht aber eine eigene Prüfung: Er muss mit dem ursprünglichen Zweck vereinbar sein (Art. 6 Abs. 4 DSGVO) oder auf einer Einwilligung bzw. gesetzlichen Grundlage beruhen. Setzt ihr KI-Tools ein, die Nutzungsdaten zusätzlich fürs Training ihrer Modelle verwenden wollen, ist das häufig ein neuer, eigenständig zu prüfender Zweck – und genau da entstehen für KMU die meisten Stolperfallen.
Was bedeutet Zweckbindung nach Art. 5 DSGVO?
Art. 5 Abs. 1 lit. b DSGVO verlangt, dass personenbezogene Daten „für festgelegte, eindeutige und legitime Zwecke erhoben werden und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden”. Das bedeutet in Alltagssprache: Wer Daten sammelt, muss vorher festlegen, wofür sie genutzt werden – und darf sie später nicht einfach für etwas völlig anderes einsetzen. Erhebt ihr zum Beispiel E-Mail-Adressen für den Versand von Rechnungen, dürft ihr dieselben Adressen nicht ohne Weiteres auch für Werbe-Newsletter nutzen, wenn dafür keine eigene Rechtsgrundlage vorliegt.
Die DSGVO sieht dabei eng gefasste Ausnahmen vor: Nach Art. 89 Abs. 1 DSGVO gilt eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke sowie für statistische Zwecke nicht automatisch als unvereinbar mit dem ursprünglichen Zweck. Wichtig für die Praxis: Diese Ausnahme gilt für Forschung im wissenschaftlichen Sinne und setzt die gesetzlichen Voraussetzungen sowie geeignete Garantien nach Art. 89 DSGVO voraus; auch private Forschung kann grundsätzlich darunterfallen. Sie deckt in aller Regel nicht die gewöhnliche kommerzielle Produktverbesserung ab, etwa das Training eines KI-Modells durch einen privaten Softwareanbieter, nur weil dieser sein Produkt „verbessern” will. Wer sich auf diese Ausnahme beruft, sollte das im Einzelfall genau prüfen, statt sie pauschal als Freibrief zu verstehen.
Zweckbindung in der Praxis: ein Beispiel
Eine Steuerberatungskanzlei nutzt ein KI-Tool zur automatischen Transkription von Mandantengesprächen. Der festgelegte Zweck bei der Erhebung: Dokumentation und Abrechnung der Beratungsleistung. Bietet derselbe Anbieter in seinen Nutzungsbedingungen an, die Transkripte zusätzlich zu speichern und für das Training zukünftiger Modellversionen zu verwenden, ist das ein zweiter, eigenständiger Verarbeitungszweck. Dafür reicht die ursprüngliche Rechtsgrundlage (Vertragserfüllung mit dem Mandanten) nicht automatisch aus. Die Prüfung folgt am besten dieser Reihenfolge: Zuerst klärt die Kanzlei Zweck und Rolle des Anbieters. Verwendet er die Transkripte für die eigene Modellverbesserung, kann er dafür selbst Verantwortlicher sein, und ein Auftragsverarbeitungsvertrag (AVV) legitimiert eine solche Eigennutzung nicht. Dann braucht dieser Zweck eine eigene Rechtsgrundlage, etwa eine gesonderte Einwilligung der Mandantschaft. Ein Opt-out des Anbieters ist dagegen nur eine technische Einstellung und keine Rechtsgrundlage; der sichere Weg ist, das Training mit Mandantendaten vertraglich und in den Einstellungen auszuschließen. Hinzu kommt bei Steuerberatern die berufliche Verschwiegenheitspflicht, die den Umgang mit Mandantendaten zusätzlich einschränkt. Ähnliche Konstellationen tauchen bei KI-gestützter Kundenkommunikation, Recruiting-Tools oder Chatbots im Kundenservice auf, sobald Gesprächsverläufe „zur Produktverbesserung” gespeichert werden.
Warum ist das für mein Unternehmen wichtig?
Für KMU ist die Zweckbindung deshalb relevant, weil ihr als datenverarbeitende Stelle in der Verantwortung bleibt, selbst wenn ein externer KI-Anbieter die technische Verarbeitung übernimmt. Nutzt ihr ein Tool, dessen Anbieter Kunden- oder Mitarbeiterdaten ungefragt fürs Modelltraining verwendet, kann das als unzulässige Zweckänderung gewertet werden – mit entsprechendem Haftungsrisiko für euer Unternehmen, nicht nur für den Anbieter. Praktisch bedeutet das: Prüft vor dem Einsatz eines KI-Tools die Nutzungsbedingungen und den Auftragsverarbeitungsvertrag (AVV) gezielt auf Formulierungen zu „Training”, „Produktverbesserung” oder „Modelloptimierung”. Achtet darauf, ob sich das Training technisch ausschließen lässt (Opt-out), das ersetzt aber keine Rechtsgrundlage, und dokumentiert für jede Datenkategorie, wofür sie ursprünglich erhoben wurde – das erleichtert später die Einschätzung, ob eine neue Nutzung noch vom ursprünglichen Zweck gedeckt ist oder nicht. Ob ein konkreter Anbieter Trainingsdaten nutzt und wie ein Opt-out dort funktioniert, ändert sich zudem regelmäßig – das solltet ihr direkt beim jeweiligen Anbieter und in dessen aktuellen Nutzungsbedingungen prüfen, statt euch auf ältere Angaben zu verlassen.
Verwandte Begriffe
Wer sich mit der Zweckbindung beschäftigt, stößt schnell auf verwandte Konzepte: den Auftragsverarbeitungsvertrag (AVV), die Rechtsgrundlage der Datenverarbeitung nach Art. 6 DSGVO, das KI-Training mit Nutzerdaten sowie den Grundsatz der Datenminimierung. Alle vier hängen eng zusammen: Sie regeln gemeinsam, welche Daten ein KI-Tool überhaupt verarbeiten darf, wie lange, und wofür.
Häufige Fragen
Darf ein KI-Anbieter meine Kundendaten automatisch fürs Training nutzen?
Nicht automatisch. Wurden die Daten ursprünglich für einen anderen Zweck erhoben, etwa Kundenservice oder Abrechnung, ist die Nutzung fürs Modelltraining meist ein neuer Zweck. Dafür braucht der Anbieter eine eigene Rechtsgrundlage, zum Beispiel eine gesonderte Einwilligung; ein Opt-out ist nur eine Einstellungsmöglichkeit, keine Rechtsgrundlage. Prüft dazu die aktuellen Nutzungsbedingungen und den Auftragsverarbeitungsvertrag des jeweiligen Anbieters.
Was ist der Unterschied zwischen Zweckbindung und Zweckänderung?
Die Zweckbindung ist der Grundsatz selbst: Daten werden für festgelegte Zwecke erhoben und dürfen nicht in einer mit diesen Zwecken unvereinbaren Weise weiterverarbeitet werden. Eine Zweckänderung ist der konkrete Vorgang, bei dem Daten später für einen anderen, mit dem ursprünglichen Zweck nicht ohne Weiteres vereinbaren Zweck weiterverarbeitet werden sollen. Eine Zweckänderung ist nur zulässig, wenn dafür eine eigene Rechtsgrundlage vorliegt oder eine Ausnahme greift.
Gilt die Zweckbindung auch für anonymisierte Daten?
Nein, die Zweckbindung nach Art. 5 DSGVO gilt nur für personenbezogene Daten. Sind Daten wirklich anonymisiert, also nicht mehr auf eine Person zurückführbar, fallen sie nicht mehr unter die DSGVO. Entscheidend ist dabei, dass die Anonymisierung tatsächlich irreversibel ist – bei vielen KI-Tools ist das im Einzelfall zu prüfen, da eine bloße Pseudonymisierung nicht ausreicht.
Was passiert bei einem Verstoß gegen die Zweckbindung?
Ein Verstoß gegen die Zweckbindung kann als unrechtmäßige Verarbeitung von der zuständigen Aufsichtsbehörde geprüft werden und Bußgelder nach sich ziehen. Als Unternehmen, das ein KI-Tool einsetzt, bleibt ihr dabei mitverantwortlich, auch wenn die eigentliche Zweckänderung beim Anbieter passiert. Deshalb lohnt sich vorab ein Blick in AVV und Nutzungsbedingungen, statt das Risiko erst im Streitfall zu klären.