Forschungskollaboration: Dateien zwischen Einrichtungen teilen

Die DSGVO Art. 46 erfordert für jeden Datentransfer von EU-Forschungsdaten an US-amerikanische oder andere Nicht-EWR-Partner entweder einen Angemessenheitsbeschluss oder Standardvertragsklauseln — ein Punkt, den viele Forschungsteams erst dann bemerken, wenn ein IRB-Audit ansteht. Einrichtungsübergreifende Forschungsfreigabe benötigt einen Dateikanal, der terabyte-skalierte Datensätze verarbeitet, unterschiedliche IRB-Anforderungen und Datennutzungsvereinbarungen respektiert und Netzwerkrichtlinien an jedem Partnerstandort überlebt. Globus Online dominiert den Hochleistungsbereich für nationale Labore, die Genomik- oder Physikpayloads über GridFTP mit 40 Gbps bewegen. Für Manuskripte, Zwischendatensätze und Ad-hoc-Transfers unter 50 GB schlägt ein Zero-Knowledge-verschlüsselter Link E-Mail-Anhänge und geteilte Dropbox-Ordner — der Chiffretext überquert institutionelle Firewalls, ohne dass das IT-Team eines Partners Konten auf die Whitelist setzen oder Identitäten föderieren muss.

Datennutzungsvereinbarungen und IRB-Einschränkungen

Eine Datennutzungsvereinbarung (DUA) zwischen beispielsweise der TU München und dem Max-Planck-Institut spezifiziert, welche Datensätze das Haus verlassen dürfen, an wen, in welcher Form und für wie lange. Bevor etwas bewegt wird, prüfen Sie: Deckt die DUA den spezifischen Datensatz ab (nicht nur "Forschungsdaten"), den spezifischen Empfänger (Dr. Chens Labor, nicht "Max-Planck") und den Speicherort nach dem Transfer. Unter einer Standard-DFG-Datenvereinbarung erfordern de-identifizierte Limited Data Sets noch immer Verschlüsselung beim Transport und im Ruhezustand. Vollständig identifizierbare Daten lösen bei Einbeziehung von Gesundheitsdaten einen Auftragsverarbeitungsvertrag nach DSGVO Art. 28 aus. Bewahren Sie die unterzeichnete PDF neben Ihren Transferprotokollen auf.

DSGVO Art. 46 und internationale Transfers

Der Transfer von Forschungsdaten von einem EU-Partner zu einem US-Mitarbeiter überschreitet eine DSGVO-Transfergrenze. Nach dem Schrems-II-Urteil benötigen Sie Art.-46-Schutzmaßnahmen — typischerweise Standardvertragsklauseln (SCK, Juni-2021-Version), unterzeichnet von beiden Einrichtungen, ergänzt durch eine Transfer-Folgenabschätzung. Das EU-US-Datenschutzrahmen, das seit Juli 2023 durch das US-Handelsministerium zertifiziert wird, bietet eine Angemessenheitsbasis für zertifizierte US-Empfänger. Pseudonymisierung nach DSGVO Art. 4 Abs. 5 — Ersetzen von Namen durch Codes — reduziert die Risikokategorie erheblich. Verschlüsseln Sie mit AES-256-GCM und behalten Sie den Schlüssel auf EU-Seite, bis die Analyseumgebung des Mitarbeiters EU-Standards erfüllt.

Datensatzgrößen und Protokollwahl

Eine einzelne Cryo-EM-Sitzung produziert 2 TB rohe .mrc-Mikrobilder. Ein LHC-AOD-Ausschnitt umfasst 500 GB. Whole-Exome-Sequenzierungs-BAM-Dateien landen bei rund 10 GB pro Probe, und eine 500-Proben-Kohorte erreicht 5 TB. Bei diesen Größen ist HTTPS über einen Browser-Tab schmerzhaft — Sie wollen parallele Streams und resumierbare Checkpoints:

• Globus Online — Endpoint-zu-Endpoint-Transfer mit automatischem Retry und SHA-256-Checksumming; fire-and-forget über 18 Stunden transatlantisch
• Aspera (IBM) — FASP UDP-Beschleunigung erreicht 10 Gbps über 200-ms-Latenz-Links
• HexaTransfer — für alles unter 10 GB schneller einzurichten als einen Globus-Endpoint anzufragen; Ende-zu-Ende-verschlüsselt mit AES-256-GCM

Für den Ad-hoc-8-GB-Ergänzungsdatensatz, den Ihr Tokioter Mitarbeiter vor dem Donnerstagstermin braucht, ist ein verschlüsselter Link die schnellste Lösung. Kostenlos testen unter https://hexatransfer.com.

Manuskript-Kollaborations-Workflows

Manuskripte fließen anders als Datensätze. Ein Nature-Einreichungsentwurf in LaTeX mit eingebetteten Abbildungen wiegt 50 MB; nach Peer-Review, Reviewer-Markierungen, ergänzenden Excel-Tabellen und einem PDF-Proof wächst er auf 400 MB. Overleaf und Authorea übernehmen kollaborative LaTeX-Bearbeitung über Einrichtungen mit Git-gesichertem Versionsverlauf. Senden Sie das finale Einreichungspaket als einzelnes verschlüsseltes Tarball — Reviewer und Redakteure brauchen Ihre Entwurfskommentare oder frühere Abbildungsiterationen nicht. Für Preprints an arXiv, bioRxiv oder SSRN ist der Upload öffentlich, also ist Verschlüsselung irrelevant — aber der Transfer zwischen Co-Autoren vor der Einreichung sollte gesichert sein, besonders für Ergebnisse unter Embargo.

Versionskontrolle für Datensätze: DVC, Git LFS und DataLad

Git LFS verarbeitet Dateien bis 5 GB auf GitHub. DVC (Data Version Control) speichert große Dateien in S3, Google Cloud Storage oder Azure Blob und checkt nur den Hash ein. DataLad, in der Neurowissenschaft verbreitet, umhüllt git-annex und synchronisiert über institutionelle Grenzen hinweg, während verfolgt wird, welches Labor welche Revision lokal hat. Für eine Drei-Instituts-Kollaboration an einem gemeinsamen fMRI-Datensatz gibt DataLad jedem Labor einen leichtgewichtigen Klon mit Zeigern — die 4 TB BIDS-formatierter NIfTI-Dateien bleiben in einem S3-Bucket, und Forscher ziehen nur die Probanden, die sie analysieren.

Authentifizierung über Föderationen

DFN-AAI, eduGAIN und die Research-and-Scholarship-Entity-Kategorie ermöglichen es einem Max-Planck-Forscher, sich mit seinen Heimkennworten in einer Stanford-gehosteten Ressource anzumelden. SAML-2.0-Assertionen tragen ein minimales Attributbundle — eduPersonPrincipalName, Zugehörigkeit, Assurance-Level. Für Dienste außerhalb der Föderation — kommerzielle Übertragungstools, Cloud-Plattformen — funktionieren ORCID-iDs als portabler Forscher-Identifier. Verlangen Sie Zwei-Faktor-Authentifizierung (TOTP, WebAuthn oder FIDO2-Hardwareschlüssel) für jedes Konto, das identifizierbare Humansubjektdaten berührt.

Exportkontrollen und Dual-Use

Nicht alle Forschungsdaten können legal über Grenzen fließen. Die EU-Dual-Use-Verordnung (2021/821) kontrolliert bestimmte Verteidigungsforschungsgebiete. Wenn Ihre Daten EAR99-Status haben oder als "Grundlagenforschung" nach NSDD-189 eingestuft sind, sind Sie in der Regel frei — aber das Büro des Allgemeinen Rechtsberaters, nicht der PI, trifft diese Entscheidung. Übertragungsdienste, die Server in mehreren Ländern betreiben, erfüllen möglicherweise keine "kein Fremdzugang"-Anforderungen; prüfen Sie, ob Ihr Anbieter eine Bestätigung liefern kann, dass nur EU-/DE-Infrastruktur die Nutzlast verarbeitet hat.

Praktisches Setup für ein Multi-Standort-Konsortium

Ein Drei-Länder-DFG-Konsortium läuft typischerweise: (1) ein zentrales Datenkoordinationszentrum, das die autoritative Kopie auf einem institutionellen HPC oder AWS Frankfurt hostet; (2) Globus-Endpunkte an jedem Mitgliedsstandort für den Bulk-Datensatz-Transfer; (3) REDCap für klinische Metadaten mit DSGVO-konformem Export; (4) GitHub oder GitLab für Analysecode mit DVC/Git LFS für Zwischenartefakte; (5) ein verschlüsselter Übertragungsdienst für einmalige Freigaben von Manuskripten, Abbildungen und explorativen Teilmengen, die keine Endpoint-Konfiguration rechtfertigen. Monatlicher Koordinationsaufruf zum Abgleich, was wo liegt.

Forschungskollaboration erfordert einen Dateikanal, der sich der Sicherheitsanforderung des empfindlichsten Datensatzes in der Kohorte anpasst — von AES-256-GCM für Humansubjektdaten bis zu unverschlüsseltem GridFTP für öffentliche Genomreferenzen. Wählen Sie bewusst für jede Datensatzkategorie, dokumentieren Sie die Entscheidung in Ihrem DUA und behalten Sie die Protokolle für IRB-Audits.