Patientendaten für Forschungsprojekte: Zweckprivileg und Schutzmaßnahmen

Patientendaten dürfen für ein Forschungsprojekt weiterverarbeitet werden, wenn der konkrete Zweck, die Rechtsgrundlage und die Schutzmaßnahmen zusammenpassen. Das Forschungsprivileg des Art. 5 Abs. 1 lit. b und des Art. 89 DSGVO ersetzt die übrige Zulässigkeitsprüfung nicht. Bei Gesundheitsdaten kommt zusätzlich die besondere Prüfung nach Art. 9 DSGVO hinzu.

Dieser Beitrag zeigt, wie Forschungseinrichtungen eine Sekundärnutzung von Gesundheitsdaten vorbereiten. Im Mittelpunkt stehen die Trennung von Versorgung und Forschung, die doppelte Prüfung nach Art. 6 und Art. 9 DSGVO, Anonymisierung und Pseudonymisierung, Rollen im Forschungskonsortium sowie Risikoanalyse und Datenschutz-Folgenabschätzung.

Gesundheitsdaten gehören nach Art. 9 Abs. 1 DSGVO zu den besonderen Kategorien personenbezogener Daten. Art. 4 Z 15 DSGVO erfasst Informationen über die körperliche oder psychische Gesundheit, wenn sie den Gesundheitszustand offenbaren. Dazu zählen je nach Zusammenhang Diagnosen, Befunde, Therapien, genetische Angaben, Messwerte und Informationen, aus denen sich ein Gesundheitszustand ableiten lässt.

Für die Forschung ist der Informationsgehalt des einzelnen Feldes entscheidend. Eine Fallnummer kann für sich genommen wie ein technischer Identifikator wirken. In Verbindung mit einer separat aufbewahrten Zuordnungsliste bleibt sie aber personenbezogen. Auch eine seltene Erkrankung oder eine Kombination aus Alter, Behandlungsort und Zeitraum kann eine Person indirekt erkennbar machen.

Beginnen Sie deshalb mit einem Dateninventar. Ordnen Sie jede Angabe ihrer Herkunft, ihrem ursprünglichen Zweck und ihrem wissenschaftlichen Nutzen zu. Die Prüfung von Gesundheitsdaten im betrieblichen Präventionsprogramm zeigt ergänzend, warum Datenart und Empfängerkreis getrennt betrachtet werden müssen.

Die Weiterverarbeitung von Patientendaten für wissenschaftliche Forschung ist regelmäßig eine Sekundärnutzung, wenn die Daten ursprünglich für die Behandlung, Abrechnung oder eine andere Aufgabe erhoben wurden. Das Forschungsprotokoll sollte deshalb die ursprüngliche Verarbeitung und das neue Projekt klar nebeneinander beschreiben. Forschungsfrage, Population, Datenfelder, Auswertungsmethode und geplante Empfänger gehören in dieselbe Prüfung.

Art. 5 Abs. 1 lit. b DSGVO sieht vor, dass eine Weiterverarbeitung zu wissenschaftlichen Forschungszwecken unter den Bedingungen des Art. 89 DSGVO grundsätzlich als mit dem ursprünglichen Zweck vereinbar gilt. Daraus folgt eine wichtige Erleichterung. Sie ersetzt weder die Prüfung der Rechtmäßigkeit noch die Wahl einer passenden Rechtsgrundlage und einer Ausnahme nach Art. 9 Abs. 2 DSGVO.

Der EDPB-Konsultationsentwurf zu den Leitlinien 1/2026 beschreibt diese Unterscheidung ausdrücklich. Er hält fest, dass eine Kompatibilitätsvermutung und die Rechtmäßigkeit der Weiterverarbeitung getrennt zu prüfen sind. Bei Gesundheitsdaten sind außerdem allfällige zusätzliche Bedingungen des nationalen Rechts nach Art. 9 Abs. 4 DSGVO einzubeziehen.

Für jede Verarbeitung braucht die Forschungseinrichtung eine Rechtsgrundlage nach Art. 6 DSGVO. Bei Gesundheitsdaten genügt diese Prüfung nicht. Art. 9 Abs. 1 DSGVO enthält zunächst ein Verbot der Verarbeitung besonderer Kategorien. Erst eine passende Ausnahme nach Art. 9 Abs. 2 DSGVO öffnet den Weg für die konkrete Verarbeitung.

Für Forschungsprojekte können je nach Ausgestaltung insbesondere eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a oder eine gesetzliche Regelung nach Art. 9 Abs. 2 lit. j relevant sein. Daneben kommen andere Tatbestände in Betracht, wenn ihre Voraussetzungen wirklich erfüllt sind. Die Einrichtung muss erklären können, warum die gewählte Ausnahme gerade das konkrete Projekt trägt und welche gesetzlichen Bedingungen sie enthält.

Eine Einwilligung ist bei einem langfristigen Forschungsprogramm sorgfältig zu gestalten. Sie muss informiert, freiwillig und widerrufbar sein. Eine breite Einwilligung kann zusätzliche Schutzmaßnahmen und eine klare Beschreibung des Forschungsbereichs verlangen. Die Dokumentation sollte außerdem zeigen, wie mit einem Widerruf und bereits ausgewerteten Ergebnissen umgegangen wird.

Art. 89 Abs. 1 DSGVO verlangt geeignete Garantien für die Rechte und Freiheiten der betroffenen Personen. Die Maßnahmen müssen den Forschungszweck und das konkrete Risiko berücksichtigen. Dazu gehören je nach Projekt Datenminimierung, getrennte Rollen, Zugriffsbeschränkungen, kontrollierte Schlüssel, sichere Arbeitsumgebungen, Löschregeln und Vorgaben für Veröffentlichungen.

Art. 89 DSGVO ist daher keine eigenständige Rechtsgrundlage. Die Norm beschreibt Schutzmaßnahmen und erlaubt unter zusätzlichen gesetzlichen Voraussetzungen bestimmte Einschränkungen von Betroffenenrechten. Die Einrichtung muss zuerst die Zulässigkeit der Verarbeitung klären und danach belegen, welche Garantien die Risiken wirksam begrenzen.

Für Rechte nach Art. 15, 16, 18 und 21 DSGVO können unionsrechtliche oder nationale Ausnahmen vorgesehen sein, wenn die Rechte die spezifische Forschung voraussichtlich unmöglich machen oder ernsthaft beeinträchtigen und die Ausnahme für den Zweck notwendig ist. Eine interne Forschungsordnung allein schafft diese Ausnahme nicht. Voraussetzungen und Umfang müssen aus der einschlägigen Rechtsgrundlage hervorgehen.

Art. 89 Abs. 1 DSGVO verlangt, Forschungszwecke durch Daten zu erfüllen, die eine Identifizierung nicht oder nicht mehr ermöglichen, wenn dies möglich ist. Anonymisierte Daten fallen danach nicht mehr in den Anwendungsbereich der DSGVO. Die Anonymisierung selbst ist jedoch ein Verarbeitungsschritt und muss während ihrer Durchführung rechtmäßig und abgesichert erfolgen.

Wenn die Forschung Verläufe einzelner Personen vergleichen oder Daten über die Zeit verbinden muss, kann eine Pseudonymisierung erforderlich sein. Dabei wird die Zuordnung durch zusätzliche Informationen getrennt geschützt. Pseudonymisierte Daten bleiben personenbezogene Daten. Der Schlüssel darf daher nicht im selben Zugriffskreis wie die Forschungsdaten liegen und die Re-Identifizierung muss auf eng begründete Fälle beschränkt werden.

Prüfen Sie die Wirksamkeit fortlaufend. Seltene Krankheitsbilder, kleine Gruppen, externe Datenquellen und veröffentlichte Ergebnisse können eine Person trotz entferntem Namen erkennbar machen. Das Datenformat sollte bereits im Forschungsplan festgelegt und bei jeder neuen Datenquelle sowie vor einer Veröffentlichung erneut bewertet werden.

In einem Forschungsprojekt arbeiten häufig Krankenhäuser, Universitäten, Sponsorinnen, Pharmaunternehmen und IT-Dienstleister zusammen. Wer über Zweck und wesentliche Mittel entscheidet, ist Verantwortlicher. Treffen mehrere Stellen diese Entscheidungen gemeinsam, kommt eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO in Betracht. Eine Vereinbarung sollte Zuständigkeiten, Betroffenenrechte, Information und Sicherheitsaufgaben praktisch zuordnen.

Ein IT-Dienstleister kann Auftragsverarbeiter nach Art. 28 DSGVO sein, wenn er die Daten nach Weisung verarbeitet. Die Überschrift eines Vertrags entscheidet diese Frage nicht. Maßgeblich sind die tatsächlichen Entscheidungen über Forschungsziel, Datenzugriff, Auswertung, Unterauftragnehmer und eigene Nutzungen des Anbieters.

Zeichnen Sie den Datenfluss vom Krankenhausinformationssystem bis zur Forschungsdatenbank, zu Partnern und in Veröffentlichungen. Für jede Station sollten Datenkategorien, Zweck, Zugriff, Speicherort, Übermittlung und Löschereignis feststehen. Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO kann die laufende Dokumentation unterstützen.

Die Schutzmaßnahmen nach Art. 89 DSGVO beginnen mit einer Risikoanalyse. Bei voraussichtlich hohem Risiko verlangt Art. 35 DSGVO eine Datenschutz-Folgenabschätzung. Bei Gesundheitsdaten sind Umfang, Empfindlichkeit, Verknüpfungen mit anderen Datensätzen, Dauer, Empfänger, Re-Identifizierungsrisiken und geplante Veröffentlichungen besonders relevant.

Die Bewertung sollte auch Folgen außerhalb des Datenschutzes erfassen. Ein Forschungsergebnis kann zu Stigmatisierung, Benachteiligung, Diskriminierung oder einer unerwarteten medizinischen Information führen. Bei seltenen Erkrankungen kann bereits eine pseudonymisierte Veröffentlichung eine Person oder Familie erkennbar machen. Schutzmaßnahmen müssen diese konkreten Folgen berücksichtigen.

Legen Sie vor dem Start fest, wer die Risikoanalyse freigibt, wie Zugriffe kontrolliert werden und wann eine Neubewertung erfolgt. Änderungen am Forschungsprotokoll, neue Datenquellen, zusätzliche Partner oder eine geplante Veröffentlichung können die ursprüngliche Bewertung überholen. Die DSFA ist kein einmaliger Ablagevorgang, sondern eine Grundlage für die Gestaltung und Kontrolle des Projekts.

Patientinnen und Patienten brauchen verständliche Informationen über ursprüngliche Verarbeitung, Forschungszweck, Datenkategorien, Empfänger, Speicherzeit und ihre Rechte. Die Einrichtung sollte einen erreichbaren Prozess für Auskunft, Berichtigung, Löschung, Einschränkung und Widerspruch einrichten. Die Antwort darf nicht dadurch erschwert werden, dass niemand die Zuordnung zwischen Forschungsdaten und Herkunftssystem kennt.

Art. 89 Abs. 2 DSGVO erlaubt Einschränkungen bestimmter Rechte bei Forschung nur unter den dort genannten Bedingungen und auf Grundlage des Unionsrechts oder nationalen Rechts. Die Ausnahme muss für den konkreten Forschungszweck notwendig sein. Ein Forschungsinteresse oder ein allgemeiner Hinweis auf Vertraulichkeit reicht dafür nicht aus.

Informieren Sie auch über den Umgang mit Ergebnissen, die eine Person betreffen könnten. Ob ein individueller Befund mitgeteilt wird, hängt von Forschungsdesign, medizinischer Verantwortung und einschlägigem Recht ab. Diese Entscheidung gehört in das Protokoll und muss mit den Schutzinteressen der betroffenen Personen vereinbar sein.

Beginnen Sie mit dem Forschungsprotokoll und dem Dateninventar. Beschreiben Sie den ursprünglichen Zweck, das neue Forschungsziel, die Datenkategorien, die Population und die geplanten Auswertungen. Markieren Sie direkte Identifikatoren, besondere Kategorien, Schlüssel und Daten, die aus Kombinationen eine Person erkennen lassen.

Danach folgen Rechtsgrundlagen und Rollen. Dokumentieren Sie Art. 6 DSGVO, die passende Ausnahme nach Art. 9 Abs. 2 DSGVO, allfällige nationale Sondervorschriften, Verantwortliche, gemeinsame Verantwortliche und Auftragsverarbeiter. Halten Sie fest, welche Informationen Betroffene erhalten und wie Rechte bearbeitet werden.

Zum Abschluss brauchen Sie eine Risikoanalyse oder gegebenenfalls eine DSFA, ein Schutzkonzept nach Art. 89 DSGVO, Regeln für Anonymisierung oder Pseudonymisierung, eine Schlüsselverwaltung, Zugriffsmatrix, Speicher- und Löschfristen sowie Vorgaben für Partner und Veröffentlichungen. Bei Änderungen am Projekt wird die Prüfung wiederholt.

Wir prüfen Forschungsprotokoll, Dateninventar, Art-6-Rechtsgrundlage, Art-9-Ausnahme, nationales Recht, Rollen, Schutzmaßnahmen und DSFA-Frage gemeinsam. Für die erste Einschätzung helfen das Studienprotokoll, die Datenflussbeschreibung, die Rollenvereinbarung, die geplanten Informationsunterlagen und das Anonymisierungs- oder Pseudonymisierungskonzept. So lässt sich die Sekundärnutzung auf den konkreten Forschungszweck und die erforderlichen Garantien begrenzen.