Hinweise zum Datenschutzrecht bei Datenverarbeitung für Forschungszwecke nach der Datenschutzgrundverordnung

Transkript

1 Hinweise zum Datenschutzrecht bei Datenverarbeitung für Forschungszwecke nach der Datenschutzgrundverordnung - Georg Sandberger - I. Vorbemerkung Am 25. Mai 2018 tritt die Europäische Datenschutzgrundverordnung- DS-GVO in Kraft. 1 Als unmittelbar geltendes Recht im Bereich der Europäischen Union verwirklicht sie das in Art. Art. 2 Abs. 1 i.v.m. 1 Abs. 1 des Grundgesetzes sowie Art. 3, 7 und 8 der Grundrechte- Charta verankerte Recht auf informationelle Selbstbestimmung. Sie löst das bis dahin geltende für Universitäten in Baden-Württemberg geltende Landesdatenschutzgesetz, für nicht staatliche Forschungseinrichtungen und Unternehmen geltende Bundesdatenschutzgesetz ab. Die DS-GVO enthält eine Weiterentwicklung der Europäischen Datenschutzrichtlinie, die das bisherige Datenschutzrecht in den Mitgliedstaaten harmonisiert hat. Die DS-GVO folgt im Wesentlichen den gleichen Prinzipien wie das Datenschutzrecht des BDSG und LDSG. Normadressaten sind sowohl öffentliche wie private datenverarbeitende Stellen. Eine ergänzende Regelung durch das Landes- oder Bundesrecht ist nur in dem von der DS-GVO ausdrücklich zugelassenen Rahmen möglich. Für Universitäten und Universitätsklinika des Landes Baden-Württemberg ist neben der DS- GVO das an diese angepasste Landesdatenschutzgesetz, für außeruniversitäre Einrichtungen und nicht staatliche Klinika ergänzend das Datenschutzanpassungsgesetz des Bundes maßgeblich. 2 II. Voraussetzungen zulässiger Datenverarbeitung für Forschungszwecke 1. Datenschutzgrundsätze, allgemeine Voraussetzungen, Voraussetzungen für Forschungszwecke a) Definitionen Personenbezogene Daten sind nach der Definition des Art. 4 Nr. 1 DS-GVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden betroffene Person ) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann 1 VERORDNUNG (EU) 2016/679 DES EUROPÄISCHEN PARLAMENTS UND DES RATES vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. L 119/1 v Datenschutz- Anpassungs- und Umsetzungsgesetz- EU- DS- AnpUG- EU v. 5. Juli 2017, BGBl. I, S Für Baden- Württemberg liegt derzeit nur ein Anhörungsentwurf eines Gesetzes zur Anpassung des allgemeinen Datenschutzrechts und sonstiger Vorschriften an die Verordnung (EU) 2016/679 vom Vor, abrufbar unter wuerttemberg.de/fileadmin/redaktion/beteiligungsportal/im/171214_gesetzentwurf-neufassung- Landesdatenschutzgesetz.pdf 1

2 Als Verarbeitung bezeichnet Art. 4 Nr.2 DS- GVO jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung b) Zulässigkeitsvoraussetzungen Art. 5 DS-GVO nennt als Prinzipien einer Verarbeitung personenbezogener Daten 1) die Rechtmäßigkeit, die Verarbeitung nach Treu und Glauben, und die Transparenz, 2) die Zweckbindung, 3) die Speicherbegrenzung und 4) die Rechenschaftspflicht. Gemäß Art. 6 Abs. 1 a DS-GVO ist die Datenverarbeitung nur dann rechtmäßig, wenn die betroffene Person ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben hat oder einer der in Art. 6 Abs. 1 b- f DS- GVO genannten gesetzlichen Erlaubnistatbestände vorliegt. Die Verarbeitung besonders sensitiver Daten, dazu gehören genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheits-daten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person, ist nach Art. 9 Abs.2 a DS- GVO nur dann erlaubt, wenn die betroffene Person in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt hat oder einer der Erlaubnistatbestände des Art. 9 Abs.2 lit. b-j vorliegen. Für den Bereich der im öffentlichen Interesse liegenden Forschung ermächtigt Abs.2 j DS- GVO die Mitgliedstaaten zu einer gesetzlichen Erlaubnis, soweit sie gewährleistet, dass die Verarbeitung personenbezogener Daten zur Verfolgung des Forschungszwecks erforderlich ist, in einem angemessenem Verhältnis zu dem verfolgten Ziel steht, der Wesensgehalt des Rechts auf Datenschutz gewahrt wird und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorgesehen werden. 3 Der Begriff Wissenschaftliche Forschungszwecke im Sinne dieser Verordnung soll nach Präambel 159 zur DS-GVO weit ausgelegt werden und die Verarbeitung für beispielsweise die technologische Entwicklung und die Demonstration, die Grundlagenforschung, die angewandte Forschung und die privat finanzierte Forschung einschließen. 9 Abs.2 lit. h und i DS- GVO sehen weitere Erlaubnistatbestände für die Datenverarbeitung im Bereich der Gesundheitsvorsorge und Krankenversorgung sowie des Arzneimittel- und Medizinprodukterechts unter der Voraussetzung angemessener und spezifischer Maßnahmen zur Wahrung der Rechte und Freiheiten der betroffenen Person, insbesondere des Berufsgeheimnisses, vor. Zumindest für die Ersterhebung von Daten für wissenschaftliche Zwecke behält die Einwilligung für die Wissenschaft weiterhin einen zentralen Stellenwert und bildet eine wesentliche Grundlage, besonders auch für die Verarbeitung besonderer Kategorien (sensibler) personenbezogener Daten, die für die medizinische und sozialwissenschaftliche Forschung am Menschen besonders relevant sind. 2. Anforderungen an eine wirksame Einwilligungserklärung 3 Umgesetzt durch 27 Datenschutz- Anpassungs- und Umsetzungsgesetz- EU- DS- AnpUG- EU v. 5. Juli 2017, BGBl. I, S.2097, vorgesehen in 13 des b.w. Gesetzesentwurfes, vgl. Fn.2 2

3 Nach der DS-GVO ist die Einwilligung jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist (Art. 4 Abs. 1 DS-GVO). Es ist also wesentlich, dass die Einwilligung freiwillig und widerruflich, informiert sowie auch explizit erfolgt. a) Freiwilligkeit und Widerrufbarkeit Eine zentrale Voraussetzung für eine wirksame Einwilligung ist deren Freiwilligkeit. Dies bedeutet, dass die Einwilligung frei von Zwang und Druck abgegeben wird und dem Betroffenen keine unangemessenen Nachteile drohen, wenn er nicht einwilligt. Er muss in der Lage sein, eine echte Wahl zu treffen ob, wie viel und wem er die Datennutzung gestattet. Aus der gebotenen Freiwilligkeit folgt, dass die Einwilligungserklärung jederzeit widerrufen werden kann. Der Widerruf entfaltet seine Wirkung allerdings nur für die Zukunft. Bereits erfolgte Verarbeitungen personenbezogener Daten, die auf Basis einer wirksamen Einwilligung erfolgt sind, werden vom Widerruf nicht berührt. b) Informiertheit Damit die Einwilligung tatsächlich informiert erfolgt, muss sie transparent und verständlich gestaltet sein und muss über den Zweck und die Konsequenzen der Einwilligung unterrichten. Der Betroffene muss nach der Lektüre der Einwilligungserklärung wissen (können), wer... welche seiner Daten zu welchem Zweck nutzen möchte. ( Präambel Nr. 42 zur DS-GVO). Es muss also aufgeführt sein, wer (genau) die Daten nutzen darf, welche Daten er zu welchem Zweck nutzen darf, ob und an wen genau die Daten weitergegeben werden dürfen und wie lange die Nutzung andauern soll. In der Einwilligungserklärung muss damit nach wie vor über die konkrete Verarbeitung, z.b. die dauerhafte Archivierung in einem Register oder auch eine spätere Nutzung durch andere Wissenschaftler, aufgeklärt werden. 3. Zweckbindung Wie bisher gehört die Zweckbindung der erhobenen Datennach Art. 5 Abs.1 b DS-GVO zu den Grundsätzen des Datenschutzrechtes. Insbesondere sollten die bestimmten Zwecke, zu denen die personenbezogenen Daten verarbeitet werden, eindeutig und rechtmäßig sein und zum Zeitpunkt der Erhebung der personenbezogenen Daten feststehen. Die personenbezogenen Daten sollten für die Zwecke, zu denen sie verarbeitet werden, angemessen und erheblich sowie auf das für die Zwecke ihrer Verarbeitung notwendige Maß beschränkt sein. ( Präambel Nr.39 zur DS- GVO) Die Verarbeitung personenbezogener Daten für andere Zwecke als die, für die die personenbezogenen Daten ursprünglich erhoben wurden, sollte nur zulässig sein, wenn die Verarbeitung mit den Zwecken, für die die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist. In diesem Fall ist keine andere gesonderte Rechtsgrundlage erforderlich als diejenige für die Erhebung der personenbezogenen Daten. ( Präambel zur DS- GVO Nr. 50). Soweit der Zweck der Verarbeitung personenbezogener Daten für Zwecke der wissenschaftlichen Forschung zum Zeitpunkt der Erhebung der personenbezogenen Daten nicht vollständig angegeben werden kann, soll es den betroffenen Personen erlaubt sein, ihre Einwilligung für bestimmte Bereiche wissenschaftlicher Forschung zu geben, wenn dies unter Einhaltung der anerkannten ethischen Standards der wissenschaftlichen Forschung geschieht. 3

4 Die betroffenen Personen sollten Gelegenheit erhalten, ihre Einwilligung nur für bestimme Forschungsbereiche oder Teile von Forschungsprojekten in dem vom verfolgten Zweck zugelassenen Maße zu erteilen. ( Präambel Nr. 33 zur DS-GVO). Für die Weiterverarbeitung für Forschungszwecke erhobener personenbezogener Daten geht Art. 5 1 b DS- GVO von einer Vereinbarkeit mit dem ursprünglichen Verwendungszweck aus, sodass es keiner ergänzenden Vereinbarung bedarf. Dies betrifft dann insbesondere die Nachnutzung von Daten, die zu anderen Zwecken erhoben wurden und die wissenschaftlich weiterverarbeitet werden können. 4. Speicherdauer, technische Schutzmaßnahmen Nach Art. 5 Abs.1 e DS- GVO müssen personenbezogene Daten in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist. Soweit wissenschaftliche Forschungszwecke dies erfordern, dürfen personenbezogene vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen länger gespeichert werden. Zu den technischen und organisatorischen Schutzmaßnahmen zählen neben der Datenminimierung vor allem die Pseudonymisierung, soweit dies mit den Forschungszwecken vereinbar ist, auch die Anonymisierung Art. 89 Abs. 1 DS- GVO). 5. Informationspflichten bei der Erhebung und Verarbeitung von Daten Die Grundsätze einer fairen und transparenten Verarbeitung machen es erforderlich, dass die betroffene Person über die Existenz des Verarbeitungsvorgangs und seine Zwecke unterrichtet wird. ( Präambel Nr. 60 zur DS-GVO). Die dafür erforderlichen Angaben sind in Art. 13 DS- GVO aufgeführt. Hierzu gehören sowohl Informationen über den Zweck der Verarbeitung, die Verantwortlichkeit, Kontaktdaten, Angaben über die geplante Datenweitergabe, insbesondere auch die Datenweitergabe in Länder außerhalb der EU sowie über die Rechte der betroffenen Personen, im Forschungskontext also der Rechte der Teilnehmer an wissenschaftlichen Studien. Zu den Rechten, auf die bei der Erhebung hingewiesen werden muss, gehört z.b. das Recht auf Widerruf, auf Auskunft, auf die Bereitstellung der Daten, auf Beschwerdemöglichkeiten bei den Aufsichtsbehörden wie auch auf das Recht auf Löschung der Daten ( Recht, vergessen zu werden ). Neu ist vor allem die Pflicht zur Angabe der Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters sowie der Kontaktdaten des Datenschutzbeauftragten nach Art. 13 Abs.1 a und b. Dazu zählen neben dem Sponsor der Leitende Prüfarzt und der Datenschutzbeauftragte der Prüfstelle (z. B. des Universitätsklinikums) 6. Rechte des Betroffenen Mit detaillierten Regelungen für das Auskunftsrecht des Betroffenen (Art. 15 DS-GVO ), das Recht auf Berichtigung (Art. 16), auf Löschung (Art.17), auf Einschränkung der Verarbeitung (Art. 18), der Mitteilungspflicht über Berichtigungen und Änderungen (Art. 19), dem Recht auf Datenübertragbarkeit bei Übergang zu einem anderen Daten- Verarbeiter (Art. 20) und das auch gegen Datenverarbeitung für Forschungszwecke durchsetzbaren Widerspruchsrecht (Art. 21 Abs.6), hat die DS-GVO die Rechte der Betroffenen gestärkt. Nach Art. 89 Abs.2 DS-GVO können vorbehaltlich der Bedingungen und Garantien gemäß Absatz 1 die Mitgliedstaaten insoweit Ausnahmen von diese Rechten gemäß der Artikel 15, 16, 18 und 21 vorsehen, als diese Rechte voraussichtlich die Verwirklichung der spezifischen 4

5 Zwecke unmöglich machen oder ernsthaft beeinträchtigen und solche Ausnahmen für die Erfüllung dieser Zwecke notwendig sind. 4 Damit sind aber keine Einschränkungen der allgemeinen Informationsplichten (Art. 13 DS- GVO) verbunden. Soweit die Rechte des Betroffenen in zulässiger Weise beschränkt werden dürfen, ist darauf aber in der Information des Betroffenen hinzuweisen. 7. Verhältnis zu den Vorschriften über klinische Prüfung: Die Verarbeitung personenbezogener Daten zu wissenschaftlichen Zwecken sollte auch anderen einschlägigen Rechtsvorschriften, beispielsweise für klinische Prüfungen, genügen. ( Präambel 157). Damit bleiben auch die einschlägigen Vorschriften des 40 Abs.2a AMG über den Datenschutz bei klinischen Prüfungen in Kraft. III. Zusammenfassung: Die Datenschutz-Grundverordnung folgt im Wesentlichen den gleichen Prinzipien wie das bisherige Datenschutzrecht. Zentraler Grundsatz ist, dass personenbezogenen Daten nur erhoben werden dürfen, soweit dazu eine informierte Einwilligung des Betroffenen vorliegt, die sich auf bestimmte Verarbeitungshandlungen und Verarbeitungszwecke einschließlich der Datenweitergabe an Dritte bezieht. Dies korrespondiert mit den allgemeinen Anforderungen des informed consent, die für die Behandlung von Patienten oder die Durchführung von klinischen Studien gelten. Soweit keine Einwilligung vorliegt, ist die Erhebung und Verarbeitung personenbezogener Daten an die besonderen Voraussetzungen der Art. 6 Abs.1 a-f DSGVO und für sensible Daten an die Voraussetzungen des Art. 9 Abs.2 b- j DS-GVO und des nationalen Rechts gebunden. Für die Verarbeitung besonderer Daten in der Forschung ohne Zustimmung des Betroffenen ist Art. 9 Abs.2 j DSGVO in Verbindung mit der mitgliedstaatlichen Regelung, hier des LDSG bzw. DS-AnpUG-EU, maßgeblich, der die Zulässigkeit an besondere technische und organisatorische Schutzvorkehrungen zugunsten des Betroffenen bindet. Die DS-GVO stärkt den Grundsatz der Zweckbindung und Begrenzung der Speicherdauer von Daten. Für die Forschung sieht Art. 5 Abs.1 b DS-GVO aber bei Weiterverarbeitung zulässig erhobener Daten eine Privilegierung vor. Gleiches gilt für die Speicherdauer (Art. 5 Abs.1 b). Forschung mit personenbezogenen Daten unterliegt geeigneten Garantien für die Rechte und Freiheiten der betroffenen Person. Dazu gehört neben der Datenminimierung vor allem die Pseudonymisierung und - soweit mit dem Forschungszweck vereinbar - Anonymisierung (Art. 89 Abs.1 DS-GVO). Die DS-GVO verstärkt die Rechte der Betroffenen. Die Zulässigkeit der Datenerhebung ist nach Art. 13 DS-GVO mit einer Pflicht zur Information des Betroffenen z.b. das Recht auf Widerruf, Auskunft, die Bereitstellung der Daten, Beschwerdemöglichkeiten bei den Aufsichtsbehörden wie auch das Recht auf Löschung der Daten ( Recht, vergessen zu werden ) verbunden. 4 Umgesetzt durch 27 Datenschutz- Anpassungs- und Umsetzungsgesetz- EU- DS- AnpUG- EU v. 5. Juli 2017, BGBl. I, S.2097, vorgesehen in 13 des b.w. Gesetzesentwurfes, vgl. Fn.2. 5

6 Das Auskunftsrecht des Betroffenen (Art. 15 DS-GVO ), das Recht auf Berichtigung (Art. 16), auf Löschung (Art.17), auf Einschränkung der Verarbeitung (Art. 18), der Mitteilungspflicht über Berichtigungen und Änderungen (Art. 19), das Recht auf Datenübertragbarkeit bei Übergang zu einem anderen Dienstleister (Art. 20) und das auch gegen Datenverarbeitung für Forschungszwecke durchsetzbaren Widerspruchsrecht (Art. 21 Abs.6) kann durch die Mitgliedstaaten beschränkt werden, soweit dies zur Erfüllung des Forschungszwecks unumgänglich ist. IV. Auswirkungen für klinische Prüfungen, Verfahren der Ethikkommission Die für klinische Prüfungen erforderlichen Datenschutzhinweise und Einwilligungserklärungen sind diese Anforderungen anzupassen. Entsprechende Muster liegen zum Abruf vor. Verantwortlich ist bei AMG-Prüfungen dafür der Sponsor, bei eigeninitiierten klinischen Prüfungen die initiierende Stelle. Bei BO- Studien ist der verantwortliche Prüfarzt zuständig. Die Ethik-Kommission sollte die Antragstellenden darauf hinweisen, dass die Antragstellenden durch die Einbeziehung der Ethik-Kommission nicht von ihrer eigenen rechtlichen Verantwortung in den unterschiedlichen Bereichen entbunden werden. Datenschutzrechtliche Fragen sind zwar Bestandteil der von der Ethik-Kommission zu prüfenden Kriterien, die Ethik-Kommission hat aber keine genuinen datenschutzrechtlichen Kompetenzen. Anhang: Synopsen der Regelungen bisher- neu 6

7 Synopse: LDSG-BDSG alt DS-GVO BDSG-LDSG neu materielle Vorschriften Verarbeitungsart LDSG BDSG DS-GVO LDSG/ BDSG neu Erheben Speichern/ Nutzen Weiterverarbeiten Übermitteln Veröffentlichen Mit Einwilligung bzw. 13 Abs.3 Nr.2. Bei Dritten 13 Abs. 4 i.v. 15 Abs.2 Nr.1-6 bzw. 13 Abs.4 Nr.2, 35 Abs.1 Für ursprüngliche Zwecke 15 Abs.1 für andere Zwecke 15 Abs.2 und Abs. 3 für eigener Forschung, 35 Abs.2: Sobald möglich Anonymisierung, vorher Pseudonymisierung Innerhalb des öffentlichen Bereichs für Zwecke der Forschung, 16 Abs.1 Nr.2 i. V. mit 15 Abs.3 und 19 Abs.1 An Stellen außerhalb des öffentlichen Bereichs 18 Abs.1 Nr.2 i.v. mit 19 Abs.2 In Drittländer: Abs.3, Grundsatz anonym 13 Art. 5 Abs.1 a, 6 Abs.1 a, 9 Abs. 2a DS-GVO: Einwilligung. Ausnahmen nach Art. 6 I b-f,6 IV, a- e, 9 Abs.2 b-j 14, Sonderregelung für Forschung 40 Zweckbindung für Forschungsdaten Sobald möglich Anonymisierung, vorher Pseudonymisierung 15, 16: Innerhalb des öffentlichen Bereichs für Zwecke der Forschung, 15 i.v. mit 14 Abs.2 Nr.9 Außerhalb des öffentlichen Bereichs unter Voraussetzung des 16 Abs.1 Nr.2, Zweckbindung für Dritten 40 Abs.3, Grundsatz anonym Grundsatz Zweckbindung, Art.5 1 b, Art. 6 1a, modifiziert durch Art. Art. 5 I b, Art. 89 für Forschung, Art. 6 IV a-e Art. 9 2 b-j Art. 5 Abs.1 b, 9 Abs.2a -j Übermittlung an Drittländer: Art.44 ff.- Prüfung gleichen Datenschutzniveaus bzw. nach Art. 49 bei Vereinbarung mit bzw. im Interesse der betroffenen Person 4 LDSG 22 BDSG i.v. mit Art. 9 für Forschung 27 BDSG, 13 LDSG 23, 24 i.v. mit Art.9 BDSG, für Forschung 27 BDSG 5, 6 LDSG, für Forschung 13 LDSG 25 BDSG 6 LDSG, für Forschung: 13 LDSG, 27 BDSG 13 Abs.3 LDSG, 27 Abs.4 BDSG 7

8 Synopse: LDSG-BDSG alt DS-GVO BDSG-LDSG neu Verfahrensvorschriften Rechte des Betroffenen Informationspflicht bei Datenerhebung LDSG DS-GVO LDSG- BDSG neu 14: Umfang Abs.1 u.2 Einschränkung bei Datenerhebung ausschließlich für Zwecke wissenschaftlicher Forschung, Abs.3 Nr.7 Art. 13, 14, Einschränkungen nach Maßgabe Art. 23, bei Forschung nach Art. Art. 14 Abs. 5 b 8 32, 33 BDSG Auskunft 21, Ausnahmen Abs.3 Art.15, Einschränkung nach Maßgabe Art. 23, bei Forschung Art. 89 Abs.2 Berichtigung 22 Art.16, Ausnahme, Art.23, bei Forschung Art.89 Abs.2 Löschung Sperrung 23, 24 Art. 17, Ausnahme Art. 23, bei Forschung Art. 89 Abs.2 Art.18, Ausnahme Art.23, bei Forschung Art.89 Abs.2 9, bei Forschung 13 Abs.4, 34 BDSG, bei Forschung 27 Abs.2 BDSG 13 Abs.4, bei Forschung 27 Abs.2 BDSG 10, 35 BDSG, bei Forschung 13 Abs.4, 27 Abs.2 BDSG 13 Abs.4 Widerspruchsrecht Art.21, Ausnahme Art. 89 Abs.2 13 Abs.4, 36 BDSG Schadensersatz 25 Art BDSG 8