Ob Biobank, klinische Studie oder KI-gestützte Gesundheitsforschung: Die Wiederverwendung bereits erhobener personenbezogener Daten für neue wissenschaftliche Fragestellungen – die sogenannte Zweitverarbeitung, Zweitverwendung oder Zweitnutzung – ist aus der modernen Forschung nicht mehr wegzudenken. Sie verspricht Effizienz, Erkenntnisgewinn und gesellschaftlichen Mehrwert. Doch das datenschutzrechtliche Fundament für solche Projekte ist häufig eher unsicher.

Eine umfassende Studie des Europäischen Datenschutzbeauftragten (EDSB) hat diese Problematik unter die Lupe genommen. Die Ergebnisse sind ebenso detailliert wie ernüchternd: Uneinheitliche Definitionen, divergierende Rechtsgrundlagen, offene Fragen zum Verhältnis von Forschung und Betroffenenrechten – all das erschwert die Zweitnutzung von Daten erheblich.

Wir fassen die Kernaussagen der Studie zusammen – und zeigen, was Unternehmen, Forschungseinrichtungen und Auftragsverarbeiter jetzt beachten sollten.

Warum ist die Zweitverarbeitung rechtlich so heikel?

Die Datenschutz-Grundverordnung (DSGVO) erkennt die Bedeutung wissenschaftlicher Forschung grundsätzlich an. Sie eröffnet gewisse Spielräume, etwa durch:

• Art. 5 Abs. 1 lit. b) DSGVO: die sogenannte Zweckbindungsregel mit Kompatibilitätsvermutung bei Forschung,
• Art. 9 Abs. 2 lit. j) DSGVO: eine spezielle Erlaubnis für sensible Daten im Forschungszusammenhang,
• Art. 89 DSGVO: Ausnahmeregelungen für Forschung bei gleichzeitiger Sicherstellung von Garantien für Betroffene.

Doch viele dieser Vorschriften sind interpretationsbedürftig oder verweisen auf nationale Gesetze, die sehr unterschiedlich ausgestaltet sind. In der Praxis herrscht daher Unsicherheit:

• Wann genau liegt „wissenschaftliche Forschung“ im Sinne der DSGVO vor?
• Welche Rechtsgrundlage ist bei der Weiterverarbeitung zulässig?
• Welche Informationspflichten bestehen – und wann greift eine Ausnahme?
• Reicht ein „broad consent“ oder ist eine neue Einwilligung notwendig?
• Welche Rolle spielen Ethikkommissionen oder behördliche Genehmigungen?

Was sagt die EDSB-Studie konkret?

Die Studie stützt sich auf juristische Literatur, nationale Gesetzestexte und Expertenbefragungen aus 18 EU-/EWR-Staaten. Die wichtigsten Erkenntnisse:

1. Begriff der „wissenschaftlichen Forschung“ bleibt unklar

Die DSGVO selbst definiert den Begriff nicht. Zwar bietet ErwG 159 S. 2 DSGVO eine weite Auslegung („z. B. technologische Entwicklung, Grundlagen- und angewandte Forschung“), doch diese ist rechtlich unverbindlich.

Nur wenige Länder – etwa Frankreich, Bulgarien, Griechenland und Slowenien – verfügen über eine allgemeine gesetzliche Definition. Andere (z. B. Deutschland, Belgien, Niederlande) arbeiten mit sektoralen Regeln, etwa im Gesundheits- oder Biobankenbereich. Das erschwert grenzüberschreitende Forschung erheblich.

2. Unterschiedliche Anforderungen an Rechtsgrundlagen

Die Studie beleuchtet die Rechtsgrundlagen gemäß Art. 6 und Art. 9 DSGVO:

• Einige Staaten (z. B. Deutschland) fordern die Einwilligung selbst für Forschung im Rahmen klinischer Studien – auch wenn die DSGVO und der Europäische Datenschutzausschuss (EDSA) hier zurückhaltender sind.
• Andere Länder (z. B. Finnland, Frankreich) erlauben auch Verarbeitung auf Grundlage von öffentlichem Interesse, sofern geeignete gesetzliche Regelungen bestehen.
• Für sensible Daten nach Art. 9 DSGVO ist oft unklar, ob das tatbestandliche Interesse auch „erheblich“ oder nur „öffentlich“ sein muss (Art. 9 Abs. 2 lit. j) DSGVO spricht bspw. nur von „öffentlichem Interesse“ während Art. 9 Abs. 2 lit. g) DSGVO von einem „erheblichen öffentlichen Interesse“ spricht).

In der Praxis ergibt sich ein „Flickenteppich“ nationaler Regelungen – mit weitreichenden Folgen für die Forschung, etwa wenn ein Projekt mehrere Mitgliedstaaten (oder im Fall von Deutschland mehrere Bundesländer) betrifft.

3. „Broad Consent“ als Streitthema

ErwG 33 S. 3 DSGVO erlaubt eine Einwilligung für bestimmte Forschungsbereiche, ohne dass alle Einzelprojekte im Voraus feststehen müssen. Doch:

• Nur wenige Staaten erkennen diesen Ansatz ausdrücklich an.
• Viele nationale Aufsichtsbehörden und Gesetze verlangen eine spezifische, projektbezogene Einwilligung.
• Gerade für biomedizinische Forschung (z. B. Genetik, Biobanken) ist diese Unsicherheit besonders gravierend.

4. Transparenz- und Informationspflichten bleiben problematisch

Art. 13 und 14 DSGVO verpflichten zur Information der betroffenen Personen – auch bei sekundärer Datenverarbeitung. Doch:

• In vielen Fällen liegen die Kontaktdaten nicht (mehr) vor, etwa bei historischen Biobank-Proben oder pseudonymisierten Daten.
• Zwar erlaubt Art. 14 Abs. 5 lit. b) DSGVO Ausnahmen bei „unverhältnismäßigem Aufwand“, doch diese Regelung wird in den Mitgliedstaaten sehr unterschiedlich ausgelegt.
• In Frankreich und Italien ist teilweise eine vorherige Genehmigung durch die Datenschutzaufsicht notwendig.

5. Betroffenenrechte vs. Forschungsausnahme nach Art. 89 DSGVO

Art. 89 DSGVO erlaubt Einschränkungen von Betroffenenrechten (z. B. Auskunft, Löschung), sofern geeignete Garantien bestehen – etwa Pseudonymisierung oder Datentrennung. Die Studie zeigt:

• In vielen Ländern fehlen klare Vorgaben, wann und wie diese Einschränkungen zulässig sind.
• Die Rolle von Ethikkommissionen als datenschutzrechtliches Kontrollorgan ist weitgehend unklar.
• Besonders bei nicht-interventioneller Forschung (z. B. Registerstudien) ist die rechtliche Lage unscharf.

Was empfiehlt die Studie?

Die Autoren fordern ein klares Signal des EDSA und schlagen folgende Maßnahmen vor:

🔹 Verbindliche Leitlinien zur Zweitverwendung personenbezogener Daten in der Forschung
🔹 Harmonisierung nationaler Auslegungen und gesetzlicher Vorgaben
🔹 Förderung von Verhaltensregeln (Art. 40 DSGVO) mit Beteiligung der Forschungspraxis
🔹 Intensivierter Dialog zwischen Aufsichtsbehörden, EU-Institutionen und Forschungsakteuren
🔹 Empirische Begleitforschung zu ethischen Komitees und betroffenen Akzeptanz

Fazit: Datenschutzgerechte Forschung braucht klare Spielregeln

Für Unternehmen, Forschungsinstitute und Auftragnehmer bedeutet das: Wer personenbezogene Daten zu Forschungszwecken (weiter-)verarbeiten will, muss die datenschutzrechtlichen Anforderungen präzise prüfen (ggf. auch der involvierten Bundesländer / Mitgliedstaaten) – unter Berücksichtigung von:

✔️ Projektkontext (primär vs. sekundär)
✔️ Datenkategorien (normale vs. sensible Daten)
✔️ nationaler Gesetzeslage
✔️ Betroffenenrechte & Informationspflichten
✔️ Pseudonymisierungs- und Sicherheitsmaßnahmen

Praxistipp: Eine sorgfältige rechtliche Dokumentation (z. B. zur Kompatibilitätsprüfung, zu Informationswegen oder Auftragsverarbeitung) ist essenziell – nicht nur zur Absicherung, sondern auch zur Transparenz gegenüber Aufsichtsbehörden und Studienteilnehmenden.

Darüber hinaus darf im Einzelfall auch das Verhältnis zu medizinrechtlichen Vorschriften, wie z. B. der sog. Clinical Trial Regulation und ethischen Anforderungen, nicht außer Acht gelassen werden.