(1) Nach § 33 Absatz 1 erhobene personenbezogene Daten von Patientinnen und Patienten dürfen abweichend von Artikel 9 Absatz 1 der Datenschutz-Grundverordnung unter der datenschutzrechtlichen Verantwortung des Krankenhauses, bei dem die Daten erhoben worden sind, im Rahmen eines konkreten Forschungsvorhabens als Trainingsdaten für die Entwicklung oder Weiterentwicklung einer künstlichen Intelligenz verwendet werden. Voraussetzung dafür ist, dass die Patientin oder der Patient schriftlich oder in elektronischer Form in die Verarbeitung eingewilligt hat oder die für das Krankenhaus zuständige Ethikkommission unter Beteiligung der oder des Datenschutzbeauftragten das öffentliche Interesse an dem geplanten Forschungsvorhaben festgestellt hat und mindestens eine der nachfolgenden Bedingungen erfüllt ist:

1. 1.

   die personenbezogenen Daten der Patientinnen und Patienten werden vor der Verarbeitung anonymisiert,

2. 2.

   die Verarbeitung erfolgt, nachdem eine Treuhandstelle die personenbezogenen Daten der Patientinnen und Patienten pseudonymisiert hat und nur die Treuhandstelle in der Lage ist, die bereitgestellten Daten einer natürlichen Person zuzuordnen,

3. 3.

   das Krankenhaus hat die personenbezogenen Daten der Patientinnen und Patienten vor der Verarbeitung pseudonymisiert oder, soweit dies nicht möglich ist, insbesondere bei Patientendaten aus bildgebenden Verfahren, bei Biomaterialien oder genetischen Daten, angemessene technische und organisatorische Maßnahmen getroffen, die die Herstellung eines Personenbezugs durch den Verarbeiter verhindern.

(2) Eine Verarbeitung zu anderen als im öffentlichen Interesse liegenden Forschungszwecken wie sie im Absatz 1 normiert ist, ist unzulässig.

(3) Sollen personenbezogenen Daten von Patientinnen und Patienten als Trainingsdaten nach Absatz 1 verwendet werden, ist vor dieser Verarbeitung eine Datenschutz-Folgenabschätzung durchzuführen.

(4) Unbeschadet der Informationspflichten aus Artikel 12 bis 14 der Datenschutz-Grundverordnung und der Betroffenenrechte aus Artikel 15 bis 22 der Datenschutz-Grundverordnung kann die betroffene Person einer Verarbeitung nach Absatz 1 voraussetzungslos widersprechen. Ab dem Zeitpunkt des Widerspruchs dürfen die personenbezogenen Daten von Patientinnen und Patienten nicht mehr als Trainingsdaten verwendet werden. Über dieses Widerspruchsrecht ist die betroffene Person vor der Erhebung der personenbezogenen Daten, soweit dies aus gesundheitlichen Gründen der betroffenen Person unmöglich ist, unverzüglich nach dem Wegfall dieser Gründe, zu informieren. Das Krankenhaus muss die Kenntnisnahme dieser Information nachweisen können. Das Krankenhaus darf die personenbezogenen Daten von Patientinnen und Patienten erst nach Ablauf einer Frist von vier Wochen ab dem Zeitpunkt der Kenntnisnahme des Widerspruchsrechts als Trainingsdaten verwenden.

(5) § 37 Absatz 4 Satz 2 und 3, Absätze 7, 8, 9 gelten entsprechend.