Daten, Patienten und Grenzen: Datenschutzrecht und globale regulatorische Fragmentierung

# Daten, Patienten und Grenzen: Datenschutzrecht und globale regulatorische Fragmentierung

Eine Patientin in München nimmt an einer dezentralen klinischen Studie für ein neues orales Onkologikum teil. Ihr Wearable überträgt Herzfrequenz- und Aktivitätsdaten an einen Cloud-Server. Steht dieser Server in Virginia, verstößt der Studiensponsor möglicherweise schon gegen das Recht, bevor die erste Dosis verabreicht wird. Das ist kein Gedankenspiel, sondern der Arbeitsalltag jedes Pharmaunternehmens, das Studien oder Patient Support Programme in mehr als einer Jurisdiktion betreibt.

Datenschutzrecht ist in der Pharmaindustrie längst keine juristische Randnotiz mehr. Es bestimmt, wo Daten gespeichert werden dürfen, wie Einwilligungserklärungen formuliert sind, welche Vendoren eingesetzt werden kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen und manchmal, ob ein Studienzentrum überhaupt ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen →öffnen darf.

Warum Datenschutzrecht Pharma härter trifft als die meisten Branchen

Pharmaunternehmen verarbeiten einige der sensibelsten Datenkategorien überhaupt: genetische Informationen, psychiatrische Befunde, HIV-Status, Daten zur reproduktiven Gesundheit und biometrische Identifikatoren aus Wearables und Sensoren. Aufsichtsbehörden weltweit klassifizieren diese als „besondere Kategorien“ oder „sensible“ Daten, was höhere rechtliche Hürden für Erhebung und Nutzung bedeutet.

Dazu kommen drei weitere Kräfte:

• Klinische Studien sind von Natur aus grenzüberschreitend. Eine einzige Phase-III-Studie für ein Herz-Kreislauf-Medikament kann gleichzeitig Patienten in den USA, Deutschland, Japan und Brasilien einschließen, jeweils mit unterschiedlichen Regeln zu Einwilligung und Datentransfer.
• Patient Support Programme (PSPs), also Services, die Patienten bei komplexen Therapien unterstützen (Injektionstraining, Adherence-Erinnerungen, Hilfe bei der Kostenübernahme), erfordern eine laufende Erhebung von Gesundheitsdaten außerhalb des Studienkontexts, häufig über Callcenter oder Apps von Drittanbietern.
• Real-World Evidence (RWE) und Post-Marketing-Surveillance stützen sich zunehmend auf elektronische Patientenakten, Abrechnungsdaten von Versicherern und Registerdaten, die alle lokalen Regeln für Gesundheitsdaten unterliegen.

Die drei Regime, die jeder Pharma-Professional kennen muss

HIPAA (USA)

Der Health Insurance Portability and Accountability Act (1996), durchgesetzt vom HHS Office for Civil Rights (OCR), regelt „protected health information“ (PHI) im Besitz von „covered entities“ (Krankenhäuser, Versicherer, Kliniken) und deren „business associates“.

Wichtiger Praxispunkt: HIPAA erfasst Pharmaunternehmen selbst oft nicht direkt. Ein Hersteller, der eine Studie sponsert, ist in der Regel keine covered entity. Sobald ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → aber einen Vertrag mit einem Krankenhaus schließt oder identifizierbare Patientendaten von einem Gesundheitssystem erhält, greifen die Anforderungen an das Business Associate Agreement (BAA) nach HIPAA. Diese schreiben vor, wie die Daten zu sichern sind, wer darauf zugreifen darf und welche Fristen für Meldungen von Datenschutzverletzungen gelten (60 Tage zur Information der betroffenen Personen, gemäß den HHS Breach Notification Rules).

DSGVO (EU)

Die Datenschutz-Grundverordnung (2016, seit 2018 anwendbar) ist breiter und strenger. Sie gilt für alle „personenbezogenen Daten“ von EU-Ansässigen, unabhängig davon, wo das verarbeitende Unternehmen sitzt. Durchgesetzt wird sie von den nationalen Datenschutzaufsichtsbehörden (DPAs), koordiniert vom Europäischen Datenschutzausschuss (EDSA).

Für Pharma sind drei DSGVO-Mechaniken am wichtigsten:

1. Rechtsgrundlage für die Verarbeitung. Einwilligung ist eine Option, aber bei klinischen Studien werden stattdessen oft „berechtigtes Interesse“ oder „öffentliche Gesundheit“ herangezogen, weil eine Einwilligung freiwillig erteilt und jederzeit widerrufbar sein muss, was mit den Anforderungen an die Datenintegrität in Studien unvereinbar ist.

2. Beschränkungen für grenzüberschreitende Datentransfers. Die Übermittlung von EU-Patientendaten in die USA erfordert einen gültigen Transfermechanismus, wobei Standardvertragsklauseln (SCCs) der häufigste sind, nachdem der EU-US Privacy Shield 2020 durch das *Schrems II*-Urteil des Gerichtshofs der EU für unwirksam erklärt wurde. Der EU-US Data Privacy Framework von 2023 hat einen formalen Angemessenheitsweg wiederhergestellt, doch Unternehmen legen zusätzlich SCCs als Absicherung darüber.

3. Bußgelder mit Zähnen. Bis zu 4 % des globalen Jahresumsatzes oder 20 Millionen Euro, je nachdem, welcher Betrag höher ist. Das ist nicht symbolisch: Mehrere Pharma- und Health-Tech-Unternehmen mussten millionenschwere DSGVO-Bußgelder für unsachgemäßen Umgang mit Gesundheitsdaten zahlen (siehe das öffentliche Enforcement-Register des EDSA).

Datenlokalisierungsvorschriften (länderspezifisch)

Eine wachsende Zahl von Ländern verlangt, dass bestimmte Gesundheits- oder Gendaten auf Servern innerhalb der Landesgrenzen gespeichert oder mindestens verarbeitet werden:

• Chinas Personal Information Protection Law (PIPL, 2021) und die zugehörigen Cybersicherheitsregeln verlangen Sicherheitsprüfungen, bevor Gesundheits- und Gendaten das Land verlassen. Chinas Regeln zu humangenetischen Ressourcen beschränken darüber hinaus den Export biologischer Proben und der damit verbundenen Daten.
• Russlands Datenlokalisierungsgesetz verlangt, dass personenbezogene Daten russischer Staatsbürger zunächst auf russischen Servern gespeichert werden.
• Indien hat im Rahmen seines Digital Personal Data Protection Act (2023) Lokalisierungsanforderungen für sensible personenbezogene Daten diskutiert (und teilweise umgesetzt).

Der praktische Effekt: Eine globale Studie kann kein einziges zentrales Data WarehouseData WarehouseA central repository that consolidates data from many source systems into a structured, query-optimized store designed for analytics, reporting, and business intelligence.Vollständige Definition ansehen → nutzen. Unternehmen bauen regionale Datenarchitekturen auf, speichern Rohdaten teils lokal und übermitteln international nur de-identifizierte, aggregierte Ergebnisse.

Was das operativ bedeutet: Studien und PSPs neu gestalten

Design klinischer Studien

• Einwilligungserklärungen müssen lokalisiert werden, nicht nur übersetzt. Die granulare Einwilligung und die Widerrufsformulierungen der DSGVO unterscheiden sich von den Authorization Forms nach HIPAA, die sich wiederum von den Einwilligungsanforderungen des chinesischen PIPL unterscheiden.
• Data Flow Mapping wird zu einem Deliverable vor Studienstart: Sponsoren müssen dokumentieren, wo jeder Datenpunkt (Laborwert, Bilddatei, Wearable-Stream) erhoben, gespeichert und übermittelt wird, bevor ein einziger Patient eingeschlossen wird.
• De-Identifikation und Pseudonymisierung werden unterschiedlich gehandhabt: HIPAA kennt eine spezifische „Safe Harbor“-Methode (Entfernen von 18 Identifikatoren) oder eine „Expert Determination“-Methode; die DSGVO behandelt pseudonymisierte Daten weiterhin als personenbezogen, wenn eine Re-Identifikation möglich ist, ein strengerer MaMaUsing software to automate repetitive marketing tasks and campaigns, enabling personalisation at scale across channels like email, web, and social.Vollständige Definition ansehen →ßstab.

Patient Support Programme

PSPs sind besonders exponiert, weil sie durchgehend laufen und nicht für einen festen Studienzeitraum, und weil oft Vendoren (Callcenter, App-Entwickler) identifizierbare Gesundheitsdaten in großem Umfang verarbeiten.

Praktische Anpassungen, die Unternehmen vornehmen:

• Regionale PSP-Vendoren statt einer globalen Plattform, um Daten innerhalb der erforderlichen Grenzen zu halten.
• Getrennte Consent-Flows für die PSP-Anmeldung und die Studienteilnahme, da Rechtsgrundlage und Aufbewahrungsregeln unterschiedlich sind.
• KKThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →ürzere Aufbewahrungsfristen in DSGVO-Märkten (Löschung, sobald der Unterstützungszweck endet) gegenüber den in den USA üblichen längeren Fristen.

Ein vereinfachtes Snippet zur Datenfluss-Entscheidung

Pharma-Datenschutzteams kodifizieren diese Prüfungen häufig in einem Regelwerk zur Data GovernanceData GovernanceData governance is the set of policies, roles, and processes that ensure data is accurate, secure, well-defined, and used responsibly across an organization.Vollständige Definition ansehen →. Eine vereinfachte Version:

IF data_subject_location == "EU":
    require_legal_basis(GDPR)
    IF destination_country not in adequacy_list:
        require_SCCs_or_DPF()
ELIF data_subject_location == "US" AND data_holder == "covered_entity_or_BAA":
    apply_HIPAA_safeguards()
ELIF data_subject_location == "China":
    require_PIPL_security_assessment()
    restrict_genetic_data_export()
ELSE:
    apply_local_data_protection_law()

Das ist keine wortwörtliche Software, die die meisten Unternehmen betreiben, aber es spiegelt die Logik, die in realen Data-Governance-Plattformen von Pharma-Rechts- und IT-Teams steckt.

Das Fragmentierungsproblem, und warum es schlimmer wird

Es gibt keinen globalen Standard für Gesundheitsdaten. Die Weltgesundheitsorganisation (WHO) hat keine verbindliche Datenschutzkompetenz. Ansätze wie die grenzüberschreitenden Datenschutz-Frameworks der OECD bleiben freiwillig. Gleichzeitig verabschieden immer mehr Länder eigene Gesetze: Brasiliens LGPD, Südkoreas PIPA, Saudi-Arabiens PDPL.

Für ein Pharmaunternehmen, das Studien in 15 Ländern durchführt, bedeutet das 15 sich überlagernde Compliance-Regime, nicht einen harmonisierten Standard. Legal- und Regulatory-Affairs-Teams arbeiten zunehmend mit Datenschutzbeauftragten zusammen, die direkt in den Clinical Operations sitzen und nicht nur in einer zentralen Compliance-Abteilung.

Key Takeaways

• HIPAA (USA) und DSGVO (EU) sind nicht austauschbar: HIPAA zielt vor allem auf covered entities und business associates; die DSGVO gilt extraterritorial für jeden, der Daten von EU-Ansässigen verarbeitet, mit weitaus höheren Höchstbußgeldern (4 % des globalen Umsatzes).
• Mechanismen für grenzüberschreitende Datentransfers (SCCs, EU-US Data Privacy Framework) sind rechtlich erforderliche Infrastruktur für jede multinationale Studie, kein optionaler Papierkram.
• Datenlokalisierungsgesetze (Chinas PIPL, Russland und andere) erzwingen eine regionale Datenarchitektur: Rohdaten dürfen das Erhebungsland oft nicht verlassen, nur de-identifizierte Aggregate.
• Einwilligungserklärungen, Aufbewahrungsfristen und die Vendorenauswahl müssen sowohl für klinische Studien als auch für Patient Support Programme Markt für Markt lokalisiert werden, nicht global standardisiert.
• Es gibt keinen einheitlichen globalen Standard für Gesundheitsdatenschutz; die Fragmentierung nimmt zu, da immer mehr Länder eigene Gesetze verabschieden. Dedizierte Privacy Governance wird damit zu einer Kernfunktion im Pharmabetrieb, nicht zu einer Nebenfunktion.