2.1 Die informierte Einwilligung als basales – und weiterhin zentrales – Legitimationsmodell des Datenschutzrechts

Das Datenschutzrecht nutzt bekanntlich unterschiedliche Möglichkeiten, die Verwendung personenbezogener Daten zu legitimieren. Von besonderer praktischer wie konzeptioneller Bedeutung ist dabei die individuelle Einwilligung [50]. Sie bringt den verfassungsnormativ abgesicherten, im Grundrecht auf informationelle Selbstbestimmung (als spezielle Ausprägung des allgemeinen Persönlichkeitsrechts, Art. 1 Abs. 1 i. V. m. Art. 2 Abs. 1 GG) fundierten Gedanken zum Ausdruck, dass im Grundsatz die Datengeber selbst über die Preisgabe und Verwendung ihrer persönlichen Daten entscheiden [grdl. BVerfGE 65, 1 (43)]. Dabei bezieht sich die Einwilligung dem herkömmlichen datenschutzrechtlichen Denken zufolge auf einen vorab vergleichsweise präzise bestimmten Zweck der Datenverarbeitung. Der Betroffene soll wissen, für welche Verarbeitungsprozesse er seine Daten zur Verfügung stellt. Hieraus resultieren spezifische, sowohl das nationale wie das supranationale Recht prägende prozedurale Anforderungen: Damit die Betroffenen die konkrete Bedeutung und Tragweite der beabsichtigten Datenverwendung überblicken können, müssen datenschutzrechtliche Einwilligungen insbesondere freiwillig, informiert und bestimmt erteilt werden [51]. Das steht namentlich allzu allgemeinen oder gar völlig offen formulierten (Blanko-)Einwilligungen entgegen.

Dieses Einwilligungsverständnis liegt grundsätzlich auch der DSGVO zugrunde [52]. Sie definiert in Art. 4 Nr. 11 DSGVO die „Einwilligung“ der betroffenen Person zunächst eng zweckbezogen als „jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.“ Art. 6 Abs. 1 S. 1 lit. a), 9 Abs. 2 lit. a) DSGVO sieht im Rahmen der Rechtmäßigkeit der Datenverarbeitung allerdings die Option vor, dass die betroffene Person in die Verarbeitung der sie betreffenden personenbezogenen Daten „für einen oder mehrere bestimmte Zwecke“ einwilligen kann. Die DSGVO enthält insoweit eine interne Spannung, als sie einerseits an einer klaren Zweckbestimmung festhält, andererseits aber in Erwägungsgrund 33 für die Forschung die Möglichkeit breiterer und multipler Zwecksetzungen thematisiert. Demnach sollte, soweit der Verarbeitungszweck zum Zeitpunkt der Erhebung der personenbezogenen Daten nicht vollständig angegeben werden kann, „es betroffenen Personen erlaubt sein, ihre Einwilligung für bestimmte Bereiche wissenschaftlicher Forschung zu geben, wenn dies unter Einhaltung der anerkannten ethischen Standards der wissenschaftlichen Forschung geschieht. Die betroffenen Personen sollten Gelegenheit erhalten, ihre Einwilligung nur für bestimmte Forschungsbereiche oder Teile von Forschungsprojekten in dem vom verfolgten Zweck zugelassenen Maße zu erteilen.“ Letztlich verdeutlichen aber gerade diese, in ihrer konkreten Bedeutung umstrittenen Sonderbestimmungen, dass die DSGVO prinzipiell am traditionellen Einwilligungsmodell festhält.

Es bedarf einer Neuorientierung des bestehenden datenschutzrechtlichen Regelungsmodells gerade dann, wenn die ihm zugrunde liegenden basalen Werte und Überzeugungen auch unter den Bedingungen von Big Data als bedeutsam verstanden werden. Dies verlangt nach Governance-Ansätzen, einschließlich eines Rechtsrahmens, der angesichts rasanter und neuartiger Entwicklungen hinreichende Sicherheit und Zuverlässigkeit der Anwendungen gewährleistet, umgekehrt aber auch angesichts der mit ihnen verbundenen Chancen hinreichend Raum zur Entfaltung lässt. Ein entscheidender Baustein hierfür stellt die Flexibilisierung des Einwilligungserfordernisses dar.

2.2 Dynamic Consent als problemadäquate Lösung

Die Einwilligung stellt im deutschen wie im europäischen Recht die wichtigste Voraussetzung (Erlaubnistatbestand) für den Umgang mit personenbezogenen Daten dar. Für Wissenschaft und Forschung gibt es jedoch Möglichkeiten, den Einwilligungsvorbehalt zu umgehen. So ist es unter bestimmten Umständen datenschutzrechtlich zulässig, nicht nur opt-in-, sondern auch opt-out-Modelle zu wählen, also Datenerhebungen und -nutzungen auf Basis gesetzlicher Erlaubnisnormen durchzuführen. Dem liegt eine funktionale Beobachtung zugrunde: Mit Blick auf die Datenqualität und die Bedeutung möglichst vollzähliger Datensätze (Repräsentativität) kann ein zu umfassendes Einwilligungskonzept Probleme verursachen: Ein striktes Einwilligungserfordernis kann die verfügbare Datengrundlage massiv reduzieren und ein großes Hemmnis für datenintensive Forschungsbereiche darstellen. Ersichtlich besteht ein Widerspruch zwischen der (Ideal-)Vorstellung einer – jedenfalls dem Grundansatz nach – freiwilligen Datenübermittlung und dem gleichzeitigen Streben nach einer möglichst vollständigen und repräsentativen Datengrundlage (exemplarisch [53]).

Ein Versuch mit diesem Dilemma umzugehen besteht darin, datenschutzrechtliche Standards bereichsbezogen aufzuspalten: Während (Gesundheits-)Versorgung auf einem Informed oder Narrow Consent basiert, wäre in der Forschung ein Broad Consent oder gar eine von der Einwilligung gelöste Verwendung zulässig. § 27 Abs. 1 BDSG erlaubt die Verarbeitung „für wissenschaftliche oder historische Forschungszwecke“ auch ohne Einwilligung und benennt in Abs. 3 eine prinzipielle Anonymisierungspflicht personenbezogener Daten als Voraussetzung. Das Gesetz für eine bessere Versorgung durch Digitalisierung und Innovation (Digitale-Versorgung-Gesetz – DVG) [Bundesgesetzblatt 2019, Teil I, Nr. 49, S. 2562] zielt ebenfalls darauf ab, Patientendaten pseudonymisiert auch unabhängig von einer individuellen Einwilligung für Forschungszwecke nutzen zu können. Wie in Kap. 1 skizziert, dürfte die nachhaltige Beseitigung von Personenbezug allerdings durch neue technische Möglichkeiten der Re-Identifizierung erschwert sein.

Wer grundrechtlich vorzugswürdig weiterhin primär auf ein einwilligungsbasiertes Regelungskonzept setzt (Opt-in-Modell) [54], muss nach komplexeren Mechanismen fragen, um Einwilligungsentscheidungen so treffen und sie gegebenenfalls auch delegieren zu können, dass fortlaufende Kontrolle ermöglicht wird. Das verdeutlicht, warum es attraktiv ist, das Modell eines Dynamic Consent [55–60] zu entfalten und kontextsensibel weiterzuentwickeln. Wir verstehen dabei den Dynamic Consent weniger als eine eigenständige dritte Variante, sondern als einen prozedural erweiterten, die beiden an entgegengesetzten Polen befindlichen Formen (Narrow Consent und Broad Consent) aufnehmenden Spezialfall des allgemeinen Zustimmungsgedankens. Der Dynamic Consent zielt darauf ab, einen angemessenen Ausgleich zwischen unrealistisch engen Zweckbestimmungen einerseits und bloßen Blankozustimmungen andererseits sicherzustellen. Dem Grundkonzept der engen, zweckgebundenen Einwilligung wird entsprochen, indem sie nicht einmalig vorab, sondern im Rahmen eines dynamischen und ggf. iterativen Prozesses erhoben und integriert wird [57, 60]. Prozedural verlangt dies ein komplexeres Kooperationsregime. Die Beteiligten müssen nicht nur punktuell, sondern längerfristig miteinander in Kontakt stehen. Das setzt eine entsprechende technische Infrastruktur voraus, mittels derer den Teilnehmern regelmäßig unterschiedliche Optionen vorgelegt werden und sie entscheiden können, welche zusätzlichen Informationen sie benötigen und ob und für welche Projekte sie ihre Daten zur Verfügung stellen. Sie werden frühzeitig über die wesentlichen Parameter der konkreten Datennutzung (z. B. Eigenschaften und Ziele einer Bio- oder Datenbank, deren Finanzierung, das jeweilige Datenschutz- und Governance-Konzept, etwaige etablierte Kooperationen und Weitergabevereinbarungen) informiert und müssen dann ihre präferierte Einwilligungsvariante festlegen. Das Spektrum reicht dabei von der klassischen Variante einer separaten Einwilligung für jedes Projekt (Narrow Consent) bis zu umfassenderen Lösungsansätzen, bei denen nicht nur in Einzelverwendungen, sondern in relativ breite Verwendungskategorien eingewilligt werden kann (Broad Consent). In bestimmten Zusammenhängen und für bestimmte Bereiche könnte sogar eine Pauschalzustimmung (Blanket Consent) erteilt werden. Auch Kombinationen der verschiedenen Einwilligungsoptionen sind denkbar.

Der Dynamic Consent erfordert aber zugleich, dass Individuen auch die Möglichkeit haben, auf Entwicklungen in der Nutzung von Daten zu reagieren. Eine unverzichtbare Ergänzung zu den vorab festgelegten Präferenzen, die dann von einem technischen System umgesetzt werden, ist die Möglichkeit für Individuen, Präferenzen zu ändern oder anzupassen. Ein so verstandener Dynamic Consent bildet einen überzeugenden Mechanismus, um in einem hochdynamischen Regelungsumfeld eine gegenstandsadäquate Kontrollierbarkeit und Output-Orientierung zu ermöglichen. Eine derartige Weiterentwicklung der Einwilligung ist im Funktionszusammenhang der hier beschriebenen, übergreifenden Gestaltungs- und Regulierungsstrategie zu verstehen. Funktional ist das Ziel, weiterhin ein angemessenes Maß an Selbstbestimmung im Spannungsfeld von Privacy und Gemeinwohl (z. B. durch Forschung) zu gewährleisten. In diesem Sinne geht es um einen situationsangemessenen Mittelweg zwischen kategorischem Forschungsvorrang und unrealistisch enger Zwecksetzung bei der Einwilligung.

Der Dynamic Consent stellt zwar kein Allheilmittel dar; insofern ist es durchaus berechtigt und notwendig, Kritik an allzu optimistischen Umsetzungsfantasien zu üben [61]. Zugleich schießt es aber über das Ziel hinaus, ihn per se abzulehnen und für unrealistisch zu erachten. Er kann durchaus einen funktional überzeugenden Ansatz bilden, der nicht nur die Verfolgung der Ziele des Datenschutzes unter den Bedingungen von Big Data und KI erlaubt, sondern auch seinerseits offen ist für ergänzende Zusatzoptionen. Es wäre voreilig, einzelne Schutzmechanismen isoliert zu betrachten und übertriebene Hoffnungen allein in sie zu setzen. „Deswegen kann und muss die informierte Einwilligung […] durch die Einbettung in einen Kontext mehrdimensionaler Regelungs- und Schutzmechanismen in ihrer Funktionsfähigkeit gestärkt werden“ [62]. Das zeigt sich besonders anschaulich etwa an der Verbindung von Dynamic Consent und Datentreuhandkonzepten.

2.3 Dynamic Consent und Datentreuhänder

Für eine robuste Umsetzung des Dynamic Consent bedarf es zugleich Delegationsmöglichkeiten. Der Einsatz sog. Datentreuhänder gehört zu den prominenten Vorschlägen, wie unter Big-Data-Bedingungen ein adäquater Datenschutz gewährleistet werden kann [63–65]. Datentreuhänder verwalten die ihnen anvertrauten Daten im Sinne der Präferenzen des Datensubjekts. Prinzipiell können individuelle, aber auch kollektive oder gar gesamtgesellschaftliche Interessen durch den Treuhänder repräsentiert und umgesetzt werden. Es kann sich bei einem Treuhänder um menschliche Akteure handeln, etwa eine Biobank-assoziierte Ethikkommission oder ein Governance Board, die auf Wunsch der Individuen Zugang zu Daten in Ihrem Sinne steuern. Besonders effektiv wird Dynamic Consent, wenn er nicht allein auf eine menschliche Kontrolle setzt, sondern mit spezifischer technischer Unterstützung – etwa in Gestalt spezieller Software-Agenten, die Nutzer-Präferenzen in Echtzeit umsetzen – kombiniert wird.

Im Forschungskontext dient der Treuhänder zunächst dazu, pseudonymisierte/anonymisierte Datensätze weiterzuverarbeiten [66, 67]. Noch stärker ist der Begriff des Datentreuhänders datenschutzrechtlich geprägt, wenn darunter auch sog. „Einwilligungsassistenten“ verstanden werden. Hierbei überprüft der Treuhänder, ob die mit den Daten verbundenen generellen Verarbeitungspräferenzen der betroffenen Personen mit denen einzelner Verarbeitungsvorhaben übereinstimmen. In diesem Fall holt der Treuhänder eine Einwilligung ein oder gibt die Daten für das betreffende Vorhaben direkt frei und verwaltet gleichzeitige Widerrufs-/Widerspruchsoptionen (z. B. beim System CoMaFeDS, vgl. [68]). Befürworter solcher Einwilligungsassistenten versprechen sich so mehr Übersichtlichkeit von Verarbeitungsprozessen [68], aber auch mehr Rechtssicherheit, da sie eine konzentriertere Überprüfung der Einwilligungserklärungen böten [68, 69]. Ein Übergang zu einem technischen System der digitalen Selbstverwaltung des Einzelnen (Stichwort: PMT/PIMS [64]) ist dabei fließend [68]. Ein Beispiel dafür wäre etwa die elektronische Gesundheitskarte und die elektronische Patientenakte als Teil der Telematik-Infrastruktur des Gesundheitswesens: Hier sollen die Karteninhaber gem. § 291a V 2 SGB V unabhängig von konkreten Behandlungsvorgängen auf für medizinische Behandlungen erhobene Daten gesammelt zugreifen und diese ggf. für weitere Datenverarbeitungsprozesse bereitstellen können [70].

Dieser zunächst eher technische Lösungsansatz lässt sich um drei Interpretationsweisen erweitern. Erstens um datenschutzrechtliche Fürsorgekonzepte. In diesem Modell ist es denkbar, dass der Treuhänder auch Datenverarbeitungsvorhaben berücksichtigt, die (noch) nicht unmittelbar mit den Präferenzen der betroffenen Person korrespondieren und sie nach einer Bewertung anhand bestimmter datenschutzrechtlicher Prämissen der betroffenen Person vorschlägt [5, 71]. Hier treten entsprechend mehr Fürsorgemerkmale der Einwilligungsassistenz zu Tage – und werfen entsprechend Haftungsfragen auf, falls die Bewertungen unzutreffend und somit auch wettbewerbsverzerrend ausfallen.

Zweitens ist eine Einwilligungsassistenz vorstellbar, bei der der Datentreuhänder selbst die datenschutzrechtlichen Entscheidungen über ihm anvertraute personenbezogene Daten trifft. Hierbei unterstützt der Datentreuhänder das jeweilige Datensubjekt bei der Verwirklichung der informationellen Selbstbestimmung, indem stellvertretend entlang der vorher bestimmten generellen Einwilligungspräferenzen der betroffenen Personen deren datenschutzrechtliche Entscheidungen umgesetzt werden [72]. Insgesamt changiert die datenschutzrechtliche Einwilligungsassistenz des Datentreuhänders zwischen einer Art technisch optimiertem Erklärungsboten und einem Stellvertreter für die datenschutzrechtliche Einwilligung.

Drittens ist ein vermögensrechtliches Verständnis des Begriffs des Datentreuhänders möglich. Meist unter Bezugnahme auf ein Dateneigentum wird hier über eine Art verwertungsgesellschaftliche Datentreuhänderschaft nachgedacht (anders hingegen [72, 73]). Bzgl. der Verwertung von Daten wird argumentiert, dass die immense passive Generierung von Daten gerade den Grundstein für die besonders gewinnbringenden Big-Data-Anwendungen bildet. Kurzum: Ein individueller Handel mit Daten als Wirtschaftsgut behebt nicht dessen eigentliches Problem der Machtasymmetrie [72, 74]. Bei der dabei angedachten Verwaltungsgesellschaft „VG-Daten“ [75] (angelehnt an die bekannte VG-Wort) handelt es sich um eine Stelle, die mittels einer Bewilligung durch die ursprünglichen Rechteinhaber umfassende Verwertungsrechte an Daten erlangen soll.

Zusammengefasst können mit „Datentreuhändern“ sowohl Aspekte technischer Zugriffsbeschränkung als auch digitaler Einwilligungsverwaltung adressiert werden. Die konkrete rechtliche Umsetzung ist derzeit noch nicht geklärt und setzt wohl gesetzliche Neuregelungen voraus – entsprechende Regelungsvorschläge enthält nunmehr der Data-Governance-Vorschlag der EU-Kommission. Im Übrigen ermöglicht das bestehende Recht bereits Datentreuhänderschaft, die über ein digitales Netzwerk individuell generierter Datensammlungen Verarbeitungspräferenzen der Betroffenen mit den Verarbeitungszwecken interessierter verantwortlicher Stellen abgleicht und dabei anfallende Treffer als Grundlage für nachfolgende gesetzlich- oder dezidiert einwilligungsbasierte Verarbeitungsvorgänge bieten können. Auch hier sind aber gesetzliche Erlaubnistatbestände und insbesondere eine dynamisierte Einwilligung kombinierbar.

2.4 Dynamic Consent und erweiterte Schutzperspektiven

Ein wie oben präsentierter Dynamic Consent kann einen Rahmen bilden, innerhalb dessen eine transparenz- und qualitätsbezogene Rechenschaft von Analyseergebnissen sowie kontextuell angepasste Erklärungen prozedural integrierbar sind. Er bietet damit Möglichkeiten, kurrente Problembeschreibungen und -lösungsvorschläge aufzunehmen und umzusetzen:

Der Einfluss unterschiedlicher Daten in verschiedenen, auch nicht antizipierten Verarbeitungskontexten gerade durch Big-Data-Analysen führt zu der Erkenntnis, dass sich eine gerechte Datenwirtschaft nicht nur auf bestimmte Dateninhalte oder nur einzelne Datensätze fokussieren kann (statt vieler [76]), wenn sie weiter freiheitssichernd ausgestaltet sein soll. Überlegungen zu einer sog. Group Privacy ([24, 64], ähnlich [77]) verweisen auf die Schutzbedürftigkeit nicht nur individueller, sondern auch kollektiver Interessen. Die durch Big-Data-Analysen gewonnenen und weiterverwendeten Korrelationsmuster betreffen und beeinflussen danach ganze Gruppen und nicht nur die darin zusammengefassten Individuen. Rechtlich lassen sich Korrelationsanalysen spätestens bei einem (Rück-)Bezug der gewonnenen Muster auf Vergleichsgruppen oder Einzelpersonen als datenschutzrechtlich relevant ansehen [78, 79]. Insofern würden Korrelationsmuster bereits zum eigenständigen Objekt datenschutzrechtlicher Entscheidungs- oder Überprüfungsprozesse und nicht nur jene Daten, die als Input zu ihrer Entstehung geführt haben. Sie könnten einem Right to Reasonable Inferences [80] unterliegen, welches die in Art. 15 Abs. 1 lit. h) DSGVO statuierten Begründungs- und Transparenzpflichten für automatisierte Entscheidungsfindungen für Konstellationen erweitert, in denen sich aus der Verwendung von Korrelationsmustern Risiken für einzelne Personen – als solche oder Teil einer Gruppe – ergeben. Solche basalen oder erweiterten Rechte könnten gerade auch Teil einer dynamisierten Datenverwaltung sein, indem etwa eine regelmäßige Begründung und Überprüfung von korrelationsbasierten Schlussfolgerungen als persönliche Bedingung für eine primäre und sekundäre Datennutzung gesetzt wird oder indem die Datenfreigabe ab einem gewissen Begründungsniveau angepasst wird.

Zwei Punkte werden jedoch einer erweiterten Transparenz und Begründung von Korrelationsanalysen regelmäßig entgegengehalten: Die berechtigten Interessen der Datenverarbeiter an der Geheimhaltung ihrer Analysemethoden und Algorithmen und der möglicherweise nur geringe Nutzen für Datensubjekte durch eine technisch detaillierte Aufschlüsselung sie betreffender Korrelationsmuster, da nicht davon ausgegangen werden kann, dass diese von jeder Person verstanden werden. Als Reaktion ließen sich auch sog. counterfactual explanation [81] in eine dynamisierte Datenverwaltung integrieren. Danach werden nicht notwendigerweise die – unverständlichen oder zurecht geheimen – technischen Grundlagen der verwendeten Korrelationsmuster preisgegeben, sondern es werden die Verhaltensweisen und Umstände erklärt, die zu dem begründungsbedürftigen Ergebnis geführt haben und bei deren Adaption ein anderes Ergebnis zu erwarten ist. Dies böte dem Datensubjekt auch, ganz im Sinne der informationellen Freiheitsgestaltung, die Möglichkeit, innerhalb von laufenden Datenverarbeitungsprozessen auf die zugrunde liegenden Parameter Einfluss zu nehmen.