Große Folgen für die Medizin

MÜNCHEN. Die Safe Harbor-Entscheidung des Europäischen Gerichtshofes (EuGH) zur Übermittlung personenbezogener Daten in die USA hat auch für das Gesundheitswesen, die Medizin und die Forschung weitreichende Folgen. Darauf haben der Münchner Fachanwalt für Medizinrecht Professor Alexander Ehlers und sein Bruder Dr. Nikolai Ehlers hingewiesen.

Weil das Datenschutzrecht in Europa beziehungsweise in Deutschland sehr viel strenger ist als in den USA, hatte die Europäische Kommission im Juli 2000 einer Vereinbarung zugestimmt, wonach die Übermittlung personenbezogener Daten von in der EU ansässigen Unternehmen in die USA zulässig ist, wenn dabei bestimmte Grundsätze ("Safe-Harbor-Regelung") beachtet werden.

Österreicher hat geklagt

Nach der Entscheidung des EuGH vom 6. Oktober 2015 war die Europäische Kommission aber gar nicht befugt, die Regelung zu vereinbaren. Die Entscheidung der EU-Kommission von 2000 sei daher ungültig. Geklagt hatte ein Österreicher, weil seine Facebook-Daten in die USA übermittelt und dort verarbeitet wurden.

Die Entscheidung des EuGH habe eine enorme wirtschaftliche Tragweite, da sie sich auf alle Wirtschaftsbereiche, also auch auf den Gesundheitssektor und die Telemedizin, bezieht, betonte Nikolai Ehlers gegenüber der "Ärzte Zeitung".

So habe die Sammlung von Gesundheitsdaten mit Hilfe von Apps auch für seriöse Forschung schon heute enormes Potenzial. Auf diese Weise sei es Unternehmen möglich, in kürzester Zeit Unmengen Daten zu sammeln und grenzüberschreitend zu verarbeiten.

Mit der EuGH-Entscheidung sei die Safe-Harbor-Regelung ab sofort und ohne Übergangsfrist nichtig, erklärte Alexander Ehlers. Für die Übermittlung personenbezogener Daten in die USA gebe es daher keine Rechtsgrundlage mehr. "Das ist eine riesige Herausforderung für die Unternehmen, weil jetzt alle Verträge und Vereinbarungen geprüft werden müssen", erläuterte er.

Life-Science-Industrie betroffen

Betroffen sei insbesondere auch die Life-Science-Industrie, da dort beispielsweise im Zusammenhang mit klinischen Prüfungen oder multinationalen Studien regelmäßig besonders sensible persönliche Daten etwa von einem Tochterunternehmen in der EU an den Mutterkonzern in den USA übermittelt werden.

Auch nach dem EuGH-Urteil sei die Übermittlung anonymisierter Daten gemäß derzeitiger Rechtslage weiterhin wohl unproblematisch, erklärte Alexander Ehlers. Ebenso können pseudonymisierte Daten übermittelt werden, wenn ein Zugriff auf den Pseudonymisierungs-Schlüssel ausgeschlossen ist. Eine Übermittlung ohne vorherige Anonymisierung oder Pseudonymisierung sei dagegen grundsätzlich unzulässig, es sei denn, es liegt im Einzelfall eine Einwilligung vor.

"Da die Standardvertragsklauseln wohl größtenteils unwirksam sind, muss jetzt alles geprüft werden", erklärte Alexander Ehlers. "Das geht runter bis zu den einzelnen Ärzten oder Arztgruppen, die beispielsweise an klinischen Prüfungen beteiligt sind und Daten in die USA liefern". Im Zweifel müsse man nachfragen, so Ehlers.