Gesetz zur Nutzung von Gesundheitsdaten zu gemeinwohlorientierten Forschungszwecken und zur datenbasierten Weiterentwicklung des Gesundheitswesens
Veröffentlicht: 25. März 2024

Gesetz zur Nutzung von Gesundheitsdaten zu gemeinwohlorientierten Forschungszwecken und zur datenbasierten Weiterentwicklung des Gesundheitswesens § 1 Dieses Gesetz dient der Regelung der Nutzung von Gesundheitsdaten zu gemeinwohlorientierten Forschungszwecken und zur datenbasierten Weiterentwicklung des Gesundheitswesens als lernendes System.Das Ziel der Nutzung von Gesundheitsdaten ist, eine sichere, bessere und qualitätsgesicherte Gesundheitsversorgung und Pflege zu gewährleisten, Forschung und Innovation zu fördern und das digitalisierte Gesundheitssystem auf Grundlage einer soliden Datenbasis weiterzuentwickeln. § 2 Im Sinne dieses Gesetzes sind oder ist „Gesundheitsdaten“ Gesundheitsdaten im Sinne des Artikels 4 Nummer 15 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1; L 314 vom 22.11.2016, S. 72; L 127 vom 23.5.2018, S. 2; L 74 vom 4.3.2021, S. 35) in der jeweils geltenden Fassung, einschließlich Gesundheitsdaten, die zugleich Sozialdaten nach § 67 des Zehnten Buches Sozialgesetzbuch sind; „personenbezogene Daten“ personenbezogene Daten im Sinne des Artikels 4 Nummer 1 der Verordnung (EU) 2016/679; „datenhaltende Stelle“ natürliche und juristische Personen einschließlich deren Zusammenschlüsse im Sinne von Datenplattformen oder Dateninfrastrukturen, die berechtigt oder verpflichtet sind, Gesundheitsdaten für Forschungszwecke und weitere in diesem Gesetz genannte Zwecke Dritten zur Verfügung zu stellen; dazu gehören insbesondere gesetzlich geregelte datenhaltende Stellen wie das Forschungsdatenzentrum Gesundheit nach § 303d des Fünften Buches Sozialgesetzbuch, das Zentrum für Krebsregisterdaten beim Robert Koch-Institut und die Plattform nach § 64e Absatz 9 des Fünften Buches Sozialgesetzbuch; „Datennutzende“ natürliche und juristische Personen, die Zugang zu Gesundheitsdaten zu Forschungszwecken und weiteren in diesem Gesetz genannten Zwecken begehren oder erhalten haben; „Forschungsvorhaben“ Vorhaben, bei denen Gesundheitsdaten zu den in Artikel 9 Absatz 2 Buchstabe j und Artikel 89 Absatz 1 Satz 1 und Absatz 2 der Verordnung (EU) 2016/679 genannten wissenschaftlichen Forschungszwecken verarbeitet werden; diese Gesundheitsdaten können auch Sozialdaten nach § 67 des Zehnten Buches Sozialgesetzbuch sein; „Gesundheits- und Versorgungsforschung“ Forschungsvorhaben mit dem Ziel, die Gesundheit zu fördern, Krankheiten vorzubeugen, zu heilen und ihre Folgen zu vermindern, die Gesundheitsversorgung und -prävention zu verbessern sowie das Gesundheitswesen weiterzuentwickeln; „datenverarbeitende Gesundheitseinrichtung“ Einrichtungen, in denen für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für die medizinische Diagnostik oder für Zwecke der Versorgung oder Behandlung im Gesundheits- oder Sozialbereich Daten von oder unter der Verantwortung von Angehörigen eines Heilberufs verarbeitet werden, der für die Berufsausübung oder die Führung der Berufsbezeichnung eine staatlich geregelte Ausbildung erfordert; „Sekundärdatennutzung“ die Weiterverarbeitung von Gesundheitsdaten zu anderen Zwecken als denjenigen, für die die Daten ursprünglich erhoben wurden. § 3 Beim Bundesinstitut für Arzneimittel und Medizinprodukte wird eine zentrale Datenzugangs-und Koordinierungsstelle für Gesundheitsdaten eingerichtet. § 4 Die Verknüpfung von pseudonymisierten Daten des Forschungsdatenzentrums Gesundheit nach § 303d des Fünften Buches Sozialgesetzbuch mit pseudonymisierten Daten der klinischen Krebsregister der Länder nach § 65c des Fünften Buches Sozialgesetzbuch sowie die Verarbeitung dieser Daten für Forschungsvorhaben ist nach Maßgabe der folgenden Absätze zulässig. § 5 Sind an einem Vorhaben der Versorgungs- oder Gesundheitsforschung, bei dem Gesundheitsdaten verarbeitet werden, eine oder mehrere öffentliche oder nicht öffentliche Stellen als Verantwortliche derart beteiligt, dass mehr als eine Datenschutzaufsichtsbehörde des Bundes oder der Länder nach Kapitel VI der Verordnung (EU) 2016/679 zuständig ist, und sind diese Stellen nicht gemeinsam Verantwortliche gemäß Artikel 26 der Verordnung (EU) 2016/679, so kann dieses Vorhaben den Datenschutzaufsichtsbehörden zur federführenden Datenschutzaufsicht angezeigt werden. § 6 Datenverarbeitende Gesundheitseinrichtungen dürfen die bei ihnen gemäß Artikel 9 Absatz 2 Buchstabe h und i der Verordnung (EU) 2016/679 rechtmäßig gespeicherten Daten weiterverarbeiten, soweit dies erforderlich ist zur Qualitätssicherung und zur Förderung der Patientensicherheit, zur medizinischen, zur rehabilitativen und zur pflegerischen Forschung oder zu statistischen Zwecken, einschließlich der Gesundheitsberichterstattung. Die nach Satz 1 weiterverarbeiteten, personenbezogenen Daten sind zu pseudonymisieren; sie sind zu anonymisieren, sobald dies im Rahmen der Weiterverarbeitung für den jeweiligen Zweck nach Satz 1 möglich ist.Sind mehrere natürliche Personen in der datenverarbeitenden Gesundheitseinrichtung tätig, hat die Gesundheitseinrichtung ein Rechte- und Rollenkonzept zu erstellen, das gewährleistet, dass nur befugte Personen die in Satz 1 genannten Daten weiterverarbeiten können sowie Weiterverarbeitungen protokolliert und unbefugte Verarbeitungen geahndet werden können.Daten, die nach Absatz 1 Satz 1 weiterverarbeitet werden, sind spätestens 30 Jahre nach Beginn der Weiterverarbeitung nach Absatz 1 Satz 1 zu löschen.§ 14 des Transplantationsgesetzes ist zu beachten. § 7 Datennutzende dürfen Gesundheitsdaten, die ihnen für wissenschaftliche Forschungszwecke verfügbar gemacht wurden, nur für die Zwecke nutzen, für die sie ihnen zugänglich gemacht wurden, und nicht an Dritte weitergeben, wenn dies nicht nach Absatz 3 oder Absatz 4 zulässig ist. Satz 1 gilt auch für Gesundheitsdaten einer Person, die bereits verstorben ist. § 8 Sofern in einem Forschungsvorhaben Gesundheitsdaten auf Grundlage dieses Gesetzes ohne die Einwilligung der betroffenen Personen zu Forschungszwecken verarbeitet werden, sind die für das Forschungsvorhaben Verantwortlichen verpflichtet, das Forschungsvorhaben vor Beginn der Datenverarbeitung in einem von der Weltgesundheitsorganisation anerkannten Primärregister für klinische Studien zu registrieren, sofern ein solches Primärregister die Registrierung des Forschungsvorhabens gestattet.Eine Registrierung nach Satz 1 ist entbehrlich, wenn das Forschungsvorhaben auf Grundlage eines Gesetzes bereits an anderer Stelle registriert wurde.Die für das Forschungsvorhaben Verantwortlichen sind verpflichtet, die Forschungsergebnisse innerhalb von 24 Monaten nach Abschluss des Forschungsvorhabens in anonymisierter Form und in einer für die Allgemeinheit zugänglichen Weise zu veröffentlichen und, sofern das Forschungsvorhaben nach Satz 1 registriert wurde, im jeweiligen Primärregister zu hinterlegen.Behörden können bestimmen, dass Forschungsvorhaben, die sie in Auftrag gegeben haben oder die unter ihrer Rechts- oder Fachaufsicht durchgeführt werden, abweichend von Satz 1 oder Satz 3 nicht registriert werden müssen oder deren Ergebnisse nicht oder erst zu einem späteren Zeitpunkt veröffentlicht werden müssen, sofern dies zum Schutz von besonderen öffentlichen Belangen gemäß § 3 des Informationsfreiheitsgesetzes erforderlich ist. § 9 Mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe wird bestraft, wer entgegen § 7 Absatz 1 Gesundheitsdaten nutzt, weitergibt oder entgegen § 7 Absatz 2 die bereitgestellten Daten verarbeitet.