Datenschutz und klinische Studien

Die klinische Forschung erzeugt einige der sensibelsten Daten, die ein Unternehmen besitzen kann. Gesundheitsdaten von Studienteilnehmenden, genetische Informationen und Daten aus Patientenunterstützungsprogrammen sind nach schweizerischem Recht und nach der Datenschutz-Grundverordnung der Europäischen Union besonders geschützt. Das revidierte Datenschutzgesetz (DSG), das am 1. September 2023 in Kraft trat, qualifiziert Gesundheits- und genetische Daten als besonders schützenswerte Personendaten und verlangt unter anderem Datenschutz-Folgenabschätzungen bei Bearbeitungen mit hohem Risiko sowie die Meldung bestimmter Verletzungen der Datensicherheit an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten. Da die klinischen Studien der Basler Konzerne in Dutzenden von Ländern durchgeführt werden, muss die Übermittlung von Daten in die Schweiz und weiter in andere Länder im Einklang mit den Regeln über die grenzüberschreitende Datenbekanntgabe gestaltet werden.¹

Die Durchführung klinischer Versuche in der Schweiz ist im Humanforschungsgesetz und in der Verordnung über klinische Versuche geregelt, die die Bewilligung einer kantonalen Ethikkommission und, bei Versuchen mit Arzneimitteln, von Swissmedic verlangen. Die Ethikkommission Nordwest- und Zentralschweiz mit Sitz in Basel prüft wegen der Konzentration von Universitätsspitälern und Industrie in der Region einen erheblichen Teil der Forschungsprojekte des Landes. Compliance umfasst in diesem Bereich den Schutz der Teilnehmenden, den korrekten Umgang mit der Einwilligung nach Aufklärung, die Meldung unerwünschter Ereignisse und die Integrität der Daten. Zahlungen an Prüfärzte und Institutionen fallen unter die oben behandelten Transparenzregeln. Verstösse können zu Verwaltungsmassnahmen und in schweren Fällen zu Strafverfahren nach dem Humanforschungsgesetz führen.²

Der Datenschutz ist auch bei internen Untersuchungen zu einem Faktor geworden. Wenn ein Unternehmen Vorwürfen von Fehlverhalten nachgeht, muss es E-Mails, Chatnachrichten und Dokumente seiner Mitarbeitenden sichten. Das schweizerische Datenschutz- und Arbeitsrecht erlaubt dies nur in Grenzen, zu denen das Recht der Mitarbeitenden auf Information gehört. Sollen die Ergebnisse an ausländische Behörden weitergegeben werden, sind Art. 271 des Strafgesetzbuchs (StGB) und die Regeln über die grenzüberschreitende Datenbekanntgabe zu beachten. Rechtsanwälte, die solche Untersuchungen in Basel durchführen, arbeiten deshalb mit Protokollen, die jeden Schritt dokumentieren und, wo nötig, den Beizug des Bundesamts für Justiz oder anderer Behörden vorsehen. Das Zusammenspiel dieser Regime ist ein Grund dafür, dass die Compliance an einem Schweizer Hauptsitz rechtlich komplexer ist als in einem rein inländischen Unternehmen.³

Anmerkungen

1. Bundesgesetz über den Datenschutz vom 25. September 2020 (DSG, SR 235.1), in Kraft seit 1. September 2023, Art. 5 Bst. c (besonders schützenswerte Personendaten), Art. 16 ff. (Bekanntgabe ins Ausland), Art. 22 (Datenschutz-Folgenabschätzung) und Art. 24 (Meldung von Verletzungen der Datensicherheit); Verordnung (EU) 2016/679 (DSGVO), Art. 9 und 44 ff. ↩
2. Bundesgesetz über die Forschung am Menschen vom 30. September 2011 (Humanforschungsgesetz, HFG, SR 810.30); Verordnung über klinische Versuche in der Humanforschung vom 20. September 2013 (KlinV, SR 810.305); zur Ethikkommission Nordwest- und Zentralschweiz (EKNZ) vgl. deren Website. ↩
3. Zum rechtlichen Rahmen interner Untersuchungen in der Schweiz, einschliesslich der Rechte der Arbeitnehmenden nach Art. 328b des Obligationenrechts (OR) und dem DSG, sowie zum Verfahren der Bewilligung einer Zusammenarbeit mit ausländischen Behörden nach Art. 271 StGB vgl. die einschlägige Literatur und die Praxis des Eidgenössischen Justiz- und Polizeidepartements. ↩

Nur zur allgemeinen Information. Dieser Beitrag ist keine Rechts- oder Steuerberatung, ersetzt nicht die Beratung im Einzelfall und begründet kein Mandatsverhältnis. Rechtsstand: 10/2026.