Darf eine Einwilligung für künftige Forschung breit gefasst werden?

In Grenzen ja. Erwägungsgrund 33 erkennt an, dass sich der Zweck einer wissenschaftlichen Untersuchung zum Zeitpunkt der Erhebung oft nicht vollständig angeben lässt. Zugelassen ist deshalb eine Einwilligung für bestimmte Forschungsbereiche. Die Bestimmtheit des Art. 4 Nr. 11 DSGVO entfällt damit nicht. Je breiter die Fassung, desto eher überzeugt eine andere Grundlage.

Bereich

Datenschutz bei Forschungsvorhaben

Die Einwilligung ist im Forschungsvorhaben selten die tragfähigste Grundlage, weil sie widerruflich ist. Das Forschungsprivileg des Art. 5 Abs. 1 Buchst. b DSGVO erklärt eine Weiterverarbeitung für nicht unvereinbar, ersetzt aber keine Rechtsgrundlage. Und ob pseudonymisierte Daten beim empfangenden Partner personenbezogen sind, hängt nach dem EuGH von dessen Mitteln ab und nicht von der Pseudonymisierung als solcher.

Bewilligt, die Rechtsgrundlage offen

Der Antrag ist bewilligt, das Konsortium steht. Die Ethikkommission fragt nach der Rechtsgrundlage. Im Antrag steht, die Teilnehmenden würden einwilligen. Vorhandene Daten aus einer früheren Erhebung sollen mitverwendet werden. Ein Partner in einem anderen Land soll die Auswertung übernehmen.

Die Einwilligung ist die widerrufliche Grundlage

Worauf sich die Verarbeitung stützen lässt, wird in Anträgen fast immer gleich beantwortet. Die Antwort ist die anfälligste. Eine Einwilligung ist nach Art. 7 Abs. 3 DSGVO jederzeit widerruflich. In einer Längsschnittstudie fällt der Widerruf in die Auswertung.

Drei Grundlagen und ihre Folgen für das Vorhaben

Einwilligung	Merkmal	Öffentliche Aufgabe
Art. 6 Abs. 1 Buchst. a DSGVOFür besondere Kategorien zusätzlich Art. 9 Abs. 2 Buchst. a DSGVO, dort ausdrücklich.	Fundstelle	Art. 6 Abs. 1 Buchst. e DSGVOIn Verbindung mit dem Hochschul- oder Landesdatenschutzgesetz. Für besondere Kategorien Art. 9 Abs. 2 Buchst. j DSGVO mit § 27 BDSG oder Landesrecht.
JederzeitMit Wirkung für die Zukunft, aber die Daten sind danach nicht mehr verwendbar.	Widerruf	Kein WiderrufStattdessen Widerspruch nach Art. 21 DSGVO, der eine Abwägung auslöst und nicht automatisch durchgreift.
EngErwägungsgrund 33 lässt Forschungsbereiche zu, ersetzt die Bestimmtheit aber nicht.	Bestimmtheit des Zwecks	WeiterDer Zweck ergibt sich aus der Aufgabe und dem Gesetz, das sie zuweist.
FreiwilligkeitBei Abhängigkeit von Behandelnden oder Lehrenden ist sie schwer darzulegen.	Praktische Hürde	Nur für öffentliche TrägerPrivatwirtschaftliche Forschung ist auf Art. 6 Abs. 1 Buchst. f DSGVO und die Abwägung angewiesen.

Aus der Aufgabenzuweisung folgt keine schwächere Position der Teilnehmenden, sondern eine andere. An die Stelle des Widerrufs tritt der Widerspruch. An die Stelle des Formulars tritt die Information nach Art. 13 DSGVO.

Das Forschungsprivileg beantwortet die Vereinbarkeit und nicht die Zulässigkeit

Was das Forschungsprivileg leistet, wird häufig überschätzt. Der zweite Halbsatz des Art. 5 Abs. 1 Buchst. b DSGVO erklärt eine Weiterverarbeitung zu Forschungszwecken für nicht unvereinbar mit den ursprünglichen Zwecken. Das ist eine Aussage über die Zweckbindung und keine über die Rechtsgrundlage.

Drei Prüfungen bei vorhandenen Daten

Rechtsgrundlage
Die Weiterverarbeitung braucht eine eigene Grundlage nach Art. 6 DSGVO und, bei besonderen Kategorien, zusätzlich eine nach Art. 9 Abs. 2 DSGVO.
Vereinbarkeit
Hier greift das Privileg. Eine Prüfung nach Art. 6 Abs. 4 DSGVO erübrigt sich, wenn die Garantien des Art. 89 Abs. 1 DSGVO eingehalten sind.
Garantien
Art. 89 Abs. 1 S. 4 DSGVO verlangt, den Zweck ohne Identifizierung zu erfüllen, wo das möglich ist. Das ist eine Pflicht und keine Empfehlung.

3 von 3

Die dritte Stufe wird am häufigsten übergangen. Sie ist die mit der schärfsten Formulierung. Wo sich der Forschungszweck ohne Identifizierung erreichen lässt, ist er ohne Identifizierung zu erreichen.

Pseudonymisierte Daten sind nicht für jede Stelle personenbezogen

Wann pseudonymisierte Daten keine personenbezogenen mehr sind, hat der EuGH am 04.09.2025 in der Sache C-413/23 P entschieden. Die Entscheidung ist zum Datenschutzrecht der Unionsorgane ergangen, dessen Begriffsbestimmungen mit denen der Verordnung wortgleich sind. Die Antwort fällt für zwei Stellen verschieden aus.

Für die Praxis folgt daraus eine Prüfung, die sich nicht am Datensatz allein durchführen lässt. Zu bestimmen ist, welche Mittel die empfangende Stelle hat. Dazu gehört ihr eigener Datenbestand. Ein Institut, das dieselbe Kohorte aus einer anderen Erhebung kennt, kann zuordnen, wo ein fachfremdes Rechenzentrum es nicht kann.

Im Verbund entscheidet die Rolle über die Papiere

Wie die Weitergabe im Verbund einzuordnen ist, steht in Konsortialverträgen selten, weil diese Ergebnisse und Verwertung regeln. Datenschutzrechtlich zerfällt ein Verbund in mehrere Verarbeitungen mit je eigener Zuordnung. Die Zuordnung entscheidet, welches Papier gebraucht wird.

Vier Konstellationen und das jeweils nötige Papier

Gemeinsame Festlegung von Zwecken und Mitteln

Art. 26 Abs. 1 DSGVO verlangt eine Vereinbarung, die festlegt, wer welche Pflicht erfüllt. Ihr wesentlicher Inhalt ist nach Absatz 2 den betroffenen Personen zur Verfügung zu stellen, also in die Teilnehmendeninformation aufzunehmen.

Auswertung nach Weisung des Vorhabenträgers

Dann liegt eine Auftragsverarbeitung vor. Es gilt Art. 28 Abs. 3 DSGVO. Der Partner darf die Daten nicht für eigene Publikationen nutzen. Das ist in Verbünden der neuralgische Punkt.

Weitergabe an einen Partner mit eigenem Zweck

Eine Übermittlung an einen eigenen Verantwortlichen. Sie braucht eine Rechtsgrundlage beim Absender und eine beim Empfänger. Beide sind getrennt zu bestimmen.

Weitergabe außerhalb des europäischen Wirtschaftsraums

Kapitel V der Verordnung ist einschlägig. Die Pseudonymisierung nimmt der Übermittlung diesen Charakter nicht ohne Weiteres, denn maßgeblich ist, ob die empfangende Stelle die Zuordnung nach allgemeinem Ermessen herstellen könnte.

So unterstützen wir Sie bei Ihrem Forschungsvorhaben

Die vier Fragen gehören in den Antrag und nicht in die Umsetzung, weil sie dort noch Gestaltungsspielraum haben. Gebraucht wird eine Tabelle mit einer Zeile je Datenfluss, in der Herkunft, Rechtsgrundlage, Rolle des Empfängers und Grad der Pseudonymisierung stehen. Aus ihr ergeben sich Teilnehmendeninformation, Vereinbarung und die Antwort an die Ethikkommission. Erstellt wird sie am besten, solange der Konsortialvertrag noch verhandelt wird.

Häufige Fragen

Gelten die Betroffenenrechte im Forschungsvorhaben uneingeschränkt?

Nicht zwingend. Art. 89 Abs. 2 DSGVO erlaubt dem Unions- und dem mitgliedstaatlichen Gesetzgeber Ausnahmen von den Art. 15, 16, 18 und 21 DSGVO, soweit die Rechte die Zwecke unmöglich machen oder ernsthaft beeinträchtigen würden. Ob eine solche Ausnahme besteht, richtet sich nach dem Recht des jeweiligen Landes und ist vor der Zusage an die Ethikkommission zu klären.

Wann ist eine Folgenabschätzung nötig?

Regelmäßig bei umfangreicher Verarbeitung besonderer Kategorien nach Art. 35 Abs. 3 Buchst. b DSGVO, also in vielen medizinischen und sozialwissenschaftlichen Vorhaben. Sie ist vor der Verarbeitung durchzuführen und gehört damit in die Antragsphase und nicht in die Umsetzung.

Was gilt bei Partnern außerhalb des europäischen Wirtschaftsraums?

Kapitel V der Verordnung ist einschlägig, beginnend mit Art. 44 DSGVO. Der Umstand, dass Daten pseudonymisiert übermittelt werden, nimmt der Übermittlung diesen Charakter nicht ohne Weiteres. Nach dem EuGH kommt es darauf an, ob die empfangende Stelle die Zuordnung nach allgemeinem Ermessen herstellen könnte.

Weitere Fragen aus diesem Bereich

Kontaktieren Sie uns!

Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!

Kontakt aufnehmen

Alternativ können Sie um einen Rückruf bitten.