Im Rahmen einer klinischen Studie wurden sensible Gesundheitsdaten erhoben. Die Einwilligungserklärung für die Probanden enthält u. a. folgende Klausel:
Ich bin damit einverstanden, dass das Biomaterial sowie die pseudonymisierten Daten im Rahmen wissenschaftlicher Kooperationsprojekte im Deutschen Zentrum für Psychische Gesundheit (DZPG) und weiterer Kooperationspartner verwendet werden.
Häufig wird in diesem Zusammenhang auf Erwägungsgrund 33 DSGVO verwiesen. Demnach muss der Zweck der Verarbeitung bei wissenschaftlicher Forschung nicht in allen Einzelheiten festgelegt werden, wenn die Forschungszwecke zum Zeitpunkt der Datenerhebung noch nicht vollständig bestimmbar sind und anerkannte ethische Standards eingehalten werden. Die DSGVO erlaubt eine Einwilligung für bestimmte Bereiche wissenschaftlicher Forschung.
Die Formulierung „wissenschaftliche Kooperationsprojekte weiterer Kooperationspartner" definiert aber weder einen konkreten Forschungsbereich noch einen bestimmten Empfängerkreis. Die Klausel lässt vollkommen offen, wer konkret ein Empfänger der Daten sein wird. „Weitere Kooperationspartner" umfasst potentiell jeden Partner – von öffentlichen Forschungseinrichtungen über Pharmaunternehmen bis zu KI-Konzernen oder ausländischen Institutionen.
Ich frage mich daher, ob diese Klausel den Grundsätzen für die Verarbeitung personenbezogener Daten (Art. 5 DSGVO) genügt und die Anforderungen an eine informierte Einwilligung (Art. 7 DSGVO) erfüllt.
Wie seht Ihr das? Ist eine solche Formulierung Eurer Ansicht nach rechtmäßig – und wenn ja, warum? Gibt es hierzu bereits Stellungnahmen von Aufsichtsbehörden?
Aus meiner Sicht ist das in Ordnung. Immerhin ist die Teilnahme ja freiwillig.
Ich habe jetzt nicht selbst recherchiert - wenn aber hinter “Deutschen Zentrum für Psychische Gesundheit (DZPG)” kein windiges Institut von einem selbsternannten Professor steht, dann wäre das ja auch seriöser, als Daten gleich zu Google, Meta oder sonstige dunkle Kanäle (KI) zu geben.
Die Teilnahme an Studie ist grundsätzlich freiwillig. In der Regel sollte dem Patienten Bedenkzeit eingeräumt werden um ggf. auch auftretende Fragen und/oder Unklarheit zu klären.
Wie das in der Praxis “gelebt” wird, dazu darf sich jeder gerne selbst ein Bild machen.
Die Ausgestaltung von Einwilligungen und Patienteninformation zu Studien ist auch maßgeblich davon abhängig, ob ein DSB eingebunden war, wie intensiv beraten wird und was genau von der Beratung auch wirklich umgesetzt wird.
Ich befasse mich als bDSB sehr viel mit interventionellen und nicht interventionellen klinischen Studien. Leider sind die nicht selten bereits länger am Laufen und eine Fachklinik stößt nur dazu. Nachdem eine Einwilligung die Ethikkommission “durchlaufen” hat, wir es meist schwer einen Sponsor zu bewegen die Einwilligung wieder anzupacken, weil das meist bedeutetet, dass es in eine neue Runde bei der Ethikkommission geht. Im Votum der Ethikkommission ist häufig folgender Vermerk zu finden: “datenschutzrechtliche Aspekte wurden nur kursorisch geprüft. Ein positives Ethikvotum ersetzt nicht die Beratung durch einen Datenschutzbeauftragen” Die datenschutzrechtliche “Prüfung” begrenzt sich dann meist darauf ob eine Einwilligung vorliegt.
Es gibt aber auch ausnahmen. Mir sind schon Einwilligungen untergekommen, die Optionen zum Ankreuzen bei der Einwilligung angeboten hatten oder die Möglichkeit eingeräumt haben, beim Sponsor oder dem Verantwortlichen für die Studie eine Übersicht von Kooperationspartnern abzufragen, die Studiendaten erhalten können.
“Es kommt halt darauf an….” wie die Juristen immer sagen.
Ich glaube, hier wird Branchenüblichkeit mit Rechtmäßigkeit verwechselt.
Nach Art. 4 Nr. 11 DSGVO ist eine Einwilligung nur wirksam, wenn sie freiwillig, für den bestimmten Fall und in informierter Weise erfolgt. Freiwilligkeit allein genügt nicht. Die Informiertheit konkretisiert sich über Art. 13 DSGVO
Nach Art. 13 Abs. 1 lit. e DSGVO sind die Empfänger oder zumindest Kategorien von Empfängern zu benennen. Eine Formulierung wie „weitere Kooperationspartner“ beschreibt jedoch keine hinreichend bestimmte Empfängerkategorie, sondern eröffnet einen faktisch unbegrenzten Kreis möglicher Datenempfänger.
Nach Art. 13 Abs. 1 lit. c DSGVO muss der Verantwortliche die Zwecke der Verarbeitung mitteilen. Erwägungsgrund 33 erlaubt eine gewisse Offenheit innerhalb bestimmter Bereiche wissenschaftlicher Forschung. EW 33 erlaubt jedoch keine unbegrenzte Zweckoffenheit bzw die Suspendierung von Art. 5 Abs. 1 lit. b. Erwägungsgründe können Normen nicht außer Kraft setzen, sie konkretisieren sie nur.
In der Praxis mag es sein, dass Klauseln weit gefasst werden, um administrativen Aufwand zu sparen und Flexibilität zu behalten. Das ist organisatorisch bequem. Aber Bequemlichkeit ist kein Rechtsmaßstab.
Trotzdem: Danke für Deine Insider-Auskunft zur praktischen Umsetzung der DSGVO. Leider bestätigst Du mein Misstrauen.
Es wäre interessant zu wissen, was der konkrete Titel dieser klinischen Studie ist, weil sich daraus Anhaltspunkte ergeben können, was der Zweck der Datennutzung ist. Und ausgehend von dem Zweck ließe sich sicher eingrenzen, wer oder was überhaupt Kooperationspartner sein könnte. Eine Weitergabe der Daten an beliebige Dritte ist m.E. durch die Formulierung aussgeschlossen. Man könnte auch fragen, ob diese Formulierung auch die Zusage enthält, nicht von dem Recht auf Nutzung der Daten für wissenschaftliche Forschung Gebrauch zu machen, was ja ebenfalls eine Einschränkung der Nutzungsmöglichkeiten der Daten wäre. Grundsätzlich beinhaltet der Auskunftsanspruch auch das Recht zu erfahren, an wen die Daten weitergegeben wurden.
Letztendlich sind all diese Überlegungen aber ohne Kenntnis des gesamten Sachverhalts, insbesondere den genauen Wortlaut der Einwilligungserklärung, ein Stochern im Nebel.
Wer verwechselt das?
Eine Verarbeitung ist rechtmäßig wenn eine der Bedingungen aus Art. 6 Abs. (1) DSGVO zutrifft. Sind zudem auch Daten der besonderen Kategorien Bestandteil der Verarbeitung muss zusätzlich noch eine Bedingung aus Art. 9 Abs. (2) DSGVO zutreffen.
Da gibt keinen Spielraum vor “Branchenüblichkeit”
Wenn Du Dich mit Deiner Bemerkung auf meine Aussage beziehst, dass Sponsoren von Studien oft nur ungerne eine Einwilligung anpassen wegen einer neuen Ethikrunde, dann möchte ich darauf hinweisen, dass DSB lediglich Berater des Verantwortlichen sind. In solchen Fällen äußere ich meine Bedenken, mache wenn möglich Maßnahmenvorschläge, die meine Bedenken ausräumen und kommuniziere das mit der Klinik bzw. der Geschäftsführung. Der Verantwortliche muss dann abwägen, ob er das Risiko tragen will, die vorgeschlagene Maßnahme umsetzt oder im Extremfall ganz auf die Teilnahme verzichtet.
Die Bedingungen an eine datenschutzrechtliche Einwilligung gem. Art. 6 und Art. 9 DSGVO werden in Art. 7 konkertisiert:
Informiertheit (gem. Art. 13/14 DSGVO)
Freiwilligkeit
Widerrufbarkeit
Deine Schlussfolgerungen sind korrekt. Die Diskussion hier ist aus meiner Sicht jedoch nicht zielführend. Wenn Du etwas erreichen willst, dann kannst Du das nur mit dem Verantwortlichen direkt klären. Zur Not gäbe es dann ja auch noch Art. 77….
Diese Informationen ausschließlich dem konkreten Titel einer klinischen Studie entnehmen zu wollen ist eine ambitionierte Herausforderung
Zu jeder klinischen Studie gehört eine ausführliche Patienteninformation, die Zwecke der Studie selbst beschreibt und zudem noch alle erforderlichen Information gem. Art. 13 DSGVO enthalten muss.
