Zu den vom Bundesrat gebilligten Digitalgesetzen DigiG und GDNG

Prof. Ulrich Kelber, Bundesbeauftragter für den Datenschutz und die Informationsfreiheit

Unser eigentlich sehr leistungsfähiges deutsches Gesundheitssystem leidet. Dabei ist es gleichgültig, aus welchem Blickwinkel man die Probleme sieht: Patientinnen und Patienten, Ärztinnen und Ärzte, Krankenpflegende oder Forschende – alle können berichten, was schiefläuft. Jetzt soll es die Digitalisierung richten und zwar möglichst schnell. Es stimmt, dass wir in Deutschland gefährlich unterdigitalisiert sind, gerade auch im Gesundheitssektor. Deshalb ist es folgerichtig, dass die Politik dieses Problem angeht.

Die Grundlage dafür sollen das „Gesetz zur Beschleunigung der Digitalisierung des Gesundheitswesens“ (DigiG) und das „Gesetz zur verbesserten Nutzung von Gesundheitsdaten“ (GDNG) schaffen. Doch wie immer kommt es auf die Details an.

ePA: Behörde prüft Verstoß gegen verbindliche Datenschutzgesetze

Die Digitalisierung verspricht eine verbesserte Patientenversorgung, neue medizinische Erkenntnisse, einen erleichterten Informationsaustausch zwischen medizinischen Fachkräften und eine effizientere Verwaltung von Gesundheitsdaten. Im Mittelpunkt des DigiG steht deshalb die elektronische Patientenakte (ePA). Nach über 20 Jahren Entwicklungszeit, in denen sich die Beteiligten abseits von Datenschutzfragen nicht einigen konnten, soll sie 2025 für alle gesetzlich Versicherten verpflichtend eingeführt werden. Ich hätte mir gewünscht, dass die Politik ihrem ursprünglichen Plan gefolgt wäre und die ePA als freiwilliges Angebot gestaltet hätte. Dafür hätte man allerdings die Funktionen so attraktiv für die Versicherten machen müssen, dass diese auch einen echten Nutzen sehen.

Nun soll es also eine ePA mit Widerspruchslösung geben. Das ist datenschutzrechtlich durchaus möglich, zeugt aber auch von geringem Vertrauen in die Bürgerinnen und Bürger. Gleichzeitig sollen selbst sensibelste Daten, wie etwa zu seltenen Erkrankungen, Schwangerschaftsabbrüchen oder psychologischen Behandlungen, automatisch in der ePA gespeichert werden. Und als wäre das nicht genug, soll das Sicherheitsniveau bei der Anmeldung in der ePA dauerhaft per Einwilligung abgesenkt werden können. Die Betroffenen dürfen aber nicht in die Situation geraten, auf notwendige Schutzmaßnahmen zu verzichten, indem sie in ihren Entscheidungsmöglichkeiten unter Druck gesetzt werden. Spätestens hier wird meine Behörde prüfen und prüfen müssen, ob ein Verstoß gegen verbindliche Datenschutzgesetze vorliegt.

GDNG macht bei Nutzung der Daten Tür sehr weit auf

Die Daten sollen nicht nur für die Versicherten und die Mitarbeitenden im Gesundheitssystem nutzbar sein. Entscheidende Bedeutung haben Gesundheitsinformationen auch für die medizinische Forschung. Und das GDNG macht die Tür sehr weit auf. Forschende müssen zukünftig nicht mehr zu bestimmten wissenschaftlichen Einrichtungen gehören, sondern nachweisen, dass sie im Sinne eines Allgemeinwohls handeln. Damit wäre zum Beispiel auch für Pharmaunternehmen eine Forschung mit den Daten aus der ePA möglich, wenn neue Medikamente oder Therapien entwickelt werden sollen. Wollen Versicherte das nicht, müssen sie aktiv widersprechen. Daneben sollen die Krankenkassen, aber auch Krankenhäuser und andere Gesundheitseinrichtungen die Daten nutzen können und dabei vollständig vom ursprünglichen Zweck – der Behandlung von Patientinnen und Patienten – abweichen können. Je mehr Interessierte die Daten nutzen dürfen, umso entscheidender ist es, welche Daten gesammelt werden und wie Risiken, beispielsweise durch Re-Personalisierung, begegnet wird.

Überhaupt: Die IT-Sicherheit ist eines der wichtigsten Elemente in diesem Zusammenhang. Die Telematik-Infrastruktur (TI) ist grundsätzlich sehr sicher. Doch je mehr Anwendungen es außerhalb der TI gibt und je mehr IT-Sicherheit für vermeintlichen Komfort bei der Nutzung geopfert wird, umso größer werden die Einfallstore für Hacker und Unbefugte. Gerade dort, wo die TI endet, brennt es schon heute überall. Krankenhäuser, Praxen und Apotheken haben jeweils eigene IT-Lösungen. Immer wieder sehen wir, dass durch Sicherheitslücken, fehlende Updates, unverschlüsselte Datentransfers und ungeregelte Zugänge große Mengen an Gesundheitsdaten öffentlich werden. Wenn nun durch das DigiG der Zufluss an Daten massiv zunehmen soll, dann müssen die speichernden Systeme entsprechend sicher sein. Hier gibt es in Deutschland enormen Nachholbedarf.

Dabei werden wir vermutlich ohnehin bald europäisch überholt: Mit der Schaffung des Europäischen Gesundheitsdatenraums (EHDS) ist es unerlässlich, dass die neuen Gesetze und Maßnahmen in Deutschland in den übergeordneten Rahmen integriert werden. Der EHDS strebt eine sichere und interoperable Nutzung von Gesundheitsdaten in der gesamten EU an. Die deutschen Gesetze sollten sich nahtlos in diese Vision einfügen, um einen gemeinsamen und dennoch datenschutzkonformen Umgang mit Gesundheitsdaten zu gewährleisten. Dies erfordert eine enge Abstimmung auf europäischer Ebene, um Synergien zu nutzen und einheitliche Standards zu etablieren.

Vertrauen der Betroffenen für erfolgreiche Digitalisierung notwendig

Ich will noch einmal betonen, dass wir die Digitalisierung des Gesundheitswesens aus vielen Gründen dringend brauchen. Eine zentrale Komponente sollte nämlich die Nutzbarkeit der Daten für die Bürgerinnen und Bürger selbst sein. Patientinnen und Patienten sollten unmittelbar von diesen Entwicklungen profitieren können. Ein einfacher Zugang zu den eigenen Gesundheitsdaten ist ein grundlegendes Recht. Das ermöglicht nicht nur eine aktivere Teilnahme an der eigenen Gesundheitsversorgung, sondern fördert auch die Patientenautonomie.

In diesem Kontext müssen Datenschutzbestimmungen und Technologien so gestaltet sein, dass sie eine sichere, aber dennoch zugängliche Nutzung der eigenen Gesundheitsdaten ermöglichen. Eine ausgewogene und zukunftsweisende Gesetzgebung sollte demnach nicht ausschließlich die Interessen der Wissenschaft und des Gesundheitssektors berücksichtigen. Ein versichertenzentrierter Ansatz würde stattdessen die individuelle Gesundheitsversorgung stärken und das Vertrauen in die datengetriebenen Entwicklungen im Gesundheitswesen fördern.

Die Digitalisierung kann sicher helfen, unser angeschlagenes Gesundheitssystem zu stützen. Diese Revolution kann allerdings nur dann gelingen, wenn die Maßnahmen auf dem Weg dorthin auch das Vertrauen der Betroffenen finden. Es wäre das Mindeste, ihre Grundrechte zu respektieren.