Читать книгу DS-GVO/BDSG - David Klein - Страница 390

230

Die Art.-29-Datenschutzgruppe beschloss im Jahr 2013 ihre – bis dato lediglich in englischer Sprache verfügbare – „Opinion 03/2013 on purpose limitation“ (WP203), die den Grundsatz der Zweckbindung analysiert und Leitlinien für die praktische Anwendung des Grundsatzes im Rahmen des damaligen Rechtsrahmens sowie politische Empfehlungen für die Zukunft formuliert.[425] Im Wesentlichen stellte die Art.-29-Datenschutzgruppe fest, dass der Grundsatz der Zweckbindung aus zwei Hauptbausteinen besteht: Personenbezogene Daten müssen für bestimmte, ausdrückliche und legitime Zwecke erhoben werden („Zweckbestimmung“) und die Daten dürfen nicht „mit diesen Zwecken unvereinbar“ weiterverarbeitet werden, was zu einer „kompatiblen Verwendung“ verpflichtet. Eine etwaige Weiterverarbeitung zu einem anderen Zweck wurde allerdings nicht von vornherein grundsätzlich als inkompatibel bezeichnet, vielmehr stellte die Art.-29-Datenschutzgruppe fest, dass die Kompatibilität von Fall zu Fall beurteilt werden müsse. Eine stichhaltige Kompatibilitätsbewertung erfordere eine Bewertung aller relevanten Umstände. Dabei sollte ein Kriterienkatalog zu Rate gezogen werden, anhand dessen die Kompatibilität beurteilt werden sollte. Dieser Kriterienkatalog entspricht weitestgehend dem heute in der DS-GVO in Art. 6 Abs. 4 befindlichen Katalog. Für die Auslegung der Norm dürften daher die von der Art.-29-Datenschutzgruppe erdachten Ausführungen herangezogen werden können.[426] Eine konkrete Ausarbeitung zum Zweckbindungsgrundsatz nach der DS-GVO existiert bisher nicht. Da die Art.-29-Datenschutzgruppe aber bereits in ihrem WP 203 auf die DS-GVO verwiesen hatte und der von ihr erarbeitete Kriterienkatalog insoweit auch Eingang in die finale Fassung der DS-GVO gefunden hat, ist davon auszugehen, dass sich die Art.-29-Datenschutzgruppe in Zukunft mit diesem Thema noch einmal ausführlicher auseinandersetzen wird. Erste Anmerkungen zum Kriterienkatalog aus Transparenzgesichtspunkten enthalten die „Guidelines on transparency under Regulation 2016/679“ (WP260).[427]