(1) Die Verarbeitung von Patientendaten, die im Rahmen des § 27 Abs. 3 gespeichert worden sind, ist für Forschungszwecke zulässig, wenn der Patient eingewilligt hat. § 27 Abs. 3 Satz 2 bis 4 gilt entsprechend.

(2) Patientendaten dürfen ohne Einwilligung des Patienten nur für bestimmte Forschungsvorhaben verarbeitet werden, wenn

1. 1.

   dessen schutzwürdige Belange wegen der Art der Daten, ihrer Offenkundigkeit oder der Art ihrer Nutzung nicht beeinträchtigt werden und

2. 2.

   die für das Krankenhaus zuständige oberste Aufsichtsbehörde nach § 32 Abs. 1 festgestellt hat, dass das öffentliche Interesse an der Durchführung des Forschungsvorhabens die schutzwürdigen Belange des Patienten erheblich überwiegt und der Zweck des Forschungsvorhabens nicht auf andere Weise oder nur mit unverhältnismäßigem Aufwand erreicht werden kann.

Patientendaten sind zu anonymisieren, soweit es der Forschungszweck zulässt. Werden Patientendaten unter den Voraussetzungen des Satzes 1 an mit wissenschaftlicher Forschung beauftragte Empfänger übermittelt, hat das Krankenhaus den Empfänger, die Art der zu übermittelnden Daten, den Kreis der betroffenen Personen, das vom Empfänger genannte Forschungsvorhaben sowie das Vorliegen der Voraussetzungen des Satzes 1 aufzuzeichnen. Der Datenschutzbeauftragte des Krankenhauses ist zu beteiligen.

(3) Jede weitere Verarbeitung der Patientendaten unterliegt den Anforderungen der Absätze 1 und 2. Der Verantwortliche hat sich vor der Übermittlung davon zu überzeugen, dass der Empfänger bereit und in der Lage ist, diese Bestimmungen einzuhalten.

(4) Sobald der Forschungszweck es erlaubt, sind die Merkmale, mit deren Hilfe ein Patientenbezug hergestellt werden kann, gesondert zu speichern. Die Merkmale sind zu löschen, sobald der Forschungszweck dies gestattet. Der Dritte darf Patientendaten nur mit schriftlicher Einwilligung der Betroffenen veröffentlichen.

(5) Soweit die Bestimmungen dieses Gesetzes auf den Empfänger keine Anwendung finden, unterrichtet der Krankenhausträger unverzüglich die für die Einhaltung des Datenschutzes bei dem Empfänger zuständigen Aufsichtsbehörden über die Übermittlung der Daten.