Die Forschungsprivilegierung in der Datenschutz-Grundverordnung

Die Verarbeitung personenbezogener Daten zu Forschungszwecken ist von der DSGVO privilegiert. Dazu gehört

• eine Ausnahme vom Grundsatz der Zweckbindung, d.h. eine Weiterarbeitung von personenbezogenen Daten für wissenschaftliche Forschungszwecke gilt - anders als bei anderen Weiterverarbeitungszwecken - nicht als unvereinbar mit den ursprünglichen Verarbeitungszwecken (Art. 5 Abs. 1 lit. b i. V. m. Art. 89 Abs. 1 DSGVO); die Datenverarbeitung ist jedoch nur zulässig, wenn sie zur Durchführung wissenschaftlicher oder historischer Forschung erforderlich ist, das wissenschaftliche oder historische Interesse an der Durchführung des Forschungsvorhabens das Interesse der betroffenen Person an dem Ausschluss der Zweckänderung erheblich überwiegt und der Zweck der Forschung auf andere Weise nicht oder nur mit unverhältnismäßigem Aufwand erreicht werden kann (Art. 6 Abs. 2 Nr. 3 lit. c DSGVO),
• wenn die Datenverarbeitung auf einer Einwilligung als Rechtsgrundlage beruht, dass die Einwilligung - bei Einhaltung der anerkannten ethischen Standards wissenschaftlicher Forschung - auch für bestimmte Bereiche wissenschaftlicher Forschung gegeben werden kann, da der Verarbeitungszweck der personenbezogenen Daten bei Forschungsprojekten zum Erhebungszeitpunkt oft nicht vollständig angegeben werden kann (ErwGr. 33 DSGVO),
• eine Ausnahme vom Grundsatz der Speicherbegrenzung, d.h. personenbezogene Daten dürfen, sofern sie allein zu Forschungszwecken verwendet werden, länger gespeichert werden (Art. 5 Abs. 1 lit. e i. V. m. Art. Art. 89 Abs. 1 DSGVO),
• dass besondere Kategorien personenbezogener Daten, die einem besonderen Schutz unterliegen und deren Verarbeitung deshalb grundsätzlich verboten ist, sofern erforderlich zu Forschungszwecken verarbeitet werden dürfen (Art. 9 Abs. 2 lit. j DSGVO i. V. m. Art. 8 Abs. 1 S. 1 Nr. 5 und Art. 6 Abs. 2 Nr. 3 lit. c BayDSG),
• dass die Informationspflicht gegenüber den betroffenen Personen, wenn die verarbeiteten Daten nicht bei diesen Personen direkt erhoben worden sind, entfallen kann, sofern sie sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde (Art. 14 Abs. 5 lit. b i. V. m. Art. 89 Abs. 1 DSGVO),
• ein mögliches Entfallen des Rechts auf Löschung bzw. "Vergessenwerden", soweit die Forschung dadurch unmöglich gemacht oder ernsthaft beeinträchtigt würde (Art. 17 Abs. 3 lit. d i. V. m. Art. 89 Abs. 1 DSGVO),
• dass die Betroffenenrechte nach Art. 15 (Recht auf Auskunft), Art. 16 (Recht auf Berichtigung), Art. 18 (Recht auf Einschränkung der Verarbeitung) sowie Art. 21 DSGVO (Recht auf Datenübertragbarkeit) nicht anzuwenden sind, wenn durch sie die Forschung unmöglich gemacht oder ernsthaft beeinträchtigt würde und die Einschränkung dieser Rechte für die Erfüllung der Forschungszwecke notwendig ist (Art. 89 Abs. 2 DSGVO i. V. m. Art. 25 Abs. 4 BayDSG).

"With great power comes great responsibility."

Mit der Privilegierung der Datenverarbeitung zu Forschungszwecken gehen spezielle Pflichten, in der DSGVO "geeignete Garantien für die Rechte und Freiheiten der betroffenen Person" genannt, einher. Hintergrund dieses Pendants zum Forschungsprivileg ist, dass man der Forschungs- und Wissenschaftsfreiheit aus Art. 13 EU-Grundrechte-Charta (GRCh) und dem Schutz personenbezogener Daten nach Art. 8 GRCh, der Grundlage des Datenschutzrechts ist, gleichermaßen gerecht wird.

Die einzelnen, im Rahmen der Verarbeitung personenbezogener Daten zu Forschungszwecken umzusetzenden geeigneten Garantien sind:

• Die Datenminimierung (Art. 89 Abs. 1 Satz 1 DSGVO). Dies bedeutet, dass die verarbeiteten Daten zweckgeeignet, zweckangemessen und auf den notwendigen Umfang beschränkt sind (Art. 5 Abs. 1 lit. c DSGVO). Möglichkeiten, die Datenminimierung umzusetzen, sind insbesondere die Pseudonymisierung und die Anonymisierung von Forschungsdaten. Dementsprechend verlangt Art. 25 Abs. 2 BayDSG in seinen Sätzen 1 und 2 auch: "Die personenbezogenen Daten sind zu anonymisieren, sobald dies nach dem Forschungszweck möglich ist. Bis dahin sind die Merkmale, mit denen Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren Person zugeordnet werden können, gesondert zu speichern." Die sofortige Pseudonymisierung ist somit als Vorstufe zur Anonymisierung zu betrachten. Und auch jenseits von Pseudonymisierung und Anonymisierung ist der Umfang der verarbeiteten Daten auf den für die Erreichung des jeweiligen Forschungsziels erforderlichen Umfang zu beschränken (Datenvermeidung und Datensparsamkeit).
• Der Datenschutz durch Technikgestaltung (privacy by design) und durch datenschutzfreundliche Voreinstellungen (privacy by default) nach Art. 25 DSGVO, worin sich der Grundsatz der Datenminimierung spiegelt. Diese Prinzipien sind bereits bei der Datenerhebung zu berücksichtigen, beispielsweise indem bei Einsatz eines digitalen Erhebungstools keine Erfassung der IP-Adresse und kein Tracking stattfinden.
• Das Verbot der Verarbeitung von für Forschungszwecke erhobenen oder gespeicherten personenbezogenen Daten für andere Zwecke (Art. 25 Abs. 1 BayDSG).
• Die Einhaltung der "Grundsätze für die Verarbeitung personenbezogener Daten" (Art. 5 DSGVO). Insbesondere genannt seien hier die Rechtmäßigkeit, Transparenz und Vertraulichkeit der Datenverarbeitung.