Kabinettentwurf zum Gesundheitsdatennutzungsgesetz: Zugriff auf medi­zi­ni­sche Daten – Gemein­wohl vs. Daten­schutz

Geknüpft an die Idee, neue Rahmenbedingungen für die Forschung zu schaffen, fordern Vertreter der Wissenschaft sowie der Gesundheitsbranche Erleichterungen beim Zugriff auf medizinische Daten. Der Gesetzgeber steht vor der Herausforderung, deren Nutzbarkeit für Zwecke des Gemeinwohls mit den Schutzinteressen Einzelner in Einklang zu bringen.

Gelingen soll der Spagat auf der Grundlage eines Verordnungsentwurf zur Schaffung eines europäischen Gesundheitsdatenraums (European Health Data Space, EHDS), den die Europäische Kommission im Mai 2022 als Teil einer umfassenden Digitalstrategie vorgestellt hat. Der Verordnungsentwurf (EHDS-VO-E) soll gesetzliche Rahmenbedingungen zur europaweit datenschutzkonformen Nutzung von Gesundheitsdaten schaffen. 

Unterschieden wird dabei zwischen der sogenannten Primärnutzung, also der Nutzung von Daten im Rahmen der Behandlung von Patienten, und der Sekundärnutzung, also der Nutzung von Daten außerhalb der Behandlung – insbesondere zu Forschungszwecken. 

Datenschutzfreundlicher  Zugangsmechanismus im EHDS

Wesentliches Element des EHDS-VO-E ist ein neuer Datenzugangsmechanismus, der die Sekundärnutzung von Gesundheitsdaten zu bestimmten gemeinwohlorientierten Zwecken in der Praxis ermöglichen soll. Hierbei werden über Gesundheitsdaten verfügende Stellen (beispielsweise Krankenkassen oder Pharmazieunternehmen) verpflichtet, auf Antrag bestimmter Institutionen die von ihnen erhobenen Gesundheitsdaten für festgelegte Zwecke bereitzustellen. Die Kommission legt dabei Wert darauf, dass dies in einer datenschutzfreundlichen Weise erfolgt, insbesondere durch eine Anonymisierung und in begründeten Ausnahmefällen durch eine Pseudonymisierung der Datensätze.

Parallel zu den Diskussionen über einen EHDS fand in den letzten Jahren in Deutschland ebenfalls eine lebhafte Debatte darüber statt, wie der Gesetzgeber die Sekundärnutzung von Gesundheitsdaten legislativ vereinfachen kann. Das Bundesministerium für Gesundheit (BMG) kündigte schließlich im März 2023 in seiner Digitalisierungsstrategie "Gemeinsam digital" gesetzliche Maßnahmen an, um qualitativ hochwertige Daten für eine bessere Versorgung und Forschung im Medizinbereich zu generieren und zu nutzen.

Nachdem am 4. August 2023 zunächst das BMG einen Referentenentwurf eines Gesetzes vorlegte, beschloss das Bundeskabinett am 30. August 2023 den Entwurf eines Gesetzes zur verbesserten Nutzung von Gesundheitsdaten, der unter anderem die Einführung eines Gesundheitsdatennutzungsgesetzes (GDNG-E) vorsieht.

Anpassung des Datenzugangsmechanismus im SGB V

Zurzeit gelten deutschlandweit verschiedene Datenzugangsmechanismen, die Gesundheitsforschung ermöglichen sollen. Diese finden sich zum Beispiel in den nationalen Krebsregistergesetzen. Einer der in der Praxis bedeutsamsten Datenzugangsmechanismen ist die im fünften Sozialgesetzbuch (SGB V) und der Datentransparenzverordnung geregelte Möglichkeit, Zugang zu Abrechnungsdaten von Krankenkassen zu erhalten. Solche Abrechnungsdaten umfassen Informationen darüber, ob bestimmte Leistungen gegenüber Patienten erbracht wurden. Zu weiteren gesundheitsbezogenen Informationen besteht kein Zugang. 

Ein beschränkter Kreis von Akteuren, darunter Krankenkassen und Hochschulen, kann bislang nach dem SGB V auf Antrag an das Forschungsdatenzentrum Gesundheit (FDZ) Zugang zu solchen pseudonymisierten Abrechnungsdaten von Patienten erlangen, um sie für einen der gesetzlich abschließend normierten zulässigen Zwecke zu verarbeiten (zum Beispiel zur Verbesserung der Versorgungsqualität). Nach dem Kabinettentwurf soll dieser akteurgebundene Zugangsmechanismus in einen ausschließlich zweckgebundenen Zugangsmechanismus – wie er auch in dem EHDS-VO-E vorgesehen ist – umgewandelt werden. Dadurch könnten zukünftig sämtliche Dritte, einschließlich kommerziell forschender Unternehmen, Zugang zu den Abrechnungsdaten erhalten.

Zusätzlich sollen die derzeit im SGB V vorgesehenen Zwecke, anlässlich derer die Daten weitergenutzt werden dürfen, um die im EHDS-VO-E neu erwähnten Zwecke erweitert werden. Dies umfasst beispielsweise die Möglichkeit, Daten zum Training von Systemen der Künstlichen Intelligenz zu nutzen. Gerade dieser Paradigmenwechsel ist im Lichte des somit deutlich erhöhten Innovationspotenzials zu begrüßen und wurde mit Blick auf den Referentenentwurf bereits dementsprechend positiv auf der diesjährigen Gesundheitsministerkonferenz der Länder aufgenommen.

Gesundheitsforschung im GDNG

Der GDNG-E sieht ferner einige Neuheiten zur Vereinfachung der Gesundheitsforschung vor. So soll § 4 GDNG-E ein Verfahren regeln, das es Forschungsakteuren und anderen Datennutzenden erlaubt, Abrechnungsdaten des FDZ mit Daten von klinischen Krebsregistern der Länder zu verknüpfen, was zuvor nicht rechtssicher im Einklang mit dem Datenschutzrecht möglich war. 

Zum anderen sollen sog. datenverarbeitende Gesundheitseinrichtungen wie Arzt- oder Zahnarztpraxen künftig nach § 6 GDNG-E berechtigt sein, bestimmte von ihnen im Rahmen der Leistungserbringung erhobene Gesundheitsdaten (sog. Versorgungsdaten) für gesetzlich zulässige Zwecke, insbesondere medizinische, rehabilitative und pflegerische Forschungszwecke, weiterzuverarbeiten. 

Unklar bleibt dabei auf Grundlage des Kabinettentwurfs, ob sich Krankenhäuser auf § 6 GDNG-E berufen dürfen. Die Gesetzesbegründung scheint – im Einklang mit der weit gefassten Definition der "datenverarbeitenden Gesundheitseinrichtung", die Krankenhäuser umfassen dürfte – hiervon auszugehen. Jedoch gelten für Krankenhäuser bereits die divergierenden Forschungsregeln der Landeskrankenhausgesetze. Da hier Landes- und Bundesrecht kollidieren könnten, sollte das Verhältnis dieser Regeln im weiteren Gesetzgebungsverfahren unter Berücksichtigung des Kompetenzrechts durchdacht und im Gesetzestext oder zumindest der Gesetzesbegründung hinreichend klar aufgelöst werden.

Ebenfalls klärungsbedürftig scheint die Frage, inwiefern datenverarbeitende Gesundheitseinrichtungen Versorgungsdaten an "Dritte" weitergeben dürfen. § 6 GDNG-E schließt eine solche Weitergabe aus, wobei weder der Gesetzestext noch die Gesetzesbegründung Aufschluss darüber geben, ob "Dritte" im Sinne der Norm auch Auftragsverarbeiter i.S.d. Datenschutzrechts, also beispielsweise Cloud-Anbieter, umfassen. 

Bei einem umfassenden Ausschluss der Möglichkeit zur Weitergabe an Dritte droht, dass die erwünschte Weiterverarbeitung von Versorgungsdaten durch datenverarbeitende Gesundheitseinrichtungen in der Praxis erheblich erschwert würde. Denn diese sind primär mit der Erbringung von Gesundheitsdienstleistungen beschäftigt und gerade bei der Eigenforschung auf die Unterstützung von Forschungsverbünden angewiesen. 

Erfreulicherweise enthält der Kabinettentwurf im Vergleich zum Referentenentwurf des BMG eine neue Ausnahme, wonach zumindest die Anonymisierung und Weitergabe von Versorgungsdaten an Dritte unter Umständen zulässig sein kann. Allerdings ist es in der Praxis eine oftmals schwer zu beantwortende Frage, ob ein Datum im rechtlichen Sinne "anonymisiert" ist oder nicht, sodass Rechtsunsicherheit wohl weiter herrschen wird.

Opt-Out oder Opt-In?

Eine der umstrittensten Fragen im Kontext der Nutzung von Patientendaten zur Gesundheitsforschung auf europäischer und nationaler Ebene besteht darin, ob Patienten ein Widerspruchsrecht (sogenanntes Opt-Out-Recht) gegen die Weiterverarbeitung ihrer Daten gewährt werden soll.

Auf europäischer Ebene sieht der Kommissionsentwurf der EHDS-VO vor, dass Patientendaten im Rahmen der Regeln zur Sekundärnutzung des EHDS frei genutzt werden dürfen, ohne dass Patienten hiergegen Widerspruch einlegen können. Stattdessen verfolgt die Kommission einen offenen Ansatz, der es den Mitgliedstaaten überlässt, auf nationaler Ebene ein Opt-Out-Recht zu normieren. 

Sowohl der Rat, als auch das Parlament beabsichtigen hingegen, sämtlichen europäischen Patienten die Möglichkeit eines Widerspruchs gegen die Sekundärnutzung ihrer Gesundheitsdaten einzuräumen. Im Parlament wird aktuell darüberhinausgehend debattiert, ob das Opt-Out-Recht durch ein Opt-In-Recht, also die Erforderlichkeit einer ausdrücklichen Einwilligung, ersetzt werden soll.

Im Kabinettentwurf ist zurzeit beabsichtigt, dass die in einer elektronischen Patientenakte (ePA) gespeicherten Daten über den Zugangsmechanismus des SGB V weiterverarbeitet werden dürfen – hiergegen soll dem Patienten ein Opt-Out-Recht zustehen. 

Sowohl der europäische als auch der nationale Gesetzgeber stehen daher vor der Aufgabe, eine Abwägungsentscheidung zwischen dem Datenschutzinteresse der einzelnen Patienten und dem Gemeinwohlinteresse an der Förderung von Gesundheitsforschung zu treffen. Dabei sollte man sich, insbesondere im Europäischen Parlament, darüber bewusst sein, dass ein Einwilligungserfordernis zu einer erheblichen Einschränkung führen und gegenüber der aktuellen Rechtslage keine legislative Vereinfachung bedeuten würde.

Zeitplan für das GDNG und den EHDS

Auf europäischer und nationaler Ebene wird derzeit über verschiedene gesetzliche Bestrebungen mit dem Ziel der Förderung der Gesundheitsforschung debattiert. Die komplex geregelte Weiterverarbeitung von Gesundheitsdaten für Forschungszwecke könnte in den kommenden Jahren insbesondere durch das GDNG und die EHDS-VO vereinfacht werden. Das GDNG soll voraussichtlich zu Beginn des Jahres 2024 in Kraft treten, während die abschließenden Trilogverhandlungen zur EHDS-VO nach aktueller Planung im vierten Quartal 2023 beginnen werden. 

Sollte es zu Widersprüchen kommen, wird der deutsche Gesetzgeber das GDNG anschließend noch einmal an die europäische Rechtslage anpassen müssen. Es bleibt zu hoffen, dass die Gesetzesvorhaben das Ziel der Forschungsförderung tatsächlich erreichen können und insoweit einen angemessenen Ausgleich zwischen den Interessen von Patienten, Gesundheitsdienstleistern und weiteren Akteuren im Gesundheitswesen schaffen werden.

 

Dr. Philipp Roos ist Rechtsanwalt (Principal Associate) bei der Kanzlei Freshfields Bruckhaus Deringer im Bereich Data & Tech. Er berät unter anderem internationale Unternehmen aus dem Gesundheitswesen zu datenbezogenen Rechtsfragen.

John-Markus Maddaloni ist juristischer Mitarbeiter bei der vorgenannten Kanzlei und Doktorand am Lehrstuhl für Deutsches und Europäisches Privatrecht, Zivilverfahrensrecht und Rechtstheorie an der Universität Passau.