Im April ist die neue EU-Datenschutzgrundverordnung fertig gestellt worden. Was sie für die Forschung mit Biobanken bedeutet, ist noch nicht ausgemacht. Wolfgang Linder, seit Jahren Mitglied der Arbeitsgruppe Gesundheit des Grundrechtekomitees, hat im Gen-ethischer Informationsdienst (GID) 236, Juni 2016, S.41 - 43, einen Artikel zu diesen Fragen veröffentlicht, den wir im Folgenden wiedergeben.

„Im Grunde brauchen wir überhaupt keinen informed consent“, so im Dezember 2013 Roland Jahns, Direktor einer Biomaterialbank in Würzburg zum Thema Einwilligung in die Speicherung und Nutzung von Proben und Daten zu Forschungszwecken. „Der Spender kann eigentlich selber entscheiden, bis zu welchem Grad er überhaupt informiert werden will und auch, ob er eine Rückmeldung haben will. Es gibt ja auch das Recht auf Nichtwissen, und das müssen wir natürlich auch gewährleisten".(1)

So einleuchtend die Argumentation beim ersten Lesen erscheint, so hanebüchen ist sie. Denn Jahns vermengt hier zwei ganz verschiedene Fragen des Persönlichkeitsschutzes: In der Tat, wenn es um die Rückmeldung von Forschungsergebnissen an Proband*innen geht, die ihre persönliche Gesundheit betreffen, haben sie ein Recht auf Nichtwissen, das heißt, sie müssen darüber entscheiden dürfen, ob sie Forschungsergebnisse, die etwas über ihren individuellen Gesundheitszustand aussagen, wissen wollen - etwa über eine genetische Besonderheit, die mit einem erhöhten Risiko für eine bestimmte Erkrankung einhergeht. Mit der Einwilligung in die Proben- und Datenerhebung selbst aber hat dieses Recht überhaupt nichts zu tun. Denn dort geht es um die Frage, welches die Voraussetzungen sind für eine wirksame Einwilligung in die Speicherung der eigenen Daten und Bioproben zum Zweck ihrer späteren Verwendung in Forschungsprojekten.

Seit es Biobanken gibt, wird diese Frage immer wieder diskutiert. Müssen Proband*innen darüber informiert werden, für welche konkreten Forschungsprojekte ihre Daten und Bioproben genutzt werden sollen, ist also eine informierte Zustimmung notwendig, damit die Einwilligung wirksam ist? Oder reicht ein so genannter broad consent?

Bedarfsgerechte Einwilligungskonzepte

Beim broad consent sollen allgemeine Angaben zu den Nutzungszwecken genügen, beispielsweise „für wissenschaftliche Forschung“. Das widerspricht zwar der geltenden deutschen Rechtslage, wonach grundsätzlich immer eine informierte Einwilligung notwendig ist, das heißt Proband*innen über den spezifischen Zweck der Speicherung zu unterrichten sind.(2) Der broad consent entspricht aber dem Bedarf, der durch die Einrichtung und den Betrieb von Biobanken entsteht. Nicht umsonst ist immer wieder die Rede davon, dass das derzeitige Datenschutzrecht für Biobanken „dysfunktional“ sei.(3)

Denn ein informed consent ist bei Sammlungen von Proben und Daten in der Regel nicht möglich, weil konkrete Nutzungszwecke noch gar nicht bestehen. Biobanken werden auf Vorrat angelegt, als Reservoir für mögliche künftige Forschungsvorhaben, folglich kann über konkrete Nutzungen zum Zeitpunkt der Probenabgabe und Datenspeicherung noch nicht informiert werden.

Entsprechend groß ist das Interesse von Biobank-Betreibern, dieses „dysfunktionale“ Datenschutzrecht zu funktionalisieren und auf den Bedarf von Biobanken auszurichten. Ein Beispiel ist die Nationale Kohorte (NAKO).(4) Die Betreiber des Großprojektes

gehen wie selbstverständlich davon aus, dass ein broad consent ausreiche. So informiert der Vordruck der Einwilligungserklärung die Teilnehmer*innen lediglich darüber, dass die Nutzung ihrer Daten und Proben der Erforschung häufiger Volkskrankheiten und deren Prävention und Heilung dienen solle. Von einer Einwilligung in die Nutzung für konkrete Vorhaben ist nicht die Rede. Vielmehr wird ausdrücklich Zustimmung dazu verlangt, dass man vor der Nutzung seiner Daten und Proben nicht erneut um seine Einwilligung gebeten wird.(5)

Dynamischer Konsens

Dass in dem eingangs zitierten Interview Jahns als Direktor einer Biobank den informed consent für überflüssig erklärte, steht also in einer gewissen Tradition. Dennoch gibt es auch jenseits des broad consent Alternativen zur informierten Zustimmung: Um Teilnehmer*innen von Biobankprojekten die Möglichkeit zu geben, über die konkrete Nutzung ihrer Proben und Daten zu entscheiden, ist seit einigen Jahren ein neues Konzept in der Diskussion, der so genannte dynamic consent. Grob zusammengefasst besteht es darin, dass Proband*innen zunächst zustimmen, ihre Proben und Daten zur Verfügung zu stellen, und jedes Mal, wenn ein konkretes Forschungsprojekt ansteht, um Einwilligung in deren Nutzung gebeten werden.

Bereits 2009 hatte die OECD für die Verarbeitung von Daten und Proben in Biobanken indirekt eine solche „dynamische Zustimmung“ empfohlen: (6) Auch der Berliner Datenschutzbeauftragte forderte 2013 in einer Stellungnahme zur NAKO, Verfahren einzurichten, mit denen Teilnehmer*innen des Großforschungsprojektes bei späteren konkreten Forschungsvorhaben über die Freigabe ihrer Daten entscheiden können.(7) Und in Großbritannien, wo umstrittene Big-Data- und Biobank-Projekte wie Care.data oder die UK Biobank um Akzeptanz bemüht sind, ist mit EnCoRe eine Internet-Plattform entwickelt worden, die Proband*innen ermöglichen soll, fortlaufend ihr Einverständnis - oder eben auch ihr Nichteinverständnis - zur Nutzung ihrer Daten und Bioproben für konkrete Forschungsprojekte erklären zu können. Dies soll einerseits die Bereitschaft zur Beteiligung stärken, andererseits aber auch den Einzelnen „eine größere persönliche Kontrolle über die Nutzung ihrer Daten erlauben“.(8)

Auch die NAKO hat ein Portal in Aussicht gestellt, vermutlich vor allem, um auf die Kritik an der fehlenden Transparenz und Mitwirkung für die Teilnehmer*innen zu reagieren. Der versprochenen Internetseite sind allerdings bescheidenere Ziele gesetzt als EnCoRe. Es soll NAKO-Teilnehmer*innen lediglich im Nachhinein Auskunft über die Nutzung ihrer Untersuchungsdaten und Bioproben in Forschungsprojekten erteilen.(9) Über laufende und künftige Forschungsvorhaben sollen sich Proband*innen dagegen nicht informieren können, geschweige denn, dass sie um ihr Einverständnis gebeten würden. Immerhin könnten sie mit einem solchen Portal ihre Kenntnis früherer Forschungsprojekte zum Anlass nehmen, ihre Teilnahme an der NAKO grundsätzlich zu widerrufen.

Reicht künftig ein einfaches „Ja“?

Wie der Umgang mit den Persönlichkeitsrechten von Proband*innen in Biobankprojekten künftig aussehen wird, ist noch nicht ausgemacht: Seit 2011 wurde an einer einheitlichen Verordnung zum Datenschutz für die Mitgliedstaaten der Union gearbeitet, in der auch der Umgang mit Daten in der Forschung geregelt wird. Betreiber von Biobanken haben in dieser Zeit massiv versucht, das Modell des broad consent akzeptabel zu machen, um die Sammlung von Daten und Proben zu vereinfachen.

Fraglich ist, inwiefern sich diese Bemühungen in der neuen Datenschutzgrundverordnung (DSGVO) niederschlagen.(10) Die Technologie- und Methodenplattform für vernetzte medizinische Forschung e.V. (TMF) hat die im April endgültig verabschiedete DSGVO in einer ersten Stellungnahme für ihre Auffassung in Anspruch genommen, für die Speicherung von Daten und Bioproben genüge die allgemeine Zustimmung der Betroffenen, also ein broad consent.(11) Diese Auslegung zumindest ist voreilig und verfehlt.

Beim Blick auf die Artikel der DSGVO eröffnet sich ein komplexes Normgefüge, dessen Auslegung keinesfalls so eindeutig ist, wie die TMF in ihrer Stellungnahme suggeriert. Zwar scheinen die Artikel 9 Absatz 2j und 89 Absatz 1 auf den ersten Blick die wissenschaftliche Forschung zu privilegieren; sie enthalten jedoch keinesfalls Regelungen, die die Rechte der teilnehmenden Personen einschränken. Vielmehr sollen auch hier das Recht auf Datenschutz gewahrt und Maßnahmen zur Wahrung der Grundrechte und Interessen der betroffenen Person vorgesehen werden (Artikel 9, Absatz 2j). Geeignete Garantien für deren Rechte und Freiheiten sollen Geltung behalten (Artikel 89, Absatz 1 Satz 1). Beispiele für solche Garantien finden sich in den Informationspflichten, die Datenverarbeiter*innen auferlegt sind (Artikel 13) oder in den Auskunftsrechten, die den von Datenverarbeitung Betroffenen eingeräumt werden (Artikel 15).

DSGVO: Ganz so einfach wird es nicht

Schon diese allgemeinen Artikel lassen den Schluss zu, dass die in der DSGVO grundsätzlich angestrebte Transparenz der Datenverarbeitung auch für Forschungsvorhaben Gültigkeit hat. Diese Annahme wird durch Artikel 89 Absatz 2 bestätigt, wonach die in Artikel 15 eingeräumten Auskunftsrechte auch für Forschungsvorhaben gelten. Zwar bleibt für Biobankbetreiber*innen ein Türchen offen: Das Unionsrecht oder das Recht der Mitgliedstaaten darf Ausnahmen vorsehen, und zwar dann, wenn die Auskunftsrechte „voraussichtlich die Verwirklichung der spezifischen Forschungszwecke unmöglich machen oder ernsthaft beeinträchtigen“ und die Ausnahmen „für die Erfüllung dieser Zwecke notwendig sind“.(12) Dennoch zeigen die vielen Bedingungen, die vorliegen müssen, bevor eine Ausnahme beim Auskunftsrecht gemacht werden darf, für wie wichtig der Verordnungsgeber Transparenz gegenüber den von Datenverarbeitung Betroffenen auch in der Forschung erachtet.

Deutlich wird das auch im Kommentar zur DSGVO: Laut Satz 3 des Erwägungsgrundes 33 soll Personen, deren Daten für zukünftige Forschungsprojekte gespeichert werden sollen, Gelegenheit gegeben werden, ihre Einwilligung nur für bestimmte Forschungsbereiche oder Teile von Forschungsprojekten in dem vom verfolgten Zweck zugelassenen Maß zu erteilen. Und in Erwägungsgrund 63 heißt es, Datenverarbeiter*innen sollten das Auskunftsrecht nach Möglichkeit dadurch unterstützen, dass sie den Fernzugang zu einem sicheren System bereitstellen, der den Betroffenen direkten Zugang zu ihren Daten ermöglicht.

Bezogen auf die Forschung mit Biobanken stützt die DSGVO also am ehesten das Modell einer dynamischen Zustimmung. Aus der Verordnung lässt sich jedenfalls nicht herauslesen, dass ein broad consent für die Lagerung von Bioproben beziehungsweise die Speicherung von Daten in Biobanken ausreicht. Vielmehr will der Verordnungsgeber ausdrücklich die Rechte der Betroffenen und die Transparenz der Verarbeitung ihrer Daten garantieren.

Sollten diese Rechte auch künftig den Teilnehmer*innen an Biobanken verweigert werden - etwa in der NAKO - so wäre dies durch europäisches Recht nicht legitimiert. Dann wäre vielmehr zu vermuten, dass die Betreiber*innen einen Wertverlust der gespeicherten Bioproben oder auch öffentliche Kritik an bestimmten Forschungsprojekten befürchten.

Wolfgang Linder ist Jurist, war bis 2004 stellvertretender Bremischer Datenschutzbeauftragter und ist zurzeit aktiv im Komitee für Grundrechte und Demokratie, für das er die Vorschriften der EU-DSGVO, die die Nutzung von Daten für wissenschaftliche Forschung regeln, eingehend untersucht hat, im Netz unter www.grundrechtekomitee.de/node/771.

Fußnoten

(1) Interview der Technologie- und Methodenplattform für vernetzte medizinische Forschung e.V. (TMF), www.biobanken.de oder www.kurzlink.de/gid236_a.

(2) Vgl. Paragrafen 4 und 4a Bundesdatenschutzgesetz.

(3) Regine Kollek „Biobanken: Ethische Herausforderungen aktueller Entwicklungen“, Referat auf der Plenarsitzung des Ethikrates am 27.11.08, Wortprotokoll, S. 7, www.ethikrat/sitzungen/2008/biobanken.

(4) Siehe www.nako.de. In der NAKO sollen Daten und Bioproben von 200.000 Menschen gespeichert und über den langen Zeitraum von 30 Jahren regelmäßig aktualisiert werden. Siehe dazu unter anderem den Schwerpunkt in GID Nr.229, April 2015, insbesondere S.7 bis 14.

(5) NAKO-Einwilligungserklärung für Teilnehmer*innen, Z. 1.4 und 2.7.3, www.nako.de oder www.kurzlink.de/gid236_i.

(6) Vgl. OECD Guidelines On Human Biobanks And Genetic Research Databases (2009), Annotations, Zeile 28.

(7) Jahresbericht für 2013, Z. 11.1, www.datenschutz-berlin.de oder www.kurzlink.de/gid236_e.

(8) Vgl. www.hpl.hp.com oder www.kurzlink.de/gid236_c, Übersetzung: GID-Redaktion. Nils Hoppe stellte EnCoRe auf der Jahrestagung des Deutschen Ethikrats 2015 als “geeignetes Instrument zur Realisierung des dynamic consent” vor. Simultanmitschrift der Jahrestagung, S. 75 ff und 90, www.ethikrat.org oder www.kurzlink.de/gid236_b.

(9) NAKO-Datenschutzkonzept, 16.03.15, Z. 4.7.3.2 und NAKO-Ethik-Kodex, 05.11.15, Z. 3.6.5. Demnach sollen auf der künftigen Plattform Projekte und Ergebnisse ohne Personenbezug aufgelistet werden.

(10) DSGVO, 04.05.16. www.datenschutz-grundverordnung.eu oder www.kurzlink.de_gid236f. Die Verordnung trat am 25.05.16 mit zwei Jahren Übergangsfrist in Kraft.

(11) Infobrief zur DSGVO, 15.04.16, www.tmf-ev.de oder www.kurzlink.de/gid236_d.

(12) Artikel 89 Absatz 2, DSGVO, a.a.O. S.85.