Datenschutz in der Hamburger Hochschulforschung: Ein komplexes Geflecht aus EU-Recht und lokalen Vorschriften

Navigieren durch DSGVO, HmbHG und HmbDSG bei öffentlich geförderten Forschungsprojekten

Die Verarbeitung und Weitergabe personenbezogener Daten durch Hochschulen in Hamburg, insbesondere im Rahmen von öffentlich geförderten Forschungsprojekten, unterliegt einem detaillierten rechtlichen Rahmenwerk. Dieses basiert maßgeblich auf der europäischen Datenschutz-Grundverordnung (DSGVO), wird jedoch durch spezifische Landesgesetze wie das Hamburgische Hochschulgesetz (HmbHG) und das Hamburgische Datenschutzgesetz (HmbDSG) konkretisiert und ergänzt. Das Verständnis dieser Verflechtung ist für Forschende unerlässlich.

Wichtige Erkenntnisse auf einen Blick

Rechtsgrundlagen-Mix: Die DSGVO bildet die Basis, während das HmbHG die Aufgaben der Hochschulen (inkl. Forschung) definiert und das HmbDSG spezifische Datenschutzregeln für Hamburg festlegt.
Privilegierung der Forschung: Die Verarbeitung personenbezogener Daten für wissenschaftliche Forschungszwecke (Art. 9 Abs. 2 lit. j, Art. 89 DSGVO) ist unter bestimmten Bedingungen erleichtert, erfordert aber strenge Schutzmaßnahmen wie Anonymisierung oder Pseudonymisierung.
Lokale Unterstützung und Richtlinien: Hamburger Hochschulen bieten spezifische Handreichungen, Checklisten und Beratungsangebote an, um die Einhaltung der komplexen Datenschutzvorschriften in Forschungsprojekten zu gewährleisten.

Das Zusammenspiel der zentralen Rechtsnormen

Die rechtliche Landschaft für die Datenverarbeitung in der Hamburger Hochschulforschung ist mehrschichtig. Sie wird primär durch die DSGVO bestimmt, die seit dem 25. Mai 2018 unmittelbar in allen EU-Mitgliedstaaten gilt. Nationale und landesspezifische Gesetze füllen diesen Rahmen jedoch aus und passen ihn an lokale Gegebenheiten an.

Die Rolle der DSGVO als Fundament

Die DSGVO legt die allgemeinen Prinzipien und Regeln für die Verarbeitung personenbezogener Daten fest. Für öffentlich geförderte Forschungsvorhaben an Hochschulen sind insbesondere folgende Artikel relevant:

Art. 6 Abs. 1 lit. e DSGVO: Erlaubt die Datenverarbeitung, wenn sie zur Erfüllung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt. Die Forschungsaufgaben der Hochschulen, wie sie im HmbHG definiert sind, fallen typischerweise unter diese Kategorie.
Art. 6 Abs. 1 lit. f DSGVO: Gestattet die Verarbeitung zur Wahrung berechtigter Interessen des Verantwortlichen (z.B. der Hochschule oder eines Forschungsprojekts) oder eines Dritten, sofern nicht die Interessen oder Grundrechte der betroffenen Person überwiegen. Dies kann bei Forschungskooperationen relevant sein, erfordert jedoch eine sorgfältige Abwägung.
Art. 9 Abs. 2 lit. j DSGVO: Erlaubt unter strengen Voraussetzungen die Verarbeitung besonderer Kategorien personenbezogener Daten (z.B. Gesundheitsdaten, ethnische Herkunft) für wissenschaftliche oder historische Forschungszwecke oder statistische Zwecke. Dies ist oft entscheidend für sozial- oder gesundheitswissenschaftliche Forschung, setzt aber angemessene Garantien zum Schutz der Betroffenen voraus (gemäß Art. 89 DSGVO).

Spezifizierung durch HmbHG und HmbDSG

Das Hamburgische Hochschulgesetz (HmbHG) und das Hamburgische Datenschutzgesetz (HmbDSG) konkretisieren die DSGVO für den Hamburger Kontext:

Hamburgisches Hochschulgesetz (HmbHG)

Das HmbHG definiert die Aufgaben und die Organisation der Hamburger Hochschulen. § 3 HmbHG benennt Forschung, Lehre und Studium als Kernaufgaben. § 111 HmbHG regelt spezifisch die Befugnis der Hochschulen zur Verarbeitung personenbezogener Daten von verschiedenen Personengruppen (Studienbewerber, Studierende, Prüfungskandidaten, Personal, Nutzer von Einrichtungen etc.), soweit dies zur Erfüllung ihrer gesetzlichen Aufgaben erforderlich ist. Dies schafft eine wichtige Rechtsgrundlage im Sinne von Art. 6 Abs. 1 lit. e DSGVO für viele Verarbeitungstätigkeiten im Hochschulkontext, einschließlich der administrativen Abwicklung von Forschungsprojekten.

Hamburgisches Datenschutzgesetz (HmbDSG)

Das HmbDSG ergänzt die DSGVO und enthält spezifische Regelungen für öffentliche Stellen in Hamburg, zu denen auch die Hochschulen zählen. Es präzisiert die Anforderungen an die Datenverarbeitung im öffentlichen Sektor und kann spezifische Vorgaben für die Umsetzung von Datenschutzmaßnahmen enthalten, beispielsweise in Bezug auf die Rechte der Betroffenen oder die Pflichten der Verantwortlichen. § 3 HmbDSG wiederholt die Erlaubnis zur Datenverarbeitung zur Erfüllung öffentlicher Aufgaben. § 11 HmbDSG adressiert speziell die Verarbeitung für wissenschaftliche Forschung und betont die Bedeutung von Anonymisierung und Pseudonymisierung.

Bundesdatenschutzgesetz (BDSG)

Das BDSG findet ergänzend Anwendung, insbesondere wenn spezifische bundesrechtliche Regelungen greifen oder das HmbDSG keine spezielleren Regelungen trifft. In den analysierten Quellen wird seine Rolle für Hamburger Hochschulen jedoch als nachrangig gegenüber dem HmbDSG betrachtet, außer bei bundesweiten oder internationalen Forschungskontexten.

Forschungsprojekte unter der Lupe: Die "Wissenschaftsklausel" der DSGVO

Die DSGVO erkennt die besondere Bedeutung der wissenschaftlichen Forschung an und sieht unter bestimmten Voraussetzungen Erleichterungen bei der Datenverarbeitung vor. Öffentlich geförderte Forschungsvorhaben, einschließlich großer EU-Programme wie Horizon Europe, können in der Regel als "Verarbeitung zu wissenschaftlichen oder historischen Forschungszwecken" im Sinne der DSGVO qualifiziert werden.

Qualifikation und Voraussetzungen

Ein Projekt qualifiziert sich als wissenschaftliche Forschung, wenn es darauf abzielt, neues Wissen zu generieren und systematischen wissenschaftlichen Methoden folgt. Entscheidend ist der Zweck der Verarbeitung. Die Privilegierung greift jedoch nur, wenn:

Der Forschungszweck nicht auf andere Weise (z.B. mit anonymen Daten) erreicht werden kann.
Geeignete Garantien zum Schutz der Rechte und Freiheiten der betroffenen Personen implementiert werden (gemäß Art. 89 Abs. 1 DSGVO). Dazu gehören insbesondere technische und organisatorische Maßnahmen wie:
- Pseudonymisierung: Ersetzen von direkten Identifikatoren (wie Namen) durch einen Code.
- Anonymisierung: Entfernen jeglichen Personenbezugs, sobald der Forschungszweck dies erlaubt.
- Datenminimierung: Verarbeitung nur der Daten, die für den Forschungszweck unbedingt erforderlich sind.
- Sicherheitsmaßnahmen: Schutz der Daten vor unbefugtem Zugriff.

Sonderregelungen und ihre Grenzen

Wenn die Voraussetzungen erfüllt sind, können bestimmte datenschutzrechtliche Pflichten modifiziert werden. Dies betrifft potenziell:

Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO): Daten, die ursprünglich für einen anderen Zweck erhoben wurden, dürfen unter Umständen für wissenschaftliche Forschungszwecke weiterverarbeitet werden (Zweckvereinbarkeit).
Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO): Personenbezogene Daten dürfen länger gespeichert werden, wenn dies für Forschungszwecke notwendig ist, vorausgesetzt, die Schutzgarantien nach Art. 89 Abs. 1 DSGVO werden eingehalten.
Betroffenenrechte (Art. 15-18, 20, 21 DSGVO): Rechte auf Auskunft, Berichtigung, Löschung ("Recht auf Vergessenwerden"), Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch können eingeschränkt sein, wenn ihre Ausübung die Verwirklichung der Forschungszwecke ernsthaft beeinträchtigen oder unmöglich machen würde und die Einschränkung für die Erfüllung dieser Zwecke notwendig ist.

Diese Erleichterungen sind jedoch kein Freibrief. Sie müssen stets im Einklang mit den Grundprinzipien des Datenschutzes stehen und erfordern eine sorgfältige Dokumentation und Begründung.

Vergleich der Rechtsgrundlagen für die Datenverarbeitung

Die Wahl der richtigen Rechtsgrundlage ist entscheidend für die datenschutzkonforme Durchführung von Forschungsprojekten. Die folgende Darstellung vergleicht die wichtigsten in diesem Kontext relevanten Rechtsgrundlagen der DSGVO anhand ausgewählter Kriterien. Die Bewertungen spiegeln eine Einschätzung der relativen Eigenschaften wider, nicht absolute Messwerte.

Diese Visualisierung verdeutlicht, dass Art. 9 Abs. 2 lit. j speziell für sensible Daten in der Forschung konzipiert ist und hohe Schutzanforderungen stellt. Art. 6 Abs. 1 lit. e ist oft die Standardgrundlage für Hochschulaufgaben, stark durch das HmbHG geprägt. Art. 6 Abs. 1 lit. f bietet Flexibilität, erfordert aber eine komplexe Interessenabwägung.

Spezifische Regelungen und Leitlinien in Hamburg

Obwohl es keine einzelne, spezifische Verordnung ausschließlich für die Datenweitergabe in Forschungskooperationen an Hamburger Hochschulen zu geben scheint, existiert ein Netzwerk aus gesetzlichen Vorgaben, internen Richtlinien und Unterstützungsstrukturen, die diesen Bereich regeln.

Keine dedizierte Verordnung, aber klare Rahmenbedingungen

Die Datenweitergabe im Rahmen von Forschungskooperationen, auch bei Drittmittelprojekten, muss sich an den allgemeinen Grundsätzen der DSGVO, des HmbHG und des HmbDSG orientieren. Das bedeutet:

Rechtsgrundlage: Jede Weitergabe benötigt eine gültige Rechtsgrundlage (z.B. Art. 6 Abs. 1 lit. e/f DSGVO, Einwilligung der Betroffenen, gesetzliche Verpflichtung oder spezifische Regelungen in Forschungsförderverträgen).
Zweckbindung: Die Daten dürfen nur für die vereinbarten Forschungszwecke verwendet werden.
Datenminimierung: Es dürfen nur die Daten weitergegeben werden, die für die Kooperation unbedingt notwendig sind. Anonymisierung oder Pseudonymisierung sind zu bevorzugen.
Transparenz: Die Betroffenen müssen über die Datenweitergabe informiert werden (Art. 13, 14 DSGVO).
Verträge: Bei gemeinsamer Verantwortung oder Auftragsverarbeitung sind entsprechende Verträge (Art. 26, 28 DSGVO) abzuschließen.

Hochschulinterne Richtlinien und Unterstützungsangebote

Die Hamburger Hochschulen haben Mechanismen etabliert, um Forschende bei der Einhaltung dieser Vorgaben zu unterstützen:

Universität Hamburg: Bietet eine "Handreichung zum Datenschutz bei der Durchführung von Forschungsprojekten" und eine "Checkliste Datenschutz für Forschungsprojekte". Diese Dokumente fassen relevante Vorgaben zusammen und geben praktische Hilfestellungen.
Technische Universität Hamburg (TUHH): Verfügt über eine Datenschutzkoordination, die im Auftrag der Hochschulleitung Maßnahmen zur Einhaltung des Datenschutzes koordiniert und Informationsangebote oder Schulungen zur Sensibilisierung bereitstellt.
Andere Hochschulen (z.B. HAW Hamburg, HCU Hamburg): Haben ebenfalls interne Richtlinien, Satzungen oder Leitfäden entwickelt, die sich mit Datenschutz in der Forschung befassen und Informationspflichten sowie Verfahren für Drittmittelprojekte regeln.
ROSI (Universität Hamburg): Das Rechnernetz und Organisationssysteme für die wissenschaftliche Informationsverarbeitung (ROSI) an der WiSo-Fakultät klärt Forschende durch DSGVO-Workshops und individuelle Beratung über Datenschutzrichtlinien auf.

Diese internen Regelungen und Unterstützungsstrukturen konkretisieren die gesetzlichen Anforderungen und helfen, die Datenweitergabe in Forschungskooperationen rechtskonform zu gestalten.

Visualisierung der Rechtslandschaft

Die folgende Mindmap bietet einen Überblick über die verschiedenen Ebenen und Komponenten des rechtlichen Rahmens für Datenschutz in der Hamburger Hochschulforschung.

mindmap root((Datenschutz in Hamburger Hochschulforschung)) ::icon(fa fa-university) EU-Ebene ::icon(fa fa-landmark) DSGVO (GDPR) Art. 5 (Grundsätze) Art. 6 (Rechtmäßigkeit) lit. e (Öffentliches Interesse) lit. f (Berechtigtes Interesse) Art. 9 (Besondere Kategorien) lit. j (Wissenschaftliche Forschung) Art. 89 (Garantien für Forschung) Pseudonymisierung
Anonymisierung
Datenminimierung Betroffenenrechte (Art. 12-22) Pflichten (Art. 24-43) Verträge (Art. 26, 28)
DSFA (Art. 35) Bundesebene ::icon(fa fa-building-columns) BDSG (Ergänzend) Landesebene Hamburg ::icon(fa fa-map-marker-alt) HmbHG (Hamburgisches Hochschulgesetz) § 3 (Aufgaben der Hochschulen)
- Forschung als Aufgabe § 111 (Datenverarbeitung durch Hochschulen) HmbDSG (Hamburgisches Datenschutzgesetz) Ergänzt DSGVO für öffentliche Stellen § 3 (Zulässigkeit der Verarbeitung) § 11 (Verarbeitung für Forschung) Spezifische Kontexte ::icon(fa fa-flask) Öffentlich geförderte Forschung EU-Projekte (z.B. Horizon Europe) ::icon(fa fa-euro-sign) Qualifikation als wissenschaftliche Forschung (Art. 9(2)j, Art. 89) Drittmittelprojekte Forschungskooperationen Datenweitergabe Rechtsgrundlage nötig
Verträge (Art. 26/28) Unterstützung & Richtlinien (Hochschulen) ::icon(fa fa-life-ring) Uni Hamburg Handreichung
Checkliste
ROSI Workshops/Beratung TU Hamburg Datenschutzkoordination
Schulungen HAW / HCU / Andere Interne Satzungen
Leitlinien

Diese Übersicht zeigt die Verflechtung von EU-Recht, Bundesrecht, Landesrecht und hochschulspezifischen Regelungen und Unterstützungsangeboten.

Die Praxis der Datenverknüpfung in der Forschung

Forschungsprojekte stehen oft vor der Herausforderung, verschiedene Datenquellen miteinander zu verknüpfen, um neue Erkenntnisse zu gewinnen. Dies kann beispielsweise die Kombination von Umfragedaten mit Geodaten beinhalten. Solche Verknüpfungen werfen spezifische technische und datenschutzrechtliche Fragen auf, insbesondere wenn personenbezogene oder personenbeziehbare Daten involviert sind.

Das folgende Video diskutiert am Beispiel eines Forschungsprojekts, wie Befragungs- und Geodaten technisch verknüpft werden können, um interdisziplinäre Forschungsfragen zu untersuchen. Es beleuchtet praktische Aspekte der Datenintegration, die im Kontext der hier diskutierten rechtlichen Rahmenbedingungen relevant sind, da jede Verknüpfung und Verarbeitung personenbezogener Daten den Regeln der DSGVO, des HmbDSG und HmbHG entsprechen muss.

Die im Video angesprochenen technischen Lösungen müssen stets durch geeignete organisatorische und rechtliche Maßnahmen flankiert werden, wie z.B. Pseudonymisierung, Anonymisierung, Einholung von Einwilligungen oder die klare Definition von Zugriffsrechten, um den Datenschutz zu gewährleisten.

Forschungsumgebungen an Hamburger Hochschulen

Die Umsetzung der Datenschutzvorgaben findet in den konkreten Forschungs- und Lehrumgebungen der Hamburger Hochschulen statt. Die folgenden Bilder geben einen visuellen Eindruck von einigen dieser Institutionen, an denen öffentlich geförderte Forschung betrieben wird und die Einhaltung der DSGVO und der landesspezifischen Gesetze täglich relevant ist.

Hauptgebäude der Universität Hamburg (Quelle: uni-hamburg.de)

Hochschule für bildende Künste (HFBK) Hamburg (Quelle: hfbk-hamburg.de)

Campus der Hochschule Macromedia in Hamburg (Quelle: macromedia-fachhochschule.de)

Diese Bilder illustrieren die Vielfalt der Hochschullandschaft in Hamburg, in der Forschungsprojekte unter Beachtung der komplexen Datenschutzregelungen durchgeführt werden.

Zusammenfassung der Kernregelungen

Die folgende Tabelle fasst die wichtigsten gesetzlichen Grundlagen und ihre Relevanz für die Datenverarbeitung in der Hamburger Hochschulforschung zusammen:

Rechtsgrundlage	Artikel / Paragraph	Zentrale Funktion / Relevanz für Forschung
DSGVO	Art. 5	Grundprinzipien der Datenverarbeitung (Zweckbindung, Datenminimierung, Speicherbegrenzung etc.)
DSGVO	Art. 6 Abs. 1 lit. e	Rechtsgrundlage für Verarbeitung im öffentlichen Interesse (oft über HmbHG §3, §111)
DSGVO	Art. 6 Abs. 1 lit. f	Rechtsgrundlage bei berechtigtem Interesse (erfordert Interessenabwägung, relevant für Kooperationen)
DSGVO	Art. 9 Abs. 2 lit. j	Erlaubnis zur Verarbeitung besonderer Datenkategorien für Forschungszwecke (unter Schutzgarantien)
DSGVO	Art. 89	Anforderungen an Schutzgarantien bei Verarbeitung für Forschungszwecke (Pseudonymisierung, Anonymisierung etc.)
HmbHG	§ 3	Definition von Forschung als Kernaufgabe der Hochschulen
HmbHG	§ 111	Spezifische Befugnis zur Datenverarbeitung für Hochschulzwecke (Studium, Forschung, Verwaltung)
HmbDSG	§ 3, § 11	Landesspezifische Ergänzungen zur DSGVO, Regelungen zur Verarbeitung für Forschungszwecke

Diese Tabelle dient als schneller Überblick über die wichtigsten Normen, die bei der Planung und Durchführung von Forschungsprojekten an Hamburger Hochschulen beachtet werden müssen.

Häufig gestellte Fragen (FAQ)

Was ist die wichtigste Rechtsgrundlage für Datenschutz in der Forschung an Hamburger Hochschulen?

Die Datenschutz-Grundverordnung (DSGVO) ist die primäre Rechtsgrundlage. Sie wird jedoch durch das Hamburgische Hochschulgesetz (HmbHG) und das Hamburgische Datenschutzgesetz (HmbDSG) spezifisch für den Hochschulkontext und für Hamburg ergänzt und konkretisiert. Oft bildet Art. 6 Abs. 1 lit. e DSGVO in Verbindung mit den Aufgaben aus dem HmbHG die Basis.

Dürfen sensible Daten (z.B. Gesundheitsdaten) in Forschungsprojekten verwendet werden?

Ja, die Verarbeitung besonderer Kategorien personenbezogener Daten ist gemäß Art. 9 Abs. 2 lit. j DSGVO für wissenschaftliche Forschungszwecke erlaubt, aber nur unter strengen Voraussetzungen. Es müssen angemessene und spezifische Schutzmaßnahmen getroffen werden (gemäß Art. 89 DSGVO), wie z.B. Pseudonymisierung, Anonymisierung, strenge Zugriffskontrollen und eine klare Zweckbindung. Oft ist auch eine Ethikvotum erforderlich.

Gelten für EU-geförderte Projekte wie Horizon Europe besondere Datenschutzregeln?

EU-geförderte Projekte unterliegen denselben grundlegenden Datenschutzgesetzen (DSGVO, HmbDSG, HmbHG). Sie qualifizieren in der Regel als "Verarbeitung zu wissenschaftlichen Forschungszwecken", wodurch die Sonderregelungen nach Art. 89 DSGVO greifen können. Zusätzlich können die Förderverträge spezifische Anforderungen an den Datenschutz, die Datensicherheit und die Datenweitergabe innerhalb des Konsortiums enthalten, die über die allgemeinen gesetzlichen Anforderungen hinausgehen können.

Gibt es spezielle Formulare oder Checklisten für Forschungsprojekte in Hamburg?

Ja, einige Hamburger Hochschulen, wie die Universität Hamburg, stellen spezifische Hilfsmittel zur Verfügung. Dazu gehören die "Handreichung zum Datenschutz bei der Durchführung von Forschungsprojekten" und eine "Checkliste Datenschutz für Forschungsprojekte". Es empfiehlt sich, die Webseiten der jeweiligen Hochschule oder die zuständige Datenschutzkoordination zu konsultieren.

Wer ist an einer Hamburger Hochschule für die Einhaltung des Datenschutzes verantwortlich?

Die Hochschule als Institution ist die "Verantwortliche" im Sinne der DSGVO, vertreten durch die Präsidentin oder den Präsidenten. Die operative Verantwortung liegt jedoch bei den einzelnen Stellen (Fakultäten, Institute, Projekte), die personenbezogene Daten verarbeiten. Hochschulen haben zudem Datenschutzbeauftragte und teilweise Datenschutzkoordinatoren, die beraten und die Einhaltung der Vorschriften überwachen.