Rechtlichen Fragen beim Umgang mit Forschungsdaten

Service-Team Forschungsdaten: Frau Seckelmann, herzlichen Dank, dass Sie sich die Zeit für dieses Interview nehmen. Sie sind Professorin für Öffentliches Recht und das Recht der digitalen Gesellschaft und wirken in den unterschiedlichsten Projekten mit. Die haben mal einen medizinischen Schwerpunkt, mal gehen sie eher in Richtung KI-Entwicklung, aber alle bringen eben auch rechtliche Fragestellungen mit sich. Können Sie uns ein bisschen erzählen, mit welchen rechtlichen Fragestellungen Sie sich in den Projekten beschäftigen? 

Margrit Seckelmann: Wie Sie schon gesagt haben, bin ich als Juristin in einigen medizinischen Projekten drin. Da geht es dann insbesondere um eine spezielle Form von Datenschutz mit besonders sensiblen Daten, also Gesundheitsdaten. Da sind besondere Vorkehrungen erforderlich, die wir dann in den Projekten untersuchen. Und wir entwickeln dann auch Vorschläge für die geeigneten technisch-organisatorischen Maßnahmen. 

Zum anderen haben wir KI-Projekte, die ich mit meinen Mitarbeiter*innen erforsche. Da geht es um die noch relativ neue KI-Verordnung, auch im Zusammenspiel mit, zum Beispiel, Datenschutz. Das ist noch gar nicht so richtig geklärt. Es wird gerade der „Digital Omnibus“ von der europäischen Ebene vorgeschlagen, um das Ganze zu harmonisieren. Aber bislang ist da großer Abstimmungsbedarf vorhanden, den wir auch in unseren Projekten dann untersuchen. 

Service-Team Forschungsdaten: Können Sie da vielleicht ein, zwei Beispiele nennen, wie die Problematik im Besonderen aussieht? 

Margrit Seckelmann: Wir machen allgemeine datenschutzrechtliche Projekte oder solche, die forschungsbezogen sind. Wir hatten das Projekt "FoDaHem - Forschungsfreiheit versus Datenschutz", und ein Nachfolgeprojekt ist jetzt "IProDaFo – Integrierte Prozesse für Datenschutz in der Forschung", das im Rahmen der Landesinitiative Forschungsdatenmanagement Niedersachsen läuft. Da beschäftigen wir uns auch mit Vorbehalten von Forschenden gegenüber datenschutzrechtlichen Regelungen und versuchen, Maßnahmen einerseits zur Transparenz und andererseits zur Aufklärung zu entwickeln. Und auch einen Leitfaden, mit dem man sich selbst relativ einfach datenschutzrechtliche Dokumente generieren kann. 

Service-Team Forschungsdaten: Für Forschende, die personenbezogene Daten verarbeiten, ist das Einhalten der gesetzlichen Vorgaben oft schwierig und aufwendig. Wie Sie schon erwähnt haben, haben Sie Forschungsprojekte, die sich mit der Problematik befassen. Sehen Sie Potenzial für eine Vereinfachung der Vorgaben? Oder auch Möglichkeiten, wie die Forschenden im Umgang mit dieser Thematik besser unterstützt werden könnten? 

Margrit Seckelmann: Wir haben im Verlauf der Projekte verschiedene Überlegungen angestellt. Im ersten Teil hatten wir uns stark einerseits mit den rechtlichen Vorgaben beschäftigt und andererseits mit der Ebene der Infrastruktur, also besserer Angebote. Zunächst haben wir untersucht, ob wir nicht Möglichkeiten finden, die datenschutzrechtlichen Vorschriften ein bisschen zu entzaubern, den Forschern die Angst davor zu nehmen, indem man besser erklärt und besser erläutert, wie das Ganze zusammenwirkt mit weiteren Vorschriften, die es ja auch noch zu beachten gilt. Da gibt es ja auch ein gewisses Spannungsverhältnis, zum Beispiel zu den Aufbewahrungsfristen der DFG. Da wollten wir helfen, dass wir das so ein bisschen harmonisieren.

Dann hatten wir [im zweiten Teil] im Projekt FODAHEMM zusammen mit der Professorin der Soziologie, Frau Büchner, ihrem Mitarbeiter Tim Albrecht und meiner Mitarbeiterin Dr. Friederike Knoke, eine Idee zu einer neuen Infrastrukturstelle entwickelt, die Forschende durch den datenschutzrechtlichen Prozess begleitet. Und wir haben ein Dokument entwickelt, das wir "How-to-Leitfaden" genannt haben, wie man ein datenschutzrechtliches Dokument generieren kann. Das ist auch schon im Internet zu finden.

Der dritte Teil geht jetzt weiter im Projekt IProDaFo. Da setzen wir insbesondere auf Vernetzung von Forschenden mit Spezialstellen für Datenschutz. Denn wir haben festgestellt, dass da großer Bedarf ist und auch in den datenschutzrechtlichen Stellen viele gerne jemanden hätten, mit dem sie sich austauschen können. Man muss ja ständig beraten, aber kriegt selbst gar keinen Rat mehr. Und da wollen wir helfen, die Leute zu vernetzen und selber ein bisschen Input zu liefern.

Service-Team Forschungsdaten: Die künstliche Intelligenz ist das große Thema unserer Zeit, auch in der Forschung. Nun wird mit dem verstärkten Einsatz von künstlicher Intelligenz teilweise rechtliches Neuland betreten. Gleichzeitig wird KI aber schon viel verwendet. Was würden Sie sagen, worauf sollten Forschende jetzt schon besonders achten, wenn sie zum Beispiel KI-Systeme selbst entwickeln oder weiterentwickeln, oder eben für Datenanalysen nutzen? Haben Sie da schon Empfehlungen? 

Margrit Seckelmann: Das ist eine sehr schwierige Frage, weil man die gar nicht so abstrakt beantworten kann, weil wir ja sehr konkret gucken müssen, ob wir bei einer KI schon im Hochrisikobereich sind. Das kommt natürlich jetzt auch auf die konkrete Anwendung an. Tendenziell ist alles, was mit Hochschulzulassung usw. zu tun hat, auch Notengebung, Lehre, oft schon Hochrisiko-KI. Bei der Forschung kommt es dann sehr stark darauf an. Was wir können, ist Sensibilisieren: Für Bias-Probleme, für Transparenzanforderungen. 

Wir – ich mit meinen Mitarbeiterinnen und vor allem auch weitere Professorinnen in den Kooperationsprojekten – beschäftigen uns zum Beispiel auch sehr stark mit der Frage „Autorschaft von KI“. Kann die KI sogar selbst Autor sein? Muss man das irgendwie ausweisen, dass man nur noch Koautor mit der KI ist? Und es gibt dann auch in Art. 2 Abs. 6 KI-Verordnung bestimmte Regelungen oder auch Privilegierungen für wissenschaftliche Forschung. Das müssen wir uns im Einzelnen noch mal ganz genau ansehen. 

Ich kann noch gar nicht so viele Regelungen nennen. Ich würde eher sagen, was wir gerade versuchen, ist eher so ein Grundverständnis dafür zu schaffen, wie das Recht hineinwirkt und dass wir letztlich das Recht auch brauchen, um Vertrauen zu stiften. Also dass das Recht im KI-Bereich nicht nur eine Behinderung ist, sondern dass das Recht auch den KI-Einsatz ermöglicht. Da forschen wir gerade drüber. 

Service-Team Forschungsdaten: Bei den Gesundheitsdaten ist natürlich ein großes Thema der Datenschutz. Nach unserer Wahrnehmung ist das auch beim Einsatz von KI häufig so. Vor allen Dingen dann, wenn Large Language Models verwendet werden und man nicht so genau weiß, welche Daten a) da schon drinstecken und b) dann eben eingespeist werden. Gibt es Richtlinien, an denen man sich gut orientieren kann, was man auf jeden Fall lassen sollte oder was man relativ bedenkenlos nutzen kann? 

Margrit Seckelmann: Das ist extrem umstritten. Es gibt da gerade eine ganz neue Entscheidung dazu, ob die Nutzung von personenbezogene Trainingsdaten ein berechtigtes Interesse im Sinne von Art. 6 Abs. 1 lit. f DSGVO ist. Die Europäische Kommission hat dieses Problem auch gerade aufgegriffen und im Rahmen des sogenannten Digital Omnibus Verfahrens – einem neuen Rechtsakt, der die KI-Verordnung mit der Datenschutzgrundverordnung harmonisieren soll – einen neuen Artikel 88c entwickelt, der tatsächlich eine Privilegierung für die Nutzung personenbezogener Daten als KI-Trainingsdaten vorsieht. Solange der noch nicht verabschiedet worden ist, ist da eine rechtliche Grauzone, auf die man wirklich sehr stark achten muss. 

Also es gibt jetzt diese neue Entscheidung, dass das möglicherweise ein berechtigtes Interesse ist. Das würde der Forschung helfen. Wobei man dann auch dazu sagen muss, dass die Forschung [an staatlichen Universitäten] sich gar nicht auf diese littera [Art. 6 Abs. 1 lit. f DSGVO] berufen kann, weil es öffentlicher Dienst ist und das Ganze nur für private [Unternehmen] entschieden wurde. Mit anderen Worten, da muss man momentan noch sehr viel Forschungsarbeit leisten. 

Service-Team Forschungsdaten: De facto ist es also so, dass sich rechtliche Risiken derzeit gar nicht vermeiden lassen. Entweder man lässt komplett die Finger davon, oder man muss damit rechnen, dass es Risiken gibt. Kann man das so sagen? 

Margrit Seckelmann: Auf jeden Fall. Es gibt ja in der Datenschutzgrundverordnung eine Forschungsprivilegierungsklausel. Und es gibt auch in der KI-Verordnung gewisse Forschungsprivilegierungen, die aber lange nicht so weit gehen, wie man sich das vielleicht als Forscher wünschen würde. Daran ist die europäische Ebene bei der Überarbeitung der KI-Verordnung und der DSGVO im Rahmen dieses Digital Omnibus Verfahrens beteiligt. Sie versucht es [das Forschungsprivileg] gerade zu entwickeln, was auch sehr wünschenswert wäre. Bislang ist man da tendenziell immer in einer Grauzone. 

Service-Team Forschungsdaten: Dann hätten wir noch eine Frage, die auch sicherlich beim Thema KI eine Rolle spielt, aber bei weitem nicht nur, nämlich zum Urheberrecht. In unserer Beratungspraxis sind wir immer wieder mit Fragen konfrontiert, die Nutzungs- und Verwertungsrechte an Forschungsdaten betreffen. Stichwort: "Das sind meine Daten" oder wer darf Daten mitnehmen oder nicht mitnehmen usw. Bräuchte es da an der LUH vielleicht klarere Regelungen, insbesondere was Rechte des Arbeitgebers angeht? Oder bräuchte es eher mehr Aufklärung der Forschenden? Wie ist da Ihre Einschätzung. 

Margrit Seckelmann: Forschungsdaten und Urheberrecht ist ein ganz heikles Thema. Für bereits generierte Forschungsdaten gibt es ja auch keinen urheberrechtlichen Schutz, eigentlich. Aber es gibt natürlich einen persönlichkeitsrechtlichen Schutz über die Datenschutzgrundverordnung, falls es meine eigenen personenbezogenen Daten sind. Dann gibt es ein Urheberrecht an Datenbanken, wenn es eine strukturierte Datensammlung ist, und auch hier sind enorme Grauzonen vorhanden. 

Ja, in erster Linie wäre aus meiner Sicht die Aufklärung das Mittel der Wahl. Und ja, leider kann ich Ihnen da so richtig auch nicht helfen. Hier wäre der Gesetzgeber aufgefordert. Es soll ja ein Forschungsdatengesetz geben, das ist ja in der letzten Legislaturperiode nicht mehr verabschiedet und jetzt wieder neu in den Deutschen Bundestag eingebracht worden. Das würde ich natürlich sehr begrüßen, wenn das dann auch verabschiedet würde. Das würde auf jeden Fall schon mal eine gewisse rechtliche Klarheit schaffen.

Service-Team Forschungsdaten: Wobei da ja auch lange der Streit darum ging, was genau dieses Gesetz eigentlich regeln soll. Wir hatten häufig den Eindruck, dass die Dinge, die die Forschung am meisten betreffen, eigentlich am wenigsten geregelt werden, sondern dass es da vielfach eher um Industrieinteressen geht, oder? 

Margrit Seckelmann: Meine Mitarbeiterin, Dr. Friederike Knoke, die mit mir in den FODAHEMM- und IProDaFo-Projekten arbeitet und arbeitete, hat mal den schönen Begriff der Regulierungsinseln geprägt. Also sie hat gesagt, man hat da ein gewisses Gerüst und auch kleinere Regulierungsinseln und dann das große Meer der Dinge, die eben nicht geregelt sind, die aber wahrscheinlich die eigentlich interessanten Dinge sind. Ja, das ist leider frustrierend. Das war auch der Ausgangspunkt für unser Projekt, dass wir einfach große Frustrationserfahrungen bei den Forschenden erlebt haben und dann gehofft haben, die zusammen mit den Soziologen zuerst einmal zu erforschen und dann eben auch organisatorische und rechtliche Hinweise zu erarbeiten. Aber leider können wir da auch nicht immer helfen.

Service-Team Forschungsdaten: Das eine Thema ist die häufig unklare oder unausgereifte Rechtslage. Das andere ist, dass man das ein Stück weit umgehen könnte, indem man einfach proaktiv bestimmte Regelungen auch an einzelnen Universitäten etc. aufstellt. Also Richtlinien verabschiedet, Musterverträge zur Verfügung stellt, Arbeitsverträge entsprechend gestaltet usw. Unser Eindruck ist, dass diese Möglichkeiten an der LUH bei weitem noch nicht ausgeschöpft werden. Also weder von der LUH als Arbeitgeberin noch von den betroffenen Forschenden, die ja auch in der Lage wären, rechtzeitig untereinander vertragliche Vereinbarungen zu schließen. Ist das auch Ihre Wahrnehmung? 

Margrit Seckelmann: Ich glaube nicht, dass die LUH da hinter anderen Wissenschaftseinrichtungen zurück ist. Ich kenne mich jetzt nicht so in der Helmholtz-Gemeinschaft oder so Großforschungsgemeinschaften aus. Da könnte ich mir vorstellen, dass man da schon weiter ist. Für eine Universität, würde ich sagen, ist die LUH da dem Thema gegenüber eher noch aufgeschlossen. Der Data Governance Act und der Data Act erkennen ja jetzt auch schon das Problem, dass Zugangsrechte zu Daten eigentlich das zentrale Thema unserer Zeit sind.  

Service-Team Forschungsdaten: Es muss ja auch gar nicht unbedingt die LUH schlechter sein als andere. Aber das Problem besteht dann eben auch an anderen Unis. Es gäbe ja für alle Forschungseinrichtungen die Möglichkeit, eventuell verstärkt auf lokale Richtlinien zu setzen, um zumindest bei den eigenen Forschenden, die Unsicherheit ein bisschen zu mindern. 

Margrit Seckelmann: Ja, das wäre sehr wünschenswert. Ich weiß auch nicht genau, wie man das adressieren sollte. Das ist eine sehr gute Frage, wer dafür zuständig ist, ob man das schon bei Einstellungen machen muss oder ob man das auf Fachbereichsebene machen muss. Da müsste ich selber noch mal eine Runde drüber nachdenken, wer da eigentlich für zuständig ist. Ob man die Zustimmung zum Einstellungskriterium machen kann, weiß ich auch nicht so genau, ehrlich gesagt. 

Service-Team Forschungsdaten: Damit wären wir mit unseren Fragen schon durch. 

Margrit Seckelmann: Es tut mir leid, dass ich da gar nicht so wirklich helfen kann. 

Service-Team Forschungsdaten: Wir wollten erst einmal nur Ihre realistische Einschätzung. 

Margrit Seckelmann: Also die realistische Einschätzung ist: Ich bewundere das Problem. Wir arbeiten an Antworten, aber so richtig den ganz großen Wurf bekommen wir auch nicht hin. Den hat aber bislang auch sonst niemand hinbekommen, denke ich. 

Service-Team Forschungsdaten: Ich glaube, mit dem Interview können wir zumindest schon noch mal ein bisschen sensibilisieren, wo vielleicht Probleme auftauchen können, und natürlich auch aufzeigen, dass es da leider noch keine perfekte Lösung gibt und man irgendwie mit Workarounds arbeiten muss. 

Margrit Seckelmann: Genau. Frau [Professorin der Soziologie] Büchner hat auch immer den Wortbegriff „Workarounds“ gebraucht, und ich glaube, dass auf der Workaround-Ebene sehr viel da ist, was eben juristisch ein bisschen gefährlich ist, wenn jeder sozusagen unterm Tisch an den Nachfolger Muster-Datenschutzkonzepte weitergibt. Deswegen hatten wir dieses „How-to-Leitfaden“ auch entwickelt, damit wir wenigstens eine Orientierung geben können, wie man ein datenschutzrechtliches Dokument generieren kann, sodass am Ende nicht Fragen adressiert werden, die für das eine Projekt zentral waren, aber für mein Projekt vielleicht gar nicht interessant sind. 

Service-Team Forschungsdaten: Die Aussage „Ja, es gibt noch ganz viele Unklarheiten und rechtliche Probleme“ finden wir auf jeden Fall schon mal gut und ehrlich, denn die bekommt man nicht immer und überall. Häufig heißt es: „Ja, wenn man das und das betrachtet, dann muss es ja so und so sein.“ Aber in Wirklichkeit kann man vielfach nicht mit Gewissheit sagen, es muss so oder so sein. 

Margrit Seckelmann: Das ist leider so. Die Themen sind einfach so wahnsinnig komplex. Man ist da in so einer multikomplexen Arena, und wir versuchen das erstmal alles zu strukturieren, damit die Leute dann so ein bisschen wissen, was sie an verschiedenen Normen alles beachten müssen.

Service-Team Forschungsdaten: Vielen Dank, dass Sie sich die Zeit genommen haben.