Sommer, SGB V § 287a Federführende Datenschutzaufsicht in der Versorgungs- und Gesundheitsforschung

0 Rechtsentwicklung

Rz. 1

Die Vorschrift wurde durch das Gesetz zum Schutz der Bevölkerung bei einer epidemischen Lage von nationaler Tragweite v. 27.3.2020 (BGBl. I S. 857) mit Wirkung zum 28.3.2020 eingefügt. Für länderübergreifende Vorhaben der Versorgungs- und Gesundheitsforschung mit mehreren öffentlichen und nichtöffentlichen Verantwortlichen wird gegenüber der Aufsichtsbehörde ein Hauptverantwortlicher benannt. Es existiert keine Vorgängervorschrift.

1 Allgemeines

Rz. 2

Zur Beschleunigung und Vereinfachung multizentrischer, länderübergreifender Vorhaben der Versorgungs- und Gesundheitsforschung sieht die Vorschrift die verfahrensrechtliche Koordinierung der Zuständigkeiten verschiedener datenschutzrechtlicher Landesbehörden vor. Die Vorschrift soll eine koordinierte und einheitliche Anwendung der datenschutzrechtlichen Vorschriften ermöglichen und so Verzögerungen und Aufwände bei der Konzeption und Durchführung länderübergreifender Forschungsvorhaben nicht zuletzt im Kontext der Forschung zu COVID-19 vermeiden. Dazu wird bei mehreren Verantwortlichen gegenüber der Aufsichtsbehörde ein Hauptverantwortlicher benannt.

2 Rechtspraxis

2.1 Länderübergreifende Forschungsvorhaben (Satz 1)

Rz. 3

Auf länderübergreifende Vorhaben der Versorgungs- und Gesundheitsforschung (§ 287),

• an denen nichtöffentliche Stellen oder öffentliche Stellen
• des Bundes oder der Länder
• aus zwei oder mehr Ländern

als Verantwortliche beteiligt sind, ist § 27 BDSG anzuwenden. Die anfallenden Sozialdaten können auch ohne Einwilligung des Versicherten verarbeitet werden. Damit wird vermieden, dass auf entsprechende Forschungsvorhaben verschiedene landesrechtliche Regelungen zum Datenschutz angewendet werden. Die Anwendung einheitlichen Bundesdatenschutzrechts berücksichtigt außerdem die wettbewerbliche Situation, in der öffentliche und nichtöffentliche Krankenhausträger stehen. Der Bund hat die Gesetzgebungskompetenz für eine Zuweisung länderübergreifender Forschungsvorhaben in das Datenschutzrecht des Bundes und bewegt sich innerhalb der Grenzen der Öffnungsklausel in Art. 9 Abs. 2 lit. i) und j) der Verordnung (EU) 2016/679 (BT-Drs. 19/18111 S. 27).

Rz. 3a

Der Verweis auf § 27 BDSG bedeutet im Wesentlichen, dass die Verarbeitung besonderer Kategorien personenbezogener Daten i. S. d. Art. 9 Abs. 1 DSGVO auch ohne Einwilligung für Vorhaben der Versorgungs- und Gesundheitsforschung zulässig ist, wenn die Verarbeitung zu diesen Zwecken erforderlich ist und die Interessen des Verantwortlichen an der Verarbeitung die Interessen der betroffenen Person an einem Ausschluss der Verarbeitung erheblich überwiegen (Koch, in: Schlegel/Voelzke, jurisPK-SGB V, 4. Aufl., § 287a Rz. 10).

2.2 Federführende Aufsichtsbehörde (Satz 2)

Rz. 4

Die beteiligten Verantwortlichen benennen einen Hauptverantwortlichen und melden diesen der für die Hauptniederlassung des Hauptverantwortlichen zuständigen Aufsichtsbehörde. Maßgeblich ist der in Art. 4 Nr. 16 der Verordnung (EU) 2016/679 definierte Begriff der "Hauptniederlassung", auf den sich § 40 Abs. 2 Satz 1 BDSG bezieht. Die Hauptniederlassung befindet sich an dem Ort, an dem die maßgebliche Willensbildung erfolgt. Zuständig für das gesamte Forschungsvorhaben ist danach die Aufsichtsbehörde des Hauptverantwortlichen. Die Regelung erfordert eine einheitliche und übereinstimmende Willensbildung unter den Verantwortlichen und entsprechende Willenserklärungen aller Beteiligten gegenüber der zuständigen Aufsichtsbehörde.

Rz. 4a

Regelungen für den Fall der Nichteinigung sind nicht vorgesehen. Sie sind als verzichtbar angesehen worden, da ein Forschungsvorhaben auf freiwilliger Basis und erst dann zustande kommt, wenn die Beteiligten sich über alle Punkte geeinigt haben (Koch, in: Schlegel/Voelzke, jurisPK-SGB V, 4. Aufl., § 287a Rz. 14).

Rz. 4b

Die beteiligten Krankenkassen und Krankenhausträger werden faktisch je nach aufsichtsbehördlicher Zuordnung zwischen einer oder mehreren Landesaufsichtsbehörden und dem Bundesamt für Soziale Sicherung wählen können (Koch, in: Schlegel/Voelzke, jurisPK-SGB V, 4. Aufl., § 287a Rz. 17).

2.3 Zusammenarbeit der Aufsichtsbehörden (Satz 3)

Rz. 5

Jede Aufsichtsbehörde eines Verantwortlichen ist zuständig, sich mit einer bei ihr eingereichten Beschwerde oder einem etwaigen Verstoß gegen die Datenschutz-Grundverordnung zu befassen (Art. 56 DSGVO). Die federführende Aufsichtsbehörde kann das Verfahren an sich ziehen. Die federführende Aufsichtsbehörde arbeitet mit den anderen betroffenen Aufsichtsbehörden zusammen und bemüht sich um einen Konsens (Art. 60 DSGVO).

3 Literatur und Materialien

Rz. 6

Bundesministerium für Bildung und Forschung (Hrsg.), Forschung gestalten, veröffentlicht im Internet unter www.gesundheitsforschung-bmbf.de/de/versorgung.php, zuletzt abgerufen am 25.8.2022.

Spitz/Cornelius, Einwilligung und gesetzliche Forschungsklausel als Rechtsgrundlagen für die Sekundärnutzung klinischer Daten zu Forschungszwecken, MedR 2022 S. 191.

Hoffmann, Die datenschutzrechtliche Einwilligung im Gesundheitsbereich unter der DSGVO – Unter besonderer Berücksichtigung der datenschutzrechtlichen Vorgaben in Deutschland, Diss. Universität Rijeka 2021.

von Kielmansegg, Gesetzgebung im Windschatten der Pandemie: § 287a SGB...