Allgemein Informieren & Diskutieren Piratengedanken

Datenschutz nur für Gesunde? – Der gläserne Patient

Medizinische Forschung braucht Daten,…

Bundesgesundheitsminister Jens Spahn hat ein neues Gesetz zur Abstimmung gebracht: das Digitale-Versorgung-Gesetz. Es sieht vor, dass die gesetzlichen Krankenkassen (und nur die) alle persönlichen Gesundheitsdaten ihrer Mitglieder an eine Sammelstelle übermitteln und damit eine zentrale Datenbank aufbauen.[1] Aus dieser sollen sie dann für medizinische Forschungsprojekte weitergereicht werden können. Ein Widerspruchsrecht der Betroffenen ist nicht vorgesehen. Zwar sollen die Daten pseudonymisiert werden, aber das heißt, dass es eine Zuordnungsliste gibt, mit der die Pseudonymisierung auch wieder rückgängig gemacht werden kann. Wir PIRATEN befürchten, dass unser Grundrecht auf Selbstbestimmung über unsere intimsten Daten auf der Strecke bleibt.

Jeder wird mal krank und jeder ist dankbar, wenn Ärzte ihm helfen können. Medizinische Forschung und Fortschritte in der Medizin sind daher für uns alle wichtig.

Die medizinische Forschung braucht Daten. Es ist einzusehen, dass Forscher Krankengeschichten, Befunde und Therapien evaluieren und vergleichen können, dass statistische Verfahren zur Anwendung kommen und dass Daten eventuell über Jahre gespeichert werden. Es ist auch einzusehen, dass die Personenzuordnungen oft nur pseudonymisiert und nicht vollständig anonymisiert werden können. Schließlich könnte es wichtig sein, Jahre später auf bestimmte Fälle zurückgreifen zu können.

Nach der DSGVO dürfen Daten nur zu einem bestimmten Zweck gespeichert werden. Dieser muss genau beschrieben werden und der Verantwortliche muss ein Verzeichnis der Verarbeitungstätigkeit pflegen. In der Forschung gibt es jedoch oft überraschende Wendungen, sodass ein ursprünglicher Verwendungszweck aufgegeben wird. Daher erlaubt das Datenschutzrecht für die Forschung die spezielle Regelung, dass ein Verwendungszweck auch nachträglich geändert werden darf. Wenn neue Forschungsfragen definiert werden, darf die Verwendung von Daten aus früheren Projekten übernommen und der Zweck einem neuen Projekt entsprechend umgewidmet werden. Der Datenschutz für Forschungszwecke ist also recht großzügig geregelt im Vergleich zu anderen Bereichen. Voraussetzung ist allerdings, dass sichergestellt ist, dass die ausführenden Forscher den Bezug zwischen der Person und deren Daten nicht herstellen können.[2]

… aber sind die Zeiten des Arztgeheimnisses vorbei?

Es ist nicht akzeptabel, dass die Daten nicht gut geschützt sind und auf undurchsichtigen Wegen plötzlich im Adresshandel landen. So wurden kürzlich die Daten einer Patientin beim Hessischen Krebsregister gemeldet und schon nach zwei Wochen erhielt sie themenbezogene Werbebriefe. Ihre Daten waren bei einer Adressverkaufsfirma gelandet, die diese fleißig weitergab.[3] Zur Aufklärung bemüht die Betroffene derzeit Artikel 15 DSGVO, nach dem sie Auskunft über die Herkunft und Verwendung ihrer Daten bei der Adressfirma verlangen kann, sowie § 80 HDSIG (Informationsfreiheit), um Einzelheiten der Verfahren des Datenschutzes der Hessischen Landesärztekammer zu erfahren (einschließlich Einsicht in die Verzeichnisse der Verarbeitungstätigkeit des Krebsregisters nach Artikel 30 DSGVO).

Medizinische Daten scheinen zur Zeit noch völlig unzureichend geschützt zu sein. Mitte September 2019 wurde bekannt, dass Millionen sensibler Patientendaten frei zugänglich auf verschiedenen Servern offen im Netz gestanden haben.[4] Ein Experte fand weltweit mehr als 2.300 Rechner mit unverschlüsselten und zugänglichen Daten, darunter Mammografien, Röntgenaufnahmen oder MRT-Bilder. Angriffe gibt es auch auf Geräte und die medizinische Infrastruktur. Oft versenden Arztpraxen Daten per unverschlüsselter E-Mail oder Fax.

Im Oktober 2019 gab es einen weiteren Skandal mit medizinischen Daten: Google sammelt die medizinischen Daten von Millionen US-Patienten ohne deren Zustimmung.[5] Dazu hat der Konzern sogar einen Vertrag mit einem Betreiber von Krankenhäusern, Gesundheitseinrichtungen und Arztpraxen abgeschlossen und sensible Gesundheitsdaten aller Art gesammelt, verknüpft mit Namen und Geburtsdatum der Betroffenen, aber ohne sie oder die Ärzte zu informieren. Hunderte von Google-Mitarbeitern sollen Zugriff haben. Google plant, damit eine Suchmaschine für Krankheiten zu bauen.[6] Auch Apple und Amazon verkünden, dass sie Interesse an Daten aus dem Gesundheitswesen haben.[7]

Die Skandale häufen sich: Im November 2019 hat die Financial Times herausgefunden, dass die beliebtesten britischen Gesundheitsinternetseiten intime Informationen ihrer Benutzer an Dutzende von Firmen auf der ganzen Welt weiterverteilen.[8] Persönliche Daten wie z. B. Diagnosen, Medikamente, Hormonstatus, oder Kinderwunschprobleme landen bei Großen wie Google, Amazon und Facebook, aber auch bei kleineren Datenhändlern und Ad-Tech-Firmen, die daraus Profile von Leuten erstellen, die keine Ahnung haben, dass ihre Geheimnisse verarbeitet und verteilt werden. Die Gesundheitsportale informierten ihre Besucher nicht über diese Machenschaften, was auch in Großbritannien gesetzeswidrig ist.

Es gibt noch mehr Skandale. So fand kürzlich eine Apothekerin aus München heraus, dass die Software ihres Abrechnungssystems persönliche Kundendaten nicht nur nicht löschte, sondern auch an einen Abrechnungsdienstleister weitervermittelte, obwohl die Funktion hierfür deaktiviert war.[9] Sie entdeckte nach eigener Aussage auch Software-Schnittstellen zu Datenvermarktern. Der Fall ist noch nicht fertig aufgeklärt und die Apothekerin beklagt die fehlende Kooperation des Softwareanbieters. Auch andere Apotheken, sowie Anwälte und Ärzte nutzen diese Software.

Persönliche Gesundheitsdaten gehören zu den schützenswertesten Daten überhaupt. Falls sie in die falschen Hände geraten, kann das für die Betroffenen fatale Folgen haben, auch materiell. Arbeitgeber, die Mitarbeiter einstellen oder für Beförderungen auswählen, Versicherungen, die über Tarife entscheiden, Banken, die sich fragen, ob ein Kredit auch zurückgezahlt werden kann – sie haben alle ein großes Interesse an solchen Daten.

Daten aus psychotherapeutischen Behandlungen sind besonders sensibel. Der Verband der Vertragspsychotherapeuten bvvp e. V. warnt vor der vorschnellen Einführung der elektronischen Patientenakte, bei der nur pauschal die gesamte Akte eingesehen werden kann oder die Einsichtnahme gar nicht möglich ist, auch als Reaktion auf eine Aussage von Bundesgesundheitsminister Jens Spahn (CDU) auf dem Ärztekongress im Mai 2019 in Berlin.[10] Spahn sagte: „Datenschutz ist etwas für Gesunde“. Aber gerade psychisch kranke Menschen können leicht ausgegrenzt, stigmatisiert und diskriminiert werden.

Adresshändler verkaufen die Daten nicht nur, sie analysieren sie auch, um Nutzerprofile anzulegen und diese gezielt mit anderen Informationen, die sie über Nutzer gesammelt haben, zu verknüpfen. Bei diesen Adresshändlern bedienen sich dann Versicherungen, Spendensammler, Verkäufer und vielleicht auch Arbeitgeber und Banken. So bekam dann z. B. auch die erwähnte Krebspatientin keine zwei Wochen nach der Diagnose und der Meldung an das Hessische Krebsregister einen Spendenbettelbrief von Ärzte ohne Grenzen. Diese Organisation hat die Adresse vom Datenvermarkter Schober gekauft.[3] Der wiederum hat ein Profil erstellt, vermutlich mit einem Vermerk, dass möglicherweise Interesse an Medizin besteht. Wie ist er an diese Information gekommen?

Die schleichende Enteignung der Privatsphäre

Was ich bei der Behandlung sehe oder höre oder auch außerhalb der Behandlung im Leben der Menschen, werde ich, soweit man es nicht ausplaudern darf, verschweigen und solches als ein Geheimnis betrachten“ (Hippokrates 460-370 v. Chr.). ​​​​​​​Die ärztliche Verschwiegenheitspflicht hat die Jahrhunderte überdauert betrachten. Bisher galt das Arztgeheimnis als ein traditioneller und respektierter Wert. Es ist die älteste Datenschutzvorschrift der Welt. Allerdings gibt es schon einige Gesetze, die Ärzte zur Weitergabe von bestimmten medizinischen Daten verpflichten.

Zu nennen ist das Hessische Krebsregister-Gesetz, die Betroffenen können aber der Weitergabe ihrer Daten widersprechen. Die wenigsten tun das, weil sie den Zweck, die Krebsforschung voranzubringen, sinnvoll finden und mit der Spende ihrer Daten helfen wollen. Allerdings ist auch den wenigsten klar, wie schlecht und vor allem intransparent offenbar der Datenschutz der Ärztekammer ist.

Vor Kurzem wurde ein weiteres Gesetz beschlossen, das ab 01.01.2020 in Kraft treten soll, das Implantateregister-Errichtungsgesetz.[11] Es sieht vor, die medizinischen Daten aller Patienten, die ein Implantat, z. B. Prothesen, Brustimplantate, künstliche Hüftgelenke, Herzklappen, Cochlea-Implantate oder Stents bekommen, in einem Register speichern zu lassen. Gespeichert werden auch alle Befunde, Größe, Gewicht, organisatorische und weitere Daten des gesamten Versorgungsprozesses und Daten, die zur Identifizierung der Patienten dienen. Den Betroffenen ist das Recht entzogen, der Speicherung zu widersprechen, sie sind quasi entmündigt und müssen ertragen, dass ihre konfiszierte Krankheitsgeschichte von Datenbank zu Datenbank wandert. Begründet wird dies mit Artikel 23 DSGVO, der Ausnahmen erlaubt für wichtige Ziele von allgemeinem öffentlichem Interesse. Das Gesetz wird von verschiedenen Seiten nicht nur aus Gründen des Datenschutzes kritisiert, sondern auch, weil es die sorgfältige Prüfung medizinischer Produkte abschwäche und den Einfluss von Lobbyisten verstärke.[12]

Nun hat der Bundestag mit den Stimmen von CDU und SPD das Digitale Versorgungs-Gesetz verabschiedet.[13] Danach sollen die gesetzlichen Krankenkassen die Daten aller Mitglieder pseudonymisiert an das Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM) weitergeben, das ein „Verzeichnis für digitale Gesundheitsanwendungen“ erstellt. Die Weitergabe soll in einer Weise geschehen, dass daraus nicht auf die Identität der Betroffenen geschlossen werden kann. Andererseits soll eine Patientengeschichte über Jahre hinaus verfolgt werden können, was ja auch sinnvoll ist. Es macht für die Wissenschaft Sinn, viele Daten zu speichern, auch wenn noch nicht klar ist, ob man sie wirklich gebrauchen kann. Aber aus einem Datensatz lässt sich oft rekonstruieren, zu welcher Person der Datensatz gehört. Das ist spätestens der Fall, wenn auch die DNA Teil des Datensatzes wird. Sobald die Information der DNA auch woanders auftaucht, was in Zukunft durchaus der Fall sein kann, ist es mit der Pseudonymität vorbei. Da die Information über die DNA aber in der medizinischen Forschung wichtig sein kann, entsteht hier ein Dilemma. Nur Privatversicherte sind vor der Enteignung ihrer Daten geschützt.

Früher oder später würde diese Datenbank auch für Überwachung, Profiling und polizeiliche Fahndung missbraucht. Hier gab es schon die ersten Schritte, das Polizeigesetz zu erweitern, um DNA besser auswerten zu können. Der DNA-Vergleich mit einer externen Datenquelle ist da nur noch ein kleiner Schritt.

Das Gesetz sieht auch die Verwendung von Gesundheit-Apps vor. Völlig unklar ist, wie hier garantiert wird, dass diese Apps keine Sicherheitslücken haben und Daten abgreifen. In der Vergangenheit hat es schon wiederholt Fälle gegeben, in denen genau das passiert ist: Die App Ada hat gleich nach der Anmeldung medizinische Daten der Nutzer an Trackingdienste und Facebook weiterleitet, obwohl sie vorher vom TÜV auf Datensicherheit geprüft worden war.[14] Übertragen wurde z. B. die Android Werbe-ID, mit der ein Nutzer über verschiedene Apps hinweg wiedererkannt werden kann. Solche Daten erfreuen Versicherungen, die daraus maßgeschneiderte Angebote entwickeln können. Pech gehabt, wenn man krank ist, aber trotzdem gerne einen Kredit oder einen günstigeren Versicherungstarif hätte!

Die Bundesregierung behauptet, dass man alle Datenschutzprobleme im Griff habe. Wie genau die Pseudonymisierung der Betroffenen über lange Zeiträume hinweg gewährleistet werden soll, sagt sie nicht. Eine Studie hat gezeigt, dass sogar bei Anonymisierung der Daten eine Re-Identifizierung möglich ist.[15] Ebenso ist unklar, wie verhindert werden soll, dass Start-ups, die diese Apps entwickeln, von Google übernommen werden. Auch die Erläuterungen, die Betroffene des Krebsregisters erhalten, bleiben vage.[16] Es wird versprochen, dass „Ihre personenbezogenen Daten … nach aktuellem Stand der Technik verschlüsselt und durch physikalisch getrennte Netze, Zugriffsberechtigungen und weitere organisatorische und strukturelle Maßnahmen abgeschirmt“ sind. Das kann viel bedeuten, denn die Vorgänge sind komplex: Die Daten fallen in Krankenhäusern, Arztpraxen, der Sammelstelle, weiteren Nachbehandlungseinrichtungen, Beratungsstellen, Melderegistern und bei den Forschungsprojekten an.

Auch der Bundesdatenschutzbeauftragte kritisiert den Gesetzesentwurf und bemängelt fehlende Rechtsgrundlagen und verschiedene widerrechtliche Elemente:[17] So dürfen Krankenkassen nur ihre Leistungspflicht prüfen, nicht jedoch medizinische Daten verarbeiten. Der Datenschutz sei in dem Gesetz nicht ausreichend geregelt. Es sei auch unklar, „wer eine Datenschutzfolgenabschätzung (Artikel 35 DSGVO) durchführt, wer dafür sorgt, dass keine sensiblen Daten an Dritte weitergeleitet werden, beispielsweise durch die Verwendung von Tracking-Tools, und wem gegenüber die Betroffenenrechte geltend gemacht werden können.“ Die Weiterleitung an Dritte müsse gesetzlich verboten sein. Forscher dürften nur mit anonymisierten Daten arbeiten, Pseudonymisierung würde nicht ausreichen.

Auch von der Digitalen Gesellschaft gibt es eine Stellungnahme [18]: Sie fordert die „Freiwilligkeit der Beteiligung als notwendiges Prinzip, das auf keinen Fall aufgegeben werden darf.“ Die Apps müsse man aus den bekannten App-Stores herunterladen, aber schon dadurch würden sensible Daten bekannt, und ein Tracking kann nicht ausgeschlossen werden. Einschlägige Gesundheit-Apps würden Daten mit Drittanbietern außerhalb der EU austauschen. Wie auch der Bundes-DSB kritisiert die Stellungnahme, dass die Krankenkassen mit Profiling beauftragt würden, um gezielt digitale Leistungen zu verkaufen. Das ist aber nicht die Aufgabe von Krankenkassen. Die Stellungnahme zählt so viele Datenschutzmängel auf, dass sie ein Moratorium der Digitalisierung des Gesundheitswesens fordert, so lange, bis die Mängel behoben sind.

Viele Fragen bleiben offen:

  • Wie genau funktionieren die Verfahren zur Pseudonymisierung und Verschlüsselung personenbezogener Daten?
  • Mit welchen Methoden werden die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sichergestellt?
  • Welche Verfahren gibt es zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen?
  • Mit welchen technischen Verfahren werden die Daten zwischen den Zugriffsberechtigten übermittelt?
  • Wie ist sichergestellt, dass nur berechtigte Personen wie Forscher die Daten erhalten und diese nicht weitergegeben werden?
  • Welche Löschfristen sind vorgesehen?
  • Mit welchen Maßnahmen wird gewährleistet, dass die Daten nicht den Geltungsbereich der DSGVO verlassen?

Diese und weitere Informationen müssen im Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30 DSGVO stehen. Leider sieht die DSGVO nicht vor, dass diese Verzeichnisse automatisch veröffentlicht werden, im Gegensatz zu den entsprechenden Verzeichnissen des früheren Datenschutzgesetzes. Es handelt sich aber um eine Information von öffentlichem Interesse, die transparent gemacht werden soll. Wir PIRATEN fordern die Weiterentwicklung des hessischen Informationsfreiheitsgesetzes zu einem Transparenzgesetz nach Hamburger Vorbild.[19] Damit wären das BfArM oder, im Fall des Krebsregisters, die Landesärztekammer, verpflichtet, ihre Verzeichnisse zum Datenschutz automatisch zu veröffentlichen.

[1] https://www.golem.de/news/digitale-versorgung-viel-kritik-an-zentraler-sammlung-von-patientendaten-1911-144767.html
[2] https://www.forschung-und-lehre.de/was-hochschulen-beim-datenschutz-beachten-muessen-772/
[3] https://schober.de/
[4] https://www.handelsblatt.com/technik/sicherheit-im-netz/ungesicherte-server-millionen-patientendaten-ungeschuetzt-im-netz-aufgetaucht/25023120.html
[5] https://www.golem.de/news/projekt-nightingale-google-wertet-daten-von-millionen-us-patienten-aus-1911-144926.html
[6] https://www.heise.de/tp/features/Project-Nightingale-Google-geht-auf-Patientenjagd-4584792.html?seite=all
[7] https://www.heise.de/newsticker/meldung/Google-bekommt-Zugang-zu-Millionen-Patientendaten-4584270.html
[8] https://www.ft.com/content/0fbf4d8e-022b-11ea-be59-e49b2a136b8d
[9] https://www.faz.net/aktuell/wirtschaft/diginomics/wie-eine-apothekerin-einen-skandal-im-gesundheitswesen-aufdeckt-16473641.html?premium
[10] https://www.aerzteblatt.de/nachrichten/103492/Vertragspsychotherapeuten-warnen-vor-Aufweichung-des-Datenschutzes
[11] https://ddrm.de/das-implantateregister-errichtungsgesetz-ein-weiterer-angriff-auf-das-selbstbestimmungsrecht-ueber-das-eigene-leben-den-eigenen-koerper-und-die-informationelle-selbstbestimmung-2/
[12] https://www.sueddeutsche.de/gesundheit/implantat-register-gesetz-1.4615227
[13] https://www.golem.de/news/digitale-versorgung-aerzte-duerfen-apps-verschreiben-1911-144864.html
[14] https://www.golem.de/news/datenschutz-gesundheitsapp-ada-uebermittelte-persoenliche-daten-an-tracker-1910-144395.html
[15] https://netzpolitik.org/2019/weitere-studie-belegt-luege-anonymer-daten/#spendenleiste
[16] https://hessisches-krebsregister.de/betroffene/schutz-und-sicherheit-ihrer-daten/
[17] https://www.bfdi.bund.de/DE/Infothek/Transparenz/Stellungnahmen/2019/StgN_Digitale_Versorgung_Gesetz.pdf?__blob=publicationFile&v=2
[18] https://www.bundestag.de/resource/blob/661726/58151123c764dff3d9e734d3d3c95531/19_14_105-7-_ESVe-Elke-Steven_DVG-data.pdf
[19] Blogbeitrag Links blinken und rechts abbiegen

Beitragsbild: Annette Schaper-Herget (CC BY 4.0)

0 Kommentare zu “Datenschutz nur für Gesunde? – Der gläserne Patient

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht.

37 + = 38