(1) Nach § 33 Absatz 1 erhobene personenbezogene Daten von Patientinnen und Patienten dürfen abweichend von Artikel 9 Absatz 1 der Datenschutz-Grundverordnung in dem Krankenhaus, das die Daten erhoben hat, für Forschungszwecke weiter verarbeitet werden. Voraussetzung dafür ist, dass die Patientin oder der Patient schriftlich oder in elektronischer Form in die Datenverarbeitung eingewilligt hat oder dass die für das Krankenhaus zuständige Ethikkommission unter Beteiligung der Datenschutzbeauftragten oder des Datenschutzbeauftragten das öffentliche Interesse an dem jeweiligen Forschungsvorhaben festgestellt hat und mindestens eine der nachfolgenden Bedingungen erfüllt ist:

1. 1.

   die personenbezogenen Daten der Patientinnen und Patienten werden vor deren Bereitstellung anonymisiert,

2. 2.

   die Bereitstellung personenbezogener Daten der Patientinnen und Patienten erfolgt, nachdem eine Treuhandstelle diese pseudonymisiert hat und nur die Treuhandstelle in der Lage ist, sie einer natürlichen Person zuzuordnen,

3. 3.

   die Datenverarbeitung erfolgt ausschließlich durch die damit beauftragte Person in einem speziell für das jeweilige Forschungsvorhaben vom Krankenhaus bereitgestellten Datenverarbeitungssystem, das von den für die Behandlungsdaten und Verwaltung genutzten Datenverarbeitungssystemen im Krankenhaus getrennt ist.

(2) Um die Bereitstellung der personenbezogenen Daten von Patientinnen und Patienten zu den Zwecken des Absatzes 1 zu ermöglichen, dürfen die im Rahmen des § 33 Absatz 1 erhobenen personenbezogenen Daten der Patientinnen und Patienten auch ohne Bezug zu einem bereits konkretisierten Forschungsvorhaben in einem speziell für Forschung vorgesehenen System, das von den für die Behandlung und Verwaltung genutzten Systemen im Krankenhaus getrennt ist, gespeichert, aufbereitet, in standardisierte Formate übertragen oder anonymisiert werden (Forschungsdatensystem). Das Krankenhaus kann durch Vertrag nach Artikel 28 der Datenschutz-Grundverordnung eine andere Stelle mit der Datenverarbeitung nach Satz 1 beauftragen. Die personenbezogenen Daten der Patientinnen und Patienten dürfen in diesem System höchstens für die Dauer von fünf Jahren in einer Form gespeichert werden, die die Identifizierung der Patientinnen und Patienten ermöglicht. Diese Höchstfrist verlängert sich jeweils um weitere fünf Jahre, wenn die Patientinnen und Patienten vor Ablauf der Frist aus Satz 3 erneut auf ihr Widerspruchsrecht nach Absatz 5 Satz 1 hingewiesen werden. Nach Ablauf der Frist sind die Daten zu anonymisieren oder zu löschen.

(3) Eine Verarbeitung zu anderen als im öffentlichen Interesse liegenden Forschungszwecken wie sie in Absatz 1, 2 und § 37a normiert sind, ist unzulässig.

(4) Das Krankenhaus ist für die Datenverarbeitung nach Absatz 1 und 2 datenschutzrechtlich verantwortlich. Jede Bereitstellung personenbezogener Daten der Patientinnen und Patienten für konkrete Forschungsvorhaben ist zu dokumentieren. Werden personenbezogene Daten für ein konkretes Forschungsvorhaben bereitgestellt, ist dieses in das Verzeichnis von Verarbeitungstätigkeiten aufzunehmen.

(5) Unbeschadet der Informationspflichten aus Artikel 12 bis 14 der Datenschutz-Grundverordnung und der Betroffenenrechte aus Artikel 15 bis 22 Datenschutz-Grundverordnung können Patientinnen und Patienten einer Verarbeitung nach Absatz 1 Nummer 2 und 3, Absatz 2 sowie nach § 37a Absatz 1 Nummer 1 und 3 voraussetzungslos widersprechen. Das Krankenhaus darf die personenbezogenen Daten der Patientinnen und Patienten ab diesem Zeitpunkt zu den Zwecken des Absatzes 1 Nummer 3 und Absatz 2 und des § 37a Absatz 1 Nummer 3 nur in einer Weise verarbeiten, die die Identifizierung der betroffenen Person nicht mehr ermöglicht. Im Falle des § 37 Absatz 1 Nummer 2 und des § 37a Absatz 1 Nummer 2 unterrichtet das Krankenhaus die Treuhandstelle über den Widerspruch, welche unverzüglich die Merkmale löscht, die eine Zuordnung der personenbezogenen Daten der Patientinnen und Patienten zu einer natürlichen Person ermöglichen. Hat das Krankenhaus im Einzelfall festgestellt, dass der Widerspruch die Verwirklichung des Forschungszwecks unmöglich macht oder ernsthaft beeinträchtigt, müssen die Merkmale abweichend von Satz 3 nicht gelöscht werden. Die Gründe, die einer Löschung nach Satz 3 entgegenstehen, sind zu dokumentieren. Personenbezogene Daten der Patientinnen und Patienten aus bildgebenden Verfahren, Biomaterialien oder genetischen Daten, die nach Absatz 1 Nummer 2 und 3, Absatz 2 und § 37a Absatz 1 Nummer 2 und 3 verarbeitet worden sind, sind im Falle eines Widerspruchs zu löschen. Das Krankenhaus darf die personenbezogenen Daten von Patientinnen und Patienten erst nach Ablauf einer Frist von vier Wochen ab dem Zeitpunkt der Kenntnisnahme des Widerspruchsrechts für die Zwecke des Absatzes 1 Nummer 2 und 3 und Absatz 2 sowie des § 37a Absatz 1 Nummer 2 und 3 verarbeiten.

(6) Über das Widerspruchsrecht nach Absatz 5 sind die Patientinnen und Patienten vor der Erhebung der personenbezogenen Daten, soweit dies aus gesundheitlichen Gründen der betroffenen Person unmöglich ist, unverzüglich nach dem Wegfall dieser Gründe, zu informieren. Das Krankenhaus muss die Kenntnisnahme dieser Information nachweisen können. Um Patientinnen und Patienten mehr Mitwirkungs- und Gestaltungsmöglichkeiten einzuräumen, kann das Krankenhaus zusätzlich zu dem allgemeinen voraussetzungslosen Widerspruchsrecht auch ein gestaffeltes Widerspruchsrecht anbieten. Dieses ermöglicht den Patientinnen und Patienten gezielt einzelnen Verarbeitungen, wie beispielsweise der Übermittlung an Stellen außerhalb des Krankenhauses nach § 37a, zu widersprechen.

(7) Soweit personenbezogene Daten der Patientinnen und Patienten für konkrete Forschungsvorhaben bereitgestellt werden, sind diese zu anonymisieren, sobald es der Forschungszweck erlaubt. Kann der Forschungszweck auf diese Weise nicht erreicht werden, ist die Verarbeitung mit pseudonymisierten Daten zulässig. Können Patientendaten, insbesondere aus bildgebenden Verfahren, Biomaterialien oder genetische Daten, aus tatsächlichen Gründen weder anonymisiert noch pseudonymisiert werden, müssen angemessene technische und organisatorische Maßnahmen getroffen werden, die die Herstellung eines Personenbezugs durch die Forschenden verhindern, sobald der Forschungszweck es zulässt.

(8) Eine Kontaktaufnahme zu Patientinnen und Patienten nach Abschluss der Behandlung ist nur mit ausdrücklicher Einwilligung der Patientinnen und Patienten zulässig. Dies gilt nicht, wenn die Kontaktaufnahme ausschließlich dazu dient, die Patientinnen und Patienten über das voraussetzungslose Widerspruchsrecht nach Absatz 5, Absatz 6 oder der Erfüllung der Zwecke aus § 33 zu informieren.

(9) Die Verarbeitung nach Absatz 1 und 2 ist nur durch Personen zulässig, die unmittelbar oder als mitwirkende Person einem Berufsgeheimnis oder einer vergleichbaren gesetzlichen Verschwiegenheitspflicht unterliegen, sich auf gesetzliche Zeugnisverweigerungsrechte berufen und die Herausgabe der personenbezogenen Daten von Patientinnen und Patienten unter Verweis auf ein gesetzliches Beschlagnahmeverbot oder eine vergleichbare gesetzliche Regelung verweigern können. Satz 1 gilt auch für Personen, die im Rahmen ihrer Tätigkeit Zugriff auf die Systeme nach Absatz 1 Nummer 2 und 3 oder Absatz 2 erhalten.