Informationen zum Datenschutz

(erstellt unter freundlicher Mitwirkung von RAe Goebel&Scheller)

Sollen – in welchem Kontext auch immer – personenbezogene Daten natürlicher Personen erhoben oder verwendet werden, sind die Vorgaben des Datenschutzes zu beachten. Diese basieren auf einem „Verbot mit Erlaubnisvorbehalt“ und gestatten das Erheben, Verarbeiten und Nutzen personenbezogener Daten nur,

• wenn dies gesetzlich oder durch andere Rechtsvorschriften erlaubt oder vorgeschrieben ist
• oder die jeweils betroffene Person, um deren Daten es geht, hierin eingewilligt hat.

Rechtlich unproblematisch ist daher die Forschung mit

• anonymisierten Daten (bei diesen fehlt der Personenbezug), und mit
• personenbezogenen Daten, wenn eine Einwilligung der Betroffenen vorliegt (ausgeübtes informationelles Selbstbestimmungsrecht; BDSG § 4 Abs.1).

In bestimmten Fällen ist jedoch die Forschung mit personenbezogenen Daten auch ohne Einwilligung der Betroffenen möglich: Da Forschung häufig auf personenbezogene Daten zurückgreifen muss, um Forschungsziele zu erfüllen, hat der Gesetzgeber Erlaubnistatbestände für die Forschung geschaffen (z.B. § 33 HDSG). Dadurch sind Einschränkungen des informationellen Selbstbestimmungsrechts zum Zwecke der wissenschaftlichen Forschung möglich.

Die betreffenden Erlaubnistatbestände sind jedoch an strenge Voraussetzungen geknüpft. So erlaubt etwa § 33 HDSG die einwilligungslose Verarbeitung personenbezogener Daten nur für „bestimmte“ Forschungsvorhaben, wenn entweder die schutzwürdigen Belange des Betroffenen überhaupt nicht beeinträchtigt werden oder das öffentliche Interesse an der Durchführung des Forschungsvorhabens schwerer wiegt als die schutzwürdigen Belange des Betroffenen und der Forschungszweck ansonsten nicht oder nur mit unverhältnismäßigem Aufwand zu erreichen ist. Nötig ist also in jedem Fall eine Abwägung zwischen dem Forschungsinteresse und den schutzwürdigen Belangen des Betroffenen vorzunehmen.

Auch wenn personenbezogene Daten verarbeitet werden dürfen (aufgrund einer Einwilligung oder einer Rechtsvorschrift), dann darf dies dennoch nur unter bestimmten weiteren Voraussetzungen geschehen. Insbesondere sind

• technische und organisatorische Maßnahmen zu treffen, um die Zwecke des Datenschutzes sicherzustellen, beispielsweise durch getrennte Speicherung von Identifikatoren und Daten, Richtschnur ist hier vor allem die Anlage zu § 9 BDSG;
• personenbezogene Daten zu anonymisieren, sobald der Forschungszweck dies erlaubt;
• die Grundsätze der Geeignetheit, der Erforderlichkeit und der Verhältnismäßigkeit der Verarbeitung der personenbezogenen Daten zu beachten;
• Zugriffsregelungen zu treffen, durch die eine datenschutzkonforme Verwendung der personenbezogenen Daten sichergestellt wird (etwa in Nutzungsverträgen mit Forschern).

 Hier bieten Datenzentren die entsprechende Expertise sowie die erforderlichen organisatorischen und technischen Mittel!

Übersicht über die Maßnahmen bei der Erhebung, Verarbeitung und Nutzung von personenbezogenen Daten für Forschungszwecke:

• klären, ob Daten personenbezogen bleiben müssen und damit dem Datenschutz unterliegen;
• Einwilligungserklärung der Betroffenen;
• ein "Verfahrensverzeichnis" in Zusammenarbeit mit dem Datenschutzbeauftragten anlegen;
• ggf. Nutzungsvereinbarungen mit den NutzerInnen treffen;
• ggf. personenbezogene Daten löschen, sobald der Verwendungszweck erfüllt ist oder Maßnahmen der Anonymisierung/Pseudonymisierung durchführen;
• ggf. Erklärungen über die Wahrung des Datengeheimnisses von den Projektmitarbeitern einholen.

Bitte beachten:

Der Begriff des Forschungsvorhabens im Sinne datenschutzrechtlicher Vorschriften umfasst nicht gleichzeitig die (universitäre) Lehre. Sollen personenbezogene Daten auch in der Lehre verwendet werden, so bedarf dies entsprechender Einwilligungen der Betroffenen!

Gleichwohl ist der Begriff des Forschungsvorhabens nicht zu eng auszulegen. Auch der Aufbau von Datenbanken zu wissenschaftlichen Zwecken ist als Infrastrukturmaßnahme von diesem Begriff umfasst.