1. Einleitung
Der vorliegende Beitrag beschäftigt sich mit dem Thema Gesundheitsdaten und dem Potenzial für Veränderungen, das durch die Corona-Pandemie ausgelöst wurde. Während die Pandemie direkte Auswirkungen auf die Gesellschaft hatte, ist der Umbruch im Bereich der Gesundheitsdaten weniger erfahrbar. Dabei geht es um die Primär- und Sekundärnutzung von Gesundheitsdaten und die Frage, wie man an diese Daten kommt. Die Idee der Datensolidarität wird vorgestellt und die möglichen Konflikte mit dem Datenschutz werden diskutiert. Da Gesundheitsdaten ein Wirtschaftsfaktor sind, bedarf es einer gesellschaftlichen Debatte, insbesondere im Hinblick auf den European Health Data Space (EHDS).
Gastbeitrag von lacrosse
Lacrosse ist betrieblicher Datenschutzbeauftragter in der Konzerndatenschutzorganisation einer deutschen Unternehmensgruppe. In seiner Freizeit engagiert er sich ehrenamtlich, um gemeinnützigen Vereinen bei der Umsetzung der DSGVO zu helfen.
Feedback und Fragen können direkt an ihn gerichtet werden. Spenden für seine Arbeit möchte er direkt dem Kuketz-Blog zukommen lassen. Ihr könnt also direkt an den Kuketz-Blog spenden.
2. Krise & Wandel
Krisen sind teils vielgesichtig. Sie können viel mehr sein, als ein zeitlich begrenztes Problem, das gelöst werden muss, um dann wieder zum Alltag überzugehen. Während der Corona-Pandemie grassierte das politische Schlagwort der »neuen Normalität«. Natürlich diente dieses Schlagwort dazu, einen grundlegenden Wandel, gegenüber einer »alten Normalität«, zu verdeutlichen.
(…) Only a crisis—actual or perceived—produces real change. When that crisis occurs, the actions that are taken depend on the ideas that are lying around. That, I believe, is our basic function: to develop alternatives to existing policies, to keep them alive and available until the politically impossible becomes politically inevitable.
Quelle: Contributors to Wikimedia projects. (2023, 5. Januar). Milton Friedman. Wikiquote.
Während die Auswirkungen der »neuen Normalität« einer Pandemie direkt erlebbar waren, ist momentan ein weniger erfahrbarer Umbruch im Gange. Dies ist zunächst keineswegs überraschend, sondern eine Konsequenz aus den Pandemie-Erfahrungen. Es geht um die wissenschaftliche Forschung mit Gesundheitsdaten. Allerdings ist es kaum so, dass das »Allgemeinwohl-Potenzial« von Gesundheitsdaten und der Digitalisierung des Gesundheitswesens nicht erkannt worden wäre – wer die Gründe für Deutschlands Entwicklungsrückstand erfahren möchte, dem sei Peter Schaars Buch »Diagnose Digital-Desaster« empfohlen. So viel sei verraten, es liegt nicht am Datenschutz.
Zum besseren Verständnis sei erklärt, dass zwischen Primär- und Sekundärnutzung von Gesundheitsdaten zu unterscheiden ist. Eine Primärnutzung von Gesundheitsdaten findet durch Angehörige von Gesundheitsberufen bei einer Behandlung statt. Als Sekundärnutzung bezeichnet man nachgelagerte Verarbeitungstätigkeiten, wie z.B. die Verwendung von Gesundheitsdaten zum Zwecke der Forschung.
Wie bei jeder Datennutzung ist der Kernpunkt: Wie kommt man an die Daten? Durch die Mitwirkung von Patient*innen, mit deren Einverständnis, auf freiwilliger Basis mittels einer Datenspende oder als gesetzlich verpflichtende »Solidarität«? Sofern gesetzlich verpflichtend, mit oder ohne Widerspruchslösung (Opt-out)?
Krisen bergen das Potenzial für einen, in einer »alten Normalität«, undenkbaren Wandel. Verdeutlicht wird die aktuelle Veränderung durch das Schlagwort Datensolidarität. Das Netzwerk Datenschutzexpertise schreibt in seiner Studie »EHDS – der Europäische Gesundheitsdatenraum« von der »Sozialpflichtigkeit von Gesundheitsdaten« (Weichert et al, 2023). Punktuelle Umsetzungen dieses Prinzips gibt es in Deutschland bereits, z.B. in verschiedenen Landes-Krebsregistern oder dem Implantate-Register).
Die Idee der Datensolidarität – das u.U. verpflichtende Offenlegen von Gesundheitsdaten gegenüber Menschen (oder Institutionen), die keine »Primärnutzer« sind – kollidiert allerdings mit unserem Verständnis der Vertraulichkeit von sensiblen Gesundheitsdaten. Aber zunächst nicht aus datenschutzrechtlichen Erwägungen. Denn, der alltägliche Ausdruck dieser Vertraulichkeit manifestiert sich hauptsächlich im Berufsethos von Gesundheitsberufen: Verschwiegenheitsverpflichtung, Patient*innengeheimnis, oder die Patient*innen-Rechte. Auch das Strafgesetz ahndet Geheimnisverletzung gemäß § 203 StGB.
Es bleibt zudem, trotz aller altruistischen Beteuerungen, auch eine Tatsache, dass Gesundheitsdaten ein Wirtschaftsfaktor sind. Nicht umsonst gibt es den Branchenbegriff der »Gesundheitswirtschaft«. Die Gesundheitswirtschaft ist aber beileibe nicht der einzige Akteur mit einem Eigeninteresse an Gesundheitsdaten.
Daher bedarf es einer gesellschaftlichen Debatte, insbesondere angesichts der Planungen zum European Health Data Space (EHDS), den das Netzwerk Datenschutzexpertise in seiner Studie beleuchtet. Technisch handelt es sich beim europäischen Datenraum (EHDS) um ein dezentrales, föderiertes System. Daten werden anlassbezogen und zweckgebunden bei einer Zugangsstelle zusammengezogen und verfügbar gemacht (siehe hier ab Stunde 1:44). Die Nutzen des EHDS für Europär*innen finden sich in dieser FAQ.
The digital welfare state is either already a reality or emerging in many countries across the globe. In these states, systems of social protection and assistance are increasingly driven by digital data and technologies that are used to automate, predict, identify, surveil, detect, target and punish. In the present report, the irresistible attractions for Governments to move in this direction are acknowledged, but the grave risk of stumbling, zombie-like, into a digital welfare dystopia is highlighted.
Quelle: United Nations. United Nations Human Rights. (2019). OHCHR | Digital technology, social protection and human rights: Report.
Um richtig verstanden zu werden: Eine Sozialpflichtigkeit von Gesundheitsdaten kann dem Gemeinwohl dienen, muss aber im Einklang mit individuellen Grund- und Freiheitsrechten stehen. Daher ist eine faire, öffentliche Diskussion dringend geboten. Akzeptanz und Beständigkeit können nur Lösungen haben, die auf einem sicheren, grundrechtlichen Fundament fußen. Dessen Grundsteinlegung kann nur über den kritischen Diskurs führen, der die Risiken aufzeigt und adressiert.
Bedauerlicherweise muss man momentan feststellen, dass uns, aus der »neuen Normalität« der Coronazeit, eine Neigung zu fahrlässiger Rhetorik und mangelnder Präzision erhalten bleibt. Im Folgenden werfen wir einen Blick auf Fehlinformationen, die im Kontext des Gesundheits-Datenschutzes weitverbreitet sind.
3. Fehlinformationen
Was mit Fehlinformationen über und um den Gesundheits-Datenschutz gemeint ist, sei anhand von Beispielen erklärt. Man bezeichnet eine Information dann als Fehlinformation, wenn sie Tatsachen falsch oder nur unvollständig wieder gibt.
Wer Vertrauen gewinnen oder nicht verspielen möchte, muss durch umfassende und verlässliche Informationen zu kritischen Entscheidungen eine Vertrauensbasis schaffen. Informationen, die sich als falsch oder unvollständig herausstellen, können Vertrauen verspielen und eine Vertrauenskrise auslösen.
Quelle: Deutscher Ethikrat. (2022). Vulnerabilität und Resilienz in der Krise – Ethische Kriterien für Entscheidungen in einer Pandemie. Seite 209.
3.1 Datenverarbeitungen bei Notfällen erlaubt
Unfallchirurgen schlagen Alarm!
Die seit 2018 geltende Datenschutzverordnung »gefährdet Menschenleben«, warnt Professor Dietmar Pennig (66) von der Gesellschaft für Orthopädie und Unfallchirurgie (DGOU).
Denn: Notärzte funken aus dem Rettungswagen Patientendaten von Unfallopfern an Kliniken, um die Versorgung in der Notaufnahme, im Unfall-OP oder auf der Intensivstation vorzubereiten.
Das Problem dabei: Aus rechtlichen Gründen, wegen der Datenschutz-Grundverordnung, DSVGO, brauchen sie dafür die Einwilligung des Verletzten. »Das geht nicht, wenn der Patient nicht mehr ansprechbar ist«, so Pennig.
Quelle: Vehlewald, H. (2021, 20. Oktober). Ärzte beklagen Datenschutz-Irrsinn bei Unfallrettung | Politik. bild.de.
Das Gesetzesvorhaben Datenschutzgrundverordnung zog 4000 Änderungsanträgen von zahlreichen Interessengruppen nach sich. Es ist schwer vorstellbar, dass dabei die Notfallversorgung übersehen worden oder unbeachtet geblieben wäre. Natürlich ist dem auch nicht so. Siehe dazu Art. 6 (1) lit. d) DSGVO bzw. glasklar formuliert in Art. 9 (2) lit. c) DSGVO.
Natürlich darf die Datenverarbeitung in solchen geschilderten Notlagen stattfinden. Tausendmal geklärt, diese öffentliche Verunsicherung durch einen Spitzenfunktionär gefährdet Patient:innen.“ In Artikel 6 (1) d) DSGVO zur »Rechtmäßigkeit der Verarbeitung« Artikel 9 (2) c) zum Schutz lebenswichtiger Interessen« ist geregelt, dass die Datenverarbeitung in Notfällen erlaubt ist, auch wenn die betroffene Person aus körperlichen Gründen keine Einwilligung geben kann.
Quelle: Krempl, S. (2021, 28. Oktober). Unfallmediziner: DSGVO-Auslegung „gefährdet Menschenleben“. heise online.
Es sei zudem ergänzend darauf hingewiesen, dass Änderungsanträge von Interessenverbänden der Forschung z.B. in den Artikel 89 DSGVO Eingang gefunden und zu Konkretisierungsklauseln in Artikel 89 Abs. 2 und Abs. 3 DSGVO geführt haben.
3.2 Versäumnis des Gesundheitsministers bei der Melderegisterauskunft für Impftermine
Die Kombination unseres strikten Datenschutzes mit der wenig pragmatischen Kultur der Datennutzung kostet Leben, da gibt es viele Beispiele. Und es sollte mal jemand ausrechnen, wie viele hochaltrige Menschen im Winter 2020/21 nicht schnell genug geimpft wurden und an Covid-19 verstarben, weil man keine einfach verfügbaren Daten hatte, um sie zu finden und zu erreichen, sondern mit Vornamenschätzungen und solchen Dingen herumfuhrwerken musste.
Quelle: Berndt, C. (2022, 9. Dezember). „Wir brauchen eine andere Einstellung zum Datenschutz“. Süddeutsche.de.
Die Vorsitzende der Ethikkommission, Alena Buyx, stellt einen falschen Zusammenhang zwischen Datenschutz und (teilweise fehlender) Melderegisterauskunft in der Corona-Pandemie her. Ursächlich war, dass der damalige Bundesgesundheitsminister (Spahn), diese Registerauskunft in der Corona-Impfverordnung nicht berücksichtigt hatte. Die DSGVO hätte eine Regelungsmöglichkeit mittels der Rechtsgrundlagen Art. 6 (1) lit. c) oder 6 (1) lit. e) DSGVO jedenfalls geboten.
Dies liegt an einem Versäumnis des Bundesgesundheitsministers: Er hat es versäumt, eine Abfragebefugnis in die Coronavirus-Impfverordnung (CoronaImpfV) einzufügen.
Quelle: Härting, N. (2021, 15. Januar). Schwerer Fehler des Bundesgesundheitsministers: Meldedaten dürfen nicht für „Impf-Einladungen“ verwendet werden. CR-online.de Blog.
Eine Regelung wäre aber erforderlich gewesen, denn das Bundesverfassungsgericht hatte im Jahr 2020 entschieden, dass Abruf und Übermittlung bei Auskunftsverfahren jeweils einer eigenen rechtlichen Grundlage bedürfen.
Der Gesetzgeber muss bei der Einrichtung eines Auskunftsverfahrens auf Grundlage jeweils eigener Kompetenzen für sich genommen verhältnismäßige Rechtsgrundlagen sowohl für die Übermittlung als auch für den Abruf der Daten schaffen.
Quelle: Bundesverfassungsgericht. (2020, 27. Mai). Bundesverfassungsgericht – Entscheidungen – Regelungen zur Bestandsdatenauskunft verfassungswidrig. 1 BvR 1873/13. Beschluss des ersten Senats.
4. Es fehlt an Präzision
Sie kennen den plakativen Satz »Daten retten Leben«? Leider ist diese Feststellung derart pauschal, dass sie richtig und falsch sein kann. Ob sie zutrifft oder nicht, hängt von den spezifischen Umständen ab, unter denen sie getroffen wird. Lautet der Satz »Gesundheitsdaten können Ärzt*innen in ihrer Tätigkeit befähigen und unterstützen« ist das schon einen Deut präziser (aber weniger medienwirksam) und vermutlich zutreffender – weil es Zweck und Sachverhalt genauer eingrenzt, aber keine unmittelbare Wirkung unterstellt wird.
In der Corona-Pandemie wurde allzu oft ein unmittelbarer Zusammenhang zwischen »Daten können Leben retten« und Kontakt-Tracing unterstellt – oder gar zu einem technischen Heilsversprechen überhöht. Die These suggeriert eine Gewissheit, deren unmittelbare Wirkung und übertriebene Erwartung, im Nachhinein unerfüllt blieb.
Extensive public testing significantly reduces case and death growth rates, contact tracing does not (…)
Quelle: Spiliopoulos, L. (2022, 1. Oktober). On the effectiveness of COVID-19 restrictions and lockdowns: Pan metron ariston – BMC Public Health. BioMed Central. Hervorhebung durch den Autor.
Die eigentliche Erkenntnis aus einer Aussage wie »Daten retten Leben« ist daher nicht, dass sie zutreffen kann oder nicht. Sondern die Feststellung: Es mangelt an Genauigkeit in der Debatte. Angesichts der pauschalen Kritik am Datenschutz, kann man sich des Eindrucks nicht erwehren, dass wissenschaftliche Forschung mit der DSGVO nicht möglich zu sein scheint. Beginnen wir daher mit einer Übersicht zu den Regelungen, die eine Sekundärnutzung (auch von Gesundheitsdaten), bereits heute ermöglichen oder erleichtern.
Die DSGVO und das BDSG beinhalten einige Ausnahmen, die wissenschaftliche Forschung begünstigen. Es würde allerdings den Umfang dieses Beitrags sprengen, diese vollständig zu behandeln – in diesem Sinne ist Genauigkeit, nicht mit Ausführlichkeit zu verwechseln. Die folgende Mindmap soll aber einen grundlegenden Eindruck vermitteln:
Quelle Bild: Durch den Autor erstellt. Kein Anspruch auf Richtigkeit und / oder Vollständigkeit.
Folgend schildern wir beispielhaft, dass wissenschaftliche Forschung nicht am Datenschutz scheitert. Wir gehen dabei auch den Fragen nach, ob wir es in Deutschland wirklich mit einer besonders strikten Auslegung des Datenschutzes zu tun haben. Oder leidet der deutsche Datenkörper gar an der »German Angst«, wie in Podiumsdiskussionen (siehe YouTube-Video Stunde circa 3:08 / gesamte Diskussion Stunde circa 2:34) immer wieder behauptet wird?
4.1 Mancherorts ticken die Gesetze anders
(…) insbesondere was die Anforderungen an eine wirksame Einwilligung und das »erheblich überwiegende Interesse« des Forschenden i.S.d. § 27 BDSG betrifft, noch ausstehen. Diese Rechtsunsicherheit könnte die datenbasierte Forschung in Deutschland beeinträchtigen.
Quelle: Datenethikkommission. (2019). Gutachten der Datenethikkommission. Bundesministerium des Inneren und für Heimat.
Der Autor hat sich bewusst entschieden, die einwilligungslose Verarbeitung von sensiblen Daten gemäß § 27 (1) BDSG, nicht allzu sehr in den Vordergrund zu rücken. Dies hat einerseits damit zu tun, dass es derzeit nicht ausreichend klar ist, wie sich ein erheblich überwiegendes Interesse in einer Interessenabwägung ausdrückt. § 27 (1) BDSG erwartet die Erfüllung von zwei Hauptkriterien, die gleichzeitig erfüllt sein müssen. Die Datenverarbeitung (i) muss erforderlich sein und das (ii) wissenschaftliche Forschungsinteresse muss erheblich überwiegen – Art. 9 (2) lit. j) DSGVO setzt aber diese Erheblichkeitshürde gar nicht voraus.
Gleichzeitig verlangen einige Landesdatenschutzgesetze (LDSG) – diese gelten für öffentliche Einrichtungen, wie z.B. Behörden – und einige Landeskrankenhausgesetze das Kriterium der Bestimmtheit bei Forschungsvorhaben. D.h. der Forschungszweck muss konkret und vollständig beschrieben werden können.
Dieser Unterschied zwischen Bundes- und Landesgesetzen ist für das Verständnis der Ursächlichkeit von Bedeutung. Wenn man schon Kritik am Datenschutzgesetzen üben möchte, dann wäre die Erheblichkeits-Hürde des § 27 (1) BDSG ein diskutabler Punkt gewesen (siehe Bundesrat 2018 / Seite 26). Das ist allerdings von nachrangiger Bedeutung, denn § 27 (1) BDSG, stehen teilweise restriktivere Regelungen der LDSG gegenüber.
Die Datenschutzgesetze sind in diesem Punkt unterschiedlich gefasst. § 27 Abs. 1 BDSG und die Hälfte der Landesdatenschutzgesetze sprechen nur allgemein von »wissenschaftlichen Forschungszwecken«. Hier ist also keine besondere Anforderung an die Zweckbestimmtheit vorgegeben (…). Demgegenüber stellen einige andere Landesdatenschutzgesetze ausdrücklich auf ein »bestimmtes Forschungsvorhaben« bzw. »bestimmte Forschungszwecke« ab.
Quelle: Strech, D. et al. (2020). Wissenschaftliches Gutachten „Datenspende“ – Bedarf für die Forschung, ethische Bewertung, rechtliche, informationstechnologische und organisatorische Rahmenbedingungen. Bundesministerium für Gesundheit.
Das striktere Kriterium der Bestimmtheit, setzen allerdings weder der § 27 (1) BDSG, noch die DSGVO bei Forschungsvorhaben voraus – hier wird von wissenschaftlicher Forschung gesprochen (zum Verständnis siehe Erwägungsgrund 33 DSGVO). Diese Uneinheitlichkeit macht die Praxistauglichkeit von § 27 (1) BDSG ungewiss. Denn einige Landesgesetzgeber haben sich entschieden, teilweise strengere Regeln spezialgesetzlich zu verankern. Dabei ist es wichtig zu verstehen, dass diese Spezialgesetze, mit ihrem spezifischen Anwendungsbereich, i.d.R. Vorfahrt vor den allgemeinen Regeln haben.
Insgesamt verschärfen die Landeskrankenhausgesetze das Bild des Flickenteppichs erheblich, zumal sie auch nicht immer kohärent mit den Regelungsansätzen des jeweiligen LDSG erscheinen. (…). Erst recht ermöglichen sie nur bruchstückhaft die Datenweitergabe an Dritte, teilweise wieder beschränkt auf bestimmte Forschungsvorhaben.
Quelle: Strech, D. et al. (2020). Wissenschaftliches Gutachten „Datenspende“ – Bedarf für die Forschung, ethische Bewertung, rechtliche, informationstechnologische und organisatorische Rahmenbedingungen. Bundesministerium für Gesundheit.
Die widerstreitenden Positionen sind damit nun offensichtlich. Ein Flickenteppich von uneinheitlichen föderalen Spezialgesetzen, stellt unterschiedliche Voraussetzungen für die wissenschaftliche Forschung auf – die offenkundig national (oder supernational) nach einheitlichen Regeln und mit vollständigen Daten forschen möchte. Deswegen fordert die Datenschutzkonferenz seit 2004, sowie Datenschutzexpert*innen zuletzt 2021, ein Forschungsdatengesetz!
Die gesetzlichen Regelung sind – wie in einem föderalen Staatverbund wie Deutschland nicht unüblich – außerordentlich unterschiedlich. Hieran – und nicht am Datenschutz – scheitern häufig Forschungsvorhaben mit Patientendaten aus Krankenhäusern.
Quelle: Bundesbeauftragte für den Datenschutz und die Informationsfreiheit. (2021). Datenschutz und Digitalisierung im Krankenhaus. 15. Berliner Tag der Patientenfürsprecherinnen und – Fürsprecher der Bundesregierung.
Eine Mindmap hilft uns erneut, die Regelungs-Struktur zu verstehen. Deutschland ist verfassungsrechtlich ein föderaler Staat. Während der Corona-Pandemie hatten wir ausreichend Gelegenheit, das Bund-Länder-Zusammenspiel zu erleben. Diese Erfahrung sollte allerdings Auswirkungen darauf haben, wer der (i) exakte Empfänger einer Kritik sein sollte und (ii) was man genau bemängelt.
Für die Krankenhäuser sind in aller Regel die Vorgaben der Landeskrankenhausgesetze maßgeblich, die Möglichkeiten der Forschung mit Patientendaten ganz unterschiedlich regeln. Es reicht von der Möglichkeit nach Artikel 27 Bayerisches Krankenhausgesetz auch außerhalb des Krankenhauses Forschenden die Möglichkeit zu eröffnen, mit Patientendaten ohne deren Einwilligung zu forschen, wenn die Patientendaten im Gewahrsam des Krankenhauses bleiben. § 12 Hamburgisches Krankenhausgesetzes erlaubt auch die Forschung mit den Patientendaten außerhalb des Krankenhauses.
Quelle: Bundesbeauftragte für den Datenschutz und die Informationsfreiheit. (2021). Datenschutz und Digitalisierung im Krankenhaus. 15. Berliner Tag der Patientenfürsprecherinnen und – Fürsprecher der Bundesregierung.
Quelle Bild: Durch den Autor erstellt. Kein Anspruch auf Richtigkeit und / oder Vollständigkeit.
4.2 Interview und Holzweg
Beschäftigten wir uns nun näher mit einer Problembeschreibung von Frau Buyx und versuchen die Ungenauigkeiten der Aussage(n), mit Hilfe zusätzlicher Informationen, zu vervollständigen.
(…). Erstens gibt es hier und da tatsächlich zu strikten Datenschutz. In Bayern gab es etwa bis vor ein paar Monaten einen Paragrafen im Krankenhausgesetz, der besagte, dass Patientendaten die Klinik nur verlassen dürfen, wenn dies direkt der Behandlung dient. Die Daten blieben also ungenutzt im Krankenhaus. Das verhinderte viele sinnvolle Dinge, etwa dass Patienten digital gewarnt werden könnten, wenn sich Medikamente nicht vertragen. Da müsste, so wie jetzt in Bayern, ausgemistet werden. Zweitens wird der bestehende Datenschutz auch noch zu streng ausgelegt. Das bestätigt Ihnen jeder, der versucht, eine digitale Anwendung in Klinik oder Praxis einzuführen oder eine klinische Studie plant.
Quelle: Berndt, C. (2022, 9. Dezember). „Wir brauchen eine andere Einstellung zum Datenschutz“. Süddeutsche.de.
Wir verwenden dazu diese Studie. Die Vorsitzende des Ethikrates verwies in einem Twitterbeitrag darauf. Konkret geht es um Art. 27 des Bayerischen Krankenhausgesetzes (BayKrG). Dieser Artikel sieht restriktivere Regeln für die Forschung vor, als der allgemeinere Art. 25 des Bayerisches Datenschutzgesetzes (BayDSG). Wir erinnern uns: Als Spezialgesetz für Gesundheitsdaten, die in Krankenhäuser erhoben wurden, hat der Art. 27 BayKrG Vorfahrt (siehe Art. 1 (5) BayDSG).
Nevertheless, participants reported that the GDPR research exemption had been incorporated into the Bavarian Data Protection Act but that Article 27 of the Bavarian Hospital Act had not changed:
And in the Bavarian Data Protection Act, such things are partly taken up. […] In as much, the Bavarian legislator, and it explicitly says above the processing for research purposes, has more or less taken reference to this, has created a regulation, for processing data for research purposes, but has not attached or has not changed Article 27 of the Bavarian Hospital Act.
Quelle: McLennan, S., Rachut, S., Lange, J. S., Fiske, A., Heckmann, D. & Buyx, A. (2022, 14. April). Practices and attitudes of Bavarian stakeholders regarding the secondary-use of health data for research purposes during the COVID-19 pandemic: a qualitative interview study (Preprint). Journal of Medical Internet Research; JMIR Publications.
Der bayerische Gesetzgeber hat die Regelung zur Forschung in Art. 27 (4) BayKrG restriktiv formuliert. Dabei scheint es ihm nachdrücklich darauf anzukommen, dass medizinische Patient*innendaten in der Verfügungshoheit (Gewahrsam) eines Krankenhauses verbleiben – siehe Art. 27 (4) Satz 2 BayKrG. Ist das nun eine strikte Auslegung des Datenschutzrechtes? Oder fehlt es schlicht am Wohlwollen der Datenschutzexpert*innen, wie Frau Buyx meint?
Forscher wissen tatsächlich in der Regel nicht, ob das jetzt richtig ausgelegt ist oder ob es nicht doch noch einen Weg gibt. Die müssen sich auf die Datenschutzexperten verlassen, auf deren Wohlwollen. Deshalb wünsche ich mir, dass sich die Experten in Deutschland stärker als positive Ermöglicher und nicht als Mahner oder gar Verhinderer verstehen.
Quelle: Berndt, C. (2022, 9. Dezember). „Wir brauchen eine andere Einstellung zum Datenschutz“. Süddeutsche.de.
Wohl kaum, denn es handelt sich um eine ausdrückliche gesetzliche Regelung zur Datensicherheit. Auf die Beweggründe, des bayerischen Gesetzgebers, können wir indirekt schließen, indem wir die Begründung der Gesetzesänderung (des Art. 27 BayKrG) verwenden.
Angesichts der allgegenwärtigen Risiken für die Datensicherheit bei Fortschreiten der Digitalisierung ist aktuell gerade im Krankenhausbereich ein besonderes Augenmerk auf die Vertraulichkeit, Integrität und Verfügbarkeit der Patientendaten zu richten (…)
Quelle: Gesetzentwurf der Staatsregierung. Gesetz über den öffentlichen Gesundheitsdienst (Gesundheitsdienstgesetz − GDG) Drucksache (Nr. 18/19685). (2021). Bayerischer Landtag. Seite 53.
Hier bezieht man sich ausdrücklich auf die allgemeinen Schutzziele der Informationssicherheit. Dass deren Schutzwirkung auch einen Datenschutzaspekt hat, ist unbestritten. Es wäre im vorliegenden Fall allerdings zutreffender gewesen, wenn Frau Buyx Folgendes gesagt hätte:
Wir brauchen eine andere Einstellung zur Informationssicherheit (in Bayern).
Zur Klarstellung: Die Änderung (S. 53), die Art. 27 BayKrG tatsächlich erfahren hat, ist eine Regelung zum IT-Outsourcing.
Unterstütze den Blog mit einem Dauerauftrag!
Unabhängig. Kritisch. Informativ. Praxisnah. Verständlich.
Die Arbeit von kuketz-blog.de wird vollständig durch Spenden unserer Leserschaft finanziert. Sei Teil unserer Community und unterstütze unsere Arbeit mit einer Spende.
4.3 Zweifach-Schranke
(…) mit besonderen Kategorien von personenbezogenen Daten, zu denen Gesundheitsdaten gehören, nur dann geforscht werden darf, wenn entweder eine Einwilligung (…) der betroffenen Person – im Krankenhaus also des Patienten – oder aber eine gesetzliche Grundlage entweder aus dem europäischen Recht oder aus dem nationalen Recht vorliegt.
Quelle: Bundesbeauftragte für den Datenschutz und die Informationsfreiheit. (2021). Datenschutz und Digitalisierung im Krankenhaus. 15. Berliner Tag der Patientenfürsprecherinnen und – Fürsprecher der Bundesregierung.
Keine Debatte um die Sekundärnutzung von Gesundheitsdaten, ohne dass man zwangsläufig über das Für und Wider von Einwilligungen diskutiert. Denn ohne einheitliche gesetzliche Grundlage kommt man um diese Rechtsgrundlage u.U. nicht herum – daher darf man auf das kommende Gesundheitsdatennutzungsgesetz (GDNG) des Bundesministeriums für Gesundheit gespannt sein.
Bei Einwilligungen, Berufsgeheimnisträgern und Gesundheitsdaten, gibt es allerdings parallel die strafrechtliche Hürde des § 203 StGB. Zum besseren Verständnis: § 203 StGB begründet selbst keine Verschwiegenheitspflicht, sondern sanktioniert eine Verletzung derselben. Die Regelung zur Verschwiegenheitspflicht finden sich in den Berufsordnungen für z.B. Ärzte.
Dagegen ist § 203 Abs. 1 Nr. 1 StGB im Zusammenhang mit der medizinischen Forschung stets zu beachten. (…). Tatbestandlich geschützt ist ein fremdes Geheimnis.
Quelle: Dierks, C. (2019). RECHTSGUTACHTEN, Lösungsvorschläge für ein neues Gesundheitsforschungsdatenschutzrecht in Bund und Ländern. Bundesministerium für Gesundheit.
D.h., nicht nur aus Datenschutzgründen kann eine Einwilligung erforderlich sein, sondern auch aus standesrechtlichen Erwägungen (Verschwiegenheitspflicht). Dieser Umstand ist in dieser Debatte ebenso zu beachten, wie der Datenschutz. Dabei kommt dem Merkmal »unbefugt« in § 203 StGB eine gewichtige Bedeutung bei – eine Einwilligung oder ein Gesetz, können solch eine Befugnis sein. Allerdings sind eine datenschutzrechtliche, nicht zwangsläufig dasselbe (Schütze, 2021). Eine gesetzliche Offenbarungspflicht, haben wir während der Corona-Pandemie kennengelernt: Das Infektionsschutzgesetz (§§ 6 ff. IfSG).
Tatsächlich kann aber die Verschwiegenheitspflicht von z.B. Ärzten, direkte Auswirkung auf die Arbeit von Forschenden haben – soweit diese auf Daten angewiesen sind, die von diesen Berufsgeheimnisträgern verarbeitet werden.
Wie schon in den vorherigen Punkten 4.1 und 4.2 geschildert, unterscheiden sich auch die spezialgesetzlich geregelten Befugnisse z.B. für Krankenhäuser je nach Bundesland. In Bayern kann gemäß Art. 27 (4) BayKrG in der Klinik geforscht (Eigenforschung und Auftragsforschung) werden. Im Saarland erlaubt § 14 SKHG lediglich die Forschung in der Fachabteilung (Fachabteilungsgrenze) des eigenen Hauses.
Die ärztliche Schweigepflicht steht neben dem Datenschutzrecht und bleibt von diesem unberührt. Die Erlaubnis der Verarbeitung personenbezogener Daten aus datenschutzrechtlicher Sicht führt daher nicht zu einer Entbindung des Arztes von seiner Schweigepflicht.
Quelle: Dierks, C. (2019). RECHTSGUTACHTEN, Lösungsvorschläge für ein neues Gesundheitsforschungsdatenschutzrecht in Bund und Ländern. Bundesministerium für Gesundheit.
Umso seltsamer erscheint es daher, dass kaum ein Interview, die Schweigepflicht als Hindernis bei der Gesundheitsdaten-Forschung an den medialen Pranger stellt. Im Gegensatz zum Datenschutz. Denn Datenschutzrecht und ärztliche Schweigepflicht gelten parallel – dies wird als Zweischranken-Prinzip bezeichnet. Auch hier hat die Schutzwirkung der Verschwiegenheitspflicht eine Schnittmenge zum Datenschutz. Allerdings kann der Schutzbereich der Schweigepflicht (fremdes Geheimnis) mehr umfassen als die DSGVO (personenbezogene Daten) abdeckt.
Gemäß dem Zweischranken-Prinzip sind das Datenschutzrecht und das Medizinrecht mit den Normen zur ärztlichen Schweigepflicht (Patientengeheimnis) parallel anwendbar, was die praktische Anwendung massiv erschwert.
Quelle: Bernhardt, U et al. (2021). Plädoyer für ein medizinisches Forschungsgesetz zwecks Beseitigung von Forschungshindernissen und Schutzdefiziten. Netzwerk Datenschutzexpertise.
Dabei gilt es stets zu bedenken, dass es ein Anliegen der Forschenden ist, mit möglichst vollständigen und umfassenden Gesundheitsdatensätzen zu arbeiten. Aktuell verteilen sich Gesundheitsdaten von Patient*innen aber auf unterschiedliche »Datensilos« (Krankenhäuser, niedergelassene Ärzte usw.).
Eine Behandlung des Konzeptes des sogenannten »Broad Consent« für Forschungsvorhaben, würde den Rahmen dieses Beitrages sprengen. Es sei trotzdem der Vollständigkeit halber erwähnt. Auch beim »Broad Consent« gilt das Zweischranken-Prinzip.
Der Begriff der »breiten Einwilligung« (broad consent) ist weder in den Erwägungsgründen noch in der selbst DS-GVO zu finden. Unter broad consent wird das Konzept einer »pauschalen« Einwilligung, ohne Nennung des bzw. der für eine Einwilligung entsprechend den Vorgaben der DS-GVO erforderlichen konkreten Verwendungszwecks bzw. -zwecke, verstanden. (…).
Quelle: Datenschutz und IT-Sicherheit im Gesundheitswesen (DIG) der Deutsche Gesellschaft für Medizinische Informatik, Biometrie und Epidemiologie e. V. GMDS & Gesellschaft für Datenschutz und Datensicherheit e. V. Arbeitskreis Datenschutz und Datensicherheit im Gesundheits- und Sozialwesen. (2021). Die datenschutzrechtliche Einwilligung: Freund (nicht nur) des Forschers – Eine Praxishilfe (Version 2.0). GMDS Arbeitsgruppe »Datenschutz und IT-Sicherheit im Gesundheitswesen« (DIG).
5. Von Datenschutzsmaximalismus keine Spur
Datenschutz als Digitalisierungshindernis mag man medienwirksam in einem Kurznachrichtendienst zum Besten geben – der Gesundheitsminister Karl Lauterbach twittert hier von einem vermeintlichen »Datenschutzmaximalismus«:
Quelle: Lauterbach, K. (2023, Januar). Deutschland hat eine Zukunft, wenn 3 Dinge gelingen: […]. Twitter.com.
In Deutschland scheitert aber Digitalisierung kaum am strikten Datenschutz oder nicht wohlwollenden Datenschutzexpert*innen. Ganz im Gegenteil. Sondern wir haben eine Vielzahl von Interessenkonstellationen – wer derzeit die Krankenhausreform verfolgt, bekommt einen guten Eindruck davon. Die widerstreitende Interessen von Bund und Ländern ergeben sich auch aus unserer verfassungsmäßigen Ordnung. Sofern der Bayerische Landtag beschließt, in Art. 27 BayKrG eine restriktive Regelung zur Datensicherheit gesetzlich zu verankern, dann ist das Demokratie. Genauso wie Kritik an dieser Regelung bewährte demokratische Praxis ist. Diese Kritik hat aber einen klaren Empfänger – in diesem Fall mit Sitz in der Landeshauptstadt München. Was wir in einem demokratischen Staataber auf keinen Fall vernachlässigen können, ist das Prinzip der Rechtstreue. Art. 27 BayKrG privilegiert die Eigenforschung eines Krankenhauses. Die Vorgabe Eigenforschung mit Patientendaten kann man kaum zum Freifahrtschein für eine Fremdforschung umdeuten.
(…) diesem Privileg liegt die Annahme zugrunde, dass zwar eine Zweckänderung, aber keine (weitere) Offenbarung der Patientendaten an nicht an der Behandlung Beteiligte stattfindet.
Quelle: Koch, Schütze, Spyra, Wefer, Deutsche Gesellschaft für Medizinische Informatik, Biometrie und Epidemiologie e. V. Arbeitsgruppe »Datenschutz und IT-Sicherheit im Gesundheitswesen« & Gesellschaft für Datenschutz und Datensicherheit e. V. Arbeitskreis »Datenschutz und Datensicherheit im Gesundheits- und Sozialwesen«. (2017). Datenschutzrechtliche Anforderungen an die medizinische Forschung unter Berücksichtigung der EU Datenschutz-Grundverordnung (DS-GVO).
Datenschützer*innen weisen seit Jahren darauf hin: In Deutschland gibt es uneinheitliche rechtliche Voraussetzungen für die Forschung mit Gesundheitsdaten. Und nicht nur das: Es mangelt kaum an konstruktiven Vorschlägen, wie dies zu heilen wäre. Genau dieser Umstand macht die Anfeindungen gegen den Datenschutz schwer erträglich – denn der Sachverhalt wurde unzählige Male erklärt. Man muss sich lediglich informieren wollen. Umso mehr, muss der Grad an Uninformiertheit stets aufs Neue erschrecken. Denn man kommt nicht umhin zu vermuten, dass dahinter eine unterschwellige Ignoranz steckt: Um Datenschutz und IT-Sicherheit sollen sich stets die Anderen kümmern. Hauptsache, die Daten sind nutzbar, und zwar möglichst ungestört durch Betroffenenrechte. Daher muss man sich fragen, was man unter dem Bergriff der Datensolidarität verstehen soll? Sprechen wir von Daten für das Allgemeinwohl oder Daten als Allgemeingut? Auf dem Weg zur Beantwortung dieser Frage, ist es kein Ausdruck von »German Angst«, wenn man Klarheit über die Datenverwendung, Möglichkeiten der Intervenierbarkeit, Transparenz und Schutzmaßnahmen verlangt. Vielmehr ist es eine Selbstverständlichkeit. Denn die Erfassung von Gesundheitsdaten – von der Wiege bis zur Bahre – schafft unzweifelhaft detaillierte Gesundheitsprofile. Damit das gelingen kann, muss es klar sein: Ohne das Vertrauen der Bevölkerung geht es nicht. Datenschutz kann dabei unzweifelhaft Vertrauen schaffen.
tl;dr: Deutschland hat uneinheitliche rechtliche Voraussetzungen für die Forschung mit Gesundheitsdaten. Daten sollten für das Allgemeinwohl genutzt werden, aber unter Berücksichtigung von Transparenz und Schutzmaßnahmen. Vertrauen der Bevölkerung ist wichtig, und Datenschutz kann dazu beitragen.
Bildquellen:
Folder: juicy_fish from www.flaticon.com is licensed by CC 3.0 BY
Über den Autor | Gastbeitrag
Gastbeiträge werden von Autoren verfasst, die nicht zum festen Redaktionsteam des Kuketz-Blogs gehören. Bevor ein Gastbeitrag veröffentlicht wird, findet eine inhaltliche Abstimmung mit mir statt. Dabei übernehme ich die redaktionelle Bearbeitung des Textes, prüfe den Inhalt und bereite den Beitrag sorgfältig für die Veröffentlichung im Blog vor.
Unterstützen
Die Arbeit von kuketz-blog.de wird zu 100% durch Spenden unserer Leserinnen und Leser finanziert. Werde Teil dieser Community und unterstütze auch du unsere Arbeit mit deiner Spende.
Wenn du über aktuelle Beiträge informiert werden möchtest, hast du verschiedene Möglichkeiten, dem Blog zu folgen:
Das in der Corona-Pandemie viel zitierte Beispiel Südkorea – eine Datenschutz-Analyse
Spannungsfeld: Datenschutz und Online-News
Der TC-String des Interactive Advertising Bureau (IAB) – Teil2
DB Navigator: Datenschutz fällt heute aus – App-Check Teil1
Ich freue mich auf Deine Beteiligung zum Artikel
Abschließender Hinweis
Blog-Beiträge erheben nicht den Anspruch auf ständige Aktualität und Richtigkeit wie Lexikoneinträge (z.B. Wikipedia), sondern beziehen sich wie Zeitungsartikel auf den Informationsstand zum Zeitpunkt des Redaktionsschlusses.Kritik, Anregungen oder Korrekturvorschläge zu den Beiträgen nehme ich gerne per E-Mail entgegen.