Anwendungsfall · Anwendungsfall · Gesundheit
Gesundheitsdaten rechtssicher für die Forschung bereitstellen
Anonimatum-Team
Kurz gesagt
Gesundheitsdaten sind besondere Kategorien nach Art. 9 DSGVO. Für Forschung verlangen DSGVO und § 27 BDSG Schutzmaßnahmen: so früh wie möglich anonymisieren und bis dahin identifizierende Merkmale getrennt speichern.
Eine kardiologische Klinik möchte fünf Jahre Entlassbriefe an eine Forschungsgruppe geben, die Wiederaufnahmen untersucht. Ein Krebsregister liefert Fälle an eine Universität. Ein Universitätsklinikum beteiligt sich an einer europäischen Multicenter-Studie. Jedes Mal stellt sich dieselbe Frage: Was muss mit den Daten geschehen, bevor sie den Versorgungskontext verlassen?
Die Antwort hängt davon ab, ob das Forschungsteam zum Patienten zurückfinden muss (Nachbeobachtung, Verknüpfung, klinisch relevante Zufallsbefunde) oder mit Informationen auskommt, die niemanden mehr identifizieren. Diese Seite fasst den deutschen und europäischen Rahmen zusammen und schlägt ein praktisches Vorgehen vor. Sie ersetzt weder Ethikkommission noch Datenschutzbeauftragten.
Warum Gesundheitsdaten besonderen Regeln folgen
Gesundheitsdaten und genetische Daten gehören zu den besonderen Kategorien personenbezogener Daten: Art. 9 DSGVO verbietet ihre Verarbeitung, sofern keine Ausnahme greift. Für Forschung verweist Art. 9 Abs. 2 lit. j auf die Garantien des Art. 89: Datenminimierung und, wo der Zweck es zulässt, Pseudonymisierung. Lässt sich das Forschungsziel mit Daten erreichen, die keine Identifizierung mehr erlauben, ist dieser Weg zu wählen.
Neben DSGVO und BDSG gelten in Deutschland häufig Landesrecht (Landeskrankenhaus- und Landesdatenschutzgesetze), die ärztliche Schweigepflicht und für Kliniken der Länder die jeweilige Landesdatenschutzaufsicht. Welche Norm einschlägig ist, hängt vom Träger der Einrichtung ab.
§ 27 BDSG und das Gesundheitsdatennutzungsgesetz
- § 27 Abs. 1 BDSG erlaubt die Verarbeitung besonderer Kategorien ohne Einwilligung für wissenschaftliche Forschung, wenn sie dazu erforderlich ist und die Interessen des Verantwortlichen die der betroffenen Person erheblich überwiegen; angemessene Maßnahmen nach § 22 Abs. 2 BDSG sind Pflicht.
- § 27 Abs. 3 BDSG verlangt, die Daten zu anonymisieren, sobald der Forschungszweck es erlaubt. Bis dahin sind die Merkmale, mit denen Einzelangaben einer Person zugeordnet werden können, gesondert zu speichern und dürfen nur zusammengeführt werden, soweit der Zweck es erfordert.
- § 27 Abs. 2 BDSG schränkt Betroffenenrechte ein, wenn sie den Forschungszweck unmöglich machen oder ernsthaft beeinträchtigen würden.
- Das Gesundheitsdatennutzungsgesetz (GDNG) von 2024 regelt unter anderem in § 6 die Weiterverarbeitung von Versorgungsdaten durch Gesundheitseinrichtungen zu Zwecken der Qualitätssicherung, Patientensicherheit und Forschung, schafft eine Datenzugangs- und Koordinierungsstelle und sieht in § 5 eine federführende Aufsicht für länderübergreifende Vorhaben vor.
- Das GDNG enthält außerdem in § 7 Geheimhaltungspflichten und in § 9 Strafvorschriften, etwa für die unbefugte Re-Identifizierung.
Für Abrechnungsdaten der gesetzlichen Krankenversicherung gibt es mit dem Forschungsdatenzentrum Gesundheit beim BfArM bereits einen eigenen Zugangsweg. Wer dagegen Dokumente aus der eigenen Klinik bereitstellt, etwa Arztbriefe oder Befunde, muss die Pseudonymisierung selbst organisieren. Genau dort entsteht der meiste Aufwand, weil die identifizierenden Angaben nicht in sauberen Feldern stehen, sondern im Fließtext verteilt sind.
Pseudonymisieren oder anonymisieren: die richtige Wahl
Pseudonymisierte Daten bleiben personenbezogen: Jemand verfügt über die Zuordnungsregel zurück zur Identität. Anonymisierte Daten im Sinne von Erwägungsgrund 26 DSGVO lassen sich mit vernünftigerweise wahrscheinlichen Mitteln keiner Person mehr zuordnen und fallen aus dem Anwendungsbereich der Verordnung.
| Aspekt | Pseudonymisierung | Anonymisierung |
|---|---|---|
| Rechtlicher Status | Personenbezogene Gesundheitsdaten | Außerhalb der DSGVO, wenn wirksam |
| Rückverfolgung zum Patienten | Über die Stelle mit der Zuordnungstabelle möglich | Nicht möglich |
| Pflichten in Deutschland | § 27 BDSG, getrennte Speicherung, Ethikvotum | Nachweis, dass Re-Identifizierung nicht mehr realistisch ist |
| Typische Nutzung | Kohorten, Studien, Register | Offene Datensätze, Lehre, Statistik |
Klinische Daten wirksam zu anonymisieren ist schwieriger, als es scheint. Aufnahmedatum, Wohnort und eine seltene Diagnose können schon reichen, um eine Person herauszugreifen. Viele Projekte setzen daher auf sauber organisierte Pseudonymisierung statt auf ein Anonymitätsversprechen, das sich nicht halten lässt.
Die Herausforderung der Freitexte
Strukturierte Datenbanken werden pseudonymisiert, indem man die Patienten-ID ersetzt. Dokumente sind etwas anderes: Entlassbriefe, Verlaufsnotizen, pathologische Befunde oder eingescannte PDFs enthalten Namen von Patienten und Angehörigen, Fallnummern, behandelnde Ärzte, Adressen und Daten quer durch den Text. Genau hier scheitern manuelle Abläufe am häufigsten.
Klinische Dokumente für die Forschung vorbereiten
- Mit der Studienleitung festlegen, welche Variablen wirklich benötigt werden.
- Rollen trennen: Wer pseudonymisiert und die Zuordnung verwahrt, gehört nicht zum Forschungsteam.
- Direkte Identifikatoren finden: Name, Fallnummer, Versichertennummer, Telefon, Anschrift.
- Indirekte Identifikatoren behandeln: genaue Daten, kleine Orte, Beruf, zuweisende Klinik.
- Konsistent ersetzen: Dieselbe Person erhält in allen Dokumenten dasselbe Pseudonym.
- Metadaten entfernen und eine Stichprobe vor der Herausgabe prüfen.
- Das Verfahren in Datenschutz-Folgenabschätzung und Ethikantrag dokumentieren.
Der Europäische Gesundheitsdatenraum
Die Verordnung (EU) 2025/327 über den Europäischen Gesundheitsdatenraum (EHDS) schafft einen Rahmen für die Sekundärnutzung elektronischer Gesundheitsdaten zu Forschung, Innovation und Politikgestaltung über Zugangsstellen für Gesundheitsdaten in jedem Mitgliedstaat. Sie gilt gestaffelt in den kommenden Jahren und bevorzugt anonymisierte Daten; pseudonymisierte Daten werden bei Bedarf in sicheren Verarbeitungsumgebungen bereitgestellt.
Was Anonimatum beiträgt
Anonimatum verarbeitet klinische Dokumente als PDF (auch gescannt, mit OCR), Word, Excel und Bilder mit eigener KI auf Servern in der Europäischen Union, ohne Text an externe Sprachmodelle zu senden. Erkannt werden Namen, Adressen, Datumsangaben und Beträge; mit eigenen Mustern lassen sich hausinterne Fallnummern ergänzen.
- Die Pseudonymisierung ersetzt jeden Wert im ganzen Stapel einheitlich und speichert die Zuordnungstabelle verschlüsselt, sodass die verwahrende Stelle sie behalten kann.
- Tabellen lassen sich spaltenweise behandeln: jede Variable behalten, schwärzen, ersetzen oder pseudonymisieren.
- Jede Erkennung kann vor der Herausgabe geprüft werden; die Stapelverarbeitung bewältigt große Datenexporte.
- Politeia Soft, der Hersteller, ist nach dem spanischen ENS (Kategorie MITTEL) zertifiziert; weitere Zertifizierungen werden nicht beansprucht.
Für den klinischen Alltag siehe auch Patientenakten anonymisieren.
Häufige Fragen
Brauche ich für Forschung mit Bestandsdaten eine Einwilligung?
Nicht zwingend. § 27 BDSG und das GDNG erlauben unter Bedingungen eine Verarbeitung ohne Einwilligung; zusätzlich können Landesrecht und Berufsrecht gelten.
Sind pseudonymisierte Gesundheitsdaten noch personenbezogen?
Ja. Sie bleiben besondere Kategorien nach Art. 9 DSGVO. Nur eine wirksame Anonymisierung führt aus der DSGVO heraus.
Was verlangt § 27 Abs. 3 BDSG konkret?
Anonymisierung, sobald der Forschungszweck es zulässt, und bis dahin getrennte Speicherung der identifizierenden Merkmale, die nur bei Bedarf zusammengeführt werden dürfen.
Wer verwahrt die Zuordnungstabelle?
Eine vom Forschungsteam getrennte Stelle, meist in der datenhaltenden Einrichtung oder bei einer Treuhandstelle, mit Zugriffsschutz gegenüber den Forschenden.
Gilt der Europäische Gesundheitsdatenraum schon heute?
Die Verordnung (EU) 2025/327 ist in Kraft, ihre Regeln zur Sekundärnutzung gelten aber gestaffelt erst in den kommenden Jahren. Bis dahin bleiben DSGVO, BDSG, GDNG und Landesrecht maßgeblich.
Bereiten Sie Datenexporte für die Forschung vor?
Sehen Sie sich die Tarife an und pseudonymisieren Sie klinische Dokumente stapelweise, mit konsistenter Ersetzung und Prüfung vor der Herausgabe.