Willkommen beim Datenschutz-Wiki der TU Ilmenau
Hinweise Impressum Datenschutzerklärung


Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

Link zu dieser Vergleichsansicht

Beide Seiten der vorigen RevisionVorhergehende Überarbeitung
Nächste Überarbeitung
Vorhergehende Überarbeitung
thuerdsg:28_thuerdsg [2020/11/06 22:57] – [Zweckbindung (Absatz 1)] Martin Neldnerthuerdsg:28_thuerdsg [2023/01/25 15:10] (aktuell) – [3.1 Übersicht] Admin
Zeile 1: Zeile 1:
 <fs xx-small> (Zur Übersicht: [[:thuerdsg:start|ThürDSG]]) </fs> <fs xx-small> (Zur Übersicht: [[:thuerdsg:start|ThürDSG]]) </fs>
  
-====== § 28 Thüringer Datenschutzgesetz ======+====== § 28 Thüringer Datenschutzgesetz ======
  
-===== Wortlaut =====+===== Wortlaut =====
  
 // //
Zeile 19: Zeile 19:
 // //
  
-===== Amtliche Gesetzesbegründung =====+===== Gesetzesbegründung =====
  
 // //
Zeile 50: Zeile 50:
 (Quelle: Thüringer Landtag Drucksache 6/4943, S. 115f.) (Quelle: Thüringer Landtag Drucksache 6/4943, S. 115f.)
  
-===== Parallelvorschriften =====+===== Parallelvorschriften =====
  
-Ähnliche Vorschriften finden sich in [[https://dejure.org/gesetze/BDSG/27.html|§ 27]] [[BDSG]], [[https://www.gesetze-bayern.de/Content/Document/BayDSG-25|Art. 25]] [[BayDSG]] und [[http://landesrecht.rlp.de/jportal/portal/t/hf/page/bsrlpprod.psml?pid=Dokumentanzeige&showdoccase=1&js_peid=Trefferliste&documentnumber=1&numberofresults=1&fromdoctodoc=yes&doc.id=jlr-DSGRP2018pP22#focuspoint|§ 22]] [[LDSG RP]]. 
  
-==== § 22 LDSG RP ====+==== - Übersicht ==== 
 + 
 +^ Land ^ Regelung zur Forschung ^ Zweckbindung(Abs. 1) ^ Übermittlung(Abs. 2)((Nur betreffend die speziellen Regelungen des Forschungsdatenschutzes aber nicht die allgemeinen Regelungen zur Übermittlung. Siehe dazu [[:thuerdsg:18_thuerdsg]].)) ^ Anonymisierung (Abs. 3) ^ Veröffentlichung (Abs. 4) ^ Einschr. v. Betroffenenrechten (Abs. 5) ^ Erleichtungen bei Art. 9 DSGVO (§ 27 Abs. 1 BDSG) ^ Sonstiges ^ Fundstelle Gesetzesbegründung ^ 
 +^ Baden-Württemberg | [[http://www.landesrecht-bw.de/jportal/?quelle=jlink&query=DSG+BW+%C2%A7+13&psml=bsbawueprod.psml&max=true|§ 13 LDSG BW]] | Nein | Nein | Ja (Abs. 2) | Ja (Abs. 3) | Ja (Abs. 4) | Ja , Gleichbehandlung von „normalen“ personenbezogenen Daten und Art. 9 Daten–>Immer Interessenabwägung. (Abs. 1) | | 
 +^ Bayern | [[https://www.gesetze-bayern.de/Content/Document/BayDSG-25|Art. 25 BayDSG]] | Ja (Abs. 1) | Nein | Ja (Abs. 2) | Ja (Abs. 3) | Ja (Abs. 4) | Nein | | [[https://www.datenschutz-bayern.de/datenschutzreform2018/baydsg_neu_12_12_2017.pdf|Gesetzentwurf der Staatsregierung]] | 
 +^ Berlin | [[http://gesetze.berlin.de/jportal/?quelle=jlink&query=DSG+BE+%C2%A7+17&psml=bsbeprod.psml&max=true|§ 17 BlnDSG]] | Ja, für übermittelte Daten. (Abs. 1 S. 1) | Nein | Ja (Abs. 2 S. 1) | Ja (Abs. 3) | Ja (Abs. 4) | Ja, Gleichbehandlung von „normalen“ personenbezogenen Daten und Art. 9 Daten–>Immer Interessenabwägung mit deutlichem Überwiegen. (Abs. 1 S. 1) Zusätzliche TOM (Abs. 2 S. 2) | | 
 +^ Brandenburg | [[https://bravors.brandenburg.de/gesetze/bbgdsg#25|§ 25 BbgDSG]] | Nein | Ja, greift schon bei Übermittlung an Empfänger für die das BbgDSG nicht gilt. (Abs. 4) Evtl. anders bei Art. 9 Daten (Abs. 1 S. 1)? | Ja (Abs. 2) | Ja (Abs. 3) | Ja (Abs. 5) | Ja (Abs. 1) | | [[https://www.parlamentsdokumentation.brandenburg.de/parladoku/w6/drs/ab_7300/7365.pdf|Gesetzentwurf der Landesregierung]] S. 22 (zu damals noch § 24) \\ [[https://www.parlamentsdokumentation.brandenburg.de/parladoku/w6/drs/ab_8600/8622.pdf|Beschlussempfehlung und Bericht des Ausschusses für Inneres und Kommunales]] Keine inhaltlichen Ergänzungen, S. 61 (Zählung des PDF-Dokuments) | 
 +^ Bremen | [[https://www.transparenz.bremen.de/vorschrift_detail/bremen2014_tp.c.116884.de#jlr-DSGVOAGBRpP13|§ 13 BremDSGVOAG]] | Nein | Nein | Ja, nur Art. 9 Daten (Abs. 2 S. 2) | Ja (Abs. 4) | Ja (Abs. 3) | Ja (Abs. 1) Zusätzliche TOM (Abs. 2 S. 1) | | 
 +^ Hamburg | [[http://www.landesrecht-hamburg.de/jportal/portal/page/bshaprod.psml?nid=f&showdoccase=1&doc.id=jlr-DSGHA2018pP11&st=null|§ 11 HmbDSG]] | Ja, bei Weiterübermittlung an den Verantwortlichen übermittelter (Art. 9?) Daten. (Abs. 1 S. 2) | Ja, greift schon bei Übermittlung an Empfänger für die das HmbDSG nicht gilt. (Abs. 4)  | Ja. Zusätzliche TOM entsprechend [[https://dejure.org/gesetze/BDSG/22.html|§ 22 Abs. 2 BDSG]]. (Abs. 2) | Ja (Abs. 3) | Ja (Abs. 5) | Ja, Gleichbehandlung von „normalen“ personenbezogenen Daten und Art. 9 Daten–>Immer Interessenabwägung mit deutlichem Überwiegen. (Abs. 1 S. 1) | | [[https://www.buergerschaft-hh.de/ParlDok/dokument/60926/entwurf-eines-gesetzes-zur-anpassung-des-hamburgischen-datenschutzgesetzes-sowie-weiterer-vorschriften-an-die-verordnung-eu-2016-679.pdf|Gesetzentwurf des Senats]] S. 23 f. | 
 +^ Hessen | [[https://www.rv.hessenrecht.hessen.de/bshe/document/jlr-DSIFGHEpP24|§ 24 HDSIG]] | Nein | Nein | Ja, nur Art. 9 Daten (Abs. 3) | Ja (Abs. 4) | Ja (Abs. 2) | Ja aber zusätzlich Datenschutzkonzept nötig. (Abs. 1) | | 
 +^ Mecklenburg-Vorpommern | [[http://www.landesrecht-mv.de/jportal/portal/page/bsmvprod.psml?nid=f&showdoccase=1&doc.id=jlr-DSGMV2018pP9&st=lr|§ 9 DSG M-V]] | Ja, im Falle einer Übermittlung (Abs. 1 S. 2) | Ja, greift schon bei Übermittlung an Empfänger für die das DSG M-V nicht gilt. (Abs. 4) | Ja (Abs. 2) | Ja (Abs. 3) | Ja (Abs. 5) | Ja, Gleichbehandlung von „normalen“ personenbezogenen Daten und Art. 9 Daten–>Immer Interessenabwägung mit deutlichem Überwiegen. (Abs. 1 S. 1) | | [[http://www.dokumentation.landtag-mv.de/parldok/dokument/40493/gesetz_zur_anpassung_des_landesdatenschutzgesetzes_und_weiterer_datenschutzrechtlicher_vorschriften_im_zustaendigkeitsbereich_des_ministeriums_fuer_in.pdf|Gesetzentwurf der Landesregierung]] S. 43 f. | 
 +^ Niedersachsen | [[http://www.nds-voris.de/jportal/?quelle=jlink&query=DSG+ND+%C2%A7+13&psml=bsvorisprod.psml&max=true|§ 13 NDSG]] | Nein | Ja, greift schon bei Übermittlung an Empfänger für die das NDSG nicht gilt. Dazu Unterichtung des Landesdatenschutzbeauftragten. (Abs. 4) | Ja (Abs. 2) | Ja (Abs. 3) | Ja (Abs. 5) | Ja , Gleichbehandlung von „normalen“ personenbezogenen Daten und Art. 9 Daten–>Immer Interessenabwägung(dokumentationspflichtig). Pflicht DSB zu unterrichten. (Abs. 1) | | [[https://www.landtag-niedersachsen.de/drucksachen/drucksachen_18_02500/00501-01000/18-00548.pdf|Gesetzentwurf der Landesregierung]] S. 50 ff. | 
 +^ Nordrhein-Westfalen | [[https://recht.nrw.de/lmi/owa/br_bes_detail?sg=0&menu=1&bes_id=38824&anw_nr=2&aufgehoben=N&det_id=408181|§ 17 DSG  NRW]] | Nein | Nein | Ja (Abs. 2 und 3) | Ja (Abs. 4) | Ja (Abs. 5) | Ja , Gleichbehandlung von "normalen" personenbezogenen Daten und Art. 9 Daten-->Immer Interessenabwägung. (Abs. 1) | Besondere Betonung des Auskunftsrechts gem. Art 15 DSGVO(Abs. 2 S. 1) | 
 +^ Rheinland-Pfalz | [[http://landesrecht.rlp.de/jportal/portal/t/2ko3/page/bsrlpprod.psml?pid=Dokumentanzeige&showdoccase=1&js_peid=Trefferliste&fromdoctodoc=yes&doc.id=jlr-DSGRP2018pP22#focuspoint|§ 22 LDSG RP]] | Ja. (Abs. 2) Nur für Art. 9 Daten durch Verweis auf Abs. 1? | Nein | Ja (Abs. 4) | Ja (Abs. 5) | Nein | Ja (Abs. 1) | Schriftformerfordernis für Einwilligung in Verarbeitung von genetischen oder biometrischen Daten oder Gesundheitsdaten. (Abs. 3) | 
 +^ Saarland | [[http://www.lexsoft.de/cgi-bin/lexsoft/justizportal_nrw.cgi?xid=8079213,24|§ 23 SDSG]] | Nein | Ja, greift schon bei Übermittlung an Empfänger für die das SDSG nicht gilt. Dazu Unterichtung des Landesdatenschutzbeauftragten. (Abs. 2) | Ja (Abs. 1 S. 2) | Ja (Abs. 3) | Ja (Abs. 4) | Ja, Gleichbehandlung von "normalen" personenbezogenen Daten und Art. 9 Daten-->Immer Interessenabwägung mit deutlichem Überwiegen. (Abs. 1 S. 1) | | [[https://www.landtag-saar.de/File.ashx?FileId=11693&FileName=Gs16_0279.pdf&directDL=false|Gesetzentwurf der Regierung des Saarlandes]] S. 52 f. | 
 +^ Sachsen | [[https://www.revosax.sachsen.de/vorschrift/17647-Saechsisches-Datenschutzdurchfuehrungsgesetz#p12|§ 12 SächsDSDG]] | Nein | Ja, greift schon bei Übermittlung an Empfänger für die das SächsDSG nicht gilt. (Abs. 3) | Nicht ausdrücklich aber bei Art. 9 Daten nach Pseudonymisierung ggf. ja (Abs. 2) | Ja (Abs. 4) | Ja (Abs. 5) | Ja (Abs. 1) | | [[http://edas.landtag.sachsen.de/viewer.aspx?dok_nr=10918&dok_art=Drs&leg_per=6|Gesetzentwurf der Staatsregierung]] S. 63 f. | 
 +^ Sachsen-Anhalt | [[https://www.landesrecht.sachsen-anhalt.de/perma?j=DSGVOAG_ST_!_27|§ 27 DSAG LSA]] | Nein | Ja, greift schon bei Übermittlung an Empfänger für die das DSG LSA nicht gilt. (Abs. 3) | Ja (Abs. 1) | Ja (Abs. 2) | Ja (Abs. 5) | Ja (Abs. 4) | | [[https://padoka.landtag.sachsen-anhalt.de/files/drs/wp7/drs/d3826lge.pdf|Gesetzentwurf Landesregierung]] S. 91 ff. | 
 +^ Schleswig-Holstein | [[http://www.gesetze-rechtsprechung.sh.juris.de/jportal/?quelle=jlink&query=DSG+SH+%C2%A7+13&psml=bsshoprod.psml&max=true|§ 13 LDSG SH]] | Nein | Ja, greift schon bei Übermittlung an Empfänger für die das DSG SH nicht gilt. (Abs. 3) | Ja, evtl. nur Art. 9 Daten durch Verweis auf § 12? (Abs. 2) | JA (Abs. 4) | Ja (Abs. 5) | Ja (Abs. 1) | | 
 +^ Thüringen | § 28 ThürDSG | Ja (Abs. 1) | Ja (Abs. 2) | Ja (Abs. 3) | Ja (Abs. 4) | Ja (Abs. 5) | Nein | [[25 thuerdsg]] mit dem Wortlaut nach weitgehender Aufhebung der DSGVO bei Verarbeitungen für wissenschaftliche Zwecke" in Ausübung des Rechts auf freie Meinungsäußerung und Informationsfreiheit" | [[http://www.parldok.thueringen.de/ParlDok/dokument/65346/th%C3%BCringer-gesetz-zur-anpassung-des-allgemeinen-datenschutzrechts-an-die-verordnung-eu-2016-687-und-zur-umsetzung-der-richtlinie-eu-2016-680.pdf| Gesetzentwurf Landesregierung mit Begründung]] S. 115 f. | 
 +
 +^ (Bund) | [[https://dejure.org/gesetze/BDSG/27.html|§ 27 BDSG]] | Nein | Nein | Ja, nur Art. 9 Daten (Abs. 3) | Ja (Abs. 4) | Ja (Abs. 2) | Ja (Abs. 1) | | 
 +
 +^(Österreich) | [[https://www.ris.bka.gv.at/GeltendeFassung.wxe?Abfrage=bundesnormen&Gesetzesnummer=10001597|§ 7 DSG]] | Ja, indirekt (Abs. 1 Nr. 2) | Nein | Ja (Abs. 5) | Nein | Nein | Sehr differenzierte Regelungen inkl Genehmigung durch Datenschutzbehörde (Abs. 3 S. 2, 3) | Nur begrenzte Vergleichbarkeit der einzelnen Regelungen; insbesondere die Unterscheidung nach Forschungen, die "keine personenbezogenen Ergebnisse zum Ziel haben"(Abs. 1) und anderen Forschungen (Abs. 2 und 3) | 
 + 
 +Es gibt keine zwei Bundesländer mit identischen Regelungen für den gesamten Forschungsdatenschutz. Die einzige Teilregelung bei der Einigkeit besteht, ist die bedenkliche (s.u.) Einschränkung der Veröffentlichung von Forschungsergebnissen. Bemerkenswert ist, dass nur wenige Länder Regelungen zur Zweckbindung vorsehen aber die Mehrheit der Länder Empfängern selbst innerhalb Deutschland vertraglich Zweckbindungen vorschreiben wollen. 
 +==== - § 22 LDSG RP ====
  
 § 22 Abs. 1 LDSG RP gestattet anders als § 28 ThürDSG ausdrücklich [[:Besondere Kategorien personenbezogener Daten]] im Sinne des [[https://dejure.org/gesetze/DSGVO/9.html|Art. 9 Abs. 1]] [[:DSGVO]] auch ohne die Zustimmung der [[:betroffene Person|betroffenen Person]] zu verarbeiten, wenn im Rahmen einer Interessenabwägung das Forschungsinteresse das "Interesse der betroffenen Person an dem Ausschluss der Erhebung" deutlich überwiegt und der Forschungszweck nicht anders erreicht werden kann. Für diese Regelung wurde auf die Öffnungsklausel in Art. 9 Abs. 2 lit. j DSGVO zurückgegriffen.((Vgl. Kugelmann/Smolle, § 22 Rn. 12ff.)) § 22 Abs. 1 LDSG RP gestattet anders als § 28 ThürDSG ausdrücklich [[:Besondere Kategorien personenbezogener Daten]] im Sinne des [[https://dejure.org/gesetze/DSGVO/9.html|Art. 9 Abs. 1]] [[:DSGVO]] auch ohne die Zustimmung der [[:betroffene Person|betroffenen Person]] zu verarbeiten, wenn im Rahmen einer Interessenabwägung das Forschungsinteresse das "Interesse der betroffenen Person an dem Ausschluss der Erhebung" deutlich überwiegt und der Forschungszweck nicht anders erreicht werden kann. Für diese Regelung wurde auf die Öffnungsklausel in Art. 9 Abs. 2 lit. j DSGVO zurückgegriffen.((Vgl. Kugelmann/Smolle, § 22 Rn. 12ff.))
-===== Erläuterung =====+===== Erläuterung =====
  
-§ 28 ThürDSG sieht Sonderregeln für wissenschaftliche und historische Forschung vor.+§ 28 ThürDSG sieht einige Sonderregeln für wissenschaftliche und historische Forschung öffentlicher Hochschulen in Thüringen im Rahmen des allgemeinen [[:Datenschutz in der Forschung|Datenschutzes in der Forschung]] vor. 
  
-==== Anwendungsbereich ====+Die maßgebliche Regelung in der DSGVO ist [[https://dejure.org/gesetze/DSGVO/89.html|Art. 89]]. Dessen Absatz 2 gestattet den Mitgliedsstaaten für Forschungszwecke Ausnahmen von den Artikeln [[https://dejure.org/gesetze/DSGVO/15.html|15]], [[https://dejure.org/gesetze/DSGVO/16.html|16]], [[https://dejure.org/gesetze/DSGVO/18.html|18]] und [[https://dejure.org/gesetze/DSGVO/21.html|21]], also einigen [[:Betroffenenrechte|Betroffenenrechten]] zu regeln. 
 + 
 +==== Anwendungsbereich ====
  
 § 28 ThürDSG ist anwendbar für "wissenschaftliche und historische Forschung". § 28 ThürDSG ist anwendbar für "wissenschaftliche und historische Forschung".
  
-=== Begriff der Forschung ===+=== Begriff der Forschung ===
  
 Der Begriff Forschung ist im ThürDSG und in der [[:DSGVO]] nicht näher definiert. Maßgeblich sollte jedoch in einer weiten Auslegung die Erlangung "neuartiger Erkenntnisse" sein. Siehe auch unten aber auch im Kontext: [[:Datenschutz in der Forschung]]. Für den Begriff der Forschung spielt es dagegen keine Rolle, ob und wie die Forschung institutionalisiert ist.  Der Begriff Forschung ist im ThürDSG und in der [[:DSGVO]] nicht näher definiert. Maßgeblich sollte jedoch in einer weiten Auslegung die Erlangung "neuartiger Erkenntnisse" sein. Siehe auch unten aber auch im Kontext: [[:Datenschutz in der Forschung]]. Für den Begriff der Forschung spielt es dagegen keine Rolle, ob und wie die Forschung institutionalisiert ist. 
  
-=== Adressatenkreis und Verantwortlicher ===+=== Adressatenkreis und Verantwortlicher ===
  
 Allerdings ist das ThürDSG gemäß [[2_thuerdsg|§ 2]] Abs. 1 ThürDSG nur auf öffentliche Stellen anwendbar. Folglich ist auch § 28 nur auf [[:Verantwortlicher|Verantwortliche]] anwendbar, die auch öffentliche Stellen sind, also vor allem die öffentlichen Hochschulen aber grundsätzlich kommt auch jede andere öffentliche Stelle in Betracht. Für nicht-öffentliche Stellen gilt dagegen grundsätzlich das [[:BDSG]]. Allerdings ist das ThürDSG gemäß [[2_thuerdsg|§ 2]] Abs. 1 ThürDSG nur auf öffentliche Stellen anwendbar. Folglich ist auch § 28 nur auf [[:Verantwortlicher|Verantwortliche]] anwendbar, die auch öffentliche Stellen sind, also vor allem die öffentlichen Hochschulen aber grundsätzlich kommt auch jede andere öffentliche Stelle in Betracht. Für nicht-öffentliche Stellen gilt dagegen grundsätzlich das [[:BDSG]].
Zeile 89: Zeile 115:
 Abweichend zu den Punkten 3-5 wird auch die Auffassung vertreten, dass "wissenschaftliche Untersuchungen im Rahmen von Qualifikationsmaßnahmen (zB Bachelor-, Master-, Examensarbeiten)"(Kugelmann/Smolle § 22, Rn. 10) der Hochschule zuzurechnen seien. Diese Auffassung ist jedoch mit den Regeln zur Verantwortlichkeit nur vereinbar, wenn die Hochschule tatsächlich über Zweck und Mittel entscheidet. Abweichend zu den Punkten 3-5 wird auch die Auffassung vertreten, dass "wissenschaftliche Untersuchungen im Rahmen von Qualifikationsmaßnahmen (zB Bachelor-, Master-, Examensarbeiten)"(Kugelmann/Smolle § 22, Rn. 10) der Hochschule zuzurechnen seien. Diese Auffassung ist jedoch mit den Regeln zur Verantwortlichkeit nur vereinbar, wenn die Hochschule tatsächlich über Zweck und Mittel entscheidet.
  
-==== Zweckbindung (Absatz 1) ====+==== Zweckbindung (Absatz 1) ==== 
 + 
 +=== - Erhobene oder gespeicherte Daten === 
 + 
 +Absatz 1 bezieht sich seinem Wortlaut nach nur auf solche [[:personenbezogene Daten|personenbezogene Daten]], die für Zwecke der wissenschaftlichen oder historischen Forschung (siehe dazu im Folgenden) **erhoben** oder **gespeichert** sind. 
 + 
 +[[:Erheben personenbezogener Daten|Erheben]] ist nach der Definition des [[https://dejure.org/gesetze/BDSG_a.F./3.html|§ 3]] Abs. 3 [[:BDSG]] a.F. "das Beschaffen von Daten über den Betroffenen". In der DSGVO ist der Begriff nicht legaldefiniert sondern wird jetzt als Teil der [[:Verarbeitung]] gemäß [[https://dejure.org/gesetze/DSGVO/4.html|Art. 4]] Nr. 2 DSGVO definiert. Für die einzelne Tätigkeit erscheint die frühere Definition jedoch nach wie vor sinnvoll. Es geht also darum, dass Daten geschaffen werden, die (zumindest in der Form) vorher nicht existiert haben. Das kann im Kontext Forschung beispielsweise durch Messen, Zählen, Wiegen oder auch das Ausfüllen von Fragebögen geschehen. 
 + 
 +[[:Speichern personenbezogener Daten|Speichern]] ist nach der Definition des [[https://dejure.org/gesetze/BDSG_a.F./3.html|§ 3]] Abs. 4 Nr. 1 [[:BDSG]] a.F. "das Erfassen, Aufnehmen oder Aufbewahren personenbezogener Daten auf einem Datenträger zum Zweck ihrer weiteren Verarbeitung oder Nutzung". Zur Definition seit Geltung der DSGVO gilt das oben zum Erheben festgestellte. Es genügt also, dass Forschungsdaten gespeichert sind. 
 + 
 +Allerdings damit Daten gespeichert werden können, müssen Sie existieren - entweder durch Erhebung (siehe oben) oder indem anderweitig (und insbesondere zu anderen Zwecken) erhobene Daten [[:Übermittlung von Forschungsdaten|übermittelt]] (Transfer von einer Stelle zu einer anderen) und/oder [[:Weiterverarbeitung von Forschungsdaten|weiterverarbeitet]] (Änderung des Zwecks) werden. Dieser Aspekt wird durch Absatz 1 nicht geregelt. Auch Absatz 2 befasst sich nicht mit dieser Konstellation sondern mit rechtmäßig als Forschungsdaten gespeicherten Daten, die an eine andere Stelle übermittelt werden. 
 +=== - Zweck ===
  
 Der [[:Zweck der Verarbeitung]] ist im Kontext der DSGVO eigentlich sehr konkret zu fassen. Das wäre bei Forschungen das Erkenntnisziel der Untersuchung, für die die Daten erhoben werden. Das ist hier aber ausweislich der Gesetzesbegründung nicht gewollt. Der [[:Zweck der Verarbeitung]] ist im Kontext der DSGVO eigentlich sehr konkret zu fassen. Das wäre bei Forschungen das Erkenntnisziel der Untersuchung, für die die Daten erhoben werden. Das ist hier aber ausweislich der Gesetzesbegründung nicht gewollt.
Zeile 95: Zeile 132:
 Der Zweck im Sinne des § 28 Abs. 1 ThürDSG muss daher weiter interpretiert werden im Sinne von jeglicher wissenschaftlicher (oder historischer) Forschung.((Für ein weites Verständnis des Forschungszwecks zur Parallelvorschrift § 22 LDSG RP Kugelmann/Smolla, § 22 Rn. 16f.)) Damit ist dann aber auch eine Grenze für Zweckänderungen (oder besser Zweckerweiterungen) gesetzt. Der Zweck im Sinne des § 28 Abs. 1 ThürDSG muss daher weiter interpretiert werden im Sinne von jeglicher wissenschaftlicher (oder historischer) Forschung.((Für ein weites Verständnis des Forschungszwecks zur Parallelvorschrift § 22 LDSG RP Kugelmann/Smolla, § 22 Rn. 16f.)) Damit ist dann aber auch eine Grenze für Zweckänderungen (oder besser Zweckerweiterungen) gesetzt.
  
-Gesperrt ist damit in jedem Falle eine Verarbeitung nach [[17 thuerdsg|§ 17]] [[ThürDSG]]. Dagegen bleibt eine Herausgabe der Daten zur Verfolgung von Straftaten und Ordnungswidrigkeiten zulässig.((Vgl. zur Parallelvorschrift Art. 25 Abs. 1 BayDSG Wilde et al, Art. 25 BayDSG, Rn. 10.))+=== - Keine Verarbeitung nach § 17 ThürDSG === 
 + 
 +Gesperrt ist damit in jedem Falle eine Verarbeitung nach [[17 thuerdsg|§ 17]] [[:ThürDSG]], da § 28 ThürDSG im Verhältnis zu § 17 lex specialis ist 
 + 
 +=== - Übermittlung zur Verfolgung von Straftaten und Ordnungswidrigkeiten === 
 + 
 +Die für eine Herausgabe der Daten zur Verfolgung von Straftaten und Ordnungswidrigkeiten erforderliche Zweckänderung bleibt in der Regel zulässig(Vgl. zur Parallelvorschrift Art. 25 Abs. 1 BayDSG Wilde et al, Art. 25 BayDSG, Rn. 10.)) obwohl [[17 thuerdsg|§ 17]] Abs. 2 Nr. 2 ThürDSG nicht mehr anwendbar ist (siehe zuvor), da insoweit Vorschriften des Bundesrechts vorgehen. Zu Details siehe [[17 thuerdsg]]. Fraglich könnte allenfalls eine nicht angeforderte Übermittlung aus eigenem Antrieb sein. 
 + 
 +=== - Zweckänderung nach Art. 6 Abs. 4 DSGVO === 
 + 
 +Eine Verarbeitung nach [[https://dejure.org/gesetze/DSGVO/6.html|Art. 6]] Abs. 4 [[:DSGVO]] ist dagegen weiter möglich, da insoweit die [[:DSGVO]] als höherangiges Recht keine Öffnungsklausel für nationales Recht hat.((**Andere Auffassung**: Wilde et al, Art. 25 BayDSG, Rn. 9 gehen davon aus, dass die Parallelvorschrift Art. 25 Abs. 1 BayDSG als lex specialis Vorrang auch vor Art. 6 DSGVO besäße. Kugelmann/Smolla § 22 Rn. 18 lässt eine Weiterverarbeitung zu den Zwecken des Art. 89 DSGVO i.V.m. Art. 6 Abs.4 DSGVO ausdrücklich zu. Allerdings weicht die zugrundeliegende Vorschrift, § 22 Abs. 2 LDSG RP auch im Wortlaut ab, weil danach eine Verarbeitung "für weitere, mit dem ursprünglichen Zweck vereinbare Zwecke der Forschung" zugelassen wird.)) 
 + 
 +==== - Übermittlung (Absatz 2) ==== 
 + 
 +Die Regelung betrifft faktisch [[:Übermittlung|Übermittlungen]] in ein [[:Drittland]] in dem die [[:DSGVO]] nicht gilt. Eine mögliche Konstellation, in der zwar die DSGVO nicht gilt aber das ThürDSG ist nicht ersichtlich, so dass die Benennung des ThürDSG überflüssig ist. Das erklärt sich möglicherweise aus einem Redaktionsversehen da 8 Bundesländer (Siehe oben [[28_thuerdsg#Parallelvorschriften]]) recht ähnliche Regeln für die Übermittlung von Forschungsdaten an Stellen vorsehen, für die das jeweilige Landesdatenschutzgesetz nicht gilt, ohne dass es die deutschlandweit einmalige thüringer Ergänzung um den Geltungsbereich der DSGVO gibt. 
 + 
 +Für Übermittlungen in Drittländer sehen die [[https://dejure.org/gesetze/DSGVO/44.html|Art. 44]]ff. DSGVO umfangreiche und differenzierte Regelungen vor. Nicht vorgesehen ist dagegen eine Öffnungsklausel, die es nationalen Gesetzgebern gestatten würde, von den DSGVO-Regeln abzuweichen. Die Norm kann daher allenfalls so verstanden werden, dass der [[:Verantwortlicher|Verantwortlichen]] zusätzlich zu den Regelungen der DSGVO verpflichtet wird, den Empfänger der Daten in der beschriebenen Weise vertraglich zu binden. 
 + 
 +==== - Anonymisierung (Absatz 3) ===== 
 + 
 +Absatz 3 verlangt eine nachträgliche [[:Anonymisierung]] (Satz 1) und so lange das nicht möglich ist, eine [[:Pseudonymisierung]]. Zur Abgrenzung beider Begriffe siehe vor allem die beiden Artikel. Auch an dieser Stelle ist aber darauf hinzuweisen, dass die [[:Legaldefinition]] des Gesetzes für Anonymisierung ("//Die personenbezogenen Daten sind [...] dergestalt zu verändern, dass die Einzelangaben über persönliche oder sachliche Verhältnisse nicht mehr oder nur mit einem unverhältnismäßig großen Aufwand an Zeit, Kosten und Arbeitskraft einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können.//") sehr ernst zu nehmen ist und die hohen Hürden erfolgreicher Anonymisierung verdeutlicht. 
 + 
 +Nicht im Gesetz ausdrücklich geregelt ist, dass ein Studiendesign so angelegt sein sollte, dass erst gar keine [[:personenbezogene Daten|personenbezogenen Daten]] erhoben werden sondern von vorneherein anonyme Daten, wenn das mit dem Forschungszweck vereinbar ist. 
 + 
 +Wenn aber die Erhebung personenbezogener Daten erforderlich ist, dann müssen alle datenschutzrechtlichen Pflichten durch den Verantwortlichen eingehalten werden, soweit nicht Absatz 4 Erleichterungen vorsieht, was im Wesentlichen [[:Betroffenenrechte]] betrifft. Keine Erleichtungen gibt es insbesondere bei der Pflicht, die [[:Sicherheit der Verarbeitung]] zu beachten und gegebenenfalls ein [[:Verzeichnis von Verarbeitungstätigkeiten]] zu führen. 
 +==== - Veröffentlichung (Absatz 4) ==== 
 + 
 +Absatz 4 schränkt die Möglichkeit zur Veröffentlichung personenbezogener Daten ein auf die Fälle ein, in denen die [[betroffene Person]] eingewilligt hat oder es für die Darstellung von Forschungsergebnissen der Zeitgeschichte unerlässlich ist. 
 + 
 +=== - Europarechtliche Zulässigkeit === 
 + 
 +Der Gesetzesbegründung ist zu folgen, dass dies durch [[https://dejure.org/gesetze/DSGVO/6.html|Art. 6]] Abs. 3 DSGVO datenschutzrechtlich gedeckt ist. 
 + 
 +=== - Einwilligung === 
 + 
 +Die [[:Einwilligung]] muss den Anforderungen des [[https://dejure.org/gesetze/DSGVO/7.html|Art. 7]] DSGVO genügen und folglich insbesondere freiwillig und informiert sein. 
 + 
 +=== - Zeitgeschichte === 
 + 
 +Der Begriff der Zeitgeschichte wird grundsätzlich den Wertungen des KUG folgend zu interpretieren sein. Zu beachten ist aber auch, dass [[http://landesrecht.thueringen.de/jportal/?quelle=jlink&query=Verf+TH+Artikel+6&psml=bsthueprod.psml&max=true|Art. 6]] Abs. 3 S. 2 VerfTH verlangt: //"Den Belangen historischer Forschung und geschichtlicher Aufarbeitung ist angemessen Rechnung zu tragen."// Zeitgeschichtliche Forschung und deren Veröffentlichung, die für "Aufarbeitung" zwingend notwendig ist, besitzt also im Freistaat Thüringen gewissermaßen Verfassungsrang und muss bei Abwägungsentscheidungen entsprechend berücksichtigt werden. 
 +=== - Einschränkung der Forschungsfreiheit ===
  
-Eine Verarbeitung nach [[https://dejure.org/gesetze/DSGVO/6.html|Art. 6]] Abs. 4 [[:DSGVO]] ist dagegen weiter möglich, da insoweit die [[:DSGVO]] als höherangiges Recht keine Öffnungsklausel für nationales Recht hat.((**Andere Auffassung**Wilde et al, Art25 BayDSGRn9 gehen davon ausdass die Parallelvorschrift Art. 25 Abs. 1 BayDSG als lex specialis Vorrang auch vor Art6 DSGVO besäße.)) +Angesichts der grundsätzlichen Problemen bei der Einwilligung, den Hürden für die Einordnung als zeitgeschichtliches Ereignis und der Schwierigkeit in vielen Fällen personenbezogene Daten zu anonymisieren (so dass eben keine personenbezogene Daten mehr vorliegen) stellt sich die Frage, ob die Beschränkungen der Veröffentlichung personenbezogener Daten eine Verletzung der Forschungsfreiheit gemäß Art. 5 Abs. 3 GG und [[http://landesrecht.thueringen.de/jportal/?quelle=jlink&query=Verf+TH+Artikel+27&psml=bsthueprod.psml&max=true|Art. 27]] Abs. 1 VerfTH darstellt. Die Freiheit der Forschung umfasst auch die Publikationsfreiheit und ein Popularisierungsrecht.((Vgl. [[https://beck-online.beck.de/Dokument?vpath=bibdata%2Fkomm%2FMaunzDuerigKoGG_91%2FGG%2Fcont%2FMaunzDuerigKoGG.GG.a5.x3.glIII.gl1.glb.glbb.gl2.gld.htm|Maunz/Dürig/Gärditz91EL April 2020GG Art. Abs. 3 Rn111-114]].))
-==== Übermittlung (Absatz 2) ====+
  
-==== Anonymisierung (Absatz 3=====+Zu diskutieren wäre - auch unter Beachtung der Abs. 4 entgegenlaufenden Wertung des § 25 ThürDSG - eine teleologische Reduktion des Abs. 4. In Betracht kommen hier Beschränkungen auf [[:besondere Kategorien personenbezogener Daten]] und/oder personenbezogene Daten, die eine relativ einfache Identifizierung der [[:betroffene Person|betroffenen Person]] ermöglichen, wenn also keine oder eine schwache [[:Pseudonymisierung]] vorliegt und/oder keine Anwendung auf öffentlich bekannte personenbezogene Daten.((Zu letzterem: Wenn der (triviale) Forschungsgegenstand ist, festzustellen, zu welchem Landesdatenschutz ein Kommentar exsistiert, dann ist es dazu nötig, die Verfasser oder wenigstens Herausgeber der Kommentierungen zu ermitteln und gegebenenfalls in einer Veröffentlichung zu benennen, wie es auf der [[:Liste der Landesdatenschutzgesetze]] geschehen ist. Es gibt auch keinerlei Anlass anzunehmen, dass dadurch die Rechte und Freiheiten der betroffenen Person in irgendeiner Weise gefährdet werden. Gleichwohl läge bei "strenger" Auslegung des § 28 Abs. 4 keine Zulässigkeit vor, da es keine ausdrückliche Einwilligung gibt und es sich wohl auch nicht um ein Datum der Zeitgeschichte handelt.)) 
 +==== - Einschränkung von Betroffenenrechten (Absatz 5) ====
  
-==== Veröffentlichung (Absatz 4) ====+Absatz 5 schränkt unter voller Ausschöpfung der Öffnungsklausel des [[https://dejure.org/gesetze/DSGVO/89.html|Art. 89]] Abs. 2 [[:DSGVO]] folgende [[:Betroffenenrechte]] ein:
  
-==== Einschränkung von Betroffenenrechten (Absatz 5) ====+  * [[:Auskunftsrecht]], [[https://dejure.org/gesetze/DSGVO/15.html| Art. 15]] DSGVO, 
 +  * [[:Recht auf Berichtigung]], [[https://dejure.org/gesetze/DSGVO/16.html| Art. 16]] DSGVO, 
 +  * [[:Recht auf Einschränkung der Verarbeitung]], [[https://dejure.org/gesetze/DSGVO/18.html| Art. 18]] DSGVO und 
 +  * [[:Widerspruchsrecht]], [[https://dejure.org/gesetze/DSGVO/21.html| Art. 21]] DSGVO bei [[:Verarbeitung für die Wahrnehmung einer Aufgabe]] und [[:Verarbeitung zur Wahrung berechtigter Interessen]].
  
-===== Weblinks =====+Das ist jedoch nur zulässig, wenn es im Einzelfall für die Erreichung des Forschungszweckes erforderlich ist. 
 +===== Weblinks =====
  
   * [[http://landesrecht.thueringen.de/jportal/?quelle=jlink&query=DSG+TH+%C2%A7+28&psml=bsthueprod.psml&max=true|Quelle Wortlaut]]   * [[http://landesrecht.thueringen.de/jportal/?quelle=jlink&query=DSG+TH+%C2%A7+28&psml=bsthueprod.psml&max=true|Quelle Wortlaut]]
Drucken/exportieren
QR-Code
QR-Code § 28 Thüringer Datenschutzgesetz (erstellt für aktuelle Seite)