DSGVO - BDSG - TTDSG

3. Doping

121

Zur Dopingbekämpfung werden bei Leistungssportlern Kontrollen innerhalb und außerhalb von Wettkämpfen (Dopingkontrollen) durchgeführt.155 Hierzu werden auf der Grundlage des den „World Anti Doping Code“156 umsetzenden „Nationalen Anti Doping Code“ (NADC 2021)157 der Nationalen Anti Doping Agentur Deutschland (NADA)158 Urin- oder Blutproben von Athleten entnommen und analysiert, um verbotene Substanzen oder Methoden nachzuweisen oder zum Zwecke der Dopingbekämpfung Profile relevanter Parameter im Urin oder Blut eines Athleten, mithin besondere Kategorien personenbezogener Daten, zu erstellen. Hierzu zählt auch die DNS- oder Genomprofilerstellung (Art. 6 Abs. 2 NADC).

122

Von den Sportverbänden benannte Kaderathleten werden einem Testpool zugeordnet und müssen, um für unangemeldete Kontrollen „zu jeder Zeit und an jedem Ort“ (Art. 5.3.2 NADC) zur Verfügung zu stehen, nach Art. 5.3.1 NADC in Verbindung mit dem „Standard für Ergebnismanagement-/Disziplinarverfahren“159 genaue Angaben über Wohnsitze und jede Änderung der Wohnanschrift, über den gewöhnlichen Aufenthaltsort bei mehreren Wohnsitzen, Ort und Zeit des Trainings, Ort und Zeit von Wettkämpfen und Trainingslagern, über die telefonische Erreichbarkeit bei Verlassen des gewöhnlichen Aufenthaltsortes und An- und Abmeldungen bei Abwesenheit vom gewöhnlichen Aufenthaltsort machen. Es liegt auf der Hand, dass damit über diese Sportler ein genaues Bewegungsprofil entsteht, und sie sich dadurch in ihren Persönlichkeitsrechten verletzt sehen können. Die betroffenen Sportler müssen sich der Meldepflicht unterwerfen und geben höchst sensible Profildaten in das internetbasierte Anti-Doping Administration & Management System (ADAMS) ein.

123

Die Datenerhebung durch die Blut- oder Urinprobe im Einzelfall und die Teilnahme von Kader- bzw. Testpoolathleten am Meldeverfahren erfolgen aufgrund schuldrechtlicher Erklärungen der betroffenen Athleten, die sie regelmäßig im Rahmen ihrer Lizenzerteilung (bei Mannschaftssportarten: Sportler- oder Spielerpass bzw. Spielerausweis oder bei Individualsportarten mittels sog. Athletenvereinbarungen) gegenüber den jeweiligen Sportverbänden abgeben und hierbei die Regelwerke anerkennen. Diese Regelwerke der Spitzenverbände des Sports einschließlich der Anti-Dopingbestimmungen entsprechen regelmäßig dem NADC bzw. machen diesen und seine Standards zum Bestandteil der eigenen Verbandsbestimmungen. Die Verweigerung der Teilnahme an einer Dopingkontrolle oder am Meldeverfahren und die Abwesenheit am angegebenen Ort innerhalb der angemeldeten täglichen kurzen Zeitfenster würde den Ausschluss der Athleten vom Wettkampfsport bedeuten und als Dopingverstoß die Sanktionen (Sperre ggf. in Kombination mit Geldstrafe) gemäß dem NADC bzw. den Anti-Dopingbestimmungen des jeweiligen Sportfachverbandes nach sich ziehen.

124

Auf eine schuldrechtliche „Vereinbarung“ kann eine datenschutzrechtliche Zulässigkeit nicht gestützt werden, wenn der Verantwortliche, hier die NADA, von den Aktiven erhobene personenbezogene Daten einschließlich der Gesundheitsdaten, die den besonderen Kategorien personenbezogener Daten zuzuordnen sind, verarbeitet. Die Verarbeitung von Gesundheitsdaten ist nach Art. 9 Abs. 1 DSGVO verboten, wenn nicht ein Erlaubnistatbestand vorliegt. Eine fachspezifische Regelung der Verarbeitung von Gesundheitsdaten für Zwecke der Dopingbekämpfung enthält die DSGVO nicht.

125

Art. 9 Abs. 2 lit. a DSGVO sieht als Ausnahme vom Verbot der Verarbeitung personenbezogener Daten die Einwilligung der betroffenen Person vor. Danach ist die Verarbeitung dann nicht untersagt, wenn die betroffene Person in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt hat. Fraglich ist, ob die Athleten wirksam eingewilligt haben. Voraussetzung dafür ist, dass die Einwilligungserklärung freiwillig erfolgte, also ohne Ausübung eines Zwangs (siehe Rn. 88ff.). Wenn man den Verzicht auf den Leistungs- und Wettkampfsport richtigerweise nicht als Alternative in Betracht zieht, liegt keine echte Wahlfreiheit für die Athleten vor. Ohne Einwilligung werden sie zu Wettkämpfen der Verbände nicht zugelassen. Von Freiwilligkeit in ihrer Entscheidung kann daher nicht ausgegangen werden.160 Die Unterzeichnung einer Vereinbarung erfolgt hier nicht freiwillig, sondern ist fremdbestimmt und erfolgt letztlich unter Zwang;161 denn schließlich bleibt den Athleten keine andere Wahl.

126

Es ist auch nicht von einer informierten Einwilligung auszugehen, wenn es in der vorformulierten Einwilligungserklärung heißt, dass „allen gemäß NADA- und WADA-Code zuständigen Organisationen“ Laborergebnisse der betroffenen Sportler mitgeteilt werden dürfen, ohne dass dem Sportler bekannt ist, wer diese Organisationen sind. In den Verpflichtungserklärungen, die bei der Beantragung einer Lizenz zu unterzeichnen sind, wird pauschal darauf verwiesen, dass die Statuten und Reglements vorbehaltlos anerkannt werden. Diese pauschalen Verweisungen, in denen nicht einmal die bis 2020 üblichen Eintragungen von Sanktionen in die öffentlich zugängliche Datenbank NADAjus mit Vornamen und erstem Buchstaben des Nachnamens erwähnt wurden, erfüllen nicht die Anforderung aus Art. 7 Abs. 2, 4 Nr. 11 DSGVO an die für eine informierte Einwilligung erforderliche Transparenz. Die Einwilligung müsste bestimmt in dem Sinne sein, dass sie Inhalt, Zweck und Tragweite hinreichend konkretisiert.162 Auch weil es an der Transparenz über die Empfänger einer Datenübermittlung fehlt, ist die Einwilligungsklausel in Verpflichtungserklärungen unzulässig und damit eine etwaige, auf dieser Klausel beruhende Einwilligung unwirksam. Das ist sie auch deswegen, weil es keine Belehrung über das Widerrufsrecht gibt.

127

Die Sportler sind auch verpflichtet, sich bei der von der WADA betriebenen Datenbank ADAMS anzumelden, damit dort personenbezogen die Ergebnisse der Dopingkontrollen und die Aufenthaltsorte (Whereabouts) eingetragen werden können. Bei der Registrierung ist eine weitere Einverständniserklärung abzugeben, die aus den vorgenannten Gründen wegen fehlender Freiwilligkeit und Transparenz ebenfalls unwirksam ist. Das derzeitige Meldeverfahren, das auf einer Einwilligung in ein nicht-transparentes, unsicheres Verfahren beruht, ist daher unzulässig.

128

Soweit an die WADA Ergebnisse der Dopingkontrollen gemeldet werden, müsste die Einwilligung auch in eine Datenübermittlung in einen Drittstaat erfolgen, für das es keine Garantien dafür gibt, dass ein vergleichbares Datenschutzniveau hergestellt ist. Das auf die WADA anzuwendende Datenschutzrecht aufgrund einer Selbstbindung der Organisation liegt unterhalb des Niveaus der DSGVO, sodass auch unter diesem Aspekt die Wirksamkeit einer Einwilligung fragwürdig ist, weil hier die schutzwürdigen Interessen des Sportlers bei der Auslandsübermittlung (siehe Art. 49 Rn. 4) beeinträchtigt sind.

129

Wenn eine Einwilligung als Erlaubnis für die Verarbeitung von Gesundheitsdaten nach Art. 9 Abs. 2 lit. a DSGVO nicht in Betracht kommt, müsste es eine gesetzliche Erlaubnis sowohl für die Erhebung (1. Stufe der Prüfung) als auch für die Drittstaatenübermittlung (2. Stufe der Prüfung) geben. Die könnten sich aus dem (nationalen) Anti-Doping-Gesetz (AnitDopG) ergeben.163 Das Gesetz regelt auch die Erhebung und Übermittlung personenbezogener Daten von Sportlern zu dem in § 1 AntiDopG genannten Zweck. Dieser besteht in „der Bekämpfung des Einsatzes von Dopingmitteln und Dopingmethoden im Sport, um die Gesundheit der Sportlerinnen und Sportler zu schützen, die Fairness und Chancengleichheit bei Sportwettbewerben zu sichern und damit zur Erhaltung der Integrität des Sports beizutragen“. Nach § 9 AntiDopG ist die (private) Stiftung Nationale Anti Doping Agentur Deutschland (NADA) berechtigt, die in einem Katalog aufgeführten personenbezogenen Daten von Personen, die zu dem Kreis der einer Dopingkontrolle unterliegenden Sportler gehören, zu erheben, zu verarbeiten und zu nutzen, soweit dies zur Durchführung ihres Dopingkontrollsystems erforderlich ist. Außerdem dürfen nach § 10 Abs. 1 AntiDopG Gesundheitsdaten (u.a. Blut- und Urinwerte sowie aus anderen Körperflüssigkeiten gewonnene Werte) für Analysen durch anerkannte Labore erhoben werden. § 10 Abs. 2 AntiDopG erlaubt, Analyseergebnisse u.a. an „einen internationalen Sportfachverband, einen internationalen Veranstalter von Sportwettkämpfen oder an die Welt Anti-Doping Agentur zu übermitteln, soweit dieser oder diese für die Dopingbekämpfung nach dem Dopingkontrollsystem der Stiftung Nationale Anti Doping Agentur Deutschland und der Welt Anti-Doping Agentur zuständig ist und die Übermittlung zur Durchführung dieses Dopingkontrollsystems erforderlich ist“.

130

Wenn sich eine Erlaubnis für die Verarbeitung von besonderen Kategorien personenbezogener Daten aus dem Recht eines Mitgliedstaates ergeben soll, dann müsste es für diese Regelung, die das Verbot des Art. 9 Abs. 1 DSGVO aufhebt, eine Öffnungsklausel in der DSGVO geben. Abwegig wäre es, die Öffnungsklauseln aus Art. 9 Abs. 2 lit. h (Verarbeitung u.a. für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin) oder lit. i DSGVO (Erforderlichkeit der Verarbeitung u.a. aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit) heranziehen zu wollen. Ebenso wenig kann Art. 9 Abs. 4 DSGVO die gesuchte Öffnungsklausel enthalten, weil danach von den Mitgliedstaaten nur zusätzliche Bedingungen, einschließlich Beschränkungen, eingeführt oder aufrechterhalten werden dürften, die eine ansonsten erlaubte Verarbeitung wieder beschränken.

131

Als Öffnungsklausel kann damit allein Art. 9 Abs. 2 lit. g DSGVO in Betracht kommen. Danach wäre die Verarbeitung besonderer Kategorien personenbezogener Daten auf der Grundlage „des Rechts eines Mitgliedstaats, das in angemessenem Verhältnis zu dem verfolgten Ziel steht, den Wesensgehalt des Rechts auf Datenschutz wahrt und angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorsieht“ erlaubt, wenn diese Verarbeitung aus Gründen eines erheblichen öffentlichen Interesses erforderlich ist.

132

Es ist unbestritten, dass die Dopingbekämpfung notwendig ist und daran ein erhebliches öffentliches Interesse besteht. Diskussionswürdig und letztlich von den Gerichten zu entscheiden ist aber, ob die gewählte Bekämpfungsmethode, die angesichts der Meldepflichten massiv die Persönlichkeitsrechte der Athleten verletzt, verhältnismäßig und damit erforderlich ist.

133

Es kann davon ausgegangen werden, dass die Regelung eines Mitgliedstaates, die bereits vor Beginn des Wirksamwerdens der DSGVO bestand, die Öffnungsklausel nicht zitieren muss, um mit dem europäischen Datenschutzrecht in Einklang zu stehen, sondern es ausreicht, wenn die Voraussetzungen der Öffnungsklausel erfüllt werden. Bedenklich ist es aber, wenn die in der Öffnungsklausel geforderten weiteren Bedingungen – wie hier in Buchstabe g die Bedingung, „angemessene und spezifische Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person“ vorzusehen – nicht einhält. Hier müsste der nationale Gesetzgeber in einem weiteren Anpassungsgesetz dringend nachbessern. Die im Verbandsrecht und den Meldeverfahren vorgesehenen Einwilligungslösungen können unter der DSGVO dagegen keinen Bestand haben. Es wäre im Übrigen sinnvoll, wenn die datenschutzkonforme Dopingbekämpfung nicht den Mitgliedstaaten aufgrund einer Öffnungsklausel überlassen bliebe, sondern eine an Art. 8 GRCh orientierte harmonisierte Regelung getroffen würde.

134

Die DSGVO erkennt mit ErwG 112 durchaus an, dass ausnahmsweise eine Regelung eines Mitgliedstaates zur Datenübermittlung auch von besonderen Kategorien personenbezogener Daten aus wichtigen Gründen des öffentlichen Interesses erforderlich sein können. Dabei nennt der ErwG 112 ausdrücklich den internationalen Datenaustausch „zur Verringerung und/oder Beseitigung des Dopings im Sport“. Eine solche Regelung findet sich in § 10 Abs. 2 AntiDopG. Zusätzlich zu der in § 10 Abs. 2 AntiDopG enthaltenen Erlaubnis, besondere Kategorien personenbezogener Daten an „einen internationalen Sportfachverband, einen internationalen Veranstalter von Sportwettkämpfen oder die Welt Anti-Doping Agentur zu übermitteln, soweit dieser oder diese für die Dopingbekämpfung nach dem Dopingkontrollsystem der Stiftung Nationale Anti Doping Agentur Deutschland und der Welt Anti-Doping Agentur zuständig ist und die Übermittlung zur Durchführung dieses Dopingkontrollsystems erforderlich ist“, müsste außerdem geprüft werden, ob es gemäß Art. 46 DSGVO hinreichende Garantien für die Übermittlung an bzw. in ein Drittland oder eine internationale Organisation gibt. Welche der in Art. 46 Abs. 2 DSGVO aufgezählten Garantien zur Zulässigkeit der Übermittlung in diesem Zusammenhang in Betracht kommen, ist ungeklärt.

135

Soweit Sanktionen gegenüber Athleten ausgesprochen wurden, sind diese in die öffentliche, nicht zugangsbeschränkte Datenbank NADAjus eingestellt worden. Zwar wurde lediglich der Vorname und der erste Buchstabe des Nachnamens angegeben; bei selteneren Vornamen in Verbindung mit dem ersten Buchstaben des Nachnamens und der zusätzlichen Angabe der Sportart und des Verbandes muss man von personenbeziehbaren Daten sprechen, deren Verarbeitung nur mit einer Erlaubnis aus einer Einwilligung oder aus Gesetz zulässig ist. Als Rechtsgrundlage kommt – wie gezeigt – eine Einwilligung nicht in Betracht (Rn. 125ff.). Auch findet sich keine gesetzliche Erlaubnis in den §§ 9 und 10 AntiDopG für die Eintragung von Sanktionen in ein öffentliches Register. Soweit auf eine Erlaubnis aus den Statuten und Regelwerken etwa der NADA über die Öffnungsklausel des Art. 9 Abs. 2 lit. g DSGVO abgestellt wird, wäre dem entgegenzuhalten, dass Regelwerke von privatrechtlichen Organisation wie der WADA und der NADA nicht zum „Recht eines Mitgliedstaates“ gehören.

136

Soweit man entgegen der hier vertretenen Ansicht in der Eintragung eines Dopingsünders in ein Sanktionsregister keine besondere Kategorie personenbezogener Daten erkennen würde, sind Art. 6 Abs. 1 UAbs. 1 lit. c und lit. e DSGVO auszuschließen, weil die Regelwerke privater Institutionen nicht zum Recht der Mitgliedstaaten zählen und der WADA bzw. NADA nicht die Wahrnehmung einer öffentlichen Aufgabe übertragen wurden. Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO ist als gesetzlicher Erlaubnistatbestand auszuschließen, weil die Eintragung von Sanktionen in ein öffentliches Register weder für die Erfüllung eines etwaigen berechtigten Interesses der NADA erforderlich ist, noch dieses Interesse der NADA gegenüber dem hier vorliegenden berechtigten Interesse der betroffenen Personen, nicht in einem öffentlichen Sanktionsregister auffindbar zu sein, zumindest gleichgestellt ist oder überwiegt.164 Eine datenschutzrechtliche Erlaubnis für die Veröffentlichung von Sanktionen, die gegenüber einem gedopten Athleten ausgesprochen wurden, in einem nicht zugangsbeschränkten öffentlichen Register liegt also nicht vor. Eine gesetzliche Erlaubnis, die diese Veröffentlichung personenbeziehbarer Dopingsünder vorsähe, wäre auch verfassungsrechtlich kaum haltbar. Es kommt also nur eine Zugangsbeschränkung in Betracht, die den Erforderlichkeitsgrundsatz beachtet, um eine Fortführung eines solchen Sportlers in einer anderen Sportart eines anderen Verbandes zu vermeiden. Die NADA hat die NADAjus-Datenbank aufgrund der datenschutzrechtlichen Bedenken (vorläufig) aus dem Netz genommen, um sie zu überarbeiten.165

4. Zweckbindung und -änderung

137

Eine Einwilligung ist nur wirksam, wenn sie sich auf die Erhebung und Verarbeitung zu einem bestimmten Zweck bezieht, auf den die einwilligende Person ausdrücklich hinzuweisen ist, um die Tragweite einer Einwilligung abschätzen zu können (Art. 4 Nr. 11 DSGVO, ErwG 42; Art. 9 Abs. 2 lit. a DSGVO, § 67b Abs. 2 SGB X). Die Einwilligung muss nach Art. 4 Nr. 11 DSGVO für „den bestimmten Fall“ erfolgen. Eine pauschale Einwilligung (Blankett-/Blanko-Einwilligung) in eine Datenverarbeitung ohne Zweckbestimmung ist unzulässig und unwirksam.166 Schon Art. 8 GRCh geht davon aus, dass Daten nur für festgelegte Zwecke erhoben werden dürfen.

138

Eine gewisse Privilegierung erfährt gleichwohl die Einwilligung in die Verarbeitung personenbezogener Daten zu wissenschaftlichen Zwecken, bei denen häufig „die Einwilligung als gesetzlicher Regelfall vorgesehen“ ist.167 Oft kann bei einer wissenschaftlichen Forschung zum Zeitpunkt der Erhebung noch nicht genau bestimmt werden, für welchen Zweck die Daten verwendet werden sollen, sodass der Forschungsansatz vor allem zum datenschutzrechtlichen Grundsatz der Zweckbindung im Widerspruch steht.168 Die Notwendigkeit der Privilegierung erkennt deshalb der ErwG 33 an, in dem es heißt: „Oftmals kann der Zweck der Verarbeitung personenbezogener Daten für Zwecke der wissenschaftlichen Forschung zum Zeitpunkt der Erhebung der personenbezogenen Daten nicht vollständig angegeben werden. Daher sollte es betroffenen Personen erlaubt sein, ihre Einwilligung für bestimmte Bereiche wissenschaftlicher Forschung zu geben, wenn dies unter Einhaltung der anerkannten ethischen Standards der wissenschaftlichen Forschung geschieht“. Denkbar ist eine mehrstufige Einwilligung, bei der die Einwilligung in die Verwendung der Daten für ein genau bestimmtes Forschungsvorhaben erklärt wird. Darüber hinaus kann eingewilligt werden, die Daten in einem „Repositorium“ zu speichern, um sie für weitere Forschungsvorhaben nutzbar zu machen („Broad Consent“).169

139

Die Privilegierung der Datenverarbeitung geht so weit, dass in § 27 Abs. 1 BDSG abweichend von Art. 9 Abs. 1 DSGVO die Verarbeitung besonderer Kategorien personenbezogener Daten „auch ohne Einwilligung für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke zulässig ist, wenn die Verarbeitung zu diesen Zwecken erforderlich ist und die Interessen des Verantwortlichen an der Verarbeitung die Interessen der betroffenen Person an einem Ausschluss der Verarbeitung erheblich überwiegen“ (siehe § 27 BDSG Rn. 4).170 Eine auf die Öffnungsklausel des Art. 9 Abs. 2 lit. j DSGVO gestützte Übermittlungsbefugnis von Sozialdaten für Forschungszwecke enthält § 75 SGB X.

140

Die Verpflichtung, den angestrebten Zweck der Datenverarbeitung vor Erteilung einer Einwilligung genau anzugeben, schließt eine Zweckänderung nicht aus. ErwG 50 formuliert, dass auch dann, wenn die betroffene Person ihre Einwilligung erteilt hat, „der Verantwortliche die personenbezogenen Daten ungeachtet der Vereinbarkeit der Zwecke weiterverarbeiten“ dürfe. Die betroffene Person ist allerdings über die vorgesehene Zweckänderung und erneut über ihr Widerrufsrecht zu informieren (siehe Art. 6 Rn. 164).

5. Einwilligung in die Verarbeitung besonderer Kategorien personenbezogener Daten

141

Bedingung für eine wirksame Einwilligung ist, dass der Zweck oder mehrere Zwecke, zu dem oder denen personenbezogene Daten aufgrund einer Einwilligung erlaubtermaßen verarbeitet werden sollen, klar und eindeutig bestimmt werden. Eine Ausnahme soll nur dann gelten, wenn personenbezogene Daten für Zwecke der wissenschaftlichen Forschung erhoben werden (siehe Rn. 136f.). ErwG 33 erkennt an, dass dieser „zum Zeitpunkt der Erhebung der personenbezogenen Daten nicht vollständig angegeben werden“ kann. Die DSGVO räumt daher ein, dass die betroffene Person ihre Einwilligung für bestimmte Bereiche wissenschaftlicher Forschung geben darf. Dabei muss die Einhaltung der anerkannten ethischen Standards der wissenschaftlichen Forschung gesichert sein.

142

Voraussetzung der wissenschaftlichen Forschung ist also die „Einhaltung der anerkannten ethischen Standards der wissenschaftlichen Forschung“.171 Nach § 15 Abs. 3 Musterberufsordnung der Ärztinnen und Ärzte,172 die durch die Berufsordnungen der Landesärztekammern verbindlich werden, sind „bei der Forschung am Menschen die in der Deklaration von Helsinki des Weltärztebundes in der Fassung der 64. Generalversammlung 2013 in Fortaleza niedergelegten ethischen Grundsätze für die medizinische Forschung am Menschen“ zu beachten.

143

Weitere Anforderungen an die Einwilligung zur Teilnahme an einer klinischen Forschung ergeben sich auch aus § 40 AMG, der an die Informiertheit und Form (Schriftform, § 126 BGB) besondere Bedingungen knüpft. Die Einwilligung ist nach § 40 Abs. 2a Nr. 2 AMG teilweise unwiderruflich. Die Folgen des im Übrigen möglichen Widerrufs werden im Detail in § 40 AMG geregelt.

144

Sind besondere Kategorien personenbezogener Daten Gegenstand der Einwilligung, so genügt eine „eindeutige bestätigende Handlung“ nicht; in diesem Fall ist eine ausdrückliche Einwilligung erforderlich (ErwG 51, Satz 6).

145

ErwG 33 erwartet, dass die Einwilligung „nur für bestimmte Forschungsbereiche oder Teile von Forschungsprojekten in dem vom verfolgten Zweck zugelassenen Maße“ eingeholt werden darf. Eine „jegliche“ Forschungsvorhaben einschließende Einwilligung ist danach ausgeschlossen.

146

Zu prüfen wäre vor Einholung einer Einwilligung in die Verarbeitung besonderer Kategorien personenbezogener Daten, ob sich nicht aus Art. 6 i.V.m. Art. 9 Abs. 2 lit. b ff. DSGVO ein gesetzlicher Erlaubnistatbestand ergibt. Aufgrund der Öffnungsklausel in Art. 9 Abs. 4 DSGVO sind zudem mit §§ 22 und 27 BDSG weitere Ausnahmetatbestände des Verbots der Verarbeitung besonderer Kategorien personenbezogener Daten vorhanden (siehe §§ 22, 27 BDSG).

147

Die Vorschrift ist auch im Kontext mit der Verordnung über klinische Prüfungen mit Humanarzneimitteln (VO) zu sehen.173 So sieht Art. 29 VO die „Einwilligung nach Aufklärung“ in die Teilnahme an klinischen Prüfungen und die dafür einzuhaltenden Bedingungen vor, was die Verarbeitung der Gesundheitsdaten der betroffenen Person impliziert. In Art. 2 Abs. 2 Nr. 21 VO wird „Einwilligung nach Aufklärung“ wie folgt definiert: „eine aus freien Stücken erfolgende, freiwillige Erklärung der Bereitschaft, an einer bestimmten klinischen Prüfung teilzunehmen, durch einen Prüfungsteilnehmer, nachdem dieser über alle Aspekte der klinischen Prüfung, die für die Entscheidungsfindung bezüglich der Teilnahme relevant sind, aufgeklärt wurde, oder im Falle von Minderjährigen und nicht einwilligungsfähigen Personen eine Genehmigung oder Zustimmung ihres gesetzlichen Vertreters, sie in die klinische Prüfung aufzunehmen.“

148

Nach dem ErwG 29 dieser Verordnung dürfen Daten aus klinischen Prüfungen gesammelt werden, „die für künftige wissenschaftliche Forschung, z.B. für Zwecke der medizinischen, naturwissenschaftlichen oder sozialwissenschaftlichen Forschung, verwendet werden sollen“. Dazu muss ein Prüfungsteilnehmer aber seine Einwilligung zur Verwendung seiner Daten erteilen und das Recht haben, diese Einwilligung jederzeit zu widerrufen. Die DSGVO gibt als Form der Einwilligung die Schriftform vor (ErwG 30 Satz 1, siehe zum europarechtlichen Verständnis dieser Form Rn. 56). Hohe Anforderungen stellt die VO an die Bescheinigung der Freiwilligkeit. Der Prüfer sollte sich vergewissern, „ob der potenzielle Prüfungsteilnehmer zu einer wirtschaftlich oder sozial benachteiligten Gruppe gehört oder sich in einer Situation institutioneller oder hierarchischer Abhängigkeit befindet, was seine Entscheidung über die Teilnahme unangemessen beeinflussen könnte“ (ErwG 31).