Am 1.2.17 hat das Bundeskabinett einen Entwurf für ein Gesetz zur Umsetzung der europäsichen Datenschutzgrundverordnung (Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU)" beschlossen. Hiermit sollen die in der Europäischen Datenschutzgrundverordnung (DS-GVO) vorhandenen Klauseln, die auf nationaler Ebene genauer gefasst werden können - auch Öffnungsklauseln oder Spezifizierungsklauseln genannt -, für Deutschland näher geregelt werden. Dazu gehören unter anderem Spezifizierungen zur Verarbeitung sensibler Daten (Art. 9 DS-GVO) und der Nutzung von Daten zu wissenschaftlichen Zwecken (Art. 89-DS-GVO), zum Beschäftigtenschutz, der Videoüberwachung, der Bestellung eines Datenschutzbeauftragten und der Befugnisse der Aufsichtsbehörden. Die im DSAnpUG-EU geregelten Sachverhalte sollen – vorbehaltlich der Verabschiedung durch den Bundestag und Bundesrat - ab Mai 2018 die Regelungen der DS-GVO ergänzen. Mit der jetzigen Gesetzesnovelle sollen, so heißt es in der Presseerklärung der Bundesregierung, Gestaltungsspielräume genutzt werden, die die europäische Verordnung den Mitgliedsstaaten einräumt. Doch neben genereller Kritik gibt das DSAnpUG-EU für Forschung und Wissenschaft mehr Rätsel auf, als dass er Vorgaben präzisiert.

Gesetzentwurf in der Kritik

Schon kurz nach seiner Vorlage steht der Gesetzentwurf bereits in der Kritik. So kritisiert die Bundesbeauftragte für Datenschutz und die Informationsfreiheit, Andrea Voßhof, die im Entwurf nach wie vor enthaltenen Einschränkungen der Zweckbindung und die Einschränkungen von Widerspruchs- und Betroffenrechten . Der Kabinettsbeschluss verkehrt aus Sicht der Deutschen Vereinigung für Datenschutz e.V. außerdem viele europäische Regelungen in ihr Gegenteil. Dabei verstoße er in einigen wesentlichen Punkten gegen das in Artikel 8 der EU Grundrechte-Charta garantierte Recht auf Datenschutz und insgesamt an etlichen Stellen gegen europäisches Recht und die deutsche Verfassung. Der DVD konstatiert große Regelungslücken unter anderem auch für die Forschung. Hinzu kommt, so Peter Schaar, Vorsitzender der Europäischen Akademie für Datenschutz, dass das neue Bundesdatenschutzgesetz mit 85 Paragraphen doppelt so lang sei, wie das alte BDSG. Man müsse die DS-GVO und die neue „unleserliche“ Vorschrift direkt nebeneinander legen und Schritt für Schritt vergleichen, hätte jedoch anschließend keine Klarheit, was eigentlich gelte. Denn in vielen Punkten weiche das DSAnpGS von der DS-GVO ab und senke deren Standards etwa bei der Verarbeitung personenbezogener Daten für andere Zwecke, bei den Rechten der Betroffenen und bei den Befugnissen der Datenschutzbehörden. Auch dies wäre europarechtswidrig, da die DS-GVO direkt anwendbares Recht in allen Mitgliedsstaaten ist.

Klarheit für die Forschung? - Mitnichten

Im Besonderen lassen sich die folgenden für die Forschung relevanten Vorgaben finden: Anders als im Referentenentwurf vom November vorgesehen, ist die Verarbeitung besonders sensibler Daten nicht mehr allgemein für statistische oder Archivzwecke zulässig (Referentenentwurf des DSAnpUG-EU, 23.11.2016, § 22 Abs. 1 lit. d), d.h. man könnte an dieser Stelle davon ausgehen, dass in diesem Fall die Einwilligung der Betroffenen die wesentliche Voraussetzung zur Verarbeitung darstellt. In den Fällen, wo die Verarbeitung zulässig ist, etwa wenn es um Gesundheitsvorsorge oder im Zusammenhang mit der öffentlichen Gesundheit, sind in dem neuen Gesetzesentwurf etliche Garantien vor allem im Sinne nachweisbarer technisch-organisatorischer Maßnahmen oder der Gewährleistung von Schutzzielen ausgeführt worden (Bundesregierung DSAnpUG-EU 01.02.2017 § 22 Abs. 2 Nr. 1-10).

Verwirrend ist es dann allerdings, wenn es in § 27 (Datenverarbeitung zu wissenschaftlichen oder historischen Forschungszwecken und zu statistischen Zwecken) heißt, dass eine Verarbeitung für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke ohne Einwilligung zulässig sei, „wenn die Verarbeitung zu diesen Zwecken erforderlich ist und die Interessen des Verantwortlichen an der Verarbeitung die Interessen der betroffenen Person an einem Ausschluss der Verarbeitung erheblich überwiegen.“ Dies gilt nach dem DSAnpUG-EU nur für die Verarbeitung sensibler Daten nach Art. 9 (vgl. DSAnpUG-EU 01.02.2017 S. 103). Es ist sehr fraglich, ob damit die in Art. 9 Abs. 2 lit. j geforderte Wahrung des Wesensgehalts des Grundrechts auf Datenschutz gewährleistet wird. Außerdem bleibt vage, wer eigentlich feststellt, ob die Interessen an einer wissenschaftlichen Verarbeitung die Interessen der betroffenen Personen überwiegen? Hier wäre also stets eine Verhältnismäßigkeitsprüfung vorzunehmen. Zwar soll die Verarbeitung dann den in §22 Abs. 2 ausgeführten Bedingungen unterliegen, allerdings ist unklar, wie mit diesen der in der DS-GVO (Art. 89 Abs 1) für diese Fälle geforderte „Grundsatz der Datenminimierung“ sichergestellt werden kann. § 27 Abs. 2 schränkt darüber hinaus die Rechte von Teilnehmern an wissenschaftlichen Studien ein. „Die in den Artikeln 15 [Auskunftsrechte, Erg. KS] , 16 [Recht auf Berichtigung, Erg. KS], 18 [Einschränkung der Verarbeitung, Erg. KS] und 21 [Widerspruchsrecht, Erg. KS] der Verordnung (EU) 2016/679 vorgesehenen Rechte der betroffenen Person sind insoweit beschränkt, als diese Rechte voraussichtlich die Verwirklichung der Forschungs- oder Statistikzwecke unmöglich machen oder ernsthaft beinträchtigen und die Beschränkung für die Erfüllung der Forschungs- oder Statistikzwecke notwendig ist.“ Der Entwurf schöpft damit die in Art. 89 Abs. 2 vorgegebenen Möglichkeiten, Rechte von Betroffenen einzuschränken, maximal aus. Offen bleibt dabei das Verfahren, wie festgestellt wird, ob die Verwirklichung der Forschungszwecke tatsächlich ernsthaft beeinträchtigt wäre. Zwar wird in den Erläuterungen (Abschnitt B, besonderer Teil) auf bestimmte Vorgaben von Ethikkommissionen ebenso verwiesen, wie auf einen unverhältnismäßig hohen Aufwand, z.B. im Fall großer Datensätze (Bundesregierung. DSAnpUG-EU 01.02.2017, S. 103), doch wirklich klar wird das Procedere keineswegs. Hinzu kommt – und hier müssen sich Forschungsinstitutionen selbst prüfen – inwiefern der Ausschluss insbesondere eines Rechts auf Widerspruch eigentlich noch mit wissenschaftlichen Ethikstandards in Einklang zu bringen wäre (vgl. Bundesärztekammer 2013). Wirkliche Rechtsklarheit wird auch nicht geschaffen, wenn es um die Weiterverarbeitung von Daten für wissenschaftliche Zwecke geht. Diese widerspricht nach Art. 5 Abs. 1 lit. b DS GVO nicht dem ursprünglichen Zweck. Im Entwurf zum DSAnpUG-EU wird erläutert (S. 103), dass sich damit der Verantwortliche hinsichtlich der Rechtsgrundlage für die Weiterverarbeitung erneut auf die Rechtsgrundlage stützen kann, die bereits für die Erstverarbeitung galt. Im Fall, dass eine Datenverarbeitung auf einer Einwilligung beruht, muss aber an sich benannt sein, wer potentieller Empfänger ist. Ist hier nicht ein bestimmtes Forschungsinstitut vermerkt oder der Hinweis, dass Daten für die Forschung weitergegeben werden, erscheint die Rechtsgrundlage allerdings mehr als fraglich.

Ausdrücklich nur im Falle, dass sensible Daten verarbeitet werden, müssen entsprechend den Erläuterungen dabei die in § 22 Absatz 2 Satz 2 genannten Maßnahmen zur Wahrung der Interessen der betroffenen Person eingehalten werden (vgl. ebenfalls S. 103). Auch dies verwundert, da man doch davon ausgehen sollte, dass die dort genenannten Maßnahmen (technisch-organisatorische Maßnahmen, Vorhandensein eines Datenschutzbeauftragten etc.) auch für eine sonstige Verarbeitung von weitergegebenen personenbezogenen Daten für die Forschung gelten sollten.

Insgesamt ist es tatsächlich so, dass sich die Informationen über Regelungen für die Forschung über den Entwurf zum DSAnpUG-EU nur verstreut finden und sie auch nicht systematisch nach Ersterhebung von Daten und Weiterverarbeitung von Daten unterschieden werden. Wann damit etwa eine Einwilligung erforderlich ist und welche Rechte Betroffene in wissenschaftlichen Studien haben, ist mit der DS-GVO in Verbindung mit dem DSAnpUG-EU schwerer als zuvor zu ermitteln. Im Sinne der Menschen, die an Forschungsprojekten teilnehmen, wäre es sinnvoll, ihre Rechte und Informationsrechte nicht auszuhebeln. Vertrauen ist ein wesentliches Pfund mit dem Forschungsinstitutionen wuchern sollten. Eine Voraussetzung hierfür ist die Wahrung des Rechts auf informationelle Selbstebestimmung von Forschungsteilnehmern, das nicht durch bestimmte Klauseln im DSAnpUG-EU ausgehebelt werden sollte.

Das könnte Sie auch interessieren: DS-GVO hält neue Vorgaben für die Wissenschaft vor.

Links

Bundesregierung. DSAnpUG-EU 01.02.2017

Bundesbeauftragte für den Datenschutz und die Informationsfreiheit. EU-Datenschutz: Anpassungs- und Umsetzungsgesetz muss nachgebessert werden! Pressemitteilung, 1.2.17

DVD - Deutsche Vereinigung für Datenschutz e.V. (1.2.17): DVD zum Datenschutz-Kabinettsbeschluss: „Keine Verwässerung, sondern Umsetzung der Datenschutz-Grundverordnung ist nötig“. Pressemitteilung. Langfassung:

Peter Schaar, „Datenschutzanpassungs- und Umsetzungsgesetz“ – Zu kurz gesprungen. Blog EAID, 1.2.2017, 

Bundesärztekammer (2013): WMA Deklaration von Helsinki - Ethische Grundsätze für die medizinische Forschung am Menschen 2013 (Erstfassung 1964).