Jörn Erbguth/Olga Stepanova

„Fruit of the poisonous tree“-Doktrin im Datenschutz?


Dr. Jörn Erbguth

ist Diplom-Informatiker und Diplom-Jurist und hat Lehraufträge an verschiedenen Schweizer Universitäten.

 

 

 

 

Olga Stepanova

ist Fachanwältin für IT-Recht und Fachanwältin für gewerblichen Rechtsschutz in Frankfurt/M.

 

 

 

 

 

ZD 2022, 249   Der US Supreme Court hat 1920 die „Fruit of the poisonous tree“-Doktrin entwickelt. Demnach dürfen Erkenntnisse, die aus rechtswidrig gewonnenem Beweismaterial stammen, im Strafprozess nicht verwendet werden. Dieses Verbot bezieht sich auch auf die Früchte dieses Beweismaterials, dh wenn sich aus dem rechtswidrig gewonnenen Beweismaterial Kenntnisse ergeben, die zu weiteren, an sich nicht rechtswidrigen Beweisen führen (Silverthorne Lumber Co., Inc., et al. v. United States, 251 U.S. 385). Die deutsche Rechtsordnung ist generell weitaus restriktiver bei Verwertungsverboten, wie zuletzt der BGH in seinem Obiter Dictum zum „EncroChat“-Fall ausgeführt hat (BGH Beschl. v. 2.3.2022 – 5 StR 457/21). Dagegen wird in den USA ein Nutzungsverbot eines mit rechtswidrig erlangten Daten trainierten KI-Systems vertreten (United States of America v. Kurbo Inc. and WW international, Inc. US District Court of California, 3.3.2022). Bislang herrschte in der EU die einhellige Meinung, dass die DS-GVO nur auf personenbezogene und somit nicht auf anonyme Daten anwendbar ist, Art. 2 Abs. 2 DS-GVO iVm Art. 4 Nr. 1 DS-GVO sowie Erwägungsgrund 26 DS-GVO. Daher können anonyme Ergebnisse einer rechtswidrigen, vorgelagerten Datenverarbeitung von einer Anordnung der Einschränkung der Verarbeitung nach Art. 18 Abs. 2 DS-GVO iVm Art. 58 Abs. 2 lit. g DS-GVO nicht umfasst werden: Auch bei einer vermeintlich rechtswidrigen Datenverarbeitung personenbezogener Daten fehlt Datenschutzaufsichtsbehörden die Kompetenz, Anordnungen hinsichtlich der daraus gewonnenen anonymen Daten zu treffen.

Umso mehr verwundert der Bescheid des BfDI v. 17.2.2021 (hier abrufbar), in dem Prof. Ulrich Kelber ausdrücklich die anonymen Studienergebnisse von einem Verarbeitungs- und Veröffentlichungs-verbot mit umfasst sehen will. Der BfDI schreibt: „Dabei ist irrelevant, in welcher Form die finalen Ergebnisse vorliegen und ob diese anonymisiert sind. Denn als Produkt rechtswidriger Datenverarbeitungen sind auch die Ergebnisse rechtswidrig.“ Er begründet diese Einschätzung damit, dass Forschungsergebnisse meist anonym seien und man sonst im Forschungsbereich niemals eine wirksame Rechtsgrundlage bräuchte und sich auch sonst nicht an die Vorgaben der DS-GVO für rechtmäßige Datenverarbeitungen halten müsse.

 

Obschon der BfDI andernfalls Durchsetzungsdefizite sieht, ist er an den Anwendungsbereich der DS-GVO gebunden. Diese enthält weder eine „Fruit of the poisonous tree“-Doktrin, noch ist ein Versuch des BfDI erkennbar, eine solche Doktrin aus der DS-GVO herzuleiten.

 

Eine valide Frage, die sich an diesem Punkt stellt, ist, ob eine solche Ausweitung grundsätzlich wünschenswert wäre. Der BfDI argumentiert, dass eine Einschränkung der Verarbeitung anonymer Daten erforderlich wäre, um rechtswidrigen Datenverarbeitungen präventiv entgegenzuwirken, indem man die Nutzung des anonymen Ergebnisses der Verarbeitung untersagt. Andernfalls könnte eine Behörde praktisch sanktionslos gegen die DS-GVO verstoßen, sodann alle personenbezogenen Daten vernichten und die anonymen Ergebnisse ungehindert verwenden.

 

Alle in der Kompetenz des BfDI liegenden Sanktionen gegenüber öffentlichen Stellen zielen darauf ab, die Betroffenen vor weiteren Verarbeitungen der sie betreffenden personenbezogenen Daten zu schützen. Der BfDI argumentiert, dass die Studienteilnehmer nach Löschung der personenbezogenen Daten ihre Betroffenenrechte nicht mehr geltend machen könnten. Dies ist indes nicht nachvollziehbar. Zum einen kann es bei anonymen Studienergebnissen keine Betroffenenrechte geben. Ohne Identifizierbarkeit ist ein Eingriff in die von der DS-GVO geschützten Rechte der Betroffenen sowie die zu Grunde liegenden Datenschutzgrundrechte (vgl. GRCh sowie Konvention 108+ des Europarats) kaum vorstellbar. Zum anderen bedeutet ein Löschen der Rohdaten gerade nicht, dass die Studienteilnehmer keine Rechte mehr geltend machen könnten.

 

Es entspricht vielmehr den Grundsätzen der Datenminimierung und des Privacy by Design, identifizierende Daten nicht zentral zu speichern und damit die Identifizierung durch eine zentrale Stelle zu verhindern. Vielmehr soll nur den Betroffenen die Möglichkeit gegeben werden, sich gegenüber denjenigen zu identifizieren, die die Studie durchgeführt haben. Es erscheint unwahrscheinlich, dass sich die Teilnehmer nicht mehr gegenüber der Studienleitung identifizieren könnten, wozu der BfDI im Übrigen nichts vorgetragen hat. Im Ergebnis dient es daher nicht dem Schutz der Betroffenen, von einer Veröffentlichung der Studienergebnisse abzusehen.Der BfDI führt weiter aus, eine Sanktionierung der anonymen Ergebnisse sei zudem erforderlich, um die gute wissenschaftliche Praxis durchzusetzen. Zum einen ist zweifelhaft, ob dies im Kompetenzbereich der Datenschutzaufsicht liegt. Zum anderen sieht die gute wissenschaftliche Praxis keine Veröffentlichungsverbote für anonyme Studienergebnisse vor.

 

Richtig ist, dass bei der Abwägung zwischen den Interessen des Datenschutzes (möglichst kurze Primärdatenspeicherung) und dem Forschungsinteresse (möglichst lange Rohdatenspeicherung) Forschungsleitlinien eine Aufbewahrungsfrist der Primärdaten von zehn Jahren vorsehen (Leitlinie 17 des Kodex „Leitlinien zur Sicherung guter wissenschaftlicher Praxis“, herausgegeben 2019 von der DFG). Allerdings verwundert es, wenn der BfDI hier bemängelt, dass die Rohdaten zu früh gelöscht worden wären, denn das kommt dem Datenschutz entgegen. Eine Ausweitung der Kompetenzen des BfDI erscheint daher hier nicht geboten.

 

Wenn man den Hintergrund dieser bereits 2015 beauftragten Studie betrachtet, die auch unter dem Namen „Petra-Studie“ bekannt ist, so wird deutlich, dass Betroffene und die Öffentlichkeit ein hohes Interesse an der Veröffentlichung dieser Studie haben - und ausgerechnet das BMFSFJ sich bislang nicht zu einer Veröffentlichung der Studienergebnisse entscheiden konnte. Ein IFG-Anspruch auf Herausgabe der Studienergebnisse musste erst vor dem VG Berlin eingeklagt werden (stattgebendes Urt. v. 9.8.2021 – 2 K 281.19, nicht rechtskräftig). Dieses Urteil setzt sich allerdings nicht mit dem Bescheid des BfDI auseinander.

 

Selbst wenn die Daten noch einen Personenbezug hätten, führt eine rechtswidrige Vorverarbeitung der Daten nicht immer zu einem Weiterverarbeitungsverbot. Gibt es etwa gesetzliche Aufbewahrungspflichten, neue wirksame Einwilligungen oder auch die Entfernung des Personenbezugs zu Personen, deren Einwilligung unwirksam war, lässt sich ein Weiterverarbeitungsverbot wohl kaum halten. Lediglich bei der Abwägung des berechtigten Interesses (Art. 6 Abs. 1 S. 1 lit. f DS-GVO) wäre eine solche Vorgeschichte zu berücksichtigen.

 

Der Bescheid könnte darüber hinaus noch weitere negative Auswirkungen haben: Durch eine derartige Ausweitung des Datenschutzrechts auf aktuelle und künftige anonyme Daten könnte die Informationsfreiheit erheblich eingeschränkt werden. § 5 IFG sieht bei personenbezogenen Daten eine Abwägung mit dem schutzwürdigen Interesse der Betroffenen vor. Wenn das schutzwürdige Interesse gering ist, müssen die Daten herausgegeben werden. Bei anonymen Daten gibt es kein Interesse Betroffener, da es keine Betroffenen gibt. Darüber hinaus kennt auch das IFG keine „Fruit of the poisonous tree“-Doktrin.

 

Rechtliche Mängel in der Vorverarbeitung beeinträchtigen Herausgabeansprüche nicht, wenn die herauszugebenden Daten diese Mängel selbst nicht aufweisen. Die Annahme einer solchen Doktrin im IFG würde das Recht auf Zugang zu Informationen aushöhlen. Es wäre widersprüchlich, die Herausgabe von Informationen zu verweigern, wenn staatliche Stellen Fehler im Vorfeld gemacht haben. Ein rechtswidriges Verhalten wäre mithin privilegiert.

 

Darüber hinaus schränkt ein Verbot sämtlicher Veröffentlichungen, die auf den anonymen Ergebnissen der Studie beruhen, potenziell auch die Meinungs-, Presse- und Wissenschaftsfreiheit (Art. 5 GG) ein. Zwar erging dieser Bescheid nur gegenüber dem BMFSFJ, welches kein Träger der Meinungs- und Pressefreiheit ist. Die Argumentation gegenüber dem Ministerium ist jedoch nicht spezifisch, sodass eine Universität oder die Presse mit einem Untersagungsbescheid rechnen müssten, wollten sie über die anonymen Ergebnisse berichten.

 

Die Argumentation der unzulässigen Datenlöschung in Verbindung mit der Ausweitung der DS-GVO auf anonyme Daten sowie der damit einhergehenden Einschränkung des IFG würde die Informationsfreiheit zudem in vielen Fällen leerlaufen lassen. Bereits die Löschung einer einzigen datenschutzrechtlichen Einwilligungserklärung könnte ausreichen, die Herausgabe von amtlichen Dokumenten zu verweigern. Der vorliegende Versuch des Behebens eines Vollzugsdefizits der DS-GVO droht zu einer erheblichen Vollzugseinschränkung beim IFG zu führen.

 

Der BfDI bemängelt ferner, dass die Studie Konfliktparteien zu einem Konflikt befragt hat, ohne dass eine Einwilligung der jeweils anderen Konfliktparteien vorlag. Bei der Befragung würden dadurch auch personenbezogene Daten der anderen Konfliktpartei verarbeitet - und das ohne Rechtsgrundlage. Wäre wissenschaftliche Forschung zu Konflikten künftig nur noch zulässig, wenn sämtliche datenschutzrechtlich betroffenen Konfliktparteien in die mit der Teilnahme verbundene Datenverarbeitung eingewilligt hätten, so wäre eine Forschung zu Konflikten praktisch nicht mehr möglich.

 

Insofern steht die Freiheit der Forschung (Art. 13 GRCh) dem Grundrecht auf Privatsphäre (Art. 7 GRCh) und dem Grundrecht auf Datenschutz (Art. 8 GRCh) gegenüber. Die DS-GVO erkennt dies in Art. 85 Abs. 1 ausdrücklich an und stellt mit Art. 89 DS-GVO ein Instrumentarium zur Verfügung, um die Risiken für die Betroffenen zu begrenzen. Dazu gehören Auflagen hinsichtlich der Verwahrung der Forschungsdaten und eine baldige Anonymisierung der Ergebnisse. Ein Forschungsverbot für Konfliktforschung generell, wie es der BfDI in letzter Konsequenz fordert, lässt sich der DS-GVO jedoch nicht entnehmen.

 

Im Ergebnis ist der Bescheid des BfDI wenig nachvollziehbar. Er dehnt den Anwendungsbereich der DS-GVO überraschend weit aus und beeinträchtigt dadurch die Interessen der Forschung sowie der Öffentlichkeit. Auch die Betroffenen dürften daran interessiert sein, dass die Forschung nicht ohne Ergebnis bleibt. Der Bescheid scheint am wenigsten das BMFSFJ zu stören, welches die fertige Studie bislang nicht herausgegeben hat.

 

Über den Einzelfall hinaus wirkt der Bescheid zudem als problematischer Präzedenzfall, um künftig IFG-Auskunftsansprüche zu blockieren: Eine einzelne gelöschte Einwilligung könnte bereits reichen, um IFG-Ansprüche leerlaufen zu lassen.