Daten klinischer Studien sicher teilen: Compliance-Guide

Die DSGVO stuft Gesundheitsdaten als besondere Kategorie ein – und klinische Studien erzeugen genau diese Daten in industriellem Maßstab. Wer Probandendaten, Laborbefunde, Meldungen über unerwünschte Ereignisse und Fallberichtsformulare zwischen Sponsoren, CROs, Prüfzentren und Behörden überträgt, muss gleichzeitig DSGVO Artikel 9, ICH E6(R3) GCP und EU-Verordnung 536/2014 einhalten. Die beteiligten Dateien – pseudonymisierte CSV-Exporte aus EDC-Systemen, SDTM/ADaM-Datensätze im .xpt-Format, gescannte Einwilligungserklärungen als PDF und DICOM-Bildgebung – brauchen Ende-zu-Ende-Verschlüsselung, verifizierbare Audit-Trails und Aufbewahrungskontrollen, die eine Behördeninspektion noch Jahre nach Studienabschluss standhalten.

Warum Studiendaten schwieriger sind als normale Gesundheitsdaten

Ein Studiendatensatz ist nicht nur geschütztes Gesundheitsdatum. Er ist ein reguliertes Produkt, das die EMA, FDA oder PMDA ein Jahrzehnt später prüfen kann. Eine Phase-III-Onkologiestudie kann 800 GB Quelldokumente, 120 GB medizinische Bildgebung je Prüfzentrum und eine gesperrte Datenbank erzeugen, die mit jedem Übertragungsprotokoll abgeglichen werden muss. Fehlt der Übertragungsnachweis für eine einzige SAE-Datei, droht ein EMA-Datenbefund gemäß Reflection Paper on Expectations for Electronic Source Data.

Das 250-MB-Anhangslimit von Outlook oder der Public-Link-Ansatz nicht verschlüsselter Cloud-Dienste genügen hier nicht. Sie brauchen kryptografischen Nachweis, dass Datei A das Zentrum verlassen hat, beim Sponsor vollständig angekommen ist und während der Übertragung nicht verändert wurde.

Dateitypen den richtigen Rechtsrahmen zuordnen

Bevor Sie ein Übertragungsverfahren wählen, klassifizieren Sie, was Sie tatsächlich verschieben:

• Quelldokumente (CRFs, Einwilligungen, SAE-Berichte) fallen unter 21 CFR Part 11 für elektronische Aufzeichnungen. Part 11.10(e) verlangt sichere, computererzeugte, zeitgestempelte Audit-Trails.
• Pseudonymisierte Patientendatensätze sind nach DSGVO Artikel 4(5) pseudonyme Daten – weiterhin personenbezogene Daten, weiterhin mit Rechtsgrundlage nach Artikel 6 und Schutzmaßnahmen nach Artikel 32.
• Anonymisierte Publikationsdaten in Repositories wie ClinicalStudyDataRequest.com oder Vivli müssen der ICH-E3-Datenteilungs-Leitlinie entsprechen.
• EU-Daten, die den EWR verlassen, lösen die Übermittlungsregeln von Kapitel V aus. Standardvertragsklauseln gemäß EU-Kommissionsbeschluss 2021 sind der Standardmechanismus.
• US-amerikanische klinische Daten erfordern einen Business Associate Agreement mit jedem Anbieter, der geschützte Gesundheitsdaten berührt.

Ordnen Sie jeden Dateityp seiner regulatorischen Grundlage zu, bevor Sie das Übertragungswerkzeug öffnen.

Verschlüsselung, die einer behördlichen Prüfung standhält

Das BSI und der BfDI akzeptieren „Wir nutzen SSL" nicht mehr als ausreichende Antwort. Die praktischen Mindestanforderungen:

• TLS 1.3 für den Übertragungskanal (TLS 1.2 mit AEAD-Chiffren ist akzeptabel; SSLv3 sowie TLS 1.0/1.1 sind es nicht).
• AES-256-GCM für die dateibasierte Ruhezustandsverschlüsselung mit authentifizierter Verschlüsselung.
• PBKDF2-SHA256 mit 600.000+ Iterationen oder Argon2id für passwortabgeleitete Schlüssel.
• Clientseitige Verschlüsselung für die risikostärksten Dateien, damit der Übertragungsanbieter niemals Klartext hält.

HexaTransfer führt AES-256-GCM im Browser vor dem Upload aus – das entspricht dem Zero-Knowledge-Modell, das Regulatoren bei grenzüberschreitenden Studiendaten zunehmend erwarten.

Audit-Trail-Anforderungen gemäß ICH E6(R3)

Ihr Übertragungssystem muss einen Audit-Trail erzeugen, den ein EMA-Inspektor ohne Rückruf beim Anbieter-Support rekonstruieren kann. Mindestfelder:

1. Nutzeridentität (authentifiziert, nicht nur „zentrum03@krankenhaus.de")
2. Datei-Hash (SHA-256) bei Upload und Download
3. Zeitstempel in UTC mit Quellzeitzone
4. IP-Adresse von Absender und Empfänger
5. Erfolgs- oder Fehlerstatus
6. Schlüsselaustauschverfahren

Gemäß ICH E6(R3) Abschnitt 4.2.5 müssen Sponsoren Übertragungsaufzeichnungen für die Studiendauer plus Aufbewahrungsfrist sichern – typischerweise 25 Jahre für Zulassungsdossiers nach EU-Verordnung 536/2014 Artikel 58. Löscht Ihr Anbieter Protokolle nach 90 Tagen, besteht eine Compliance-Lücke.

Pseudonymisierung, bevor Dateien das Zentrum verlassen

DSGVO Artikel 4(5) definiert Pseudonymisierung als Verarbeitung, bei der Daten ohne Zusatzinformationen nicht mehr einer bestimmten Person zugeordnet werden können. Für Studienübertragungen bedeutet das: Der Re-Identifizierungsschlüssel verbleibt am Prüfzentrum, niemals im selben Transfer wie der kodierte Datensatz.

Praktischer Ablauf: Das Zentrum sendet SDTM-Datensätze mit Probandennummern (z. B. 1001-0042), während die Verknüpfungstabelle zwischen Probandennummern und Namen im EDC des Zentrums hinter rollenbasiertem Zugriff gesichert bleibt. Wird ein Laptop mit dem kodierten Datensatz gestohlen, entsteht keine direkte Identitätsoffenlegung – obwohl der EDPB Stellungnahme 28/2024 solche kodierten Daten weiterhin als personenbezogen einstuft.

Grenzüberschreitende Übertragungen nach Schrems II

Ein deutsches Zentrum, das nach Schrems II (EuGH C-311/18) Daten an einen US-Sponsor sendet, benötigt mehr als Standardvertragsklauseln. Die EDPB-Empfehlungen 01/2020 verlangen eine Transfer Impact Assessment mit ergänzenden Maßnahmen. Verschlüsselung, bei der der Anbieter nachweislich keine Möglichkeit zur Entschlüsselung hat, ist die sauberste ergänzende Maßnahme auf der EDPB-Liste.

Für Studien mit Beteiligung aus China gelten PIPL Artikel 38 und die Vorschriften zu menschlichen genetischen Ressourcen als weitere Ebenen. Russlands Bundesgesetz 152-FZ verlangt Datenlokalisierung. Gehen Sie nicht davon aus, dass ein einziger Workflow für alle Standorte passt.

Chain of Custody vom Zentrum zum Sponsor bis zur Behörde

Eine verteidigbare Übertragungskette bedeutet, einer Behörde mitteilen zu können: „Datei SAE-0042-v3.pdf wurde an Zentrum 04 am 12.03.2026 um 14:22 UTC mit SHA-256-Hash 8f3a… erstellt; am 12.03.2026 um 14:24 UTC mit identischem Hash an den Medical Monitor des Sponsors übertragen; um 14:31 UTC in der Sicherheitsdatenbank bestätigt."

Bauen Sie diese Kette in die Übertragungs-SOP ein – nicht als Nachgedanken. Die Übertragungsschicht zwischen EDC-Systemen und externen Partnern ist oft der Punkt, an dem die Chain of Custody abbricht. Ein Dienst, der den SHA-256 ins Audit-Log schreibt und ihn beiden Seiten anzeigt, schließt diese Lücke.

Bildgebung und große Datensätze

Radiologieauswertungen in Onkologiestudien und digitale pathologische Whole-Slide-Images treiben Dateigrößen in den Gigabyte-Bereich. Eine typische SVS-Datei umfasst 2–4 GB; eine DICOM-Studie mit MRT-Sequenzen kann 500 MB erreichen. E-Mail scheidet aus. FTP ohne TLS scheidet aus. Web-basierte Übertragung mit fortsetzbaren Uploads via tus.io-Protokoll, dateiweiser AES-256-GCM-Verschlüsselung und ablaufenden Links bewältigt diesen Bereich. Halten Sie einzelne Übertragungen unter 10 GB und bündeln Sie größere Einreichungen logisch (ein Besuch, ein Proband, eine Auswertung).

Aufbewahrung, Löschung und DSGVO Artikel 17

DSGVO Artikel 17 gibt Studienteilnehmern ein Recht auf Löschung, aber Artikel 17(3)(c) sieht eine Ausnahme für wissenschaftliche Forschung vor, wenn die Löschung die Forschungsziele beeinträchtigen würde. Sie brauchen dennoch eine Löschrichtlinie für die Übertragungsartefakte – die Kopien auf dem Übertragungsserver, nicht die Studienmasterakte.

Konfigurieren Sie Übertragungen so, dass sie nach 7 oder 14 Tagen automatisch ablaufen. Die Arbeitskopie verschwindet; die maßgebliche Kopie lebt in Ihrer validierten eTMF. Dokumentieren Sie dies im Datenverwaltungsplan, damit ein EMA-Inspektor bewusstes Lebenszyklusmanagement erkennt.

Den Workflow für Prüfzentren praktikabel gestalten

Prüfzentren jonglieren mit mehreren Sponsoren, jeder mit einem anderen Portal und neuen Zugangsdaten. So landen Dateien auf privaten E-Mail-Konten. Halten Sie es einfach: ein Übertragungsworkflow pro Sponsor, klare Anweisungen im Initiierungsordner des Zentrums und ein Passphrasekanal getrennt vom Übertragungskanal – SMS für den Link, Telefonanruf für das Passwort funktioniert.

Für Ad-hoc-Übertragungen – ein verspätet eintreffender Einwilligungsscan oder eine unerwartete Bildgebungsanfrage – entfernt ein kontoloser, verschlüsselter Dienst die Reibung. Testen Sie es auf https://hexatransfer.com – kostenlos, kein Konto, maximal 10 GB. Protokollieren Sie die Übertragung anschließend in Ihrer Zentrumsdatei wie eine Kurierlieferung: Datum, Uhrzeit, Empfänger, Dateibeschreibung, Bestätigungsnummer.

Der Datenaustausch in klinischen Studien ist kein einzelnes Problem. Er verbindet Pseudonymisierung, Verschlüsselung, Audit, grenzüberschreitendes Recht und Aufbewahrung miteinander. Stimmt die Verknüpfung, werden Inspektionen zur Routinedurchsicht statt zur Krise.