Jusletter IT

Die Verarbeitung personenbezogener Daten¹ ist aus vielen Bereichen der wissenschaftlichen Forschung² nicht (mehr) wegzudenken. Man denke z.B. an Langzeitstudien in den Erziehungswissenschaften und der zeithistorischen Forschung, immer häufiger aber auch an die naturwissenschaftlichen und technischen Disziplinen, wo bei Energieverbrauchsmessungen, beim Einsatz «smarter» Geräte, klinischen Studien am Patienten und Big Data-Auswertungen oftmals ein Personenbezug vorliegt bzw. herstellbar ist.³ Gleichzeitig stellt die rechtskonforme Datenverwendung ForscherInnen oft vor praktische Herausforderungen⁴ – welche durch die gestiegenen Anforderungen der Datenschutz-Grundverordnung (DSGVO)⁵ nicht geringer werden. Im Folgenden wird – nach einer kurzen verfassungsrechtlichen Einordnung – überblicksartig auf die für die Forschung besonders relevanten Bestimmungen der DSGVO und die (bislang kundgemachte) österreichische Anpassungsgesetzgebung eingegangen. Im Fazit werden die bevorstehenden Aufgaben für Universitäten und andere Forschungseinrichtungen zusammengefasst.

Trotz des begrenzten Umfangs dieses Beitrages soll das grundrechtliche Fundament der Wissenschaft kurz angesprochen werden — liegt im hohen öffentlichen Interesse der Forschungsfreiheit für die gesellschaftliche Entwicklung ja ein Grund für die bevorzugte Stellung der wissenschaftlichen Forschung im Kontext der DSGVO.⁶

Das Grundrecht auf Schutz personenbezogener Daten⁷ ist bekanntlich kein uneingeschränktes Recht. Wie in ErwGr. 4 der DSGVO erläutert, «muss [es] im Hinblick auf seine gesellschaftliche Funktion gesehen und unter Wahrung des Verhältnismäßigkeitsprinzips gegen andere Grundrechte abgewogen werden.» Weiters wird darin ausgeführt, dass «[d]iese Verordnung im Einklang mit allen Grundrechten [steht] und alle Freiheiten und Grundsätze [achtet], die mit der Charta [der Grundrechte der Europäischen Union]⁸ anerkannt wurden und in den Europäischen Verträgen verankert sind, insbesondere Achtung des Privat- und Familienlebens, Schutz personenbezogener Daten, Gedanken-, Gewissens- und Religionsfreiheit, Freiheit der Meinungsäußerung und Informationsfreiheit, unternehmerische Freiheit, […].» Auch wenn die unionsrechtlich durch Art. 13 GRC geschützte Freiheit der Forschung⁹ in dieser demonstrativen Aufzählung des ErwGr. 4 fehlt, wird durch die vorstehende Erwähnung des Im Einklang Stehens mit allen Grundrechten und die in der DSGVO enthaltenen Privilegierungen der wissenschaftlichen Forschung u.E. deutlich, dass diese Berücksichtigung fand.

In Österreich ist das «absolute» (d.h. ohne ausdrücklichen Gesetzesvorbehalt bestehende) Grundrecht auf Wissenschaftsfreiheit bekanntlich in Art. 17 Abs. 1 StGG verankert, darüber hinaus ist insbesondere die wissenschaftliche Äußerungsfreiheit durch Art. 10 EMRK¹⁰ geschützt.¹¹ Laut der jüngeren Judikatur des österreichischen Verfassungsgerichtshofes (VfGH) steht die Wissenschaftsfreiheit jedermann zu, der wissenschaftlich forscht und lehrt;¹² die Freiheit der Forschung hat dabei das Aufsuchen neuer Erkenntnisse oder die Festigung älterer Erkenntnisse auf einem bestimmten Wissensgebiet zum Gegenstand.¹³ Auch wenn der Forscher bzw. Lehrende vom Staat keinen spezifischen, intentional auf die Einengung dieser Freiheit gerichteten Beschränkungen unterworfen werden darf,¹⁴ sind nach der Rechtsprechung des VfGH auch absolute Grundrechte nur innerhalb der Schranken der allgemeinen Gesetze gewährleistet («immanente Grundrechtsschranken»).¹⁵ Ein (z.B. durch Bescheid) vorgenommener Eingriff in die Freiheit der Wissenschaft und ihrer Lehre, der die wissenschaftliche Tätigkeit verhindert¹⁶ oder auch nur beschränkt,¹⁷ ist nach der Judikatur nur dann zulässig, wenn er zum Schutz eines anderen Rechtsgutes erforderlich und verhältnismäßig ist. Es bedarf somit stets einer Abwägung zwischen der Freiheit der Wissenschaft und ihrer Lehre und dem durch den Eingriff geschützten Rechtsgut.¹⁸

Ein anschauliches Beispiel dafür ist eine Entscheidung aus dem Jahr 1989 zur umfassenden Veröffentlichungspflicht des Ergebnisses statistischer Erhebungen, wo der VfGH eine Unvereinbarkeit mit § 1 DSG 2000 feststellte, da aus solchen Veröffentlichungen in bestimmten, keineswegs nur in Einzelfällen auftretenden Konstellationen, Rückschlüsse auf (personenbezogene) Daten möglich waren.¹⁹

Es ist daher in aller Kürze festzuhalten, dass es im Bereich der wissenschaftlichen Forschung mit personenbezogenen Daten zu Grundrechtskollisionen und Konflikten kommen kann, die durch eine Abwägung zu lösen sind – eine solche Abwägung, die in einem Ausgleich enden soll, versucht der Gesetzgeber in der DSGVO durch spezielle Forschungsklauseln zu erzielen.²⁰ Suda spricht in diesem Zusammenhang von einer «Balanceregelung» des (bisherigen) § 46 DSG 2000 (ab 25. Mai 2018: § 7 DSG i.d.F. Datenschutz-AnpassungsG 2018)²¹ zwischen Datenschutz und Wissenschaftsfreiheit,²² also der Rechtsnorm, die bis dato den wichtigsten einfachgesetzlichen Datenschutzrahmen für die wissenschaftliche Forschung in Österreich bildete.

Grundlegend ist im vorliegenden Zusammenhang zunächst auf den weiten Wissenschafts- und Forschungsbegriff der DSGVO hinzuweisen, welcher laut ErwGr. 159 auch die privat finanzierte Forschung umfasst.²³ Auch im europäischen²⁴ und deutschen²⁵ Verfassungsrecht wird der Begriff weit ausgelegt, gleichzeitig konnte sich das Europäische Parlament bei der engeren Wortwahl bezüglich der wissenschaftlichen (und historischen) Forschung durchsetzen:²⁶ Wo die Datenschutz-Richtlinie (DSRL)²⁷ von «wissenschaftlichen Zwecken» spricht,²⁸ wird in der DSGVO nunmehr der Begriff der «wissenschaftlichen Forschungszwecke» verwendet,²⁹ wodurch nach Ansicht von Albrecht/Jotzo nur mehr Forschungszwecke im engeren Sinn privilegiert werden sollen (und somit nicht jede Analyse oder Aufbereitung von Daten in Zeiten von Big Data³⁰ und Data Mining unter die Privilegierung der wissenschaftlichen Forschung in der DSGVO fallen soll),³¹ was in der Praxis zu Abgrenzungsfragen mit erheblichen Auswirkungen führen könnte. Demgegenüber wird in der Literatur auch vertreten, dass der Begriff der Wissenschaftsfreiheit jenen der Forschungsfreiheit einschließe und daher der Begriff «wissenschaftliche Forschungszwecke» i.S.d. Art. 89 DSGVO vom allgemeinen (Ober-)Begriff «wissenschaftliche Zwecke» nicht näher abgegrenzt werden könne.³²

Beachtlich in diesem Zusammenhang ist auch die Interpretation des Begriffs der wissenschaftlichen Forschung in den Gesetzesmaterialien zu § 7 DSG, wonach dieser «[…] wie auch schon nach den Erläuterungen zu § 46 DSG 2000 – nicht einen inhaltlich abgegrenzten Bereich bezeichnen [...] – etwa in der Richtung, dass nur Grundlagenforschung erfasst und angewandte Forschung ausgeschlossen wäre –, sondern als Bereich verstanden werden [soll], in dem eine bestimmte Methode [...], nämlich eine ‹wissenschaftliche›, angewendet wird.»³³

Wie bereits erwähnt finden sich in der DSGVO eine ganze Reihe von Forschungsklauseln, so etwa in Art. 5 Abs. 1 lit. b und e, Art. 9 Abs. 2 lit. j, Art. 14 Abs. 5 lit. b, Art. 17 Abs. 3 lit. d, Art. 21 Abs. 6, Art. 85 Abs. 1 und 2 und Art. 89.³⁴ Während, wie oben in Abschnitt 2 festgestellt, insgesamt von einem weiten Forschungsbegriff auszugehen ist, darf dabei aber insbesondere nicht übersehen werden, dass die Wissenschaftsfreiheit als Sonderform des Rechts auf freie Meinungsäußerung³⁵ in Art. 85 weitaus stärker privilegiert wird als die (Daten-) Verarbeitung zu Forschungszwecken in Art. 89 – gerade aus diesem Grund nehmen die anderen oben genannten Forschungsklauseln lediglich Bezug auf Art. 89 Abs. 1.

Art. 85 Abs. 1 sieht für die EU-Mitgliedstaaten die Verpflichtung vor, «das Recht auf den Schutz personenbezogener Daten gemäß dieser Verordnung mit dem Recht auf freie Meinungsäußerung und Informationsfreiheit, einschließlich der Verarbeitung zu journalistischen Zwecken und zu wissenschaftlichen, künstlerischen oder literarischen Zwecken, in Einklang [zu bringen].» Darüber hinaus wird in Art. 85 Abs. 2 die Möglichkeit eingeräumt, für diese Zwecke von fast allen Bestimmungen der DSGVO Ausnahmen oder Abweichungen zu normieren, was jedoch der Rechtssetzung des jeweiligen EU-Mitgliedsstaats überlassen bleibt.

Art. 89, der auf den Forschungsprozess im engeren Sinn anzuwenden ist, stellt hingegen zunächst in Abs. 1 ganz allgemein fest, dass die Verarbeitung für diese Zwecke geeigneten Garantien für die Rechte und Freiheiten der betroffenen Personen unterliege. Damit wird nichts anderes ausgedrückt als die Ansicht des Normsetzers, dass die oben in Abschnitt 1.1 angesprochene, stets notwendige Abwägung zwischen der Freiheit der Wissenschaft und ihrer Lehre und dem durch den Eingriff geschützten Rechtsgut durch Anwendung der DSGVO gewährleistet wird. Art. 89 Abs. 1 stellt jedoch keinen eigenen Erlaubnistatbestand dar, sondern es ist jedenfalls eine geeignete Rechtsgrundlage für die Datenverarbeitung erforderlich.³⁶

In Art. 89 Abs. 1 Satz 2 und 3 werden darüber hinaus der allgemeine Grundsatz der Datenminimierung in Art. 5 Abs. 1 lit. c sowie Art. 25 und Art. 6 Abs. 4 lit. e konkretisiert. So sind bei der (Weiter-)Verarbeitung zu Forschungszwecken personenbezogene Daten jeweils zu anonymisieren oder zu pseudonymisieren, sobald dies möglich ist, ohne das beabsichtigte Forschungsergebnis zu gefährden. Wie auch aus ErwGr. 156 dritter Satz deutlich hervorgeht, erfordert dies ein dreistufiges Vorgehen:³⁷

1. Prüfung, ob der Forschungszweck mit anonymisierten Daten erreichbar ist;
2. Prüfung, ob mit pseudonymisierten Daten das Auslangen gefunden wird;
3. Nur wenn weder Anonymisierung noch Pseudonymisierung umsetzbar ist, dürfen Daten in personenbezogener Form verarbeitet werden (wobei die Rechte der Betroffenen durch geeignete Garantien sichergestellt werden müssen, siehe sogleich).

Diese Prüfung ist vor Aufnahme einer Verarbeitungstätigkeit durchzuführen und gemäß dem allgemeinen Grundsatz der Rechenschaftspflicht in Art. 5 Abs. 2 u.E. zu dokumentieren.Wie aus dem Wortlaut der Bestimmung hervorgeht, ist sie nicht einmalig zu Beginn einer Verarbeitungstätigkeit vorzunehmen, sondern auch für jeden folgenden Schritt der Weiterverarbeitung.

Die DSGVO erfordert in Österreich ein Abgehen von der bisherigen Praxis, da keine Privilegierung pseudonymisierter Daten nach dem Muster des bisherigen § 46 Abs. 1 DSG 2000, dessen Richtlinienkonformität ohnehin umstritten war,³⁸ besteht (sieht man von § 7 Abs. 1 Z 3 DSG ab). Vielmehr ist sowohl bei der Verarbeitung pseudonymisierter als auch (direkt) personenbezogener Daten die DSGVO vollständig anzuwenden. Eine Verarbeitung darf daher nur erfolgen, wenn geeignete Garantien für die Rechte und Freiheiten der betroffenen Personen gewährleistet sind, insbesondere Datensicherheit gemäß Art. 32³⁹ u.a. durch Verschlüsselung, Zugangsbeschränkungen, Geheimhaltungsverpflichtungen, Weitergabeverbote, sonstige Verfahrensregelungen etc.⁴⁰ Die Pseudonymisierung erfordert gemäß Definition in Art. 4 Z 5 geeignete technische und organisatorische Maßnahmen zum Schutz vor Re-Identifizierung.

Neu ist auch die Pflicht, Datenschutz-Folgenabschätzungen («DSFA», Art. 35 DSGVO) durchzuführen, wenn den betroffenen Personen durch die geplante Datenverarbeitung hohe Risiken drohen. Die Artikel 29-Datenschutzgruppe sieht eine solche u.a. bei der Speicherung (Archivierung) pseudonymisierter personenbezogener vertraulicher Daten zu schutzbedürftigen Betroffenen, die an Forschungsprojekten bzw. klinischen Studien teilgenommen haben, als erforderlich an.⁴¹

Es ist keine Neuigkeit, dass die Durchführung eines Forschungsvorhabens nur schlecht mit Datenschutz-Grundprinzipien wie Datenminimierung und strikter Zweckbindung zu vereinbaren ist. Personenbezogene Datenbestände müssen für die Forschung gesichert werden, bevor sie aus datenschutzrechtlichen Gründen gelöscht werden, auch wenn der mögliche Nutzen noch unklar ist; und selbst am Beginn einer wissenschaftlichen Fragestellung besteht oft noch keine genaue Vorstellung davon, wie eine Studie durchgeführt wird oder welche Daten erhoben werden. Die Erfüllung von Informationspflichten scheitert bei der Weiterverwendung vielfach daran, dass keine oder keine aktuellen Kontaktdaten der Betroffenen vorhanden sind.

Bereits in Art. 11 Abs. 2 DSRL fand sich daher das «Forschungsprivileg» für die Weiterverwendung von Daten, das Ausnahmen von den Informationspflichten vorsah und nun in Art. 14 Abs. 5 lit. b DSGVO geregelt ist; die Privilegierungen hinsichtlich Zweckbindung und Speicherbegrenzung in Art. 6 Abs. 1 lit. b und e DSRL sind nun in Art. 5 Abs. 1 lit. b sowie e DSGVO normiert. Ebenso ermöglichte bereits Art. 13 Abs. 2 der DSRL den Mitgliedstaaten, analog zum neuen Art. 89 Abs. 2 DSGVO, Ausnahmen von den Betroffenenrechten vorzusehen. Dennoch bestehen wesentliche Unterschiede.

Wie bereits bisher, sind auch zukünftig prinzipiell alle personenbezogenen Daten für Wissenschaft und Forschung nutzbar, da aufgrund des schon oben festgestellten hohen Stellenwertes in unserer Gesellschaft eine entsprechende Interessensabwägung häufig⁴² zugunsten dieser Verarbeitungen ausfallen wird – insofern ist die grundsätzliche Vereinbarkeit mit den ursprünglichen Zwecken gemäß Art. 5 Abs. 1 lit. a und die Ausnahme von der Speicherbegrenzung in Art. 5 Abs. 1 lit. e kein Systembruch. Weitaus größeres Augenmerk als bisher wird allerdings auf Datensicherheit gelegt, und zwar in Bezug auf die Aufbewahrung von Daten über die für die ursprünglichen Zwecke notwendige Dauer hinaus. Sie stellt nichts anderes als eine erlaubte Form der «Vorratsdatenspeicherung» dar und ist daher nur mit einer strikten Änderung der Zweckbindung rechtmäßig, d.h. es muss u.a. dafür Sorge getragen werden, dass die Daten nur noch für Zwecke gemäß Art. 89 Abs. 1 verarbeitet werden.⁴³ Auch in diesen Fällen ist für Forschungszwecke und Statistik u.E. jedoch im Verzeichnis der Verarbeitungstätigkeiten eine Löschfrist gemäß Art. 30 Abs. 1 lit. f festzulegen. Die durchgängige Trennung von Archiv- und (wissenschaftlichen) Forschungszwecken in der DSGVO lässt u.E. nämlich nur den Schluss zu, dass zwar eine (langfristige) Speicherung zu Forschungszwecken zulässig sein muss, die Privilegierungen für im öffentlichen Interesse liegende (auch wissenschaftliche) Archivzwecke aus Art. 89 Abs. 3 aber nicht für einzelne Forschungsvorhaben in Anspruch genommen werden dürfen. Andernfalls könnten über den Umweg nationaler Bestimmungen gemäß Art. 89 Abs. 3 nämlich Beschränkungen für die Betroffenenrechte aus Art. 19 und 20 normiert werden, die für die Durchführung einzelner Forschungsprojekte in Art. 89 Abs. 2 nicht vorgesehen sind. Daraus folgt ebenso, dass eine (unbefristete) Archivierung zu nicht im öffentlichen Interesse liegenden (auch wissenschaftlichen) Zwecken – die ohnehin nicht privilegiert wäre – unzulässig ist. Demnach unterliegt auch die (unbefristete) Archivierung am Ende eines Forschungsprojekts, die im Zuge des Trends zu «Open Research Data» an Bedeutung gewinnt, den Regelungen der DSGVO zu im öffentlichen Interesse liegenden Archivzwecken.

Während aus einer (traditionellen) rechtstheoretischen und ethischen⁴⁴ Sicht die Einholung von Einwilligungen im Datenschutz tendenziell den «Königsweg» darstellt, ist sie in der Praxis mit einer Reihe von Problemen verbunden. Wie oben beschrieben, lässt sich der notwendige Umfang von Datensammlungen sowie der zukünftige Nutzen für Forschung und Wissenschaft, etwa bei Biobanken, häufig erst im Rahmen der Durchführung eines konkreten Forschungsvorhabens bestimmen.⁴⁵ Zu begrüßen ist daher die neu eingeführte Möglichkeit, eine breit formulierte Einwilligungserklärung («broad consent»)⁴⁶ einholen zu können. Dies ist nicht zuletzt in der medizinischen Forschung von großer praktischer Bedeutung – liegt doch nach der bisherigen österreichischen Rechtslage eine rechtsgültige Zustimmungserklärung in die Datenverwendung u.a. nur dann vor, wenn darin (im Vorhinein) der konkrete Verwendungszweck (abschließend) angegeben wird.⁴⁷

Die Artikel 29-Datenschutzgruppe der EU vertritt allerdings den Standpunkt, dass ErwGr. 159 zwar von einem «weit» auszulegenden Forschungsbegriff ausgehe, dieser jedoch nicht über seine «gewöhnliche» Bedeutung hinaus ausgedehnt werden dürfe und «wissenschaftliche Forschungszwecke» hier als (einzelne) Forschungsvorhaben auszulegen seien, die «in Übereinstimmung mit relevanten bereichsspezifischen methodischen und ethischen Standards» durchgeführt werden müssten. ErwGr. 33 setze das Erfordernis einer «spezifischen Einwilligung» nicht außer Kraft, bei besonderen Kategorien von Daten gemäß Art. 9 unterliege der flexible Ansatz einer engen Auslegung und strikten Prüfung.⁴⁸ Wenn die Zwecke zum Zeitpunkt einer Datensammlung nicht ausreichend spezifiziert werden können, schlägt die Artikel 29-Datenschutzgruppe beispielhaft vor, Einwilligungen nachfolgend für einzelne Forschungsvorhaben einzuholen oder im Rahmen der Durchführung regelmäßig Informationen zu geben, sobald diese zur Verfügung stehen.⁴⁹ Darüber hinaus sei ein klares «Forschungskonzept» hilfreich zum Nachweis der Erfüllung der Pflichten gemäß Art. 7 Abs. 1. Das Recht auf Widerruf der Betroffenen müsse zudem in geeigneter Weise gewährleistet werden.

Bei bereits bestehenden Datensammlungen ist zu beachten, dass Einwilligungen als Rechtsgrundlage ab 25. Mai 2018 nur noch herangezogen werden können, wenn diese im Wesentlichen den Vorgaben der DSGVO entsprechen.⁵⁰ Selbst bei Einhaltung der zitierten OGH-Judikatur wird dies in Bezug auf Art. 7 Abs. 3 jedoch selten der Fall sein, ebenso wenig bei den Informationspflichten aus Art. 13 und 14, wobei (derzeit) noch nicht geklärt scheint, ob – und wenn ja, welche – Auswirkungen neue oder «verschärfte» Anforderungen der DSGVO auf die weitere Gültigkeit bestehender Zustimmungserklärungen haben. Erschwerend kommt hinzu, dass in der DSGVO Einwilligungen kritisch gesehen werden, wenn ein Ungleichgewicht der Kräfte zwischen Betroffenem und Verantwortlichem besteht. Das gilt etwa für die durchaus gängige Verarbeitung von Studierendendaten, die im Rahmen einer (beurteilten) Lehrveranstaltung für Forschungszwecke erhoben werden, ebenso wie für jedes (andere) hoheitliche Verfahren, in dem Zustimmungen eingeholt wurden.

Wird eine Datenverarbeitung zu Forschungszwecken nicht auf eine Einwilligung, sondern auf eine andere Rechtsgrundlage gestützt, sind weiterhin die Informationspflichten aus Art. 13 und 14 relevant. Hinsichtlich der Zwecke der Verarbeitung ergibt sich analog zu Einwilligungen die oben dargestellte Problematik. Werden oder wurden personenbezogene Daten bei Betroffenen direkt erhoben, so muss jedenfalls über diese Zwecke informiert werden, was die spätere Weiterverwendung u.U. erschwert. Nur bei Datenerhebung aus anderen Quellen erlaubt Art. 14 Abs. 5 lit. b ein Abgehen von der Verpflichtung bei «Unmöglichkeit» oder «unverhältnismäßigem Aufwand», wobei ErwGr. 62 u.a. auf die Zahl der Betroffenen und das Alter der Daten abstellt. In diesen Fällen muss der Verantwortliche jedoch die Öffentlichkeit auf geeignete Weise über die Verarbeitung informieren und Vorkehrungen zum Schutz der Betroffeneninteressen ergreifen, denkbar ist hier neben Sicherheitsmaßnahmen beispielsweise eine DSFA und die Einbeziehung von Ethik-Kommissionen. Die Möglichkeit, auf Basis des Art. 14 Abs. 5 lit. c nationale Ausnahmeregelungen von den Informationspflichten auch im Forschungskontext zu normieren, erscheint im Übrigen zumindest denkbar.

Art. 89 Abs. 2 erlaubt den Mitgliedstaaten, über die in der DSGVO bereits vorgesehenen Beschränkungen der Betroffenenrechte gemäß Art. 15, 16, 18 und 21⁵¹ hinaus weitergehende einzuführen (ausschließlich für im öffentlichen Interesse liegende Archivzwecke gemäß Art. 89 Abs. 3 auch für die Rechte in Art. 19 und 20). Dies ist nachvollziehbar, da deren Ausübung den validen Abschluss eines bereits begonnenen Forschungsvorhabens und die damit verbundenen Investitionen gefährden kann. Nachdem die Ausgestaltung den Mitgliedstaaten im nationalen Recht überlassen bleibt, wird nachfolgend auf die Umsetzung in § 7 DSG eingegangen. Aus Sicht der DSGVO müssen im Gegenzug für Privilegierungen jedenfalls die Bedingungen und Garantien des Art. 89 Abs. 1 erfüllt werden.⁵² Diese Privilegierungen und Ausnahmen gelten außerdem nur, wenn keine anderen Zwecke mit der Datenverarbeitung verfolgt werden (Art. 89 Abs. 4),⁵³ was insbesondere für die (kommerzielle) Verwertung von Forschungsergebnissen von Bedeutung ist, sofern diese eine Weiterverarbeitung personenbezogener Daten erfordert.

Bei grenzüberschreitenden Forschungsprojekten ist durch das Abstellen auf nationale Regelungen bei Privilegierungen in Art. 85 und 89 Abs. 2-3 zunächst das jeweils anzuwendende Recht zu bestimmen, welches aufgrund der dargestellten Gestaltungsspielräume der DSGVO von der eigenen nationalen Rechtslage abweichen kann.⁵⁴ Die DSGVO enthält, anders als Art. 4 DSRL, keine Kollisionsnorm zum Anwendungsbereich der mitgliedstaatlichen Regelungen. Daher ist zunächst im Einzelfall zu bestimmen, ob das Sitzlandprinzip oder das Territorialitätsprinzip anzuwenden ist. Unklar ist in diesem Zusammenhang, inwieweit dies ausschließlich auf Basis des Wortlauts der jeweiligen Öffnungsklausel zu erfolgen hat⁵⁵ oder der nationalstaatlichen Regelung jeweils selbst vorbehalten sein kann, wobei aufgrund des Anwendungsvorrangs und der Harmonisierungsbestrebungen tendenziell erstere Lösung vorzuziehen wäre, etwa Deutschland und Österreich in der Umsetzung der DSGVO aber eine entsprechende Regelungskompetenz (unter Beibehaltung der bisherigen Rechtslage) für sich in Anspruch genommen haben. Selbst bei Zugrundelegung der DSGVO bestehen jedoch Unsicherheiten in der Auslegung, etwa bei Verantwortlichen ohne EU-Niederlassung oder in Bezug auf – für Forschungszwecke eher selten relevante – Einwilligungen von Kindern gemäß Art. 8 Abs. 1. Für Einwilligungen in Forschungsprojekte oder Veröffentlichungen kann dennoch gerade bei Kindern entscheidend sein, inwieweit nationale Bestimmungen in Bezug auf Einwilligungs-, Vertretungs- und Geschäftsfähigkeit zum Tragen kommen, da die DSGVO dazu keine Norm enthält, wie sie etwa für klinische Prüfungen mit Humanarzneimitteln auf unionsrechtlicher Ebene besteht.⁵⁶ Welche Kollisionsnormen ggf. anzuwenden sind, hängt u.a. von der rechtlichen Qualifizierung ab, wobei es sowohl Argumente zugunsten einer privatrechtlichen als auch einer öffentlich-rechtlichen Natur derartiger Einwilligungen gibt.⁵⁷

Ergänzend sei in diesem Zusammenhang angemerkt, dass mittel- bis langfristig für grenzüberschreitende Projekte und die Einwilligung von Kindern forschungsbereichsspezifische Verhaltensregeln⁵⁸ nach Art. 40 deutliche Erleichterungen mit sich bringen würden, sofern diese gemäß Abs. 7-9 allgemeine Gültigkeit in der Union erlangen. Die Ausarbeitung und Vorlage bei den Aufsichtsbehörden ist Verbänden und Vereinigungen, die Kategorien von Verantwortlichen oder Auftragsverarbeitern vertreten, vorbehalten (Art. 40 Abs. 2).

Das künftige Datenschutzgesetz (DSG) enthält in § 7 «spezifischere Bestimmungen»⁵⁹ für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke. Die Bestimmung entspricht weitestgehend (bis auf sprachliche Anpassungen an die DSGVO) dem bisherigen § 46 DSG 2000.⁶⁰ Laut den Gesetzesmaterialien kommen beide Regelungen nicht zur Anwendung, wenn Materiengesetze die Verarbeitung von Daten zum Zweck der wissenschaftlichen Forschung und Statistik vorsehen,⁶¹ insofern sind wie bislang leges speciales zu beachten. Art. 85 wird hingegen in § 9 DSG umgesetzt, was die Zweiteilung der DSGVO bei Privilegierungen der Wissenschaftsfreiheit widerspiegelt.

Aus Platzgründen kann nicht im Detail auf § 7 DSG eingegangen werden, sondern es muss vor allem auf die Genese und die Folgen hingewiesen werden. Im Zuge der Regierungskrise im Frühjahr 2017 wurde klar, dass sich eine fristgerechte Umsetzung der DSGVO nur noch vor den Neuwahlen realisieren lassen dürfte, weshalb es am 12. Mai 2017 trotz bereits weit fortgeschrittener Vorarbeiten zum ungeplant frühen Einbringen einer Entwurfsvorlage für ein Datenschutz-AnpassungsG 2018 durch das Bundeskanzleramt im Nationalrat kam. Der hohe Zeitdruck vor der parlamentarischen Sommerpause wird schon am äußerst ungewöhnlichen Umstand deutlich, dass die Regierungsvorlage am 7. Juni 2017 noch vor Ablauf der regulären Begutachtungsfrist dem Verfassungsausschuss im Parlament zugewiesen wurde. Dass der Neuentwurf speziell für Forschungszwecke nicht mehr den Stellenwert einer Balanceregelung wie im DSG 2000 einnehmen würde, sondern eher einen Hemmschuh für den Wissenschaftsstandort Österreich darstellt, wurde zwischenzeitlich in vielen Stellungnahmen von Bildungs- und Forschungsinstitutionen sowie -verbänden thematisiert; die geringfügigen Adaptionen in der Regierungsvorlage konnten das jedoch nicht mehr ausmerzen. ⁶²

Aus dem Wortlaut des § 7 Abs. 1 DSG geht klar hervor, dass die Norm Forschungszwecke i.S.d. § 89 Abs. 1 näher regelt, allerdings nicht in Umsetzung des folgenden Art. 89 Abs. 2, sondern (in § 7 Abs. 1–4 DSG) ergänzend (und teilweise abweichend) zum Weiterverwendungsprivileg der DSGVO in Art. 5 Abs. 1 lit. b. Die Öffnungsklausel, auf die sich § 7 DSG den Erläuterungen⁶³ zufolge stützt, ist Art. 6 Abs. 2 – höchst fraglich ist dennoch, ob diese tauglich ist, einen Eingriff in Art. 5 zu legitimieren. Daraus ergibt sich zudem, dass nur Forschungsvorhaben, die sich auf Art. 6 Abs. 1 lit. c oder e als Rechtsgrundlage stützen, von § 7 DSG umfasst sind, während etwa Forschungszwecke aus einem – überwiegend oder ausschließlich – privaten (kommerziellen) Interesse demnach wohl nicht der Regelung unterliegen.⁶⁴ In der Auslegungspraxis bedeutsamer dürfte hingegen sein, dass § 7 Abs. 1 DSG sich augenscheinlich nur auf konkrete Forschungsprojekte beziehen kann, die zudem keine personenbezogenen Ergebnisse zum Ziel haben, weshalb Datensammlungen zu vorerst unbestimmten Zwecken oder Projekte mit personenbezogenen Ergebnissen – typisch etwa für zeithistorische Forschung – ipso facto § 7 Abs. 2 unterliegen. Aufgrund des unbestimmten Begriffs «ermitteln» in § 7 Abs. 1 Z 2 DSG bestehen auch Unsicherheiten, ob die Weiterverarbeitung der personenbezogenen Ergebnisse von abgeschlossenen Forschungsprojekten damit umfasst ist, soweit diese nicht veröffentlicht wurden.

Die keine Deckung in der DSGVO findende Privilegierung pseudonymisierter Daten des alten § 46 DSG 2000 hat durch die Neuformulierung in § 7 Abs. 1 Z 3 DSG noch weitreichendere Folgen: Die Voraussetzungen des § 7 Abs. 1 DSG dürften zukünftig bei Forschungsprojekten mit personenbezogenen oder pseudonymisierten Daten (bei denen für den Verantwortlichen eine Re-Identifizierung mit «rechtlich zulässigen» Mitteln ausgeschlossen sein muss) nur noch sehr selten vorliegen, weshalb weitaus häufiger als bisher Genehmigungen der Datenschutzbehörde gemäß § 7 Abs. 2 Z 3 DSG notwendig werden.

Wie bereits angemerkt, erfolgt im DSG keine Umsetzung des Art. 89 Abs. 2 und 3, weshalb bei allen Datensammlungen und Forschungsprojekten in Österreich Ausnahmen von den dort aufgezählten Betroffenenrechten nur auf Basis der DSGVO begründet werden können. Auch wenn deren Ausübung nicht alltäglich in hoher Zahl zu erwarten ist, wird erst die Praxis zeigen, wie sich dies auswirkt.

Zusammenfassend hat der Gesetzgeber den sich in der DSGVO bietenden Spielraum nicht genutzt.⁶⁵ Fairerweise ist anzumerken, dass allzu liberale nationale Regelung allerdings davon bedroht sind, DSGVO-widrig zu sein und früher oder später aufgehoben zu werden, was gleichermaßen die Rechtsunsicherheit erhöht. Vorerst viel dramatischer wirkt sich jedoch aus, dass Österreich an antiquierten und zeitraubenden Genehmigungen durch die Datenschutzbehörde festhält,⁶⁶ die in der DSGVO weitgehend überwunden wurden. Verbunden mit dem erhöhten Druck für Forschungsinstitutionen, Datenschutz-Compliance sicherzustellen, und der weitaus häufigeren Notwendigkeit solcher Genehmigungen im Vergleich zur Vorgängerregelung, sollten die Folgen nicht unterschätzt werden.

An dieser Stelle sei aus Platzmangel nur noch kurz angemerkt, dass es dem nationalen Gesetzgeber nicht gestattet ist, im Rahmen der Öffnungsklauseln Recht zu schaffen, welches zu einem höheren Schutzniveau als jenem der DSGVO führt.⁶⁷ Ob dies hier in concreto vorliegt, kann an dieser Stelle nicht abschließend geprüft werden; dazu wird insbesondere die künftige Judikatur abzuwarten sein.

Erfreulicherweise wurde hingegen beim «Medienprivileg» zum Schutz des Rechts auf freie Meinungsäußerung der in Art. 85 Abs. 2 eröffnete Handlungsrahmen sehr umfangreich genutzt, es sind daher für die Verarbeitung zu «unmittelbar» publizistischen Tätigkeiten nur Art. 5, 28, 29, 32 sowie § 6 i.V.m. § 1 DSG zu beachten. Behoben wurde durch die Neuregelung gleichzeitig auch die spätestens seit dem EuGH-Urteil Satamedia⁶⁸ offensichtlich rechtswidrige Einschränkung im § 48 DSG 2000 auf Medienunternehmen und Mediendienste, indem das Privileg nun allen gleichermaßen zugänglich ist und außerdem auch auf die Verarbeitung zu künstlerischen, literarischen sowie (populär-)wissenschaftlichen Zwecken ausgedehnt wurde, soweit diese als spezielle Erscheinungsformen der Meinungsfreiheit ihre Ausprägung finden. Die Wissenschaftsfreiheit, die in diesem Zusammenhang ursprünglich vor allem dem Schutz vor Zensur diente, hat dadurch in der Interessensabwägung gegenüber dem Grundrecht auf Privatsphäre eine erweiterte Bedeutung erhalten. Es erscheint allerdings nicht sachgerecht, in Bezug auf die Veröffentlichung personenbezogener Daten hier weniger strenge Maßstäbe als beim Medienprivileg zugunsten journalistischer Verarbeitungstätigkeiten anzunehmen, d.h. es wird jedenfalls ein (aktuelles) Informationsbedürfnis der Gesellschaft bedient werden müssen, auch wenn ggf. der dauerhafte gesellschaftliche Erkenntnisgewinn stärker im Vordergrund steht.

Während Verarbeitungstätigkeiten im Vorfeld «unmittelbar» publizistischer wissenschaftlicher Aktivitäten unzweifelhaft nicht dem § 9 DSG unterliegen, erscheint eine Abgrenzung zu § 7 Abs. 1 DSG in jenen Fällen, in denen personenbezogene Ergebnisse von vornherein ausschließlich zur Veröffentlichung im Rahmen des Medienprivilegs bestimmt sind, als interpretativ schwierig. Der Widerspruch ist möglicherweise lösbar, indem § 9 DSG als «besondere gesetzliche Vorschrift» i.S.d. § 7 Abs. 2 Z 1 DSG herangezogen werden könnte, was etwa im oben erwähnten Bereich der zeithistorischen Forschung vielfach (insbesondere bei Beschränkung auf öffentlich zugängliche und durch Archivgesetze geregelte Quellen) eine Genehmigung der Datenschutzbehörde erübrigen würde.

Wie oben beschrieben wurde die Regierungsvorlage des Datenschutz-AnpassungsG 2018 im Rahmen des parlamentarischen Prozesses nur unwesentlich geändert, dennoch sah der Verfassungsausschuss sich aufgrund der vielen kritischen Stellungnahmen zu § 7 DSG veranlasst, in seinem Bericht mit Nachdruck hervorzuheben, «dass die legitimen gesellschaftlichen Erwartungen in Bezug auf einen Wissenszuwachs gemäß Erwägungsgrund 113 der Datenschutz-Grundverordnung auch durch die Erlassung spezialgesetzlicher Regelungen erreicht werden können. Damit sollen […] praxisnahe Regelungen […] insbesondere für pseudonymisierte Daten und Regelungen zur Registerforschung […] sowie Rechtssicherheit insbesondere für bereits bestehende biologische Proben- und Datensammlungen […] gewährleiste[t werden].»⁶⁹

In der Folge startete das zuständige Bundesministerium (bmwfw) unter Einbeziehung von Stakeholdern eine Initiative zur Ausarbeitung derartiger spezialgesetzlicher Regelungen, zum Zeitpunkt des Redaktionsschlusses für diesen Beitrag war aber deren Schicksal und der Zeitrahmen dafür noch nicht absehbar. Zu den beabsichtigten vorrangigen Regelungsinhalten zählen gemäß den zur Verfügung stehenden Informationen u.a. die Klarstellung der «öffentlichen Stelle» i.S.d. Art. 27 DSGVO,⁷⁰ die Einschränkung der Genehmigungspflicht gemäß § 7 Abs. 2 DSG, die Umsetzung des Art. 89 Abs. 2 und 3 sowie Regelungen für Biobanken, Registerforschung, Big-Data, die Übernahme der Altersregelung von klinischen Prüfungen sowie eine Legaldefinition der wissenschaftlichen Forschung. Es bleibt abzuwarten, ob und inwieweit diese geplanten leges speciales § 7 DSG «entschärfen» können bzw. sonstige Erleichterungen für die Forschung mit sich bringen werden.

Aufgrund der aufgezeigten Komplexität des neuen Datenschutzrechts (auch) im Bereich der wissenschaftlichen Forschung, den sich daraus ergebenden Herausforderungen für Institutionen im Forschungsbereich und insbesondere der Pflicht des Verantwortlichen (= der jeweiligen Institution), die Einhaltung der Grundprinzipien der DSGVO und die Umsetzung geeigneter Maßnahmen jederzeit nachweisen zu können (s Art. 5 Abs. 2, Art. 24 Abs. 1; sog «Rechenschaftspflicht»), besteht aus Sicht der Verfasser Handlungsbedarf zur Herstellung und Gewährleistung von Datenschutz-Compliance. Kam den Datenschutzaspekten in der wissenschaftlichen Forschung in der Vergangenheit nicht immer der erforderliche Stellenwert zu, ist nunmehr festzustellen, dass an der Einrichtung eines adäquaten Datenschutz-Managementsystems⁷¹ an Forschungseinrichtungen, welche mit personenbezogenen Daten umgehen, kein Weg vorbeiführen wird.

Zwar werden gem. § 30 Abs. 5 DSG gegen Behörden und öffentliche Stellen (und damit auch gegen Universitäten als juristische Personen des öffentlichen Rechts gemäß § 4 UG) keine Geldbußen verhängt, dennoch sprechen (neben der Tatsache, dass der Datenschutz grundrechtlich verankert ist) mehrere gewichtige Argumente für eine Datenschutz-Compliance durch Universitäten und sonstige Forschungseinrichtungen: Zum einen sieht § 62 DSG Verwaltungsstrafen bis zu € 50‘000,– u.a. bei Verstoß gegen § 7 DSG vor, zudem drohen strafrechtliche Konsequenzen (§ 63 leg. cit.). Weitaus relevanter ist jedoch die zivilrechtliche Haftung des Verantwortlichen (der Universität) gegenüber Betroffenen und Auftraggebern (man denke z.B. an Drittmittelgeber und entsprechende Schad- und Klagloshaltungsklauseln in Förderverträgen) nach Art. 82 DSGVO, «Fördersperren» durch Fördergeber nach einem negativen Datenschutz-Audit, die Prüfung durch die Datenschutzbehörde (mit einer eventuellen Untersagung der Datenverarbeitung gem. § 22 Abs. 4 DSG). Last but not least ist an die öffentlichkeitswirksame Berichterstattung («PR-Desaster») über einen Datenschutzvorfall zu denken, die eine Universität in erheblichen Rechtfertigungsnotstand bringen könnte.

Als Maßnahmen zur Einführung eines Datenschutz-Managementsystems empfehlen die Verfasser überblicksartig (und naturgemäß nicht abschließend) Folgendes:⁷²

Zunächst ist (sofern dies nicht bereits geschehen ist) im Rektorat bzw. der jeweiligen Geschäftsführung die Awareness für den gesteigerten Stellenwert des Datenschutzes zu schaffen. Nach einem entsprechenden Auftrag und der Ressourcenbereitstellung durch die leitenden Organe ist ein multidisziplinäres Kernteam mit der Ausarbeitung eines Umsetzungskonzepts und der weiteren Implementierung samt Berichterstattung zu betrauen (eventuell unter Beiziehung Externer).⁷³ Nach Ansicht der Autoren besteht für die meisten Bildungs- und Forschungseinrichtungen die Pflicht zur Benennung eines Datenschutzbeauftragten gemäß Art. 37 Abs. 1 lit. b bzw. lit. c (soweit sie nicht ohnehin als «öffentliche Stelle» gem. Art. 37 Abs. 1 lit. a zu qualifizieren sind), weshalb ein solcher frühzeitig zu benennen sein wird; dieser ist auch Mitglied des Projektteams. Bei der Bestellung eines (internen oder externen) Datenschutzbeauftragten ist zu beachten, dass an der jeweiligen Institution (über das Kernteam hinaus) zusätzliche Personen benötigt werden, die mithelfen, die Anforderungen tatsächlich zu implementieren.

Nach einer Klärung des internen Datenschutz-Ist-Stands wird empfohlen, ein Verzeichnis der Verarbeitungstätigkeiten zu erstellen (Art. 30 DSGVO). Daraus ist sodann u.a. (ggf. nach Vornahme einer Schwellwertanalyse) abzuschätzen, ob und bei welchen Verarbeitungen eine Datenschutz-Folgenabschätzung gem. Art. 35 durchzuführen ist. Als weiterer Punkt ist die Sicherstellung der Einhaltung der Rechte der betroffenen Personen nach Art. 12 ff. zu nennen, dabei wird den Informationspflichten (Art. 13 und 14) besondere Aufmerksamkeit zu widmen sein, u.a. da diese durch die DSGVO erweitert werden.

Weiters verlangt Art. 24 Abs. 2 die Erarbeitung bzw. Überarbeitung von (bereichsspezifischen) Datenschutz-Richtlinien, z.B. einer «Datenschutz-Richtlinie für die Durchführung von Forschungsprojekten», insbesondere um Art. 89 Abs. 1 DSGVO einzuhalten. Beispielhaft seien folgende Inhalte einer solchen Policy genannt: die Festschreibung interner Verantwortung/Zuständigkeiten; ein «Datenschutz-Meldeprozess» für Forschungsprojekte; ein How-to zur Anonymisierung/Pseudonymisierung; die Mindestanforderungen an die Weitergabe personenbezogener Daten (z.B. Mindestinhalte von Data Sharing Agreements, wie Reidentifizierungs- und Weitergabeverbote des Empfängers), wobei die Vorschriften der DSGVO für Datenübermittlungen an Empfänger (z.B. bei internationalen Forschungsprojekten in Drittländer) zu beachten sind (Art. 44 ff.); Maßnahmen zur Einhaltung der Datensicherheit z.B. durch Verweise auf einzuhaltende Infosec-Richtlinien etc. Als beispielhafte weitere Umsetzungsmaßnahmen sind Datenschutz-Schulungen der MitarbeiterInnen und die Verpflichtung der MitarbeiterInnen auf das Datengeheimnis (§ 6 DSG) sowie die Prüfung und etwaige Anpassung bestehender Dienstleisterverträge (künftig Auftragsverarbeitungsverträge) an Art. 28 DSGVO zu nennen. Zu betonen ist abschließend, dass es sich bei der Herstellung von Datenschutz-Compliance um einen ständigen Prozess handelt, welcher kaum jemals abgeschlossen sein wird. So wird der «Reifegrad» der Datenschutzorganisation u.a. durch regelmäßige Compliance-Audits zu überprüfen sein.

Abzuwarten bleibt, ob der österreichische Gesetzgeber künftighin einige in der DSGVO enthaltenen Ausgestaltungsmöglichkeiten zugunsten der wissenschaftlichen Forschung aufgreifen wird – hat er doch bislang davon kaum Gebrauch gemacht. Dort, wo andere EU-Mitgliedsstaaten die Öffnungsklauseln in diesem Bereich nutzen, wird es nach Auffassung der Verfasser bei transnationalen Forschungsprojekten zu einer (weiterhin) aufwändigen Abklärung der anwendbaren datenschutzrechtlichen Vorgaben kommen – von einer «Vollharmonisierung» im Sinne einer Schaffung eines einheitlichen europäischen Raums der Forschung (Art. 179 Abs. 1 AEUV) kann daher kaum gesprochen werden.