Rz. 5
Art. 6 Abs. 2 DSGVO eröffnet den Mitgliedstaaten die Möglichkeit, spezifischere Bestimmungen in Bezug auf die Verarbeitung zur Erfüllung von rechtlichen Verpflichtungen oder zur Wahrnehmung von Aufgaben im öffentlichen Interesse (Art. 6 Abs. 1 Buchst. c und e DSGVO) beizubehalten oder einzuführen. Damit können spezifische Anforderungen zur Verarbeitung personenbezogener Daten für wissenschaftliche Forschungszwecke gemäß Art. 89 DSGVO getroffen werden.
Da Sozialdaten besonders schutzwürdig sind, sieht § 75 als bereichsspezifische Regelung für die Übermittlung von Sozialdaten zu Zwecken wissenschaftlicher Forschung besondere Anforderungen vor (vgl. auch Rz. 4).
2.1 Begriffsdefinitionen
Rz. 6
Die Begriffe Forschung und Planung sind weder in der DSGVO noch im SGB X definiert. Es bieten sich folgende Definitionen an:
- Forschung ist die Gesamtheit der methodisch-systematischen, schöpferisch-geistigen Bemühungen im Rahmen der Wissenschaft zur Gewinnung neuer, allgemein nachprüfbarer Erkenntnisse; sie muss sich auf ein bestimmtes Vorhaben beziehen;
- Planung ist der systematische, rationale Entwurf, der ein gewünschtes Ziel und dessen Verwirklichung gedanklich vorwegnimmt; im Sozialleistungsbereich kommen regelmäßig Bedarfs- und Bereitstellungsplanungen in Betracht.
2.2 Garantien und Ausnahmen in Bezug auf die Verarbeitung zu wissenschaftlichen Forschungszwecken gemäß Art. 89 DSGVO
Rz. 7
Die Verarbeitung personenbezogener Daten zu wissenschaftlichen Forschungszwecken "sollte weit ausgelegt werden und die Verarbeitung für beispielsweise die technologische Entwicklung und die Demonstration, die Grundlagenforschung, die angewandte Forschung und die privat finanzierte Forschung einschließen. Die wissenschaftlichen Forschungszwecke sollten auch Studien umfassen, die im öffentlichen Interesse im Bereich der öffentlichen Gesundheit durchgeführt werden" (Erwägungsgrund [EG] 159 DSGVO).
2.2.1 Geeignete Garantien für die Rechte und Freiheiten der betroffenen Person gemäß Art. 89 Abs. 1 DSGVO
Rz. 8
Die Verarbeitung zu wissenschaftlichen Forschungszwecken unterliegt nach Art. 89 Abs. 1 Satz 1 DSGVO geeigneten Garantien für die Rechte und Freiheiten der betroffenen Person.
Mit diesen Garantien wird sichergestellt, dass technische und organisatorische Maßnahmen bestehen, mit denen insbesondere die Achtung des Grundsatzes der Datenminimierung gewährleistet wird (Art. 89 Abs. 1 Satz 2 DSGVO).
Diese geeigneten Garantien können u. a. verbindliche interne Datenschutzvorschriften oder von einer Aufsichtsbehörde genehmigte Vertragsklauseln sein. Sie sollten sich insbesondere auf die Einhaltung der allgemeinen Grundsätze für die Verarbeitung personenbezogener Daten, die Grundsätze des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen beziehen (Art. 25 und Art. 32 DSGVO, vgl. die Komm. zu § 35 SGB I).
Zu diesen Maßnahmen kann nach Art. 89 Abs. 1 Satz 3 DSGVO die Pseudonymisierung gehören, sofern es möglich ist, diese Zwecke auf diese Weise zu erfüllen.
2.2.2 Ausnahmen von den Rechten der betroffenen Person gemäß Art. 89 Abs. 2 DSGVO
Rz. 9
Werden personenbezogene Daten zu wissenschaftlichen Forschungszwecken verarbeitet, können nach Art. 89 Abs. 2 DSGVO vorbehaltlich der Bedingungen und Garantien gemäß Abs. 1 (Rz. 8) im Recht der Mitgliedstaaten Ausnahmen von den Rechten der betroffenen Person gemäß der Art. 15, 16, 18 und 21 DSGVO vorgesehen werden. Hiervon hat der deutsche Gesetzgeber Gebrauch gemacht mit den Beschränkungen in § 83 und § 84, auf die dortige Kommentierung wird ergänzend hingewiesen.
2.3 Übermittlung von Sozialdaten für die Forschung und Planung nach § 75
Rz. 10
Da Sozialdaten besonders schutzwürdig sind, sieht § 75 als bereichsspezifische Regelung für die Übermittlung von Sozialdaten zu Zwecken wissenschaftlicher Forschung und Planung besondere Anforderungen vor. Er regelt in Abs. 1 und 2 die Zulässigkeit und Modalitäten der Übermittlung an die Forscher und Planer und besondere Pflichten der Stellen nach § 35 SGB I. Abs. 3 enthält nochmals spezifische Anforderungen an die Übermittlung besonderer Kategorien personenbezogener Daten (Rz. 29, 30).
Abs. 4a erweitert die Übermittlungsbefugnis nach Abs. 1 Satz 1 (Rz. 39 ff.). Abs. 5 und 6 enthalten besondere Anforderungen, wenn die Sozialdaten an nicht-öffentliche Stellen übermittelt werden (Rz. 45, 46).
2.3.1 Abgrenzung zur Eigenforschung und -planung (§ 67c)
Rz. 11
Forschungs- und Planungsvorhaben, die die Stellen nach § 35 SGB I selbst durchführen, fallen nicht unter § 75. In diesen Fällen findet keine Übermittlung (an Dritte nach Art. 4 Nr. 10 DSGVO, vgl. die Komm. zu § 67) statt. Die Verwendung der eigenen Sozialdaten für Forschungs- und Planungszwecke ist eine Zweckänderung, die nach § 67c Abs. 2 Nr. 2 zulässig ist (vgl. die dort. Komm.). Bedient sich der Leistungsträger für die Durchführung des Vorhabens anderer Stellen oder Personen, so liegt Datenverarbeitung im Auftrag i. S. v. § 80 vor. Die Auftragsverarbeiter sind daher nach Art. 4 Nr. 10 nicht Dritte, sodass auch hier der Tatbestand der Übermittlung nicht gegeben ist.
Rz. 12
Auch in dem Falle, dass die Stelle nach § 35 SGB I die benötigten Sozialdaten nicht bereits erhoben und gespeichert hat, sondern sie zum Zwecke der Forschung und Planung erst erhebt und speichert, gilt § 75 nicht, sondern Zulässigkeitsvoraussetzung für die Verwendung (Nutzung) ist § 67c Abs. 5, auf dessen vielfältige Einschränkungen hingewiesen wird (vgl. die dort. Komm.)...