Im Rahmen einer klinischen Studie wurden sensible Gesundheitsdaten erhoben. Die Einwilligungserklärung für die Probanden enthält u. a. folgende Klausel:
Ich bin damit einverstanden, dass das Biomaterial sowie die pseudonymisierten Daten im Rahmen wissenschaftlicher Kooperationsprojekte im Deutschen Zentrum für Psychische Gesundheit (DZPG) und weiterer Kooperationspartner verwendet werden.
Häufig wird in diesem Zusammenhang auf Erwägungsgrund 33 DSGVO verwiesen. Demnach muss der Zweck der Verarbeitung bei wissenschaftlicher Forschung nicht in allen Einzelheiten festgelegt werden, wenn die Forschungszwecke zum Zeitpunkt der Datenerhebung noch nicht vollständig bestimmbar sind und anerkannte ethische Standards eingehalten werden. Die DSGVO erlaubt eine Einwilligung für bestimmte Bereiche wissenschaftlicher Forschung.
Die Formulierung „wissenschaftliche Kooperationsprojekte weiterer Kooperationspartner" definiert aber weder einen konkreten Forschungsbereich noch einen bestimmten Empfängerkreis. Die Klausel lässt vollkommen offen, wer konkret ein Empfänger der Daten sein wird. „Weitere Kooperationspartner" umfasst potentiell jeden Partner – von öffentlichen Forschungseinrichtungen über Pharmaunternehmen bis zu KI-Konzernen oder ausländischen Institutionen.
Ich frage mich daher, ob diese Klausel den Grundsätzen für die Verarbeitung personenbezogener Daten (Art. 5 DSGVO) genügt und die Anforderungen an eine informierte Einwilligung (Art. 7 DSGVO) erfüllt.
Wie seht Ihr das? Ist eine solche Formulierung Eurer Ansicht nach rechtmäßig – und wenn ja, warum? Gibt es hierzu bereits Stellungnahmen von Aufsichtsbehörden?
Aus meiner Sicht ist das in Ordnung. Immerhin ist die Teilnahme ja freiwillig.
Ich habe jetzt nicht selbst recherchiert - wenn aber hinter “Deutschen Zentrum für Psychische Gesundheit (DZPG)” kein windiges Institut von einem selbsternannten Professor steht, dann wäre das ja auch seriöser, als Daten gleich zu Google, Meta oder sonstige dunkle Kanäle (KI) zu geben.
Die Teilnahme an Studie ist grundsätzlich freiwillig. In der Regel sollte dem Patienten Bedenkzeit eingeräumt werden um ggf. auch auftretende Fragen und/oder Unklarheit zu klären.
Wie das in der Praxis “gelebt” wird, dazu darf sich jeder gerne selbst ein Bild machen.
Die Ausgestaltung von Einwilligungen und Patienteninformation zu Studien ist auch maßgeblich davon abhängig, ob ein DSB eingebunden war, wie intensiv beraten wird und was genau von der Beratung auch wirklich umgesetzt wird.
Ich befasse mich als bDSB sehr viel mit interventionellen und nicht interventionellen klinischen Studien. Leider sind die nicht selten bereits länger am Laufen und eine Fachklinik stößt nur dazu. Nachdem eine Einwilligung die Ethikkommission “durchlaufen” hat, wir es meist schwer einen Sponsor zu bewegen die Einwilligung wieder anzupacken, weil das meist bedeutetet, dass es in eine neue Runde bei der Ethikkommission geht. Im Votum der Ethikkommission ist häufig folgender Vermerk zu finden: “datenschutzrechtliche Aspekte wurden nur kursorisch geprüft. Ein positives Ethikvotum ersetzt nicht die Beratung durch einen Datenschutzbeauftragen” Die datenschutzrechtliche “Prüfung” begrenzt sich dann meist darauf ob eine Einwilligung vorliegt.
Es gibt aber auch ausnahmen. Mir sind schon Einwilligungen untergekommen, die Optionen zum Ankreuzen bei der Einwilligung angeboten hatten oder die Möglichkeit eingeräumt haben, beim Sponsor oder dem Verantwortlichen für die Studie eine Übersicht von Kooperationspartnern abzufragen, die Studiendaten erhalten können.
“Es kommt halt darauf an….” wie die Juristen immer sagen.
Es wäre interessant zu wissen, was der konkrete Titel dieser klinischen Studie ist, weil sich daraus Anhaltspunkte ergeben können, was der Zweck der Datennutzung ist. Und ausgehend von dem Zweck ließe sich sicher eingrenzen, wer oder was überhaupt Kooperationspartner sein könnte. Eine Weitergabe der Daten an beliebige Dritte ist m.E. durch die Formulierung aussgeschlossen. Man könnte auch fragen, ob diese Formulierung auch die Zusage enthält, nicht von dem Recht auf Nutzung der Daten für wissenschaftliche Forschung Gebrauch zu machen, was ja ebenfalls eine Einschränkung der Nutzungsmöglichkeiten der Daten wäre. Grundsätzlich beinhaltet der Auskunftsanspruch auch das Recht zu erfahren, an wen die Daten weitergegeben wurden.
Letztendlich sind all diese Überlegungen aber ohne Kenntnis des gesamten Sachverhalts, insbesondere den genauen Wortlaut der Einwilligungserklärung, ein Stochern im Nebel.
Wer verwechselt das?
Eine Verarbeitung ist rechtmäßig wenn eine der Bedingungen aus Art. 6 Abs. (1) DSGVO zutrifft. Sind zudem auch Daten der besonderen Kategorien Bestandteil der Verarbeitung muss zusätzlich noch eine Bedingung aus Art. 9 Abs. (2) DSGVO zutreffen.
Da gibt keinen Spielraum vor “Branchenüblichkeit”
Wenn Du Dich mit Deiner Bemerkung auf meine Aussage beziehst, dass Sponsoren von Studien oft nur ungerne eine Einwilligung anpassen wegen einer neuen Ethikrunde, dann möchte ich darauf hinweisen, dass DSB lediglich Berater des Verantwortlichen sind. In solchen Fällen äußere ich meine Bedenken, mache wenn möglich Maßnahmenvorschläge, die meine Bedenken ausräumen und kommuniziere das mit der Klinik bzw. der Geschäftsführung. Der Verantwortliche muss dann abwägen, ob er das Risiko tragen will, die vorgeschlagene Maßnahme umsetzt oder im Extremfall ganz auf die Teilnahme verzichtet.
Die Bedingungen an eine datenschutzrechtliche Einwilligung gem. Art. 6 und Art. 9 DSGVO werden in Art. 7 konkertisiert:
Informiertheit (gem. Art. 13/14 DSGVO)
Freiwilligkeit
Widerrufbarkeit
Deine Schlussfolgerungen sind korrekt. Die Diskussion hier ist aus meiner Sicht jedoch nicht zielführend. Wenn Du etwas erreichen willst, dann kannst Du das nur mit dem Verantwortlichen direkt klären. Zur Not gäbe es dann ja auch noch Art. 77….
Diese Informationen ausschließlich dem konkreten Titel einer klinischen Studie entnehmen zu wollen ist eine ambitionierte Herausforderung
Zu jeder klinischen Studie gehört eine ausführliche Patienteninformation, die Zwecke der Studie selbst beschreibt und zudem noch alle erforderlichen Information gem. Art. 13 DSGVO enthalten muss.
