Skip to main content
Blogbeitrag

Der Umgang mit Gesundheitsdaten in der Praxis

Gesundheitsdaten sind die sensibelsten Daten, die großflächig erfasst werden. Hier stellt sich eine nicht zu vernachlässigende Frage: Wo befindet sich die Linie zwischen Forschungsnutzen auf der einen Seite und Datenschutz sowie dem Recht auf informationelle Selbstbestimmung auf der anderen Seite? Diese sowie weitere Fragen stellen sich in der Softwareentwicklung häufig im Zusammenhang mit der Thematik des maschinellen Lernens und den dazugehörigen cloudbasierten Angeboten, die im Gesundheitssektor vermehrt zur Anwendung kommen.

So berichtete der Guardian vergangenen November darüber, wie Google in Zusammenarbeit mit der amerikanischen Firma „Ascension“ durch das Projekt „Nightingale“ Zugriff auf bis zu 50 Millionen Patienten-Datensätze erhalten hatte – ohne deren Wissen oder Zustimmung (Guardian). Ziel des Projekts ist es, Ärztinnen und Ärzten, die nach Angaben von Studien mehr Zeit mit dem Lesen von Patientenakten verbringen als mit den Patienten selbst, einen effizienteren Überblick über die Krankheitshistorie und aktuelle Untersuchungen zu liefern. Ein beteiligter Google-Mitarbeiter machte den Vorfall in einem mittlerweile entfernten Whistleblower-Video öffentlich. Er berichtet, wie Beteiligte Zugriff auf Daten mit Klarnamen, Adressen und anderen sensiblen Informationen hatten und diese sogar privat hätten herunterladen können (Guardian). Google bestätigte zwar, dass einzelne Mitarbeiterinnen und Mitarbeiter Zugriff auf Patientendaten hatten, dementiert jedoch das berichtete Ausmaß und weist darauf hin, dass die Verarbeitung der Daten im Einklang mit den in den USA geltenden Datenschutzrichtlinien (HIPAA) und unter speziellen Verträgen mit Ascension erfolgte (Forbes).

Bereits 2017 klagte ein Patient gegen Google: In Zusammenarbeit mit der University of Chicago wurden die Möglichkeiten des maschinellen Lernens mit Patientenakten untersucht. Die Daten wurden damals zwar anonymisiert verarbeitet, geklagt wurde trotzdem. Die anonymisierten Daten enthielten Zeitstempel über Eintreffen und Verlassen des Krankenhauses. In Kombination mit Standortdaten von Android-Smartphones, Google Maps oder Waze soll eine Rückidentifizierung laut Klage möglich gewesen sein. Stand heute dauern die Verhandlungen immer noch an (courtlistener.com).

Auch andere bekannte Unternehmen stellen Softwarelösungen für den Gesundheitssektor bereit. So gibt es entsprechende Produkte von z.B. Microsoft, Apple, IBM und Amazon, die ebenfalls auf cloudbasierte Lösungen des maschinellen Lernens sowie Gesundheits-Apps setzen und somit ähnliche Problemstellen bieten könnten. Im deutschen Raum gibt es Angebote hingegen von verschiedenen Krankenkassen. Exemplarisch ist die Vivy-App zu nennen, bei der es 2018 zu Problemen im Umgang mit der Datenverarbeitung kam. Hier war es möglich, bereits ohne tiefere Programmierkenntnisse und mit einfachen Mitteln sensible Patientendaten zu erhalten (Videolink: media.ccc.de).

Bei einem Blick auf die Rechtslage fällt auf, dass notwendige rechtliche Vorgaben zu Genüge vorhanden sind. In den USA werden Gesundheitsdaten durch den Health Insurance Portability and Accountability Act (kurz: HIPAA) geschützt (hhs.gov). Die zugehörige Privacy Rule gilt seit April 2003 und schützt sogenannte Protected Health Information (PHI), wozu alle Daten zählen, die den Gesundheitsstatus, die Bereitstellung oder Bezahlung von medizinischer Versorgung einer identifizierbaren Person betreffen. (HIPAA Administrative Simplification Regulation Text March 2013, S. 16) 

Hier gibt es Ähnlichkeiten zu den personenbezogenen Daten, wie sie in Europa mittels Datenschutzgrundverordnung (DSGVO) geschützt werden. Es besteht ein Auskunftsrecht über die eigenen verarbeiteten Daten, und ohne Rücksprache mit den Betroffenen dürfen die Daten nur unter besonderen Umständen an Dritte weitergeleitet werden. Zu diesen Umständen zählt insbesondere der breit gefächerte Begriff der sogenannten „health care operations“ (Definition siehe HIPAA Administrative Simplification Regulation Text March 2013, S. 78 §164.502(b)). 

Die bestehenden Regelungen wurden 2009 durch den Health Information Technology for Economic and Clinical Health (kurz HITECH) Act und 2013 durch die Final HIPAA Omnibus Rule verschärft, um ein effektiveres Vorgehen gegen Verstöße zu ermöglichen. Trotz dieses soliden Grundgerüsts scheint es Probleme bei der konkreten Durchsetzung zu geben. ProPublica berichtete 2016 (propublica.org), dass es bei den meisten Beschwerden nicht zu einer Verfolgung mangels fehlender Schwere des Verstoßes kommt, sondern stattdessen lediglich auf freiwillige Einhaltung der Vorschriften durch die Unternehmen gesetzt wird (hipaajournal.com).

In Deutschland werden Gesundheitsdaten nach §22 des Bundesdatenschutzgesetzes in Verbindung mit Artikel 9 der DSGVO geschützt und sind definiert als personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer Person, einschließlich der Einbringung von Gesundheitsleistungen beziehen, und aus denen Informationen über deren Gesundheitszustand hervorgehen (dsgvo-gesetz.de, §46 Abs. 13 BDSG). Zusätzlichen Schutz bieten das Kopplungsverbot und die Regelungen zur Erklärungsform. 

Beim Kopplungsverbot darf das Zustandekommen von Verträgen nicht von der Erhebung abdingbarer Gesundheitsdaten abhängig gemacht werden. Die Erlaubnis zur Nutzung von Gesundheitsdaten kann nur erteilt werden, wenn diese zu Zwecken der Gesundheitsversorgung benötigt werden. Die betreffenden Daten dürfen lediglich von ärztlichem Personal oder Personen, die einer entsprechenden Geheimhaltungspflicht unterliegen oder unter deren Verantwortung stehen, verarbeitet werden (goerg.de).

Es wird also deutlich, dass die Frage nach dem Datenschutz und dem Recht auf informationelle Selbstbestimmung nicht zwingend an den fehlenden Verordnungen scheitert, sondern oftmals an deren Umsetzung. Die Entwicklung passender Softwarelösungen und der Umgang der zuständigen Personen mit den Daten sind nur zwei Beispiele für Probleme, die hier auftreten können. Werden Gesundheitsdaten an unbefugte Dritte weitergegeben, sind unter anderem eine Weiterverarbeitung zum personalisierten Anbieten von medizinischen Produkten möglich, sowie Einschränkungen bei z.B. Krankenversicherungen denkbar. Da beim Thema Gesundheit der Fokus der Betroffenen häufig nicht auf dem Schutz der eigenen Daten liegt, ist es für uns als Gesellschaft umso wichtiger, im ethischen Diskurs auf die Umsetzung der vorhandenen Regelungen zu achten und eine korrekte Umsetzung aller Maßnahmen einzufordern.

Diesen Beitrag hat unsere Redaktion Sozioinformatik zusammengestellt. Da durch die Verwendung neuer Technologien immer wieder ethisch fragwürdige Situationen entstehen, würden wir uns freuen, gemeinsam einen Diskurs zu genau solchen Fragen zu gestalten. Verlinken Sie uns gerne auf Twitter unter #RedaktionSozioinformatik.