aus dem Netz genommen, um sie zu überarbeiten.165
4. Zweckbindung und -änderung
137
Eine Einwilligung ist nur wirksam, wenn sie sich auf die Erhebung und Verarbeitung zu einem bestimmten Zweck bezieht, auf den die einwilligende Person ausdrücklich hinzuweisen ist, um die Tragweite einer Einwilligung abschätzen zu können (Art. 4 Nr. 11 DSGVO, ErwG 42; Art. 9 Abs. 2 lit. a DSGVO, § 67b Abs. 2 SGB X). Die Einwilligung muss nach Art. 4 Nr. 11 DSGVO für „den bestimmten Fall“ erfolgen. Eine pauschale Einwilligung (Blankett-/Blanko-Einwilligung) in eine Datenverarbeitung ohne Zweckbestimmung ist unzulässig und unwirksam.166 Schon Art. 8 GRCh geht davon aus, dass Daten nur für festgelegte Zwecke erhoben werden dürfen.
138
Eine gewisse Privilegierung erfährt gleichwohl die Einwilligung in die Verarbeitung personenbezogener Daten zu wissenschaftlichen Zwecken, bei denen häufig „die Einwilligung als gesetzlicher Regelfall vorgesehen“ ist.167 Oft kann bei einer wissenschaftlichen Forschung zum Zeitpunkt der Erhebung noch nicht genau bestimmt werden, für welchen Zweck die Daten verwendet werden sollen, sodass der Forschungsansatz vor allem zum datenschutzrechtlichen Grundsatz der Zweckbindung im Widerspruch steht.168 Die Notwendigkeit der Privilegierung erkennt deshalb der ErwG 33 an, in dem es heißt: „Oftmals kann der Zweck der Verarbeitung personenbezogener Daten für Zwecke der wissenschaftlichen Forschung zum Zeitpunkt der Erhebung der personenbezogenen Daten nicht vollständig angegeben werden. Daher sollte es betroffenen Personen erlaubt sein, ihre Einwilligung für bestimmte Bereiche wissenschaftlicher Forschung zu geben, wenn dies unter Einhaltung der anerkannten ethischen Standards der wissenschaftlichen Forschung geschieht“. Denkbar ist eine mehrstufige Einwilligung, bei der die Einwilligung in die Verwendung der Daten für ein genau bestimmtes Forschungsvorhaben erklärt wird. Darüber hinaus kann eingewilligt werden, die Daten in einem „Repositorium“ zu speichern, um sie für weitere Forschungsvorhaben nutzbar zu machen („Broad Consent“).169
139
Die Privilegierung der Datenverarbeitung geht so weit, dass in § 27 Abs. 1 BDSG abweichend von Art. 9 Abs. 1 DSGVO die Verarbeitung besonderer Kategorien personenbezogener Daten „auch ohne Einwilligung für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke zulässig ist, wenn die Verarbeitung zu diesen Zwecken erforderlich ist und die Interessen des Verantwortlichen an der Verarbeitung die Interessen der betroffenen Person an einem Ausschluss der Verarbeitung erheblich überwiegen“ (siehe § 27 BDSG Rn. 4).170 Eine auf die Öffnungsklausel des Art. 9 Abs. 2 lit. j DSGVO gestützte Übermittlungsbefugnis von Sozialdaten für Forschungszwecke enthält § 75 SGB X.
140
Die Verpflichtung, den angestrebten Zweck der Datenverarbeitung vor Erteilung einer Einwilligung genau anzugeben, schließt eine Zweckänderung nicht aus. ErwG 50 formuliert, dass auch dann, wenn die betroffene Person ihre Einwilligung erteilt hat, „der Verantwortliche die personenbezogenen Daten ungeachtet der Vereinbarkeit der Zwecke weiterverarbeiten“ dürfe. Die betroffene Person ist allerdings über die vorgesehene Zweckänderung und erneut über ihr Widerrufsrecht zu informieren (siehe Art. 6 Rn. 164).
5. Einwilligung in die Verarbeitung besonderer Kategorien personenbezogener Daten
141
Bedingung für eine wirksame Einwilligung ist, dass der Zweck oder mehrere Zwecke, zu dem oder denen personenbezogene Daten aufgrund einer Einwilligung erlaubtermaßen verarbeitet werden sollen, klar und eindeutig bestimmt werden. Eine Ausnahme soll nur dann gelten, wenn personenbezogene Daten für Zwecke der wissenschaftlichen Forschung erhoben werden (siehe Rn. 136f.). ErwG 33 erkennt an, dass dieser „zum Zeitpunkt der Erhebung der personenbezogenen Daten nicht vollständig angegeben werden“ kann. Die DSGVO räumt daher ein, dass die betroffene Person ihre Einwilligung für bestimmte Bereiche wissenschaftlicher Forschung geben darf. Dabei muss die Einhaltung der anerkannten ethischen Standards der wissenschaftlichen Forschung gesichert sein.
142
Voraussetzung der wissenschaftlichen Forschung ist also die „Einhaltung der anerkannten ethischen Standards der wissenschaftlichen Forschung“.171 Nach § 15 Abs. 3 Musterberufsordnung der Ärztinnen und Ärzte,172 die durch die Berufsordnungen der Landesärztekammern verbindlich werden, sind „bei der Forschung am Menschen die in der Deklaration von Helsinki des Weltärztebundes in der Fassung der 64. Generalversammlung 2013 in Fortaleza niedergelegten ethischen Grundsätze für die medizinische Forschung am Menschen“ zu beachten.
143
Weitere Anforderungen an die Einwilligung zur Teilnahme an einer klinischen Forschung ergeben sich auch aus § 40 AMG, der an die Informiertheit und Form (Schriftform, § 126 BGB) besondere Bedingungen knüpft. Die Einwilligung ist nach § 40 Abs. 2a Nr. 2 AMG teilweise unwiderruflich. Die Folgen des im Übrigen möglichen Widerrufs werden im Detail in § 40 AMG geregelt.
144
Sind besondere Kategorien personenbezogener Daten Gegenstand der Einwilligung, so genügt eine „eindeutige bestätigende Handlung“ nicht; in diesem Fall ist eine ausdrückliche Einwilligung erforderlich (ErwG 51, Satz 6).
145
ErwG 33 erwartet, dass die Einwilligung „nur für bestimmte Forschungsbereiche oder Teile von Forschungsprojekten in dem vom verfolgten Zweck zugelassenen Maße“ eingeholt werden darf. Eine „jegliche“ Forschungsvorhaben einschließende Einwilligung ist danach ausgeschlossen.
146
Zu prüfen wäre vor Einholung einer Einwilligung in die Verarbeitung besonderer Kategorien personenbezogener Daten, ob sich nicht aus Art. 6 i.V.m. Art. 9 Abs. 2 lit. b ff. DSGVO ein gesetzlicher Erlaubnistatbestand ergibt. Aufgrund der Öffnungsklausel in Art. 9 Abs. 4 DSGVO sind zudem mit §§ 22 und 27 BDSG weitere Ausnahmetatbestände des Verbots der Verarbeitung besonderer Kategorien personenbezogener Daten vorhanden (siehe §§ 22, 27 BDSG).
147
Die Vorschrift ist auch im Kontext mit der Verordnung über klinische Prüfungen mit Humanarzneimitteln (VO) zu sehen.173 So sieht Art. 29 VO die „Einwilligung nach Aufklärung“ in die Teilnahme an klinischen Prüfungen und die dafür einzuhaltenden Bedingungen vor, was die Verarbeitung der Gesundheitsdaten der betroffenen Person impliziert. In Art. 2 Abs. 2 Nr. 21 VO wird „Einwilligung nach Aufklärung“ wie folgt definiert: „eine aus freien Stücken erfolgende, freiwillige Erklärung der Bereitschaft, an einer bestimmten klinischen Prüfung teilzunehmen, durch einen Prüfungsteilnehmer, nachdem dieser über alle Aspekte der klinischen Prüfung, die für die Entscheidungsfindung bezüglich der Teilnahme relevant sind, aufgeklärt wurde, oder im Falle von Minderjährigen und nicht einwilligungsfähigen Personen eine Genehmigung oder Zustimmung ihres gesetzlichen Vertreters, sie in die klinische Prüfung aufzunehmen.“
148
Nach dem ErwG 29 dieser Verordnung dürfen Daten aus klinischen Prüfungen gesammelt werden, „die für künftige wissenschaftliche Forschung, z.B. für Zwecke der medizinischen, naturwissenschaftlichen oder sozialwissenschaftlichen Forschung, verwendet werden sollen“. Dazu muss ein Prüfungsteilnehmer aber seine Einwilligung zur Verwendung seiner Daten erteilen und das Recht haben, diese Einwilligung jederzeit zu widerrufen. Die DSGVO gibt als Form der Einwilligung die Schriftform vor (ErwG 30 Satz 1, siehe zum europarechtlichen Verständnis dieser Form Rn. 56). Hohe Anforderungen stellt die VO an die Bescheinigung der Freiwilligkeit. Der Prüfer sollte sich vergewissern, „ob der potenzielle Prüfungsteilnehmer zu einer wirtschaftlich oder sozial benachteiligten Gruppe gehört oder sich in einer Situation institutioneller oder hierarchischer Abhängigkeit befindet, was seine Entscheidung über die Teilnahme unangemessen beeinflussen könnte“ (ErwG 31).