Spannungsfeld Datenschutz

Herr Schwarzengegger, die Universität hat den Bereich Recht und Datenschutz aufgebaut. Mit welcher Zielsetzung?


Christian Schwarzenegger: Die Universität Zürich will Forschung auf höchstem Niveau an vorderster Front ermöglichen. Gleichzeitig haben wir auch ein Interesse, dass wir uns im Rahmen des bestehenden Rechts korrekt und angemessen verhalten. Mit der steigenden Bedeutung von Daten in der Forschung steigen auch die Herausforderungen in diesem Bereich. Aufgabe des Datenschutzes ist es, die Forscherinnen und Forscher zu beraten, Abläufe zu standardisieren und, wenn möglich, zu vereinfachen. Die Abteilung ist für eine Schweizer Universität einmalig und Zeichen dafür, dass wir das Thema Datenschutz ernst nehmen.

Herr Weniger, wie ist die Resonanz auf Ihre Arbeiten?

Robert Weniger: Gut, unsere Dienstleistungen sind gefragt. Neben der Kontrollfunktion üben wir auch eine Beraterfunktion aus. Insbesondere aus dem Forschungsbereich erhalten wir immer mehr Anfragen zur datenschutzrechtlichen Prüfung. Unsere oberste Prämisse ist es, den Forschenden innerhalb des gültigen rechtlichen Rahmens die optimale Unterstützung zu bieten. Dazu erarbeiten wir erstens ein Reglement zum datenschutzkonformen Vorgehen bei Forschungs-vorhaben. Zweitens erstellen wir Arbeitshilfen für die datenschutzkonforme Planung und Durchführung von Forschungsvorhaben. Drittens arbeiten wir am Abbau administrativer Hürden.

Wir haben zum Beispiel festgestellt, dass in Projekten, die unter das Humanforschungsgesetz (HFG) fallen, drei kantonale Stellen eine datenschutzrechtliche Prüfung vornehmen: wir von der UZH, die Kantonale Ethikkommission (KEK) und zusätzlich der Datenschutzbeauftragte des Kantons. Hier geht es darum, einen praktikablen Weg zwischen den Akteuren zu finden.

Schwarzenegger: Das Beispiel ist erhellend: Es ergibt keinen Sinn, wenn drei Prüfungsinstanzen die gleichen Fragen prüfen. Es gibt für den Datenschutz ebenso wie für den Ethikbereich einen gewissen Ermessungsspielraum, den man meiner Meinung nach in Richtung Forschungsfreiheit auslegen sollte. Wir prüfen nun, wie der administrative Aufwand für die Beteiligten minimiert werden kann.

Was sagen Sie aus der Sicht des Forschers zum Datenschutz?

Milo Puhan: Für uns ist es am wichtigsten, dass wir im Dialog mit dem universitären Datenschützer stehen und bei Bedarf Hilfe bekommen. Als Nichtjuristen können wir im Einzelfall oft nicht genau beurteilen, was rechtens ist und was nicht. Das Feedback bei der Vorbereitung eines For­ schungsprojekts ist sehr wichtig.

Wie sehen die rechtlichen Leitplanken aus?

Schwarzenegger: Verfassungsrechtlich wird auf der einen Seite die Persönlichkeitssphäre der Menschen geschützt; der Schutz vor Missbrauch von Daten ist in Artikel 13, Abs. 2 der Bundesverfassung verankert. Auf der anderen Seite garantiert die Verfassung laut Artikel 20 auch die Forschungsfreiheit. Forschende haben somit einen Anspruch darauf, dass sie in ihrer Arbeit möglichst wenig behindert werden.

Weniger: Daraus ergibt sich die Notwendigkeit einer Interessensabwägung. Es steht ausser Frage, dass Personendaten für Forschungsprojekte häufig unentbehrlich sind. Ebenso kommen die Ergebnisse in vielen Fällen den Bürgerinnen und Bürgern wieder zugute. Das bedeutet aber nicht, dass die Wissenschaft uneingeschränkten Zugang zu Personendaten verlangen kann. Es gibt im Schweizer Recht keine Verpflichtung, der Gesellschaft die eigenen Personendaten zur Verfügung zu stellen, wir sprechen von Sozialpflichtigkeit.

Puhan: In der Medizin ist dieser Aspekt von grosser Bedeutung. Das Gesundheitssystem in der Schweiz beruht auf dem Solidaritätsprinzip, und daraus liesse sich ableiten, dass persönliche Gesundheitsdaten, von denen Individuen profitieren, auch der Gemeinschaft zur Verfügung gestellt werden, wenn es allen etwas bringen kann. Darüber diskutieren wir in unserem Institut häufig.

Weniger: An diesem Beispiel zeigt sich, dass Abwägungen erforderlich sind. Grundsätzlich gilt das Recht auf informationelle Selbstbestimmung. Jede Person kann selbst über die Preisgabe und Verwendung ihrer Daten bestimmen.

Gibt es ein Spannungsfeld zwischen dem Recht auf Forschungsfreiheit und dem Recht auf Datenschutz?

Weniger: Dieses Spannungsfeld gibt es in der Tat, und die Diskussion dazu wird teils sehr kontrovers und mit pauschalen Vorwürfen geführt. Zum Beispiel wenn gesagt wird, der Datenschutz blockiere die Forschung oder er vertreibe die Forschenden ins Ausland. Diese Kritik halte ich für unangemessen.

Schwarzenegger: Ich würde auch sagen, dass es ein Spannungsfeld gibt. Die Forschung basiert immer mehr auf Daten, und viele Disziplinen brauchen Personendaten, zum Teil sogar besonders schützenswerte Personendaten.

Puhan: Es gibt bestimmt ein Spannungsfeld, aber ich persönlich erlebe die Situation nicht als problematisch. Der gesellschaftliche Kontext bestimmt nach Massgabe des Datenschutzes den Ermessungsspielraum, in dem man sich bewegen kann. Es ist nicht so schwarz­weiss, wie es manchmal dargestellt wird. Ich habe dank unserer zahlreichen Projekte viel Einblick in diese Diskussionen. Meistens lassen sich Probleme im Gespräch mit dem Datenschutz oder der Ethikkommission lösen.

Wo liegen die Herausforderungen?

Weniger: Zwei Prinzipien sorgen für Klärungsbedarf. Erstens die Zweckbindung: Sie besagt, dass Daten grundsätzlich nur für den Zweck genutzt werden dürfen, für den sie erhoben worden sind. Hier können sich datenrechtliche Hindernisse ergeben, wenn Rohdaten zu einem späteren Zeitpunkt für andere Fragen genutzt werden sollen als ursprünglich geplant. Zweitens das Prinzip der Transparenz und Betroffenenrechte: Hier geht es darum, dass die Verarbeitung der Daten für Betroffene nachvollziehbar sein muss und dass Daten auch gelöscht werden können. Hieraus ergeben sich Fragen, auf die wir im Einzelfall Antworten finden müssen.

Schwarzenegger: Der bestehende Rechtsrahmen beim Datenschutz ist leider etwas unübersichtlich. Für Universitäten und kantonale Verwaltungen ist der Datenschutz kantonal geregelt, was zu einem Wildwuchs an kantonalen Rechtsgrundlagen geführt hat. Das kann zu einem enormen Aufwand bei kantonsübergreifenden nationalen Projekten oder bei Beschaffungsverträgen führen, weil die Bestimmungen nicht identisch sind.

Stimmen Sie Forschenden zu, die den Aufwand in Sachen Datenschutz kritisieren?


Schwarzenegger: Wie gesagt, wir respektieren die bestehende Rechtslage. Aber der Aufwand kann recht hoch sein, vor allem bei internationalen Projekten. Da gibt es neben dem schweizerischen noch den europäischen und internationalen Regelungsrahmen. Aus unserer Sicht wäre es für die Zukunft wünschbar, wenn die Rechtsnormen angeglichen und vereinfacht würden, damit die Forschung effizient vorangetrieben werden kann.

Daten sind die neue Hauptwährung der Forschung. Gerät die datengetriebene Forschung nicht grundsätzlich in Konflikt mit dem Datenschutz?


Puhan: Ich würde den Aspekt der Neuheit relativieren. Die gleichen Fragen stellten sich bereits vor 20, 30 Jahren. Schon damals hat man Patienten biologische Proben entnommen, nicht wissend, wozu sie einst genutzt werden könnten. Die Herausforderung ist nicht grundsätzlich neu, die technischen Möglichkeiten sind heute einfach grösser.

Wie lassen sich diese Herausforderungen mit Big Data lösen?

Weniger: Man kann nach dem Gesetzgeber rufen, gleichzeitig aber auch die Möglichkeiten ausloten, die das geltende Recht bietet. So gibt es zum Beispiel das Forschungsprivileg. Das kantonale Datenschutzrecht (IDG) eröffnet die Möglichkeit, dass die UZH unter bestimmten Voraussetzungen vom Zweckbindungsgebot und der Einwilligung der betroffenen Personen entbunden werden kann. Das gilt aber nur für Forschung, deren Ergebnis nicht auf bestimmte Personen bezogen ist.

Es gibt weitere pragmatische Möglichkeiten, innerhalb des bestehenden Rechts neue Wege zu beschreiten. Zum Beispiel einen Lösungsansatz, der unter dem Stichwort «dynamic consent» diskutiert wird. Hier sollen Probanden selber darüber bestimmen können, ob sie ihre Rohdaten für andere konkrete Forschungsvorhaben freigeben möchten. Organisiert würde dies über Datenplattformen, zu denen die Betroffenen direkten Zugang haben. Die Plattform müsste von den Forschenden unabhängig sein und der Überwachung durch eine Aufsichtsbehörde unterstehen.

Schwarzenegger: Die Frage stellt sich, ob es in Zukunft genügen wird, die aktuellen Gesetze zum informationellen Selbstbestimmungsrecht zu erweitern, oder ob es nicht nötig ist, neue Grundsätze zu formulieren, die mehr Spielraum zulassen. Angesichts der Ansprüche, die aus der Forschung mit Big Data kommen, bin ich skeptisch, ob die bestehenden Rechtsnormen genügen. Es wird immer häufiger möglich sein, auf bestehende Datensätze zurückzugreifen und aus diesen induktiv Zusammenhänge zu erschliessen.

Wie könnten neue Rechtsnormen aussehen?

Schwarzenegger: Es gibt auf der gesetzgeberischen Ebene eine Riesendebatte zum Thema Schutz persönlicher Daten, das Stichwort heisst Rethink Privacy. Juristinnen und Juristen suchen in verschiedenen Forschungsprojekten, auch an der UZH, nach innovativen Mechanismen, um Persönlichkeitsrechten gerecht zu werden, ohne auf der anderen Seite die Forschung zu stark einzuschränken.

Ist diese Offensive auch eine Reaktion auf globale Datenfirmen, die die Forschung an den Universitäten bedrängen?

Schwarzenegger: Die Verlagerung in den privaten Sektor ist in der Tat ein wichtiges Thema. Ich glaube nicht, dass Universitäten und öffentliche Forschungseinrichtungen die Gefahrenquelle für die Persönlichkeitsrechte der Betroffenen sind, ganz im Gegenteil. Daten werden immer mehr in den privaten Bereich abgezogen, sowohl auf lokaler als auch auf globaler Ebene. Forschung ist immer stärker in den Händen von Google, Facebook und anderen sozialen Medien. Deshalb müssen wir darüber nachdenken, wie wir die Datenhoheit zurückerhalten. Diese Datenoligopole und ihre Forschung sind die grossen Herausforderungen.

Puhan: Das kann ich bestätigen, Google oder Microsoft spannen teils bereits mit renommierten Kliniken in den USA zusammen. Diese Entwicklung ist für uns auch wegen der Grösse der USA eine grosse Herausforderung. Wir werden nie Daten von Millionen von Patienten kriegen. Allerdings haben wir gegenüber diesen Firmen den Vorteil, dass die Leute mehr Vertrauen in die universitäre Forschung haben. Dieser Vertrauensbonus ist unser höchstes Gut, den wir nicht verspielen dürfen.

Ich möchte nochmals auf die öffentlichen Daten zu sprechen kommen, etwa auf Untersuchungen im Rahmen des öffentlichen Gesundheits­ oder Schulsystems. Sie sind für uns am Institut sehr relevant. Und da habe ich manchmal den Eindruck, dass Fragen zum Datenschutz vorgeschoben werden, um die Daten nicht herausrücken zu müssen.

Können Sie ein Beispiel geben?

Puhan: Abrechnungsdaten der obligatorischen Grundversicherung, die Bundesämtern zur Verfügung stehen. Uns würde zum Beispiel interessieren, in welchen Landesteilen welche Gesundheitsausgaben und ­massnahmen stattfinden. Obwohl wir nicht an einzelnen Personendaten interessiert sind, ist es schwierig, solche Daten zu erhalten. In dieser Situation wissen wir als Forschende oft nicht genau, inwieweit die Vorbehalte juristisch gerechtfertigt sind.

Schwarzenegger: Ich habe auch ein Beispiel: Wir wollten vor zehn Jahren eine Studie des Bundesamts für Statistik zum Thema Ausländerkriminalität aus den 90er Jahren replizieren. Ein sehr heisses Eisen. Dazu brauchten wir alle Daten von Straffälligen eines Jahres. Für die saubere Auswertung mussten diese Daten mit Angaben des Migrationsamts gekoppelt werden. Es kostete enorme Anstrengungen, diese Daten abzugreifen, wobei hier Bundesgesetze und nicht kantonale Gesetze massgebend waren. Da wollte man uns auch ziemlich lange mit Verweis auf den Datenschutz abblocken.

Puhan: Die Frage der Verknüpfung von Datensätzen treibt uns ebenfalls um, denn wissenschaftlich interessant wirds häufig dann, wenn die Daten vernetzt werden. Mein Eindruck ist, dass die Bundesämter in dieser Beziehung in den vergangenen Jahren viel kooperativer geworden sind.

Ein kurzer Blick in die Zukunft: Was steht an?

Weniger: Wir erarbeiten zurzeit unter anderem in einem gemeinsamen Projekt mit der philosophischen Fakultät Arbeitshilfen für die datenschutzkonforme Planung von For­ schungsvorhaben im nichtklinischen Bereich. Des Weiteren ist es mein Ziel, ein Tool für datenschutzrechtliche Folgenabschätzung zu entwickeln, mit dem rechtzeitig entsprechende Risiken erkannt und Schutzmassnahmen identifiziert werden können.

Puhan: Die Forschung wandelt sich, und neue Entwicklungen wie Citizen Science oder Open Science werden wichtiger. Hinsichtlich Datenschutz müssen wir uns die Möglichkeiten in diesen Gebieten offenhalten und weiterhin dafür sorgen, dass Vertrauen in unsere Arbeit besteht.

Schwarzenegger: Ich komme zurück zum Anfangsstatement: Wir müssen im universitären Rahmen korrekt agieren und die Forscherinnen und Forscher informieren. Wir können uns an der rechtspolitischen Debatte beteiligen, wobei auf nationaler Ebene der Bund aktiv werden muss – Stichwort kantonaler Wildwuchs. Ziel muss sein, den Forschungsstandort Schweiz zu stärken. Er muss den Standard setzen, der nicht in eine überbürokratisierte Forschungslandschaft mündet.

Die Gesprächspartner:

Milo Puhan, Professor für Epidemiologie und Public Health

Christian Schwarzenegger, Prorektor Rechts- und Wirtschaftswissenschaften


Robert Weniger, Datenschutzdelegierter der Universitätsleitung