(1)
Arztinnen und Ärzte dürfen Patientendaten, die innerhalb ihrer Fachabteilung oder bei Hochschulen innerhalb ihrer medizinischen Einrichtungen, in den Universitätsklinika oder in sonstigen medizinischen Einrichtungen gespeichert sind, für eigene wissenschaftliche Forschungsvorhaben verarbeiten. Dies gilt entsprechend für sonstiges wissenschaftlich tätiges Personal dieser Einrichtungen und Personen, die zur Vorbereitung auf einen Beruf an diesen Einrichtungen wissenschaftlich tätig sind, soweit diese der Geheimhaltungspflicht nach § 203 des Strafgesetzbuches unterliegen.
(2)
Zu Zwecken der wissenschaftlichen Forschung ist die Übermittlung von Patientendaten an Dritte und die Verarbeitung durch diese zulässig, soweit die Patientinnen und Patienten eingewilligt haben. § 28 Absatz 3 Nummer 3 gilt entsprechend.
(3)
Der Einwilligung bedarf es nicht, soweit der Zweck eines bestimmten Forschungsvorhabens nicht auf andere Weise erfüllt werden kann und
1.
das berechtigte Interesse der Allgemeinheit an der Durchführung des Forschungsvorhabens das Geheimhaltungsinteresse der Patientin oder des Patienten erheblich überwiegt oder
2.
es nicht zumutbar ist, die Einwilligung einzuholen und anderweitige schutzwürdige Belange der Patientin oder des Patienten nicht beeinträchtigt werden.
Die übermittelnde Stelle hat die empfangende Stelle einschließlich der Empfängerin oder dem Empfänger, eine detaillierte Beschreibung der zu übermittelnden Daten, die betroffenen Patientinnen und Patienten und das betreffende Forschungsvorhaben zu dokumentieren.
(4)
Sobald es der Forschungszweck erlaubt, sind die Patientendaten zu anonymisieren oder, soweit dies nicht möglich ist, zu pseudonymisieren. Sobald der Forschungszweck erreicht ist, sind die Daten zu anonymisieren.
(5)
Soweit die Bestimmungen dieses Gesetzes auf die empfangende Stelle keine Anwendung finden, dürfen Patientendaten nur übermittelt werden, wenn
1.
sich die empfangende Stelle verpflichtet,
a)
die Daten nur für das von ihr genannte Forschungsvorhaben zu verwenden,
b)
die Bestimmungen des Absatzes 4 einzuhalten und
c)
der oder dem Sächsischen Datenschutzbeauftragten auf Verlangen Einsicht und Auskunft zu gewähren, sowie
2.
die empfangende Stelle nachweist, dass bei ihr die technischen und organisatorischen Voraussetzungen vorliegen, um der Verpflichtung nach Nummer 1 Buchstabe b zu entsprechen.