Im Dienste der Wissenschaft – Das Forschungsprivileg der DSGVO

von TRISTAN RADTKE

Die Wissenschaft forscht mit Hochdruck an Impfstoffen, Medikamenten und beginnt mit Tests; das Bewegungsverhalten der Bevölkerung soll mit der Nutzung von Standortdaten der Mobilfunk-Nutzer untersucht werden. Datenschutzrechtlich könnten diese Maßnahmen als Verarbeitungen zu Forschungszwecken diverse Privilegien erfahren. In Zeiten von Sars-CoV-2 und COVID-19 stellt sich daher die Frage: Wie weit reicht das datenschutzrechtliche Forschungsprivileg nach der Datenschutzgrundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG)?

Maßnahmen wie die Forschung an Impfstoffen und Medikamenten, Studien und Tests sowie die Analyse von Bewegungsdaten erfordern die Verarbeitungen von Daten, die Rückschlüsse auf natürliche Personen zulassen. Damit sind diese Vorgänge von datenschutzrechtlicher Relevanz (Art. 2, 4 Nr. 1, 2 DSGVO) und die Zulässigkeit richtet sich insbesondere nach der DSGVO. Es ist für die Anwendbarkeit des Datenschutzrechts ohne Bedeutung, dass es sich um Tätigkeiten im Zusammenhang mit wissenschaftlicher Forschung handelt (vgl. Erwägungsgrund 159 S. 1 DSGVO). Das Forschungsprivileg wirkt sich jedoch an anderen Stellen aus, namentlich bei der Rechtmäßigkeit und Zweckbindung, im Hinblick auf die Betroffenen-Rechte und die Zulässigkeit von Drittstaaten-Übermittlungen.

Begriff der wissenschaftlichen Forschung

Entscheidend für die Reichweite des Privilegs ist zunächst, welche Tätigkeiten der Begriff der wissenschaftlichen Forschung umfasst. Die DSGVO selbst definiert den Begriff nicht. Nach dem deutschen Begriffsverständnis des Bundesministeriums für Forschung (S. 4) und des Bundesverfassungsgerichts (Rn. 129) kann unter Forschung eine „geistige Tätigkeit mit dem Ziel […], in methodischer, systematischer und nachprüfbarer Weise neue Erkenntnisse zu gewinnen“ verstanden werden. Dieses Begriffsverständnis liegt auch der DSGVO zugrunde. Im Einklang dazu nennt Erwägungsgrund 159 S. 2 DSGVO als Beispiele für den weit auszulegenden Begriff „die technologische Entwicklung und die Demonstration, die Grundlagenforschung, die angewandte Forschung und die privat finanzierte Forschung“. Daraus ergibt sich zweierlei: Zum einen ist wissenschaftliche Forschung unabhängig von der Finanzierungsform. Zum anderen ist sie nicht auf einzelne Felder wie den Gesundheitsbereich, die Sozial- oder Rechtswissenschaft beschränkt.

In der Gesundheitsforschung und etwa im Rahmen von Studien werden die Daten der Probanden, womöglich verknüpft mit im Laufe der Studie aufgetretenen Symptomen und gewonnenen Erkenntnissen, verarbeitet. Diese Verarbeitungen im Rahmen von Studien etwa zur Wirksamkeit von Medikamenten und Impfstoffen im Zusammenhang mit Pandemien wie COVID-19 / Corona unterfallen nach Erwägungsgrund 159 S. 4 DSGVO ausdrücklich dem wissenschaftlichen Forschungsprivileg.

Daneben ist auch die angewandte Forschung zu Faktoren, die die Verbreitung einer Pandemie begünstigen oder hemmen, umfasst. Diese ist schließlich auf einen (langfristigen) Erkenntnisgewinn auf der Basis systematischer Untersuchungen gerichtet.

Die Grenzen zu anderen Zwecken, wie dem der öffentlichen Gesundheit und der Gesundheit des Einzelnen (vgl. Art. 9 Abs. 2 lit. h, iDSGVO), können im Einzelfall jedoch fließend sein. Bereits außerhalb von Pandemie-Zeiten haben Studien idealiter den Nebeneffekt, die Gesundheit Einzelner zu fördern. Sobald Impfstoffe und Medikamente unter der Prämisse möglicher Wirksamkeit eingesetzt werden und der Einsatz systematisch dokumentiert wird, um zum einen die Wirksamkeit weiter zu erforschen und zum anderen unmittelbar den Gesundheitszustand des Einzelnen zu verbessern und die Ausbreitung der COVID-19-Pandemie zu bremsen, treffen diese Zwecke aufeinander. Die eigentlichen Datenverarbeitungen zur Dokumentation der Wirkungen und Nebenwirkungen sind jedoch vor allem notwendig, um einen Erkenntnisgewinn im Hinblick auf die Wirksamkeit des Medikaments oder Impfstoffs zu erhalten – und nicht um die Gesundheit aller oder Einzelner zu fördern. Daher können auch Verarbeitungen im Rahmen solcher Studien vom Privileg wissenschaftlicher Forschung erfasst sein.

Ein Grenzfall ist auch die Überprüfung der Wirksamkeit politischer Maßnahmen – etwa der Empfehlungen, soziale Kontakte zu reduzieren. Damit zusammenhängende Verarbeitungsvorgänge können noch dem langfristigen Erkenntnisgewinn im Zusammenhang mit der Pandemie dienen. Soweit gezielt einzelne Betroffene z.B. als potenziell Infizierte identifiziert werden sollen, greift das Privileg wissenschaftlicher Forschung hingegen nicht mehr (vgl. Erwägungsgrund 159 S. 6 DSGVO), was gleichwohl der Möglichkeit einer datenschutzrechtlich-konformen Realisierung entsprechender Maßnahmen nicht im Wege stehen muss.

Reichweite des Privilegs

Neben Einschränkungen der Betroffenen-Rechte (Art. 14 Abs. 5 lit. b a.E., Art. 17 Abs. 3 lit. d DSGVO und § 27 Abs. 2 BDSG) und ggf. erleichterten Übermittlungen an Nicht-EWR-Länder (Erwägungsgrund 113 S. 4 DSGVO) wirkt sich das Privileg vor allem an anderer Stelle aus.

Sämtliche Verarbeitungen personenbezogener Daten unterfallen dem Verbot mit Erlaubnisvorbehalt (Art. 6 DSGVO), bedürfen also eines Erlaubnistatbestands wie der Einwilligung, einer rechtlichen Verpflichtung oder eines gewichtigen berechtigten Interesses des Verantwortlichen oder eines Dritten. Da im Rahmen der Gesundheitsforschung regelmäßig sensible Informationen über den Gesundheitszustand (Gesundheitsdaten, Art. 4 Nr. 15 DSGVO) verarbeitet werden, etwa Symptome im Rahmen einer Studie, sind erhöhte Anforderungen nach Art. 9 DSGVO zu beachten.

Dabei kommt das Forschungsprivileg den Verantwortlichen gleich mehrfach entgegen: Zum einen darf sich die Einwilligung auch auf Forschungsbereiche statt auf einen konkreten Zweck beziehen (Erwägungsgrund 33 DSGVO). Damit können beispielsweise personenbezogene Daten aus Studien mit ähnlichen Erregern ggf. auch für COVID-19-Forschung herangezogen werden – und umgekehrt. Statt der Einwilligung kann auch § 27 Abs. 1, 3 BDSG als Ausprägung einer DSGVO-Öffnungsklausel in Betracht kommen, wobei regelmäßig die Anonymisierung und Pseudonymisierung notwendig ist (vgl. § 27 Abs. 3 BDSG) – man denke etwa an die anonyme Auswertung von Fallzahlen durch das Robert-Koch-Institut, um die Entwicklung einer Pandemie nachvollziehen zu können.

Zum anderen wird die Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO) erheblich erweitert: Der einmal festgelegte Zweck einer Verarbeitung bindet den Verantwortlichen grundsätzlich bei nachfolgenden Verarbeitungen dieser personenbezogenen Daten. Aufgrund dieser Erweiterung erfasst der festgelegte Zweck stets auch die Verwendung für wissenschaftliche Forschungszwecke (Art. 5 Abs. 1 lit. b, Erwägungsgrund 50 S. 4 DSGVO; klarstellend Art. 5 Abs. 1 lit. e Hs. 2 DSGVO). Eine Weiterverarbeitung bereits erhobener Daten durch den gleichen Verantwortlichen – z.B. für Statistiken über die Häufung von Corona-Suchanfragen in bestimmten Gebieten durch Internet-Suchmaschinen – ist damit auch zu wissenschaftlichen Forschungszwecken möglich. Die einzige und entscheidende Einschränkung ist das Vorsehen geeigneter Garantien zum Schutz betroffener Personen nach Art. 89 Abs. 1 DSGVO. Letztlich wird insoweit das Verbot mit Erlaubnisvorbehalt faktisch auf die erstmalige Erlangung durch einen Verantwortlichen (regelmäßig die Erhebung) beschränkt, während für die weiteren Verarbeitungen – zu Forschungszwecken – nur ein Gebot zu besonderen technischen und organisatorischen Maßnahmen besteht. Zu den notwendigen technischen und organisatorischen Maßnahmen zählt regelmäßig eine Pseudonymisierung. Das Anlegen umfangreicher Bewegungsprofile für Erkenntnisse über den Pandemie-Verlauf und die massenhafte Auswertung von nicht-anonymisierten Krankheitsverläufen für Forschungszwecke wäre hingegen regelmäßig als Verstoß gegen den Grundsatz der Datenminimierung unzulässig (vgl. auch Art. 89 Abs. 1 S. 2 DSGVO).

Schlussbetrachtung

Die wissenschaftliche Forschung ist, auch in Zeiten von COVID-19, unter der DSGVO weitgehend privilegiert und erleichtert neben Studien auch die Aggregation von Daten, um Erkenntnisse über die Ausbreitung einer Pandemie gewinnen zu können. Die Kehrseite des Privilegs sind jedoch erhöhte Anforderungen an die Umsetzung technischer und organisatorischer Maßnahmen wie die – regelmäßig notwendige – Pseudonymisierung und Anonymisierung.

Zitiervorschlag: Tristan Radtke, Im Dienste der Wissenschaft – Das Forschungsprivileg der DSGVO, JuWissBlog Nr. 45/2020 v. 01.04.2020, https://www.juwiss.de/45-2020/

Dieses Werk ist lizenziert unter einer Creative Commons Namensnennung – Nicht kommerziell – Keine Bearbeitungen 4.0 International Lizenz.