„Ich bin ein Fan der Digitalisierung“

Herr Kelber, ausgerechnet am Welttag der Patientensicherheit ist bekannt geworden, dass rund eine Million Gesundheitsdaten frei im Internet zugänglich waren. Darunter auch 13.000 Datensätze aus Deutschland. Wie konnte das passieren?

Ulrich Kelber: Das hat auf mich einen verheerenden Eindruck gemacht. Nach Einschätzung der Kollegen vom Bundesamt für Sicherheit in der Informationstechnik war das möglich, weil einfachste IT-Sicherheitsmaßnahmen wie ein Zugriffsschutz durch Nutzername und Passwort oder Verschlüsselung nicht umgesetzt wurden. Die deutschen Aufsichtsbehörden sind jetzt dabei, die Verantwortung für die deutschen Fälle zu klären. Ich schließe nicht aus, dass es hohe Bußgelder geben wird.

Gegen Leichtsinn hilft das beste Datenschutzkonzept wenig …

Kelber: Deshalb erwarte ich bei der Digitalisierung des Gesundheitswesens von allen Beteiligten und von Anfang an die Bereitschaft zu höchster Sicherheit. In einem Interview hat sich kürzlich der Leiter eines Klinikverbundes beschwert, dass er die Einwilligung von Patienten brauche, um Gesundheitsdaten mit anderen Einrichtungen zu teilen, und dass er die Daten nur verschlüsselt übertragen dürfe. Hat dieser Mann früher ungefragt per Postkarte Gesundheitsinfos durch die Gegend geschickt? Generell aber nimmt die Sensibilität bei Leistungserbringern und Patienten zu. Das ermöglicht es, durch technische und organisatorische Maßnahmen ein hohes Datenschutzniveau zu etablieren.

Auch Hackerangriffe auf Kliniken haben zuletzt für Aufregung gesorgt. Was raten Sie den Betroffenen?

Kelber: Hackerangriffe sind natürlich erstmal ein Problem der IT-Sicherheit. Wir als Aufsichtsbehörden sind immer dann involviert, wenn mangelnde Sicherheit zu Beeinträchtigungen des Datenschutzes führt. Nach aktuellen Zahlen des Bundesamtes für Sicherheit in der Informationstechnik ergibt sich für den Gesundheitssektor keine besondere Häufung von Cyberattacken. Allerdings ist jeder erfolgreiche Angriff gravierend, da es um sehr sensible Daten geht. Gerade bei heillos veralteten Geräten und Applikationen, die ein Einfallstor für Cyberangriffe darstellen, muss es deutliche Verbesserungen geben.

Ab 2021 haben alle gesetzlich Krankenversicherten das Recht auf eine elektronische Patientenakte. Beim Datenschutz muss Jens Spahn nach einer Intervention von Ihnen noch nachbessern. Was hat Sie gestört?

Kelber: Ich habe große persönliche Sympathie dafür, dass der Gesundheitsminister das jahrelange Hin und Her bei der Digitalisierung des Gesundheitswesens mit Druck auflöst. Es ist ein Trauerspiel, dass den Patienten die Vorteile, die man durch die Digitalisierung im Gesundheitssektor erwarten kann, lange nicht zur Verfügung gestellt wurden. Beschleunigung darf aber nicht auf Kosten der Patientenrechte erfolgen. Konkret habe ich das aus unserer Sicht völlig unzureichende Rechte- und Datenschutzkonzept bemängelt.

Wie muss das Konzept aus Ihrer Sicht aussehen?

Kelber: Patienten müssen das Recht haben zu entscheiden, welche Daten ein Arzt, ein Krankenhaus oder ihre Krankenkasse sieht. Hier kann nicht das Prinzip „Vogel friss oder stirb“ gelten, dass ich als Patient also entweder die Dateneinsicht grundsätzlich verweigere oder grundsätzlich freigebe. Die Datenschutzgrundverordnung (DSGVO) verlangt eine freiwillige informierte Einwilligung in die Datennutzung. Deswegen müssen beim Start der elektronischen Patientenakte die Rechte der Patienten von Anfang an im Mittelpunkt stehen.

Also ein abgestuftes Rechtekonzept …

Kelber: Ja! Wenn ich als Patient zum Beispiel eine Zweitmeinung einholen will, muss der zweite Arzt wissen, was der erste gesagt hat. Der soll aber nicht unbedingt sehen, dass ich bei einem zweiten war. Die Behandlung beim Psychotherapeuten will ich als Patient vielleicht mit Ausnahme des Hausarztes für alle anderen sperren. Wer Einsicht in den Medikationsplan erhält, darf nicht automatisch sehen, ob der Patient vor kurzem einen Aidstest gemacht hat oder ob er sich in psychotherapeutischer Behandlung befindet.

Inzwischen gibt es dazu ja schon Konzepte auf dem Markt.

Kelber: Leider gehen die Begriffe immer wieder durcheinander. Für die elektronische Patientenakte im Rahmen der Telematik-Infrastruktur im Gesundheitswesen gibt es noch kein Rollenkonzept. Daran arbeitet die gematik. Krankenkassen, darunter auch die AOK, entwickeln elektronische Gesundheitsakten. Das schauen wir uns natürlich im Rahmen unserer Zuständigkeiten auch ganz genau an.

Die AOK und andere Kassen haben eigene Initiativen gestartet, weil der Aufbau der Telematik-Infrastruktur nicht vorankam. Wie sehen Sie diese Entwicklung?

Kelber: Wir Datenschützer sind Fans von Digitalisierung. Aber natürlich müssen gerade gesetzliche Krankenkassen Datenschutz- und Datensicherheitslösungen berücksichtigen. Gesundheitsdaten werden in der DSGVO als besondere Kategorie sensibler Daten genannt, weil hier das so grundlegende informationelle Selbstbestimmungsrecht besonders gefährdet ist. Da darf nicht nach dem Prinzip „quick and dirty“ oder durch falsch verstandene agile Software-Entwicklung am Datenschutz gespart werden. Wenn Datenschutz technisch von Anfang an mitgedacht wird, ist das keine Innovationsbremse. Schwierig, teuer und verlangsamend wird es, wenn nachträglich geändert werden muss.

Gerade im Streit um die Digitalisierung und die elektronische Gesundheitskarte wurde und wird der Datenschutz oft nur vorgeschoben. Fühlen Sie sich gelegentlich vor fremde Karren gespannt?

Kelber: Sehr häufig. Manchmal absichtlich, weil es tatsächlich um Machtfragen geht. Oft aber auch aus völliger Unkenntnis heraus. Die Datenschutzkonzepte stehen seit langer Zeit. Es ist klar, was machbar und was zum Schutz der Patienten notwendig ist. Wir Datenschützer haben die Verzögerungen sicherlich nicht verursacht.

Die DSGVO gibt auch den Datenschutzbeauftragten mehr Macht. Wie nutzen Sie den Kompetenzzuwachs? 

Kelber: Wir sind immer noch in der Anfangsphase. Aber wir merken, dass der Datenschutz viel ernster genommen wird. Nicht zuletzt, weil bei Verstößen auch empfindliche Bußgelder drohen. Im Gesundheitswesen können wir verbindlich bestimmtes Handeln anweisen. Aber leider fehlt uns gegenüber Krankenkassen das Instrument der Geldbuße – obwohl Kassen ja zunehmend wie Wirtschaftsunternehmen auftreten.

Nach der DSGVO arbeitet Brüssel nun an der ePrivacy-Verordnung. Worum geht es dabei?

Kelber: Die ePrivacy-Verordnung sollte eigentlich schon mit der Datenschutzgrundverordnung kommen, um die noch gültige alte ePrivacy-Richtlinie ebenfalls an das neue Datenschutzrecht anzupassen. Im Gesundheitswesen wird die ePrivacy-Verordnung insbesondere beim Tracking relevant, also beim Verfolgen des Nutzerverhaltens im Internet oder in Apps. Viele Gesundheits-Websites sind gespickt mit Trackingtools, die erfassen, was Sie wie lange lesen und welche Links Sie nutzen. Die Datenschutzaufsichtsbehörden des Bundes und der Länder sind der Meinung, dass der Einsatz von Trackingtools ohne vorherige Einwilligung nicht mit der DSGVO vereinbar ist.

Wissenschaftler fürchten, dass restriktive Datenschutzbestimmungen Forschung erschweren. Was sagen Sie denen?

Kelber: Die informationelle Selbstbestimmung über die eigenen Daten ist ein Grundrecht. Die Forschungsfreiheit allerdings auch. Das ist miteinander in Einklang zu bringen. Ich bin der Meinung, dass es sogar eine gewisse ethische Verpflichtung gibt, bestimmte Daten aus dem Gesundheitswesen zur Verbesserung der medizinischen Versorgung und für neue Erkenntnisse zu verwenden. Mit den Registern gibt es auch im Gesundheitswesen schon funktionierende Beispiele für das Zusammenführen von anonymisierten oder pseudonymisierten Daten. Künftig könnten Gesundheitsdaten auch bei datenschutzkonformen Clouddiensten liegen. Forschungseinrichtungen könnten dann Algorithmen liefern, die auf der Basis der Daten „trainieren“ und dann an die Entwickler zurückgegeben werden. Zu entsprechenden Konzepten wird sich die Datenethikkommission der Bundesregierung in ihrem neuen Bericht äußern.

In der Diskussion geht es vor allem um die Zweckbindung.

Kelber: Die Zweckbindung ist ein wesentlicher Grundsatz. Man kann natürlich den Zweck weiter fassen, wenn man das von vornherein erläutert und der Patient dann informiert und freiwillig zustimmt. Ich bin aber skeptisch, was Konzepte angeht, die eine Art Blankovollmacht „für die Forschung“ beinhalten. Denkbar ist eine dynamische Einwilligung, bei der immer wieder Kontakt mit dem Patienten aufgenommen wird. Es gibt aber Überlegungen in Richtung Daten-Treuhänderschaft.

Was verstehen Sie darunter?

Kelber: Als Patient bin ich bereit, meine Daten zur Verfügung zu stellen. Etwa für die klinische Forschung, aber nicht für einen Pharmahersteller. Ich möchte jedoch, dass ein Spezialist in meinem Interesse entsprechende Anfragen prüft und für mich im Blick behält, wer meine Daten gerade in welcher Form verwendet.

Wer könnte ein solcher Daten-Treuhänder sein?

Kelber: Das könnten beispielsweise Stiftungen oder gemeinnützige Einrichtungen sein, in deren Beiräten vertrauenswürdige Organisationen vertreten sind und die auch einen starken Datenschutz-Beirat haben. Auf jeden Fall müssen sie einer strengen Zertifizierung unterliegen. Wenn Treuhänder eine große Menge Daten haben, könnten Forscher darauf ihre Algorithmen laufen lassen, ohne selbst Zugriff auf die Daten zu haben. Es gibt zahlreiche neue technische Möglichkeiten. Ich wehre mich gegen eine 08/15-Informatik, die Datenschützer als Bremser hinstellt. Fortschritt, der Datenschutz von Anfang an einschließt, wird sich auf dem Markt sogar zum Wettbewerbsvorteil entwickeln.

Künftig soll es Gesundheits-Apps auf Rezept geben. Als Prüfinstanz ist nicht der Gemeinsame Bundesausschuss, sondern das Bundesinstitut für Arzneimittel und Medizinprodukte vorgesehen. Wie beurteilen Sie das?

Kelber: Ich möchte nicht beurteilen, ob das Bundesinstitut für Arzneimittel und Medizinprodukte oder der Gemeinsame Bundesausschuss besser in der Lage ist, den medizinischen Nutzen zu bewerten. Wichtig ist, dass bei der Prüfung von Gesundheits-Apps, die erstattungsfähig sein sollen, Datensicherheit und Datenschutz abgeklärt werden. In dem Wildwuchs von inzwischen um die 100.000 Gesundheits-Apps, Wearables oder Ähnlichem gibt es bisher keine Qualitätsprüfung. Nun haben wir die Chance, Apps herauszufiltern, die einen medizinischen Mehrnutzen haben sowie Datensicherheit und Datenschutz gewährleisten. Damit bekommen wir erstmals eine Art Qualitätssiegel.