Source: https://www.juwiss.de/45-2020/
Timestamp: 2020-07-02 21:40:28
Document Index: 282622910

Matched Legal Cases: ['Art. 2', 'Art. 9', 'Art. 14', 'Art. 17', '§ 27', 'Art. 6', 'Art. 4', 'Art. 9', '§ 27', '§ 27', 'Art. 5', 'Art. 5', 'Art. 5', 'Art. 89', 'Art. 89', 'Art. 9']

Im Dienste der Wissenschaft – Das Forschungsprivileg der DSGVO › JuWissBlog
Recht digital, Recht dogmatisch, Recht europäisch
von TRISTAN RADTKE
Die Wissenschaft forscht mit Hochdruck an Impfstoffen, Medikamenten und beginnt mit Tests; das Bewegungsverhalten der Bevölkerung soll mit der Nutzung von Standortdaten der Mobilfunk-Nutzer untersucht werden. Datenschutzrechtlich könnten diese Maßnahmen als Verarbeitungen zu Forschungszwecken diverse Privilegien erfahren. In Zeiten von Sars-CoV-2 und COVID-19 stellt sich daher die Frage: Wie weit reicht das datenschutzrechtliche Forschungsprivileg nach der Datenschutzgrundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG)?
Maßnahmen wie die Forschung an Impfstoffen und Medikamenten, Studien und Tests sowie die Analyse von Bewegungsdaten erfordern die Verarbeitungen von Daten, die Rückschlüsse auf natürliche Personen zulassen. Damit sind diese Vorgänge von datenschutzrechtlicher Relevanz (Art. 2, 4 Nr. 1, 2 DSGVO) und die Zulässigkeit richtet sich insbesondere nach der DSGVO. Es ist für die Anwendbarkeit des Datenschutzrechts ohne Bedeutung, dass es sich um Tätigkeiten im Zusammenhang mit wissenschaftlicher Forschung handelt (vgl. Erwägungsgrund 159 S. 1 DSGVO). Das Forschungsprivileg wirkt sich jedoch an anderen Stellen aus, namentlich bei der Rechtmäßigkeit und Zweckbindung, im Hinblick auf die Betroffenen-Rechte und die Zulässigkeit von Drittstaaten-Übermittlungen.
Begriff der wissenschaftlichen Forschung
Entscheidend für die Reichweite des Privilegs ist zunächst, welche Tätigkeiten der Begriff der wissenschaftlichen Forschung umfasst. Die DSGVO selbst definiert den Begriff nicht. Nach dem deutschen Begriffsverständnis des Bundesministeriums für Forschung (S. 4) und des Bundesverfassungsgerichts (Rn. 129) kann unter Forschung eine „geistige Tätigkeit mit dem Ziel […], in methodischer, systematischer und nachprüfbarer Weise neue Erkenntnisse zu gewinnen“ verstanden werden. Dieses Begriffsverständnis liegt auch der DSGVO zugrunde. Im Einklang dazu nennt Erwägungsgrund 159 S. 2 DSGVO als Beispiele für den weit auszulegenden Begriff „die technologische Entwicklung und die Demonstration, die Grundlagenforschung, die angewandte Forschung und die privat finanzierte Forschung“. Daraus ergibt sich zweierlei: Zum einen ist wissenschaftliche Forschung unabhängig von der Finanzierungsform. Zum anderen ist sie nicht auf einzelne Felder wie den Gesundheitsbereich, die Sozial- oder Rechtswissenschaft beschränkt.
In der Gesundheitsforschung und etwa im Rahmen von Studien werden die Daten der Probanden, womöglich verknüpft mit im Laufe der Studie aufgetretenen Symptomen und gewonnenen Erkenntnissen, verarbeitet. Diese Verarbeitungen im Rahmen von Studien etwa zur Wirksamkeit von Medikamenten und Impfstoffen im Zusammenhang mit Pandemien wie COVID-19 / Corona unterfallen nach Erwägungsgrund 159 S. 4 DSGVO ausdrücklich dem wissenschaftlichen Forschungsprivileg.
Daneben ist auch die angewandte Forschung zu Faktoren, die die Verbreitung einer Pandemie begünstigen oder hemmen, umfasst. Diese ist schließlich auf einen (langfristigen) Erkenntnisgewinn auf der Basis systematischer Untersuchungen gerichtet.
Die Grenzen zu anderen Zwecken, wie dem der öffentlichen Gesundheit und der Gesundheit des Einzelnen (vgl. Art. 9 Abs. 2 lit. h, iDSGVO), können im Einzelfall jedoch fließend sein. Bereits außerhalb von Pandemie-Zeiten haben Studien idealiter den Nebeneffekt, die Gesundheit Einzelner zu fördern. Sobald Impfstoffe und Medikamente unter der Prämisse möglicher Wirksamkeit eingesetzt werden und der Einsatz systematisch dokumentiert wird, um zum einen die Wirksamkeit weiter zu erforschen und zum anderen unmittelbar den Gesundheitszustand des Einzelnen zu verbessern und die Ausbreitung der COVID-19-Pandemie zu bremsen, treffen diese Zwecke aufeinander. Die eigentlichen Datenverarbeitungen zur Dokumentation der Wirkungen und Nebenwirkungen sind jedoch vor allem notwendig, um einen Erkenntnisgewinn im Hinblick auf die Wirksamkeit des Medikaments oder Impfstoffs zu erhalten – und nicht um die Gesundheit aller oder Einzelner zu fördern. Daher können auch Verarbeitungen im Rahmen solcher Studien vom Privileg wissenschaftlicher Forschung erfasst sein.
Ein Grenzfall ist auch die Überprüfung der Wirksamkeit politischer Maßnahmen – etwa der Empfehlungen, soziale Kontakte zu reduzieren. Damit zusammenhängende Verarbeitungsvorgänge können noch dem langfristigen Erkenntnisgewinn im Zusammenhang mit der Pandemie dienen. Soweit gezielt einzelne Betroffene z.B. als potenziell Infizierte identifiziert werden sollen, greift das Privileg wissenschaftlicher Forschung hingegen nicht mehr (vgl. Erwägungsgrund 159 S. 6 DSGVO), was gleichwohl der Möglichkeit einer datenschutzrechtlich-konformen Realisierung entsprechender Maßnahmen nicht im Wege stehen muss.
Reichweite des Privilegs
Neben Einschränkungen der Betroffenen-Rechte (Art. 14 Abs. 5 lit. b a.E., Art. 17 Abs. 3 lit. d DSGVO und § 27 Abs. 2 BDSG) und ggf. erleichterten Übermittlungen an Nicht-EWR-Länder (Erwägungsgrund 113 S. 4 DSGVO) wirkt sich das Privileg vor allem an anderer Stelle aus.
Sämtliche Verarbeitungen personenbezogener Daten unterfallen dem Verbot mit Erlaubnisvorbehalt (Art. 6 DSGVO), bedürfen also eines Erlaubnistatbestands wie der Einwilligung, einer rechtlichen Verpflichtung oder eines gewichtigen berechtigten Interesses des Verantwortlichen oder eines Dritten. Da im Rahmen der Gesundheitsforschung regelmäßig sensible Informationen über den Gesundheitszustand (Gesundheitsdaten, Art. 4 Nr. 15 DSGVO) verarbeitet werden, etwa Symptome im Rahmen einer Studie, sind erhöhte Anforderungen nach Art. 9 DSGVO zu beachten.
Dabei kommt das Forschungsprivileg den Verantwortlichen gleich mehrfach entgegen: Zum einen darf sich die Einwilligung auch auf Forschungsbereiche statt auf einen konkreten Zweck beziehen (Erwägungsgrund 33 DSGVO). Damit können beispielsweise personenbezogene Daten aus Studien mit ähnlichen Erregern ggf. auch für COVID-19-Forschung herangezogen werden – und umgekehrt. Statt der Einwilligung kann auch § 27 Abs. 1, 3 BDSG als Ausprägung einer DSGVO-Öffnungsklausel in Betracht kommen, wobei regelmäßig die Anonymisierung und Pseudonymisierung notwendig ist (vgl. § 27 Abs. 3 BDSG) – man denke etwa an die anonyme Auswertung von Fallzahlen durch das Robert-Koch-Institut, um die Entwicklung einer Pandemie nachvollziehen zu können.
Zum anderen wird die Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO) erheblich erweitert: Der einmal festgelegte Zweck einer Verarbeitung bindet den Verantwortlichen grundsätzlich bei nachfolgenden Verarbeitungen dieser personenbezogenen Daten. Aufgrund dieser Erweiterung erfasst der festgelegte Zweck stets auch die Verwendung für wissenschaftliche Forschungszwecke (Art. 5 Abs. 1 lit. b, Erwägungsgrund 50 S. 4 DSGVO; klarstellend Art. 5 Abs. 1 lit. e Hs. 2 DSGVO). Eine Weiterverarbeitung bereits erhobener Daten durch den gleichen Verantwortlichen – z.B. für Statistiken über die Häufung von Corona-Suchanfragen in bestimmten Gebieten durch Internet-Suchmaschinen – ist damit auch zu wissenschaftlichen Forschungszwecken möglich. Die einzige und entscheidende Einschränkung ist das Vorsehen geeigneter Garantien zum Schutz betroffener Personen nach Art. 89 Abs. 1 DSGVO. Letztlich wird insoweit das Verbot mit Erlaubnisvorbehalt faktisch auf die erstmalige Erlangung durch einen Verantwortlichen (regelmäßig die Erhebung) beschränkt, während für die weiteren Verarbeitungen – zu Forschungszwecken – nur ein Gebot zu besonderen technischen und organisatorischen Maßnahmen besteht. Zu den notwendigen technischen und organisatorischen Maßnahmen zählt regelmäßig eine Pseudonymisierung. Das Anlegen umfangreicher Bewegungsprofile für Erkenntnisse über den Pandemie-Verlauf und die massenhafte Auswertung von nicht-anonymisierten Krankheitsverläufen für Forschungszwecke wäre hingegen regelmäßig als Verstoß gegen den Grundsatz der Datenminimierung unzulässig (vgl. auch Art. 89 Abs. 1 S. 2 DSGVO).
Die wissenschaftliche Forschung ist, auch in Zeiten von COVID-19, unter der DSGVO weitgehend privilegiert und erleichtert neben Studien auch die Aggregation von Daten, um Erkenntnisse über die Ausbreitung einer Pandemie gewinnen zu können. Die Kehrseite des Privilegs sind jedoch erhöhte Anforderungen an die Umsetzung technischer und organisatorischer Maßnahmen wie die – regelmäßig notwendige – Pseudonymisierung und Anonymisierung.
Zitiervorschlag: Tristan Radtke, Im Dienste der Wissenschaft – Das Forschungsprivileg der DSGVO, JuWissBlog Nr. 45/2020 v. 01.04.2020, https://www.juwiss.de/45-2020/
BDSG, COVID-19, Datenschutz, DSGVO, Forschungsprivileg, Standort-Daten, Tristan Radtke
2. April 2020 16:39
Auf einen weiteren interessanten Aspekt in der aktuellen datenschutzrechtlichen Diskussion rund um die mögliche Corona-App gehe ich zusammen mit einem Kollegen in einem Blog-Beitrag ein: https://www.linkedin.com/pulse/die-digitale-europ%25C3%25A4ische-antwort-auf-corona-zusammen-mit-radtke/
Die App ist ein gutes Beispiel für Maßnahmen, die wohl – abhängig von der konkreten Ausgestaltung – nicht mehr unter das Forschungsprivileg fallen würden. Bei dem Einsatz einer solchen App zur Eindämmung von Corona / COVID-19 würde nicht mehr der nachhaltige Erkenntnisgewinn im Sinne der wissenschaftlichen Forschungsfreiheit im Vordergrund stehen, sondern der Gesundheitszustand Einzelner und konkrete Maßnahmen diesbezüglich. Damit rücken andere Rechtsgrundlagen des Art. 9 Abs. 2 DSGVO in den Fokus, wie die ausdrückliche Einwilligung.
Vor allem aber wird gerade bei der Umsetzung einer solchen App erneut die angesprochene Zweckbindung relevant: Einerseits können die gesammelten Daten dank der hier angesprochenen Zweckerweiterung auch für wissenschaftliche Forschungszwecke (pseudonym/anonym) genutzt werden. Andererseits schützt die Zweckbindung vor Nachforschungen und Sanktionen durch die Behörden wegen möglicher Verstöße gegen Kontaktbeschränkungen – etwa, wenn man auffällig viele Kontakte getroffen hat.