Was die Rechtsgrundlage für die Verarbeitung betrifft, so ist es wichtig, zwischen Datenkategorien zu unterscheiden:
- Verarbeitung personenbezogener Daten („nicht sensibel“). Die Rechtsgrundlagen für die Verarbeitung sind die in Artikel 6 der Datenschutz-Grundverordnung genannten (siehe „Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz“ in Teil II Abschnitt „Grundsätze“ dieser Leitlinien). Das bedeutet, dass sich jede Verarbeitung personenbezogener Daten zwangsläufig auf eine der Rechtsgrundlagen gemäß Artikel 6 Absatz 1 stützen muss:
- Einwilligung der betroffenen Person (Art. 6 Absatz 1 Buchstabe a).
- Vertrag (Art. 6 Absatz 1 Buchstabeb).
- Rechtliche Verpflichtung (Art. 6 Absatz 1 Buchstabec).
- Lebenswichtige Interessen (Art. 6 Absatz 1 Buchstabe d).
- Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt (Art. 6 Absatz 1 Buchstabe e).
- Berechtigte Interessen (Art. 6 Absatz 1 Buchstabe f).
- Verarbeitung besonderer Kategorien von personenbezogenen Daten („sensible personenbezogene Daten“). Die Verarbeitung der in Artikel 9 genannten Datenkategorien ist untersagt, es sei denn, es wird eine besondere Rechtfertigungsgrundlage angegeben, die sich von den in Artikel 9 Absatz 2 genannten unterscheidet.[1] Artikel 9 erfordert eine weitere Legitimation, die zu derjenigen in Artikel 6 hinzukommt. Laut all diesen Rechtsgrundlagen ist die Verarbeitung nicht verboten, wenn unter anderem:
- „die betroffene Person hat in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt, es sei denn, nach Unionsrecht oder dem Recht der Mitgliedstaaten kann das Verbot nach Absatz 1 durch die Einwilligung der betroffenen Person nicht aufgehoben werden.“(Artikel 9 Absatz 2 Buchstabe a).
- „die Verarbeitung ist auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats, das in angemessenem Verältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht, für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 erforderlich.“[2]
Darüber hinaus heißt es in Artikel 9 Absatz 4: „Die Mitgliedstaaten können zusätzliche Bedingungen, einschließlich Beschränkungen, einführen oder aufrechterhalten, soweit die Verarbeitung von genetischen, biometrischen oder Gesundheitsdaten betroffen ist.“ Diese Möglichkeit bedeutet jedoch nicht, dass der Inhalt von Artikel 9 Absatz 2 Buchstabe j) unwirksam gemacht werden sollte. Auch hier sollten sich Forscher stets von ihren bDatenschutzbeauftragten über den geltenden nationalen Rechtsrahmen beraten lassen.
Quellenangaben
1EDSA, Stellungnahme 3/2019 zu den Fragen und Antworten zum Zusammenspiel der Verordnung über klinische Prüfungen und der Datenschutz-Grundverordnung (DSGVO) (Artikel 70 Absatz 1 Buchstabe b) angenommen am 23. Januar 2019, S. 8–9. Unter: https://edpb.europa.eu/sites/edpb/files/files/file1/EDSA_opinionctrq_a_final_en.pdf, abgerufen am 20. Mai 2020.
In diesem Dokument werden mehrere Möglichkeiten beschrieben, die Artikel 6 und 9 miteinander kombinieren: Die rechtmäßigen Gründe für die Verarbeitung können sich aus rechtlichen Pflichten des Verantwortlichen ergeben und fallen unter die Rechtsgrundlage von Artikel 6 Absatz 1 Buchstabe c in Verbindung mit Artikel 9 Absatz 1 Buchstabe i; oder das öffentliche Interesse gemäß Artikel 6 Absatz 1 Buchstabe e in Verbindung mit Artikel 9 Absatz 2, i oder j; oder die berechtigten Interessen des Verantwortlichen gemäß Artikel 6 Absatz 1 Buchstabe f in Verbindung mit Artikel 9 Absatz 2 Buchstabe j; oder unter besonderen Umständen, wenn alle Bedingungen erfüllt sind, die ausdrückliche Einwilligung der betroffenen Person gemäß Artikel 6 Absatz 1 Buchstabe a und Artikel 9 Absatz 2 Buchstabe a. ↑
2Artikel 9 Absatz 2 Buchstabe j). ↑