(1) Die Verarbeitung und Nutzung von Patientendaten, die im Rahmen des § 33 Absatz 1 gespeichert worden sind, ist für Forschungszwecke zulässig, wenn die Patientinnen und Patienten eingewilligt haben.

(2) Patientendaten dürfen ohne Einwilligung der Patientinnen und Patienten nur für bestimmte Forschungsvorhaben verarbeitet und genutzt werden, soweit

1. 1.

   dessen schutzwürdige Belange wegen der Art der Daten, ihrer Offenkundigkeit oder der Art ihrer Nutzung nicht beeinträchtigt werden oder

2. 2.

   die für das Krankenhaus zuständige oberste Aufsichtsbehörde festgestellt hat, dass das öffentliche Interesse an der Durchführung des Forschungsvorhabens die schutzwürdigen Belange der Patientinnen und Patienten erheblich überwiegt und der Zweck des Forschungsvorhabens nicht auf andere Weise oder nur mit unverhältnismäßigem Aufwand erreicht werden kann.

Soweit Patientendaten unter diesen Voraussetzungen an Hochschulen oder andere mit wissenschaftlicher Forschung beauftragte Stellen übermittelt werden, hat das Krankenhaus die empfangende Stelle, die Art der zu übermittelnden Daten, den Kreis der betroffenen Personen, das von der empfangenden Stelle genannte Forschungsvorhaben sowie das Vorliegen der Voraussetzungen des Satzes 1 aufzuzeichnen. Der Datenschutzbeauftragte des Krankenhauses ist zu beteiligen.

(3) Jede weitere Nutzung der Patientendaten unterliegt den Anforderungen der Absätze 1 und 2. Die übermittelnde Stelle hat sich vor der Übermittlung davon zu überzeugen, dass die empfangende Stelle bereit und in der Lage ist, diese Vorschriften einzuhalten.

(4) Sobald der Forschungszweck es erlaubt, sind die Merkmale, mit deren Hilfe ein Patientenbezug hergestellt werden kann, gesondert zu speichern. Die Merkmale sind zu löschen, sobald der Forschungszweck dies gestattet. Die Forschung betreibende Stelle darf Patientendaten nur mit schriftlicher Einwilligung der Betroffenen veröffentlichen.

(5) Soweit die Vorschriften dieses Gesetzes auf die empfangende Stelle keine Anwendung finden, dürfen Patientendaten nur übermittelt werden, wenn die empfangende Stelle sich verpflichtet, die Vorschriften der Absätze 2 und 4 einzuhalten und sich insoweit der Kontrolle des Landesbeauftragten für den Datenschutz unterwirft.

(6) Ärztinnen und Ärzte dürfen für eigene Diagnose-, Behandlungs- oder Forschungszwecke Dateien mit Patientendaten anlegen. Ärztinnen und Ärzte haben entsprechend den §§ 21 und 22 des Landesdatenschutzgesetzes insbesondere sicherzustellen, dass Dritte keinen Zugriff auf die Daten haben, soweit sie diese nicht zur Mitbehandlung benötigen. Dazu ist gegenüber dem Krankenhausträger der Nachweis zu erbringen, dass hierzu die technischen und organisatorischen Voraussetzungen zur Durchsetzung des Datenschutzes im Sinne des Gesetzes gewährleistet sind. Sobald es der Verarbeitungszweck erlaubt, sind die Daten zu anonymisieren.