Datenschutzrechtliche Aspekte

(erstellt unter freundlicher Mitwirkung von RAe Goebel&Scheller)

Sollen – in welchem Kontext auch immer – personenbezogene Daten natürlicher Personen erhoben oder verwendet werden, sind die Vorgaben des Datenschutzes zu beachten. Ziel des Datenschutzes ist die Wahrung von Persönlichkeitsrechten natürlicher Personen, wie etwa das Recht auf informationelle Selbstbestimmung sowie der Schutz vor negativen Folgen durch die Verarbeitung personenbezogener Daten. Die Einhaltung datenschutzrechtlicher Regelungen ist somit eine Grundvoraussetzung für das rechtskonforme Verarbeiten personenbezogener Daten im Projekt. Die Vorgaben des Datenschutzes basieren auf einem „Verbot mit Erlaubnisvorbehalt“ und gestatten das Erheben, Verarbeiten und Nutzen personenbezogener Daten nur,

• wenn dies gesetzlich oder durch andere Rechtsvorschriften erlaubt oder vorgeschrieben ist
• oder die jeweils betroffene Person, um deren Daten es geht, hierin eingewilligt hat.

Rechtlich unproblematisch ist daher die Forschung mit

• anonymisierten Daten (bei diesen fehlt der Personenbezug), und mit
• personenbezogenen Daten, wenn eine    Einwilligung der Betroffenen vorliegt (Art. 6 DSGVO; ausgeübtes informationelles Selbstbestimmungsrecht BDSG a.F. § 4 Abs.1).

In bestimmten Fällen ist jedoch die Forschung mit personenbezogenen Daten auch ohne Einwilligung der Betroffenen möglich: Da Forschung häufig auf personenbezogene Daten zurückgreifen muss, um Forschungsziele zu erfüllen, hat der Gesetzgeber Erlaubnistatbestände für die Forschung geschaffen (z.B. § 24 HLDIG, BlnDSG § 17; § 33 HDSG a.F.). Dadurch sind Einschränkungen des informationellen Selbstbestimmungsrechts zum Zwecke der wissenschaftlichen Forschung möglich.

Die betreffenden Erlaubnistatbestände sind jedoch an strenge Voraussetzungen geknüpft. So erlaubt etwa § 33 HDSG a.F. die einwilligungslose Verarbeitung personenbezogener Daten nur für „bestimmte“ Forschungsvorhaben, wenn entweder die schutzwürdigen Belange des Betroffenen überhaupt nicht beeinträchtigt werden oder das öffentliche Interesse an der Durchführung des Forschungsvorhabens schwerer wiegt als die schutzwürdigen Belange des Betroffenen und der Forschungszweck ansonsten nicht oder nur mit unverhältnismäßigem Aufwand zu erreichen ist. Nötig ist also in jedem Fall eine Abwägung zwischen dem Forschungsinteresse und den schutzwürdigen Belangen des Betroffenen vorzunehmen.

Auch wenn personenbezogene Daten verarbeitet werden dürfen (aufgrund einer Einwilligung oder einer Rechtsvorschrift), dann darf dies dennoch nur unter bestimmten weiteren Voraussetzungen geschehen. Insbesondere sind

• technische und organisatorische Maßnahmen zu treffen, um die Zwecke des Datenschutzes sicherzustellen, beispielsweise durch getrennte Speicherung von Identifikatoren und Daten, Richtschnur ist hier vor allem die Anlage zu § 9 BDSG a.F.;
• personenbezogene Daten zu anonymisieren, sobald der Forschungszweck dies erlaubt;
• die Grundsätze der Geeignetheit, der Erforderlichkeit und der Verhältnismäßigkeit der Verarbeitung der personenbezogenen Daten zu beachten;
• Zugriffsregelungen zu treffen, durch die eine datenschutzkonforme Verwendung der personenbezogenen Daten sichergestellt wird (etwa in Nutzungsverträgen mit Forschenden).

 Hier bieten Datenzentren die entsprechende Expertise sowie die erforderlichen organisatorischen und technischen Mittel!

Übersicht über die Maßnahmen bei der Erhebung, Verarbeitung und Nutzung von personenbezogenen Daten für Forschungszwecke:

• klären, ob Daten personenbezogen bleiben müssen und damit dem Datenschutz unterliegen;
•    Einwilligungserklärung der Betroffenen;
• ein "Verfahrensverzeichnis" in Zusammenarbeit mit dem Datenschutzbeauftragten anlegen;
• ggf. Nutzungsvereinbarungen mit den Nutzenden treffen;
• ggf. personenbezogene Daten löschen, sobald der Verwendungszweck erfüllt ist oder Maßnahmen der Anonymisierung/Pseudonymisierung durchführen;
• ggf. Erklärungen über die Wahrung des Datengeheimnisses von den Projektmitarbeitenden einholen.

Bitte beachten:

Der Begriff des Forschungsvorhabens im Sinne datenschutzrechtlicher Vorschriften umfasst nicht gleichzeitig die (universitäre) Lehre. Sollen personenbezogene Daten auch in der Lehre verwendet werden, so bedarf dies entsprechender Einwilligungen der Betroffenen!

Gleichwohl ist der Begriff des Forschungsvorhabens nicht zu eng auszulegen. Auch der Aufbau von Datenbanken zu wissenschaftlichen Zwecken ist als Infrastrukturmaßnahme von diesem Begriff umfasst.