Bei der Zweckbestimmung handelt es sich um einen der elementaren Grundsätze des Datenschutzrechts. Verankert ist er in Art. 5 Abs. 1lit. b) DSGVO und dient damit auch der Umsetzung des in der EU-Grundrechtecharta verankerten Grundrechts auf Datenschutz. Gemäß Art. 5 Abs. 1 lit. b) DSGVO müssen personenbezogene Daten „für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht vereinbarenden Weise weiterverarbeitet werden“. Hieraus ergeben sich für den Verantwortlichen folgende Anforderungen:

1. Alle mit den Daten zu verfolgenden (und natürlich rechtmäßigen) Zwecke müssen bereits im Vorfeld der Datenerhebung festgelegt und dokumentiert sein.
2. Sie müssen im Rahmen der Informationspflichten den betroffenen Personen bekannt gemacht werden.
3. Spätere Zweckänderungen oder -erweiterungen sind in der Regel nur mit der Einwilligung der betroffenen Person zulässig.