9 Rechtliche Aspekte des Forschungsdatenmanagement

9.3.2 Informierte Einwilligung und gesetzliche Erlaubnisnormen

Grundsätzlich dürfen personenbezogene Forschungsdaten nur mit einer informierten Einwilligung der Betroffenen oder einer gesetzlichen Erlaubnisnorm erhoben und verarbeitet werden (sog. Grundsatz des Verbots mit Erlaubnisvorbehalt).

Für die informierte Einwilligung lassen sich gemäß Erwägungsgrund 32 S.2 DSGVO folgende Vorgaben festhalten:

1. Die Einwilligung muss aus freien Stücken (d. h. ohne physische oder psychische Beeinflussung) erfolgen
2. Insbesondere bei der Verarbeitung sensibler personenbezogener Daten (gemäß Art. 9 oder 10 DSGVO) empfiehlt sich eine schriftliche Fixierung der Einwilligung
3. Die Einwilligenden müssen durch entsprechende Vorabinformationen genau nachvollziehen können, welche ihrer persönlichen Daten wie, für was, von wem und wie lange verwendet werden sollen. D. h. die Personen sollen in die Lage versetzt werden, die Konsequenzen der eigenen Einwilligung genau einschätzen zu können.

Demgegenüber greifen gesetzliche Erlaubnistatbestände ohne Zutun des Betroffenen. Besondere Bedeutung kommt den in § 27 BDSG, aber auch in vielen Landesdatenschutzgesetzen (z. B. § 13 LDSG-BW, § 17 DSG-NRW, § 13 NDSG) enthaltenen Ausnahmen für wissenschaftliche Forschungszwecke zu.

Danach ist die Verarbeitung von personenbezogenen Daten erlaubt, wenn die mit dem Forschungsvorhaben verfolgten Interessen diejenigen der betroffenen Personen überwiegen (vgl. forschungsdaten.info). Da dies jedoch nur selten zutrifft, sollten Sie im Zweifelsfall immer eine Einwilligung einzuholen.

Die Einwilligung bedarf keiner besonderen Form. Jedoch muss sie – z. B. bei einer Überprüfung durch die Datenschutzaufsichtsbehörde – nachweisbar sein, so dass eine schriftliche oder elektronische Dokumentation dringend zu empfehlen ist. Die Einwilligungserklärung sollte mindestens folgende Informationen enthalten:

• Verantwortliche*r für die Datenerhebung (Rechtspersönlichkeit), der*die gleichzeitig Adressat*in der Einwilligungserklärung ist;
• Projekttitel;
• Konkrete Informationen über die Art der erhobenen Daten;
• Datenverarbeitungsprozesse, Verantwortliche*r im Sinne des Datenschutzes;
• Hinweis auf Freiwilligkeit, auf Widerrufsrecht, Hinweis auf die Folgen oder die Folgenlosigkeit bei Verweigerung oder Widerruf;
• besonders wichtig: Verwendungszweck(e).

Insbesondere muss der Betroffene muss darauf hingewiesen werden, dass seine Einwilligung völlig freiwillig ist, er sie deshalb auch verweigern und – wenn er sie erteilt – die Einwilligung mit Wirkung für die Zukunft jederzeit widerrufen kann, bisherige Nutzungen aber nicht rückgängig gemacht werden können (Vgl. https://www.forschungsdaten-bildung.de/einwilligung).

Ergänzt werden muss die Einwilligungserklärung um Informationen über die Verarbeitung der Daten. Darunter fallen die Rechtsgrundlagen und Zwecke der Verarbeitung (soweit diese über die Verarbeitung hinausgehen), eine eventuelle Datenübermittlung in Länder außerhalb der EU, die Speicher- bzw. Löschfristen der personenbezogenen Daten und das Beschwerderecht bei einer Datenschutzaufsichtsbehörde (vgl. Watteler/Ebel 2019: 60).

9.3.3 Mittel zur Entfernung identifizierender Merkmale

Hierbei werden also detaillierte Einzelinformationen (z. B. Gehalt im letzten Monat) in Klassen gruppiert (z. B. Unter-, Mittel-, Oberschicht). Der Grad der Aggregierung, der nötig ist um einen Personenbezug auszuschließen kann dabei variieren. Er hängt im Wesentlichen davon ab, welche weiteren potenziellen Identifikationsmerkmale in den Daten vorhanden sind oder aus externen Quellen zugespielt werden können.

Es ist in jedem Fall sorgfältig zu prüfen, welche der zur Verfügung stehenden Mittel am geeignetsten und verhältnismäßigsten erscheinen, die identifizierenden Merkmale so zu entfernen, dass auch mit etwaigem Zusatzwissen sowie umfangreichen Kapazitäten zur Datenrecherche und ‐aggregation keine oder nur eine sehr eingeschränkte De‐Anonymisierung möglich ist.

Ein Aufschub der Anonymisierung ist nur dann möglich, wenn jene Merkmale, mit deren Hilfe ein Personenbezug hergestellt werden kann, zum Erreichen des Forschungszweckes oder einzelner Forschungsschritte benötigt werden. Dies ist beispielsweise während eines noch laufenden Forschungsprojektes, welches auf biometrische Daten zurückgreift, der Fall.

In diesem Fall müssen die personenbezogenen Merkmale jedoch unmittelbar nach der Erhebung getrennt und sicher gespeichert werden. Dies kann bspw. durch eine Pseudonymisierung der personenbezogenen Forschungsdaten erfolgen.

Ein Beispiel ist die Verwendung einer Schlüsseltabelle, die den Klarnamen von Personen entsprechende ID-Codes zuweist. So kann der Personenbezug nur hergestellt werden, wenn man im Besitz der Schlüsseltabelle ist. Diese kann ggf. auch von einem unabhängigen Treuhänder verwahrt werden.

Zusammenstellungen von Forschungsdaten im Rahmen einer Datenbank können - außer, dass sie als Datenbankwerk urheberrechtlich geschützt sein können - zudem durch das Datenbankherstellerrecht (§87a UrhG) geschützt werden. Dieses Leistungsschutzrecht erfordert einen wesentlichen Investitionsaufwand hinsichtlich der Sammlung, Ordnung und Zugänglichmachung der Forschungsdaten.

Inhaber*in der Datenbankherstellerrechte ist regelmäßig die Person, die die wesentlichen Investitionen erbringt, z. B. die Vergütung der Forschenden zahlt und das wirtschaftliche Risiko trägt. Gemeinhin ist dies ebenfalls die anstellende Hochschule oder Forschungseinrichtung. Im Einzelfall kommt auch eine Inhaberschaft der Drittmittel- oder Auftraggebenden in Frage. 

9.4.2 Nutzungsrechtseinräumungen im Rahmen von Dienst- und Arbeitsverträgen

Gehört die Schaffung urheberrechtlich geschützter Werke zu den arbeitsvertraglichen Pflichten oder zentralen Aufgaben, werden der*dem Arbeitgeber*in aufgrund des Arbeitsvertrages oder Dienstverhältnisses an diesen sog. „Pflichtwerken“ Nutzungsrechte eingeräumt (§ 43 UrhG). Die folgenden “Zuordnungen” von Forschungsdaten ergibt sich aus dem Interessenausgleich mit der Freiheit der Forschung (Art. 5 Abs. 3 GG):

• Hochschullehrer*innen stehen im Regelfall alle Verwertungs-, Nutzungs- und Veröffentlichungsrechte an denen von ihnen geschaffenen Werken zu, sofern keine ausdrücklichen vertraglichen Abreden bestehen (z. B. Drittmittelförderung, Geheimhaltungsabreden). § 43 UrhG (sog. "Pflichtwerke") findet hier keine Anwendung.

• Wissenschaftliche Assistent*innen und Mitarbeiter*innen sind gemäß Art. 5 Abs. 3 GG privilegiert, wenn und soweit die wissenschaftliche Arbeit weisungsfrei erfolgt, erfolgt die Forschung weisungsabhängig ist eine stillschweigende Nutzungsrechtseinräumung an den erzeugten Forschungsdaten anzunehmen 

• Bei Studierenden und externen Promovierenden findet grundsätzlich keine Nutzungsrechteeinräumung an die Hochschule statt, da diese keine Arbeitnehmer*innen sind. Jedoch können abweichende vertragliche Vereinbarungen getroffen werden, z. B. bei Drittmittelprojekten, durch die z. B. der Hochschule Nutzungsrechte eingeräumt werden

9.4.3 Zusammenfassung

Das folgende Video erläutert zusammenfassen das komplexe Zusammenspiel aller bisher erarbeiteten Rechtspositionen für die “Zuordnung” von Forschungsdaten und geht dabei in einigen wenigen ergänzenden Aspekten auch über das bisher ausgeführte hinaus (z. B. Software, Datenträger): 

Quelle: „Open Science: Von Daten zu Publikationen“, Peter Brettschneider, Universität Konstanz

Im Wesentlichen, jedoch nicht ausschließlich, sind vor der Veröffentlichung Fragen des Datenschutzes und des Urheberrechts zu klären. Die entscheidenden Weichenstellungen für die Möglichkeit zur Veröffentlichung von Forschungsdaten in einem Repositorium erfolgen deshalb häufig bereits bei der Erhebung der Daten und der Einholung entsprechender Einwilligungserklärungen.

9.5.1 Was sind geeignete Lizenzierungsmodelle?

Damit Andere Ihre urheberrechtlich geschützten Daten auch wirklich nutzen dürfen, müssen die Bedingungen der Nutzung geregelt sein. Dies geschieht durch die Vergabe einer Lizenz. Existiert keine Lizenz, dürfen urheberrechtlich geschützten Daten nur mit ausdrücklicher Zustimmung der Urheber*innen verwendet werden.

Die “Kurzfassung des Gutachtens zu den rechtlichen Rahmenbedingungen des Forschungsdatenmanagements” des BMBF geförderte DataJus Projekts an der Technischen Universität, das die rechtlichen Rahmenbedingungen des Forschungsdatenmanagements untersucht hat, spricht sich für die beiden folgenden Lizenzen aus:

Tab. 9.1: Empfehlenswerte Lizenzen für Forschungsdaten

Die Verwendung weiterer Lizenzbausteine sei nicht zu empfehlen. So schlössen z. B. die Creative Commons (CC) Lizenzen mit dem Attribut „ND“ (z. B. CC-BY-ND) die Weitergabe „abgewandelten“ Materials aus. Somit bliebe die öffentliche Zugänglichmachung einer neuen Datenbank, die aus Teilen anderer Datenbanken geschaffen wurde, ausgeschlossen.

9.5.2 Was kann einer Veröffentlichung entgegenstehen?

Nicht alle Forschungsdaten dürfen oder sollten auch tatsächlich veröffentlicht werden. Bevor Sie ggf. gänzlich auf eine Veröffentlichung verzichten, sollten Sie in jedem Fall prüfen, ob Sie Maßnahmen ergreifen können um eine rechtlich und ethisch unbedenkliche Veröffentlichung doch noch zu ermöglichen. Einen Überblick über mögliche rechtliche Hürden und entsprechende Lösungen gibt folgende Abbildung:

Abb. 9.7: Entscheidungsbaum zur Datenveröffentlichung, Quelle: Böker/Brettschneider (2020)

Darüber hinaus sollten Sie auch forschungsethische Aspekte in Ihre Entscheidung über eine Veröffentlichung Ihrer Forschungsdaten einfließen lassen Die folgenden Punkte sollten Ihnen einige Anhaltspunkte ohne Anspruch auf Vollständigkeit an die Hand geben:

• Können die Daten in einer Weise genutzt werden, die der Gesellschaft schadet?
• Bestehen durch die Veröffentlichung z. B. Risiken für die beforschten Personen (auch wenn diese der Verwendung ihrer Daten zugestimmt haben)?
• Haben beteiligte Arbeitsgruppenmitglieder berechtigte Interessen die Datenveröffentlichung zu unterbinden oder hinauszuzögern (z. B. für die Fertigstellung von Qualifikationsarbeiten)?

9.5.3 Schutz vertraulicher Informationen in Forschungsdatenzentren

Durch die Nutzung von Datenzentren oder auch Archiven ist es möglich, den Zugriff auf vertrauliche und sensible Daten zu beschränken und zugleich eine Datenfreigabe für Forschungs- und Bildungszwecke zu ermöglichen. Die in Datenzentren und Archiven gehaltenen Daten sind im Allgemeinen nicht öffentlich zugänglich. Ihre Verwendung nach der Benutzerregistrierung ist auf bestimmte Zwecke beschränkt. Nutzende unterzeichnen eine Endbenutzer-Lizenz, in der sie sich mit bestimmten Bedingungen einverstanden erklären, z. B. Daten nicht zu kommerziellen Zwecken zu nutzen oder potenziell identifizierbare Personen nicht zu identifizieren. Welche Art von Datenzugriff erlaubt ist, wird vorher mit dem Urheber festgelegt. Darüber hinaus können Datenzentren zusätzliche Zugangsregelungen für vertrauliche Daten verhängen. Quelle: forschungsdaten.info