Bundesdatenschutz­beauftragter kündigt Vorgaben an Kassen für elektronische Patientenakte an

Ulrich Kelber (SPD), Bundesbeauftragter für Datenschutz /picture alliance, Wolfgang Kumm

Berlin – Aus Sicht des Bundesbeauftragten für den Datenschutz und die Informations­frei­heit, Ulrich Kelber, droht die gesetzliche Krankenversicherung (GKV) gegen die europäi­sche Datenschutz-Grundverordnung (DSGVO) zu verstoßen.

Im Zusammenhang mit dem Gesetzgebungsverfahren zum Patientendaten-Schutzgesetz (PDSG) habe er wiederholt und eindringlich auf die Notwendigkeit einer DSGVO-konfor­men Ausgestaltung der Regelungen zur elektronischen Patientenakte (ePA) hingewiesen.

Umso „unbefriedigender“ sei das Ergebnis. Sollte das PDSG im September unverändert den Bundesrat passieren und die Kassen zum 1. Januar 2021 die ePA nach PDSG-Norm anbieten, würden sie gegen die DSGVO verstoßen, so warnte Kelber.

Er beabsichtige deshalb, gegenüber den in seinen Zuständigkeitsbereich fallenden 65 bundesweit geöffneten Krankenkassen mit etwa 45 Millionen Versicherten aufsichts­recht­liche Vorgaben zu machen.

Noch vor Jahresbeginn 2021 soll es eine „Warnung“ an die Kassen unter seiner Aufsicht geben, dass aufgrund „mangelhafter Datenkontrolle“ und einem nicht sicheren Authenti­fizierungverfahren DSGVO-Verstöße drohen.

Zudem werde er Anweisungen zur einer Verpflichtung der Kassen erteilen, bis zum 31. Dezember 2021 für eine DSGVO-konforme Ausgestaltung des Datenmanagementsystems der ePA zu sorgen. Wie Kelber betonte, ist dafür aus rechtlichen Gründen zuvor eine indi­viduelle Erhebung bei jeder Kasse erforderlich, wie die Regelungen zur ePA jeweils um­ge­setzt wurden.

Eine weitere Anweisung soll auf die Umsetzung eines hochsicheren Authentifizierungver­fahrens bis Mai 2021 hinwirken. Bis zur DSGVO-konformen Ausgestaltung soll ein aus­drück­licher Warntext des Bundesdatenschutzbeauftragten an alle Versicherten gehen.

Bezüglich der auch im Kontext mit der Möglichkeit von ePA-Datenspenden seitens der Versicherten bestehenden Kritikpunkte bleibe die praktische Umsetzung abzuwarten – hierzu würden „intensive Gespräche“ mit den Kassen laufen.

Kelber betonte ausdrücklich, dass auch er als Bundesbeauftrager die Digitalisierung im Gesundheitswesen unterstütze – diese müsse aber datenschutzkonform erfolgen. Ein feingranulares Datenkontrollsystem für ePA-Nutzer sei aber erst für 2022 vorgesehen. Zudem hätten, Stand jetzt, Nutzer einer ePA ohne geeignetes Endgerät (Handy, Tablet, PC) auch dann nur die „Wahl zwischen Extremen“.

Das sie nur entweder sämtliche Informationen als einsehbar markieren können oder gar keine, sei „nicht hinnehmbar“. Auch schätzt Kelber das im PDSG angelegte Authentifizie­rungverfahrens für Zugriffe auf die ePA von außerhalb der TI als „nicht sicher“ ein.

Barbara Thiel, Landesbeauftragte für den Datenschutz Niedersachsen, betonte, diese grundlegenden Probleme habe man bereits im Laufe des Gesetzgebungsverfahrens adressiert. Der Gesetzgeber, so die deutliche Kritik, hätte für eine datenschutzrechtliche Umsetzbarkeit sorgen müssen.

Kelber sieht in der Folge nun die Kassen in einer „unangenehmen Situation“, da sie sich im unverschuldeten Widerspruch zwischen nationalen Recht und EU-Recht befänden. Noch könne der Gesetzgeber selbst die Problematik „glattziehen“, betonte Stefan Brink, Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württem­berg.

„Dringenden Nachholbedarf“ sehen auch die Grünen. Konstantin von Notz, stellvertre­ten­der Fraktionsvorsitzender, und Maria Klein-Schmeink, Sprecherin für Gesundheitspolitik, verwiesen darauf, dass die Bundesregierung ihrer Schutzverantwortung gerecht werden müsse. Sie müsse das Vertrauen in die ePA und die Akzeptanz der Nutzer stärken und endlich die grundlegenden Anforderungen an Datenschutz und Datensicherheit erfüllen. Dies hatten auch die Oppositionsparteien FDP und Linke mehrfach angemahnt.

Es sei wichtig, dass alle Beteiligten und die Krankenkassen schnellstmöglich eine Lösung finden, mit der die ePA zum 1. Januar 2021 eingeführt werden kann und dabei den ge­setz­lichen Anforderungen entspricht, betonte Bitkom-Hauptgeschäftsführer Bernhard Rohleder. Die Einführung der ePA sei „längst überfällig“. Datenschutz habe dem Patien­tenwohl zu dienen und dürfe nicht zum „Bremsklotz der Digitalisierung des deutschen Gesundheitswesens“ werden. © aha/aerzteblatt.de