Forschung mit Gesundheitsdaten verlangt mehr als ein Studienprotokoll: HFG, Ethikkommission, GDPR-Forschungsrecht und die saubere Trennung von Identität und Daten müssen zusammenpassen. Wir führen diese Governance rechtlich. Und als Trusted Third Party verwahren wir die Zuordnungsschlüssel getrennt vom Forschungsteam. Ein Partner für Forschungseinheiten, Studiensponsoren, CRO, akademische Zentren und Biobanken.
rechtlich geführt (Dr. iur., CIPP/E)Trusted Third Party + DPO aus einer HandDE · FR · EN
Der Rechtsrahmen der Forschung mit Gesundheitsdaten
Orientierung, kein Rechtsrat. Forschung mit Personendaten steht in der Schweiz und der EU unter mehreren, ineinandergreifenden Regimen. Geltungsbereich und Rechtsgrundlagen prüfen wir je Studie.
In der Schweiz regelt das Humanforschungsgesetz (HFG) die Forschung mit Personen, mit ihren Daten und mit biologischem Material. Es verlangt in der Regel die Bewilligung durch eine zuständige Ethikkommission, eine informierte Einwilligung in definierter Form sowie klare Regeln dazu, wann Daten verschlüsselt, anonymisiert oder weiterverwendet werden dürfen. Das HFG und seine Verordnungen wirken dabei neben dem revidierten Datenschutzgesetz, nicht an dessen Stelle.
Im EU-Recht zählen Gesundheitsdaten zu den besonderen Kategorien nach Art. 9 GDPR. Ihre Verarbeitung ist grundsätzlich untersagt und nur über eng definierte Ausnahmen zulässig, etwa ausdrückliche Einwilligung oder die wissenschaftliche Forschung. Für letztere sieht Art. 89 GDPR ein eigenes Privileg mit geeigneten Garantien vor, insbesondere Datenminimierung und Pseudonymisierung. Dieses Forschungsprivileg ist mächtig, aber an Bedingungen geknüpft, die sauber dokumentiert sein müssen.
Heikel ist die Sekundärnutzung: Daten, die für die Versorgung oder eine frühere Studie erhoben wurden, sollen für eine neue Forschungsfrage genutzt werden. Hier entscheiden die Reichweite der ursprünglichen Einwilligung, die Vereinbarkeit der neuen mit der alten Zweckbestimmung und die getroffenen Schutzmassnahmen darüber, ob die Weiterverwendung zulässig ist. Wir beurteilen diese Frage rechtlich, statt sie technisch zu umgehen.
Zentral ist schliesslich die Unterscheidung von Anonymisierung und Pseudonymisierung. Echte Anonymisierung entzieht Daten dem Datenschutzrecht, ist aber technisch und rechtlich anspruchsvoll und bei reichhaltigen Gesundheitsdaten oft nicht vollständig erreichbar. Pseudonymisierung trennt Identität und Daten über einen Schlüssel, lässt die Daten aber Personendaten bleiben. Wer den Schlüssel kontrolliert, kontrolliert das Re-Identifikationsrisiko. Und genau dort setzt unsere Rolle als Trusted Third Party an.
TTP und DPO aus einer Hand, was SIDD liefert
Wir verbinden zwei Rollen, die in der Forschung meist getrennt eingekauft werden: die unabhängige Schlüsselverwahrung als Trusted Third Party und die laufende Datenschutzberatung als externer Datenschutzberater oder DPO.
Als Trusted Third Party übernehmen wir die Pseudonymisierung und die getrennte Verwahrung der Zuordnungsschlüssel. Das Forschungsteam arbeitet mit pseudonymisierten Datensätzen, während die Verknüpfungstabelle zwischen Pseudonym und Identität bei uns liegt, organisatorisch und technisch getrennt vom Forschungsbetrieb. Eine Re-Identifikation, etwa für eine notwendige Rückmeldung an Studienteilnehmende oder ein behördlich angeordnetes Verfahren, erfolgt nur nach klar definierten, dokumentierten Regeln. So sinkt das Re-Identifikationsrisiko strukturell, nicht nur auf dem Papier.
Als externer Datenschutzberater nach nDSG und als DPO nach Art. 37 GDPR begleiten wir die Studie über ihren Lebenszyklus. Wir erstellen die Datenschutz-Folgenabschätzung für das Forschungsvorhaben, prüfen die Rechtsgrundlage und die Reichweite der Einwilligung, beraten zur Vereinbarkeit einer Sekundärnutzung und unterstützen die Korrespondenz mit der Ethikkommission auf der datenschutzrechtlichen Seite. Wo eine EU- oder UK-Vertretung nötig ist, decken wir auch diese Rolle ab.
Forschung lebt von Datenflüssen zwischen Sponsor, CRO, Prüfzentren, akademischen Partnern und Biobanken, oft über Landesgrenzen hinweg. Wir gestalten die nötigen Vereinbarungen: Auftragsverarbeitungsverträge, Datenübermittlungs- und Data-Sharing-Vereinbarungen, gemeinsame-Verantwortlichkeit-Vereinbarungen sowie die Absicherung internationaler Transfers mit den passenden Garantien. Damit wird der Datenfluss in einem multizentrischen Projekt vertraglich sauber und prüffähig.
Warum SIDD für Forschungsdaten, Recht, Technik und Verwahrung in einem
In der Forschung entscheiden drei Dinge gemeinsam über das Risiko: die rechtliche Grundlage, die technische Trennung von Identität und Daten und eine unabhängige Verwahrung. Wir vereinen alle drei in einem Mandat, eine Kombination, die rein juristische Kanzleien und rein technische Anbieter selten bieten.
Rechtlich geführt
HFG, GDPR Art. 9 und Art. 89, die Reichweite einer Einwilligung und die Zulässigkeit der Sekundärnutzung sind Rechtsfragen. Wir führen sie mit promovierten Juristinnen und Juristen mit CIPP/E, gestützt auf ein eigenes Technik-Team. So bleibt die Beurteilung belastbar und nicht nur eine technische Annahme.
Trusted Third Party für die Schlüssel
Wir verwahren die Zuordnungsschlüssel getrennt vom Forschungsteam. Damit ist die Trennung von Identität und Daten nicht nur ein Versprechen im Protokoll, sondern organisatorisch und technisch durchgesetzt. Eine Re-Identifikation erfolgt nur nach dokumentierten Regeln, ein starkes Argument gegenüber Ethikkommission, Teilnehmenden und Aufsicht.
DSFA & Studien-Governance
Wir erstellen die Datenschutz-Folgenabschätzung für das Forschungsvorhaben und führen die datenschutzrechtliche Governance über den Studienlebenszyklus, von der Protokollphase über laufende Verarbeitung bis zur Archivierung oder Löschung. So passt die Datenschutzdokumentation zur Einreichung bei der Ethikkommission, statt ihr nachzuhinken.
Verträge für multizentrische Projekte
Sponsor, CRO, Prüfzentren, akademische Partner und Biobanken brauchen tragfähige Datenflüsse. Wir gestalten Auftragsverarbeitungs-, Data-Sharing- und Transfervereinbarungen sowie gemeinsame-Verantwortlichkeit-Konstruktionen und sichern internationale Transfers mit den passenden Garantien ab, vertraglich sauber statt improvisiert.
Anbindung an ISO 27001
Forschungsdaten verdienen ein gepflegtes Sicherheitsniveau. Wir hängen die Studien-Datenschutzmassnahmen an ein bestehendes oder neu aufzubauendes ISO-27001-ISMS an. So werden Zugriffskontrolle, Schlüsselverwaltung und Nachweisführung Teil eines geführten Managementsystems statt punktueller Massnahmen.
Mehrsprachig & unabhängig
Wir arbeiten in Deutsch, Französisch und Englisch, relevant für die Romandie, internationale Sponsoren und EU-Partnerzentren. Da wir kein eigenes SOC verkaufen und die Schlüsselverwahrung unabhängig vom Forschungsteam halten, bleiben unsere Beurteilung und unsere Rolle neutral.
Einstieg: Research-Data-Governance-Assessment
Research-Data-Governance-Assessment
Festpreis je Studie oder Programm
Standortbestimmung für ein Forschungsvorhaben oder Studienprogramm: Wo steht Ihr Vorhaben gegenüber HFG, Ethikanforderungen, GDPR-Forschungsrecht und den Erwartungen an Pseudonymisierung und Datenflüsse? Mit board- und kommissionstauglichem Ergebnisbericht.
Prüfung von Rechtsgrundlage, Einwilligungsreichweite und HFG-Einordnung des Vorhabens
Beurteilung von Anonymisierung versus Pseudonymisierung und des Re-Identifikationsrisikos
Bewertung der Zulässigkeit einer geplanten Sekundärnutzung
Entwurf einer Datenschutz-Folgenabschätzung für das Forschungsvorhaben
Übersicht der nötigen Daten-, Transfer- und Verarbeitungsvereinbarungen
Priorisierter Massnahmenplan und board- sowie kommissionstauglicher Ergebnisbericht
Laufendes Mandat: Wir verwahren als Trusted Third Party die Zuordnungsschlüssel getrennt vom Forschungsteam und begleiten die Studie als externer Datenschutzberater oder DPO über den gesamten Lebenszyklus.
Pseudonymisierung und getrennte Verwahrung der Zuordnungsschlüssel
Dokumentierte Regeln und Protokollierung jeder Re-Identifikation
Laufende DPO- und Datenschutzberatung über den Studienlebenszyklus
Pflege der Daten-, Transfer- und Verarbeitungsvereinbarungen mit allen Partnern
Anbindung an ISO 27001 / ISMS für Zugriffskontrolle und Nachweisführung
Warum wir mit LexCommand arbeiten, unserer eigenen Schweizer Rechts-KI
LexCommand ist unsere hauseigene, zitatgestützte Rechts-KI für das Recht der Schweiz, Deutschlands, Österreichs und der EU. Entwickelt und souverän in der Schweiz betrieben von der Priverion GmbH, dem Unternehmen hinter SIDD. Datensouveränität und Belegbarkeit predigen wir nicht nur, wir haben sie in unser Werkzeug eingebaut, ergänzend zur Priverion-Plattform.
01
Souverän in der Schweiz
Die KI läuft selbst gehostet auf Schweizer Infrastruktur, ohne externe Cloud-LLMs. Als unabhängiges Schweizer Unternehmen ohne ausländische Muttergesellschaft verarbeiten wir Ihre Unterlagen in einer Umgebung, die wir kontrollieren.
02
Kein Zitat, kein Anspruch
Jede rechtliche Aussage ist auf eine abrufbare Primärquelle rückführbar, oder sie erscheint nicht. So werden unsere Empfehlungen auditierbar und nachvollziehbar, statt nur plausibel zu klingen.
03
Vom Aufwand zum Urteil
LexCommand übernimmt das Suchen, Abgleichen und Belegen. Das verkürzt Durchlaufzeiten und gibt unseren Senior-Beratenden Zeit für Urteil und Mandantengespräch, bei gleichbleibender Sorgfalt.
04
Drei Disziplinen, ein Bild
Datenschutz, Informationssicherheit und KI-Sicherheit betrachten wir auf einer geteilten Quellenbasis mit Framework-Crosswalk. So sehen Sie überschneidende Pflichten in einem konsolidierten Bild statt in drei isolierten Analysen.
Konkret für die Datenschutz-Folgenabschätzung Ihres Forschungsvorhabens: LexCommand belegt jede Aussage zu HFG, GDPR Art. 9 und Art. 89 sowie zur Zulässigkeit der Sekundärnutzung mit der genauen Primärquelle und legt die ineinandergreifenden HFG- und GDPR-Pflichten nebeneinander, sodass der Bericht ethikkommissionstauglich und prüffähig bleibt.
Zeitlich deterministisch (Stand heute oder zu jedem Stichtag), mit Jurisdiktions-Isolation (CH/DE/AT/EU) und einem Zitat-Verifizierer am Ende jeder Antwort.
Häufige Fragen
Was bedeutet Trusted Third Party in einem Forschungsprojekt konkret?
Wir treten als unabhängige Stelle zwischen Identität und Forschungsdaten. Wir pseudonymisieren die Daten und verwahren die Zuordnungstabelle zwischen Pseudonym und Identität getrennt vom Forschungsteam. Das Team arbeitet nur mit pseudonymisierten Datensätzen. Eine Re-Identifikation erfolgt ausschliesslich nach vorab definierten, dokumentierten Regeln. So ist die Trennung organisatorisch und technisch durchgesetzt und nicht nur eine Zusage im Protokoll.
Reicht Pseudonymisierung oder müssen wir vollständig anonymisieren?
Das hängt vom Vorhaben ab. Echte Anonymisierung entzieht die Daten dem Datenschutzrecht, ist aber bei reichhaltigen Gesundheitsdaten oft nicht vollständig erreichbar und kann die wissenschaftliche Verwertbarkeit einschränken. Pseudonymisierung erhält die Verknüpfbarkeit für berechtigte Zwecke, lässt die Daten aber Personendaten bleiben. Wir beurteilen je Studie, welcher Weg rechtlich tragfähig und wissenschaftlich praktikabel ist, und dokumentieren das Re-Identifikationsrisiko nachvollziehbar.
Können wir bestehende Versorgungs- oder Studiendaten für eine neue Forschungsfrage nutzen?
Das ist die Frage der Sekundärnutzung und im Einzelfall zu prüfen. Entscheidend sind die Reichweite der ursprünglichen Einwilligung, die Vereinbarkeit der neuen mit der bisherigen Zweckbestimmung und die getroffenen Schutzmassnahmen. Je nach Konstellation kommen HFG-Regeln zur Weiterverwendung, eine erneute oder erweiterte Einwilligung oder das Forschungsprivileg in Betracht. Wir beurteilen die Zulässigkeit rechtlich und dokumentieren die Grundlage prüffähig.
Übernehmen Sie die Korrespondenz mit der Ethikkommission?
Wir unterstützen die datenschutzrechtliche Seite der Einreichung und der Korrespondenz: Datenschutz-Folgenabschätzung, Beschreibung der Verarbeitung, Pseudonymisierungskonzept und die Vereinbarungen zwischen den beteiligten Stellen. Die wissenschaftliche und ethische Begründung des Vorhabens bleibt bei den Prüfärztinnen, Prüfärzten und Sponsoren. Wir sorgen dafür, dass die datenschutzrechtlichen Teile stimmig und vollständig sind.
Wie behandeln Sie internationale Datenflüsse zwischen Sponsor, CRO und Prüfzentren?
Wir kartieren zunächst den Datenfluss und ordnen die Rollen zu: Wer ist Verantwortlicher, wer Auftragsverarbeiter, wo besteht gemeinsame Verantwortlichkeit. Darauf bauen wir die passenden Vereinbarungen auf, Auftragsverarbeitungs-, Data-Sharing- und Transfervereinbarungen, und sichern Übermittlungen in Drittländer mit den geeigneten Garantien ab. So ist der Datenfluss eines multizentrischen Projekts vertraglich sauber und gegenüber der Aufsicht belegbar.
Berät SIDD auch unter anwaltlicher Vertraulichkeit?
Wo ein SIDD-Anwalt in anwaltlicher Funktion berät, können Ihre Angaben dem Berufsgeheimnis nach Art. 321 StGB unterliegen, zusätzlich zur vertraglichen Vertraulichkeit. Den genauen Schutzumfang klären wir mandatsbezogen, gerade weil Forschungsdaten besonders sensibel sind.
Bereit für ein Research-Data-Governance-Assessment?
Wir nehmen Ihr Forschungsvorhaben auf, HFG-Einordnung, GDPR-Forschungsrecht, Pseudonymisierung und Datenflüsse, mit board- und kommissionstauglichem Ergebnisbericht. Als Trusted Third Party verwahren wir auf Wunsch die Schlüssel getrennt vom Forschungsteam.
