David Klein - DS-GVO/BDSG

244

Zur Umsetzung der Schutzmaßnahmen entsprechend § 27 Abs. 1 S. 2 wird wieder auf die konkretisierenden technisch organisatorischen Maßnahmen in § 22 BDSGverwiesen. § 22 Abs. 2 BDSG sieht dabei für wissenschaftliche und historische Forschungszwecke die Anonymisierung und getrennte Datenspeicherung vor.

245

§ 27 Abs. 2 S. 1 BDSG n.F.macht von der Öffnungsklausel des Art. 89 Abs. 2 Gebrauch und schränkt die Rechte nach den Art. 15, 16, 18und 21ein.[381] Insofern soll die Regelung die Durchführung von Forschungsvorhaben erleichtern und Forschungsprojekte ohne Einschränkungen ermöglichen.[382] Vgl. zu § 27 Abs. 2 BDSG auch die Kommentierung im Rahmen von Art. 89 Rn. 51und 55ff.

246

So sollen etwa Fälle verhindert werden, in denen Datenverarbeitungen zu Forschungs- oder Statistikzwecken dadurch unmöglich werden, dass die zuständige Ethikkommission zum Schutz der betroffenen Person eine Durchführung des Projekts untersagt.[383] Insofern ist zu beachten, dass § 27 Abs. 2 S. 1 BDSG die Betroffenenrechte nicht ausschließt, sondern nur insoweit einschränkt, wie die Geltendmachung dieser Rechte die Verwirklichung der mit der Datenverarbeitung verfolgten Zwecke voraussichtlich unmöglich machen oder ernsthaft beeinträchtigen und die Einschränkungen für die Zweckerreichung notwendig sind.[384] Das „voraussichtlich“ zeigt, dass der Verantwortliche u.U. eine Prognoseentscheidung treffen muss. Dies macht eine Prüfung der Umstände im konkreten Einzelfall bzw. in Bezug auf das jeweilige Forschungsvorhaben notwendig.[385]

247

Darüber hinaus schränkt § 27 Abs. 2 S. 2 BDSG n.F.in Anlehnung an § 33 Abs. 2 S. 1 Nr. 5 i.V.m. § 34 Abs. 7 sowie § 19a Abs. 2 Nr. 2 BDSG a.F. das Auskunftsrecht für die Fälle unverhältnismäßigen Aufwands unter Ausnutzung der Öffnungsklausel des Art. 23 Abs. 1 lit. i ein. Das kann bspw. dann der Fall sein, wenn ein Forschungsvorhaben mit besonders großen Datenmengen arbeitet. Die Einschränkung der Betroffenenrechte in Abs. 2 gilt für alle Kategorien personenbezogener Daten.[386] Unklar bleibt für den Rechtsanwender allerdings, welche Kriterien zur Einschränkung der Betroffenenrechte heranzuziehen sind. Insofern ist auf § 630g Abs. 1 BGB hinzuweisen, der bereits heute die Einschränkung der Betroffenenrechte bei der Einsichtnahme in die Patientenakte vorsieht. Dies kann zumindest in der Praxis als Leitlinie dienen und Maßstäbe für einen Ausschluss der Betroffenenrechte setzen.[387] Vgl. zu § 27 Abs. 2 S. 2 BDSG auch die Kommentierung im Rahmen von Art. 89 Rn. 56.

248

§ 27 Abs. 3 und 4 BDSG n.F. sind § 40 Abs. 2 und 3 BDSG a.F. entlehnt. Nach § 27 Abs. 3 sind ergänzend zu den Maßnahmen nach § 22 Abs. 2 die verarbeiteten sensiblen Daten zu anonymisieren, sobald dies nach dem Forschungs- oder Statistikzweck möglich ist, es sei denn, berechtigte Interessen der betroffenen Person stehen dem entgegen. Bis dahin sind nach § 27 Abs. 3 S. 2 die Einzelangaben, die die Herstellung eines Personenbezugs ermöglichen getrennt von den sonstigen Inhaltsdaten zu speichern. Die Formulierung erinnert an eine Pseudonymisierung entsprechend Art. 4 Nr. 5, Art. 25, 32, ausreichend ist aber wohl bereits die „logische Trennung“[388] der Informationen, so dass eine Zuordnung nicht unmittelbar möglich ist.

249

§ 27 Abs. 4 BDSG statuiert, dass eine Veröffentlichung personenbezogener Daten nur mit Einwilligung der betroffenen Person möglich ist oder dies für die Darstellung von Forschungsergebnissen über Ereignisse der Zeitgeschichte unerlässlich ist. Hierbei ist zunächst zu bemerken, dass die Veröffentlichung der personenbezogenen Daten der Einwilligung bedarf, nicht die Forschungsergebnisse als solche.[389] Was unter „Ereignissen der Zeitgeschichte“ zu verstehen ist, bleibt unklar.[390] Zu denken ist etwa an den Ausbruch einer seltenen, aber gefährlichen Krankheit zur Entwicklung von Medikamenten oder zur Verhinderung einer Pandemie. Dazu auch Kommentierung im Rahmen von Art. 89 Rn. 57.

250

§ 28 BDSG n.F.regelt die Datenverarbeitung zu im öffentlichen Interesse liegenden Archivzwecken durch öffentliche und nichtöffentliche Stellen. In inhaltlicher Hinsicht erstreckt sich der Anwendungsbereich der Vorschrift sowohl auf öffentliches als auch privates Archivgut.[391] Ausführlich dazu vgl. auch Art. 89 Rn. 15f.

251

§ 28 Abs. 1 BDSGn.F. gilt nur für die Verarbeitung sensibler Daten im Sinne des Art. 9 Abs. 1. Die Verarbeitung von personenbezogenen Daten, die unter Art. 6 fallen, richtet sich daher nach den Vorgaben der DS-GVO oder nach den sonstigen Rechtsgrundlagen im europäischen oder mitgliedstaatlichen Recht,[392] etwa nach dem Bundesarchivgesetz (BArchG). Da aber § 28 BDSGim Gegensatz zum BArchG hinsichtlich des Datenschutzes spezieller ist, ist von einer parallelen Anwendbarkeit auszugehen. Das BDSG wird insoweit nicht vom BArchG nach § 1 Abs. 2 BDSG verdrängt. Zum Zusammenspiel von DS-GVO mit den Archivgesetzen vgl. Art. 89 Rn. 19.

252

Mit § 28 Abs. 1 BDSGn.F. wird von der Öffnungsklausel aus Art. 9 Abs. 2 lit. jGebrauch gemacht und damit auf nationaler Ebene eine Ausgestaltung des Ausnahmetatbestandes vorgenommen.

253

Der Verweis in § 28 Abs. 1 BDSGn.F. auf den Beispielskatalog des § 22 Abs. 2 S. 2 BDSG n.F. hat nicht zur Folge, dass die Anwendung mindestens einer genannten Maßnahme bei der Verarbeitung sensibler Daten zu im öffentlichen Interesse liegenden Archivzwecken zwingend ist. Vielmehr können auch andere angemessene und spezifische Maßnahmen getroffen werden.[393]

254

Für die Weiterverarbeitung von sensiblen Daten gilt: Nach Art. 5 Abs. 1 lit. bist eine Weiterverarbeitung zu im öffentlichen Interesse liegenden Archivzwecken mit dem ursprünglichen Verarbeitungszweck kompatibel. Daher kann sich der Verantwortliche hinsichtlich der Rechtsgrundlage für die Weiterverarbeitung auf die Rechtsgrundlage stützen, die bereits für die Erstverarbeitung galt. §§ 23, 24und 25 BDSGn.F. finden dann keine Anwendung. Will der Verantwortliche aber sensible Daten weiterverarbeiten, benötigt er nicht nur eine Rechtsgrundlage, sondern auch einen Ausnahmetatbestand von dem Verbot des Art. 9 Abs. 1. Er muss mithin auch bei der Weiterverarbeitung § 28 Abs. 1 BDSGn.F. beachten.[394] Für die Praxis bleibt daher festzuhalten, dass verantwortliche Stellen, die sensible Daten verarbeiten oder verarbeitet haben und etwa den Verarbeitungszweck erreicht haben, nicht unmittelbar zur Löschung der Daten verpflichtet sind. Vielmehr bleibt im Rahmen der Privilegierung durch Art. 5 Abs. 1 lit. bund unter den Voraussetzungen von Art. 89und § 28 BDSGeine Weiterverarbeitung zu im öffentlichen Interesse liegenden Archivzwecken möglich, ggf. sogar erforderlich. Die Anbietungspflicht des BArchG wird also nicht durch eine datenschutzrechtliche Löschpflicht nach § 6 Abs. 2 BArchG aufgelöst. Vielmehr gelten hinsichtlich der Anbietungspflicht weiterhin die Vorgaben des BArchG. Vgl. dazu auch Art. 5 Rn. 73sowie Art. 89 Rn. 19.

255

Was unter „Archivzwecken“ zu verstehen ist, wird weder in der DS-GVO noch im BDSG näher bestimmt. Gleichwohl können ErwG 158 sowie die Begriffsbestimmungen aus § 1 BArchG beispielhaft zur Begriffsbestimmung herangezogen werden.[395] Dazu auch Art. 89 Rn. 15f.

256

In § 28 Abs. 2 bis 4 BDSG n.F. werden i.S.d. Öffnungsklausel des Art. 89 Abs. 3 die Rechte gem. der Art. 15, 16, 18, 20und 21eingeschränkt (vgl. dazu Art. 89 Rn. 47und 58ff.). Insofern gelten an dieser Stelle die Ausführungen zu § 27 Abs. 2 S. 1 BDSG n.F. sinngemäß. Im Hinblick auf § 28 Abs. 2 BDSG ist von einer archivischen Erschließung auszugehen, wenn die Ordnung und Verzeichnung des Archivgutes nicht anhand des Namens, sondern mittels eines anderen Merkmals erfolgt.[396] Die Beschränkung des Auskunftsrechts beschränkt sich daher auf Fälle, in denen das Archivgut keine Angabe zum Namen der betroffenen Person macht oder das Archivgut mithilfe des Namens nicht ohne unvertretbaren Aufwand ausfindig gemacht werden kann.[397] Die Beurteilung richtet sich dabei nach den Umständen des jeweiligen Einzelfalls.