(1) Die Verarbeitung und Nutzung von Patientendaten, die im Rahmen von § 15 Abs. 1 gespeichert worden sind, ist für Forschungszwecke zulässig, wenn der Patient eingewilligt hat.

(2) Patientendaten dürfen ohne Einwilligung des Patienten nur für bestimmte Forschungsvorhaben verarbeitet und genutzt werden, soweit

1. 1.
   dessen schutzwürdige Belange wegen der Art der Daten, ihrer Offenkundigkeit oder der Art ihrer Nutzung nicht beeinträchtigt werden oder
2. 2.
   die für das Krankenhaus zuständige oberste Aufsichtsbehörde festgestellt hat, dass das öffentliche Interesse an der Durchführung des Forschungsvorhabens die schutzwürdigen Belange des Patienten erheblich überwiegt und der Zweck des Forschungsvorhabens nicht auf andere Weise oder nur mit unverhältnismäßigem Aufwand erreicht werden kann.

Soweit Patientendaten unter diesen Voraussetzungen an Hochschulen oder andere mit wissenschaftlicher Forschung beauftragte Stellen übermittelt werden, hat das Krankenhaus die empfangende Stelle, die Art der zu übermittelnden Daten, den Kreis der betroffenen Personen das von der empfangenden Stelle genannte Forschungsvorhaben sowie das Vorliegen der Voraussetzungen des Satzes 1 aufzuzeichnen. Der Datenschutzbeauftragte des Krankenhauses ist zu beteiligen.

(3) Jede weitere Nutzung der Patientendaten unterliegt den Anforderungen der Absätze 1 und 2. Die übermittelnde Stelle hat sich vor der Übermittlung davon zu überzeugen, dass die empfangende Stelle bereit und in der Lage ist, diese Vorschriften einzuhalten.

(4) Sobald der Forschungszweck es erlaubt, sind die Merkmale, mit deren Hilfe ein Patientenbezug hergestellt werden kann, gesondert zu speichern. Die Merkmale sind zu löschen, sobald der Forschungszweck dies gestattet. Die Forschung betreibende Stelle darf Patientendaten nur mit schriftlicher Einwilligung der Betroffenen veröffentlichen.

(5) Soweit die Vorschriften dieses Gesetzes auf die empfangende Stelle keine Anwendung finden, dürfen Patientendaten nur übermittelt werden wenn die empfangende Stelle sich verpflichtet, die Vorschriften der Absätze 2 und 4 einzuhalten und sich insoweit der Kontrolle des Landesbeauftragten für den Datenschutz unterwirft.

(6) Ein Arzt darf für eigene Diagnose-, Behandlungs- oder Forschungszwecke Dateien mit Patientendaten anlegen. Der Arzt hat entsprechend § 17 des Landesdatenschutzgesetzes insbesondere sicherzustellen, dass Dritte keinen Zugriff auf die Daten haben, soweit sie diese nicht zur Mitbehandlung benötigen. Dazu hat er gegenüber dem Krankenhausträger den Nachweis zu erbringen, dass hierzu bei ihm die technischen und organisatorischen Voraussetzungen zur Durchsetzung des Datenschutzes im Sinne des Gesetzes gewährleistet sind. Sobald es der Verarbeitungszweck erlaubt, sind die Daten zu anonymisieren.