Das Bundeskabinett hat heute eine Formulierungshilfe des Bundesministeriums für Gesundheit zu einem „Entwurf eines Gesetzes zum Schutz der Bevölkerung bei einer epidemischen Lage von nationaler Tragweite“ (pdf) beschlossen. Medial wurde vor allem über die vorgeschlagenen Anpassungen des Infektionsschutzgesetzes berichtet.

Jedoch wird daneben in Artikel 4 des Entwurfs auch vorgeschlagen, im SGB V einen neuen § 287a SGB V einzufügen. Dieser Vorschlag ist aus datenschutzrechtlicher Sicht sehr interessant, da er nicht nur Auswirkungen im Gesundheitsbereich oder in der jetzigen Zeit haben könnte.

Der Vorschlag lautet:

§ 287a

Federführende Datenschutzaufsicht in der Versorgungs- und Gesundheitsforschung

Bei länderübergreifen Vorhaben der Versorgungs- und Gesundheitsforschung, an denen nicht-öffentliche Stellen oder öffentliche Stellen des Bundes oder der Länder aus zwei oder mehr Ländern als Verantwortliche beteiligt sind, findet § 27 des Bundesdatenschutzgesetzes Anwendung. Die beteiligten Verantwortlichen benennen einen Hauptverantwortlichen und melden diesen der für die Hauptniederlassung des Hauptverantwortlichen zuständigen Aufsichtsbehörde. Artikel 56 und Artikel 60 der Verordnung (EU) 2016/679 sind entsprechend anzuwenden.

(Hervorhebungen durch mich)

Zweck der Regelung

Was das BMG mit der Regelung bezweckt, wird schon aus der Überschrift deutlich. Es soll eine federführende Datenschutzbehörde für Datenverarbeitungen im Rahmen der Gesundheitsforschung geben, auch wenn mehrere Verantwortliche beteiligt sind.

Warum nach Ansicht des BMG eine solche Regelung erforderlich ist, ergibt sich aus der weiteren Gesetzesbegründung und liest sich durchaus wie eine implizite Kritik an der föderalen Struktur der Datenschutzaufsicht in Deutschland, die oft untereinander abweichende Ansichten der Datenschutzbehörden bedingt.

Die Heterogenität der Landesdatenschutz- und Krankenhausgesetze und die Zuständigkeit verschiedener Landesdatenschutzbehörden erschweren und verlangsamen in Folge derzeit länderübergreifende Vorhaben der Versorgungs- und Gesundheitsforschung.

(S. 15)

Daher sieht der Entwurf für länderübergreifende Vorhaben der Versorgungs- und Gesundheitsforschung an denen öffentliche und nichtöffentliche Stellen des Bundes und der Länder beteiligt sind, Regelungen vor, die eine Klarstellung der Zuständigkeiten der datenschutzrechtlichen Aufsichtsbehörden bei Vorhaben der Versorgungs- und Gesundheitsforschung im Sinne eines „One-Stop-Shop“ ermöglichen sollen. Dadurch soll die die länderübergreifende Versorgungs- und Gesundheitsforschung unter Wahrung des Datenschutzes beschleunigt und eine einheitliche Rechtsauslegung zum Wohle aller Betroffenen gewährleistet werden.

Inhalt der Regelung selbst

Zunächst geht es dem BMG in dem vorgeschlagenen § 287a SGB V um länderübergreifende Forschungsvorhaben, an denen mehrere datenschutzrechtlich Verantwortlichen (ob als öffentliche oder nicht-öffentliche) Stellen beteiligt sind. Die Stellen müssen aber als „Verantwortliche“ beteiligt sein.

Nicht klar ist, ob hiervon auch eine gemeinsame Verantwortlichkeit umfasst wäre. Zudem geht weder die Vorschrift selbst noch die Begründung darauf ein.

Sind mehrere Verantwortliche beteiligt, so sieht § 287a SGB V die Pflicht vor („benennen“), dass die Beteiligten untereinander einen Hauptverantwortlichen wählen und diesen bei der Datenschutzbehörde seiner Hauptniederlassung als Hauptverantwortlichen des Forschungsvorhabens melden. Der Vorschlag ist hier meines Erachtens nicht besonders präzise, da etwa nicht konkretisiert wird, für das der Hauptverantwortliche als solcher benannt werden soll: allein für das Vorhaben oder die damit zusammenhängende Datenverarbeitung? Die Datenschutzbehörde dürfte sich nur für Letztere interessieren.

Begründung der Regelung

Nach der Gesetzesbegründung werden für länderübergreifende Vorhaben der Versorgungs- und Gesundheitsforschung an denen öffentliche und nichtöffentliche Stellen des Bundes und der Länder beteiligt sind, Regelungen vorgesehen, die eine Klarstellung der Zuständigkeiten der datenschutzrechtlichen Aufsichtsbehörden bei Vorhaben der Versorgungs- und Gesundheitsforschung im Sinne eines „One-Stop-Shop“ ermöglichen (S. 16).

§ 287a SGB V sehe die verfahrensrechtliche Koordinierung der Zuständigkeiten verschiedener datenschutzrechtlicher Landesbehörden vor (S. 30). Hierdurch möchte das BMG den der DSGVO vorgesehene One-Stop-Shop zur Zuständigkeit der Datenschutzaufsichtsbehörden auf die länderübergreifende Versorgungs- und Gesundheitsforschung anwenden.

Der wichtige Unterschied zu den Regeln des Art. 56 und 60 DSGVO ist natürlich, dass es vorliegend um mehrere Verantwortliche (sicher getrennte, evtl. auch gemeinsam Verantwortliche?) geht. Art. 56 und 60 DSGVO beziehen sich jedoch zumindest ausdrücklich nur auf die Zuständigkeit der federführenden Behörde eines Verantwortlichen mit mehreren Niederlassungen (das sieht auch der EDSA in WP 244).

Laut Begründung sind bei länderübergreifenden Forschungsvorhaben  für die beteiligten verantwortlichen Stellen regelmäßig unterschiedliche Landesaufsichtsbehörden für den Datenschutz zuständig.

Es bedarf daher einer Regelung für eine federführende Aufsichtsbehörde. Hierzu finden sich Vorbilder in der Datenschutz-Grundverordnung selbst (Artikel 56, 60 der Verordnung (EU) 2016/679),…

(S. 31)

Der Entwurf referenziert auf die Regelungen der DSGVO wohl bewusst nur als Beispiel, da, wie beschrieben, gerade nicht ausdrücklich die Festlegung einer federführenden Aufsichtsbehörde bei mehreren Verantwortlichen geregelt wird.

Das BMG begründet die Regelung weiter, dass den Verantwortlichen in der Neuregelung auferlegt (!) wird, eine hauptverantwortliche Stelle zu benennen,

„die dann der für sie zuständigen Aufsichtsbehörde die Verantwortung für das länderübergreifende Forschungsvorhaben in der Versorgungs- und Gesundheitsforschung anzuzeigen hat. Maßgeblich ist der in Artikel 4 Nummer 16 der Verordnung (EU) 2016/679 definierte Begriff der „Hauptniederlassung““ (S. 31)

Anmerkung

Meines Erachtens hat der Vorschlag durchaus potential für Diskussionen. Besonders interessant (gerade aus Sicht der Wirtschaft) ist, dass das BMG ganz offensichtlich davon ausgeht, dass mehrere datenschutzrechtlich (ob nun getrennt oder gemeinsam) Verantwortliche einen Verantwortlichen als „Hauptverantwortlichen“ bestimmen können und dann über diese Festlegung auch die Hauptniederlassung und hieran anknüpfend dann die federführende Datenschutzbehörde festlegen können.

Erinnert Sie dieses Thema an ein aktuell immer noch offenes Verfahren? Ja, die Verfahren der Berliner Datenschutzbehörde zum Betrieb von Facebook Fanpages. Dort geht es mitentscheidend um die Frage, ob gemeinsam Verantwortliche einen Verantwortlichen (und damit seine Hauptniederlassung) als umsetzungsbefugt für Entscheidungen zur Datenverarbeitung bestimmen können. Der nun vorliegende Entwurf des BMG spricht meines Erachtens ganz klar für eine solche Möglichkeit.

Daneben ist an der Regelung natürlich noch interessant, dass hier der Gesetzgeber kurzerhand die Datenschutzaufsicht bei Forschungsvorhaben durch die Verantwortlichen zentralisieren lassen möchte, um „eine koordinierte und einheitliche Anwendung der datenschutzrechtlichen Vorschriften ermöglichen und so Verzögerungen und Aufwände bei der Konzeption und Durchführung länderübergreifender Forschungsvorhaben“ (S. 30) verhindern.