Den Spagat schaffen

RDi: Wie gehen Datenschutz und Datennutzung zusammen? Medizindaten zählen zu den sensibelsten Daten, die es gibt.

Radbruch/Mell: Die DS-GVO verbietet Datennutzung nicht generell, sondern definiert in vielen Fällen schlicht deren Bedingungen. Dabei fragt sie sehr genau nach den Verarbeitungszwecken. Das ZMDT konzentriert sich auf die Datennutzung zu Forschungszwecken, die durch die DS-GVO sogar privilegiert wird. Die bessere Nutzung von Gesundheitsdaten in der Forschung kann dazu beitragen, dass zum Beispiel Krebstherapien genauer auf individuelle Bedürfnisse angepasst und damit potenziell besser wirksam werden können. Im Ergebnis kann also durch eine effektivere Nutzung von Gesundheitsdaten zu Forschungszwecken vielen Menschen geholfen werden. Gleichwohl sind Betroffene im Hinblick auf die sie betreffenden Gesundheitsdaten nach Art. 9 DSGVO besonders geschützt. Wir müssen also den Spagat schaffen zwischen Datenschutz einerseits und Datennutzbarkeit zu spezifischen Forschungszwecken andererseits. Grundrechtsdogmatisch ist das nichts anderes als die Herstellung praktischer Konkordanz zwischen kollidierenden grundrechtlich geschützten Positionen. Wir sind der Überzeugung, dass technische Lösungen, wie gesicherte Verarbeitungsumgebungen, hier einen wesentlichen Beitrag leisten können. Denn sie verringern den Eingriff in das informationelle Selbstbestimmungsrecht sowie in Art. 7 und 8 GrCh.

RDi: Welche Rolle spielt KI bei Ihrer Forschung?

Radbruch/Mell: Die Rechtswissenschaften werden bislang ungern in die medizinische Forschung eingebunden, weil wir außerhalb der Datenschutz-Bubble häufig als Verhinderer der Datennutzung und als Bedenkenträger gesehen werden. Diese Rolle ist aus unserer Perspektive auch immer noch angebracht, wenn es beispielsweise um staatliche Überwachung geht. Hier können und müssen wir uns mit Händen und Füßen gegen ein Zuviel wehren, nicht nur aus unserer historischen Vergangenheit heraus, sondern auch, weil Freiheit vor Überwachung Grundvoraussetzung unserer Demokratie ist. In der Frage medizinischer Datennutzung geht es aber häufig um sehr viel geringere Eingriffe in die informationelle Selbstbestimmung und Art. 7 und 8 GrCh zur Gewährleistung von Leben und Gesundheit Dritter. Medizinischer Fortschritt verlangt dabei häufig einen Einsatz von KI. Zum Beispiel kann die Verwendung von KI dazu beitragen, dass Gefäßverschlüsse beim akuten Schlaganfall besser diagnostiziert werden können. Aus Perspektive der Rechtswissenschaften geht es bei KI-Training vor allem immer darum, zu identifizieren, welche Verarbeitungsvorgänge stattfinden, welche Daten für die Trainingszwecke verarbeitet werden und welche Rechtsgrundlagen in Betracht kommen. Und das differiert je nachdem, ob eine zentrale Datenzusammenführung vorliegt oder die KI „verteilt“ (sog. „föderales Lernen“), ob die Daten zu Studienzwecken erhoben wurden oder ob es sich um Routinedaten handelt, etc. Problematisch wird es immer dann, wenn wir für die Datenverarbeitung im KI-Kontext keine sichere Rechtsgrundlage haben, sondern auf Basis von Abwägungen für jedes Datum individuell entscheiden müssen, ob es zu dem spezifischen Forschungszweck verarbeitet werden darf. Gibt es keine rechtssichere Lösung, sondern droht der Mediziner rechtsbrüchig zu werden, unterlässt er die Forschung und medizinischer Fortschritt bleibt aus.

RDi: Reichen die gesetzlichen Grundlagen zur gemeinwohlorientierten Medizindaten-Nutzung aus?

Radbruch/Mell: Wir haben mit dem Gesundheitsdatennutzungsgesetz schon einen erheblichen Fortschritt erzielt aber wir haben immer noch Probleme, Daten im Einklang mit dem Datenschutzrecht zusammenzuführen und auszuwerten. Das wird sich perspektivisch durch die Möglichkeiten des Forschungsdatenzentrums am BfArM und die im EHDS vorgesehene Forschungsdatennutzung verbessern. Die Widerspruchslösung, die selbst der BfDI befürwortet, ermöglicht es uns dabei, die Selbstbestimmung des Patienten weiterhin umfassend zu gewährleisten. Wenn wir uns aber etwas wünschen dürften, was die medizinische Datennutzbarkeit vorantreiben würde, dann wären es vier Dinge: (1) Die stärkere Implementierung des Five-Safes-Modells. (2) Hinreichend technische Lösungen, die auch die siloübergreifende Forschungsdatennutzung im Einklang mit dem Datenschutzrecht gewährleisten und damit etwa Fragen nach der Korrelation zwischen schulischer Bildung und Gesundheitszustand beantworten helfen würden. (3) Standards zur Anonymisierung und Pseudonymisierung und (4) klare Grenzen, wo die Forschungsdatennutzung endet