1. Erforderlichkeit

Ein Grundrechtseingriff muß tatsächlich zum Erreichen des angestrebten Zweckes erforderlich sein. Erforderlichkeit bedeutet, es darf kein milderes Mittel geben, mit dem der Zweck ebenfalls erreicht werden könnte. Der Betroffene muß keine Eingriffe dulden, die sich, ohne den angestrebten Zweck zu gefährden, vermeiden lassen oder auch durch mildere, in die Rechte des Betroffenen weniger stark eingreifende Mittel ersetzt werden können.

Die Übermittlung und Verwendung personenbezogener Daten zu Forschungszwecken muß sich also auf das zum Erreichen des angegebenen Zieles erforderliche Minimum ( Sparsamkeitsgebot) beschränken. Der Forscher muß vor Beginn seiner beabsichtigten Datenerhebungen prüfen, ob das Ziel nicht mit einem gleich geeigneten, aber für den Betroffenen weniger einschneidenden Mittel erreicht werden kann. Ergibt sich bei dieser Prüfung von Alternativen, daß der wissenschaftliche Zweck auch mit einem milderen Mittel erreicht werden kann, dann ist der Eingriff (auch wenn die Einwiligung des Betroffenen erwirkt wurde) unverhältnismäßig und verfassungswidrig.

Die Erforderlichkeitsprüfung darf nicht mit der Bedarfsprüfung (s. unten) des konkreten Forschungsvorhabens verwechselt werden. Dies gilt auch, wenn die Forschungsklausel eines durch die Art der Daten bestimmten Spezialgesetzes greift (z. B. Sozialdaten, dann gelten die Forschungsregelungen des Sozialgesetzbuch X). Die Anwendung der Forschungklausel hat also einer Erforderlichkeitsprüfung standzuhalten (s. Ausführungen zum § 30 Berliner Datenschutzgesetz - BlnDSG -).

1.1 Bedarfsprüfung

Aus dem Grundsatz der Erforderlichkeit folgt für den Einzelfall die Prüfung, ob das jeweilige Forschungsvorhaben auch auf andere Weise durchgeführt werden kann. Entsprechende Formulierungen sind in den meisten Forschungsklauseln zu finden. Nun kann sich eine Prüfung der Erforderlichkeit nicht in Form eines forschungsfremden staatlichen Eingriffs in die Forschungsfreiheit darstellen. Die Prüfung der Erforderlichkeit darf in keiner Weise die Notwendigkeit des Forschungsvorhabens im Sinne einer (Zensur-) Bedarfsprüfung in Zweifel ziehen. Es ist jedoch zu prüfen ob:

• die beizuziehenden Daten geeignet sind, den Zweck der Untersuchung zu fördern (Ausschluß von "Datenfischzügen" und Verarbeitung von Daten "ins Blaue" hinein).
• unter mehreren geeigneten Maßnahmen diejenige ausgewählt wurde, mit der die geringste Beeinträchtigung verbunden ist.
• die mit der ausgewählten Maßnahme verbundene Beeinträchtigung in einem angemessenen Verhältnis zum Untersuchungszweck steht.

Als Voraussetzung einer Erhebung, Übermittlung und Verarbeitung personenbezogener Daten zu Forschungszwecken muß damit eine plausible Darlegung verlangt werden, daß das Vorhaben nicht mit anonymisierten Daten durchgeführt werden kann und welche Angaben für das Vorhaben benötigt werden.

Muß auf eine Einwilligung der Betroffenen verzichtet werden und ist dies rechtlich zulässig (in einer Forschungsklausel geregelt), so ist dies für das einzelne Vorhaben zu begründen.

Das Kriterium der Erforderlichkeit ist für die Forschung Anlaß, ihr "Methodenarsenal" zu überprüfen, und zwar sowohl hinsichtlich ihres Bedarfs an personenbezogenen oder anonymisierten Daten, als auch in Hinblick auf eine Kooperation mit den Betroffenen. Schließlich ergibt sich aus dem informationellen Selbstbestimmungsrecht, daß die Betroffenen nicht lediglich Forschungsobjekte sind, sondern die Möglichkeit haben sollen, als Forschungssubjekte über die Verwendung ihrer Daten selbst zu bestimmen. Wenn die Forschung ihre Informationserwartungen gegenüber den Trägern des informationellen Selbstbestimmungsrechtes rechtfertigen muß, ist darin keine Zensur der Forschung zu sehen.

Der Verzicht auf die Beteiligung der Betroffenen am Forschungsvorhaben, d. h. ein Forschen "hinter dem Rücken" des Betroffenen, führt damit zu einer Begründungspflicht des Vorhabens gegenüber der datenhaltenden Behörde. Sie ergibt sich aus der Pflicht der Behörde, die ihr vom Betroffenen freiwillig oder durch gesetzlichen Zwang überlassenen Angaben nur zweckgebunden zu verwenden. Ergibt die Begründungspflicht gegenüber der Behörde, daß das Forschungsvorhaben auch durch Datenerhebung beim Betroffenen oder durch Kooperation mit ihm möglich ist, verbietet sich bei der Inanspruchnahme eines gesetzlich fixierten Forschungsprivilegs, Daten ohne Einwilligung des Betroffenen zu nutzen.

Das Bundesverfassungsgericht hat hervorgehoben, daß auch die Übermittlung von Einzelangaben zu wissenschaftlichen Zwecken an Amtsträger und für den öffentlichen Dienst besonders Verpflichtete in den Grenzen des für wissenschaftliche Zwecke Erforderlichen gehalten werden muß. Der Betroffene muß nur soviel an Eingriffen in sein informationelles Selbstbestimmungsrecht hinnehmen, wie zur Erreichung des jeweiligen Zweckes notwendig ist. Daher dürfen ohne Einwilligung des Betroffenen nicht mehr personenbezogene Daten zu Forschungszwecken übermittelt oder verarbeitet werden, als für das einzelne Forschungsvorhaben unbedingt erforderlich sind.

1.2 Personenbezogene und anonyme Daten

Die Probleme des Datenzugangs für die Forschung beziehen sich vorrangig auf Individual- oder Einzeldaten. Nicht selten kann der Datenbedarf jedoch mit anonymisierten Daten abgedeckt werden. Der Personenbezug wird vor der Datenübermittlung an den Forscher beseitigt.

Die Anonymisierung ursprünglich personenbezogener Daten unterliegt Anforderungen, die sich aus dem Recht auf informationelle Selbstbestimmung herleiten.

1.2.1 Wann sind Daten personenbezogen?

Der Schutzbereich des Rechts auf informationelle Selbstbestimmung umfaßt die Bestimmung des Einzelnen "über die Preisgabe und Verwendung seiner persönlichen Daten"/1/.

Persönliche Daten werden im Datenschutzrecht als "personenbezogenen Daten" bezeichnet und definiert.

Personenbezogene Daten sind nach der Legaldefinition des § 3 Abs. 1 Bundesdatenschutzgesetz (BDSG) Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener). Darauf nimmt auch das Bundesverfassungsgericht (BVerfG) in seiner Entscheidung zum Volkszählungsgesetz bei der Beschreibung des Grundrechts auf informationelle Selbstbestimmung bezug. Es differenziert zwischen einem bestehenden und einem herstellbaren Personenbezug und umschreibt in weiteren Entscheidungen den Schutzbereich des informationellen Selbstbestimmungsrechts mit den auf die Grundrechtsträger "bezogenen individualisierten oder individualisierbaren Daten"/2/. Bei Betrachtung dieser Begriffsbestimmung umfaßt der Schutzbereich der informationellen Selbstbestimmung nicht nur die Daten einer bestimmten (individualisierten) Person, sondern auch jene Einzelangaben, die eine bestimmte Person zwar nicht eindeutig identifizieren, deren Identität aber mit Hilfe anderer Informationen feststellbar ist. Man bezeichnet diese als individualisierbare bzw. personenbeziehbare Daten.

1.2.2 Daten Verstorbener

Das Datenschutzrecht bezieht in die Definition des Begriffs der personenbezogenen Daten auch die Daten von Verstorbenen mit ein. Der Schutzbereich wird dann relativiert, wenn schutzwürdige Belange des Betroffenen nicht mehr berührt werden können (z. B. § 4 Abs. 1 Berliner Datenschutzgesetz).

Zunächst ist festzustellen, daß die Eigenschaft einer Person, Träger eines Grund rechts zu sein, mit der Geburt beginnt und mit dem Tod endet. Das informationelle Selbstbestimmungsrecht kann also auch nur von lebenden Personen ausgeübt werden. Das heißt aber auch, daß ein Lebender in informationeller Selbstbestimmung Entscheidungen treffen kann, die über seinen Tod hinausreichen und nach Artikel 1 Abs. 1 und 3 Grundgesetz die staatliche Gewalt binden. Darüber hinaus hat das Bundesverfassungsgericht im sog. "Mephisto-Urteil"/3/ festgestellt:

"Es würde mit dem verfassungsverbürgten Gebot der Unverletzlichkeit der Menschen würde, das allen Grundrechten zugrunde liegt, unvereinbar sein, wenn der Mensch, dem Würde kraft seines Personseins zukommt, in diesem allgemeinen Achtungsanspruch auch nach seinem Tode herabgewürdigt oder erniedrigt werden dürfte. Dementsprechend endet die in Artikel 1 Abs. 1 GG aller staatlichen Gewalt auferlegte Verpflichtung, dem Einzelnen Schutz gegen Angriffe auf seine Menschenwürde zu gewähren, nicht mit dem Tode."

In diesem Urteil geht es auch um den Schutz des Andenkens Angehöriger oder Personen, die dem Verstorbenen nahe verbunden waren. Das BVerfG stellt hier fest, daß das Schutzbedürfnis und die Schutzverpflichtung in dem Masse schwinden, in dem die Erinnerung an den Verstorbenen verblaßt.

Dieser Grundsatz findet sich in verschiedenen Regelungen zu Archivdaten (z. B. Archivgesetz Berlin, s. Anlage 3.2.5) wieder. Hier wurden Sperrfristen aufgenommen, die sich daran orientieren, daß nach Ablauf bestimmter längerer Fristen schutzwürdige Belange nicht mehr berührt werden können. Dabei wurde an Regelungen über Verschollene angeknüpft/4/.

1.2.3 Anonyme Daten

Anonyme Daten sind Einzelangaben, die keinen Hinweis auf eine natürliche Person enthalten. Nicht anonym sind also alle Einzelangaben einer Person, deren Identität auf Grundlage dieser Daten bestimmbar ist.

Die grundrechtlich geschützte Entscheidungsbefugnis des Einzelnen über seine Daten endet dort, wo die Daten keinen Zusammenhang mehr mit seiner Person erkennen lassen.

In der Praxis bereitet die Abgrenzung zwischen den Daten einer bestimmbaren Person und anonymisierten Daten gewisse Schwierigkeiten. Beispielsweise sind Einzelangaben über eine natürliche Person nicht anonym, bei denen lediglich der Name der Person weggelassen worden ist ("formal anonymisierte Daten)" und die Person anhand der anderen Angaben noch identifizierbar ist. Ebensowenig können aggregierte Daten in jedem Fall als ausreichend anonym gelten.

Bestimmbar ist eine Person, wenn sie mit Hilfe anderer Informationen festgestellt werden kann. Eine erfolgreiche Identifizierung einer Person aus einem anonymisierten Datensatz hängt lediglich von einer Reihe von Faktoren ab, wenn diese nicht absolut ausgeschlossen werden können.

Dazu zählen

• das bei einem "Angreifer" vorhandene Zusatzwissen
• die technischen Möglichkeiten der Datenverarbeitung
• die zur Verfügung stehende Zeit.

Ein solcher Vorgang der Identifizierung einer bestimmten Person aus einem anonymisierten Datensatz wird als Deanonymisierung (manchmal auch Reidentifizierung) bezeichnet.

Die wissenschaftliche Forschung verläßt den Schutzbereich des informationellen Selbstbestimmungsrechts nur dann, wenn sie Daten verwendet, die unter keinen Umständen mehr personenbeziehbar sind.

Der außerhalb datenschutzrechtlicher Regelungen liegende Anwendungsbereich der tatsächlich anonymen im Sinne von "absolut anonymen" Daten beschränkt sich damit nur auf einen (kleinen) Teil der sogenannten anonymen Daten.

Letztendlich sind damit fast alle sogenannten anonymisierten Daten auch bestimm bare Daten und damit personenbezogene bzw. personenbeziehbare Daten.

1.2.4 Faktisch anonymisierte Daten

Um eine praktikable Abgrenzung der anonymen von den personenbezogenen Daten vornehmen zu können, werden zur näheren Bestimmung des Anwendungsbereiches der Datenschutzgesetze von den bestimmbaren Daten die sogenannten "faktisch anonymisierten Daten" unterschieden. Von faktisch anonymen Daten wird gesprochen, wenn eine Person nur mit einem völlig unverhältnismäßigen Aufwand identifiziert werden kann. Im Volkszählungsurteil verweist das BVerfG im Zusammenhang mit den notwendigen Vorkehrungen zum Schutz des Rechts auf informationelle Selbstbestimmung auf das Gebot einer möglichst frühzeitigen "(faktischen) Anonymisierung" der Daten. Das Gericht führt in einem späteren Urteil aus, daß von Verfassungs wegen lediglich eine faktische Anonymität der Daten geboten ist. Diese kann - in Anlehnung an § 16 Abs. 6 Bundesstatistikgesetz - allenfalls dann als gegeben angesehen werden, wenn Datenempfänger oder Dritte eine Angabe nur mit einem - im Verhältnis zum Wert der zu erlangenden Information nicht zu erwartenden - unverhältnismäßig großen Aufwand an Zeit, Kosten, Arbeitskraft und sonstigen Ressourcen (etwa das Risiko einer Bestrafung) einer Person zuordnen können./5/

Selbst faktisch anonymisierte Daten sind, wenn auch mit einem unverhältnismäßigen Aufwand, prinzipiell deanonymisierbar. Gerade aus diesem Grund wird eine auf den Einzelfall abgestellte Einschätzung des Deanonymisierungsrisikos verlangt. Die Wahrscheinlichkeit einer Deanonymisierung ist durch zusätzliche technische und organisatorische Maßnahmen zu reduzieren. Dies sind u. a. das Trennungs- und Löschungsgebot, das Zweckbindungsgebot, ein strafbewehrtes Reidentifizierungsverbot, das Weitergabe(Übermittlungs-)verbot und eine Aufzeichnungspflicht. Beim Bestimmen des Deanonymisierungspotentials sind auch Erkenntnisse von Wissenschaft und Technik zu berücksichtigen. Hinreichend oder faktisch anonymisierte Daten sind personenbeziehbare (individualisierbare) Daten, bei denen das Risiko der Bestimmbarkeit durch organisatorische und technische Schutzmaßnahmen so weit gemindert ist, daß dem Betroffenen das (Rest-)Risiko einer Deanonymisierung zugemutet werden kann.

Die Grenze zwischen personenbeziehbaren und faktisch anonymisierten Daten ist damit fließend. Sie kann nur im Einzelfall - unter Berücksichtigung beispielsweise des Wertes der zu erlangenden Information oder der dem Empfänger sowie einem potentiellen Angreifer zur Verfügung stehenden Ressourcen - bestimmt werden. In der Praxis ist dies für die übermittelnde Stelle mit Schwierigkeiten verbunden. So verlangt dies auch eine Prognose über die Ressourcen der Empfänger der Daten oder eine Einschätzung des Werts der Informationen für potentielle Angreifer.

Dabei sollten vor allem nachfolgende Kriterien Berücksichtigung finden:

• das mögliche Zusatzwissen der datenverarbeitenden Stelle und eines potentiellen Angreifers,
• die Struktur des Datensatzes,
• die technischen Möglichkeiten der verwendeten Rechner.

Bei der Einschätzung des möglichen Zusatzwissens ist dieses nach Informationen aus allgemein und nicht allgemeinen zugänglichen Quellen zu unterscheiden. Auch sollte der Informationsrahmen (Informationssystem) betrachtet werden.

1.2.5 Anonymisierungsverfahren

Die gebräuchlichsten Anonymisierungsmethoden sind:

• das formale Anonymisieren der Datensätze,
• das Verallgemeinern und das Mikro-Aggregieren (kleinerer) Datensätze,
• das Einstreuen von Zufallsfehlern,
• das Zerlegen von Datensätzen in separate Merkmalsbereiche,
• das Ziehen von Unterstichproben,
• das Nutzen von Schlüsseln und Codierungen.

Auch bei der Übermittlung faktisch anonymisierter Daten sind wirksame Vorkehrungen gegen eine Deanonymisierung zu treffen. Um das Deanonymisierungsrisiko zu verringern, solle die Nutzung der faktisch anonymisierten Daten mit Abschottungsmaßnahmen verbunden werden.

Eine faktische Anonymisierung enthebt nicht von dem Gebot, die Daten unmittelbar zu löschen, nachdem der Verwendungszweck erreicht worden ist. Dies ist um so wichtiger, da die Daten unter veränderten Bedingungen, die nicht allein von der speichernden Stelle, sondern auch von dem Empfänger oder potentiellen Angreifern abhängen, wieder zu personenbezogenen Daten werden können. Der Gesetzgeber hat dies in einer Definition in § 3 Abs. 7 Bundesdatenschutzgesetz wie folgt zusammengefaßt:

"Anonymisieren ist das Verändern personenbezogener Daten derart, daß die Einzelangaben über persönliche oder sachliche Verhältnisse nicht mehr oder nur mit einem unverhältnismäßigen großen Aufwand an Zeit, Kosten und Arbeitskraft einer bestimmten oder bestimmbaren natürlichen Personen zugeordnet werden können".

1.2.6 Verwendung anonymisierter Daten

Gegenüber einer Verarbeitung personenbezogener Daten mit oder ohne Einwilligung des Betroffenen ist die Verwendung anonymisierter Daten, auch wenn diese nicht absolut anonym, sondern bloß "faktisch anonymisiert" sind, ein milderes Mittel. Allerdings stellt auch die Übermittlung faktisch anonymisierter Daten einen Eingriff in das Recht auf informationelle Selbstbestimmung dar, der einer Rechtsgrundlage bedarf. Beispiels weise kommt gegenüber einer Übermittlung von Einzelangaben aus der amtlichen Statistik als milderes Mittel der Zugang zu den von den Statistischen Ämtern zusammengefaßten Daten (Tabellen oder Tafeln) in Betracht. Die Statistischen Ämter veröffentlichen fortlaufend solche z. T. festdefinierte Tabellen. Eine besondere Wissenschaftsklausel im Bundesstatistikgesetz (s. Anlage) erlaubt es den Statistischen Ämtern, aussagekräftigere Datensätze gesondert unter bestimmten Auflagen zur Verfügung zu stellen.

Als mildere Mittel sind aber auch Datenauswertungen, die die datenhaltende Stelle - z. B. das Statistische Amt - auf Anweisung des Forschers durchführt. So kann sichergestellt werden, daß eine ausreichende Anonymisierung vor der Übermittlung erfolgt. Als Beispiele seien hier auch das Bundeszentralregister oder Register von Gesundheitsdaten (z. B. Krebsregister) genannt.

Dem entgegen stehen mitunter die beschränkten Möglichkeiten der jeweiligen Behörde sowie auch fehlende gesetzliche Aufgabenzuweisungen der Behörden, die solche Tätigkeiten für Forscher ausschließen können. Dann bleibt nur der schwerwiegendere Eingriff in das informationelle Selbstbestimmungsrecht durch den genehmigten direkten Zugang des Forschers zu den Einzelangaben.

Eine andere Möglichkeit des Datenzugangs besteht darin, selbst erhobene Daten mehrfach für verschiedene Forschungsvorhaben zu nutzen. So können unter strengen datenschutzrechtlichen und organisatorischen Auflagen Forschungsregister und andere Datenpools aufgebaut werden, die ausschließlich zu Forschungszwecken zur Verfügung stehen. Da hier jedoch die Zweckbindung der faktisch anonymisierten Daten an ein einzelnes Forschungsprojekt durchbrochen wird, bedarf ein solcher Datenpool entweder einer gesetzlichen Grundlage oder der Einwilligung der Betroffenen bei der noch personenbezogenen Erhebung mit anschließender faktischer Anonymisierung.

Einige Forschungsfragen scheinen die Verarbeitung anonymisierter Daten auszuschließen, wenn das Ziel erreicht werden soll. Hier sei insbesondere auf die empirische Sozialforschung und die historische Forschung verwiesen. Auch Längsschnittstudien verlangen häufig ein eindeutiges und handhabbares Unterscheidungskriterium, um spätere Angaben der richtigen Person zuzuordnen.

Hier bieten sich verschiedene Möglichkeiten an, durch Verschlüsselungen und Codierungen einen offenen Personenbezug, wie es der Name darstellen würde, zu vermeiden. Zwei Beispiele werden in Anlage 2 angegeben. Dabei sollten Codierungen bevorzugt werden, die der Betroffene selbst vornimmt und von ihm jederzeit rekonstruierbar sind. So können den Datensätzen der einzelnen Personen weitere Angaben zugeordnet und Doppelungen vermieden werden. Bei großen Registern könnte auch eine maschinelle, auf Zufallsangaben beruhende Verschlüsselung vorgenommen werden.

2. Einwilligung

Die Mehrzahl der Forschungsvorhaben wird nicht mit Hilfe schon vorliegender anonymisierter Einzeldaten durchgeführt werden können. Die Daten sind hier nur durch die Mitwirkung des Betroffenen insbesondere auf Grundlage seiner Einwilligung zu gewinnen.

Das Recht auf informationelle Selbstbestimmung schützt als Freiheitsrecht die Entscheidungsfreiheit des Einzelnen, ob und inwieweit von Dritten über seine Persönlichkeit mit der Verarbeitung seiner persönlichen Daten verfügt werden kann. So ist die Einwilligung im Sinne einer "Selbstbestimmung" über sich und seine persönliche Daten der Kern und die unmittelbare Ausübung des Rechts auf informationelle Selbstbestimmung. Mit der Erteilung oder Nichterteilung einer Einwilligung wird die "Befugnis des Einzelnen, selbst über die Preisgabe und Verwendung seiner persönlichen Daten" (BVerfG) zu bestimmen, ausgeübt. Der Einzelne soll "nicht zum bloßen Informationsobjekt" werden. So muß ihm die Verarbeitung seiner Daten zu einem bestimmten Zweck nicht nur bekannt sein, sondern sie setzt auch seine Einwilligung voraus.

Eine Datenverarbeitung ohne oder gegen den Willen des Betroffenen läßt eine Selbstbestimmung des Betroffenen über seine Daten nicht zu. Sie ist grundsätzlich ein rechtswidriger Eingriff in das Selbstbestimmungsrecht des Betroffenen.

An der bestehenden Eingriffsqualität ändert auch der Hinweis nichts, daß der Betroffene bei einer Datenverarbeitung zu Forschungszwecken anders als zu Verwaltungszwecken kaum negativen Interventionen ausgesetzt sein wird. Es kommt für eine Einschränkung des Selbstbestimmungsrechtes nicht erst auf die möglichen Folgen einer Verarbeitung an, sondern bereits auf das fehlende Moment der Beteiligung des Betroffenen an der Erhebung und Verarbeitung seiner Daten.

Die Rechtfertigung erfolgt durch die aufgeklärte oder informierte Einwilligung.

2.1 Die informierte Einwilligung - Zweckbindung gleich Sicherheit

Mit Hilfe der informierten Einwilligung beschränkt der Betroffene die Befugnis, seine Daten zu verarbeiten, auf bestimmte Zwecke. Die Zweckbindung ist damit das entscheidende Sicherungsinstrument der Einwilligung für den Betroffenen. Der mit der Einwilligung legitimierte Zweck begrenzt die Möglichkeiten zunächst, abschließend über die Daten des Betroffenen verfügen zu können.

Die Einwilligung einer Person in die Verarbeitung seiner Daten zu einem bestimmten Verwaltungszweck berechtigt die Behörde nicht, diese Daten an eine Forschungseinrichtung für ein bestimmtes Forschungsvorhaben zu übermitteln. Zweckentfremdungen - auch für die Wissenschaft - sind rechtfertigungsbedürftige Eingriffe in das Recht auf informationelle Selbstbestimmung.

Eine Einwilligung, bei der der Betroffene nicht erkennen kann, zu welchen Forschungsvorhaben seine Daten verwendet werden, ist beispielsweise nach § 6 Abs. 4 BlnDSG unwirksam. Eine in diesem Sinne unzureichend bestimmte Einwilligung birgt das Risiko, das Selbstbestimmungsrecht des Betroffenen zu verletzen.

Die Einwilligung muß den konkreten Forschungszweck - hier ein bestimmtes Forschungsvorhaben - klarstellen. Gegenüber dem Betroffenen müssen der Umfang der Datenverarbeitung und die Anzahl der möglichen Empfänger und deren Zwecke angegeben werden.

Eine allgemeine Zweckbestimmung "Forschungszwecke" genügt nicht.

Dem Betroffenen gegenüber ist die Notwendigkeit der Erhebung und Verarbeitung seiner Daten zu begründen. Unzulässig wäre es, auf eine von vornherein unendliche Anzahl von Forschungsvorhaben, über die sich der Betroffene noch keine Vorstellung gemacht hat und machen kann, zu verweisen. Werden z. B. Daten für ein Forschungsregister erbeten, so sind die Regelungen der wissenschaftlichen Nutzung dieses Registers aufzuhellen und transparent zu machen, auch wenn das einzelne später nutzende Forschungsprojekt noch nicht erkennbar ist.

2.2 Die informierte Einwilligung setzt Aufklärung voraus

Entscheidungsfreiheit bedeutet, daß die Verarbeitung der persönlichen Daten nicht hinter dem Rücken des Betroffenen, ohne oder gegen seinen Willen, erfolgen darf. Durch Zusammenspiel von Einwilligung und Zweckbindung als Grenzen der Verarbeitungsbefugnis wird die Verarbeitung personenbezogener Daten transparent. Um in die Verarbeitung seiner Daten wirksam einwilligen zu können, ist der Betroffene vorher über den jeweiligen Verarbeitungszweck zu informieren. Erteilung oder Verweigerung einer Einwilligung als praktisch ausgeübte informationelle Selbstbestimmung setzen eine umfassende Aufklärung des Betroffenen über die Verarbeitung seiner Daten voraus. Das Recht auf informationelle Selbstbestimmung schützt das "individuelle Wissen" um die Verarbeitung der eigenen Daten. Die Selbstbestimmung kann nach dem Volkszählungsurteil des Bundesverfassungsgerichts bereits beeinträchtigt werden, wenn der Betroffene "nicht mit hinreichender Sicherheit übersehen kann, welche ihn betreffenden Informationen in bestimmten Bereichen seiner sozialen Umwelt bekannt sind"/6/. Bereits die Unsicherheiten über das Wissen anderer Kommunikationspartner beeinträchtigt die Freiheit, aus eigener Selbstbestimmung zu planen oder zu entscheiden und damit die all gemeinen Persönlichkeitsrechte. Eine unzureichende oder unterlassene Aufklärung vor Erteilung der Einwilligung ist ein Eingriff in das Recht des Betroffenen auf informationelle Selbstbestimmung. Die Unsicherheit des Betroffenen über das Wissen anderer kann nur behoben werden, wenn er nicht pauschal in die Verarbeitung seiner Daten einwilligt, sondern Kenntnis über die konkrete Verarbeitung seiner Daten vor seiner Einwilligung erhält. So kann er die Folgen seiner Einwilligung absehen.

Eine informierte Einwilligung liegt dann vor, wenn die Betroffenen ausdrücklich und unübersehbar darüber aufgeklärt worden sind:

• daß die Erhebung freiwillig ist und die Verweigerung der Teilnahme an einer Untersuchung keine Maßnahmen gegen den Betroffenen zur Folge hat,
• was Zweck und Gegenstand des Forschungsprojekts sind,
• durch wen und für wen die Daten gesammelt werden,
• daß die erhobenen Daten ausschließlich für Zwecke wissenschaftlicher Forschung verarbeitet werden.

2.3 Freiwilligkeit der Einwilligung

Selbstbestimmung setzt "Entscheidungsfreiheit" über die vorzunehmenden oder zu unterlassenden Handlungen voraus. Da der Schutz der informationellen Selbstbestimmung die Fremdbestimmung ausschließen soll, muß die Einwilligung freiwillig erteilt werden. Eine Einwilligung unter Zwang oder Täuschung widerspricht dem Selbstbestimmungsrecht. Der Betroffene muß, ohne einen Nachteil befürchten zu müssen, die Einwilligung auch verweigern können. Die Selbstbestimmung des Betroffenen ist daher durch entsprechende Vorkehrungen gegen Fremdbestimmungen zu sichern. Grundrechtlich begründet werden diese Vorkehrungen mit der Schutzpflicht des Staates, die Ausübung der informationellen Selbstbestimmung gegen Eingriffe Dritter zu schützen.

Oft zeigt sich, daß die Betroffenen keine tatsächliche Entscheidungsfreiheit haben - z. B. bei staatlichen Leistungen oder Vertragsverhältnissen. Dann müssen die Betroffenen häufig, um das Ziel ihrer Bemühungen nicht zu gefährden, in die Verarbeitung ihrer Daten einwilligen. Ein vergleichbares Beispiel aus der Datenverarbeitung zu Forschungszwecken wäre eine mit dem Aufnahmeantrag im Krankenhaus verbundene Klausel, wonach der Patient seine Krankendaten über den Behandlungszusammenhang hin aus auch der medizinischen Forschung zur Verfügung stellt. Aus der tatsächlichen Bedrohung der Entscheidungsfreiheit durch die Unterlegenheit des Betroffenen kann aber nicht der Schluß gezogen werden, die "Entscheidungsfreiheit" des einzelnen sei zu vernachlässigen, weil sie durch die Realität entwertet sei.

Aus der normativen Funktion des Rechts auf informationelle Selbstbestimmung folgt hingegen, daß der grundrechtliche Schutz der Entscheidungsfreiheit nicht durch die Gestaltung der Einwilligung zur reinen Fiktion wird. Vielmehr verdeutlicht die Norm die ihr widersprechende Praxis. Die staatliche Verwaltung hat das informationelle Selbstbestimmungsrecht ebenso zu wahren, wie es Aufgabe des Gesetzgebers ist, durch gesetzliche Regelungen das Eingehen von Vertragsverhältnissen nicht zu einem unkalkulierbaren Risiko für die informationelle Selbstbestimmung des einzelnen werden zu lassen.

2.4 Schriftlichkeit der Einwilligung - mehr Sicherheit für den Betroffenen und den Wissenschaftler

Das BlnDSG verlangt in § 6 Abs. 3 generell die Schriftform.

In der Forschung ergeben sich hier mitunter Probleme. So wird darauf verwiesen, daß Telefoninterviews, die im Rahmen der empirischen Sozial-, aber auch der Marktforschung aus Kostengründen eine wachsende Bedeutung gewinnen, unter der Anforderung einer strikten Schriftform kaum noch durchgeführt werden können, weil der Betroffene strenggenommen vor dem Interview schriftlich in die Befragung einwilligen muß.

Auch wird mit der Schriftform eine erhöhte Verweigerungsrate der Betroffenen in Zusammenhang gebracht. Die Schriftform erwecke Mißtrauen vor dem "Kleingedrucktem". So würden repräsentative Erhebungen erschwert.

Grundrechtlich ist die Ausübung der Selbstbestimmung an kein Formerfordernis gebunden. Die informationelle Selbstbestimmung kann schriftlich wie mündlich ausgeübt werden. Allerdings hat die Schriftform eine - die Ausübung der Selbstbestimmung flankierende und sie schützende - Garantiefunktion. Sie ist eine die Grundrechtsausübung sichernde verfahrensrechtliche Vorkehrung. Ihre Notwendigkeit folgt aus der Schutzpflicht des Staates, den einzelnen vor Eingriffen Dritter in sein Selbstbestimmungsrecht zu schützen.

Der Sinn der Schriftform liegt in dem Schutz des Betroffenen vor einer übereilten Einwilligung. Er soll dazu veranlaßt werden, sich über die Bedeutung seiner Erklärung Gedanken zu machen. Gleichzeitig wird durch die Schriftlichkeit der Einwilligung die notwendige Transparenz der Datenverarbeitung gesichert. Die mit der Einwilligung bestimmten Grenzen der Verarbeitung können so nachvollzogen, hinterfragt und kontrolliert werden. Die Schriftform sichert die Selbstbestimmung auch insofern, als nicht der Betroffene, sondern der Empfänger nachweisen muß und kann, daß eine ausreichende, die Datenverarbeitung legitimierende Einwilligung besteht. Ein Verzicht auf die Schriftform stellt einen rechtfertigungsbedürftigen Eingriff in das Grundrecht dar. Dem wird der 2. Halbsatz des § 6 Abs. 3 Satz 1 BlnDSG gerecht - "Schriftform, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist".

Allerdings führt eine fehlende schriftliche Einwilligung grundsätzlich zu einer Beweislastumkehr zu Lasten des Wissenschaftlers. Er müßte demnach beweisen, daß keine rechtswidrige Verletzung des informationellen Selbstbestimmungsrechts vorliegt, wodurch das Forschungsvorhaben gefährdet werden kann und rechtliche Konsequenzen (Schadensersatz u. a.) für den Wissenschaftler ausgelöst werden können.

Es zeigt sich also, daß es bei Telefoninterwievs zulässig ist, die Schriftform durch eine ausdrückliche mündliche Einwilligung zu ersetzen und in der Interviewniederschrift zu vermerken. Dies gilt aber nur für Einmalbefragungen (auf Grundlage einer Zufallsauswahl aus dem Telefonbuch), bei denen die erhobenen Angaben sofort bei der Erfassung anonymisiert werden. Telefonnummer und Name werden nicht gespeichert. Ihre Vernichtung erfolgt nachweisbar unmittelbar nach der Datenerhebung. Bis zur Vernichtung sind sie physisch getrennt und gesichert aufzubewahren. Soll hingegen mit Telefonbefragungen erst ein Vorinterview geführt werden, so ist bei der Hauptbefragung (durch Interviewer vor Ort beim Betroffenen) die schriftliche Einwilligung nachzuholen. Unsere Beratungspraxis hat gezeigt, daß die Akzeptanz bei Telefoninterviews generell durch eine schriftliche Vorankündigung erhöht wird.

Der Verzicht auf die Schriftform ist grundsätzlich zulässig, wenn nicht eine Rechtsnorm ausschließlich die Schriftform der Einwilligung zuläßt (s. § 5 a Abs. 5 Berliner Schulgesetz).

2.5 Einwilligung bei Minderjährigen

Nach Artikel 6 Abs. 2 Satz 1 Grundgesetz üben die Eltern das Erziehungsrecht gegenüber dem Kind aus und tragen dafür die an Pflichten gebundene Verantwortung. Das elterliche Erziehungsrecht, das auch die Vertretung des informationellen Selbstbestimmungsrechtes für das Kind zunächst voll mit einschließt, schwindet über gesetzlich grob festgelegte Stufen bis zur Volljährigkeit.

Die Grundrechtsträgereigenschaft einer Person beginnt mit der Geburt. Die nichtvolljährige Person wird jedoch durch die Eltern insoweit vertreten, als diese bis zum 14. Lebensjahr faktisch alle Teile des informationellen Selbstbestimmungsrechtes für die Kinder ausüben. Ab diesem Alter (die Einsichtsfähigkeit der Minderjährigen vorausgesetzt) sind bestimmte Rechte (z. B. Einsicht in Schülerunterlagen in Berlin) sowohl von den Eltern als auch von den Jugendlichen wahrnehmbar. Besonders gravierende Eingriffe, wie auch wissenschaftliche Befragungen hat der Berliner Gesetzgeber jedoch nur nach schriftlicher Einwilligung der Erziehungsberechtigten zugelassen. Hier wird der Umstand berücksichtigt, daß die Schüler auf Grund der gesetzlichen Schulpflicht in der Schule sind, und eine freiwillige Teilnahme der Schüler allein durch die Pflicht zur Anwesenheit tatsächlich eingeschränkt ist.

Jedoch kann aus einer Einwilligung durch die Eltern nicht auf eine Verpflichtung des Minderjährigen geschlossen werden, an der gewünschten Untersuchung teilzunehmen. Mit ihrer Einwilligung geben die Eltern zwar dem Wissenschaftler das Recht zur Datenerhebung, sie können damit jedoch das Recht des Minderjährigen auf Verweigerung nicht beschneiden. Verweigert ein Schüler beispielsweise die Teilnahme an einer Befragung, obwohl seine Eltern zustimmten, so ist dies Ausdruck des durch die Einwilligung auf den Schüler voll übertragenen Grundrechts und ist durch den Forscher zu akzeptieren.

2.6 Verzicht auf Einwilligung des Betroffenen

Für den Betroffenen ist die Einholung der Einwilligung gegenüber dem Verzicht darauf ein milderes Mittel, denn ein Verzicht entzieht dem Betroffenen die Möglichkeit, die Einwilligung zu erteilen, und damit den Zweck, den Adressaten und den Umfang der Datenverarbeitung zu erfahren. Ebensowenig kann der Betroffene dabei die Einwilligung in die Datenverarbeitung verweigern oder ihr widersprechen. Aus diesem Grund muß der Verzicht die Ausnahme bilden.

Eine Reihe von Forschungsklauseln betont ausdrücklich das Recht auf die Einwilligung in die Verarbeitung der eigenen Daten zu Forschungszwecken. Die Einwilligung als das mildere Mittel muß aber geeignet sein, um den beabsichtigten Forschungszweck zu erreichen. Daran könnte es fehlen, wenn das Vorhaben scheitert, weil nicht genügend Personen eingewilligt haben. Andererseits sind aber die Auswirkungen einer fehlenden Einwilligung des Betroffenen nicht allgemein zu beantworten. Zwar könnte eine gezogene Stichprobe mangels genügender Teilnehmer nicht aussagekräftig sein, in vielen Fällen kann auch mit kleineren Stichproben gearbeitet oder das Forschungsdesign verändert werden. Allein die Tatsache, daß Forscher ein bestimmtes Forschungsvorhaben nicht mehr verfolgen können, weil die Betroffenen in das Vorhaben nicht eingewilligt haben oder dies zu befürchten steht, rechtfertigt nicht, sich über das informationelle Selbstbestimmungsrecht der Betroffenen hinwegzusetzen und das Privileg einer Forschungsklausel in Anspruch zu nehmen.