Übersicht
I. Einleitung
II. Personenbezogene Daten in der Forschung
III. Der Forschungsbegriff der Datenschutzgrundverordnung
IV. Regulierung vs. Privilegierung der Nutzung personenbezogener Daten in der Forschung durch die DS-GVO
- Anwendbarkeit der DS-GVO
- Verarbeitung von Daten
- Privilegierungen zu Gunsten der Wissenschaftsfreiheit
a) Der Zweckbindungsgrundsatz (Art. 5 Abs. 1 lit. b DS-GVO)
b) Der Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DS-GVO)
c) Die Einwilligung
d) Einschränkung der Betroffenenrechte
V. Die Forschungsfreiheit
VI. Das Forschungsprivileg nach Art. 9 Abs. 2 lit. j DS-GVO und seine nationale Umsetzung - Die Konstruktion von Art. 9 Abs. 2 lit. j DS-GVO
- Grundrechtlicher Maßstab im Lichte der BVerfG-Rechtsprechung „Recht auf Vergessen I“ und „Recht auf Vergessen II“
- Schlussfolgerungen für die Auslegung
VII. Fazit
I. Einleitung
Mit dem Inkrafttreten der Datenschutz-Grundverordnung (DS-GVO)1 im Mai 2017 haben sich die Möglichkeiten für die Nutzung von Forschungsdaten grundlegend gewandelt. Der Regelungsansatz der DS-GVO ist dabei innovationsoffen und forschungsfreundlich ausgestaltet und enthält einen umfangreichen Katalog an Privilegierungen zugunsten der wissenschaftlichen Forschung. Diesen Privilegierungen stehen dabei Garantien und Maßnahmen gegenüber, die von Forschenden zum Schutz der Rechte der betroffenen Personen gewahrt werden müssen. Im Folgenden wird zunächst die Bedeutung personenbezogener Daten für Forschende exemplarisch dargestellt. Im Weiteren werden das Regelungskonzept der DS-GVO knapp beleuchtet und die forschungsprivilegierenden Normen herausgearbeitet. Aufbauend auf einer Analyse der zugrundeliegenden grundrechtlichen Spannungslagen zwischen dem Recht auf Schutz der personenbezogenen Daten und der Wissenschaftsfreiheit wird abschließend die zentrale Forschungsausnahme aus Art. 9 Abs. 2 lit. j DS-GVO beleuchtet. Hierbei wird zum einen das Verhältnis zu Art. 6 DSGVO bestimmt, zum zweiten wird auf der Grundlage der Rechtsprechung des BVerfG zum „Recht auf Vergessen I“ und „Recht auf Vergessen II“ das relevante Grundrechteregime bestimmt, also die Frage geklärt, ob die Grundrechte der Europäischen Grundrechtecharta (GRCh)2 oder die des Grundgesetzes (GG)3 relevanter Maßstab der Auslegung sind. Es wird dabei insbesondere auch auf die in Art. 9 Abs. 2 lit. j DS-GVO verankerte Öffnungsklausel für mitgliedstaatliche Regelungen eingegangen und das Verhältnis zur bundesrechtlichen Umsetzung in § 27 Abs. 2 BDSG4 sowie zu den landesrechtlichen Umsetzungen dargestellt.
II. Personenbezogene Daten in der Forschung
Personenbezogene Daten finden in vielen Bereichen wissenschaftlicher Forschung Anwendung. Forschungsfelder, die auf die Verwendung personenbezogener Daten angewiesen sind, sind solche, bei denen Menschen im Zentrum der Forschung stehen.5 Hierzu gehören u. a. die Humanmedizin, die Psychologie, die Soziologie oder die Erziehungswissenschaften. Personenbezogene Daten werden dabei im Rahmen von Studien und Interviews, aber auch mittels neuer und herkömmlicher Technologien, wie z. B. der Computertomografie erhoben. Neben diesen Forschungsfeldern ist die Verwendung personenbezogener Daten auch in Forschungsbereichen gegeben, bei denen eine Nutzung personenbezogener Daten nicht offensichtlich ist, wie z. B. den
Daniel Becker
Die Wissenschaftsprivilegierung in der DS-GVO
1 Verordnung (EU) 2016/679 des europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG.
2 Charta der Grundrechte der Europäischen Union (2010/C 83/92).
3 Grundgesetz für die Bundesrepublik Deutschland in der im Bundesgesetzblatt Teil III, Gliederungsnummer 100 1, veröffentlichten bereinigten Fassung, das durch Artikel 1 u. 2 Satz 2 des Gesetzes vom 29. September 2020 (BGBl. I S. 2048) zuletzt geändert worden ist.
4 Bundesdatenschutzgesetz vom 30. Juni 2017 (BGBl. I S. 2097), das durch Artikel 10 des Gesetzes vom 23. Juni 2021 (BGBl. I S. 1858) geändert worden ist.
5 Roßnagel, Datenschutz in der Forschung, ZD 2019, 157.
Ordnung der Wissenschaft 2022, ISSN 2197–9197
1 0 4 O R D N U N G D E R WI S S E N S C H A F T 2 ( 2 0 2 2 ) , 1 0 3 — 1 1 4
6 Hartmann, Personenbezogene Forschungsdaten in unverdächtigen
Forschungsdisziplinen, LIBREAS. Library Ideas (36) 2019, 1f.
7 Big Data bezeichnet Technologien, die zur Erhebung und Analyse
großer Datenmengen genutzt werden. Ausführlich zum Big Data-
Begriff: Holthausen, Big Data, People Analytics, KI und Gestaltung
von Betriebsvereinbarungen – Grund‑, arbeits- und datenschutzrechtliche
An- und Herausforderungen, RdA 2021, 19.
8 Der aktuelle Entwurf für eine KI-Verordnung definiert KI-Systeme
in seinem Art. 3 als „Software, die mittels einer oder mehrerer
Techniken oder Konzepte aus Anhang I entwickelt werden und für
eine gegebene Reihe an vom Menschen definierten Zielen Ausgabewerte
generieren kann, die aus Inhalten, Vorhersagen, Empfehlungen
oder Entscheidungen bestehen können, die die Umgebung
beeinflussen, mit der sie interagieren“, Proposal for a Regulation of
the European Parliament and of the Council Laying Down Harmonised
Rules on Artificial Intelligence and Amending Certain
Union Legislative Acts, COM (2021) 206 final.
9 Weichert, Die Forschungsprivilegierung in der DS-GVO, ZD 2020,
18.
10 So auch: Werkmeister/Schwaab, Auswirkungen und Reichweite
des datenschutzrechtlichen Forschungsprivilegs, CR 2019, 85;
Landesdatenschutzbeauftrager Niedersachsen, Forschung und Datenschutz,
https://www.lfd.niedersachsen.de/themen/forschung/
datenschutz-und-forschung-56093.html (zuletzt abgerufen am
2.12.2021).
11 BVerfG Urteil vom 29.5.1973 — 1 BvR 424/71 u. 325/72, NJW 1973,
1176.
12 ErwG 159 S. 2: „Die Verarbeitung personenbezogener Daten zu
wissenschaftlichen Forschungszwecken im Sinne dieser Verordnung
sollte weit ausgelegt werden und die Verarbeitung für beispielsweise
die technologische Entwicklung und die Demonstration,
die Grundlagenforschung, die angewandte Forschung und die
privat finanzierte Forschung einschließen.“
13 Wegener in Callies/Ruffert, EUV/AEUV, 5. Auflage 2016, Art. 19
EUV, Rn. 16; siehe auch: Paal/Pauly in Paal/Pauly, DS-GVO BDSG, - Auflage 2021, Einleitung, Rn. 10 sowie GA Colomer, Schlussanträge
EuGH Rs. C‑267/06.
14 Geminn, Wissenschaftliche Forschung und Datenschutz, DuD
2018, 640, 643; Werkmeister/Schwaab (Fn. 10), 86; zum Wissenschaftsbegriff
der GRCh siehe auch: Teetzmann, Schutz vor Wissen?,
2020, 276, 277.
15 Ruffert in Callies/Ruffert, EUV/AEUV, 6. Auflage 2022,
Art. 179 AEUV, Rn. 1.
16 Hornung/Hoffmann, Die Auswirkungen der europäischen Datenschutzreform
auf die Markt- und Meinungsforschung, ZD-Beilage
2017, 4.
17 Weichert (Fn. 9), 19.
18 Weichert (Fn. 9), 19.
19 Geminn (Fn. 14), 643.
20 Ibid.
21 Johannes/Richter, Privilegierte Verarbeitung im BDSG‑E, DuD
2017, 300, 301.
Geo- und Umweltwissenschaften.6 Das Voranschreiten
von Datenauswertungstechniken im Rahmen von Big
Data7 sowie die vermehrte Nutzung künstlicher Intelligenz
(KI)8 treibt die Datennutzung zu Forschungszwecken
weiter voran. Gute wissenschaftliche Forschung
wird, auch wegen des fortschreitenden Einsatzes von KI
im Bereich der Forschung, zukünftig noch mehr von der
Nutzung personenbezogener Daten, deren Qualität
abgesichert ist, abhängig sein. Um der gesamtgesellschaftlichen
Bedeutung von Forschung für das Gemeinwohl
gerecht zu werden, ist es mithin erforderlich, dass
dieser ein hinreichender Spielraum hinsichtlich der Verwendung
dieser Daten eingeräumt wird.
III. Der Forschungsbegriff der Datenschutzgrundverordnung
Die DS-GVO beinhaltet eine Reihe von Vorschriften, die
der Privilegierung der „wissenschaftlichen Forschung“
dienen. Eine Definition des Begriffs der „wissenschaftlichen
Forschung“ ist in der DS-GVO, trotz des umfangreichen
Katalogs von Legaldefinitionen in Art. 4 DSGVO,
jedoch nicht enthalten.9 Als Ausgangspunkt wird
daher im Folgenden der Begriff der Forschung in der
Auslegung des BVerfG als Orientierungshilfe herangezogen.
10 Demnach ist Forschung die „Tätigkeit mit dem
Ziel, in methodischer, systematischer und nachprüfbarer
Weise neue Erkenntnisse zu gewinnen“.11 Ausweislich
des ErwG 159 S. 2 zur DS-GVO ist der Forschungsbegriff
weit auszulegen und umfasst die Grundlagenforschung,
die angewandte Forschung sowie explizit die privat
finanzierte Forschung.12 Zwar handelt es sich bei Erwägungsgründen
nicht um rechtlich bindende Normen
unionaler Rechtsakte, sie sind aber als Auslegungshilfen
von zentraler Bedeutung anerkannt.13 Im Rahmen von
privat finanzierter Forschung ist es – aus Sicht der Literatur
– unerheblich, ob diese auf die Generierung eines
ökonomisch verwertbaren Forschungsergebnisses
gerichtet ist oder auf ein im öffentlichen Interesse stehendes
Forschungsziel.14 Dies ist überzeugend, da sich
dies aus Art. 179 Abs. 1 AEUV ergibt,15 auf den der
ErwG 159 S. 3 verweist.16 Der weite Forschungsbegriff
der DS-GVO ist indes dahingehend einzuschränken,
dass nur unabhängige Forschungstätigkeit erfasst ist.17
Daraus ergibt sich, dass eine direktive Beeinflussung
durch Dritte auf den Prozess der Erkenntnisgewinnung
ausgeschlossen sein muss.18 Auch darf sich die wissenschaftliche
Forschung nicht wirtschaftlichen oder anderen
Interessen unterordnen.19 Darüber hinaus ist vom
Forschungsbegriff nicht die bloße Anwendung bereits
bekannter Erkenntnisse umfasst.20 Ebenso sind auch statistische
Verarbeitungen, deren Ergebnis zwar neue
Erkenntnisse darstellen, aber keine neuartigen Erkenntnisse,
nicht vom Begriff der Forschung umfasst.21 Einen
Becker · Wissenschaftsprivilegierung in der DS-GVO 1 0 5
22 Dafür, dass im Einzelfall auch Markt- und Meinungsforschung als
wissenschaftliche Forschungszwecke i. S .d. DS-GVO einzustufen
sind argumentieren: Hornung/Hoffmann (Fn. 16), Geminn (Fn. 14),
643; dagegen argumentiert für den Fall rein oder vorrangig kommerzieller
Marktforschung: Weichert (Fn. 8), 20; insgesamt einer
Einordnung von Markt- und Meinungsforschung als wissenschaftlichen
Zweck ablehnend gegenüberstehend: Johannes/Richter (Fn.
21).
23 Hervorhebung durch den Verfasser.
24 Ausführlich zum Streitstand Arning/Rothkegel in Taeger/Gabel,
DSGVO – BDSG, 3. Auflage 2019, Art. 4 DSGVO, Rn. 33ff.
25 Dies. (Fn. 24), m. w. N., Rn. 38.
26 Dies. (Fn. 24), Rn. 34.
27 Für diesen aber eintretend Dregelies, Wohin laufen meine Daten?,
VuR 2017, 256, 257.
28 Roßnagel (Fn. 5), 157.
29 Jung/Hansch, Die Verantwortlichkeit in der DS-GVO und ihre
praktischen Auswirkungen, ZD 2019, 143.
30 Roßnagel (Fn. 5), 157.
31 Frenzel in Paal/Pauly, DS-GVO BDSG, 3. Auflage 2021, Art. 6 DSGVO,
Rn. 7.
32 Art. 6 Abs. 1 Uabs. 1 lit. c DS-GVO legitimiert die Verarbeitung
personenbezogener Daten, die für Verpflichtungen des Verantwortlichen
notwendig ist. Art. 6 Abs. 1 Uabs. 1 lit. e DSGVO regelt
die Verarbeitung personenbezogener Daten im öffentlichen Interesse.
Grenzfall bildet die Markt- und Meinungsforschung.22
Zusammenfassend kann aus Sicht der Literatur eine
Vielzahl von Begriffen unter den Forschungsbegriff der
DS-GVO gefasst werden. Prima facie kann daher als
Kernbestand des Forschungsbegriffs der DS-GVO für
die folgende Abhandlung davon ausgegangen werden,
dass er neben der öffentlichen auch die private wissenschaftliche
Forschung erfasst, solange diese unabhängig,
also frei von direktiver Einflussnahme ist, und einem
Mindestmaß an wissenschaftlichen Standards genügt.
IV. Regulierung vs. Privilegierung der Nutzung personenbezogener
Daten in der Forschung durch die
DS-GVO
Soweit eine Tätigkeit dem Forschungsbegriff der DSGVO
unterfällt, ist das Spannungsfeld von Regulierung
der Verarbeitung personenbezogener Daten, insbesondere
durch das Erfordernis einer Verarbeitungsgrundlage,
und der Privilegierung der Nutzung dieser Daten zu
Forschungszwecken zu untersuchen. - Anwendbarkeit der DS-GVO
Der Schutzgegenstand der DS-GVO sind personenbezogene
Daten. Personenbezogenen Daten werden in
Art. 4 Nr. 1 DS-GVO legal definiert als:
„alle Informationen, die sich auf eine identifizierte oder
identifizierbare natürliche Person (im Folgenden „betroffene
Person“) beziehen; als identifizierbar wird eine natürliche
Person angesehen, die direkt oder indirekt, …,
identifiziert werden kann.“23
Umstritten ist insbesondere die Reichweite der Identifizierbarkeit.
24 Überzeugend ist die Annahme des sog.
relativen Personenbezugs, der das Wissen Dritter, auf
das der Verantwortliche zugreifen kann, berücksichtigt.
25 Identifizierbar i. S. d. Norm ist eine Person somit
dann, wenn Daten unter Berücksichtigung sowohl des
Wissens des Verantwortlichen als auch des Wissens Dritter,
auf das der Verantwortliche mit angemessenem Aufwand
zugreifen kann, die Identifikation möglich machen.
26 Zu weitgehend ist der absolute Personenbezugsbegriff,
nach dem sämtliches Wissen Dritter, einschließlich
solcher, die sich nur auf illegalem Wege Zugriff zu
den Daten verschaffen könnten, in die Betrachtung einzufließen
haben.27
Der Umfang der Daten, die als personenbezogene
Daten einzustufen sind, ist damit maßgeblich davon abhängig,
wer im konkreten Einzelfall als Verantwortlicher
einzustufen ist. Bei Forschenden, die an Universitäten
tätig sind, ist im Regelfall die Universität die Verantwortliche
i.S.v. Art. 4 Nr. 7 DS-GVO.28 Werden Forschende
für Unternehmen tätig, sind letztere als Verantwortliche
anzusehen.29 Werden Forschende ausschließlich selbst
tätig, sind sie selbst Verantwortliche i. S. v. Art. 4 Nr. 7
DS-GVO.30 Abhängig von dem zur Verfügung stehenden
Wissen und den Ressourcen des Verantwortlichen
ist mithin für jedes Datum zu prüfen, ob es als personenbezogenes
Datum zu qualifizieren ist. - Verarbeitung von Daten
Die Verarbeitung von Daten ist in der DS-GVO an das
Vorliegen einer Verarbeitungsgrundlage geknüpft. Die
möglichen Verarbeitungsgrundlagen werden in Art. 6
DS-GVO enumerativ benannt. Soweit personenbezogene
Daten verarbeitet werden, muss eine der Verarbeitungsgrundlagen
vorliegen.31 Zentral auch für Forschungszwecke
sind einerseits die Einwilligung der
betroffenen Person in die Verarbeitung ihrer personenbezogenen
Daten nach Art. 6 Abs. 1 Uabs. 1 lit. a DSGVO
und andererseits die Verarbeitungsgrundlage des
Art. 6 Abs. 1 Uabs. 1 lit. f DS-GVO. Demnach ist eine
Verarbeitung zulässig, wenn dies für die Interessen des
Verarbeitenden erforderlich ist und die Rechte der
betroffenen Personen nicht überwiegen. Für die Forschung
an Hochschulen und anderen öffentlichen Einrichtungen
sind demgegenüber die Verarbeitungsgrundlagen
aus Art. 6 Abs. 1 UAbs. 1 lit. c DS-GVO sowie Art. 6
Abs. 1 Uabs. 1 lit. e DS-GVO maßgeblich.32 Für diese
1 0 6 O R D N U N G D E R WI S S E N S C H A F T 2 ( 2 0 2 2 ) , 1 0 3 — 1 1 4
33 Albers/Veit in Wolff/Brink, BeckOK Datenschutzrecht, 37. Edition
2021, Art. 9 DSGVO, Rn. 56.
34 Roßnagel (Fn. 5).
35 Landesdatenschutzgesetz vom 12. Juni 2018, GBl. 2018, 173.
36 Klar/Kühling in Kühling/Buchner, DS-GVO BDSG, 3. Auflage
2020, § 2 BDSG, Rn 1.
37 Dies., Rn. 10f.
38 Dies., Rn. 2ff.
39 Albers/Veit in Wolff/Brink, BeckOK Datenschutzrecht, 37. Edition
2021, Art. 9 DSGVO, Rn. 46.
40 Weichert in Kühling/Buchner, DS-GVO BDSG, 3. Auflage 2020,
Art. 9 DS-GVO, Rn. 7.
41 Ders., Rn. 45.
42 Frenzel in Paal/Pauly, DS-GVO BDSG, 3. Auflage 2021,
Art. 5, Rn 23. Zur Verankerung des Zweckbindungsgrundsatzes
im Primärrecht der EU: Sobotta in Grabitz/Hilf/Nettesheim, Das
Recht der EU, 37. Ergänzungslieferung 2021, Art. 16 AEUV, Rn. 37
f.
43 Frenzel (Fn. 42), Rn. 29.
44 Unter Sekundärverarbeitung wird jede weitere Verarbeitung der
Daten verstanden, die nach der ursprünglich geplanten Verarbeitung
erfolgt.
45 Frenzel (Fn. 42), Rn. 29.
eröffnen Art. 6 Abs. 2 und 3 DS-GVO den Mitgliedsstaaten
umfangreiche Spielräume bei der Ausgestaltung der
Regelungen für die öffentlichen Stellen.33
Aus diesem Grund ist bei der universitären Forschung
nicht ausschließlich auf die Regelungen der DSGVO
abzustellen, sondern vielmehr eine Gesamtbetrachtung
von DS-GVO und mitgliedsstaatlichen Reglungen
vorzunehmen.34 In Deutschland sind neben der
DS-GVO die Datenschutzgesetze der Länder heranzuziehen.
Exemplarisch wird vorliegend auf das Landesdatenschutzgesetz
des Landes Baden-Württemberg
(LDSG BW)35 abgestellt. Aufgrund der unionsrechtlichen
Öffnungsklausel ist im Bereich der Forschung nicht
allein die DS-GVO maßgebend, sondern auch auf die
entsprechenden Umsetzungsregeln. Die Abgrenzung
zwischen der Anwendbarkeit des Bundesdatenschutzgesetzes
(BDSG) und den Datenschutzgesetzen der Bundesländer
ist vom handelnden Akteur abhängig.36 Soweit
die Forschung durch öffentliche Stellen der Länder
betrieben wird, sind die Datenschutzgesetze der Länder
einschlägig.37 In anderen Fällen ist das BDSG anzuwenden.
38 Weitere Besonderheiten ergeben sich im Zusammenhang
mit nach Art. 9 Abs. 1 DS-GVO besonders geschützten
Daten. Der Artikel benennt enumerativ verschiedene
Gruppen von Daten, die als besonders schutzwürdig
angesehen werden, wie beispielsweise
Gesundheitsdaten sowie genetische und biometrische
Daten, und verbietet grundsätzlich deren Verarbeitung.
39 Dieses Verbot wird jedoch durch einen Katalog
von Ausnahmen, die in Art. 9 Abs. 2 DSGVO festgeschrieben
werden, durchbrochen.40 Dieser benennt abschließend
verschiedene Verarbeitungsvoraussetzungen,
die alternativ für eine rechtskonforme Verarbeitung vorliegen
müssen.41 Für Forschungszwecke ist in diesem
Rahmen, d. h. als Grundlage für eine Verarbeitung selbst
von geschützten Daten nach Art. 9 DS-GVO, einerseits
die Einwilligung nach Art. 9 Abs. 2 lit a DS-GVO und
andererseits die Forschungsausnahme nach
Art. 9 Abs. 2 lit. j DS-GVO von besonderer Relevanz. - Privilegierungen zu Gunsten der Wissenschaftsfreiheit
Neben der Notwendigkeit einer Verarbeitungsgrundlage
enthält die DS-GVO eine Vielzahl weiterer Anforderungen
an die rechtskonforme Verarbeitung von Daten. Die
Verarbeitung zum Zwecke der Forschung ist nicht nur
durch Verarbeitungsgrundlagen privilegiert, sondern
auch durch forschungsspezifische Lockerungen.
a) Der Zweckbindungsgrundsatz (Art. 5 Abs. 1 lit. b DSGVO)
Nach Art. 5 Abs. 1 lit. b DS-GVO dürfen personenbezogene
Daten nur für zuvor festgelegte, eindeutige und
legitime Zwecke verarbeitet werden. Der enge Zweckbindungsgrundsatz
trägt der Rolle des Verarbeitungszwecks
als zentralem Anknüpfungspunkt für die Beurteilung
der Zulässigkeit einer Verarbeitung personenbezogener
Daten im grundrechtlichen Spannungsfeld
Rechnung.42 Die Verpflichtung, die Zwecke der Verarbeitung
zuvor abschließend festzulegen, ermöglicht eine
umfassende Abwägung der Belange im Vorhinein. Vom
Zweckbindungsgrundsatz ist auch die Weiterverarbeitung
der personenbezogenen Daten umfasst.43 Bei Forschungsvorhaben
können sich im Fortlauf des Projekts
indes weitere Verwendungsmöglichkeiten für bereits
verarbeitete personenbezogene Daten ergeben. Dieser
Tatsache wird in der DS-GVO durch eine Privilegierung
der Forschung bei der Sekundärverarbeitung44 Rechnung
getragen. In Übereinstimmung mit dem Zweckbindungsgrundsatz
aus Art. 5 Abs. 1 lit. b DS-GVO ist
eine solche (nur) ausgeschlossen, wenn sie mit dem
ursprünglichen Zweck unvereinbar ist. Dies betrifft insoweit
auch die Weiterverarbeitung durch andere Personen
als den ursprünglichen Verarbeiter.45 Bei wissenschaftlichen
und historischen Forschungszwecken,
sowie für statistische Zwecke, gilt daneben die widerlegbare
Vermutung, dass die Weiterverarbeitung zu diesen
Zwecken „nicht unvereinbar“ mit den ursprünglichen
Becker · Wissenschaftsprivilegierung in der DS-GVO 1 0 7
46 Breyer/Jonas, Verarbeitungsgrundsätze und Rechenschaftspflicht
nach Art. 5 DS-GVO, DuD 2018, 312, 313.
47 Frenzel (Fn. 42), Rn. 30.
48 Spindler/Horváth in Spindler/Schuster, Recht der elektronischen
Medien, 4. Auflage 2019, Art. 89 DSGVO, Rn. 10.
49 Eichler in Wolff/Brink, BeckOK Datenschutzrecht, Art. 89 DSGVO,
Rn. 12.
50 Ders., Rn. 13.
51 Ders., Rn. 12.
52 Zu den Begriffen im Einzelnen: Schantz in Wolff/Brink, BeckOK
Datenschutzrecht, 37. Edition 2021, Art. 5 DSGVO, Rn. 24 ff.
53 Schaar, DS-GVO: Geänderte Vorgaben für die Wissenschaft – Was
sind die neuen Rahmenbedingungen und welche Fragen bleiben
offen?, ZD 2016, 224, 225.
54 Rose in Taeger/Gabel, DSGVO BDSG, 3. Auflage, 2019, § 22 BDSG,
Rn. 4.
55 Frenzel (Fn 42), Rn 43.
56 Herbst in Kühling/Buchner, DS-GVO BDSG, 3. Auflage 2020,
Art. 5 DSGVO, Rn. 64.
57 Frenzel (Fn. 42). Rn. 45.
58 Schantz (Fn. 52), Rn. 33. Eine Vorratsdatenbank ist eine Sammlung
personenbezogener Daten zur späteren Verarbeitung.
Zwecken ist.46 Die negative Formulierung in Form der
doppelten Verneinung wird als Umkehr der Beweislast
zu Gunsten des Sekundärverarbeitenden ausgelegt.47
Dies bedeutet konkret, dass die betroffene Person dem
Verantwortlichen nachweisen muss, dass die Verarbeitung
nicht mit dem ursprünglichen Zweck vereinbar
war. Eine rechtmäßige Verarbeitung ist indes nach Art. 5
Abs. 1 lit. b DS-GVO an die Einhaltung von „geeigneten
Garantien“ nach Art. 89 Abs. 1 DS-GVO geknüpft. Geeignete
Garantien können bspw. Anonymisierung und
Pseudonymisierung sowie Maßnahmen wie Verschlüsselung
der Daten, Kontrolle des Zugangs auf die Daten
sowie Geheimhaltungspflichten und Vertraulichkeitsvereinbarungen
sein.48
Die Fokussierung auf die Notwendigkeit geeigneter
Garantien wird als Hinweis auf eine enge Auslegung der
auf Art. 89 Abs. 1 DS-GVO verweisenden Vorschriften
verstanden.49 Dies überzeugt, da die weitreichende Privilegierung
der Forschung nur dann als gerechtfertigt
angesehen werden kann, wenn sie an strenge Vorgaben
geknüpft ist.50
Weiter wird durch Art. 89 Abs. 1 DS-GVO der Grundsatz
der Datenminimierung aus Art. 5 Abs. 1 lit. c DSGVO
als Gegengewicht zur Lockerung des Zweckbindungsgrundsatzes
etabliert.51 Der Grundsatz der Datenminimierung
besagt, dass nur die personenbezogenen
Daten verarbeitet werden dürfen, die für die Erreichung
des angegebenen Zwecks erheblich, angemessen und
notwendig sind.52 Direkte Folge der Pflicht zur Datensparsamkeit
ist die Notwendigkeit der unmittelbaren
Anonymisierung der erhobenen Daten nach
Art. 89 Abs. 1 Satz 4 DSGVO. Diese Anonymisierung
steht aber wiederum unter dem Vorbehalt, dass eine solche
nur dann erfolgen muss, wenn dies den verfolgten
Zwecken nicht entgegensteht. Die praktischen Notwendigkeiten
der wissenschaftlichen Forschung, die beispielsweise
bei Langzeitstudien nicht auf anonymisierte
Daten zurückgreifen kann, werden damit
berücksichtigt.53
Betrachtet man die Umsetzung nach deutschem
Recht, so wurde dem unionsrechtlichen Erfordernis geeigneter
Garantien im BDSG durch § 22 Abs. 2 BDSG
entsprochen.54 Dieser benennt einen nicht abgeschlossenen
Katalog von Maßnahmen, die unter „Berücksichtigung
des Stands der Technik, der Implementierungskosten“
sowie „der Art des Umfangs, der Umstände und der
Zwecke der Verarbeitung“ getroffen werden müssen. Im
Bereich des LDSG BW wird dem Erfordernis geeigneter
Garantien durch § 3 Abs. 1 LDSG BW entsprochen. Dieser
entspricht im Wesentlichen § 22 Abs. 2 BDSG. Ergänzt
wird er durch die Anforderung der Anonymisierung,
sobald dies mit den Zwecken des Forschungsvorhabens
vereinbar ist, nach § 13 Abs. 2 LDSG BW.
b) Der Grundsatz der Speicherbegrenzung
(Art. 5 Abs. 1 lit. e DS-GVO)
Denselben Regulierungsgedanken wie die Forschungsprivilegierung
in Art. 5 Abs. 1 lit. b DSGVO beinhaltet
die Privilegierung der Forschung im Rahmen der
Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO. Er
knüpft unmittelbar an den Zweckbindungsgrundsatz an
und erweitert diesen um das Erfordernis des Aufhebens
der Verknüpfung zu der betroffenen Person, sobald diese
für den Verarbeitungszweck nicht mehr erforderlich
ist.55 Der Grundsatz der Speicherbegrenzung erfordert,
dass der Verantwortliche den Personenbezug der verarbeiteten
Daten aufhebt, sobald dieser nicht mehr für den
verfolgten Zweck erforderlich ist.56 Dies kann durch
Anonymisierung oder Löschung erfolgen.57 Ausgeschlossen
ist von ihm das Anlegen einer Vorratsdatenbank
für eine spätere Verwendung zu einem noch unbestimmten
Zweck.58 Aufgebrochen wird der Grundsatz
der Speicherbegrenzung zudem durch Art. 5 Abs. 1 lit. e
Hs. 2 DSGVO, demzufolge zeitlich längere Speicherzeiträume
für Zwecke wissenschaftlicher Forschung zulässig
sind. Eine genaue Zeitspanne wird von
Art. 5 Abs. 1 lit e Hs. 2 DS-GVO nicht benannt. Als gute
wissenschaftliche Praxis ist ein Zeitraum von 10 Jahren
1 0 8 O R D N U N G D E R WI S S E N S C H A F T 2 ( 2 0 2 2 ) , 1 0 3 — 1 1 4
59 DFG, Sicherung guter wissenschaftlicher Praxis – Empfehlungen
der Kommission „Selbstkontrolle in der Wissenschaft“, 2013, 21:
Empfehlung Nr. 7 zur Sicherung und Aufbewahrung von Primärdaten;
DFG, Leitlinien zur Sicherung guter wissenschaftlicher Praxis,
2019, 22: Leitlinie 17: Archivierung.
60 Ernst in Paal/Pauly, DS-GVO BDSG, 3. Auflage 2021, Art. 4 DSGVO,
Rn. 78.
61 Denkbar wäre insoweit z.B. eine Einwilligung der Verwendung der
personenbezogenen Daten für die Zwecke der Krebsforschung.
62 Siehe Erwägungsgrund 33 S. 2.: „Daher sollte es betroffenen Personen
erlaubt sein, ihre Einwilligung für bestimmte Bereiche wissenschaftlicher
Forschung zu geben, wenn dies unter Einhaltung
der anerkannten ethischen Standards der wissenschaftlichen Forschung
geschieht.“
anerkannt.59 Auch ist der Verantwortliche nach
Art. 5 Abs. 1 lit. e Hs. 2 DS-GVO verpflichtet, geeignete
Garantien für den Schutz der betroffenen Daten nach
Art. 89 Abs. 1 DS-GVO zu treffen. Weitergehend bleibt
auch die Anonymisierungspflicht für den Fall der fehlenden
Notwendigkeit der Nutzung nicht anonymisierter
Daten bestehen. Daraus lässt sich schließen, dass die
Privilegierung im Rahmen der Speicherbegrenzung nur
zu einer Verschiebung des Maßstabs zugunsten der Forschenden
führt. Das heißt, dass Forschenden ein größerer
Spielraum bei der Speicherdauer gewährt wird, während
die Pflicht zur fortlaufenden Prüfung der Notwendigkeit
der Speicherung nicht entfällt.
c) Die Einwilligung
Auch im Rahmen der Einwilligung berücksichtigt die
DS-GVO die besonderen Anforderungen wissenschaftlicher
Forschung. Die Einwilligung in die Verarbeitung
der eigenen Daten muss nach der Legaldefinition des
Art. 4 Nr. 11 DS-GVO durch eine freiwillige, unmissverständliche,
in informierter Weise abgegebene Willenserklärung
von der betroffenen Person für den konkreten
Einzelfall erfolgen. Die Festlegung auf einen bestimmten
Fall ist umso spezifischer vorzunehmen, desto stärker
der Eingriff in die Persönlichkeitsrechte des Betroffenen
wiegt.60 Da im Rahmen von Forschungsvorhaben regelmäßig
bei Erhebung der personenbezogenen Daten
noch nicht vorhergesehen werden kann, in welchem
Umfang eine Verarbeitung den Zwecken des Forschungsvorhabens
dient, oder ob Daten später für weitere Forschungszwecke
weiter sinnvoll genutzt werden könnten,
ist das Kriterium der Bestimmtheit ein besonderes Hindernis
für eine Verarbeitung für Forschungszwecke auf
der Grundlage von Einwilligungen. Dies gilt insbesondere
bei besonders sensiblen Daten, wie z. B. genetischen
Daten und Gesundheitsdaten, wenngleich diese auch
von besonderem Interesse für die Wissenschaft sind.
Dieses Problem wird von ErwG 33 aufgegriffen. Nach
diesem sollen Betroffene auch in die Verarbeitung ihrer
Daten in bestimmten Forschungsbereichen, also nicht
nur für einzelne Forschungsvorhaben, einwilligen können.
61 Voraussetzung hierfür ist die „Einhaltung anerkannter
ethischer Standards“ durch die Forschenden.62
Konkretisiert wird dies durch ErwG 33 S. 3, nach dem
auch eine Einwilligung in Teilprojekte eines Forschungsbereiches
möglich sein soll.
Danach gibt es gute Gründe, das Bestimmtheitserfordernis
im Rahmen wissenschaftlicher Forschung großzügiger
auszulegen. Es ist überzeugend, den einwilligenden
Personen, die Möglichkeit zuzugestehen, ihren Konsens
auf bestimmte Forschungsbereiche, wie z. B. die
Krebsforschung, zu erstecken. Daneben wird so auch
Forschenden eine praxistaugliche Verwendung der Einwilligung
ermöglicht, ohne die Betroffenen schutzlos zu
stellen.
So verstanden kann die Einwilligung des Betroffenen
im Bereich wissenschaftlicher Forschung eine sinnvolle
und auch praktikable Verarbeitungsgrundlage darstellen.
Da die Einwilligung als direkter Ausdruck des Rechts
auf Schutz der personenbezogenen Daten aus
Art. 8 GRCh eine Verarbeitung ohne Eingriff in das
Recht der Betroffenen ermöglicht (vgl. Art. 8
Abs. 2 GRCh), sollten Forschende stets zunächst prüfen,
ob eine Einwilligung als Verarbeitungsgrundlage für das
jeweilige Vorhaben vorliegt und hinreichend ist.
d) Einschränkung der Betroffenenrechte
Neben der Bevorzugung durch weitergehende Rechte im
Rahmen der Verarbeitung wird die Forschung auch
durch die Möglichkeit der Einschränkung der Betroffenenrechte
privilegiert. Art. 89 Abs. 2 DS-GVO enthält
eine unionsrechtliche Öffnungsklausel, die es den
Mitgliedsstaaten erlaubt, die Rechte der Betroffenen
zum Schutz ihrer Daten zum Zwecke der Forschung einzuschränken.
Dies ist dann zulässig, wenn die Geltendmachung
der Datenschutzrechte die Verwirklichung der
Forschungszwecke unmöglich machen oder erheblich
erschweren würde. Auf Basis der Öffnungsklausel können
Mitgliedsstaaten folgende vier Rechte beschränken:
das Auskunftsrecht der Betroffenen nach Art. 15 DSGVO,
das Recht auf Berichtigung aus Art. 16 DS-GVO,
das Recht auf Einschränkung der Verarbeitung nach
Art. 18 DS-GVO, das Recht auf Widerspruch aus
Art. 21 DS-GVO sowie die Mitteilungspflicht aus
Art. 19 DSGVO. Die Öffnungsklausel des
Art. 89 Abs. 2 DS-GVO wurde in Deutschland durch
§ 27 Abs. 2 BDSG sowie durch § 13 Abs. 4 LDSG BW
umgesetzt.
Beschränkbar ist weiter das Recht auf Datenübertragung
aus Art. 20 DS-GVO, wobei dieses bei der VerarBecker
· Wissenschaftsprivilegierung in der DS-GVO 1 0 9
63 Roßnagel (Fn. 5), 163.
64 Die Wissenschaftsfreiheit des Art. 13 GRCh umfasst die Freiheit
von Forschung und akademischer Lehre (Jarass in Jarass, Charta
der Grundrechte der Europäischen Union, 4. Auflage 2021,
Art. 13 GRCh, Rn. 7).
65 Weichert (Fn. 9), 19; Roßnagel (Fn. 5), 159.
66 Dies.
67 Vgl. Ruffert in Calliess/Ruffert EUV/AEUV, 6. Auflage 2022,
Art. 13 GRCh, Rn. 6.
68 Roßnagel (Fn. 5), 159; Jarass in Jarass, Charta der Grundrechte der
EU, 4. Auflage 2021, Art. 13 GRCh, Rn. 8.
69 Augsberg in von der Groeben/Schwarze/Hatje, Europäisches Unionsrecht, - Auflage 2015, Art. 13 GRC, Rn. 5.
70 Vgl. Sayers, in Peers/Hervey/Kenner/Ward, The EU Charter of
Fundamental Rights, 2014, Art. 13 GRC, Rn. 13, 41.
71 M.w.N.: Bernsdorff in: Meyer/Hölscheidt, Charta der Grundrechte
der Europäischen Union, 5. Auflage 2019, Art. 13 GRCh, Rn. 5.
72 Ders., Rn. 7.
73 Erläuterungen zur Charta der Grundrechte (2007/C 303/02); dort
heißt es zu Art. 13 GRCh: „Dieses Recht leitet sich in erster Linie
aus der Gedankenfreiheit und der Freiheit der Meinungsäußerung
ab“. Es ist insoweit zu beachten, dass die Erläuterungen nicht
rechtsverbindlich sind, aber eine der zentralen Rechtserkenntnisquellen
der Charta bildet; Scheuing, Zur Grundrechtsbindung der
Mitgliedsstaaten, EuR 2005, 162, 185.
74 Schwerdtfeger in Meyer/Hölscheidt, Charta der Grundrechte der
Europäischen Union, 5. Auflage 2019, Art. 51 GRCh, Rn. 66.
beitung von Daten im öffentlichen Interesse oder durch
öffentliche Gewalt ohnehin nicht anwendbar ist nach
Art. 20 Abs. 3 DS-GVO. Hierdurch ist dieses Recht bei
der Forschung durch öffentliche Stellen auch ohne die
Öffnungsklausel des Art. 89 Abs. 2 DS-GVO bereits von
Vornherein ausgeschlossen.63 Auch das Recht auf Löschung
aus Art. 17 Abs. 1 DS-GVO ist nicht anwendbar,
soweit die Verarbeitung zu Forschungszwecken erforderlich
ist nach Art. 17 Abs. 3 lit. d DS-GVO.
Diese weitreichenden Einschränkungen sind dabei
durch die Rückkopplung an strenge Bedingungen gut
vertretbar. Es ist dabei zu beachten, dass diese Einschränkungen
ohnehin nur die Rechte betreffen, die sich
nach dem Vorliegen einer legitimen Verarbeitungsgrundlage
seitens des Betroffenen ergeben. Das Erfordernis
der Verarbeitungsgrundlage wird durch sie nicht
berührt. Vorsicht ist indes bei der Auslegung des „unverhältnismäßigen
Aufwands“ geboten, der nach
§ 27 Abs. 2 BDSG bzw. § 13 Abs. 4 LDSG BW eine Einschränkung
des Auskunftsrechts begründet. Um dem
Sinn der Norm gerecht zu werden sollte dabei ein „unverhältnismäßiger
Aufwand“ nur in gut begründeten
Ausnahmefällen angenommen werden.
V. Die Wissenschaftsfreiheit
Die Forschungsprivilegierungen der DS-GVO, die oben
dargelegt wurden, sind am europäischen Grundrecht der
Wissenschaftsfreiheit aus Art. 13 GRCh zu messen.64
Dieses steht in einem Spannungsverhältnis zum Recht
auf Schutz der personenbezogenen Daten aus
Art. 8 GRCh und Art. 16 AEUV. Auch im Rahmen der
GRCh ist der Begriff der Forschung nicht definiert. Zum
Teil wird vor dem Hintergrund, dass Art. 13 GRCh als
maßgeblich durch Art. 5 Abs. 3 GG inspiriert gilt,65 die
Definition des BVerfG als Orientierungsmaßstab herangezogen.
66 Dies erscheint aber zweifelhaft, weil der
Grundrechtsschutz auf EU-Ebene sich an den Verfassungsüberlieferungen
aller Mitgliedstaaten orientiert
und die Stellung der Forschungsfreiheit in der Verfassung
des GG außergewöhnlich ist, sowohl im europäischen
Vergleich als auch mit Blick auf den Schutz durch
die EMRK.67 Nach wohl überwiegender Ansicht ist
sowohl die private als auch die öffentliche Forschung
vom Schutzbereich erfasst.68 Es besteht weiter – nach der
Literatur – keine Unterscheidung zwischen Grundlagenforschung
und angewandter Forschungstätigkeit.69
Neben der terminologischen Unschärfe des Forschungsbegriffs
hat sich bzgl. der Reichweite des Schutzbereiches
bisher kein umfassender Konsens in der Literatur
gebildet.70 Auch in der Rechtsprechung des Gerichtshofs
der Europäischen Union wurde die Wissenschaftsfreiheit
bisher nicht vertieft diskutiert.71 Einen
ersten Ansatzpunkt, um den Schutzbereich der Wissenschaftsfreiheit
zu skizzieren, bietet die historische Auslegung
von Art. 13 GRCh. Bei den Verhandlungen war die
Verankerung eines eigenständigen Wissenschaftsrechts
umstritten und Teile des Grundrechtekonvents sahen die
Wissenschaftsfreiheit, wie in den meisten Mitgliedstaaten
und der EMRK, als vom Recht auf Meinungsfreiheit
hinreichend geschützt an.72 Die Verbindung von Wissenschaftsfreiheit
und Meinungsfreiheit ist auch für die
Auslegung der finalen Fassung von Art. 13 GRCh erhalten
geblieben. Dies ergibt sich direkt aus den Erläuterungen
zu Art. 13 GRCh.73 Nach diesen sind die Einschränkungen,
die bei der Meinungsfreiheit aus Art. 10 EMRK
bestehen, auf die Wissenschaftsfreiheit anzuwenden.
Der Bezug zu Art. 10 EMRK macht deutlich, dass die
Wissenschaftsfreiheit, als Teil der in Art. 10 EMRK verbürgten
Meinungsfreiheit, den nach Art. 52 Abs. 3 GRCh
relevanten Mindestschutzgehalt von Art. 13 GRCh beinhaltet.
74 Nach Art. 52 Abs. 4 GRCh sind zudem Chartagrundrechte,
die sich aus den gemeinsamen Verfassungsüberlieferungen
der Mitgliedsstaaten ergeben, im
Einklang mit diesen auszulegen. Die Wissenschaftsfreiheit
ist aber nicht in allen Verfassungen der Mitglieds1
1 0 O R D N U N G D E R WI S S E N S C H A F T 2 ( 2 0 2 2 ) , 1 0 3 — 1 1 4
75 Keine Garantie der Wissenschaftsfreiheit beinhalten die Verfassungen
von Dänemark, Irland, Malta, Schweden und den Niederlanden.
76 Jarass in: Jarass, Charta der Grundrechte der EU, 4. Auflage 2021,
Art. 52 GRCh, Rn. 67.
77 Kritisch zur Übertragung der Wertungen des Art. 5 Abs. 3 GG
auch: Ruffert (Fn. 67), Rn. 6.
78 Bernsdorff (Fn. 71), Rn. 15.
79 Buchner/Tinnefeld in Kühling/Buchner (Hrsg), DS-GVO-BDSGTTDSG, - Auflage 2020, § 27 BDSG, Rn. 8; Mester in Taeger/Gabel
(Hrsg), DSGVO BDSunG, 3. Auflage 2019 Art. 9 DS-GVO, Rn. 1.
80 Ibid.
81 Ibid.
82 Auch die englische („Paragraph 1 shall not apply if one of the following
applies“), spanische („El apartado 1 no será de aplicación
cuando concurra una de las circunstancias siguientes“) und französische
Sprachfassung („Le paragraphe 1 ne s‘applique pas si l‘une
des conditions suivantes est remplie“) sprechen nicht von einer
Verarbeitungsgrundlage, sondern nur vom Entfall des Verbots aus
Art. 9 Abs. 1 DS-GVO.
83 Pauly in Paal/Pauly (Hrsg), Datenschutz‑, Bundesdatenschutzgesetz, - Auflage 2021, § 27 BDSG, Rn 2.
84 Vgl. Schiff in Ehmann/Selmayr (Hrsg), Datenschutz-Grundverordnung,
2017, Art. 9 DS-GVO, Rn. 32.
85 BT-Drs. 18/11325, 99.
staaten enthalten.75 Dies ist für die Annahme einer gemeinsamen
Tradition zwar nicht erforderlich,76 lässt in
Verbindung mit den Verhandlungen dennoch darauf
schließen, dass der Schutzumfang von Art. 13 GRCh
nicht dem hohen Schutzniveau des Vorbilds aus
Art. 5 Abs. 3 GG entspricht.77 Ob Art. 13 GRCh neben einer
abwehrrechtlichen auch eine organisationsrechtliche
Dimension zukommt, ist zudem nicht abschließend geklärt.
78 Die Freiheitsgarantie der Forschungsfreiheit ist
durch eine Beschränkung der freien Datennutzung
durch Forschende jedenfalls betroffen, soweit Forschende
nicht in vollem Umfang die für ihre Forschung nötigen
Daten erheben können oder bei dem Erhebungsprozess
eingeschränkt sind.
VI. Das Forschungsprivileg nach Art. 9 Abs. 2 lit. j
DS-GVO und seine nationale Umsetzung
Eine zentrale Möglichkeit von Forschenden, Daten auch
ohne Einwilligung der betroffenen Personen zu erheben,
bildet die Ausnahmevorschrift des Art. 9 Abs. 2 lit. j DSGVO.
Die Vorschrift stellt dies unter die Voraussetzung
einer Abwägung der Interessen der Forschenden und des
Betroffenen. Die Verarbeitung ist dabei legitim, soweit
die Verarbeitung für die Forschungszwecke erforderlich
ist, das Forschungsziel in angemessenen Verhältnis zum
Datenschutz der betroffenen Person steht und geeignete
Garantien nach Art. 89 Abs. 1 DS-GVO getroffen werden. - Die Konstruktion von Art. 9 Abs. 2 lit. j DS-GVO
Die Nutzung besonderer Kategorien von Daten nach
Art. 9 Abs. 1 DS-GVO ist als Verbot mit Erlaubnisvorbehalt
ausgestaltet. Uneinigkeit besteht in der Frage, ob die
in Art. 9 Abs. 2 DSGVO benannten Ausnahmen, wie die
Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO oder die
Forschungsausnahme aus Art. 9 Abs. 2 lit. j DSGVO,
eine selbstständige Verarbeitungsgrundlage darstellen
oder ob kumulativ eine der Verarbeitungsgrundlagen
aus Art. 6 Abs. 1 Uabs. 1 DSGVO, also bspw. eine Einwilligung
nach Art. 6 Abs. 1 lit. a DS-GVO oder die Notwendigkeit
der Verarbeitung für die Wahrung lebenswichtiger
Interessen für die betroffene Person nach Art.
6 Abs. 1 Uabs. 1 lit. d, vorliegen muss. Für eine eigenständige
Verarbeitungsgrundlage wird vorgebracht, dass die
in Art. 9 Abs. 2 DS-GVO benannten Voraussetzungen
alle Elemente einer Verarbeitungsgrundlage enthalten.79
Weiter seien die in Art. 9 Abs. 2 DS-GVO gefassten Ausnahmen
enger als die in Art. 6 Abs. 1 DS-GVO benannten
Verarbeitungsgrundlagen.80 Das Erfordernis einer
kumulativen Verarbeitungsgrundlage aus
Art. 6 Abs. 1 DSGVO würde somit zur reinen Formalität
verkommen.81
Gegen diese Ansicht spricht zunächst der Wortlaut
von Art. 9 Abs. 2 DS-GVO: Demnach führt das Vorliegen
einer der Verarbeitungsvoraussetzungen nur dazu,
dass das generelle Verarbeitungsverbot aus Art. 9 Abs.
1 DS-GVO nicht gilt.82 Daraus ergibt sich noch keine
Schutzlosigkeit der Daten, sondern vielmehr sind diese
wie personenbezogene Daten zu behandeln.83 Dennoch
werden im Regelfall bei Vorliegen der Voraussetzungen
von Art. 9 Abs. 2 lit. j DS-GVO auch die Voraussetzungen
der Verarbeitungsgrundlage aus Art. 6
Abs. 1 Uabs. 1 lit. f DS-GVO miterfüllt sein. Die Überlagerung
von Art. 6 DS-GVO durch Art. 9 DS-GVO steht
dabei der Annahme einer parallelen Wirkung nicht entgegen,
wenngleich das Bedürfnis einer doppelten Prüfung
beider Tatbestände entfällt.84 Eine doppelte Prüfung
ist aufgrund der höheren Anforderungen von
Art. 9 Abs. 2 lit. j DSGVO gegenüber
Art. 6 Abs. 1 Uabs. 1 DS-GVO obsolet.
Vom Erfordernis einer parallel notwendigen Verarbeitungsgrundlage
aus Art. 6 Abs. 1 DS-GVO ist ausweichlich
der Gesetzesbegründung zu § 27 BDSG auch
der Bund beim Erlass des BDSG ausgegangen.85 Der bei
Art. 9 Abs. 2 lit. j DS-GVO bestehenden Öffnungsklausel
wurde durch § 27 Abs. 1 BDSG Rechnung getragen.
§ 27 Abs. 1 BDSG beinhaltet dabei – im Gegensatz zu
Art. 9 Abs. 1 DS-GVO – die Wertung, dass das Recht der
Betroffenen auf Schutz ihrer personenbezogenen Daten
bevorzugt wird. So muss nach § 27 Abs. 1 BDSG das
Verarbeitungsinteresse des Verantwortlichen das der
Becker · Wissenschaftsprivilegierung in der DS-GVO 1 1 1
86 BVerfG, Beschluss vom 6.11.2019 – 1 BvR 16/13, NJW 2020, 300.
87 BVerfG, Beschluss vom 6.11.2019 – 1 BvR 276/17, NJW 2020, 314.
88 BVerfG (Fn. 86), Rn. 44; BVerfG (Fn. 87). Rn. 43 ff.
89 Ibid.
90 Kühling, Das „Recht auf Vergessenwerden“ vor dem BVerfG –
November®evolution für die Grundrechtsarchitektur im Mehrebenensystem,
NJW 2020, 275, 279.
91 Ders., 277.
92 BVerfG (Fn. 87), Rn. 42.
93 BVerfG (Fn. 87), Rn. 78.
betroffenen Personen „erheblich überwiegen“. Im
Rahmen der für Hochschulen in Baden-Württemberg
relevanten Regelung des § 13 Abs. 1 LDSG BW ist
demgegenüber bereits ein „Überwiegen“ ausreichend,
während bei Art. 9 Abs. 2 lit. j DS-GVO bereits ein
„angemessenes Verhältnis“ der gegenüberstehenden
Interessen von Verantwortlichem und Betroffenem
ausreicht. Die Vorschrift des Art. 9 Abs. 2 lit. j DSGVO
und ihre Umsetzungen beinhalten mithin eine Möglichkeit
für Forschende, personenbezogene Daten zu verarbeiten,
ohne die Betroffenen unangemessen zu
benachteiligen. - Grundrechtlicher Maßstab im Lichte der BVerfGRechtsprechung
„Recht auf Vergessen I“ und
„Recht auf Vergessen II“
Die Vorschriften des Art. 9 Abs. 2 lit. j DS-GVO sowie
des § 27 BDSG und des § 13 Abs. 1 LDSG kodifizieren
eine Abwägung zwischen dem Recht des Betroffenen auf
Schutz seiner personenbezogenen Daten einerseits und
dem Recht der Forschenden auf Nutzung dieser zu Forschungszwecken
andererseits. In diesem Zusammenhang
ist zunächst zu untersuchen, ob hierbei auf die Unionsgrundrechte
oder auf die Grundrechte des GG abzustellen
ist. Das Verhältnis von Unionsgrundrechten und
nationalen Grundrechten wurde durch die Beschlüsse
des BVerfG zu „Recht auf Vergessen I“86 und „Recht auf
Vergessen II“87 neu geordnet. Hiernach ist bei der Auslegung
von Vorschriften, die Unionsrecht umsetzen oder
auf unionsrechtlichen Öffnungsklauseln beruhen, entscheidend,
ob sich die Vorschrift in einem vollständig
durch das Unionsrecht determinierten Bereich des
Rechts befindet.88 Hiernach richtet es sich, ob die nationalen
Grundrechte oder die der Grundrechtecharta
Anwendung finden.89
Soweit es sich um einen nicht vollständig determinierten
Bereich handelt, sind dem Grunde nach sowohl die
Grundrechte der Charta als auch die Grundrechte des
GG anwendbar.90 Dabei gilt die widerlegbare Vermutung,
dass die Chartagrundrechte durch die Grundrechte
des GG mitgewährleistet sind.91 Die Grundrechtecharta
bildet damit im Bereich der Regelungen der LDSGe
und des BDSG das Mindestmaß an Schutz für die
Grundrechte der betroffenen Personen. In der Praxis
wird dies aufgrund des hohen Schutzniveaus der Wissenschaftsfreiheit
aus Art. 5 Abs. 3 GG sowie des Rechts
auf informationelle Selbstbestimmung aus
Art. 2 Abs. 1 GG i. V. m. Art. 1 Abs. 1 GG nur in seltenen
Fällen relevant werden.
Liegt dagegen eine Vorschrift vor, welche durch das
Unionsrecht vollständig determiniert ist, sind allein die
Chartagrundrechte Maßstab der Grundrechtsprüfung.92
Es ist somit zunächst abzugrenzen, ob sich die Regelungen
des § 27 Abs. 2 BSDG und des § 13 Abs. 1 LDSG BW
im vollständig durch das Unionsrecht determinierten
Bereich befinden. Entscheidend ist insoweit, dass die
Öffnungsklausel des Art. 9 Abs. 2 lit. j DS-GVO einen
hinreichenden Spielraum für die Anwendung nationaler
Grundrechte belässt. Aus der Tatsache, dass bei der DSGVO
die Rechtsform der Verordnung gewählt wurde,
kann nicht geschlossen werden, dass es sich zwangsläufig
um einen Bereich des vollständig durch das Unionsrecht
determinierten Rechts handelt.93 In Anbetracht
der sehr weiten Handlungsspielräume, die die DS-GVO
den Mitgliedsstaaten im Rahmen der Forschung durch
öffentliche Stellen überlässt, ist dahingehend ein nicht
vollständig determinierter Bereich anzunehmen. Mithin
ist bei § 13 Abs. 1 LDSG BW, sowie anderen die Forschung
durch öffentliche Stellen betreffenden landesrechtlichen
Regelungen, primär auf die nationalen
Grundrechte abzustellen. In Unterscheidung zu
§ 27 Abs. 1 BDSG kann § 13 Abs. 1 LDSG BW aufgrund
der Öffnungsklauseln des Art. 6 Abs. 2 und 3 DS-GVO
zudem als selbstständige Verarbeitungsgrundlage angesehen
werden. Gegenüber der privaten Forschung besteht
für die Mitgliedsstaaten hierbei nämlich die Möglichkeit,
auch im Rahmen von Art. 6 Abs. 1 DS-GVO eigene
Regelungen zu erlassen.
Demgegenüber ist den Mitgliedsstaaten hinsichtlich
der Regulierung privater Forschung ein kleinerer Handlungsspielraum
belassen worden, da für diese die Öffnungsklauseln
des Art. 6 Abs. 2 und 3 DS-GVO gerade
keine Anwendung finden. Es ist insoweit fraglich, ob
dieser Handlungsspielraum für die Annahme eines nicht
vollständig determinierten Bereiches dennoch ausreicht.
Dagegen spricht, dass Art. 9 Abs. 2 lit. j DS-GVO nach
der hier vertretenen Ansicht gerade keine selbstständige
Verarbeitungsgrundlage ist und auch nicht zum Erlass
einer solchen durch die Mitgliedsstaaten berechtigt. Es
könnte daher angenommen werden, dass der notwendige
Rückgriff auf die Verarbeitungsgrundlagen des
Art. 6 DS-GVO keinen Platz für die Anwendung natio1
1 2 O R D N U N G D E R WI S S E N S C H A F T 2 ( 2 0 2 2 ) , 1 0 3 — 1 1 4
94 Vgl. Pauly (Fn. 83), Rn 2
95 BVerfG (Fn. 87).
96 Weichert (Fn. 40), Rn. 48.
97 Der Schutz der Umwelt ist zwar kein Grundrecht, wird aber als
Staatszielbestimmung in Art. 20a GG benannt. Der Umweltschutz
ist damit bei Abwägungsentscheidungen zu berücksichtigen und
kann auch als Rechtfertigung bei Grundrechtseingriffen herangezogen
werden. Siehe hierzu: Huster/Rux in Epping/Hillgruber,
BeckOK Grundgesetz, 48. Edition 2021, Art. 20a GG, Rn. 7f.
Der Schutz der Umwelt im Sinne des Klimaschutzes hat zudem
eine freiheitsrechtliche Dimension, die das BVerfG in seinem
Klimaurteil herausgearbeitet hat, BVerfG, Klimabeschluss vom
24.3.2021 – 1 BvR 2656/18, 1 BvR 78/20, 1 BvR 96/20, 1 BvR 288/20,
NJW 2021, 1723.
98 Buchner/Tinnefeld (Fn. 79), Rn. 12.
99 Ibid.
100 Siehe Fn 97.
101 Martini, Blackbox Algorithmus – Grundfragen einer Regulierung
Künstlicher Intelligenz, 2019, 333 ff.
102 Specht-Riemenschneider/Wagner, KI kann kontrolliert werden,
wenn der Staat nur will, FAZ Einspruch vom 23.11.2021, abrufbar
unter: https://www.faz.net/-irg-aia5h (zuletzt abgerufen am:
2.12.2021)
naler Grundrechte belässt. Hiergegen spricht jedoch,
dass eine Öffnungsklausel im Rahmen einer Vorschrift,
deren Kern eine Abwägung bildet, auch für die Anwendung
nationaler Grundrechte offen sein sollte. Andernfalls
würde eine mitgliedsstaatliche Ausgestaltung nur
kosmetischer Natur sein. Dass die kumulativ notwendige
Verarbeitungsgrundlage aus Art. 6 DS-GVO dabei im
Bereich der privaten Forschung in Ermangelung einer
entsprechenden Öffnungsklausel an den Chartagrundrechten
zu messen ist, steht einer Anwendung der nationalen
Grundrechte bei der Umsetzungsregel nicht entgegen.
Dies gilt insbesondere, da die Verarbeitungsgrundlage
des Art. 6 Abs. 1 Uabs. 1 lit. f DS-GVO bereits in
Art. 9 Abs. 2 lit. j DS-GVO inkorporiert ist.94 Soweit der
Mindeststandard der Unionsgrundrechte dabei nicht
unterschritten wird, steht die Notwendigkeit einer Verarbeitungsgrundlage
aus Art. 6 DS-GVO der Anwendung
nationaler Grundrechte nicht entgegen. Dies entspricht
auch dem vom BVerfG vertretenen Verhältnis
von GG und GRCh im nicht vollständig-determinierten
Bereich.95 Auch § 27 Abs. 1 BDSG ist mithin an den nationalen
Grundrechten des GG zu messen, ebenso wie
§ 13 Abs. 1 LDSG BW. Private Forschung richtet sich dabei
nach der Regelung des § 27 Abs. 1 BDSG. Die Norm
unterscheidet dabei nicht zwischen privater und öffentlicher
Forschung, soweit die private Forschung den oben
beschriebenen Kriterien entspricht. Im Rahmen privater
Forschungsvorhaben ist aber kritisch zu hinterfragen, ob
die Interessen der Forschenden in diesen Fällen erheblich
die der Betroffenen überwiegen. Soweit sich die Forschungsinteressen
nur auf die Steigerung der Profite des
Unternehmens richtet, kann dies ausgeschlossen
werden. - Schlussfolgerungen für die Auslegung
Dem Charakter der Normen als Ausnahmevorschriften
folgend, sind § 27 Abs. 1 BDSG und § 13 Abs. 1 LDSG
zunächst eng auszulegen.96 Dies wird bei
§ 27 Abs. 1 BDSG noch durch den Wortlaut der Norm
verstärkt, die, wie oben zitiert, ein „erhebliches Überwiegen“
des Interesses am Forschungsvorhaben fordert.
Hierbei ist zugunsten des Forschungsvorhabens jedoch
nicht allein auf die Rechte des Forschenden zu rekurrieren.
Vielmehr sind auch die Ziele des Forschungsvorhabens
als solche, wie beispielsweise hochrangige Gemeinwohlzwecke
wie der Schutz der Gesundheit oder der
Umwelt,97 in den Blick zu nehmen. Soweit ein Forschungsvorhaben
auch den Schutz oder die Förderung
anderer Interessen und Grundrechte für sich geltend
machen kann, können diese zu einem „erheblichen
Überwiegen“ i. S. d. § 27 Abs. 1 BDSG beitragen. Anwendungsfälle,
in denen ein erhebliches Überwiegen regelmäßig
vorliegt, sind Forschungsvorhaben, die beispielsweise
erhebliche Vorteile für die Gesundheit der Bevölkerung
mit sich bringen.98 Gleiches gilt für
Forschungsvorhaben, die der sozialen Sicherung99 oder
dem Umweltschutz100 erheblich dienen.
Auch im Rahmen der Forschung zur Bekämpfung
der Covid-19-Pandemie ist ein Abstellen auf
§ 27 Abs. 1 BDSG i. V. m. Art. 6 Abs. 1 Uabs. 1 lit. f DSGVO
möglich. Forschungsvorhaben in diesem Bereich
können zunächst erhebliche Vorteile für die öffentliche
Gesundheit und die öffentliche Gesundheitsversorgung
mit sich bringen. Daneben können sie auch dem Schutz
der Fortbewegungsfreiheit dienen, indem sie
Kontaktbeschränkungsmaßnahmen und Lockdowns
verhindern. Die Forschungsvorhaben greifen damit,
wenn sie nicht anonymisierte Personendaten nutzen,
zwar in das Grundrecht auf informationelle
Selbstbestimmung ein, können aber für sich u. a. den
Schutz der körperlichen Unversehrtheit nach
Art. 2 Abs. 2 S. 1 GG und der Fortbewegungsfreiheit
nach Art. 2 Abs. 2 S. 1 GG für sich geltend machen.
Ein weiterer Anwendungsbereich für das Forschungsprivileg
ergibt sich im Rahmen der Forschung
zur Kontrolle von KI. KI bildet eine Schlüsseltechnologie
des 21. Jahrhunderts. Ein diskriminierungsfreier Einsatz
dieser Technologien kann dabei, nach einer vordringenden
Ansicht, nur bei hinreichender Erklärbarkeit und
Transparenz des KI-Systems erreicht werden.101 Dementsprechend
ist auch die Forschung an der Verwirklichung
von Transparenz und Erklärbarkeit von besonderer
gesellschaftlicher Bedeutung.102 Die Forschung anhand
personenbezogener Daten erfordert dabei zwar,
Becker · Wissenschaftsprivilegierung in der DS-GVO 1 1 3
wenn keine Einwilligung vorliegt, einen Eingriff in das
Recht auf informationelle Selbstbestimmung, dient aber
auch dessen Schutz beim zukünftigen Einsatz von künstlicher
Intelligenz. Die Ausnahmevorschriften, die auf
Basis des Art. 9 Abs. 2 lit. j DS-GVO ergangen sind,
finden somit auf die Forschung in diesem Bereich
Anwendung. Dies gilt auch bei der landesrechtlichen
Vorschrift des § 13 LDSG BW, wobei bei diesem bereits
ein einfaches Überwiegen der Forschungsinteressen ausreicht.
Die Anknüpfung an das Forschungsvorhaben ist
dabei sowohl bei privat als auch bei öffentlich finanzierter
Forschung zu beachten. Wenngleich die DS-GVO
auch privat finanzierte Forschung grundsätzlich privilegiert,
so ist im Rahmen derselben dennoch kritisch zu
prüfen, ob die Forschungsinteressen erheblich überwiegen.
Dies kann insbesondere dann ausgeschlossen werden,
wenn Forschungsvorhaben dem öffentlichen Interesse
sogar entgegenstehen.103
VII. Fazit
Die DS-GVO weist grundsätzlich eine ausgewogene
Balance zwischen den Interessen wissenschaftlicher Forschung
und den Interessen Betroffener am Schutz ihrer
personenbezogenen Daten auf. Dies ist der Fall, da sie
die Privilegierung der Forschung stets an die Notwendigkeit
der Verarbeitung für den Forschungszweck sowie
an die Angemessenheit gegenüber den Interessen der
Betroffen bindet.
Insgesamt wird den Mitgliedsstaaten durch die DSGVO
zwar einerseits ein umfangreicher regulatorischer
Spielraum eingeräumt, jedoch nicht ohne diese andererseits
auf den Mindeststandard zu verpflichten: Bei der
Verarbeitung personenbezogener Daten sollten Forschende
zunächst stets prüfen, ob die vorgesehene Verarbeitung
auch mit anonymisierten Daten erfolgen kann.
Dies ist vorzugswürdig, da die Verarbeitung so ohne
Eingriff in das Recht auf Schutz der personenbezogenen
Daten erfolgen kann. Auch ist die Einholung der Einwilligung
durch den Betroffenen, soweit sie für das gegebene
Forschungsvorhaben möglich ist, grundsätzlich vorzugswürdig,
um die Rechte Betroffener zu wahren.
Soweit eine Einwilligung nicht erfolgen kann oder
für das jeweilige Forschungsvorhaben nicht praktikabel
ist, können Forschende – abhängig davon, für wen sie tätig
werden – ihre Forschungsvorhaben auf
§ 27 Abs. 1 BDSG oder auf die jeweilige landesrechtliche
Vorschrift i. V. m. Art. 6 Abs. 1 DSGVO stützen. Hier ist
eine Auslegung der Vorschriften im Lichte des GG zwar
erforderlich, aber auch ausreichend. Danach ist die Nutzung
personenbezogener Daten für die Forschung selbst
ohne Einwilligung insbesondere bei solchen Forschungen
verfassungskonform und unionsrechtskonform
möglich, die auch dem Schutz anderer grundrechtsrelevanter
Interessen oder Gemeinwohlziele, wie dem Schutz
der Gesundheit der Bevölkerung oder der Umwelt dienen.
Wird dagegen von privaten Akteuren nur im Eigeninteresse
geforscht, wie im Falle der Forschung zu Marketingzwecken,
kann jedenfalls nicht auf das Forschungsprivileg
abgestellt werden. Bei dieser sind Forschende
auf die Einwilligung der betroffenen Personen
angewiesen.
Der Autor ist akademischer Mitarbeiter am Institut für
öffentliches Recht (Abt II: Völkerrecht, Rechtsvergleichung)
der Albert-Ludwigs-Universität Freiburg. Er ist
dort tätig im Teilprojekt „Legal Provisions for Access
and Use of Health-Related Data for Research Purposes“
(Sprecherin: Prof. Dr. Silja Vöneky) des BMBF Projektes
„Data Access and Data Use in Health Settings“
(Sprecher: PD Dr. Joachim Boldt). Er promoviert bei
Prof. Dr. Silja Vöneky zum Thema „Die Verarbeitung
von Daten durch Consumer Health Applikationen und
Wearables zu Forschungszwecken: Eine datenschutzrechtliche
und wissenschaftsrechtliche Betrachtung“.
103 Ein Beispiel für ein solches Forschungsvorhaben kann die Marketing-
Forschung von Cambridge Analytica zur Beeinflussung von
Wahlen sein (siehe hierzu: Kolb, Die schmierigen Geschäfte von
Cambridge Analytica, SZ Online vom 23.3.18. https://www.sueddeutsche.
de/politik/datenmissbrauch-bei-facebook-die-schmierigen-
geschaefte-von-cambridge-analytica‑1.3915057, zuletzt abgerufen
am 2.12.21).
1 1 4 O R D N U N G D E R WI S S E N S C H A F T 2 ( 2 0 2 2 ) , 1 0 3 — 1 1 4