Datenschutz in der Pharmaindustrie

In der Pharmaindustrie treffen zwei Verarbeitungen von Gesundheitsdaten aufeinander, die man sorgfältig auseinanderhalten muss. Die eine beruht auf Freiwilligkeit und ist widerruflich. Die andere ist gesetzlich vorgeschrieben und darf gerade nicht widerrufen werden. Wer beide gleich behandelt, macht in einer davon einen Fehler.

Klinische Prüfungen: Einwilligung, aber getrennt gedacht

Die Teilnahme beruht auf der informierten Einwilligung nach der EU-Verordnung über klinische Prüfungen. Diese Einwilligung ist nicht dasselbe wie die datenschutzrechtliche nach Art. 9 Abs. 2 lit. a DSGVO – sie betrifft die Teilnahme an der Studie, nicht die Datenverarbeitung. Beide werden in der Praxis gemeinsam eingeholt, sind aber getrennt zu betrachten, weil sie unterschiedliche Folgen haben.

Der Punkt, an dem das relevant wird, ist der Widerruf. Widerruft eine teilnehmende Person, endet die weitere Erhebung. Die bis dahin erhobenen Daten dürfen jedoch regelmäßig für die Auswertung erhalten bleiben – sonst wäre die wissenschaftliche Integrität der Studie nicht zu sichern. Diese Fortwirkung muss im Aufklärungsbogen erklärt sein, sonst überrascht sie später.

Hinzu kommen die Rollen: Sponsor und Prüfzentrum sind – je nach Ausgestaltung – gemeinsam oder getrennt verantwortlich; reine Auftragsverarbeitung ist selten die zutreffende Einordnung. Die Beziehung zu Auftragsforschungsinstituten ist gesondert zu regeln, ebenso die Übermittlung in Drittländer bei multinationalen Studien.

Pseudonymisierung ist keine Anonymisierung. Studiendaten mit Probandennummer bleiben personenbezogen, solange irgendwo ein Schlüssel existiert – auch wenn er beim Prüfzentrum liegt und der Sponsor ihn nie sieht. Das ist der häufigste Denkfehler in Studienprotokollen. Der Schutz durch Pseudonymisierung wirkt gleichwohl und ist eine der geeigneten Garantien nach Art. 89 DSGVO.

Pharmakovigilanz: Pflicht statt Freiwilligkeit

Die Erfassung und Meldung von Nebenwirkungen ist gesetzlich vorgeschrieben. Rechtsgrundlage ist deshalb nicht die Einwilligung, sondern die rechtliche Verpflichtung nach Art. 6 Abs. 1 lit. c in Verbindung mit Art. 9 Abs. 2 lit. i – öffentliches Interesse im Bereich der Gesundheit.

Daraus folgt das Gegenteil dessen, was für Studien gilt: Ein Widerruf greift hier nicht. Wer eine Nebenwirkung gemeldet hat, kann die Löschung nicht verlangen, weil die Meldung einer gesetzlichen Pflicht dient. Die betroffene Person darüber zu informieren, gehört zur Transparenzpflicht – und erspart eine Auseinandersetzung, wenn der Löschantrag kommt.

Praktisch heikel ist, dass Meldungen häufig über den Außendienst oder das Callcenter eingehen: von Ärzten, Apothekern oder Patienten selbst. Diese Wege müssen die Daten in die Pharmakovigilanz führen – und dürfen sie nicht in Vertrieb oder Marketing spülen.

Der Vertrieb ist ein eigener Bereich

Außendienstdaten über Ärztinnen und Apotheker sind gewöhnliche personenbezogene Daten, keine besonderen Kategorien – aber sie sind umfangreich, bewertend und für die Betroffenen weitgehend unsichtbar. Besuchsberichte mit Einschätzungen zur Person, Verschreibungsverhalten, Einladungen zu Fortbildungen: All das braucht eine Grundlage, meist das berechtigte Interesse mit dokumentierter Abwägung, und unterliegt vollständig der Auskunftspflicht.

Was daraus organisatorisch folgt

Umfangreiche Verarbeitung besonderer Kategorien: Ein Datenschutzbeauftragter ist unabhängig von der Beschäftigtenzahl zu benennen, und eine Datenschutz-Folgenabschätzung ist für Studien regelmäßig erforderlich.

Größere Hersteller fallen zudem unter NIS-2 – der Sektor Gesundheit umfasst auch die Herstellung von Arzneimitteln.

Kontakt

Sie planen eine Studie oder bauen Ihre Pharmakovigilanz um? Die Trennung der Rechtsgrundlagen gehört an den Anfang, nicht in die Nachbesserung.