Der Hessische Beauftrage für Datenschutz und Informationsfreiheit (HBDI) stellt die folgende Hilfestellung zur Erstellung eines Datenschutzkonzepts für akademische Abschlussarbeiten oder Promotionsvorhaben zur Verfügung.
Den HBDI erreichen häufig Anfragen dazu, was bei akademischen Abschlussarbeiten oder Promotionsvorhaben in datenschutzrechtlicher Hinsicht zu beachten ist.
Ein Datenschutzkonzept muss nicht bei jedem akademischen Forschungsvorhaben erstellt werden. Wird aber mit besonders sensiblen Daten (z.B. Gesundheitsdaten) oder mit sehr umfangreichen personenbezogenen Daten gearbeitet, hilft ein Datenschutzkonzept bei der datenschutzkonformen Umsetzung des Vorhabens. Diese Hilfestellung richtet sich daher vorwiegend an solche Vorhaben.
Werden im Rahmen von Forschungsvorhaben personenbezogene Daten verarbeitet, bedarf es stets es einer Rechtgrundlage für diese Verarbeitung. Der Regelfall wird hier die Datenverarbeitung aufgrund einer Einwilligung sein.
Auch ohne Einwilligung ist nach § 24 Absatz 1 Satz 1 des Hessischen Datenschutz- und Informationsfreiheitsgesetzes (HDSIG) die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 Absatz 1 Datenschutzgrundverordnung (DS-GVO) für wissenschaftliche Forschungszwecke zulässig, wenn die Verarbeitung zu diesen Zwecken erforderlich ist und die Interessen des Verantwortlichen an der Verarbeitung die Interessen der betroffenen Person an einem Ausschluss der Verarbeitung überwiegen.
§ 24 Absatz 1 Satz 1 HDSIG ist nur für öffentliche Stellen in Hessen, also insbesondere Hochschulen, anwendbar und gilt daher nur für Forschungsvorhaben unter der Verantwortlichkeit einer Hochschule des Landes Hessen. Für private Hochschulen ist nicht das HDSIG sondern das Bundesdatenschutzgesetz (hier § 27 Bundesdatenschutzgesetz - BDSG) anwendbar.
Der Begriff der wissenschaftlichen Forschungszwecke ist nach Erwägungsgrund 159 Satz 2 der DS-GVO weit auszulegen. Forschungsvorhaben im Rahmen von akademischen Abschlussarbeiten (z. B. Bachelor- oder Masterarbeit) oder Promotionsvorhaben sind regelmäßig davon umfasst.
Basiert die Datenverarbeitung auf der Rechtsgrundlage des § 24 Absatz 1 Satz 1 HDSIG, ist vor dem Beginn des Forschungsvorhabens gemäß § 24 Absatz 1 Satz 3 HDSIG zwingend ein Datenschutzkonzept zu erstellen, das der zuständigen Aufsichtsbehörde auf Nachfrage vorzulegen ist.
Werden ausschließlich anonyme Daten verwendet, liegen keine personenbezogenen Daten vor, die DS-GVO ist nach Art. 2 Absatz 1 DS-GVO dann nicht anwendbar. Es empfiehlt sich aber auch hier, ein Datenschutzkonzept zu erstellen, in dem vor allem die Anonymität der Daten und der Schutz ihrer Anonymität dargelegt wird.
Achtung: Es handelt sich nur dann um anonyme Daten, wenn die Daten – auch mit erreichbarem Zusatzwissen – keiner identifizierten oder identifizierbaren natürlichen Personen zugeordnet werden können.
Der HBDI stellt ein Muster für ein solches Datenschutzkonzept bereit, dass insbesondere für Forschungsvorhaben im Zusammenhang mit akademischen Abschlussarbeiten (z.B. Bachelor- oder Masterarbeiten) oder Promotionsvorhaben in Hessen verwendet werden kann. In erster Linie ist die Forschung auf Einwilligungsbasis Adressat dieses Konzeptes.
Vor allem bei den oben genannten, „kleineren“ Forschungsvorhaben besteht die Gefahr, dass die Erstellung eines vollständigen Datenschutzkonzepts mangels personeller und fachlicher Ressourcen das Vorhaben zum Erliegen bringt.
Der HBDI möchte durch dieses Muster Studierenden und Promovierenden eine Hilfestellung bei der Erfüllung der datenschutzrechtlichen Pflichten geben, damit diese Forschungsprojekte nicht an dem datenschutzrechtlichen Prüfungs- und Dokumentationsaufwand scheitern.
Das Muster gibt einen Überblick darüber, welche Themen im Datenschutzkonzept zu behandeln sind und nennt die Stichworte, die regelmäßig zu adressieren sind. Aufbau und Gliederung des Musters sind nur als Beispiel zu verstehen und können anders gestaltet werden. Das Muster enthält keine vorformulierten Textbausteine. Jedes Datenschutzkonzept muss individuell für das konkrete Forschungsvorhaben erstellt werden.
In kursiv im grauen Kasten sind rechtliche Hintergrundinformationen und Hinweise dargestellt.
Grundsätzlich gilt, dass sich Studierende und Promovierende möglichst früh über die datenschutzrechtlichen Grundlagen im Klaren sein sollten, um rechtzeitig die richtigen Weichen für eine datenschutzkonforme Realisierung des Forschungsvorhabens zu stellen. Als Ansprechpartner stehen den Studierenden und Promovierenden die Datenschutzbeauftragten ihrer Hochschulen zur Verfügung. Auch der HBDI kann im Rahmen einer Beratung in Anspruch genommen werden.