Patientendaten werden weitergegeben: Erste Klagen gegen Forschungsdatenbank

Laut dem Digitale-Versorgung-Gesetz (DVG), das die damalige Große Koalition unter Jens Spahn (CDU) 2019 beschlossen hat, müssen die gesetzlichen Krankenkassen bis Oktober 2022 die Gesundheitsdaten aller 73 Millionen Versicherten zu Forschungszwecken in eine Datenbank einspeisen (Mehr dazu lesen Sie in diesem Beitrag). Zu den Daten zählen unter anderem ärztliche Diagnosen, Daten zu Krankenhausaufenthalten, zu Operationen und zu Medikamenten der Versicherten. Eine Widerspruchsmöglichkeit gibt es nicht.

Klagen bei Sozialgerichten Berlin und Frankfurt am Main gegen die Datensammlung eingereicht

Die Sprecherin des Chaos Computer Clubs, Konstanze Kurz, sowie ein weiterer Kläger haben Anfang Mai bei den Sozialgerichten Berlin und Frankfurt am Main Eilanträge eingereicht, um das so vorgesehene Sammeln von Gesundheitsdaten zu verhindern. Unterstützung erhalten die Kläger von der Gesellschaft für Freiheitsrechte (GFF).

Die Kläger kritisieren unter anderem, dass das Übermittlungsverfahren das Risiko birgt, dass Gesundheitsdaten gehackt werden. Sie sehen zudem die Gefahr, dass Patientinnen und Patienten trotz Pseudonymisierung mit öffentlich zugänglichen Datensätzen reidentifiziert werden könnten. Ziel der Klagen sei es ausdrücklich nicht, Forschung zu verhindern, sondern zu erreichen, dass die Daten durch ein höheres Verschlüsselungsniveau und eine datensparsame Sammlung besser gegen Missbrauch geschützt würden und dass alle Versicherten der Sammlung widersprechen könnten, heißt es. Perspektivisch wollen die Kläger auch eine Klärung der Rechtslage durch den Europäischen Gerichtshof erreichen.

Patienten können bislang nicht widersprechen

Die Angst der Patientinnen und Patienten vor der Preisgabe sensibler Gesundheitsdaten ist groß und kommt auch in den Arztpraxen an. Betroffen sind vor allem Patienten mit seltenen oder stigmatisierenden Erkrankungen. Andere haben generell Angst, dass Gesundheitsdaten in falsche Hände gelangen und dies beispielsweise die Suche nach einem neuen Job erschwert.

Gesundheitsdaten im Darknet besonders begehrt

Diese Sorge ist nicht unbegründet. „Gesundheitsdaten sind mit einem Wert von durchschnittlich 250 US-Dollar pro Datensatz eine äußerst attraktive Beute für Datendiebe und böswillige Zugriffsberechtigte“, sagt Bijan Moini, Jurist und Verfahrenskoordinator bei der GFF.

Datendiebe könnten bei der neuen Datensammlung nach dem DVG leicht fündig werden. Von den Krankenkassen sollen die Daten der Versicherten über die Telematikinfrastruktur pseudonymisiert an eine zentrale Datensammelstelle beim Spitzenverband Bund der Krankenkassen gesendet werden. Von dort werden sie ohne Lieferpseudonym gebündelt und mit einer individuellen Arbeitsnummer an das Forschungsdatenzentrum Gesundheit übermittelt, das beim Bundesinstitut für Arzneimittel und Medizinprodukte angesiedelt ist. Gleichzeitig erhält eine separate Vertrauensstelle die Pseudonyme und Arbeitsnummern, aber ohne Gesundheitsdaten. Diese Vertrauensstelle erzeugt sogenannte Einweg-Pseudonyme und schickt diese zusammen mit den Arbeitsnummern an das Forschungsdatenzentrum.

Dieser Schritt erfolgt, weil es zu jedem Patienten mehrere Arbeitsnummern geben kann und das Forschungszentrum die Arbeitsnummern derselben Person zuordnen können soll, ohne zu erfahren, wer diese Person ist. Das Forschungsdatenzentrum speichert die Gesundheitsdaten für bis zu 30 Jahre und macht sie für Dritte zugänglich.

Die Kläger fordern ein höheres Schutzniveau

Hauptkritikpunkt der Kläger ist die zen­trale Datensammelstelle, die ein potenzieller Angriffspunkt sein könnte. Unterstützt werden sie durch ein von der GFF in Auftrag gegebenes Gutachten des Kryptographie-Professors Dominique Schröder von der Friedrich-Alexander-Universität Nürnberg-Erlangen. Danach schütze eine Pseudonymisierung nicht davor, dass Menschen re-identifiziert werden können. Das vorgesehene Verfahren berge ein erhebliches Missbrauchsrisiko, insbesondere da keine Pflicht zur Nutzung moderner Verschlüsselungstechnik bestehe, um die Daten zu sichern.

Die gesetzliche Regelung der Gesundheitsdatenbank muss sich laut GFF sowohl an der Datenschutz-Grundverordnung der Europäischen Union als auch am deutschen Grundgesetz messen lassen. Das Fehlen eines Widerspruchsrechts verstoße gegen das Grundrecht auf informationelle Selbstbestimmung und gegen Art. 21 Datenschutz-Grundverordnung.

Gesundheitsdaten in der gesamten EU sollen gesammelt werden

Ein EU-Vorhaben geht mit dem Datensammeln sogar noch weiter. Die Europäische Kommission möchte Gesundheitsdaten in der gesamten EU in einheitlichen Formaten elektronisch verfügbar machen. Dafür soll ein „Europäischer Gesundheitsdatenraum“ geschaffen werden, der den Austausch von Patientenakten, ärztlichen Diagnosen und Medikamentenverschreibungen erleichtert. Einen entsprechenden Gesetzentwurf hat die Kommission bereits vorgelegt. Die elektronische Patientenakte und die Patientenakten aus anderen europäischen Ländern sollen interoperabel gemacht werden. Die Daten sollen nicht nur den Patienten und Behandlern zur Verfügung stehen, sondern auch für Forschung, Innovation und die Gesundheitspolitik. Der Start soll zunächst über ein Pilotprojekt erfolgen, bevor 2025 alle Länder angeschlossen werden. Die Plattform, die den gemeinsamen Austausch der Gesundheitsdaten ermöglichen soll, trägt den Namen „MyHealth@EU“ und soll von der EU-Kommission verwaltet werden.

Bald auch Austausch von Gesundheitsdaten auf EU-Ebene?

An den EU-Plänen gibt es Kritik. Denn noch ist nicht ganz klar, wer Zugang zu der neuen Datenbank erhalten soll. Zwar soll unter anderem eine Nutzung zu Werbe- oder Marketingzwecken explizit ausgeschlossen sein. Doch Lobbygruppen drängen bereits darauf, dass beispielsweise auch Pharmafirmen über die Datennutzung mitbestimmen können. Experten befürchten zudem eine Verletzung der Vertraulichkeit der Daten. Noch ist das Projekt aber nicht in Stein gemeißelt. Denn in den kommenden Monaten soll unter anderem auch der Rat der EU-Staaten dazu Stellung nehmen. Auch hier scheint es Bedenken zu geben. Einige Mitgliedstaaten fürchteten, dass ihre Entscheidungsmöglichkeiten durch die EU-Vorgaben zu stark beschnitten werden könnten.