key: cord-1047528-fjkk3o43 authors: Spitz, Markus; Cornelius, Kai title: Einwilligung und gesetzliche Forschungsklausel als Rechtsgrundlagen für die Sekundärnutzung klinischer Daten zu Forschungszwecken date: 2022-03-14 journal: Medizinrecht DOI: 10.1007/s00350-022-6136-7 sha: 8a462b552ca809e241305a7fc5c9feae6597be50 doc_id: 1047528 cord_uid: fjkk3o43 nan Die Nutzung des Erkenntnispotenzials digitalisierter klinischer Daten steht nicht erst seit Ausbruch der weltweiten COVID-19-Pandemie auf der politischen Agenda. Bereits 2017 stellten die Gesundheitsminister der OECD-Staaten in einem gemeinsamen Statement fest "[…] that access to, and the processing of, personal health data can serve health related public interests and bring significant benefits to individuals and society […] ." 1 Normativ treten bei der Weiternutzung klinischer Daten für Forschungszwecke unter anderem Fragen der Zweckbindung und -festlegung i. R. d. Einwilligung auf. Dies gilt insbesondere, wenn Daten aus dem Behandlungskontext für noch nicht konkret festgelegte Forschungszwecke gespeichert und nachfolgend längerfristig genutzt werden sollen. Dies ist etwa der Fall in dem dezentralen Speicherkonzept der vom BMBF geförderten Medizininformatik-Initiative (MI-I). Hier werden Daten aus der Krankenversorgung dezentral am Ort ihrer Entstehung gehalten und via vernetzter Datenintegrationszentren der beteiligten Konsortien, zu denen sich Universitätskliniken und weitere Partner zusammengeschlossen haben, standortübergreifend für viele verschiedene medizinische Forschungszwecke genutzt 2 . Solche umfangreichen und langfristigen Forschungsin frastrukturen stellen den Gold-Standard informierter Einwilligung vor Herausforderungen. Konstruktiv werden die konkreten Forschungsfragen und -projekte sowie die nutzenden Forscher bei solchen Infrastrukturen erst im Lauf der Zeit konkretisiert. Dies wirkt sich auf die Möglichkeit einer detaillierten Aufklärung und Einwilligung aus. Insoweit stellen sich Fragen nach den Möglichkeiten von Einwilligungen mit weit gefasster Zweckbestimmung (broad consent). Deren Zulässigkeit wurde bislang speziell im Biobankkontext diskutiert, wo menschliche Körpersubstanzen bevorratend gelagert und nachfolgend für zu Beginn noch nicht detailliert festgelegte Forschungszwecke genutzt werden 3 . Ob und unter welchen Umständen ein solcher broad consent als Grundlage der Weiterverarbeitung klinischer Daten für Forschungszwecke nach geltendem Recht zulässig ist und welche weiteren Konzepte denkbar sind, um einen breiten wissenschaftlichen Nutzen klinischer Daten mit einem angemessenen Betroffenenschutz zu vereinbaren, soll nachfolgend untersucht werden. Der Zweck, für den die vorliegend betrachteten klinischen Daten erhoben wurden, liegt insbesondere in der ärztlichen Dokumentationspflicht ( § 630 f BGB, § 10 MBO-Ä) sowie der sozialrechtlichen Leistungsabrechnung als Teil der Patientenbehandlung 4 . Jedes Speichern, Übermitteln oder sonstige Verarbeiten der klinischen Daten, das nicht der individuellen Patientenbehandlung, sondern überindividuellen Forschungszwecken dient, stellt eine zweckändernde, rechtfertigungsbedürftige Weiterverarbeitung personenbezogener Daten dar (Art. 5 Abs. 1 lit. a und b DSGVO) 5 . Nach Art. ische Methodenlehre, 4. Aufl. 2021, § 10, Rdnr. 14. 14) Engl: "specific", Franz: "spécifique". 15) Engl: "informed", Franz: "éclairée". 16) Engl: "one or more specific purposes", Franz: "une ou plusieurs finalités spécifiques". 17) Engl: "one or more specified purposes", Franz: "une ou plusieurs finalités spécifiques". 18) Zumindest in der deutschen und engl Fassung. In jedem Fall muss es den Betroffenen überlassen werden, ob sie es bei der initialen breiten Einwilligung belassen wollen oder ob sie bei der Datennutzung für inhaltlich und institutionell völlig divergierende Forschungsprojekte erneut informiert werden und einwilligen möchten. Diese Wahlmöglichkeit gibt auch Erwägungsgrund 33 DSGVO vor 60 . Eine solche Wahlmöglichkeit fehlt indes im Praxisbeispiel, das den Betroffenen nur die Wahl zwischen einer breiten oder verweigerten Einwilligung lässt. Für die praktische Handhabbarkeit eines solchen dynamischen, projektbezogenen Einwilligungsprozesses kann zunehmend auf die wachsenden technischen Möglichkeiten zurückgegriffen werden 61 . Digitale Plattformen, Patientenportale der Krankenhäuser oder die flächendeckend einzuführende elektronische Patientenakte können Betroffene dabei unterstützen, ihre Einwilligung je nach Forschungsfrage anzupassen, zu ändern oder projektbezogen zu widerrufen 62 . Die gewählte Einstellung könnte in einem Einwilligungsmanagement hinterlegt werden, das die Datennutzung entsprechend einem Berechtigungskonzept ermöglicht 63 . Digitale Plattformen können zudem als Kommunikationsschnittstelle des dynamischen Einwilligungsprozesses mit elektronischen Auf klärungsinstrumenten ergänzt werden 64 . Das charmante an diesen Lösungen ist, dass damit gleichzeitig der Anforderung an einen Datenschutz durch Technikgestaltung gem. Art. 25 DSGVO entsprochen werden kann. Die Wahl des Kommunikationskanals muss jedoch auch weniger technikaffine Menschen i. R. analoger, etwa schriftlicher oder mündlicher Einwilligungsprozesse berücksichtigen. Das gegen einen dynamischen Ansatz vorgebrachte Argument, hierdurch werde die Forschung vor unverhältnismäßige Hürden gestellt 65 , entkräftet nicht die datenschutzrechtliche Notwendigkeit einer in sachlicher und institutioneller Hinsicht informierten Entscheidung des Betroffenen. Ein unverhältnismäßiger Aufwand für das Forschungsvorhaben stellt nach geltendem Datenschutzrecht gerade kein Argument für das Abweichen von der konkreten Zweckfestlegung dar. Sowohl die DSGVO als auch die angepassten nationalen Datenschutzregeln sehen einen solchen forschungsbehindernden Aufwand stattdessen als Anwendungsfall der gesetzlichen Forschungsklauseln 66 . Art. 9 Abs. 2 lit. a DSGVO fordert dagegen durch-weg einen festgelegten Zweck und lässt ein Abweichen hiervon nur zum Anheben der an die informierte Einwilligung gestellten Mindestanforderungen zu 67 . Sofern die mit der dynamischen Einwilligung verbundene Re-Kontaktierung des Betroffenen in der Praxis unerwünscht ist oder nicht umsetzbar erscheint, bleibt letztlich nur die Festlegung eines spezifischen Forschungszwecks durch einen bestimmten Verantwortlichen von Beginn an. Dabei dürfte ausreichend sein, wenn die Einwilligung für bestimmte, explizit genannte Krankheitsbilder erteilt wird, wie etwa die Krebsforschung 68 . Vor diesem Regel-Ausnahme-Hintergrund erscheint es bedenklich, dass im Mustertext der MI-I die sachlich und 74 . Es wäre daher bedenkenswert, ob der von der MI-I präferierte Weg einer regelhaften breiten Einwilligung als Schutzgarantie i. R. datenschutzrechtlicher Forschungsklauseln fruchtbar gemacht werden könnte 75 . Eine breite Einwilligung als regelhafte Datenverarbeitungsgrundlage führt zu einer bedenklichen Verwässerung der wesentlichen Grundsätze informierter Einwilligung. Die in der Praxis zu findende Kumulation der breiten Einwilligung mit zusätzlichen Schutzmaßnahmen bewegt sich als Element der informierten Einwilligung im luftleeren Raum, da weder Art. 6 Abs. 1 noch Art. 9 Abs. 2 DS-GVO gesteigerte, über die üblichen technischen und organisatorischen Maßnahmen hinausgehende Schutzgarantien je nach Informationsgrad innerhalb der Einwilligung vorsehen. Anders ist die Situation i. R. d. Forschungsklauseln: Das Zusammenspiel der mit Schutzmaßnahmen kombinierten breiten Einwilligung lässt sich hier dogmatisch sauber in das Regelungsgeflecht einbinden. Hier sehen sowohl Art. 89 Die Betroffenen sollten bereits bei der Auf klärung darüber informiert werden, dass zum aktuellen Zeitpunkt noch nicht alle künftigen Forschungsinhalte und nutzenden Forschungseinrichtungen genannt werden können, sodass ausnahmsweise eine breite Einwilligung eingeholt wird. Zugleich sollten die Betroffenen darauf hingewiesen werden, dass im zeitlichen Verlauf dynamisch über konkrete Forschungsvorhaben und Forschungsstellen informiert und ihre konkrete Einwilligung eingeholt wird, sobald dies möglich ist. Den Betroffenen könnte ermöglicht werden, auf diesen dynamischen Prozess als Ausdruck informationeller Selbstbestimmung zu verzichten 90 . Zusätzlich sollten die Betroffenen darüber informiert werden, dass unter Umständen die nachfolgende konkrete Forschungsverarbeitung auf die gesetzliche Forschungsklausel unter den dortigen Voraussetzungen gestützt werden kann (Art. 9 Abs. 2 lit. j DSGVO i. V. mit § 27 Abs. 1 BDSG). Es sollte erklärt werden, dass dies insbesondere dann geschieht, wenn die Betroffenen nicht erreichbar sind oder unüberwindliche praktische Hürden der erneuten Kontaktaufnahme entgegenstehen. Auf die Überprüfung dieser Voraussetzungen durch eine unabhängige Stelle (etwa eine Spitz/Cornelius, Sekundärnutzung klinischer Daten zu Forschungszwecken MedR (2022) 40: 191-198 197 15, 20; Mausbach, Jusletter 28. 1. 2019, Abstract; in diese Richtung Molnár-Gábor S. 126; für den Einzelfall angepasste Einwilligungen, wie dynamic consent, auch Gutachten Datenethikkommission Datenschutz in Wissenschaft und Forschung Da die Wahl zwischen breiter oder dynamischer Einwilligung den Betroffenen überlassen wird, schränkt die Steigerung der Einwilligungsanforderungen durch dynamische Einwilligung auch nicht die informationelle Selbstbestimmung des Betroffenen in rechtfertigungsbedürftiger Weise ein, anders v. Kielmansegg Opinion on scientific research, 2020, S. 14 ("via an IT interface Auch die Datenethikkommission empfiehlt die Entwicklung und Ausgestaltung von Privacy Management Tools (PMT), die dem Einzelnen die Einwilligungsverwaltung durch technische Lösungen erleichtert sowie Personal Information Management Systems (PIMS), die auf der Dienstleistungsebene für den Betroffenen nach dessen Wahl Entscheidungen übernehmen können Rdnr. 8; Ulbricht/Weber 9 Abs. 2 lit. j DSGVO in Baden-Württemberg konkretisiert, dass öffentliche Stellen personenbezogene Daten für wissenschaftliche Forschungszwecke verarbeiten dürfen, wenn diese Zwecke auf andere Weise nicht oder nur mit unverhältnismäßigem Aufwand erreicht werden können und die Forschungsinteressen die Betroffeneninteressen überwiegen Eine solche Verschärfung der Mindestanforderungen liegt etwa in vereinzelten mitgliedstaatlichen Schriftformerfordernissen (z. B. § 25 Abs. 3 LKHG Bln Allerdings plant die MI-I künftig auch ein dynamisches Einwilligungsmanagement zu ermöglichen, Sachverständigenrat ZD-Aktuell 2020 Zu personenbezogenen, pseudonymisierten und faktisch anonymen Daten im biomedizinischen Forschungskontext s. Spitz/ Cornelius e10229, S. 1, 2 mit Verweis auf den Vorschlag der Kommission für ein Daten-Governance-Gesetz v wissenschaftliche Forschungszwecke") als Art. 9 Abs. 2 lit. a DSGVO ("festgelegte Zwecke") aus, wohingegen andere Landesregelungen "bestimmte Forschungsvorhaben" oder "bestimmte Forschungsprojekte" verlangen (im Krankenhauskontext, auch im Bereich der Einwilligung Abs. 1, 2 LKHG LSA und allgemein § 25 LDSG Bbg Da im vorliegenden Szenario die breite Einwilligung deshalb keine taugliche Rechtsgrundlage mehr bietet, weil der konkrete Forschungszweck nun benannt werden kann, ergibt sich hieraus jedoch keine Einschränkung für die Nutzung der jeweils anwendbaren Forschungsklausel. Dennoch wäre eine vereinheitlichende Regelung gerade für Verbundforschung wünschenswert Zu einer den broad consent ergänzenden Governance-Struktur vgl Bundesgesetz über allgemeine Angelegenheiten gemäß Art. 89 DSGVO und die Forschungsorganisation (Forschungsorganisationsgesetz -FOG), Österreichisches BGBl. 1981/341 i. d. F Im Anwendungsbereich dieses Bundesgesetzes ist die Verarbeitung von Daten ( § 2 b Z. 5) gemäß Art Buchstabe j DSGVO zulässig, wenn die betroffene Person freiwillig, in informierter Weise und unmissverständlich ihren Willen in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung bekundet, mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden zu sein, wobei die Angabe eines Zweckes durch die Angabe (1.) eines Forschungsbereiches oder (2.) mehrerer Forschungsbereiche oder (3.) von Forschungsprojekten oder (4.) von Teilen von Forschungsprojekten erfolgen darf (‚broad consent') Datenschutz in der medizinischen Forschung, 2021, S. 77; so auch die abstrakte DSFA (Art. 35 Abs. 10 und Erwägungsgrund 92 DSGVO) in Anh. 5 Datenschutz-Folgenabschät 536/2014 des Europäischen Parlaments und des Rates v. 16. 4. 2014 über klinische Prüfungen mit Humanarzneimitteln und zur Auf hebung der Richtlinie MedR 2021, 499, 503; zum Umgang mit Betroffenenwidersprüchen im österreichischen § 2 d Abs. 3 FOG Haimberger, Datenschutz in der medizinischen Forschung Zur Berücksichtigung des Betroffenenwiderspruchs i. R. gesetzlicher Forschungsklauseln Metschke/Wellbrock, Datenschutz in Wissenschaft und Forschung Modulare Abweichungen nach Wahl des Betroffenen werden auch unter dem Stichwort des Meta consent diskutiert dem folgenden Beitrag wird aus Gründen der besseren Lesbarkeit ausschließlich die männliche Form verwendet. Sie bezieht sich auf Personen beiderlei Geschlechts sowie Diverse Bei § 287 a SGB V ist problematisch, ob die Regelung nur innerhalb oder auch außerhalb des bereichsspezifischen Sozialdatenschutzrechts gilt, für letzteres Bf DI