Personendaten dürfen nur für den Zweck bearbeitet werden, welcher bei der Beschaffung angegeben worden ist oder der aus den Umständen ersichtlich oder gesetzlich vorgesehen ist (Art. 4
Abs. 3 DSG). Der Verwendungszweck der Daten muss bereits bei der Datenbeschaffung ersichtlich sein oder sonst feststehen. Ein Sammeln und weiteres Bearbeiten von Daten – quasi auf
„Vorrat“ – ohne dass ein bestimmter Zweck feststeht oder angegeben wird, ist unzulässig. Wird
vom ursprünglich angegebenen oder aus den Umständen ersichtlichen Zweck abgewichen, sind
die betroffenen Personen darüber zu informieren.