Schweizer Stiftungen als KI-Datenintermediäre

Zusammenfassung

Der vorgeschlagene Einsatz einer Schweizer Stiftung als Datenvermittler könnte vom soliden Ruf der Schweiz im Bereich Datenschutz und dem rechtlichen Rahmen profitieren, der gemeinnützige Organisationen beim Umgang mit sensiblen Daten unterstützt. Diese Struktur soll sicherstellen, dass die Datenverarbeitung strikt den in der Satzung der Stiftung festgelegten Zwecken entspricht, was potenziell das Vertrauen der betroffenen Personen und Aufsichtsbehörden stärken kann. Datenvermittler sind für ihre Fähigkeit bekannt, einen sicheren und gesetzeskonformen Datenaustausch zu ermöglichen, indem sie den Datenzugriff nach strengen rechtlichen und ethischen Standards verwalten.

I. Aktuelle Herausforderungen beim Austausch von Gesundheitsdaten für die KI-Forschung

Die technologische Entwicklung der künstlichen Intelligenz steht derzeit an der Schwelle, diagnostische Verfahren und Behandlungen im Gesundheitswesen grundlegend zu verändern. Die Entwicklung künstlicher Intelligenz (KI) für den Einsatz in der Medizin erfordert das Training von Algorithmen mit umfangreichen Datensätzen. Durch die Analyse großer Datenmengen ist die KI in der Lage, Muster zu erkennen, die den heutigen technischen Möglichkeiten verborgen bleiben. Dies eröffnet neue Möglichkeiten in unzähligen Anwendungsbereichen, beispielsweise bei der Früherkennung von Krankheiten. Der Schlüssel zur Realisierung dieses Potenzials liegt im Zugang zu umfassenden und qualitativ hochwertigen Datensätzen.

Diese Daten stammen aus der Analyse und Digitalisierung von Gewebeproben, Röntgenbildern und Blutproben, die in Laboren, Krankenhäusern und Hausarztpraxen entnommen wurden. Diese Gesundheitsdaten werden nicht nur für Diagnose und Behandlung („primäre Verwendung“), sondern auch für die Entwicklung von KI-Modellen („sekundäre Verwendung“) verwendet.

Die Sekundärnutzung dieser Daten birgt ein großes wirtschaftliches Potenzial. Die Zusammenarbeit zwischen Instituten, die über Jahrzehnte qualitativ hochwertige Datensätze aufgebaut haben, und Forschungseinrichtungen, Pharma- und Technologieunternehmen scheitert oft daran, dass sie beim Zugriff auf die Daten, die sie für die Entwicklung neuer Produkte benötigen, auf große Hindernisse stoßen.

A) Komplexe regulatorische Anforderungen

Die Einhaltung von Datenschutzgesetzen wie der DSGVO und der DPA stellt eine Herausforderung für den Zugriff auf und die Nutzung von Patientendaten für die KI-Forschung im Gesundheitswesen dar, da diese Daten regelmäßig als besonders schutzwürdig eingestuft werden. Die Verarbeitung solcher Daten erfordert in der Regel die ausdrückliche und spezifische Einwilligung der betroffenen Person, wobei der Zweck der Verarbeitung im Voraus klar definiert und mitgeteilt werden muss. Einwilligungserklärungen gegenüber einem Datenvermittler für jede weitere Verwendung sind daher ungültig. Die weitere Verwendung oder Zweckänderung vorhandener Daten ist in der Regel ohne ausdrückliche Zustimmung nicht möglich. Neben den allgemeinen Datenschutzbestimmungen müssen auch spezifische nationale Vorschriften beachtet werden, wie das Krankenhausgesetz, das Heilberufegesetz und das Humanforschungsgesetz in der Schweiz oder die entsprechenden nationalen Gesetze in der EU.

Aufgrund der komplexen gesetzlichen Anforderungen sind Entscheidungsträger in Krankenhäusern einem erheblichen Haftungsrisiko ausgesetzt, was häufig zu einem vorsichtigen Umgang mit der Datenübertragung führt. Es gibt keine unabhängige Organisation als Datenvermittler, die die komplexen rechtlichen Abklärungen durchführen und die notwendigen Zusicherungen geben kann.

B) Fehlende technische Infrastruktur

Es fehlt an einer koordinierten Infrastruktur, die eine effiziente und sichere Datenintegration zwischen verschiedenen Institutionen und Systemen ermöglicht. Dies erschwert die digitale Erfassung und Bereitstellung umfangreicher Datensätze. Darüber hinaus ist die mangelnde Interoperabilität zwischen verschiedenen Gesundheitssystemen und Datenformaten ein großes Hindernis, das den nahtlosen Austausch und die plattformübergreifende Integration von Daten behindert. Neben inkonsistenten Formaten gibt es auch erhebliche Unterschiede in den Ergebnissen verschiedener Datenerfassungsgeräte.

C) Mangelnde Unabhängigkeit

Auch wenn die rechtlichen und technischen Herausforderungen der Zusammenarbeit zwischen Datenquelle und Datenverarbeiter gelöst zu sein scheinen, scheitern viele Projekte an der mangelnden Bereitschaft der Institutionen, Gesundheitsdaten direkt an gewinnorientierte Unternehmen weiterzugeben.

II. Anforderungen an die Entwicklung einer Datenwirtschaft

Um diesen strukturellen Herausforderungen des Datenmanagements zu begegnen, müssen Rahmenbedingungen geschaffen werden, die die Bereitstellung von Daten an Dritte fördern, ohne bestehende Rechtsgrundlagen zu verletzen oder das Image in der Öffentlichkeit zu gefährden.

A) Neue Rahmenbedingungen für Data Governance

Nachdem in den letzten zehn Jahren der Datenschutz im Mittelpunkt stand, wurde nun auch das Potenzial eines Datenmarktes erkannt. Eine Vielzahl von Ländern hat inzwischen das wirtschaftliche Potenzial des Datenzugriffs durch Dritte erkannt und arbeitet an den geltenden Rahmenbedingungen (sogenannten Data Governance Frameworks). Die Europäische Kommission hat die Europäische Datenstrategie 2020 mit dem Ziel vorgestellt, einen Binnenmarkt für Daten zu schaffen. Dieser Markt sollte neben nicht personenbezogenen Daten auch personenbezogene Daten umfassen. In diesem Zusammenhang. Der geplante Europäische Gesundheitsdatenraum (EHDS) soll die Bemühungen der EU zur Optimierung des Zugangs zu Gesundheitsdaten widerspiegeln.¹Darüber hinaus traten im Rahmen dieser Datenstrategie das Data Governance Act (DGA) 2 und die Datenverordnung (DA) 3 in Kraft, wodurch die ersten Rechtstexte geschaffen wurden, die die geltenden Rahmenbedingungen definieren.

Es reguliert auch sogenannte Datenvermittlungsdienste, die als Vermittler fungieren, um den Zugang zu Daten zu erleichtern. Solche Vermittler können sich auch in anderen EU-Ländern befinden. Die DGA reguliert jetzt den Zugang zu Daten von öffentlichen Stellen.

Mit der Einführung der DGA werden Vermittler als sogenannte Datenvermittlungsdienste reguliert. Die Einhaltung der DSGVO und des darin beschriebenen Grundsatzes der Einwilligung zur Verarbeitung bleibt unberührt. Um zu vermeiden, dass sie in den Anwendungsbereich fallen, können anonymisierte Daten verwendet werden. Dies sind keine personenbezogenen Daten mehr und können daher an Dritte weitergegeben werden. Je nach Datennutzer und Verwendungszweck kann auch das Forschungsprivileg gelten, sodass möglicherweise keine Einwilligung erforderlich ist. Eine weitere Harmonisierung wird durch die Einrichtung des EHDS erreicht werden.

B) Aufbau der technischen Infrastruktur

Parallel dazu muss die Entwicklung einer koordinierten Infrastruktur gefördert werden, die eine sichere und effiziente Datenintegration zwischen verschiedenen Organisationen und Systemen ermöglicht, um Datensilos aufzubrechen und den Datenzugriff und -austausch zu erleichtern. Insbesondere wird ein klarer Rechtsrahmen das Risiko potenzieller Rechtsverstöße verringern.

III. Die Schweizerische Stiftung als juristische Person eines Datenvermittlers

Vor diesem Hintergrund bietet die Schweiz mit ihren forschungsstarken Universitäten in den Bereichen KI und Medizin, einem starken Pharma- und Medizinsektor und einem dynamischen Umfeld für Start-ups einen idealen Standort für Datenintermediäre.

Die Wahl einer Schweizer Stiftung als Sponsor einer Datenplattform im Bereich der künstlichen Intelligenz im Gesundheitswesen scheint angesichts der zuvor diskutierten rechtlichen Rahmenbedingungen in der EU und der Schweiz besonders günstig zu sein. Dies liegt an der spezifischen Konstellation rechtlicher, standortbezogener und organisatorischer Faktoren, die im Folgenden beschrieben werden. Ein Datenmaklerdienst mit Sitz in der Schweiz kann von einem ausgezeichneten Umfeld profitieren. Schweizer Universitäten sind in Europa als führend auf dem Gebiet der KI anerkannt. Der Schweizer Medizin- und Pharmabranche hat ebenfalls einen hohen Datenbedarf. Schweizer KI-Start-ups werden am meisten profitieren, da sie oft nicht über die Mittel verfügen, um gesetzeskonforme Daten von einer großen Anzahl von Dateninhabern zu erhalten.

A) Gemeinnützig — Zweckbindung

Die gesetzliche Zweckbindung des Stiftungsvermögens stellt sicher, dass alle Aktivitäten und Ressourcen langfristig dem Stiftungszweck dienen. Eine Zweckänderung ist möglich, setzt jedoch voraus, dass der ursprüngliche Zweck nicht mehr erreicht werden kann. Dies gibt den beteiligten Dateneigentümern und Nutzern die Gewissheit, dass die Plattform ihren Zweck langfristig erfüllen wird. Der Stiftungszweck wird im Handelsregister veröffentlicht und kann somit von allen Beteiligten eingesehen werden. Darüber hinaus untersteht die Stiftung der Aufsicht der Gemeinde, die sicherstellt, dass das Stiftungsvermögen für den vorgesehenen Zweck verwendet wird. Die Organisation als gemeinnützige Stiftung stärkt zudem das Ansehen der Stiftung und bietet Vorteile, z. B. in steuerlicher Hinsicht.

B) Der Standort Schweiz ist gegenüber dem Standort in der EU nicht benachteiligt

Wenn ein Datenvermittlungsdienst im Sinne des DPA betrieben werden soll, ist dies auch über eine schweizerische Stiftung möglich. Als anerkannter sicherer Drittstaat im Sinne der DSGVO ist ein grenzüberschreitender Datentransfer zwischen der EU und der Schweiz möglich. Schweizer Stiftungen können daher als Datenvermittler agieren und müssen nicht die hohen Hürden für Datentransfers in unsichere Drittländer erfüllen. Die DSGVO gilt nicht für nicht personenbezogene Daten, was bedeutet, dass die Übertragung in die Schweiz datenschutzrechtlich unbedenklich ist. Die Stiftung kann somit in vollem Umfang am europäischen Datenmarkt teilnehmen und vom Standort Schweiz profitieren. Eine freiwillige Selbstverpflichtung der Stiftung zur Einhaltung höchster Standards, die über die gesetzlichen Anforderungen hinausgehen und laufend aktualisiert werden, wäre empfehlenswert. Die Einhaltung der Vorschriften könnte dann von einem speziell ernannten Prüfer überprüft werden.

C) Voraussetzungen für die Gründung einer schweizerischen Stiftung

Stiftungen können unter anderem von Privatpersonen oder Unternehmen gegründet werden. Das gespendete Vermögen ist vom Rechtsbereich des Stifters getrennt und erhält eine eigene Rechtspersönlichkeit. Sie kann operativ tätig sein oder als Dachstiftung fungieren. Die Organe der Stiftung müssen sich stets am Stiftungszweck orientieren. Mindestens ein bevollmächtigtes Mitglied des Stiftungsrates muss seinen Wohnsitz in der Schweiz haben. Für die Gründung der Stiftung ist ein Nettovermögen von mindestens 50 000 Franken erforderlich.

IV. Fazit

Der vorgeschlagene Einsatz einer Schweizer Stiftung als Datenvermittler könnte vom guten Ruf der Schweiz in Sachen Datenschutz und dem rechtlichen Rahmen profitieren, der gemeinnützige Organisationen bei der Verarbeitung sensibler Daten unterstützt.

Mit dieser Rechtsform soll sichergestellt werden, dass die Datenverarbeitung strikt den in der Satzung der Stiftung festgelegten Zwecken entspricht, was das Vertrauen der betroffenen Personen und Aufsichtsbehörden stärken könnte. Datenvermittler sind für ihre Fähigkeit bekannt, einen sicheren und gesetzeskonformen Datenaustausch zu ermöglichen, indem sie den Datenzugriff nach strengen rechtlichen und ethischen Standards verwalten.

Das Data Governance Act der Europäischen Union betont auch die zunehmende Anerkennung der Rolle von Datenvermittlern bei der Sicherstellung der grenzüberschreitenden Datennutzung, was ein in der Schweiz ansässiges Unternehmen zu einem attraktiven Angebot für europaweite Kooperationen macht.

‍

¹Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über den europäischen Gesundheitsdatenraum vom 3. Mai 2022.

² Verordnung (EU) 2022/868 des Europäischen Parlaments und des Rates vom 30. Mai 2022 über die europäische Datenverwaltung und zur Änderung der Verordnung (EU) 2018/1724 (Datenschutzgesetz).

³ Verordnung (EU) 2023/2854 des Europäischen Parlaments und des Rates vom 13. Dezember 2023 über harmonisierte Regeln für den fairen Zugang zu und die faire Nutzung von Daten und zur Änderung der Verordnung (EU) 2017/2394 und der Richtlinie (EU) 2020/1828 (Datenverordnung).