Medizinische Forschung - Neue Entwicklungen in der Forschung mit Gesundheitsdaten

Das zunehmende Bedürfnis, Gesundheitsdaten zu Forschungszwecken auswerten zu können, hat die DSK veranlasst, hierzu Erklärungen abzugeben. Im März 2022 stellte sie grundsätzlich klar, dass Forschung und Datenschutz miteinander vereinbar sind und die Einhaltung datenschutzrechtlicher Anforderungen das notwendige Vertrauen der betroffenen Bürgerinnen und Bürger ermöglicht. Im November 2022 verabschiedete sie die Petersberger Erklärung mit konkreten Anforderungen, die bei der Konzipierung von Forschungsvorhaben sowie der Formulierung von gesetzlichen Grundlagen für die Datennutzung zu Forschungszwecken zu berücksichtigen sind.

Auf EU-Ebene wurden die Leitlinien 3/2020 für die Verarbeitung von personenbezogenen Gesundheitsdaten zu wissenschaftlichen Forschungszwecken im Zusammenhang mit dem COVID-19-Ausbruch verabschiedet. Parallel dazu werden derzeit vom EDSA Leitlinien zur Verarbeitung von personenbezogenen Daten für Forschungszwecke erarbeitet, die Aussagen zur Forschung mit Gesundheitsdaten enthalten und sich mit der Frage der Rechtsgrundlage und der Betroffenenrechte auseinandersetzen sollen. In der EU gibt es mehrere Mitgliedstaaten, die die Zulässigkeit von Forschung mit Gesundheitsdaten unmittelbar durch Gesetze regeln. Nicht abschließend geklärt ist bisher die Reichweite der Regelung in Artikel 5 Abs. 1 lit. b), 2. Halbsatz DSGVO: Unter welchen Voraussetzungen kann der Zweck Forschung vereinbar sein mit dem Zweck, zu dem die Daten ursprünglich erhoben wurden?

Wenn beispielsweise der deutsche Gesetzgeber gesetzliche Grundlagen für die Nutzung von Gesundheitsdaten zu Forschungszwecken vorsehen möchte, so vertritt der BfDI die Auffassung, dass es dem Schutz der sensiblen und besonders zu schützenden Gesundheitsdaten am ehesten gerecht wird, wenn dieses Gesetz eine Zustimmung der Betroffenen als Zulässigkeitsvoraussetzung enthält. Bislang war es in Deutschland auch üblich, die Einwilligung der Betroffenen als Rechtsgrundlage für die Datenverarbeitung zu Forschungszwecken einzuholen. Seit Inkrafttreten des Gesundheitsdatennutzungsgesetzes – GDNG – am 28. März 2024 ist bei der Weiterverarbeitung von Gesundheitsdaten aus der elektronischen Patientenakte zu verschiedenen weiteren Zwecken im Forschungsdatenzentrum Gesundheit eine Einwilligung der Betroffenen nicht mehr erforderlich. Diese haben nunmehr lediglich die Möglichkeit, dieser Verarbeitung zu widersprechen (sog. Opt-out-Modell).

Soweit es sich um andere Verarbeitungen im Forschungskontext handelt – z. B. die Nationale Kohorte oder die Medizininformatikinitiative –, ist noch immer die Einwilligung die zu wählende Rechtsgrundlage. Wenn Forschungsvorhaben und damit der Verarbeitungszweck (noch) nicht abschließend beschrieben werden können – ist eine sog. breite Einwilligung (broad consent) grundsätzlich möglich. Hierbei sind bestimmte Schutzmaßnahmen der verantwortlichen forschenden Stellen erforderlich, welche die Konferenz der unabhängigen Datenschutzbeauftragten des Bundes und der Länder (DSK) in einem Beschluss aus dem Jahr 2019 konkretisiert hat. Es hat in Deutschland Tradition, dass Forschung am Menschen freiwillig sein muss. Letztlich gehört dieses Recht auch zu den anerkannten ethischen Standards im Forschungsbereich, auf die auch die DSGVO verweist. Diese grundsätzliche Freiwilligkeit der Forschung kann dadurch konterkariert werden, dass mit sensiblen personenbezogenen Gesundheitsdaten geforscht wird, ohne dass die Betroffenen sich dagegen wehren können.

In der medizinischen Forschung werden die Gesundheitsdaten standardmäßig pseudonymisiert. Bei einer Pseudonymisierung ist die Re-Identifizierung oder zumindest die Re-Identifizierbarkeit explizit vorgesehen, dies dient dazu, eine Person in einem Datensatz wiederzuerkennen, denn falls nun zu einem späteren Zeitpunkt weitere Gesundheitsdaten zu dieser Person gespeichert werden, soll es möglich sein, diese mit den bisherigen gespeicherten Daten dieser Person zu verknüpfen. Zu diesem Zweck werden dann die Daten dieser Person zusammen mit einem Pseudonym gespeichert. Die Zuordnung zwischen Pseudonym und Identität kann ganz simpel als Tabelle an einem sicheren Ort hinterlegt werden. Es können hierfür jedoch auch kryptographische Verfahren zum Einsatz kommen. Beim Hinzufügen von neuen Daten einer Person wird dann das richtige Pseudonym aus der Tabelle entnommen bzw. berechnet, sodass auch neue Daten einer Person mit den bereits vorhandenen Daten verknüpft werden können. Ohne die Kenntnis der korrekten Zuordnung zwischen Pseudonym und Identität dürfen die Daten jedoch nicht einer spezifischen Person zugeordnet werden. Es muss also auch sichergestellt werden, dass die mit dem Pseudonym verknüpften Daten selbst nicht identifizierende Merkmale aufweisen. Bei pseudonymisierten Daten handelt es sich um personenbezogene Daten; die DSGVO ist voll wirksam.

In Deutschland entstehen immer mehr Register, die medizinische personenbezogene Daten für die Forschung zur Verfügung stellen. Selbst wenn die Datenverarbeitung auf gesetzlicher Grundlage erfolgt, hält der BfDI es für geboten, dass die Betroffenen zusätzlich – als Teil der Rechtsgrundlage – in die Nutzung ihrer Gesundheitsdaten für Forschungszwecke zustimmen müssen. Mindestens aber ist ein Widerspruchsrecht vorzusehen. Dann können sie selbst entscheiden, ob ihre personenbezogenen Gesundheitsdaten für die Forschung zur Verfügung gestellt werden. Die Pseudonymisierung bietet großartige Chancen, die Verarbeitung von personenbezogenen Daten DSGVO-konform zu gestalten. Jedoch bietet die Pseudonymisierung und Verschlüsselung der Daten keinen absoluten Schutz vor einer Re-Identifikation. Je mehr Daten zu einem „Fall“ im Register vorliegen, desto größer ist die Wahrscheinlichkeit einer Re-Identifikation. Umso wichtiger sind zusätzliche Verfahren wie die Aggregierung und Anonymisierung, die Forschung auf verschlüsselten Daten oder die „differential privacy“. Zudem ist die Möglichkeit der Forschung durch verteiltes Lernen oder durch Datenzugang vorrangig zu prüfen, so dass die Forschenden Zugriff auf einen auf ihre Forschungsfrage zugeschnittenen Datensatz im System des Registers („on premise“) und unter dessen Kontrolle erhalten, die Falldaten das Register aber nicht verlassen. Soweit beispielsweise Künstliche Intelligenz einbezogen ist, sollte auch die Möglichkeit der Forschung an synthetischen Datensätzen, die keinen Bezug zu Personen aufweisen, berücksichtigt werden.

nach oben