EU-Datenschutz-Grundverordnung (DSGVO): Datenverarbeitung zu Archivzwecken, zu wissenschaftlichen und historischen Forschungszwecken sowie zu statistischen Zwecken

Die DSGVO sieht eine privilegierte Stellung von wissenschaftlicher und historischer Forschung, Statistik und Archiven im öffentlichen Interesse bei der Verarbeitung personenbezogener Daten vor.  

Das Datenschutzgesetz (DSG) schafft in einer Sonderbestimmung Erleichterungen für die Zulässigkeit derartiger Datenverarbeitungen, die aber nur gelten, sofern nicht spezielle gesetzliche Regelungen (wie etwa das Bundesstatistikgesetz oder das Forschungsorganisationsgesetz) anwendbar sind.

Hinweis:
Archive, die kein öffentliches Interesse für sich beanspruchen können, unterliegen diesem Privileg nicht.

Zu unterscheiden sind zwei grundsätzlich verschiedene Konstellationen: 

1. Daten werden verarbeitet für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke, und haben keine personenbezogenen Ergebnisse zum Ziel. 

In diesem Fall darf der Verantwortliche alle Daten verwenden, die 

• öffentlich zugänglich sind oder 
• der Verantwortliche für andere Untersuchungen oder auch andere Zwecke zulässigerweise ermittelt hat oder 
• für den Verantwortlichen nur pseudonyme Daten sind, und er die Identität der betroffenen Person mit rechtlich zulässigen Mitteln nicht bestimmen kann. 

Das (nicht personenbezogene) Ergebnis muss mit wissenschaftlichen bzw. statistischen Methoden angestrebt werden. Der Verwendungszweck des so erzielten nicht personenbezogenen Ergebnisses ist ohne Bedeutung, weil nur bestimmte Untersuchungsmethoden verlangt werden, ohne deren Einsatz zu beschränken.

Dass die genannten Untersuchungen keine personenbezogenen Ergebnisse zum Ziel haben dürfen, heißt auch, dass aus dem Ergebnis keine Rückschlüsse auf konkrete Daten bestimmter natürlicher oder juristischer Personen (etwa durch Verknüpfung „statistischer“ Informationen mit anderen Wirtschaftsdaten) möglich sein dürfen.

2. Für alle nicht von Punkt 1. erfassten Fälle gelten besondere Regelungen. Z.B. fallen darunter vor allem wissenschaftliche Untersuchungen mit personenbezogenen Ergebnissen (z.B. Publikationen der – zeitgenössischen - Geschichtsforschung).

In solchen Fällen dürfen Daten nur

• gemäß besonderen gesetzlichen Vorschriften oder
• mit Einwilligung der betroffenen Person oder
• mit Genehmigung der Datenschutzbehörde

verarbeitet werden.

Der Zugang zu Archiven kann von der Datenschutzbehörde nicht genehmigt werden; diesbezüglich sind die archivrechtlichen Vorschriften zu beachten. 

Auch andere rechtliche Beschränkungen der Zulässigkeit der Benützung von Daten, insbesondere aus urheberrechtlichen Gründen bleiben unberührt.

Eine Genehmigung der Datenschutzbehörde für die Verarbeitung von Daten für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke ist auf Antrag des Verantwortlichen der Untersuchung dann zu erteilen, wenn

• die Einholung der Einwilligung der betroffenen Person mangels ihrer Erreichbarkeit unmöglich ist oder sonst einen unverhältnismäßigen Aufwand bedeutet und
• ein öffentliches Interesse an der beantragten Verarbeitung besteht und
• die fachliche Eignung des Verantwortlichen glaubhaft gemacht wird.

Ein „unverhältnismäßiger Aufwand“ wird von der Datenschutzbehörde jedenfalls dann nicht gesehen, wenn eine einmalige Versendung eines Briefes an einen überschaubaren Personenkreis zur Einholung der Einwilligung möglich ist.

Das öffentliche Interesse an der Durchführung eines Forschungsvorhabens wird z.B. dann angenommen, wenn für diesen eine Förderung durch Stellen des Bundes, eines Landes oder einer Gemeinde vorliegt. Auch im Zusammenhang mit der wissenschaftlichen Untersuchung der NS-Zeit oder bei Forschungsprojekten zur Verkehrssicherheit geht die Datenschutzbehörde regelmäßig von einem wichtigen öffentlichen Interesse aus.

An die fachliche Eignung werden von der Datenschutzbehörde keine überzogenen Anforderungen gestellt. Universitären Diplomanden wurde die fachliche Eignung zuerkannt.

Sollen sensible Daten ermittelt werden, muss ein wichtiges öffentliches Interesse an der Untersuchung vorliegen; weiters muss gewährleistet sein, dass die Daten beim Verantwortlichen der Untersuchung nur von Personen verwendet werden, die hinsichtlich des Gegenstandes der Untersuchung einer gesetzlichen Verschwiegenheitspflicht unterliegen oder deren diesbezügliche Verlässlichkeit sonst glaubhaft ist.

Die Datenschutzbehörde kann die Genehmigung an die Erfüllung von Bedingungen und Auflagen knüpfen, soweit dies zur Wahrung der schutzwürdigen Interessen der Betroffenen, insbesondere bei der Verwendung sensibler Daten, notwendig ist.

Einem Antrag auf Genehmigung durch die Datenschutzbehörde ist eine vom Verfügungsberichtigten über die Datenbestände, aus denen Daten ermittelt werden sollen, unterfertigte Erklärung (oder ein diese ersetzender Exekutionstitel) anzuschließen, dass er die Daten für die Untersuchung zur Verfügung stellt.

Pseudonymisierung und Anonymisierung

Auch in jenen Fällen, in denen die Verarbeitung von personenbezogenen Daten für Zwecke der wissenschaftlichen Forschung oder Statistik in personenbezogener Form zulässig ist, ist der direkte Personenbezug unverzüglich zu verschlüsseln, wenn in einzelnen Phasen der wissenschaftlichen oder statistischen Arbeit mit nur pseudonymen Daten, bei denen der Verantwortliche die Identität der betroffenen Person mit rechtlich zulässigen Mitteln nicht bestimmen kann, das Auslangen gefunden wird. 

Sofern gesetzlich nicht ausdrücklich anderes vorgesehen ist, ist der Personenbezug der Daten gänzlich zu beseitigen, sobald er für die wissenschaftliche oder statistische Arbeit nicht mehr notwendig ist.

Geldstrafen

Die vorsätzliche zweckwidrige Verwendung von Datenverarbeitungen für im öffentlichen Interesse liegende Archivzwecke, zu wissenschaftlichen oder historischen Forschungszwecken oder statistische Zwecken ist als Verwaltungsübertretung mit Geldstrafe bis zu 50.000 EUR bedroht.

Eine Verletzung der Pflichten ist mit bis zu 20 Mio. EUR oder 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres bedroht.

Relevante Artikel der DSGVO: Art 83, 89
Relevante Erwägungsgründe: 156-163
Relevante Bestimmungen des DSG: §§ 7, 62

Stand: 16.06.2023