ExperSite: Im Interview mit Dr. Bernd Schütze

 

Der Datenschutz ist ein wesentlicher Bestandteil der Patientenbehandlung: nur, wenn der Patient das Vertrauen in die behandelnde Einrichtung haben kann, dass seine intimen Gesundheitsdaten nicht öffentlich verfügbar werden, ist eine erfolgreiche Behandlung möglich. Nur dann, wird der Patient seinen Behandlern alles anvertrauen, was diese zur Diagnose und Therapie der Erkrankung wissen müssen.

 

Im Gesundheitswesen geht es um die intimsten Lebensbereiche der Betroffenen. Bestimmte Krankheiten gelten als stigmatisierend und somit als Karrierestop (z.B. werden Herzerkrankungen häufig mit „nicht belastbar“ assoziiert) oder führen sogar in die Arbeitslosigkeit (Stichwort „krankheitsbedingte Entlassung“). Man sieht, auch ohne das Beispiel der psychischen Erkrankungen heranzuziehen, geht es im Gesundheitswesen um Daten, die höchst schützenswert sind. Nicht umsonst zählt der Gesetzgeber diese Daten zu den „besonderen Arten von personenbezogenen Daten“.

Entsprechend der hohen Gefährdung, die aus der Veröffentlichung dieser Daten resultiert, ist natürlich auch der Stellenwert des Datenschutzes im Gesundheitswesen anzusetzen.

 

Deutschland nimmt sicherlich eine Vorreiterrolle in Bezug auf den Datenschutz ein, dies gilt bzgl. der gesetzlichen Rahmenbedingungen auch im Gesundheitswesen. Allerdings müssen wir uns ehrlich eingestehen, dass das Verständnis für die Notwendigkeit des Datenschutzes im medizinischen Umfeld sicherlich gegeben ist, jedoch die Umsetzung noch Optimierungspotenzial aufweist: Sobald die Umsetzung von Datenschutz Geld kostet, wird angesichts der immer knapperen Budgets in deutschen Krankenhäusern der Datenschutz zu Gunsten anderer Kriterien häufig vernachlässigt.

 

Dies hängt nach meiner Erfahrung davon ab, inwieweit es dem Datenschutzbeauftragten gelingt, das Personal „abzuholen“. Die Klinikmitarbeiter, insbesondere diejenigen die in der medizinischen Versorgung beschäftigt sind, haben in der Regel selbst großes Interesse am Datenschutz – vielleicht nennen sie es nur anders. Allen ist bewusst, dass der Schutz der sensiblen Patientendaten notwendig ist. Gleichzeitig arbeiten die Mitarbeiter in der Patientenversorgung auch unter enormen Zeitdruck. Die Umsetzung datenschutzrechtlicher Vorgaben, wie z.B. das automatisierte Einschalten eines Bildschirmschoners mit Passwortsperre, verschärft diesen zeitlichen Druck noch.

Das muss einem Datenschutzbeauftragten bewusst sein. Die Maßnahmen des Datenschutzbeauftragten müssen sich in den Workflow der Patientenversorgung integrieren, nicht diesen behindern. Ein „so geht es nicht“ alleine führt dazu, das der Datenschutzbeauftragte als Behinderung in Kliniken angesehen wird; dies ist die „schlimme“ Form des Datenschutzbeauftragten.

Ein guter Datenschutzbeauftragter wird vom Personal als Partner angesehen, weil er gemeinsam mit dem Personal Lösungen sucht.

 

Zunächst muss festgehalten werden, dass die Patientenversorgung generell immer an erster Stelle stehen muss. Dies gilt auch für den Datenschutz. D.h. keine datenschutzrechtliche Maßnahme darf zu einer Patientengefährdung führen!

Dennoch müssen datenschutzrechtliche Vorgaben natürlich erstellt und auch gelebt werden. Dazu sind entsprechende Schulungsmaßnahmen des Personals erforderlich. In der Regel ist das Verständnis für den Schutz sensibler Daten vorhanden. Fragen Sie einmal beim Personal herum, ob sie möchten, dass ihre Abrechnung oder Steuererklärung hinter Glaskästen im Flur des Stationszimmers ausgehängt wird; in der Regel möchte dies keiner. Damit eine Offenlegung von persönlichen Daten nicht geschieht, werden Einschränkungen hingenommen, z.B. sind Personaldaten nicht öffentlich zugänglich. Dies erschwert die Personalarbeit, aber jeder sieht ein, dass es notwendig ist.

Gleiches gilt für das Patientengeheimnis. Jeder sieht ein, dass es notwendigerweise gewahrt werden muss. Aber Maßnahmen, die mich bei der Arbeit stören, werden als unangenehm empfunden und der Mensch wird versuchen, die Störung zu umgehen, d.h. Mittel und Wege suchen, wie die Arbeit wieder leichter zu erledigen ist. Dies ist normales menschliches Verhalten und betrifft Datenschutzvorgaben ebenso wie alles andere im menschlichen Leben.

Datenschutzvorgaben werden nur dann konsequent eingehalten, wenn sie in den medizinischen Workflow passen. 

 

Die OH KIS hat dafür Sorge getragen, dass nach vielen Jahren die Führungsgremien in Krankenhäusern den Datenschutz zur Kenntnis nehmen. So gesehen ist die OH KIS durchaus eine Chance für den Datenschutz.

Anders sieht es mit dem Inhalt der OH KIS aus: die OH KIS wurde offensichtlich von Leuten geschrieben, die niemals in der Patientenversorgung gearbeitet haben. Man merkt überall, dass eine Überarbeitung unter Mitarbeit von Menschen, die die Patientenversorgung kennen, notwendig ist, damit die OH KIS in Krankenhäusern eingesetzt werden kann. Die GMDS kommentierte die OH KIS (http://gesundheitsdatenschutz.org/doku.php/gmds-dgi-stellungnahmen) und bemängelte auch die fehlende Praxistauglichkeit der OH KIS.

Aber natürlich beinhaltet die OH KIS auch eine ganze Reihe von Forderungen, deren Erfüllung die Arbeit im Krankenhaus deutlich vereinfachen würde. Die in der OH KIS aufgestellte Forderung nach einem anonymisierten/pseudonymisierten Datenexport würde die Nutzung der bei der Patientenbehandlung anfallenden Daten zu Forschungszwecken enorm vereinfachen. Andererseits kann ich auch die Hersteller verstehen, die sagen: „Liebe Datenschützer, sagt uns erst einmal, welche Daten überarbeitet werden müssen, damit die Daten von euch Aufsichtsbehörden auch als pseudonym bzw. anonym angesehen werden.“ Denn dies ist nicht trivial; schon mehr als ein Forscher in Universitätskliniken wurde von der Aufsichtsbehörde von deren Feststellung überrascht, dass die von ihm für anonymisiert gehaltenen Daten nach Meinung der Aufsichtsbehörde nur pseudonymisiert sind. Bzgl. der Klarstellung, was zur Erreichung welchen Zustandes gemacht werden muss, sind Datenschützer gefordert, den Herstellern neben Forderungen auch Definitionen zu liefern. Letztlich haftet ein Hersteller für sein Produkt, d.h. wenn die von ihm als „anonymisiert“ klassifizierten Daten aus Sicht der Datenschutzaufsichtsbehörden nicht als anonymisiert gelten, die Daten jedoch schon weitergegeben wurden: wer haftet dann für die unberechtigte Datenübermittlung? Der Hersteller oder der Forscher?

 

Neben „Verfügbarkeit“ und „Vertraulichkeit“ ist Integrität ja eines der drei klassischen Ziele der IT-Sicherheit. Im Sinne von IT-Sicherheit ist Integrität die Verhinderung unautorisierter Manipulationen von Information, somit gehört die Integrität auch zu den wichtigsten Forderungen des Datenschutzes: jeglicher unautorisierter Zugriff auf personenbezogene Informationen ist zu unterbinden. Die Sicht der IT-Sicherheit geht bzgl. Integrität ggfs. über die Sicht des Datenschutzes hinaus, da die IT-Sicherheit verschiedene Formen der Integrität kennt, die nicht alle direkt etwas mit dem autorisierten/unautorisierten Zugriff zu tun haben:

• Richtige Abbildung der realen Welt, also korrekte Sachverhalte

• Unmodifizierte Inhalte

• Erkennung von Modifikationen

• Temporale Korrektheit (z.B. bei CDA-Dokumenten).

Aus dieser Sicht gesehen ist die Integrität für IT-Abteilungen für datenschutzrelevante Daten im Gesundheitswesen, also personenbeziehbare Daten, natürlich unabdingbar: im überwiegenden Teil handelt es sich hierbei um patientenbezogene Daten, deren Integrität unabdingbare Voraussetzung für deren Verwendung in der Patientenbehandlung darstellt.

Leider bieten die meisten klinischen Informationssysteme hier noch nicht die kryptographischen Verfahren an, mit denen die Integrität zweifelsfrei festgestellt werden kann: Prüfsummen, sei es für die Daten selbst oder auch für die Protokolldaten, die man zum Nachweis des Datenzugriffs (also wer griff wann auf welche Patientendaten zu) benötigt, werden in der Regel ohne Prüfsummenbildung gespeichert.

 

Natürlich ist auch hier die Integrität ein wesentlicher Bestandteil. Entscheidungen, insbesondere auch Behandlungsentscheidungen, können nur auf Daten basieren, die in sich verlässlich sind. D.h. innerhalb der Prozessorganisation ist es immer wichtig, dass die Korrektheit der benötigten Daten ebenso wie die Verfügbarkeit gegeben ist.

 

Datenschutz ist ein substantieller Bestandteil des medizinischen Alltags. Einen Hinweis, wie wichtig das Patientengeheimnis für die Patientenversorgung ist, bietet ja auch die jeweilige Berufsordnung für Ärzte.

Es ist vielmehr die Frage, wie gut sich die Vorgaben des jeweiligen Datenschutzbeauftragten in den jeweiligen Behandlungskontext integrieren lassen. Ein Beispiel: Ein Notfallzugriff auf medizinische Daten eines Patienten, d.h. ein eigentlich unautorisierter Zugriff auf Daten, muss protokolliert und begründet werden. Nun ist mit einem Notfall in der Regel eine zeitliche Komponente beinhaltet: muss ich die Begründung vor oder nach dem Zugriff eingeben? Aus medizinischer Sicht ist ein schnellstmöglicher Zugriff geboten, d.h. die Begründung muss nach dem Zugriff eingegeben werden. Aus datenschutzrechtlicher Sicht hat man die Schwierigkeit, dass hinterher selten eine Begründung eingegeben wird und aus Seiten der Krankenhausführung auch keine Konsequenzen aus der Nicht-Eingabe gezogen werden. Eine vorherige Eingabe der Begründung bei einem Notfallzugriff wird sich nur in den Alltag integrieren können, wenn der Mehraufwand aus ärztlicher Sicht vertretbar ist.

Damit kommen wir auf den oben angesprochenen Punkt: gut einsetzbare datenschutzrechtliche Lösungen, die gelebt werden, können nur im partnerschaftlichen Umgang von Datenschutzbeauftragten und medizinischem Personal gefunden werden.

 

Nehmen Sie die Krankenhausverwaltung und das medizinische Personal mit in die Verantwortung, d.h. machen Sie ihnen klar, dass die Verantwortung für den Datenschutz nicht beim Datenschutzbeauftragten liegt, sondern bei jedem Einzelnen. Verdeutlichen Sie der Krankenhausleitung, dass datenschutzrechtliche Verstöße (beispielsweise fehlende ADV-Verträge) Ordnungswidrigkeiten sind, deren Kosten bei einem Verstoß die Krankenhausverwaltung tragen muss. Begleiten Sie Ärzte bei ihren Projekten, z.B. Forschungsprojekten, und zeigen Sie, wie man mit einfachen Mitteln eine Pseudonymisierung durchführen kann, ohne das Forschungsziel aus den Augen zu verlieren. Unterstützen Sie die IT-Abteilung, indem Sie ihnen Materialien für Ausschreibungen/Neuanschaffungen zur Verfügung stellen, mittels derer datenschutzrechtliche Fragen ohne größeren Mehraufwand beantwortet werden können.

Kurz: Seien Sie Partner im klinischen Alltag, nicht „Schreibtischtäter“ !