Was sich geändert hat
- Die CNIL hat drei kumulative Kriterien festgelegt, damit eine Gesundheitsforschung als interne Forschung gilt und von vorherigen Formalitäten bei der CNIL befreit ist.
- Nicht-interne Gesundheitsstudien erfordern vorherige Konformitätserklärungen oder eine Genehmigung der CNIL, während interne Studien die Standardregeln zur DSGVO-Dokumentation und zur Patienteninformation einhalten müssen.
- Ergebnisse interner Forschung dürfen veröffentlicht oder in akademischen Arbeiten verwendet werden, wenn der Zugriff auf Gesundheitsdaten auf das Behandlungsteam beschränkt bleibt oder die Daten gemäss den EDPB-Leitlinien echt anonymisiert sind.
# Compliance-Pflichten für die interne Gesundheitsforschung in Frankreich verstehen
Gesundheitseinrichtungen und medizinische Fachkräfte, die interne Gesundheitsforschungsprojekte unter Verwendung von Patientendaten durchführen, unterliegen spezifischen regulatorischen Anforderungen nach französischem Recht und den Datenschutzstandards der Europäischen Union. Um diese regulatorischen Pflichten zu klären, hat die französische Datenschutzbehörde (Commission Nationale de l'Informatique et des Libertés, CNIL) Leitlinien veröffentlicht, die medizinische Fachkräfte an die Kriterien, Ausnahmen und Compliance-Schritte erinnern, die für interne Forschungsaktivitäten gelten.
Dieser Leitfaden erläutert, was als internes Forschungsprojekt gilt, welche regulatorischen Formalitäten seitens der CNIL erforderlich sind, welche Pflichten bezüglich der Benachrichtigung und der Rechte von Patienten bestehen und unter welchen Bedingungen Forschungsergebnisse veröffentlicht oder für akademische Zwecke wie Dissertationen oder Abschlussarbeiten genutzt werden dürfen.
---
## 1. Was definiert ein «internes Forschungsprojekt»?
Gemäss den Leitlinien der CNIL muss ein Gesundheitsforschungsprojekt oder eine interne Studie («recherches internes» oder «études internes») strikt drei kumulative Bedingungen erfüllen, um diese rechtliche Qualifikation zu erhalten:
1. **Herkunft der Daten**: Die Forschung muss unter Verwendung personenbezogener Gesundheitsdaten durchgeführt werden, die im Rahmen der individuellen medizinischen Versorgung und Betreuung der betroffenen Patienten erhoben wurden.
2. **Beteiligtes Personal**: Die Forschung muss von dem medizinischen Personal durchgeführt werden, das diese Versorgung und Betreuung aktiv erbringt. Für den genauen Begriff des «Behandlungsteams» (*équipe de soins*) wird auf Artikel L 1110-12 des französischen Gesetzbuches über das öffentliche Gesundheitswesen (*Code de la santé publique*) verwiesen.
3. **Ausschliessliche Nutzung**: Die Forschung muss zur ausschliesslichen Nutzung durch genau dieses medizinische Personal durchgeführt werden.
Erfüllt ein Projekt auch nur eines dieser drei kumulativen Kriterien nicht, kann es nicht als interne Forschung eingestuft werden, und es gelten andere verfahrensrechtliche Pflichten.
---
## 2. Regulatorische Formalitäten und CNIL-Anforderungen
### Befreiung von vorherigen Formalitäten
Projekte, die alle drei Kriterien für interne Forschung erfüllen, müssen **keine** vorherigen Formalitäten durchlaufen oder vorherige Genehmigungsanträge bei der CNIL einreichen.
Die Befreiung von vorherigen Anmeldungen entbindet Organisationen jedoch nicht von den allgemeinen Compliance-Pflichten gemäss der EU-Datenschutz-Grundverordnung (DSGVO). Gesundheitseinrichtungen müssen weiterhin die allgemeinen Datenschutzvorgaben erfüllen, zu denen gehören:
- **Interne Dokumentation**: Erfassung der Verarbeitungstätigkeit im Verarbeitungsverzeichnis der Einrichtung (*registre des traitements*).
- **Datenschutz-Folgenabschätzung (DSFA)**: Durchführung einer DSFA (*analyse d'impact relative à la protection des données*), sofern gesetzlich vorgeschrieben.
- **Informationspflichten**: Information der Patienten, deren Daten für Forschungszwecke verarbeitet werden.
### Anforderungen an nicht-interne Forschungsprojekte
Wenn ein Gesundheitsforschungsprojekt die drei Kriterien für interne Forschung nicht strikt erfüllt, werden vorherige Formalitäten bei der CNIL zwingend erforderlich. In solchen Szenarien muss die verarbeitende Stelle entweder Folgendes einreichen:
- Eine **Konformitätserklärung** (*déclaration de conformité*) in Übereinstimmung mit einem bestehenden Referenzrahmen (*référentiel*); oder
- Einen **Antrag auf vorherige Genehmigung** (*autorisation préalable*) der CNIL nach Stellungnahme des zuständigen Ausschusses, falls das Projekt einem bestehenden Referenzrahmen nicht in allen Punkten vollständig entspricht.
Wichtig ist, dass eine Konformitätsverpflichtung zu einem Referenzrahmen nicht für jedes einzelne Forschungsprojekt eingereicht werden muss. Eine einzige Verpflichtung deckt alle Verarbeitungstätigkeiten desselben Verantwortlichen ab, die in den Anwendungsbereich dieses spezifischen Rahmenwerks fallen.
---
## 3. Patienteninformationen und Rechte der Teilnehmer
### Informationspflichten (Artikel 12 bis 14 DSGVO)
Interne Gesundheitsforschungsprojekte unterliegen weiterhin den Informationsgrundsätzen der Artikel 12, 13 und 14 der DSGVO. Patienten müssen Informationen über die Verarbeitung ihrer Gesundheitsdaten in einer präzisen, transparenten, verständlichen und leicht zugänglichen Form erhalten.
Die CNIL empfiehlt die Umsetzung eines **gestuften Informationsansatzes**:
- **Erststufen-Information**: Jedem Patienten direkt und individuell bereitgestellt, beispielsweise durch ein Informationsblatt, das Patienten, die sich zur Nachsorge in der Einrichtung befinden, systematisch ausgehändigt wird.
- **Zweitstufen-Information**: Über den Hinweis der ersten Stufe zugänglich, wie etwa detaillierte Informationen auf dem Transparenzportal der Einrichtung.
Während die individuelle Information der Grundsatz ist, erlaubt eine Ausnahme **kollektive Informationen** (wie Aushänge in den Räumlichkeiten der Einrichtung oder Bekanntmachungen in der Presse). Diese Ausnahme gilt ausschliesslich dann, wenn eine individuelle Information einen unverhältnismässigen Aufwand erfordern würde – unter Berücksichtigung von Faktoren wie der Anzahl der betroffenen Personen, den Kosten der Benachrichtigung im Verhältnis zu den Ressourcen der Organisation oder der Erreichbarkeit der Kontaktdaten der Teilnehmer.
### Rechte der Teilnehmer und Widerspruchsrecht
Teilnehmer an internen Forschungsprojekten behalten ihre Datenschutzrechte gemäss Artikel 12 ff. DSGVO. Entscheidend ist, dass das **Widerspruchsrecht** gemäss Artikel 21 DSGVO direkt auf Verarbeitungstätigkeiten der internen Gesundheitsforschung Anwendung findet. Patienten müssen über ihr Widerspruchsrecht gegen die Verwendung ihrer Daten für solche internen Studien informiert werden und dieses ausüben können.
---
## 4. Akademische Nutzung, Veröffentlichung und Anonymisierung
### Veröffentlichung von Forschungsergebnissen und Dissertationen
Es besteht kein grundlegender Widerspruch zwischen der Einstufung eines Projekts als interne Forschung und der Veröffentlichung seiner Ergebnisse oder seiner Verwendung durch einen Forscher in einer akademischen Arbeit oder Dissertation. Organisationen und Forscher müssen jedoch zwei wesentliche Compliance-Prüfpunkte beachten:
1. **Beschränkter Datenzugriff**: Der Zugriff auf Gesundheitsdaten der Teilnehmer muss streng auf das Behandlungsteam beschränkt bleiben, es sei denn, die Daten wurden vollständig anonymisiert.
2. **Unterscheidung zwischen Anonymisierung und Pseudonymisierung**: Pseudonymisierte Daten bleiben personenbezogene Daten, die der gesetzlichen Regulierung unterliegen. Im Gegensatz dazu fallen echt anonymisierte Daten sowohl aus dem Anwendungsbereich der DSGVO (Erwägungsgrund 26) als auch des französischen Datenschutzgesetzes (*loi Informatique et Libertés*). Der Anonymisierungsprozess muss sicherstellen, dass die betroffene Person nicht identifizierbar ist und nicht mehr identifiziert werden kann. Die CNIL verweist auf die Leitlinien 02/2026 des Europäischen Datenschutzausschusses (EDPB / CEPD) zur Anonymisierung, die bis zum 30. Oktober 2026 zur öffentlichen Konsultation standen.
Während die Bedingung der "exklusiven Nutzung" das Teilen von Forschungsergebnissen zur Information der Öffentlichkeit und der Wissenschaftsgemeinschaft nicht verbietet, kann das einzige Ziel eines Forschungsprojekts nicht die blosse Übermittlung seiner Ergebnisse oder anonymisierten Daten an Dritte sein.
---
## 5. Häufig gestellte Fragen (FAQ)
**F1: Benötigen interne Gesundheitsforschungsprojekte eine vorherige Genehmigung oder Einreichung bei der CNIL?**
**A:** Nein. Interne Gesundheitsforschungsprojekte, die alle drei kumulativen Kriterien erfüllen, sind von vorherigen Formalitäten bei der CNIL befreit. Die allgemeinen Pflichten gemäss DSGVO (wie das Führen eines Verarbeitungsverzeichnisses und die Bereitstellung von Patientenhinweisen) gelten jedoch weiterhin.
**F2: Was passiert, wenn eine Gesundheitsstudie nicht alle Kriterien für eine interne Forschung erfüllt?**
**A:** Das Projekt muss vor der Durchführung die erforderlichen Formalitäten erledigen. Dies beinhaltet entweder die Einreichung einer Konformitätserklärung im Rahmen eines bestehenden CNIL-Referenzrahmens (*référentiel*) oder die Einholung einer vorherigen Genehmigung der CNIL nach Prüfung durch einen zuständigen Ausschuss.
**F3: Kann die individuelle Patienteninformation durch allgemeine öffentliche Bekanntmachungen ersetzt werden?**
**A:** Die individuelle Information ist die Regel. Eine kollektive Information (z. B. Plakate oder Pressemitteilungen) ist nur ausnahmsweise zulässig, wenn eine individuelle Information unverhältnismässigen Aufwand erfordert, was streng nach Patientenzahl, Kosten und Erreichbarkeit der Kontaktdaten beurteilt wird.
**F4: Ist es zulässig, Ergebnisse aus der internen Forschung in einer medizinischen Dissertation oder Fachzeitschrift zu veröffentlichen?**
**A:** Ja. Die Veröffentlichung von Ergebnissen oder deren Verwendung in einer Dissertation ist mit der internen Forschung vereinbar, sofern der Datenzugriff auf das Behandlungsteam beschränkt bleibt oder die Daten vollständig anonymisiert sind und das Projekt nicht einzig den Zweck hatte, Daten an Dritte zu übermitteln.
Wer betroffen sein kann
Gesundheitsfachpersonen, Krankenhäuser, medizinische Forschungseinrichtungen und Behandlungsteams in Frankreich, die Patientendaten für interne Gesundheitsstudien verarbeiten.
Grenzüberschreitender Kontext
Gilt innerhalb Frankreichs als EU-Mitgliedstaat im Rahmen der EU-Datenschutz-Grundverordnung (DSGVO).
Was als Nächstes zu prüfen ist
- Prüfen Sie, ob interne Gesundheitsstudien die drei von der CNIL festgelegten kumulativen Kriterien strikt erfüllen.
- Überprüfen Sie die Einhaltung des DSGVO-Verarbeitungsverzeichnisses, der DSFA-Anforderungen sowie der Protokolle zur Patienteninformation.
- Prüfen Sie die EDPB-Leitlinien 02/2026 zur Anonymisierung hinsichtlich der Details zur öffentlichen Konsultation sowie der Standards zur Anonymisierung vs. Pseudonymisierung.
Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Ziehen Sie den offiziellen Text zu Rate und holen Sie bei Bedarf eine auf Ihre Situation abgestimmte Beratung ein.