Datenschutzrecht bei klinischen Studien – Ein europäischer Überblick

Klinische Studien dienen der kontinuierlichen Verbesserung diagnostischer und therapeutischer Verfahren und sind damit ein unverzichtbarer Bestandteil des medizinischen Fortschritts. Untrennbar mit klinischen Studien verbunden ist die Tatsache, dass Tests und Untersuchungen an Patienten durchgeführt und eine große Menge an Gesundheits- und genetischen Daten erzeugt und ausgewertet werden. Die datenschutzkonforme Gestaltung klinischer Studien ist somit von zentraler Bedeutung.

Prüfzentren und Sponsoren müssen bei der Konzeption von klinischen Studien rechtzeitig dafür Sorge tragen, dass die datenschutzrechtlichen Weichen richtig gestellt werden. Dies ist keine einfache Aufgabe, wenn klinische Studien in verschiedenen europäischen Ländern durchgeführt werden. Denn Art. 9 Abs. 2 und 4 der Datenschutz-Grundverordnung („DSGVO“) enthalten sog. Öffnungsklauseln, gemäß denen die EU-Mitgliedsstaaten für die Verarbeitung von Gesundheitsdaten nationale Rechtsvorschriften sowie zusätzliche Bedingungen erlassen können. Zugleich haben sich unterschiedliche Anforderungen aufgrund von Stellungnahmen lokaler Datenschutzbehörden herausgebildet. Es gibt deshalb zahlreiche Rechtsvorschriften und Orientierungshilfen auf lokaler Ebene, die im Rahmen von klinischen Studien berücksichtigt werden müssen.

Wir haben für Sie die nachfolgenden drei Datenschutzthemen im europäischen Kontext näher beleuchtet und in einem Local Country Report zusammengefasst:

Zuweisung datenschutzrechtlicher Verantwortlichkeiten

An klinischen Studien sind zahlreiche Akteure beteiligt, denen Zugriff auf personenbezogene Forschungsdaten gewährt wird (z.B. Sponsoren, Prüfzentren, Clinical Research Organisations). Zentrales Element für die Studienverträge ist deshalb, dass die datenschutzrechtlichen Rollen der Akteure zutreffend definiert und die dafür erforderlichen Datenschutzregelungen getroffen werden (z.B. Data Processing oder Joint Controller Agreement).

Auffällig ist, dass trotz EU-weiter Geltung der DSGVO erhebliche Rechtsunsicherheit besteht, ob und wann diese Akteure (gemeinsam oder alleine) als datenschutzrechtlich Verantwortliche bzw. Auftragsverarbeiter zu qualifizieren sind. Dies betrifft insbesondere die datenschutzrechtliche Rolle des Prüfzentrums. Die lokalen Datenschutzbehörden vertreten hierzu teilweise sehr unterschiedliche Auffassungen. In einigen Länder (z.B. in Deutschland, Österreich und Belgien) sind das Prüfzentrum und der Sponsor i.d.R. als gemeinsame Verantwortliche im Sinne des Art. 26 DSGVO zu qualifizieren. Andere Länder (z.B. Frankreich, Portugal und Großbritannien) betrachten das Prüfzentrum i.d.R. als Auftragsverarbeiter des Sponsors.

Der Europäische Datenschutzausschuss („EDSA“) macht in den Leitlinien 7/2020 (Version 2.0, S. 26) die Beurteilung vom Einzelfall abhängig und stellt auf das Merkmal der Beteiligung des Prüfzentrums an der Entwicklung des Prüfplans ab. Eine einheitliche Bewertung der Rollenverteilung ist deshalb nicht möglich.

In unserem Local Country Report zeigen wir Ihnen, mit welchen datenschutzrechtlichen Rollen Sie in den jeweiligen EU-Ländern bei der Vertragsgestaltung typischerweise rechnen müssen.

Rechtsgrundlage für die Datenverarbeitung im Rahmen der Primärnutzung

Für die Verarbeitung von Gesundheitsdaten im Rahmen der Durchführung von klinischen Studien (sog. Primärnutzung) muss stets die richtige Rechtsgrundlage für die Datenverarbeitung ermittelt werden, die den besonderen Anforderungen des Art. 9 DSGVO entspricht.

Auch hier haben sich in den einzelnen europäischen Ländern unterschiedliche Auffassungen herausgebildet. So verlangen einige besondere Datenschutzgesetze (z.B. in Deutschland) stets die datenschutzrechtliche Einwilligung des Studienteilnehmers (Art. 9 Abs. 2 lit. a) DSGVO). Während andere Länder (z.B. Frankreich, Belgien und Großbritannien) die Datenverarbeitung auch ohne Einwilligung auf Grundlage des allgemeinen Forschungsprivilegs erlauben (Art. 9 Abs. 2 lit. j) DSGVO). Letzteres entspricht auch den Leitlinien des EDSA in seiner Stellungnahme 3/2019.

In unserem Local Country Report zeigen wir Ihnen, auf welche Rechtsgrundlage die Datenverarbeitung im Rahmen der Primärnutzung gestützt werden kann und ob Sie ggf. eine datenschutzrechtliche Einwilligung in Informed Consent Form einholen müssen oder ob ggf. allgemeine Datenschutzhinweise ausreichend sind.

Rechtsgrundlage für die Datenverarbeitung im Rahmen der Sekundärnutzung

Wie bereits bei der Primärnutzung stellt sich auch bei der Sekundärnutzung, d.h. der Weiterverarbeitung bereits gewonnener personenbezogener Forschungsdaten für nachgelagerte Forschungszwecke, die Frage, ob und unter welchen Voraussetzungen eine Datenverarbeitung zulässig ist. Auch hier haben sich in den einzelnen europäischen Ländern unterschiedliche Auffassungen herausgebildet. Allerdings sind die gesetzlichen Regelungen und die regulatorischen Anforderungen (sofern vorhanden) sehr uneinheitlich.

In einigen Ländern muss die Sekundärnutzung auf eine gesonderte Einwilligung gestützt werden (Art. 9 Abs. 2 lit. a) DSGVO). Teilweise wird dabei ein Broad Consent als zulässig erachtet (z. B. in Österreich, Spanien und Großbritannien), der bereits im Rahmen der Primärnutzung eingeholt werden kann. In anderen Ländern wird ein Broad Consent hingegen mangels Transparenz abgelehnt. Hier muss entweder eine neue Einwilligung eingeholt werden (z.B. in Italien und Ungarn), was in der Praxis sehr aufwendig ist, oder die Datenverarbeitung – sofern in den jeweiligen Ländern anerkannt – auf das sog. Forschungsprivileg (Art. 9 Abs. 2 lit. j) DSGVO) gestützt werden (z.B. in Frankreich, Belgien und Großbritannien). In einigen Fällen ist u.U. eine behördliche Genehmigung erforderlich (z.B. in Dänemark und Schweden). Der EDSA hat in seiner Stellungnahme 3/2019 (S. 9 f.) jedenfalls angedeutet, dass neben der Einwilligung weitere Verarbeitungsgrundlagen (wie z.B. Art. 9 Abs. 2 lit. i) bzw. lit. j) DSGVO) in Betracht kommen können.

In unserem Local Country Report zeigen wir Ihnen, auf welche Rechtsgrundlage die Datenverarbeitung im Rahmen der Sekundärnutzung gestützt werden kann und ob Sie ggf. einen datenschutzrechtlichen Broad Consent im Rahmen der Primärnutzung einholen müssen oder sich im Rahmen der Weiterverarbeitung auf das Forschungsprivileg stützen können. Dies kann z.B. Auswirkungen auf die Wahl des Forschungsstandortes haben.

Hier den Local Country Report downloaden

Bitte beachten Sie, dass der Local Country Report nur zu allgemeinen Informationszwecken dient und keine Rechtsberatung im Einzelfall ersetzt. Bitte zögern Sie nicht, uns anzusprechen, wenn Sie eine Bewertung im Einzelfall wünschen. Mit unserem internationalen Netzwerk sind wir in der Lage, Sie schnell und effizient aus einer Hand zu unterstützen.