Forschung & klinische Studien

Forschung am Menschen lebt vom Vertrauen der Teilnehmenden. Wer ein Informationsblatt liest, eine Einwilligungs-Checkbox setzt und einen Screening-Fragebogen beantwortet, gewährt Zugriff auf Daten — oft sehr sensible Daten — unter einem klar umrissenen, zeitlich begrenzten und widerrufbaren Versprechen: Verwendung für genau diese Studie, durch genau dieses Team, zu genau diesem Zweck, mit der Möglichkeit, jederzeit auszusteigen. Dennoch erfassen viele Studien Einwilligung und Screening immer noch über generische Webformulare, deren Anbieter jede Antwort lesen kann, bevor der Studienleiter das Dossier öffnet.

Schweizerform ist genau für dieses Eingangsproblem gebaut. Jede Übermittlung — eine elektronische Einwilligung, ein Screening-Fragebogen, eine Eignungs-Checkliste, ein Lebensqualitäts-Selbstbericht, eine Meldung zu unerwünschten Ereignissen, ein Widerrufsantrag — wird im Browser des Teilnehmers verschlüsselt, bevor sie unsere Server erreicht. Wir können sie technisch nicht lesen. Für Schweizer Universitätsspitäler, akademische Forschungsgruppen, Investigator-Initiated Trials und EU-regulierte klinische Studien verwandelt diese Eigenschaft — kombiniert mit Schweizer Hosting und einer am HFG, an ICH GCP und an der EU-Verordnung 536/2014 ausgerichteten Architektur — den teilnehmerseitigen Eingangskanal von einer Compliance-Schwachstelle in eine belastbare technische Kontrolle.

Warum generische Formular-Tools an Forschung und klinischen Studien scheitern

Die meisten Online-Formular-Tools — Google Forms, Typeform, generische SurveyMonkey-Plattformen, sogar manche „HIPAA-konformen“ Anbieter — folgen einem klassischen SaaS-Modell: Der Browser des Teilnehmers sendet Klartextdaten über HTTPS, der Server des Anbieters speichert sie. Dieser Server kann alles lesen. Genauso das Personal des Anbieters, seine Integrationspartner, jeder, der die Infrastruktur kompromittiert, und jede Behörde, die einen rechtmässigen Auftrag zustellt.

Bei wenig sensiblen Umfragen ist das in Ordnung. Wenn eine Studie aber eine elektronische Einwilligung mit medizinischer Vorgeschichte, einer HIV-Statusangabe, einem Substanzkonsum-Fragebogen, einem pädiatrischen Mental-Health-PROM oder einer genomischen Forschungsanmeldung kombiniert, entsteht ein sehr spezifisches und vermeidbares Problem: studientaugliche, identifizierbare Gesundheitsdaten liegen im Klartext auf einem Drittanbieter-Server, typischerweise ausserhalb der Schweiz und des EWR.

• Ein Einwilligungsformular erfasst eine elektronische Unterschrift, vollständigen Namen und Geburtsdatum; die Anbieterdatenbank enthält eine lesbare Verknüpfung von Identifikator und Studie, bevor der PI sie sichtet
• Ein Screening-Fragebogen erfasst Vordiagnosen, aktuelle Medikation und Familienanamnese; jede Antwort liegt auf der Anbieterinfrastruktur und wird von dessen Analytics indexiert
• Ein Verhaltensforschungs-Instrument fragt Substanzgebrauch, Sexualverhalten, mentale Symptome oder häusliche Gewalt ab; dieser Inhalt wird gesichert und oft in US-gehosteten Cloud-Regionen verarbeitet
• Eine Selbstmeldung zu Nebenwirkungen beschreibt ein unverblindetes klinisches Ereignis — eine Hospitalisation, eine Nebenwirkungsschilderung — und ist für das Support-Personal des Anbieters durchsuchbar
• Ein Dokument-Upload akzeptiert eine Ausweiskopie, einen Zuweiserbrief oder einen Rezept-Scan; die Datei wird vom Antivirus des Anbieters gescannt, von einem CDN gecacht und im Klartext in einer US-Cloud gespeichert
• Ein Teilnehmer widerruft die Einwilligung nach Art. 9 HFG / Art. 7(3) DSGVO; die Studie löscht den Datensatz im eigenen System, doch die Backups und Analytics-Pipelines des Anbieters halten weiterhin eine lesbare Kopie

Wie Schweizerform Vertraulichkeit über den gesamten Studienzyklus wahrt

Schweizerform ist eine Zero-Knowledge-Ende-zu-Ende-verschlüsselte Formularplattform. Die Verschlüsselung geschieht im Browser des Teilnehmers, bevor irgendwelche Daten sein Gerät verlassen. Nur Inhaber des Access Codes des Formulars können Übermittlungen entschlüsseln. Wir — der Anbieter — können es nicht.

Konkrete Forschungs- und Studienformulare

Elektronische Einwilligung (eConsent)

Die aufgeklärte Einwilligung ist das Fundamentdokument jeder Studie am Menschen. ICH GCP §4.8, das HFG und die EU-VO 536/2014 verlangen, dass sie freiwillig, schriftlich, nach angemessener Aufklärung und mit Aushändigung einer Kopie an die Person erfolgt. Ein Schweizerform-eConsent-Flow rendert das Probandeninformations-Blatt, erfasst die datierte elektronische Unterschrift, hält die Version der Einwilligungsvorlage fest und sendet eine Bestätigung an den Teilnehmer — alles Ende-zu-Ende verschlüsselt, bevor irgendein Sponsor-Server eine Verknüpfung von Identifikator und Unterschrift sieht.

Screening, Eignung und Run-in-Fragebögen

Screening-Formulare erfassen verdichtete Anamnesen: Vordiagnosen, aktuelle Medikation, Allergien, frühere Studienteilnahmen, Familienanamnese. Ein verschlüsseltes Formular hält dieses Profil unter Studienteam-Kontrolle vor formaler Aufnahme — ohne dass das Team daran gehindert würde, Ein-/Ausschlusskriterien nach Entschlüsselung anzuwenden.

Patient Reported Outcomes (PROs / PROMs)

Viele Studien hängen von regelmässigen Selbstauskünften ab — Schmerzskalen, Depressions-/Angstskalen (PHQ-9, GAD-7), Lebensqualitäts-Instrumente (EQ-5D, SF-36), Symptomtagebücher. Wiederkehrende verschlüsselte Übermittlungen halten longitudinale Probandendaten aus dem Klartext-Speicher des Anbieters und aus US-gehosteten Cloud-Regionen heraus — bei voller Möglichkeit zur Auswertung nach Entschlüsselung im Studienteam.

Schwerwiegende unerwünschte Ereignisse und Sicherheits-Selbstmeldungen

Probanden melden manchmal Sicherheitsereignisse direkt — über ein Probandenportal oder ein studieneigenes Formular — vor dem nächsten Site-Besuch. Ein Zero-Knowledge-Formular erlaubt dem Studienteam, einen unverblindeten klinischen Bericht zu erfassen, ohne ihn Content-Scannern oder Analytics-Pipelines eines Drittanbieters auszusetzen, und die ICH-GCP- und CTR-Sicherheitsmeldepflichten nach Entschlüsselung auf eigener Infrastruktur zu erfüllen.

Widerruf der Einwilligung und Datenlöschungs-Anträge

Probanden können jederzeit widerrufen (Art. 9 HFG; Art. 7(3) DSGVO). Wenn der Widerrufsantrag selbst über ein verschlüsseltes Formular läuft, kann das Studienteam handeln und dokumentieren, ohne dass der Anbieter eine lesbare Spur hält, wer wann und warum widerrufen hat. Für bereits verschlüsselt gespeicherte Daten liefert die Schlüsselzerstörung einen sauberen kryptografischen Löschpfad, der die eCRF-Löschung ergänzt.

Patientenregister und Beobachtungsstudien

Krankheitsspezifische Register und langlaufende Beobachtungs-Kohorten erfassen identifizierbare Gesundheitsdaten über Jahre. Ein Schweizerform-Eingangskanal sorgt dafür, dass die longitudinale Akte an der Eintrittsschnittstelle verschlüsselt ist — auch wenn das Register selbst in einem Forschungs-Datawarehouse liegt — besonders nützlich für grenzübergreifende Register, die Daten aus Schweizer und EU-Sites poolen.

Genetische und Biobank-Einwilligung

Biobank- und Genom-Forschungs-Einwilligungen schichten oft mehrere Autorisierungen: Lagerung, Zweitverwendung, künftige Kontaktaufnahme, Befundrückgabe, Widerruf. Die Verschlüsselung der Einwilligungsschicht hält granular gewählte Berechtigungen und zugehörige Identifikatoren ausserhalb des Lese-Scopes des Anbieters — besonders wichtig für grenzüberschreitende Biobank-Kohorten und HFG-regulierte Schweizer Biobank-Einlagen.

Studienteam-Formulare: Protokollabweichungen, Source-Data-Korrekturen

Auch interne Studienteam-Formulare — Protokollabweichungs-Berichte, Monitoring-Befunde, Source-Data-Korrekturen — profitieren von verschlüsseltem Eingang. Sie enthalten Probanden-Identifikatoren, narrative Vorfallsbeschreibungen und Verweise auf Krankenakten-Seiten. Ihr Lauf über einen Zero-Knowledge-Kanal hält Audit-relevante Details vom Speicher eines generischen SaaS-Anbieters fern.

Was Probanden, Sponsoren und Auditoren sehen

Regulatorischer Kontext: HFG, ICH GCP, EU-VO 536/2014, DSGVO Art. 89, Common Rule, HIPAA

Die Schweizer Forschung am Menschen wird vom Humanforschungsgesetz (HFG, in Kraft seit 2014) und seinen Verordnungen (HFV/KlinV) geregelt, mit Aufsicht durch Swissmedic für klinische Versuche mit Heilmitteln und Medizinprodukten und durch kantonale Ethikkommissionen (swissethics) für die ethische Beurteilung. Das HFG verlangt schriftliche Einwilligung, Pseudonymisierung und verhältnismässigen Datenschutz; Ethikkommissionen erwarten zunehmend, dass elektronische Einwilligungs- und Datenerfassungs-Instrumente Vertraulichkeit by Design nachweisen.

EU-Arzneimittelstudien fallen unter die Verordnung 536/2014, administriert via CTIS, mit Vertraulichkeits- und Integritätsanforderungen über der DSGVO. ICH GCP E6(R3) — der aktuelle GCP-Standard — legt Grundprinzipien zu Datenintegrität, computergestützten Systemen und Audit-Spuren fest (§3, §5.5). Art. 89 DSGVO sieht spezifische Schutzbestimmungen für Forschungsverarbeitung vor — diese hängen aber von tatsächlichen Schutzmassnahmen einschliesslich Pseudonymisierung ab. Bei US-finanzierten oder US-Kollaborationsstudien gelten Common Rule (45 CFR 46) und, sofern Covered Entities beteiligt sind, HIPAA (45 CFR 164.514) — Letzteres mit Anforderungen an De-Identifizierung oder formalen Data-Use Agreements für Limited Datasets.

Relevante Funktionen für Forschungsstudien

• Zero-Knowledge-Ende-zu-Ende-Verschlüsselung auf jeder Übermittlung — kein Lesezugriff des Anbieters auf Einwilligung, Screening, PRO, AE-Inhalte
• Verschlüsselte Dokument- und Bilduploads — Zuweiserbriefe, Vorbefunde, Ausweiskopien, Rezept-Scans, Fotos selbstverabreichter Geräte
• Mehrsprachige Formulare (EN / DE / FR / IT) ab Werk — entscheidend für Schweizer multikantonale Sites und EU-Multi-Country-Studien
• Pro-Formular-Access-Codes — pro Studie, Arm oder Site
• Schweizer Hosting mit nDSG-konformer Architektur — Antwort-Payloads verlassen die Schweiz nicht
• Audit-Log der Entschlüsselungs-Ereignisse (wer hat wann eine Übermittlung geöffnet) ohne Inhalt offenzulegen — passend zu ICH-GCP-Audit-Trail-Erwartungen
• Strukturierter Datenexport nach Entschlüsselung — bereit für eCRF/EDC, Register-Warehouse oder statistische Umgebung
• Kostenloser Tarif, damit ein Sponsor-Investigator eine eConsent- oder Screening-Form pilotieren kann, bevor Site- oder Studienweit ausgerollt wird

Häufige Einwände

"Unser EDC-Anbieter bietet bereits eConsent."

Sponsor-EDC-Plattformen sind gut für randomisierte, on-protocol Probanden, die im Studiensystem schon identifiziert sind. Bei Erst-Screening (vor Vergabe einer Screening-Nummer), bei akademisch finanzierten IITs und bei Beobachtungs- oder Register-Intake sind sie meist schwach. Ein Zero-Knowledge-Formular sitzt am teilnehmerseitigen Eintrittspunkt und ergänzt die EDC, statt sie zu ersetzen.

"Wie passt das zu 21 CFR Part 11 und ICH GCP §5.5?"

Schweizerform liefert eine kryptografische Vertraulichkeitsschicht für das Intake; es ist kein schlüsselfertiges, validiertes eClinical-System. Bei FDA/Part-11-Studien nutzen Sponsoren Schweizerform typischerweise für teilnehmerseitiges Intake (eConsent, Screening, PROs) und übertragen verifizierte Daten danach in ein validiertes eCRF/EDC unter ihrem bestehenden 21-CFR-Part-11- / ICH-GCP-§5.5-Rahmen, mit dokumentierten Verfahren für Datenfluss, Audit-Spuren und Source-Data-Verifizierung.

"Wenn wir den Access Code verlieren, sind die Übermittlungen weg."

Korrekt — und gewollt. Empfohlene Praxis ist dokumentierte Schlüssel-Custody: Ein versiegelter Access Code, gemeinsam von PI und Studienkoordinator gehalten, escrowed in der Forschungs-Informationssicherheits-Policy des Instituts, oder geteilt zwischen PI und Datenmanager mit HSM. Das Verfahren vermeidet Single-Person-Failure und erhält die Eigenschaft, dass der Anbieter nicht zur Herausgabe gezwungen werden kann, was er nicht lesen kann.

"Unsere Ethikkommission/IRB möchte genau wissen, was der Anbieter sieht."

Gut — genau diese Frage beantwortet die Architektur sauber. Der Anbieter sieht verschlüsselte Blobs und Metadaten auf hoher Ebene (Formular-ID, Submissions-Zeitstempel, verschlüsselte Payload-Grösse). Er sieht keine Feldinhalte, keine Unterschriften, keine Identifikatoren, keine Dokumentinhalte. Das ist im Datenmanagement-Plan und in der Ethikkommissions-Eingabe geradlinig dokumentierbar.

"Unsere Probanden sind nicht technisch — kommen sie damit klar?"

Es gibt keine Installation auf Probandenseite. Der Proband klickt einen studieneigenen Link, liest das Probandeninformationsblatt, setzt Einwilligungs-Häkchen, füllt den Fragebogen aus und sendet ab. Die Verschlüsselung passiert automatisch im Browser; das Erlebnis entspricht jedem Web-Formular, in der bevorzugten Sprache. Nur das Studienteam muss Neues lernen — typisch eine 30-minütige Einführung beim Site-Initiation-Visit.

Einen Schweizerform-Eingangskanal für eine Studie einführen

Fazit

Forschung am Menschen verspricht den Probanden bereits eine sehr spezifische Vertraulichkeit — begrenzt durch Protokoll, Einwilligungsformular und Ethikkommissions-Bewilligung. Ein Formular-Anbieter, der jedes Feld einer eConsent, jede Screening-Antwort und jede AE-Schilderung mitlesen kann, ist eine Outsourcing-Abhängigkeit, die Ethikkommissionen, Sponsoren und Inspektoren zunehmend hinterfragen werden — gerade während ICH GCP E6(R3) und die EU-CTR Studien zu nachweisbar kontrollierten Datenflüssen drängen.

Schweizerform liefert eine direkte Antwort: Zero-Knowledge-Ende-zu-Ende-Verschlüsselung auf jedem Formular, Schweizer Hosting und eine an HFG-, ICH-GCP-, EU-CTR- und DSGVO-Art.-89-Erwartungen ausgerichtete Architektur. Kein Bezahl-Upgrade für Sicherheit. Keine US-Cloud-Abhängigkeit für Antwortdaten. Keine drittlesbare Kopie der Einwilligung, des Screening-Profils oder der Sicherheits-Selbstmeldung eines Probanden auf einem Server, den das Studienteam nicht kontrolliert.