Handreichung – Vernetzte Forschung und die Verarbeitung personenbezogener Daten

Handreichung Vernetzte Forschung und die Verarbeitung personenbezogener Daten Bettina Mey Hochschule Bielefeld Vernetzte Forschung und die Verarbeitung personenbezogener Daten 2 Hintergrund: Die Handreichung „Vernetzte Forschung und die Verarbeitung personenbezogener Daten“ wurde im Rahmen des Projekts UFOowl – Umgang mit Forschungsdaten an HAW in OWL erstellt. Das BMFTR-geförderte Projekt UFOowl ist ein Verbundprojekt der Technischen Hochschule OWL (Förderkennzeichen 16FDFH136A) und der Hochschule Bielefeld (Förderkennzeichen 16FDFH136B). Es verfolgt das Ziel, den Umgang mit Forschungsdaten an den beteiligten Hochschulen durch den Aufund Ausbau von Services gezielt zu verbessern. Dazu gehören unter anderem das Durchführen von Schulungen, das Führen von Beratungsgesprächen, die Etablierung von FDM-Tools sowie die regionale und überregionale Vernetzung. Die vorliegende Handreichung fasst zusammen, welche Aspekte bei der Verarbeitung personenbezogener Daten im Rahmen von Forschungskooperationen zu beachten sind. Sie erläutert die datenschutzrechtlichen Anforderungen sowie die zu planenden oder notwendigen Maßnahmen und verweist auf bestehende Unterstützungsangebote. Autorin: Bettina Mey Projektmitglieder: Oliver Claas, Katja Gödde, Felix Schreiber, Nadine Schröder ORCID: Dr Oliver Claas: https://orcid.org/0000-0003-3008-720X Katja Gödde: https://orcid.org/0009-0003-8875-1860 Bettina Mey: https://orcid.org/0009-0000-3642-8197 Felix Schreiber: https://orcid.org/0009-0002-6853-7173 Nadine Schröder: https://orcid.org/0000-0001-6650-4656 DOI: 10.5281/zenodo.17749865 Vernetzte Forschung und die Verarbeitung personenbezogener Daten 3 Inhalt 1. Die Handreichung ............................................................................................................................ 5 2. Vernetzte Forschung im Verbund ................................................................................................... 5 3. Die Ausgangsfrage: Werden personenbezogene Daten verarbeitet? ............................................ 6 3.1 Personenbezogene Forschungsdaten ..................................................................................... 6 3.1.1 Beispiele für Forschungsdaten mit Personenbezug ........................................................ 6 3.1.2. Forschungsdaten, die eine mittelbare Identifizierbarkeit ermöglichen .......................... 7 3.2 Die besonderen Kategorien personenbezogener Daten ......................................................... 7 3.3 Wann liegt i.S.d. DSGVO die Verarbeitung von personenbezogenen Daten vor? .................. 8 3.4 Pseudonymisierte bzw. anonymisierte personenbezogene Forschungsdaten ....................... 9 3.4.1 Pseudonymisierung ......................................................................................................... 9 3.4.2 Anonymisierung............................................................................................................... 9 4. Regelungen zur datenschutzrechtlichen Verantwortung ............................................................. 10 4.1 Alleinige Verantwortung ....................................................................................................... 10 4.2 Gemeinsame Verantwortung der Verbundpartner gem. Art. 26 DSGVO ............................. 11 4.3 Einbeziehung externer Stellen (z.B. Auftragsdatenverarbeitung Art. 28 DSGVO) ................ 12 5. Anforderungen an eine datenschutzkonforme Verarbeitung personenbezogener Daten ........... 13 5.1 Rechtmäßigkeit ...................................................................................................................... 13 5.2 Transparenz ........................................................................................................................... 13 5.3 Verarbeitung nach Treu und Glauben ................................................................................... 14 5.4 Zweckbindung ....................................................................................................................... 14 5.5 Datenminimierung ................................................................................................................ 14 5.6 Richtigkeit .............................................................................................................................. 14 5.7 Speicherbegrenzung .............................................................................................................. 14 5.8 Integrität und Vertraulichkeit – Datensicherheit .................................................................. 14 5.9 Rechenschaftspflicht ............................................................................................................. 15 6. Die Einwilligung ............................................................................................................................. 15 6.1 Wirksamkeit der informierten Einwilligung .......................................................................... 15 6.2 Inhalt und Umfang der Einwilligung in die Datenverarbeitung ............................................. 16 7. Weitere Aspekte zur Organisation des Datenschutzes ................................................................. 17 7.1 Umsetzung von Maßnahmen zur Sicherstellung der Datensicherheit .................................. 17 7.2 Datenschutzfolgeabschätzung / Schwellwertanalyse ........................................................... 18 7.3 Drittlandtransfer .................................................................................................................... 18 7.4 Datenschutzpannen............................................................................................................... 18 7.5 Sonstiges ................................................................................................................................ 18 Vernetzte Forschung und die Verarbeitung personenbezogener Daten 4 8. Checklisten .................................................................................................................................... 20 8.1 Ersterfassung geplanter Verarbeitungen .............................................................................. 20 8.2 Gemeinsame Verarbeitungen erfassen und skizzieren ........................................................ 23 9. Weiterführende Literaturempfehlungen ...................................................................................... 24 Vernetzte Forschung und die Verarbeitung personenbezogener Daten 5 1. Die Handreichung In zahlreichen Disziplinen werden personenbezogene Forschungsdaten erhoben. Aber was sind eigentlich personenbezogene Daten und wann dürfen sie im Rahmen der Forschung erhoben und verarbeitet werden? Welche besonderen Anforderungen können sich ergeben, wenn im Rahmen einer Forschungskooperation die Erhebung und Verarbeitung personenbezogener Daten stattfindet? Mit diesen Fragen müssen sich Wissenschaftlerinnen und Wissenschaftler gerade auch dann auseinandersetzen, wenn im Rahmen einer Forschungskooperation die Erfassung personenbezogener Daten vorgesehen ist. Diese Handreichung dient dazu, einen ersten Einstieg in die Thematik zu vermitteln, für Standardfragen eine Orientierung zu geben und darüber hinaus Hinweise zu weiterführender Information zu bieten. Dabei stellt dieses Dokument keine rechtsverbindliche Handlungsanweisung dar und hat nicht den Anspruch, alle im Forschungskontext auftretenden datenschutzrechtlichen Fragestellungen umfassend zu klären. Vielmehr soll es bereits im Vorfeld der Antragstellung bei der konzeptionellen Planung eines guten Forschungsdatenmanagements unterstützen und ist in erster Linie als Hilfestellung für einen vorrausschauenden Umgang mit personenbezogenen Daten in Forschungsverbünden gedacht. Ziel ist es, dass Forschende im Falle der Antragsbewilligung für die speziellen Anforderungen des Datenschutzes sensibilisiert sind. Die nachfolgenden Ausführungen fokussieren sich auf die Regelungen der Europäischen Datenschutzgrundverordnung (DSGVO) 1 , da diese vorrangig vor anderen nationalen Regelungen (wie z.B. das Bundesdatenschutzgesetz (BSDSG), das Landesdatenschutzgesetz (NRW), das Hochschulgesetz NRW u.a.) zur Anwendung kommen. Die Handreichung wurde im Rahmen des BMFTR-Projektes UFOowl – Umgang mit Forschungsdaten an HAW in OWL verfasst. Aus Gründen der besseren Lesbarkeit wird auf die gleichzeitige Verwendung der Sprachformen männlich, weiblich und divers (m/w/d) verzichtet. Sämtliche Personenbezeichnungen gelten gleichermaßen für alle Geschlechter. 2. Vernetzte Forschung im Verbund Verbundprojekte bieten die Möglichkeit, größere Forschungsvorhaben im Rahmen eines Konsortiums gemeinschaftlich durchzuführen. Kennzeichnend ist, dass sich eine oder mehrere wissenschaftliche Einrichtungen/Hochschulen, gegebenenfalls auch mit industrieller Beteiligung, zusammenschließen, um ein Forschungsvorhaben zu realisieren. Je nach Förderformat werden auch weitere Partner miteinbezogen. Die Zusammenarbeit der Kooperationspartner wird in der Regel durch einen Kooperationsvertrag geregelt. Sollten im Rahmen der Forschungskooperation personenbezogene Daten erhoben und verarbeitet werden, so ist frühzeitig zu klären, welcher Partner für welche Verarbeitung dieser Daten verantwortlich ist und welcher Partner welche datenschutzrechtlichen Pflichten zu erfüllen hat. Steht zum Zeitpunkt des Abschlusses der Kooperationsvereinbarung noch nicht fest, wie die konkrete Ausgestaltung der geplanten Verarbeitungen der personenbezogenen Daten umgesetzt wird, empfiehlt es sich, für alle Verbundpartner zunächst eine allgemeine Datenschutzklausel in den Kooperationsvertrag mitaufzunehmen. Die Klausel sollte die Verpflichtung enthalten, dass alle Verbundpartner 1 Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung https://eurlex.europa.eu/eli/reg/2016/679/oj?locale=de, Zugriff am 31.08.2025. Vernetzte Forschung und die Verarbeitung personenbezogener Daten 6 die einschlägigen datenschutzrechtlichen Regelungen einhalten, und sicherstellen, dass auch ihre Beschäftigten und andere an der Durchführung des Verbundprojektes beteiligte Dritte sowie Subunternehmer dazu verpflichtet werden. (s.a. Kap. 4) 3. Die Ausgangsfrage: Werden personenbezogene Daten verarbeitet? Häufig ist in Verbundprojekten zur Erreichung des Forschungsziels die Erfassung personenbezogener Daten (z.B. im Rahmen von Umfragen, Interviews, (klinischen) Studien, Entwicklung von Medizinprodukten) eine zwingende Voraussetzung. Damit verbunden ist die Fragestellung, wie der Datenschutz angemessen umgesetzt werden kann. Schutzgegenstand sind hierbei nicht die personenbezogenen Forschungsdaten. Vielmehr geht es um die lebende natürliche Person (wie z.B.: Proband*innen, Minderjährige, Angehörige/Mitglieder der Hochschule, Industriepartner, Patienten etc.), deren Daten erhoben werden und somit als betroffene Person einen besonderen Schutz genießt. Das Datenschutzrecht geht davon aus, dass die Verarbeitung personenbezogener Daten stets mit einem Risiko für die Rechte und Freiheiten der Betroffenen verbunden ist. Daher sollten im Rahmen der Planung und Durchführung von Forschungsprojekten schon frühzeitig die Grundregeln und Schutzziele des Art. 5 DSGVO „Grundsätze für die Verarbeitung personenbezogener Daten“ berücksichtigt werden. (s.a. Kap. 4) 3.1 Personenbezogene Forschungsdaten Vorrangig ist somit zu klären, ob im Forschungsprojekt personenbezogene Daten erhoben werden. Darunter fallen „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen“ (Art. 4 Nr. 1 DSGVO). Die Abgrenzung zwischen personenbezogenen und nicht-personenbezogenen Daten kann in der Praxis oft schwierig sein. Entscheidend ist, ob zwischen den verarbeiteten Daten und der Person eine Verbindung hergestellt werden kann. Ein Personenbezug besteht, wenn natürliche Personen direkt oder indirekt „identifizierbar“ sind. Entscheidend ist hierbei, ob zu irgendeinem Zeitpunkt eine dritte Person mit einem gewissen (verhältnismäßigen) Aufwand herausfinden könnte, welcher Person die Daten zuzuordnen sind. Ist dieser Rückschluss möglich, dann fallen diese Daten unter die Datenschutzgrundverordnung (DSGVO). 3.1.1 Beispiele für Forschungsdaten mit Personenbezug Forschungsdaten, die eine direkte Identifikation einer Person ermöglichen, sind z.B.: Allgemeine Personenund Kontaktdaten  Name, Vorname  Geburtsdatum/Alter, Geburtsort,  Anschrift, (EMail-) Adresse, Telefonnummer  Familienstand  Einkommen/Gehalt  Berufsangabe, Titel und Bildungsabschluss  Zeugnis, Prüfungsleistung  Offene Angabe zu Schulund Berufsbildung (ggf. Name der Bildungseinrichtung)  Karriereangaben im Lebenslauf  Bild-, Videound Audioaufnahme  Vernetzte Forschung und die Verarbeitung personenbezogener Daten 7 Physische Merkmale  Geschlecht  Haut-, Haarund Augenfarbe  Statur/Gewicht  Kleidergröße  Kennnummern  Matrikelnummer  Personalausweisnummer  Personalnummer  Kontonummer, Kontostände, Kreditinformationen  Sozialversicherungsnummer  Steueridentifikationsnummer  Krankenversicherungsnummer  Online-Daten  IP-Adresse  Zeitstempel  Nutzername  Standortdaten  3.1.2. Forschungsdaten, die eine mittelbare Identifizierbarkeit ermöglichen Auch Daten, die nicht unmittelbar einer bestimmten Person zugeordnet werden können, können einen Personenbezug enthalten. Besteht die Möglichkeit, die Identität der Person durch die Kombination des Datums/Merkmals mit weiteren verfügbaren Daten oder Quellen herzustellen, so handelt es sich nach wie vor um personenbezogene Daten. Die DSGVO bezeichnet solche Daten auch als pseudonymisierte Daten. Ein Beispiel: Im Rahmen einer Studie werden Blutwerte von Dialysepatienten untersucht. Die Identitätsdaten der Patienten werden getrennt von den Gesundheitsdaten verarbeitet und aufbewahrt. Durch ein gesondertes Rechteund Rollenkonzept wird sichergestellt, dass eine Zuordnung nicht bzw. nur in zuvor definierten Ausnahmefällen möglich ist. Anhand der Gesundheitsdaten an sich kann kein Personenbezug mehr hergestellt werden. Zeigen sich aber z. B. im Rahmen der Studie Auffälligkeiten im Blutbild, so besteht die Möglichkeit der Zusammenführung der Identitätsdaten mit den Gesundheitsdaten, so dass eine Kontaktaufnahme mit der betroffenen Person möglich ist. 3.2 Die besonderen Kategorien personenbezogener Daten Besonders geschützte sensible Daten sind in Art. 9 Abs. 1 DSGVO aufgelistet. Es handelt sich hierbei um personenbezogene Daten, aus denen:  die rassische und ethnische Herkunft  politische Meinungen  religiöse oder weltanschauliche Überzeugungen oder Vernetzte Forschung und die Verarbeitung personenbezogener Daten 8  die Gewerkschaftszugehörigkeit hervorgeht. Ebenso fallen:  genetische und biometrische Daten  Gesundheitsdaten sowie  Daten zum Sexualleben oder der sexuellen Orientierung in diese Kategorie. Da für jede dieser Datenkategorien ganz besondere Risiken für die Rechte und Freiheiten natürlicher Personen bestehen, folgen spezielle Anforderungen an die Rechtmäßigkeit der konkreten Datenverarbeitung. So ist im Hinblick auf die Datensicherheit ein angemessenes Schutzniveau zu gewährleisten, indem frühzeitig dem Schutzbedarf angemessene technisch-organisatorische Maßnahmen (sog. TOM) eingeplant und umgesetzt werden. (s.a. Kap. 6.1) Ein besonderes Augenmerk ist auf die Verarbeitung beispielsweise von Gesundheitsdaten zu richten, wenn die Daten nicht nur zu Forschungszwecken verarbeitet werden, sondern auch die Nutzung zu Sekundärzwecken wie z.B.: • zur Entwicklung neuer Gesundheitsprodukte • zum Trainieren von künstlicher Intelligenz geplant wird. 3.3 Wann liegt i.S.d. DSGVO die Verarbeitung von personenbezogenen Daten vor? Der Begriff der Verarbeitung ist in Art. 4 Nr. 2 DSGVO sehr weit gefasst. Die Definition umfasst jeglichen Umgang mit personenbezogenen Daten. Insofern erfolgt eine Verarbeitung, sobald personenbezogene Daten vorliegen. Das Gesetz unterscheidet nicht zwischen ganz, teilweiser automatisierter oder nichtautomatisierter Verarbeitung, sofern die entstehenden Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen. Das Dateisystem muss nicht digital sein. Konkrete Beispiele für die Verarbeitung gemäß Art. 4 Nr. 2 DSGVO sind:  das Abfragen  das Abgleichen  die Anpassung  das Auslesen  das Einschränken  das Erheben  das Erfassen politische Meinungen  das Löschen bzw. Vernichten  das Offenlegen durch Übermittlung  die Organisation  das Ordnen  das Speichern  das Verändern  das Verbreiten oder eine andere Art der Bereitstellung  das Verwenden  das Verknüpfen  Es empfiehlt sich bereits bei der Planung eines Forschungsprojektes, spätestens aber zu Projektbeginn, festzulegen, welche einzelnen Verarbeitungsschritte für die erhobenen personenbezogenen Daten geplant sind. Nachfolgende Datenverarbeitungsprozesse stehen hierbei häufig im Fokus.  Erhebung / Erfassen der Daten durch:  Direkterhebung beim Betroffenen zum Zweck der Forschung  zweckändernde Verwendung vorhandener Daten  Datenübermittlung durch Dritte Vernetzte Forschung und die Verarbeitung personenbezogener Daten 9  Vorhalten, Aufbereiten und Nutzung der Daten zur Durchführung des Forschungsprojektes mittels:  Speicherung, Organisation, Ordnen, Abgleich, Anpassung oder Veränderung, Auslesen, Abfragen, Verwendung, Verknüpfung etc.  Langzeitverfügbarkeit, Archivierung  Veröffentlichung der Forschungsergebnisse  z.B. in einem öffentlich zugänglichen Repositorium  Aufbewahrung der Daten zum Zwecke der Gewährleistung der Überprüfbarkeit der Forschungsergebnisse  Sekundärnutzung, evtl. für weitere Forschungsvorhaben bzw. Promotionsvorhaben (auf Basis einer Datennutzungsvereinbarung), oder Ergebnispublikation Bei jedem dieser Verarbeitungsvorgänge müssen die datenschutzrechtlichen Vorgaben eingehalten werden. 3.4 Pseudonymisierte bzw. anonymisierte personenbezogene Forschungsdaten Sofern eine rein anonyme Datenerhebung oder eine spätere Anonymisierung der personenbezogenen Daten erfolgt, entfällt der Anwendungsbezug der DSGVO. Allerdings ist zu beachten, dass in der Übergangszeit (Zeitraum der Datenerhebung bis Durchführung der Anonymisierung) personenbezogene Daten vorliegen. Zu deren Schutz empfiehlt sich daher, die Daten direkt nach Erhebung zu pseudonymisieren, so dass bis zur Anonymisierung der Daten kein direkter Personenbezug herstellbar ist. 3.4.1 Pseudonymisierung Im Bereich der Forschung finden häufig personenbezogene Datenerhebungen statt, bei deren Durchführung es fast ausgeschlossen ist, eine zuverlässige Anonymisierung herzustellen, ohne die Daten für die wissenschaftliche Auswertung nutzlos zu machen. Bei Fokusgruppenbefragungen mit Audiound/oder Videoaufnahmen etwa müssen oft bestimmte Details erhalten bleiben, die für die Auswertung wissenschaftlich notwendig sind. Dadurch kann die Anonymität der Daten gefährdet werden. Mittels einer Verschlüsselung der Daten im Wege der Pseudonymisierung wird die wissenschaftliche Auswertung der Daten zunächst sichergestellt. Die Möglichkeit einer späteren Zuordnung wird sich bei diesem Verfahren bewusst vorbehalten. Die Merkmale, mit deren Hilfe ein Personenbezug hergestellt werden kann, sind gesondert zu speichern und Bedingungen für eine Re-Identifikation verbindlich festzulegen. Sobald der Forschungsoder Statistikzweck dies zulässt, sind die Merkmale, mit denen ein Personenbezug hergestellt werden kann, zu löschen, so dass die Daten anonymisiert sind. Bis zu diesem Zeitpunkt sind die Anforderungen der DSGVO zu beachten. 3.4.2 Anonymisierung Im Gesetzestext der DSGVO findet sich der Begriff der Anonymisierung nicht wieder. Dies begründet sich darin, dass anonymisierte Daten keinen Personenbezug aufweisen und daher nicht unter die DSGVO fallen. Anonymisierung von personenbezogenen Daten bedeutet, dass die Daten unumkehrbar so verändert werden, dass die Person nicht oder nicht mehr identifiziert werden kann. Es ist sicherzustellen, dass die Daten auch in der Zukunft ausreichend anonymisiert sind. Aufgrund der fortlaufenden Weiterentwicklung neuer Technologien ist eine regelmäßige Überprüfung der Validität des Anonymisierungsverfahrens notwendig. Die gesetzlichen Anforderungen an die Anonymisierung sind sehr hoch. Insbesondere ist zu beachten, dass die Anonymisierung (wie auch die Pseudonymisierung) eine eigene Verarbeitung im Sinne von Vernetzte Forschung und die Verarbeitung personenbezogener Daten 16 Teil 2: Die Einwilligungserklärung, für deren Wirksamkeit die nachfolgenden Kriterien erfüllt sein müssen:  Freiwilligkeit  Eindeutigkeit der Erklärung  Kenntnis bzgl. der konkret erhobenen Daten und des bzw. der Verarbeitungszwecke  für den konkreten Einzelfall (keine Pauschaleinwilligungen)  ausdrücklich, also nicht stillschweigend  verständlich und in einfacher, klarer Sprache  bei elektronischen Einwilligungen klare und übersichtliche Form ohne Unterbrechung des Dienstes  Widerrufsmöglichkeit (jederzeit, mit Wirkung für die Zukunft) Zusätzlich müssen den Betroffenen weiterführende Informationen in Form einer Datenschutzerklärung zur Verfügung gestellt werden, in der über die konkrete Verarbeitung der personenbezogenen Daten informiert wird. Mit diesem Dokument wird sichergestellt, dass die gesetzlich vorgeschriebenen Informationspflichten gem. Art. 13, 14 DSGVO erfüllt werden. Die Nachweispflicht für die Rechtmäßigkeit der Datenverarbeitung liegt bei der verantwortlichen Stelle. (s. Kap. 3) Es wird empfohlen, die Einwilligungserklärung in schriftlicher Form einzuholen. 6.2 Inhalt und Umfang der Einwilligung in die Datenverarbeitung Zum Zeitpunkt der Einholung der Einwilligung sollten der bzw. die konkreten Verarbeitungszwecke (s.a. Kap. 3) bereits genau festgelegt worden sein. Es können ganz unterschiedliche Verarbeitungen in Betracht kommen, wie z.B.:  Erhebung von Kontaktdaten (z.B. Vorund Nachname, Anschrift, E-Mail) zwecks Teilnahme am Projekt  Aufnahme von Daten in eine Datenbank  Anfertigung und/oder Verwendung von Fotos, Audio-, Videoaufnahmen  Nutzung der Datenbasis für die Forschungsfrage an sich  Nutzung der erhobenen Forschungsdaten für Lehre oder wissenschaftliche Vorträge/Fachvorträge  Weitergabe von personenbezogenen Daten an Projektpartner  eine Veröffentlichung (Datenund/oder Ergebnispublikation)  Zurverfügungstellung der Datenbasis in einem Repositorium  Nutzung von Kontaktdaten für zukünftige Projekte  Versand von Newslettern  Steht bereits zu Beginn des Forschungsvorhabens fest, dass personenbezogene Forschungsdaten (z.B. Videoaufzeichnungen) erhoben, genutzt, archiviert und in einem Repositorium zur Verfügung gestellt werden sollen, dann ist hinsichtlich jedes einzelnen Verarbeitungszwecks eine separate Einwilligungserklärung einzuholen. Die Betroffenen müssen die Möglichkeit haben, selbst zu entscheiden, für welche geplante Verarbeitung sie ihre personenbezogenen Daten zur Verfügung stellen möchten. Für die praktische Umsetzung dieser Vorgabe ist es sehr hilfreich, bereits bei der Erstellung der Einwilligungserklärung die infrage kommenden Verarbeitungszwecke mittels Ankreuzoption aufzulisten. Somit steht es den Betroffenen frei, eine aktive Auswahlentscheidung zu treffen. Vernetzte Forschung und die Verarbeitung personenbezogener Daten 17 7. Weitere Aspekte zur Organisation des Datenschutzes Abhängig vom individuellen Forschungsvorhaben sind im Zusammenhang mit der Erhebung personenbezogener Forschungsdaten weitere Überlegungen anzustellen und gesonderte Maßnahmen zu treffen. Im Nachfolgenden werden insbesondere die Aspekte der Datensicherheit, der Datenschutzfolgeabschätzung sowie des Drittlandtransfers angesprochen. Im Kontext dieser Themenbereiche sind die Datenschutzbeauftragten, IT-Sicherheitsbeauftragen und auch zuständige Mitarbeiter der Rechenzentren der jeweiligen Hochschulen mögliche Anlaufstellen, die bei der Planung und Umsetzung der nachfolgend skizzierten Themenkomplexe unterstützen können. 7.1 Umsetzung von Maßnahmen zur Sicherstellung der Datensicherheit Der Schutz von personenbezogenen Daten ist ohne die Gewährleistung der Datensicherheit nahezu unmöglich. Daher bestehen gesetzliche Verpflichtungen, technische und/oder organisatorische Maßnahmen (sog. TOM) umzusetzen. Hierdurch soll verhindert werden, dass unbefugte Personen Zugriff auf die Daten erhalten oder sie manipulieren können. Dies ist insbesondere bei den besonderen Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO von großer Bedeutung. Daneben sind neben den zu treffenden Maßnahmen vom Verantwortlichen auch gewisse Schutzziele zu erreichen. Zwei primäre Schutzziele der Datensicherheit nach Art 32 DSGVO sind die Sicherstellung der Integrität und Vertraulichkeit der personenbezogenen Daten. (s.a. Kap. 4.8) Welche Schutzmaßnahmen zur Sicherstellung des Datenschutzes als angemessen angesehen werden können, ist auf Grundlage einer Risikobewertung zu ermitteln. Je sensibler die personenbezogenen Daten sind, desto höher ist das notwendige Schutzniveau. Welche Maßnahmen zu treffen sind, orientiert sich am Stand der „Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos“ (Art. 32 Abs. 1, Art. 24 Abs. 1 DSGVO). Es ist also frühzeitig abzuwägen, welche Gefahren im Falle einer Datenschutzverletzung für die betroffenen Personen bestehen und wie wahrscheinlich der Eintritt der konkreten Gefahr ist. Ein unzureichendes Sicherheitsniveau in der Datenverarbeitung kann dazu führen, dass das Recht auf informationelle Selbstbestimmung der Betroffenen verletzt wird. Um dieses Risiko so gering wie möglich zu halten, ist das notwendige Schutzniveau umso höher zu wählen, je sensibler die personenbezogenen Daten sind. Die Verantwortung für die Umsetzung des technischen Datenschutzes obliegt der im Sinne der DSGVO verantwortlichen Forschungseinrichtung bzw. der verantwortlichen Forscherin oder dem verantwortlichen Forscher (s. Kap. 3) und beinhaltet die umfassende Dokumentation der Datenund Systemsicherheit der Verarbeitungen personenbezogener Forschungsdaten. So können bspw. bei der Verarbeitung personenbezogener Forschungsdaten folgende TOM in Betracht gezogen werden: • Minimierung der Datenerhebung • Pseudonymisierung und Anonymisierung • Verschlüsselung personenbezogener Daten • Rollenund Zugriffskonzepte, Zugangsbeschränkungen und -kontrollen • Verwendung sicherer Passwörter • auf das Forschungsprojekt zugeschnittene Speicherlösungen • Backup-Strategien Vernetzte Forschung und die Verarbeitung personenbezogener Daten 18 • Löschung von Forschungsdaten, Löschkonzepte 7.2 Datenschutzfolgeabschätzung / Schwellwertanalyse Ist im Rahmen der bereits angesprochenen Risikoabschätzung zur Ermittlung der TOM abzusehen, dass ein hohes Risiko für die Persönlichkeitsrechte der Forschungsteilnehmer vorliegt, z.B. durch den Einsatz neuer Technologien, bei umfangreichen Verarbeitungen sensibler Daten oder wenn Systeme automatisierte Entscheidungen treffen, so ist vor Beginn der Datenerhebung zunächst im Rahmen einer sog. Schwellwertanalyse zu ermitteln, welche potentiellen Datenschutzrisiken im Zusammenhang mit den geplanten Verarbeitungstätigkeiten bestehen. Liegt ein hohes Risiko vor, so ist eine strukturierte Datenschutzfolgenabschätzung (DSFA) unter Hinzuziehung der zuständigen Datenschutzbeauftragten verpflichtend durchzuführen (Art. 35 Abs. 1 DSGVO). Die Datenschutzfolgeabschätzung ist somit ein spezielles Instrument zur Beschreibung, Bewertung und Reduzierung von Risiken, die im Rahmen der Datenverarbeitung für die Persönlichkeitsrechte der Forschungsteilnehmer entstehen können. 7.3 Drittlandtransfer Gesonderter Vorüberlegungen zur Planung einer datenschutzkonformen Verarbeitung von Forschungsdaten bedarf es auch, wenn im Rahmen einer Forschungskooperation der Austausch von Forschungsdaten geplant ist, sei es mit Kooperationspartnern oder mit Dienstleistern (z.B. Auftragsdatenverarbeitern). Ist in diesen Fällen geplant, dass die weitere Verarbeitung außerhalb des Europäischen Wirtschaftsraums (EU + Island, Lichtenstein, Norwegen) stattfindet, so „verlassen“ die Daten den Geltungsbereich der DSGVO. In der Regel sind dann weitere vertragliche Anforderungen zu erfüllen. Es können aber auch Ausnahmen vorliegen, wenn ein sog. Angemessenheitsbeschluss der EU-Kommission vorliegt. 7.4 Datenschutzpannen Auch im Rahmen von Forschungsprojekten kann es zu Datenpannen i.S.v. Art. 4 Nr. 12 DSGVO kommen. Ist die Verletzung mit einem Risiko für die Rechte und Freiheiten natürlicher Personen verbunden, besteht für den Verantwortlichen eine Meldepflicht. Damit der Verantwortliche über das Ja oder Nein einer Meldung entscheiden kann, ist zunächst eine gesonderte Risikobeurteilung notwendig. Beispiele für eine meldepflichtige Datenpanne sind Verstöße gegen die Datensicherheit und den Datenschutz, bei denen personenbezogene Daten Unberechtigten vermutlich oder erwiesenermaßen bekannt werden, wie z.B.: • Verlust eines USB-Sticks/Laptops mit personenbezogenen Daten • Hackerangriff • E-Mail-Versand an großen Empfängerkreis ohne Nutzung der BCC-Funktion • unzureichende Sicherheitsvorkehrungen • Missbrauch von Zugriffsrechten Liegt eine Datenpanne vor, so besteht für die im Sinne der DSGVO Verantwortlichen (s. Kap. 3) eine gesetzliche Verpflichtung, diese unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde zu melden. Es ist ratsam, unmittelbar nach Bekanntwerden der Datenpanne Kontakt mit den zuständigen Datenschutzbeauftragten aufzunehmen. 7.5 Sonstiges Zu beachten ist, dass Hochschulen/Forschungseinrichtungen unterschiedliche Beratungsund Unterstützungsstrukturen aufweisen. Es wird empfohlen, frühzeitig zuständige Datenschutzbeauftragte Vernetzte Forschung und die Verarbeitung personenbezogener Daten 19 oder Datenschutzkoordinatoren und/oder Servicestellen im Bereich Forschungsdatenmanagement in die Planung und Umsetzung der Forschungsidee miteinzubeziehen. Sofern an der Hochschule/Forschungseinrichtung ein Datenschutzmanagementsystem (DSMS) implementiert wurde, steht den Verantwortlichen (s. Kap. 3) damit ein Unterstützungsangebot für die Organisation des Datenschutzes zur Verfügung. Ein DSMS trägt dazu bei, die Rechte der betroffenen Personen zu schützen und die Verarbeitung personenbezogener Daten datenschutzkonform auszugestalten. Vernetzte Forschung und die Verarbeitung personenbezogener Daten 20 8. Checklisten 8.1 Ersterfassung geplanter Verarbeitungen Verarbeitung 1 Verarbeitung 2 Verarbeitung 3 1. Name Verbundpartner 2. Kurzbeschreibung der Verarbeitung. Was ist der konkrete Forschungszweck? 3. Welche personenbezogenen Forschungsdaten werden erhoben? s. Kap. 2.1.1. Beispiele für personenbezogene Forschungsdaten 4. Welche besonderen Kategorien personenbezogener Forschungsdaten werden erhoben? rassische und/oder ethische Herkunft politische Meinungen religiöse oder weltanschauliche Überzeugungen Gewerkschaftszugehörigkeit Genetische und biometrische Daten Gesundheitsdaten zum Sexualleben oder der sexuellen Orientierung Vernetzte Forschung und die Verarbeitung personenbezogener Daten 21 5. Welche Art der Verarbeitung ist geplant? a) Erheben/Erfassen Direkterhebung beim Betroffenen zweckändernde Verwendung vorhandener Daten Datenübermittlung durch Dritte b) Vorhalten und Nutzung der Daten mittels Speicherung Organisation Ordnen Abgleich Auslesen Anpassung Verändern Verwenden Übermittlung Verknüpfen … c) Veröffentlichung der Forschungsergebnisse (Ergebnisdaten/Erkenntnisse) in einem öffentlich zugänglichen Repositorium Sonstiges (bitte benennen) d) Aufbewahrung der Daten zwecks Erhaltung und Überprüfbarkeit der Forschungsergebnisse Wo werden die Daten gespeichert? Definierung der Speicherdauer mit Begründung der Erforderlichkeit Darstellung von Regellöschpflichten ggfs. Erarbeitung eines Löschkonzeptes Vernetzte Forschung und die Verarbeitung personenbezogener Daten 22 e) Sekundärnutzung für weitere Forschungsvorhaben für Promotionsvorhaben Entwicklung neuer Gesundheitsprodukte Trainieren von KI Sonstiges (bitte benennen) 6. Von wem werden die Daten erhoben? Wer ist betroffen? Beschreibung der Kategorien betroffener Personen (z.B. Beschäftigte, Patient*innen, Studierende, Proband*innen…) 7. Ist eine Pseudonymisierung geplant? 8. Zu welchem Zeitpunkt werden die Daten pseudonymisiert? 9. Ist eine Anonymisierung der Daten geplant? 10. Zu welchem Zeitpunkt werden die Daten anonymisiert? 11. Weitere technische oder organisatorische Maßnahmen zur Wahrung der Interessen der betroffenen Personen, z.B.: Verschlüsselung pb Daten ggfs. Rückgriff auf TOM der Hochschule Ist Datentreuhänderschaft möglich? … … … Vernetzte Forschung und die Verarbeitung personenbezogener Daten 23 8.2 Gemeinsame Verarbeitungen erfassen und skizzieren 2 A. Gemeinsame Anlaufstelle nach Art. 26 Abs. 1 S. 3 DSGVO (optional) (Anm.: Die Verbundpartner können eine gemeinsame Anlaufstelle für die betroffenen Personen festlegen) Name Adresse Telefon E-Mail Web B. Kurzbeschreibung der Verantwortungsbereiche Verarbeitung Verantwortliche*r / Arbeitspaketverantwortliche*r Im Rahmen der gemeinsamen Verantwortlichkeit verarbeitete personenbezogene Daten im Wege der folgenden Prozesse: Im Rahmen der gemeinsamen Verantwortlichkeit verarbeitete personenbezogene Daten Im Rahmen der gemeinsamen Verantwortlichkeit betroffene Personenkategorien 1 z.B. Datenaustausch / Übertragung von Daten zwischen den Plattformen XY und YZ. - Name, Vorname - Benutzernamen - Technische Personennummer / ID ... - Studierende - Wiss. Mitarbeiter - … 2 z.B. Qualitative und quantitative Erhebung einer Bedarfsanalyse von Betroffenen. Die Erfassung erfolgt durch das Online-Umfragetool XYZ. - Namen, Vornamen - Altersgruppe - Wohnsituation - Diagnosen - Krankheitsverlauf … - Bewohner Senioreneinrichtung - … 3 z.B. Übermittlung von Daten von A an B und zurück. - Klienten ID / Personen ID - Vitaldaten - Sprache Messdaten … - Patienten - … … … - … … C. Bei welchen Verarbeitungen stimmen sich zwei oder mehr Verantwortliche über Zwecke und Mittel ab? (Art. 26 Abs. 1 DSGVO) Um welche Verarbeitungen geht es? Verarbeitung 1 Verarbeitung 2 Verarbeitung 3 Verarbeitung … Verbundpartner A X X X Verbundpartner B X X Verbundpartner C X X Verantwortliche: Wer sind für diese Verarbeitungen jeweils die gemeinsamen Verantwortlichen? Verarbeitung 1 A + B Verarbeitung 2 A + C Verarbeitung … A + B + C 2 Die kursiv eingefügten Inhalte dienen als Anschauungsbeispiele Vernetzte Forschung und die Verarbeitung personenbezogener Daten 24 9. Weiterführende Literaturempfehlungen Baumann, Paul; Krahn, Philipp; Rechtliche Rahmenbedingungen des FDM, Präsentation erstellt im Rahmen des durch das BMBF geförderten Projekts „DataJus“ - IGETeM (TU Dresden), 2020. https://tu-dresden.de/gsw/phil/irget/jfbimd13/ressourcen/dateien/dateien/DataJus/Rechtliche-Rahmenbedingungen-des-FDM_.pdf?lang=de Baumann, Paul; Krahn, Philipp; Lauber-Rönsberg, Anne; Entscheidungsbaum: Datenschutzrechtliche Fragestellungen für die Veröffentlichung von Forschungsdaten, (Stand: 05/2019). https://tu-dresden.de/gsw/phil/irget/jfbimd13/ressourcen/dateien/dateien/DataJus/EntscheidungsbaumDataJusPDFAA2.pdf?lang=de Bäcker, Matthias; Golla, Sebastian J. (2020): Handreichung Datenschutz. 2. vollständig überarbeitete Auflage, RatSWD Output, No. 8 (6), Rat für Sozialund Wirtschaftsdaten (RatSWD), Berlin. https://doi.org/10.17620/02671.50 Der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg, Diskussionspapier: Rechtsgrundlagen im Datenschutz beim Einsatz von Künstlicher Intelligenz, Wann und wie dürfen personenbezogene Daten für das Training und die Anwendung von Künstlicher Intelligenz verarbeitet werden?, Version 2.0 vom 17.10.2024. https://www.baden-wuerttemberg.datenschutz.de/rechtsgrundlagen-datenschutz-ki/ Deschler, K., Hübner, A., März, H., Mozygemba, K., Rieger, J., & Sax, U. (2025). Reihe: FAIR-Prinzipien und Datenschutz | Factsheet 2 - Methoden zum FAIRen und datenschutzkonformen Umgang mit personenbezogenen Daten (1.0). https://doi.org/10.5281/zenodo.15786905 Kienbaum, Janna; Fischer, Patryk; Paßmann, Sven. (2023). Forschungsdatenmanagement bei personenbezogenen Daten – eine Handreichung. https://doi.org/10.5281/zenodo.742852 Multimedia Kontor Hamburg (2022): Checkliste Datenschutz für Forschungsvorhaben. https://www.hh-datenschutz.de/fileadmin/mustervorlagen/Checkliste_Forschung.pdf Multimedia Kontor Hamburg (2024): Datenschutz an Hamburger Hochschulen, Einführung in den Datenschutz, Infothek. https://www.hh-datenschutz.de/infothek.html Rat für Sozialund Wirtschaftsdaten (RatSWD), Forschungsdatenmanagement in kleinen Forschungsprojekten – Eine Handreichung für die Praxis, 2023. https://hdl.handle.net/10419/272258 Schier, A., Vettermann, O., Watteler, O., & Sax, U. (2025). Reihe: FAIR-Prinzipien und Datenschutz | Factsheet 3 - Data Linkage: FAIR und datenschutzkonform (1.0). https://doi.org/10.5281/zenodo.15786924 Service-Team Forschungsdaten der LUH/TIB. (2024, Juli 26). Umgang mit personenbezogenen Forschungsdaten. https://doi.org/10.5281/zenodo.13305806 Stiftung Datenschutz, Praxisleitfaden für die Anonymisierung personenbezogener Daten, 2022. https://stiftungdatenschutz.org/fileadmin/Redaktion/Dokumente/Anonymisierung_personenbezogener_Daten/SDS_Studie_Praxisleitfaden-Anonymisieren-Web_01.pdf Stoilova, V., Breß, C., Brunner, P., Deschler, K., & Reiser, N. (2025). Reihe: FAIR-Prinzipien und Datenschutz | Factsheet 1 - Einwilligung: FAIR und datenschutzkonform (1.0). https://doi.org/10.5281/zenodo.15786777 Uni Konstanz, KIM (Kommunikations-, Informations-, Medienzentrum. https://forschungsdaten.info/themen/rechte-und-pflichten/