David Klein - DS-GVO/BDSG

230

Gleichwohl legt ErwG 53 S. 5einschränkend fest, dass die mitgliedstaatlichen Regelungen nicht den freien Verkehr personenbezogener Daten innerhalb der Union beeinträchtigen dürfen, falls die Regelungen für die grenzüberschreitende Verarbeitung von Daten gelten. Daraus folgt, dass die jeweiligen nationalen Regelungen hinsichtlich ihres Schutzzwecks geeignet, erforderlich und hinsichtlich der Vereinbarkeit mit dem freien Datenverkehr angemessen sein müssen.[364]

231

Im Rahmen der Verarbeitung von genetischen Daten[365] finden sich insbesondere im Gendiagnostikgesetz (GenDG) weitere Voraussetzungen, z.B. § 8 Abs. 1 GenDG hinsichtlich des Schriftformerfordernisses. Insofern ist eine ausdrückliche und schriftliche Einwilligung erforderlich. Der Ausnahmetatbestand des Art. 9 Abs. 2 lit. awird also mangels ausdrücklichen Formerfordernisses von der nationalen Regelung nach Art. 9 Abs. 4verdrängt. Besondere Anforderungen hinsichtlich genetischer Verfahren finden sich zudem in den §§ 81e–g StPO. Darüber hinaus sind § 3 Embryonenschutzgesetz und § 1598a BGB zur Feststellung der biologischen Vaterschaft zu beachten.

232

Spezifische mitgliedstaatliche Regelungen hinsichtlich der Verarbeitung biometrischer Daten[366] finden sich etwa in §§ 4 Abs. 4, 16 Abs. 3 PaßG sowie den §§ 5 Abs. 2, 14 ff. PAuswG. Nach § 4 Abs. 4 PaßG sind etwa die in dem Reisepass gespeicherten Daten durch besondere Sicherungsmaßnahmen gegen Manipulationen zu sichern. § 16 Abs. 3 PaßG enthält besondere Bestimmungen hinsichtlich der Speicherung von Daten und enthält Löschfristen.

233

Für Gesundheitsdaten[367] finden sich spezifische Bestimmungen z.B. in den Sozialgesetzbüchern(§§ 284 ff. SGB V, 15 Abs. 2 Nr. 9 SGB VII, 67 ff. SGB X, 93 ff. SGB XI), im BGB(§§ 630a ff. BGB), im Infektionsschutzgesetz(§ 9 InfSchG) oder im Arzneimittel- und Medizinproduktegesetz(§§ 62 Abs. 2 AMG sowie § 20 Abs. 1 Nr. 2 MPG).

234

Für die Mitgliedstaaten ist somit die Regelung des Art. 9 Abs. 4Segen und Fluch zugleich: Zwar erhalten sie durch die Öffnungsklausel nationale Regelungskompetenzen, gleichwohl müssen Rechtsanwender und Verantwortliche nunmehr sorgsam prüfen, ob das Schutzniveau der mitgliedstaatlichen Regelungen oder dasjenige der DS-GVO höher ist. Diese Prüfung entscheidet darüber, welche Norm zur Anwendung gelangt und darüber, ob die datenschutzrechtlichen Anforderungen eingehalten wurden. Dies ist insbesondere vor dem Hintergrund einer möglichen Geldbuße entscheidend. Gerade für international agierende Unternehmen wird dies eine besondere Herausforderung darstellen, da sie eine Vielzahl von Normen miteinander vergleichen müssen, um den Anforderungen des Art. 9 Abs. 4gerecht zu werden. Daher ist es nicht ausreichend, sich strikt an den Vorgaben des Art. 9zu orientieren. Vielmehr muss stets die Verzahnung der Regelungen der DS-GVO mit den mitgliedstaatlichen Regelungen beachtet und die jeweiligen Tatbestandsvoraussetzungen der einschlägigen Normen sorgsam geprüft werden.

235

§ 27 BDSGn.F. macht von der Öffnungsklausel des Art. 9 Abs. 2 lit. jGebrauch.

236

Nach § 27 Abs. 1 BDSG n.F. ist die Verarbeitung sensibler Daten nach Art. 9 Abs. 1auch ohne Einwilligung für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke zulässig, wenn die Verarbeitung für diese Zwecke erforderlich ist und die Interessen des Verantwortlichen an der Verarbeitung die Interessen der betroffenen Person an einem Ausschluss der Verarbeitung erheblich überwiegen.

237

§ 27 BDSGn.F. schafft demnach eine zusätzliche Regelung zu Art. 9 Abs. 2 lit. jauf nationaler Ebene.

238

§ 27 BDSGn.F. ist dabei § 28 Abs. 6 Nr. 4 BDSG a.F. nachempfunden.

Die Vorschrift gilt für die öffentliche und private Forschung durch öffentliche und nichtöffentliche Stellen.[368]

239

Die Verarbeitung nach § 27 Abs. 1 BDSG n.F.gilt ausschließlichfür sensible Daten i.S.d. Art. 9 Abs. 1.[369] Die Verarbeitung von nicht unter Art. 9 Abs. 1fallenden Daten richtet sich entweder unmittelbar nach der DS-GVO (insbesondere Art. 6 Abs. 1) oder nach im Einklang mit der Verordnung erlassenen Rechtsgrundlagen des Unions- oder nationalen Gesetzgebers.[370]

240

Für die Weiterverarbeitungvon personenbezogenen Daten durch öffentliche und nichtöffentliche Stellen gilt insoweit: Nach Art. 5 Abs. 1 lit. bkönnen personenbezogene Daten zu wissenschaftlichen oder historischen Forschungszwecken wegen ihrer Kompatibilität weiterverarbeitet werden. Der Verantwortliche kann sich also erneut auf die Rechtsgrundlage stützen, die bereits für die Erstverarbeitung galt. Dies trifft auch auf die Weiterverarbeitung sensibler Daten zu, für die § 27 Abs. 1 BDSG n.F. als Ausnahmetatbestand von dem Verbotsgrundsatz des Art. 9 Abs. 1gilt.[371] Die §§ 23, 24 BDSGn.F. finden insoweit keine Anwendung [372]

241

§ 27 Abs. 1 BDSG n.F. trägt damit praktischen Bedürfnissen Rechnung: Ein Anwendungsfall kann bspw. in der Sozialforschungliegen, wenn sensible Daten von Behörden an Forschungseinrichtungen übermittelt werden. Diese Daten können dann bei Vorliegen der Voraussetzungen von § 27 Abs. 1 BDSG n.F., ohne separate Einwilligungserklärung der betroffenen Personen, unmittelbar zu Forschungszwecken genutzt werden. Zu beachten ist stets, dass die Datenverarbeitung zu den in § 27 Abs. 1 BDSG genannten Zwecken erforderlichsein muss.[373] Ausreichend ist dafür, dass die Datenverarbeitung notwendig ist, um die Zweckerreichung zumindest zu fördern. Dass der Zweck auch erreicht wird oder dass das Forschungsvorhaben realisiert wird, ist demgegenüber nicht erforderlich.[374] Vor diesem Hintergrund ist eine Interessenabwägungerforderlich, die zeigt, dass die Interessen des Verantwortlichen an der Datenverarbeitung die Interessen der betroffenen Person am Ausschluss dieser erheblich überwiegen.[375] Für die Praxis dürfte es schwierig sein belastbare Parameter zu entwickeln, mittels derer sich ein erhebliches Überwiegen feststellen ließe.[376] Indizien können etwa das besondere Forschungsinteresse oder die herausragende Bedeutung des Forschungsvorhabens für eine Vielzahl von Menschen sein.[377] Jedenfalls trifft den Verantwortlichen nach Art. 5 Abs. 2eine Pflicht zur Dokumentation der Abwägungsentscheidung.

242

Ein weiteres Anwendungsfeld liegt zudem etwa in der biomedizinischen Forschungund zwar etwa dann, wenn aus technischen oder organisatorischen Gründen eine Einwilligung des Betroffenen nicht möglich ist. Dies ist etwa beim Umgang mit genetischen Daten und Biomaterialproben, die gerade nicht auf der Grundlage einer Einwilligungserklärung erhoben wurden, der Fall. Hier kann die Einholung einer nachträglichen Einwilligungserklärung ausgeschlossen sein, weil die Identität der betroffenen Person nicht mehr ermittelt werden kann.[378]

243

Insofern ist für Fälle, bei denen eine Einwilligung als Erlaubnistatbestand ausscheidet, eine gesetzliche Grundlage für Tätigkeiten im o.g. Sinne unerlässlich, die dabei zugleich eine Abwägung aller relevanten Interessen ermöglicht. Dies bedeutet freilich nicht, dass es dem Verantwortlichen nicht freisteht für die Verarbeitung sensibler Daten eine entsprechend den Anforderungen nach Art. 9 Abs. 2 lit. awirksame Einwilligung der betroffenen Person einzuholen, die ihm die Datenverarbeitung i.S.d. in § 27 Abs. 1 BDSG genannten Zwecke gestattet.[379] Hierbei sind entsprechend ErwG 33 und den Empfehlungen der DEK die Erleichterungen bei der Verarbeitung sensibler Daten zu Forschungszwecken zu beachten. Vgl. dazu Rn. 126sowie die Kommentierung zu Art. 89 Rn. 21ff.[380]