Digitaler Kontaktpunkt

Recht und Ethik im FDM

Startseite

Rechtliche Aspekte im FDM

Urheberrecht

Nutzungsrechte und Lizenzen

Datenschutzrecht

Kooperationen

Künstliche Intelligenz

Datenschutzrecht

Info-Blatt: Datenschutzrecht

Checkliste: Datenschutzrecht

Sobald Forschende mit personenbezogenen Daten von Teilnehmer*innen an Forschungsprojekten (z.B. von Beforschten, Interviewpartner*innen und Informant*innen) arbeiten, greift das Datenschutzrecht.
Der Datenschutz umfasst das Recht auf informationelle Selbstbestimmung und den Schutz der Privatsphäre von natürlichen Personen. Der Datenschutz stellt sicher, dass personenbezogene Daten von den Personen, die sie verarbeiten, sicher und angemessen behandelt werden. Hierzu gehört insbesondere, dass jede Verarbeitung von personenbezogenen Daten eine Rechtsgrundlage benötigt.

In Deutschland ist die gemeinsame europäische Datenschutz-Grundverordnung (DSGVO) anzuwenden und hat Vorrang vor nationalen Gesetzen. Die DSGVO beinhaltet jedoch sogenannte Öffnungsklauseln, die den europäischen Mitgliedstaaten für bestimmte Bereiche Gestaltungsspielräume zugestehen. Zusätzlich können deshalb je nach Forschungseinrichtung und Forschungsvorhaben punktuell Fragen im Bundesdatenschutzgesetzt (BDSG) bzw. im Landesrecht normiert sein.
Für die brandenburgischen Hochschulen als öffentliche Einrichtungen des Landes gilt entsprechend das Brandenburgische Datenschutzgesetz (BbgDSG).

Definition von personenbezogenen Daten

Personenbezogene Daten sind gemäß Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf identifizierte oder identifizierbare Personen beziehen. Eine Person ist identifizierbar, wenn sie direkt oder indirekt durch die Zuordnung zu einer Kennung oder einem besonderen Merkmal, das Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität ist, erkennbar ist. Beispiele für solche Merkmale sind etwa der Name, private oder dienstliche E-Mail-Adressen, eine Matrikelnummer oder Standortdaten. Bei der Prüfung, ob eine Person nach allgemeinem Ermessen wahrscheinlich identifizierbar ist, müssen alle objektiven Faktoren, wie Kosten und Zeitaufwand, berücksichtigt werden. Dabei gilt der zum Zeitpunkt der Verarbeitung verfügbare Stand von Technologien und technologischer Entwicklung (Erwägungsgrund 26 DSGVO).

Verarbeitung von personenbezogenen Daten in der Forschung

Bei jeder Verarbeitung personenbezogener Daten sind gemäß Art. 5 DSGVO verschiedene Grundsätze einzuhalten: Rechtmäßigkeit der Datenverarbeitung, Transparenz, Zweckbindung, Datenminimierung/-sparsamkeit, Richtigkeit, Speicherbegrenzung, Integrität und Rechenschaftspflicht.

Die DSGVO privilegiert die Erhebung und Verarbeitung von personenbezogenen Daten für die wissenschaftliche Forschung in zweierlei Hinsicht:
Erstens wird gemäß Art.5 Abs. 1 lit. b DSGVO die Zweckbindung erweitert. Eine Weiterverarbeitung für wissenschaftliche oder historische Forschungszwecke ist erlaubt, da dies nicht als unvereinbar mit den ursprünglichen Zwecken gilt. Das heißt, dass für eine Datenverarbeitung zu Forschungszwecken eine Einwilligung auch dann wirksam ist, wenn die Forschenden den Zweck der Verarbeitung nicht genau festlegen können und die Einwilligung daher als sogenannter „broad consent“ gestaltet wird.
Damit verbunden dürfen personenbezogene Daten, zweitens, gemäß Art. 5 Abs. 1 lit. e DSGVO länger gespeichert werden, d.h. über die Erfüllung des primären Verarbeitungszwecks hinaus, wenn der Schutz der Rechte und Freiheiten der Betroffenen durch geeignete technische und organisatorische Maßnahmen sichergestellt ist.

Das Prinzip der Rechtmäßigkeit gilt unverändert auch für die Erhebung und Verarbeitung von personenbezogenen Daten für wissenschaftliche Zwecke. Für die meisten Forschungsvorhaben empfiehlt sich die informierte Einwilligung als Rechtgrundlage.

Gemäß Erwägungsgrund 32 DSGVO muss die Einwilligung durch eine eindeutige bestätigende Handlung erfolgen, mit der freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich bekundet wird, dass die betroffene Person mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist. D.h. auf Teilnehmer*innen darf keinerlei psychischer oder physischer Druck ausgeübt werden. Sie müssen vollumfänglich und in ihnen verständlicher Sprache über den Zweck, den Umfang der Verarbeitung ihrer Daten (Welche ihrer Daten werden wo bis wann gespeichert und wer hat Zugriff?) und über ihre Rechte aufgeklärt werden. Ist eine Veröffentlichung der Daten geplant, muss auch dies Teil der Einwilligung sein.
Die Einwilligung kann laut DSGVO mündlich oder schriftlich erfolgen. Die Schriftform ist jedoch, soweit dies der Forschungskontext zulässt, dringend zu empfehlen. Für die Verarbeitung besonders sensibler Daten muss die Einwilligung schriftlich erfolgen und ausdrücklich erteilt werden.
In jedem Fall muss die Einwilligung dokumentiert werden.

Um der Dokumentationspflicht der DSGVO zu genügen und sich z.B. im Falle eines Widerrufs abzusichern, ist ein Verarbeitungsmanagement sinnvoll. In einem Verarbeitungsverzeichnis sollten wichtige Eckpunkte der Datenverarbeitung schriftlich festgehalten werden.
Dies umfasst etwa Datum, Ort und Form der Einwilligung, die Art der Datenverarbeitung (z.B. wann und wie pseudonymisiert bzw. anonymisiert wurde) und eine Auflistung der Forschenden, die Zugang zu den Daten haben. Unbedingt muss auch ein Widerruf oder eine Anfrage zur Auskunft und die Reaktion darauf dokumentiert werden.

Je nach Fachkultur und Anforderungen von Fördergebern, Verlagen oder Zeitschriften ist ein Ethikvotum grundsätzlich bei der Verarbeitung personenbezogener Daten notwendig oder erst bei der Verarbeitung sensibler Daten bzw. von Daten vulnerabler Gruppen. Hier sollten sich Forschende frühzeitig bei der Ethikkommission ihrer Einrichtung informieren.

Anonymisierung und Pseudonymisierung

Das Datenschutzrecht ist nicht anwendbar auf Forschungsdaten, die bereits anonymisiert (z.B. aggregiert) erhoben oder nachträglich anonymisiert wurden. Eine Anonymisierung ist somit immer das Ziel: Personenbezogene Daten sind zu anonymisieren, sobald dies nach dem Forschungszweck möglich ist. Personenbezogene Daten (Namen, Kontaktdaten etc.) sind zu löschen, sobald dies der Forschungszweck erlaubt (§ 25 Abs. 2 BbgDSG, vgl. § 27 Abs. 3 BDSG).
Für eine Anonymisierung müssen die personenbezogenen Daten entfernt oder derart verändert werden, dass einzelne Merkmale nicht mehr (sog. absolute Anonymisierung) oder nur mit einem unverhältnismäßig großen Arbeits- und Zeitaufwand (sog. faktische Anonymisierung) einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können.

Insbesondere in der qualitativen Forschung ist eine Anonymisierung jedoch häufig nicht möglich bzw. würde sie ein Erreichen des Forschungszweckes verhindern. Hier muss stattdessen pseudonymisiert werden. Pseudonymisierte Daten fallen weiterhin unter den Datenschutz.
Unter Pseudonymisierung versteht man das Ersetzen von identifizierbaren Merkmalen durch Kenncodes oder z.B. fiktive Namen. Über einen Zuordnungsschlüssel ist die Zuordnung zu den realen Personen weiterhin möglich. Damit dies nur im Zuge des Forschungszweckes befugten Personen möglich ist, müssen diese zusätzlichen Informationen getrennt sicher aufbewahrt werden (Art. 4 Nr. 5 DSGVO). Sobald dies im Forschungsprozess möglich ist, sind auch hier die Daten zu anonymisieren, d.h. der Schlüssel und sämtliche personenbezogenen Daten sind zu löschen.
Eine nur pseudonymisierte Verarbeitung und ggf. auch Veröffentlichung der Daten erfordert die ausdrückliche Einwilligung der Betroffenen und die besonders sorgfältige forschungsethische Abwägung durch die Forschenden.

Umgang mit besonders sensiblen Daten und Daten vulnerabler Gruppen

Als besonders sensible Daten definiert die DSGVO „Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen oder biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person“ (Art. 9 DSGVO). Ebenfalls als besonders sensibel gelten Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO).
Für die Erhebung und Verarbeitung dieser Daten sieht die DSGVO striktere Vorgaben in Bezug auf die Rechtmäßigkeit vor. Es gelten spezielle Erlaubnistatbestände. So ist eine Einwilligung der Teilnehmer*innen nur wirksam, wenn diese ausdrücklich erfolgt (Art. 9 Abs. 2 lit. a DSGVO).
Besondere Sorgfalt ist zudem geboten, wenn personenbezogene Daten von schutzbedürftigen Personen, insbesondere Kindern, erhoben und verarbeitet werden sollen (Erwägungsgrund 75 DSGVO).

In diesen Fällen und in der Zusammenarbeit mit vulnerablen Gruppen müssen Forschende eine besonders genaue ethische Risikoabwägung vornehmen. Um diesen Reflexionsprozess zu begleiten und zu sichern, müssen Forschende für die Verarbeitung sensibler Daten und/oder von Daten vulnerabler Gruppen ein Ethikvotum einholen.

Betroffenenrechte

Die Teilnehmer*innen an Forschungsprojekten (z.B. von Beforschten, Interviewpartner*innen und Informant*innen) haben verschiedene Rechte: Sie können ihre Einwilligung jederzeit teilweise oder vollständig widerrufen (Art. 7 Abs. 3 DSGVO), sie können der Verarbeitung ihrer Daten widersprechen (Art. 21 DSGVO), und sie haben das Recht auf Auskunft über die Speicherung und Verarbeitung (Art. 15 DSGVO) oder Löschung ihrer Daten (Art. 17 DSGVO).
Zur Privilegierung der wissenschaftlichen Forschung werden diese Rechte in einem gewissen Rahmen eingeschränkt, sofern Auskunft oder Löschung der Daten das Verwirklichen des Forschungszweckes unmöglich macht oder ernsthaft beeinträchtigt. Dies ist jeweils im Einzelfall juristisch zu prüfen.

Relevante Rechtstexte und Leitlinien

Datenschutz-Grundverordnung (DSGVO) / General Data Protection Regulation: Link DSGVO | Download DSGVO
Brandenburgisches Datenschutzgesetz (BbgDSG): Link BbgDSG
Bundesdatenschutzgesetz (BDSG): Link BDSG | Download BDSG

Literatur und Links

Baumann, Paul, Philipp Krahn und Anne Lauber-Rönsberg (2018): Gutachten zu den rechtlichen Aspekten des Forschungsdatenmanagements im Rahmen des DataJus-Projektes. Kurzfassung. URL: https://tu-dresden.de/gsw/jura/igewem/jfbimd13/ressourcen/dateien/publikationen/DataJus_Zusammenfassung_Gutachten_12-07-18.pdf (zuletzt geprüft: 29.08.2025).
BERD@NFDI: Interactive Virtual Assistant (iVA). URL: https://www.berd-nfdi.de/legal-questions/ (zuletzt geprüft: 22.08.2025).
Bundesministerium für Forschung, Technologie und Raumfahrt (2023): Urheberrecht in der Wissenschaft. Ein Überblick für Forschung, Lehre und Bibliotheken. Juli 2023. URL: https://www.bmftr.bund.de/SharedDocs/Publikationen/DE/1/31518_Urheberrecht_in_der_Wissenschaft.html (zuletzt geprüft: 22.08.2025).
Lauber-Rönsberg, Anne (2021): „Rechtliche Aspekte des Forschungsdatenmanagements.“ Praxishandbuch Forschungsdatenmanagement, hrsg. v. Markus Putnings, Heike Neuroth und Janna Neumann. Berlin und Boston: De Gruyter Saur, S. 89–114. DOI: https://doi.org/10.1515/9783110657807-005.
RatSWD – Rat für Sozial- und Wirtschaftsdaten (2020): Handreichung Datenschutz. 2. vollständig überarbeitete Auflage. RatSWD Output 8 (6). DOI: https://doi.org/10.17620/02671.50.