Die Forschungsprivilegierung in der Datenschutz-Grundverordnung

Die Verarbeitung personenbezogener Daten zu Forschungszwecken ist von der DSGVO privilegiert. Dazu geh?rt

• eine Ausnahme vom Grundsatz der Zweckbindung, d.h. eine Weiterarbeitung von personenbezogenen Daten für wissenschaftliche Forschungszwecke gilt - anders als bei anderen Weiterverarbeitungszwecken - nicht als unvereinbar mit den ursprünglichen Verarbeitungszwecken (Art. 5 Abs. 1 lit. b i. V. m. Art. 89 Abs. 1 DSGVO); die Datenverarbeitung ist jedoch nur zul?ssig, wenn sie zur Durchführung wissenschaftlicher oder historischer Forschung erforderlich ist, das wissenschaftliche oder historische Interesse an der Durchführung des Forschungsvorhabens das Interesse der betroffenen Person an dem Ausschluss der Zweck?nderung erheblich überwiegt und der Zweck der Forschung auf andere Weise nicht oder nur mit unverh?ltnism??igem Aufwand erreicht werden kann (Art. 6 Abs. 2 Nr. 3 lit. c DSGVO),
• wenn die Datenverarbeitung auf einer Einwilligung als Rechtsgrundlage beruht, dass die Einwilligung - bei Einhaltung der anerkannten ethischen Standards wissenschaftlicher Forschung - auch für bestimmte Bereiche wissenschaftlicher Forschung gegeben werden kann, da der Verarbeitungszweck der personenbezogenen Daten bei Forschungsprojekten zum Erhebungszeitpunkt oft nicht vollst?ndig angegeben werden kann (ErwGr. 33 DSGVO),
• eine Ausnahme vom Grundsatz der Speicherbegrenzung, d.h. personenbezogene Daten dürfen, sofern sie allein zu Forschungszwecken verwendet werden, l?nger gespeichert werden (Art. 5 Abs. 1 lit. e i. V. m. Art. Art. 89 Abs. 1 DSGVO),
• dass besondere Kategorien personenbezogener Daten, die einem besonderen Schutz unterliegen und deren Verarbeitung deshalb grunds?tzlich verboten ist, sofern erforderlich zu Forschungszwecken verarbeitet werden dürfen (Art. 9 Abs. 2 lit. j DSGVO i. V. m. Art. 8 Abs. 1 S. 1 Nr. 5 und Art. 6 Abs. 2 Nr. 3 lit. c BayDSG),
• dass die Informationspflicht gegenüber den betroffenen Personen, wenn die verarbeiteten Daten nicht bei diesen Personen direkt erhoben worden sind, entfallen kann, sofern sie sich als unm?glich erweist oder einen unverh?ltnism??igen Aufwand erfordern würde (Art. 14 Abs. 5 lit. b i. V. m. Art. 89 Abs. 1 DSGVO),
• ein m?gliches Entfallen des Rechts auf L?schung bzw. "Vergessenwerden", soweit die Forschung dadurch unm?glich gemacht oder ernsthaft beeintr?chtigt würde (Art. 17 Abs. 3 lit. d i. V. m. Art. 89 Abs. 1 DSGVO),
• dass die Betroffenenrechte nach Art. 15 (Recht auf Auskunft), Art. 16 (Recht auf Berichtigung), Art. 18 (Recht auf Einschr?nkung der Verarbeitung) sowie Art. 21 DSGVO (Recht auf Datenübertragbarkeit) nicht anzuwenden sind, wenn durch sie die Forschung unm?glich gemacht oder ernsthaft beeintr?chtigt würde und die Einschr?nkung dieser Rechte für die Erfüllung der Forschungszwecke notwendig ist (Art. 89 Abs. 2 DSGVO i. V. m. Art. 25 Abs. 4 BayDSG).

"With great power comes great responsibility."

Mit der Privilegierung der Datenverarbeitung zu Forschungszwecken gehen spezielle Pflichten, in der DSGVO "geeignete Garantien für die Rechte und Freiheiten der betroffenen Person" genannt, einher. Hintergrund dieses Pendants zum Forschungsprivileg ist, dass man der Forschungs- und Wissenschaftsfreiheit aus Art. 13 EU-Grundrechte-Charta (GRCh) und dem Schutz personenbezogener Daten nach Art. 8 GRCh, der Grundlage des Datenschutzrechts ist, gleicherma?en gerecht wird.

Die einzelnen, im Rahmen der Verarbeitung personenbezogener Daten zu Forschungszwecken umzusetzenden geeigneten Garantien sind:

• Die Datenminimierung (Art. 89 Abs. 1 Satz 1 DSGVO). Dies bedeutet, dass die verarbeiteten Daten zweckgeeignet, zweckangemessen und auf den notwendigen Umfang beschr?nkt sind (Art. 5 Abs. 1 lit. c DSGVO). M?glichkeiten, die Datenminimierung umzusetzen, sind insbesondere die Pseudonymisierung und die Anonymisierung von Forschungsdaten. Dementsprechend verlangt Art. 25 Abs. 2 BayDSG in seinen S?tzen 1 und 2 auch: "Die personenbezogenen Daten sind zu anonymisieren, sobald dies nach dem Forschungszweck m?glich ist. Bis dahin sind die Merkmale, mit denen Einzelangaben über pers?nliche oder sachliche Verh?ltnisse einer bestimmten oder bestimmbaren Person zugeordnet werden k?nnen, gesondert zu speichern." Die sofortige Pseudonymisierung ist somit als Vorstufe zur Anonymisierung zu betrachten. Und auch jenseits von Pseudonymisierung und Anonymisierung ist der Umfang der verarbeiteten Daten auf den für die Erreichung des jeweiligen Forschungsziels erforderlichen Umfang zu beschr?nken (Datenvermeidung und Datensparsamkeit).
• Der Datenschutz durch Technikgestaltung (privacy by design) und durch datenschutzfreundliche Voreinstellungen (privacy by default) nach Art. 25 DSGVO, worin sich der Grundsatz der Datenminimierung spiegelt. Diese Prinzipien sind bereits bei der Datenerhebung zu berücksichtigen, beispielsweise indem bei Einsatz eines digitalen Erhebungstools keine Erfassung der IP-Adresse und kein Tracking stattfinden.
• Das Verbot der Verarbeitung von für Forschungszwecke erhobenen oder gespeicherten personenbezogenen Daten für andere Zwecke (Art. 25 Abs. 1 BayDSG).
• Die Einhaltung der "Grunds?tze für die Verarbeitung personenbezogener Daten" (Art. 5 DSGVO). Insbesondere genannt seien hier die Rechtm??igkeit, Transparenz und Vertraulichkeit der Datenverarbeitung.