§ 8 BKRG

Das Zentrum für Krebsregisterdaten soll grundsätzlich öffentlichen und privaten Einrichtungen und Personen auf Antrag Daten zu wissenschaftlichen Forschungszwecken übermitteln, soweit Das Zentrum für Krebsregisterdaten kann einem Antragsteller nach Satz 1 auch aggregierte Daten, die entsprechend den Anforderungen des Antragstellers ausgewählt worden sind, übermitteln. Die in den Sätzen 1 und 2 genannten Daten sind den Datenempfängern in anonymisierter Form zu übermitteln.

Im Antrag sind insbesondere Zweck und Umfang der Nutzung der beantragten Daten sowie der methodische Ansatz der Datenverarbeitung zu begründen. Der Antrag hat Angaben zu den an der Datenverarbeitung beteiligten Personen und dazu zu enthalten, ob und gegebenenfalls mit welchen anderen Datenbeständen eine Zusammenführung der beantragten Daten vorgesehen ist.

Das Zentrum für Krebsregisterdaten legt den Antrag dem wissenschaftlichen Ausschuss vor. Das Zentrum für Krebsregisterdaten fordert den wissenschaftlichen Ausschuss zur Abgabe einer Stellungnahme auf, sofern der Umfang und die Schwierigkeit der Prüfung des Antrages dies erfordern. Das Zentrum für Krebsregisterdaten entscheidet über den Antrag unter Berücksichtigung der Stellungnahme des wissenschaftlichen Ausschusses. Es ist an die Stellungnahme nicht gebunden. Beabsichtigt das Zentrum für Krebsregisterdaten von der Stellungnahme des wissenschaftlichen Ausschusses abzuweichen, hat es dies gegenüber dem wissenschaftlichen Ausschuss zu begründen.

Das Zentrum für Krebsregisterdaten entscheidet innerhalb von drei Monaten nach Eingang des vollständigen Antrages. Die Frist verlängert sich um einen Monat, wenn dies wegen des Umfangs der Prüfung erforderlich ist. Die Verlängerung der Frist ist dem Antragsteller mitzuteilen. Wird für die Entscheidung über den Antrag ein Auswertungsprogramm benötigt, beginnt die Frist mit Einreichung des Auswertungsprogramms. Die Entscheidung über den Antrag kann mit Nebenbestimmungen verbunden werden.

Das Zentrum für Krebsregisterdaten bewertet vor einer Bereitstellung der beantragten Daten das spezifische Risiko, dass mittels der beantragten Daten oder durch eine Zusammenführung der beantragten Daten mit anderen Datenbeständen Personen wieder identifiziert werden können, und minimiert dieses Risiko unter angemessener Wahrung des angestrebten wissenschaftlichen Nutzens durch geeignete Maßnahmen. Das Zentrum für Krebsregisterdaten legt hierfür die allgemeinen Vorgaben zur Risikobewertung der bereitzustellenden Daten fest und beteiligt dabei den wissenschaftlichen Ausschuss.

Das Zentrum für Krebsregisterdaten kann abweichend von Absatz 1 auch pseudonymisierte Einzeldatensätze bereitstellen, wenn der Datenempfänger dies beantragt und im Antrag nachvollziehbar darlegt, dass die Bereitstellung dieser Daten für die Durchführung des Forschungsvorhabens erforderlich ist. Die pseudonymisierten Einzeldatensätze werden in gesicherter physischer oder virtueller Umgebung unter Kontrolle des Zentrums für Krebsregisterdaten bereitgestellt. Hierzu legt das Zentrum für Krebsregisterdaten im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik die erforderlichen spezifischen technischen und organisatorischen Maßnahmen fest, um die Datenverarbeitung durch die Datenempfänger auf das erforderliche Maß zu beschränken und um das Risiko einer Identifizierung einzelner Personen zu minimieren. Pseudonymisierte Einzeldatensätze werden nicht an die Datenempfänger herausgegeben.

Die Bereitstellung der pseudonymisierten Einzeldatensätze nach Absatz 6 ist nur zulässig, sofern gewährleistet ist, dass diese Daten nur solchen Personen bereitgestellt werden, die einer beruflichen Geheimhaltungspflicht im Sinne des § 203 des Strafgesetzbuches unterliegen. Personen, die keiner Geheimhaltungspflicht im Sinne des § 203 des Strafgesetzbuches unterliegen, können pseudonymisierte Einzeldatensätze nach Absatz 6 bereitgestellt werden, wenn sie vor dem Zugang zur Geheimhaltung verpflichtet wurden. § 1 Absatz 2, 3 und 4 Nummer 2 des Verpflichtungsgesetzes gilt entsprechend.

Die Datenempfänger dürfen die nach Absatz 1 Satz 1 oder Satz 2 übermittelten Daten und die nach Absatz 6 Satz 1 bereitgestellten pseudonymisierten Einzeldatensätze Die Datenempfänger haben bei der Verarbeitung der nach Absatz 1 übermittelten Daten oder der nach Absatz 6 bereitgestellten pseudonymisierten Einzeldatensätze darauf zu achten, keinen Bezug zu Personen herzustellen. Wird ein Bezug zu Personen unbeabsichtigt hergestellt, so ist dies dem Zentrum für Krebsregisterdaten zu melden. Die Verarbeitung der übermittelten oder bereitgestellten Daten zum Zweck der Herstellung eines Personenbezugs ist untersagt.

Wenn die zuständige Datenschutzaufsichtsbehörde feststellt, dass Datenempfänger die vom Zentrum für Krebsregisterdaten nach Absatz 1 übermittelten Daten oder nach Absatz 6 bereitgestellten pseudonymisierten Einzeldatensätze in einer Art und Weise verarbeitet haben, die nicht den geltenden datenschutzrechtlichen Vorschriften oder den Auflagen des Zentrums für Krebsregisterdaten entspricht, und die zuständige Datenaufsichtsbehörde wegen eines solchen Verstoßes eine Maßnahme nach Artikel 58 Absatz 2 Buchstabe b bis j der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1; L 314 vom 22.11.2016, S. 72; L 127 vom 23.5.2018, S. 2) gegenüber den Datenempfängern ergriffen hat, informiert sie das Zentrum für Krebsregisterdaten darüber. In diesem Fall schließt das Zentrum für Krebsregisterdaten die Datenempfänger für einen Zeitraum von bis zu zwei Jahren vom Datenzugang aus.

Das Zentrum für Krebsregisterdaten stellt einen öffentlich verfügbaren, anonymisierten Forschungsdatensatz auf seiner Internetseite bereit.

Das Robert Koch-Institut ist nicht berechtigt, Anträge auf Nutzung von Daten zu Forschungszwecken nach Absatz 1 oder Absatz 6 zu stellen. Die Verarbeitung der Daten durch das Zentrum für Krebsregisterdaten zur Erfüllung eigener Aufgaben nach § 2 bleibt hiervon unberührt.