Schon wieder: Spahn erhöht Datenschutz-Risiko

TP-Recherche. Versichertendaten werden nur anonymisiert der Forschung übergeben? Unsere neueste Recherche zu Spahns aktueller Verordnung zeigt, warum nicht nur Patientenschützer alarmiert sind. Der fleißige Herr Spahn: Mit Vollgas gegen den Datenschutz - Teil 6

Mich beunruhigt, dass uns zu viele Bürger weniger vertrauen als früher.

Jens Spahn, 23.06.2019

"Ich sag noch mal: anonymisiert." Dreimal bekräftigt der Gesundheitsminister sein Versprechen. Es ist der 07.11.2019, der Tag, an dem das Digitale-Versorgung-Gesetz verabschiedet werden soll.

Spahn tritt im ZDF-Morgenmagazin vor die Kamera. Viele Bürger sind besorgt, dass ihre sensiblen Patientendaten der Forschung zugänglich gemacht werden, ohne dass ihnen ein Widerspruchsrecht eingeräumt wird. Der Gesundheitsminister beruhigt. "Wichtig ist: Es geht nicht um Behandlungsdaten, sondern um Abrechnungsdaten." Und die Daten gehen "anonymisiert" in die Forschung.

Dreimal versichert Spahn, dass nur anonymisierte Daten an die Forschung weitergegeben werden. Und dann, als die Moderatorin nachfragt, noch einmal: Pseudonymisiert gehen die Daten an die zentrale Datenstelle, aber "an die, die forschen, geht es anonymisiert, da wird also noch ein zweiter Schritt gemacht, wo nicht mal mehr die Pseudonymisierung ist."

Dieses Versprechen wird der Gesundheitsminister nur wenige Stunden später in seiner Bundestagsrede wiederholen: Die Daten werden "gegenüber denen, die damit forschen, immer anonymisiert zur Verfügung" gestellt.

19.06.2020. Unbemerkt von der breiten Öffentlichkeit ordnet der Gesundheitsminister an, dass der Zugriff auf pseudonymisierte Einzeldatensätze "nicht mehr nur als Ausnahmefall in Betracht" kommt, wie es in dem der Verordnung vorangegangenen Referentenentwurf heißt, der Telepolis vorliegt.

Tatsächlich war Spahns Aussage, die Versichertendaten würden immer anonymisiert zur Verfügung gestellt, schon zum damaligen Zeitpunkt nicht richtig. Das Digitale-Versorgung-Gesetz erlaubte nämlich in Ausnahmefällen auch den Zugriff auf bloß pseudonymisierte, also personenbezogene Daten. Jetzt hat Spahn aber angeordnet, dass der Zugriff auf pseudonymisierte Einzeldatensätze neben dem weiterhin möglichen Zugriff auf anonymisierte Daten als normaler Regelfall möglich wird. Der Antragsteller muss eine Begründung anfügen, weshalb er pseudonymisierte Daten für erforderlich hält, dann darf er im Forschungsdatenzentrum darauf zugreifen.

Warum sind Patientenschützer so alarmiert? Weil diese Änderung in Begleitung einer zweiten brisanten Änderung daher kommt:

Denn Spahn hat nun gleichzeitig angeordnet, dass der Datenumfang erheblich erweitert wird. Insgesamt entsteht damit ein gigantischer Datenpool bestehend aus Daten von 73 Millionen gesetzlich versicherter Bürger: Geburtsjahr, Geschlecht, Postleitzahl des Wohnortes, die Anzahl der Versichertentage, an denen die versicherte Person ihren Wohnsitz oder gewöhnlichen Aufenthalt außerhalb des Gebietes der Bundesrepublik hatte, Behandlungsmethoden, in Anspruch genommene Krankengeld-Tage, Abrechnungsbegründungen, Angaben zu ärztlichen Zweitmeinungen und gestellten Diagnosen, Kosten-und Leistungsdaten zu Krankenhausbehandlung, ambulanter Versorgung, Arzneimittel, Heil- und Hilfsmittel, Hebammenleistungen ...

Die bittere Konsequenz für den gesetzlich versicherten Bürger: Sein Risiko, von den vielen Nutzern seiner sensiblen Gesundheits- und Krankheitsdaten als Person identifiziert zu werden, ist stark erhöht, erst recht wenn die Daten auch noch mit anderen Datensätzen verknüpft werden. Dabei nimmt Spahns Verordnung ein gewisses Re-Identifikationsrisiko bewusst in Kauf. Das Risiko soll lediglich "minimiert" werden, und auch das mit folgender Maßgabe: "unter angemessener Wahrung des angestrebten wissenschaftlichen Nutzens".

Aber das ist noch nicht alles. Unsere Recherchen haben ergeben, dass Spahn mit seiner mittlerweile in Kraft getretenen Verordnung sämtliche Warnungen in den Wind geschlagen hat: Der Verband deutscher Ersatzkassen hatte vor dem Hintergrund des stark erweiterten Datenumfangs die Übermittlung der 5-stelligen Postleitzahl kritisiert, die Kassenärztliche Bundesvereinigung hatte mit Blick auf das hohe Re-Identifikationsrisiko die Einschränkung des Umfangs der genutzten Daten gefordert, die Bundesarbeitsgemeinschaft der Patientenstellen und -Initiativen hatte gefordert, dass die Weitergabe der Gesundheitsdaten nur anonymisiert erfolgen dürfe. Auch der Deutsche Gewerkschaftsbund hatte vor dem Bereitstellen pseudonymisierter Einzeldatensätze gewarnt und eine "vollständige Anonymisierung" gefordert "im Sinne größtmöglicher Sicherheit der Versicherten über den Schutz der von ihnen erhobenen Daten".

Wie konnte das passieren, dass der Gesundheitsminister hier im Alleingang erneut die Persönlichkeitsrechte von 73 Millionen gesetzlich versicherter Bürger gefährdet? Und was sagt der Bundesdatenschutzbeauftragte dazu?

Erst letzte Woche hatte sich Ulrich Kelber gegenüber Telepolis besorgt gezeigt angesichts des von CDU/CSU und SPD mit Hilfe eines undurchsichtigen Änderungsantrags still und leise durchgesetzten Datenschutzabbaus (EPA-Datengesetz - Sie haben den Affen übersehen) und vor der Gefahr des "gläsernen Versicherten" gewarnt. Allein der Vorgang selbst war abenteuerlich (Oberster Datenschützer und 73 Mio Bürger ausgetrickst). Noch immer wartet die Öffentlichkeit darauf, dass die Bundesregierung Stellung zu diesem ungeheuerlichen Vorgang bezieht.

Und nun also ein weiterer Schlag gegen das informationelle Selbstbestimmungsrecht der gesetzlich versicherten Bürger. Und wieder hätte die Öffentlichkeit beinahe nichts erfahren. Telepolis hat den Bundesdatenschutzbeauftragten Ulrich Kelber um eine Stellungnahme gebeten. Die Berichterstattung wird zeitnah fortgesetzt.

TP-Serie zum Datenschutzabbau im Gesundheitswesen

• Implantateregister-Errichtungsgesetz
• Digitale-Versorgung-Gesetz
• Terminservice- und Versorgungsgesetz
• Pandemiegesetz
• ePA-Datengesetz - Sie haben den Affen übersehen