Neven Josipovic Vortrag SW

Datenverarbeitung in der Forschung zum autonomen Fahren

windrader 1048981 960 720

Ausgehend von einer Reihe wissenschaftlicher Vorhaben im Bereich des autonomen Fahrens entstand am Institut für Nachrichtentechnik im Verbund mit anderen Instituten der TU Braunschweig und möglichen externen Partnern der Bedarf zur Erstellung einer Forschungsdatensammlung mit dem Ziel der Forschung an Perzeptionsverfahren des autonomen Fahrens. In einem Projekt (hier geht es zur Leseprobe, hier zur Publikation [1]) habe ich die Voraussetzungen gemäß niedersächsischem und europäischem Datenschutzrecht und die zu treffenden Schutzvorkehrungen geprüft. Der folgende Beitrag stellt eine Zusammenfassung der Ausgangslage, der Fragestellungen und der erzielten Befunde dar. Der Schwerpunkt liegt dabei auf den allgemeinen Voraussetzungen für die Verarbeitung personenbezogener Daten zu Forschungszwecken gemäß § 13 I 1 NDSG i. V. m. den Anforderungen der DS-GVO.

I. Ausgangslage und Fragestellung

Den Anstoß zur Auseinandersetzung mit den Anforderungen den niedersächsischen Datenschutzrechts lieferte eine Forschungsdatensammlung zur Forschung an autonomen Fahrzeugen. Dabei sollen Forschungsfahrzeuge mittels Radar-, Lidar- und Kamera-Sensoren Umgebungsdaten und über weite Strecken erfassen und auch in urbanen Räumen fahren.

Während bei Radar- und Lidar-Daten ein Personenbezug im Regelfall nicht herstellbar ist, stehen bei fortgeschrittenen Forschungsfragen zum autonomen Fahren notwendigerweise auch Bild- und Video-Daten im Fokus. Ein wesentlichen Ziel liegt etwa darin, Entscheidungsgüte von Fahrfunktionen über eine Fußgänger-Intentionserkennung zu verbessern. Hier liegt eine wesentliche Komponente für das Gelingen autonomer Fahrfunktionen im Praxiseinsatz.

Vor dem Hintergrund war zu klären, welche datenschutzrechtlichen Anforderungen bei der Forschungsdatensammlung zu beachten sind. Sie ergeben sich aus § 13 des Niedersächsischen Datenschutzgesetzes (NDSG) in Verbindung mit der europäischen Datenschutz-Grundverordnung (DS-GVO). Das erste Teilziel lag darin, den Bedeutungsgehalt von § 13 I 1 NDSG zu bestimmen und die Konformität des Auslegungsergebnisses mit höherrangigem Recht – namentlich dem Bundesdatenschutzgesetz, dem Grundgesetz und der DS-GVO – zu prüfen. Anschließend wurden Folgerungen für das an der TU Braunschweig geplante Forschungsvorhaben angestellt.

II. Die Voraussetzungen

Gemäß § 13 I 1 NDSG dürfen öffentliche Stellen personenbezogene Daten einschließlich Daten im Sinne des Artikels 9 Abs. 1 der Datenschutz-Grundverordnung für ein bestimmtes wissenschaftliches oder historisches Forschungsvorhaben verarbeiten oder an andere Stellen zu diesem Zweck übermitteln, wenn die Art und Verarbeitung der Daten darauf schließen lassen, dass ein schutzwürdiges Interesse der betroffenen Person der Verarbeitung der Daten für das Forschungsvorhaben nicht entgegensteht oder das öffentliche Interesse an der Durchführung des Forschungsvorhabens das schutzwürdige Interesse der betroffenen Person überwiegt.

1. Bedeutungsgehalt von § 13 I 1 NDSG

Die Auslegung der Vorschrift ergibt im Wesentlichen, dass die Verarbeitung von personenbezogenen Daten durch öffentliche Stellen des Landes Niedersachsen gemäß § 13 I 1 NDSG im Rahmen individueller Projekte zur Beantwortung spezifizierter wissenschaftlicher Fragestellungen zulässig ist, wenn dabei im Einzelfall gewährleistet ist, dass der durch die Datenverarbeitung erfolgende Grundrechtseingriff verhältnismäßig ist. Dass in § 13 NDSG nicht explizit von der Wahrung von Grundrechten, sondern vom „schutzwürdigen Interesse“ die Rede ist, bedeutet nicht, dass ein verminderter Prüfungsumfang vertretbar ist.
Damit die Datenverarbeitung durch öffentliche Stellen zu Forschungszwecken verfassungskonform ist, bedarf es gemäß der vom Bundesverfassungsgericht aufgestellten Anforderungen zunächst einer gesetzlichen Grundlage. Sie ist in § 13 NDSG zu finden. Zur Wahrung des Grundrechts auf informationelle Selbstbestimmung ist außerdem die Verhältnismäßigkeit der Datenverarbeitung im jeweiligen Forschungsvorhaben zu prüfen.

2. Verhältnismäßigkeit der Datenverarbeitung

Damit die Datenverarbeitung auf Grundlage von § 13 NDSG verhältnismäßig ist, muss mit dem jeweiligen Forschungsprojekt ein legitimer Zweck verfolgt werden. Das Forschungsvorhaben muss außerdem geeignet sein, den Zweck zu erreichen. Weiterhin darf es kein milderes Mittel geben, den Zweck zu erreichen (Erforderlichkeit). Zuletzt hat die Verarbeitung der personenbezogenen Daten verhältnismäßig im engeren Sinne zu sein. Die Datenverarbeitung muss für den Einzelnen zumutbar sein und in einem vernünftigen Verhältnis zu den ihm und der Allgemeinheit erwachsenden Vorteilen stehen (BVerfGE 38, 281-312 = NJW 1975, 1266). Zu prüfen ist, ob bei einer Gesamtabwägung zwischen der Schwere des Eingriffs und dem Gewicht und der Dringlichkeit der ihn rechtfertigenden Gründe die Grenze der Zumutbarkeit gewahrt bleibt (BVerfGE 83, 1-24 = NJW 1991, 557). Das Gebot der Angemessenheit erfordert folglich eine Abwägung zwischen dem Nutzen der Maßnahme und den durch die Maßnahmen herbeigeführten Beeinträchtigungen und setzt dem Ergebnis eine Grenze (Grzeszick, in: Maunz/Dürig, GG Art. 20 Rn. 117).

3. Vereinbarkeit mit der DS-GVO

Die unionsrechtlichen Vorgaben der DS-GVO sind so zu verstehen, dass bei der Datenverarbeitung zu wissenschaftlichen Forschungszwecken der geringstmögliche Grundrechtseingriff zur Beantwortung der jeweiligen Forschungsfrage anzustreben ist. Bei den Grundsätzen des Art. 5 DS-GVO ist aber nicht eindeutig, ob sie (nur) Vorkehrungen für die Datenverarbeitung darstellen, oder (auch) Voraussetzungen für ihre Rechtmäßigkeit. Es deutet sich an, dass sie in der Hinsicht Unschärfen aufweisen, dass sie Tatbestands- und Rechtsfolgenseite vermengen. Die Grundsätze sind gleichzeitig auch Pflichten des Verantwortlichen (Art. 5 II DS-GVO).

Eine Voraussetzung für die Zulässigkeit der Datenverarbeitung ist, dass bereits aus der gemäß § 13 I 1 NDSG zu erstellenden Projekt- bzw. Vorhabenbeschreibung hervorgeht, dass die datenschutzrechtlichen Grundsätze beachtet werden bzw. warum ihre Beachtung vor dem Hintergrund des jeweiligen Forschungszwecks nicht (vollumfänglich) möglich ist.

III. Rechtsfolge. Vorkehrungen bei der Datenverarbeitung

Für den Fall, dass die Verarbeitung personenbezogener Daten zu Forschungszwecken rechtmäßig ist, stellt sich die Frage, welche Maßnahmen und Vorkehrungen zu treffen sind. Vorschriften über bei der Datenverarbeitung zu treffende Vorkehrungen finden sich in den §§ 13 II und 17 II, III NDSG und Art. 5, 25 und 32 DS-GVO.

§ 13 II NDSG regelt, dass personenbezogene Daten von der Forschungseinrichtung zu anonymisieren sind, sobald es nach dem Forschungszweck möglich ist. Bei der Verarbeitung besonderer Kategorien personenbezogener Daten sind ergänzend die in § 17 II NDSG aufgeführten Maßnahmen zu treffen. Unter anderem ist sicherzustellen, dass nachträglich festgestellt werden kann, ob und von wem personenbezogene Daten verarbeitet worden sind. Weiterhin sind die Befugnisse für den Zugriff auf die personenbezogenen Daten auf das erforderliche Maß zu beschränken und Personen, die Zugang zu den personenbezogenen Daten haben, für den Umgang mit ihnen zu sensibilisieren. Der Verantwortliche hat im Fall besonderer personenbezogener Daten ergänzend zu den Vorkehrungen des § 17 II NDSG weitere angemessene und spezifische Maßnahmen gemäß § 17 III NDSG durchzuführen, soweit es zum Schutz besonderer Kategorien personenbezogener Daten angemessen und erforderlich ist.

Aus Art. 5 DS-GVO folgt, dass die im jeweiligen Forschungsvorhaben vorgesehenen Vorkehrungen in der Gesamtschau so ineinandergreifen müssen, dass die datenschutzrechtlichen Grundsätze beachtet werden. Gemäß Art. 25 DS-GVO ist zu gewährleisten, dass bereits durch entsprechende Voreinstellungen nur personenbezogene Daten verarbeitet werden, die für den jeweiligen Zweck erforderlich sind. Dabei sind u. a. der Stand der Technik, die Implementierungskosten und die Risiken für die betroffenen natürlicher Personen zu berücksichtigen. Die Maßnahmenliste nach Art. 32 I 2 DS-GVO enthält mit der Pseudonymisierung und der Verschlüsselung von Daten zwei konkrete informationstechnische Instrumente. Sie gibt darüber hinaus Ziele des Informationssicherheitsmanagements als Ganzes vor. Im Einzelfall ist unter Berücksichtigung der Risiken für Betroffene abzuwägen, ob der jeweilige Zweck rechtfertigt, einzelne der in Art. 32 DS-GVO aufgeführten Maßnahmen nicht umzusetzen.

IV. Rechte Betroffener bei der Datenverarbeitung zu Forschungszwecken

Die DS-GVO und das NDSG räumt Betroffenen grundsätzlich Rechte ein, um gegen eine Verarbeitung auf sie bezogener Daten vorzugehen. Sofern die Inanspruchnahme der Rechte voraussichtlich die Verwirklichung des jeweiligen wissenschaftlichen Forschungszwecks unmöglich macht oder ernsthaft beeinträchtigt, besteht die Möglichkeit, Rechte zu beschränken. Das betrifft gemäß § 13 V NDSG die Rechte aus den Artikeln 15, 16, 18 und 21 DS-GVO und gemäß Art. 17 III DS-GVO das Recht auf Löschung. Werden aufgrund von Vorschriften des NDSG, der DS-GVO oder aufgrund anderer datenschutzrechtlicher Bestimmungen Rechte der betroffenen Person beschränkt, so haben die Verantwortlichen die Gründe dafür zu dokumentieren (§ 11 NDSG).

V. Fazit

Um Fahrfunktionen zu erproben und Algorithmen auf den selbständigen Betrieb im Straßenverkehr vorzubereiten, ist es nötig, Videodaten – und somit personenbezogene Daten – im öffentlichen Straßenraum zu erfassen. Die Rechtmäßigkeit der Forschungsdatensammlung regelt in Niedersachsen § 13 I 1 NDSG. Der durch die Datenverarbeitung erfolgende Grundrechtseingriff muss danach verhältnismäßig sein. Die schutzwürdigen Interessen und Grundrechte Betroffener sind gegen die Forschungsfreiheit gemäß Art. 5 III GG und ein mögliches überwiegendes Allgemeininteresse an dem Forschungsvorhaben abzuwägen. Ergänzend sind Vorschriften der DS-GVO zu beachten, insbesondere die datenschutzrechtlichen Grundsätze nach Art. 5 DS-GVO. Bei der Datenverarbeitung selbst müssen grundsätzlich Sicherheitsvorkehrungen gemäß den §§ 13, 17 NDSG und den Art. 25, 32 DS-GVO umgesetzt werden. Ausnahmen bestehen für Forschungsvorhaben unter anderem, wenn sich abzeichnet, dass die Vorkehrungen den Forschungszweck konterkarieren würden.

 


 

Endnoten

[1] Josipovic, Datenschutzrecht in der öffentlichen Forschung zum autonomen Fahren am Beispiel einer Forschungsdatensammlung in Niedersachsen, Berlin 2020

Bild von Free-Photos auf Pixabay