Studiendaten sicher teilen: Pharma und Medtech im Austausch mit CROs

Ein mittelständischer Medizintechnik-Hersteller bereitet eine klinische Prüfung vor. Der Prüfplan geht an eine CRO in den Niederlanden, die Biostatistik sitzt bei einem Dienstleister in Polen, zwei Universitätskliniken prüfen das Protokoll, und eine Beraterin kümmert sich um die Unterlagen für die Behörde. Fünf Organisationen, mehrere Zeitzonen, ein Dutzend Fassungen. Wer Studiendaten sicher teilen will, braucht dafür mehr als einen geteilten Ordner.

Was in klinischen Programmen auf dem Spiel steht

Studienunterlagen sind doppelt sensibel. Sie enthalten Geschäftsgeheimnisse, etwa Wirkmechanismen, Zwischenergebnisse und Entwicklungspläne, deren Bekanntwerden Kurse, Partnerschaften und Lizenzverhandlungen beeinflusst. Und sie enthalten personenbezogene Gesundheitsdaten von Teilnehmenden, selbst wenn diese pseudonymisiert sind. Die europäische Verordnung über klinische Prüfungen (EU) Nr. 536/2014 und die DSGVO verlangen einen sorgfältigen Umgang damit.

In der Praxis sieht der Austausch oft anders aus: Mailverteiler mit wechselnden Empfängern, Links auf Cloud-Ordner ohne Ablaufdatum, ZIP-Dateien mit Passwort im selben Mailverlauf. Wer am Ende welche Fassung gesehen hat, lässt sich kaum noch sagen.

Studiendaten sicher teilen: Datenraum statt Mailverteiler

Ein Datenraum bündelt alle Unterlagen eines Programms an einem Ort, mit klaren Rollen:

• Sponsor pflegt Struktur und Freigaben.
• CRO und Dienstleister sehen die Bereiche, die sie für ihre Arbeit brauchen, und laden ihre Ergebnisse hoch.
• Prüfzentren und Gutachter erhalten nur die Dokumente, die sie prüfen sollen, auf Wunsch nur zum Ansehen, mit Wasserzeichen und ohne Download.

Entscheidend ist, dass Freigaben eine Gültigkeit haben. Endet ein Vertrag mit einem Dienstleister, endet auch sein Zugriff, ohne dass jemand Ordnerrechte von Hand nachpflegen muss.

Vertraulichkeit vor dem ersten Klick

In frühen Phasen, etwa bei der Suche nach Prüfzentren oder Lizenzpartnern, gehen Unterlagen an Organisationen, mit denen noch kein Vertrag besteht. Üblich ist dann eine Vertraulichkeitsvereinbarung, die als PDF hin- und hergeschickt, unterschrieben, eingescannt und abgelegt wird.

Einfacher ist es, wenn die Vereinbarung direkt vor dem Öffnen steht: Die empfangende Person liest den Text, nimmt ihn mit Namen an, und erst dann öffnet sich das Dokument. Die Annahme wird mit dem vollen Text, der Fassung und dem Zeitpunkt festgehalten und von der Plattform signiert. Der Sponsor sieht in der Übersicht, wer zugestimmt hat. Für Unterlagen, deren Erhalt nachweisbar sein muss, etwa Fassungen eines Prüfplans, kommt eine Empfangsbestätigung mit Unterschrift hinzu.

Merksatz: Nicht der Versand ist das Risiko, sondern alles danach: Kopien, Weiterleitungen, vergessene Freigaben. Gute Werkzeuge machen das Danach sichtbar und steuerbar.

Lange Laufzeiten, lange Vertraulichkeit

Von der präklinischen Phase bis zur Zulassung vergehen oft viele Jahre, und Daten aus abgeschlossenen Studien bleiben für spätere Indikationen, Patentverfahren und Behördenanfragen relevant. Daten, die heute verschlüsselt übertragen werden, sollten deshalb auch dann noch geschützt sein, wenn deutlich leistungsfähigere Rechner verfügbar sind. Das ist der Grund, warum Behörden wie das BSI und die EU-Kommission jetzt zur Umstellung auf Post-Quanten-Kryptografie raten. Den Zeitplan haben wir im Beitrag zum EU-Fahrplan für Post-Quanten-Kryptografie zusammengefasst.

Was Sie jetzt tun können

1. Austauschwege eines Programms aufzeichnen: Wer schickt wem welche Dokumente, über welchen Kanal?
2. Bereiche und Rollen festlegen: Welche Partner brauchen welchen Teil, wie lange, mit welchem Recht (ansehen, herunterladen, hochladen)?
3. Vertraulichkeitsvereinbarung als Vorlage hinterlegen: einmal juristisch prüfen, dann für alle frühen Kontakte nutzen.
4. Externe Partner früh einbinden: Ein Zugang ohne Installation senkt die Hürde für CROs und Kliniken.
5. Verschlüsselung prüfen: Ende-zu-Ende und mit NIST-standardisierten Post-Quanten-Verfahren, Speicherort in der EU.

PQVault für Studienprogramme

PQVault Spaces bietet Datenräume mit Rollen, Freigaben, Unterschriften und Protokoll für Sponsor, CRO und Partner. Einzelne Dokumente an externe Empfänger gehen über PQVault Store & Share als Link mit Regeln, auf Wunsch mit Vertraulichkeitsvereinbarung vor dem Öffnen und Empfangsbestätigung. Alle Inhalte sind Ende-zu-Ende verschlüsselt, zusätzlich mit NIST-standardisierten Post-Quanten-Verfahren. Mehr zu Szenarien aus der Branche finden Sie unter Pharma & Medizintechnik.