Ein Balanceakt : Schutz digitaler Daten im Krankenhaus

Es ist der Albtraum aller Patienten: Sensible Daten über seelische oder körperliche Krankheiten gelangen in die Hände von Unbefugten oder gar an die Öffentlichkeit. Letzteres ist beispielsweise im Januar 2009 der Fernsehmoderatorin Monica Lierhaus passiert, als die Bild-Zeitung in einer Titelgeschichte ausführlich über ihre Gehirnoperation berichtete. Ihr Anwalt forderte die Medien damals auf, Recherche und Berichterstattung über die Erkrankung seiner Mandantin zu unterlassen, da diese zum innersten Bereich der Privatsphäre gehöre.

Woher das Datenleck kam, ist unklar. Möglicherweise hätte eine Funktion zur „Pseudonymisierung“ geholfen, wie sie laut der „Orientierungshilfe Krankenhausinformationssysteme“ (PDF) zufolge künftig in allen modernen Krankenhausinformationssysteme (KIS) enthalten sein soll. Damit lassen sich die Stammdaten und die Patienten-ID prominenter Patienten wie Monica Lierhaus durch ein Pseudonym ersetzen. Da der Klarname verdeckt wird, bleibt die wahre Identität des Patienten unerkannt.

Unabhängig vom Fall Monica Lierhaus gilt: Mit der Nutzung moderner IT im Krankenhaus steigen die Gefahren für das Patientengeheimnis, die ärztliche Schweigepflicht und die Datensicherheit. Um diesen Gefährdungen zu begegnen, haben die Datenschutzbeauftragten des Bundes, der Länder und der Kirchen im März 2011 die KIS-Orientierungshilfe verabschiedet. Der Begriff KIS steht dabei für alle in einem Krankenhaus eingesetzten informationstechnischen Systeme zur Verwaltung und Dokumentation elektronischer Patientendaten. Auch Labor-, Radiologie- oder Diagnosesysteme gehören dazu.

Die Orientierungshilfe konkretisiert im ersten Teil die Anforderungen, die sich aus den geltenden datenschutzrechtlichen Regelungen sowie den Vorgaben zur ärztlichen Schweigepflicht für den Krankenhausbetrieb und den Einsatz von Informationssystemen in Krankenhäusern ergeben. Im zweiten Teil beschreiben sie 142 technische Anforderungen, welche Hersteller und Betreiber zum datenschutzkonformen Betrieb von KIS-Software einhalten müssen. Dazu gehören beispielsweise die Mandantenfähigkeit der Systeme, Rollen- und Berechtigungskonzepte, Pseudonymisierung oder Anonymisierung, standardisierte Schnittstellen oder integrierbare Single-Sign-On-Dienste.

KIS-Orientierungshilfe als erster Schritt

Die Orientierungshilfe hat weder ein Gesetz verändert, noch hat sie Gesetzeskraft. Sie dient aber den Aufsichtsbehörden künftig als Maßstab bei der datenschutzrechtlichen Bewertung der Informationssysteme in den Krankenhäusern. Die Verfasser habe auch die Expertise der Hersteller von Krankenhausinformationssystemen sowie der Betreiber, Anwender und Datenschutzbeauftragten von Krankenhäusern eingeholt. Der Bundesverband Gesundheits-IT (bvitg), Vertreter der in Deutschland führenden IT-Anbieter im Gesundheitswesen, begrüßt die Erarbeitung einer KIS-Orientierungshilfe. In der im März dieses Jahres verabschiedeten Fassung sieht er sie als ersten Schritt eines Dialogs.

„Die Anforderungen an die Betreiber und Hersteller sind in Teilen noch zu unspezifisch und zu wenig aufeinander abgestimmt“, sagt Pierre Kaufmann von Agfa Healthcare, stellvertretender Leiter der Arbeitsgruppe Datenschutz im bvitg. „Welche Informationen gehören beispielsweise zum Basisdatensatz eines KIS? Das ist wichtig für uns Hersteller, um Standards für Systemschnittstellen definieren zu können.“ Zudem sei die wortgetreue Umsetzung der Anforderungen technisch nicht immer möglich; teilweise würde sie laut Kaufmann die Abläufe im Krankenhaus erschweren.

Ein Beispiel dafür findet sich bei den Rollen- und Berechtigungskonzepten: Hier erhalten Ärzte oder Pflegepersonal nur auf fallbezogene Daten Zugriff (Diagnose, Krankheitsverlauf, Röntgenbilder), mit Eingrenzung auf das im jeweiligen Fachbereich (Chirurgie, Urologie, etc.) ermittelte Krankheitsbild. Um weiterführende Informationen zu bekommen, ist eine zusätzliche Berechtigung notwendig. „Das Rechtekonzept ist aber nur sinnvoll, wenn zusammen mit dem Personal eine Rollenaufteilung gefunden wird, die sich auch in den Arbeitsabläufen widerspiegelt“, so Kaufmann.

Der Datenschutzspezialist des bvitg sieht Datenschutz grundsätzlich als Zusammenspiel zwischen persönlicher Verantwortung, organisatorischen Regelungen sowie baulichen und softwaretechnischen Maßnahmen: „Eine Verschlüsselung aller Patientendaten nützt nichts, wenn diese vom Bildschirm für die Öffentlichkeit ablesbar sind, weil etwa hinter den Terminals ein Warteraum ist, der nur durch eine Glasscheibe getrennt ist. Auch eine Pseudonymisierung von VIP-Patienten in der Software bringt wenig, wenn zum Beispiel intern dann jeder das Recht bekommt, die Klarnamen zu lesen.“

Fallstricke in der Praxis

Professor Björn Bergh, Direktor des Zentrums für Informations- und Medizintechnik am Universitätsklinikum Heidelberg, sieht bei der KIS-Orientierungshilfe ebenfalls noch Handlungsbedarf. „Die Orientierungshilfe ist ein substanzieller Fortschritt. In vielen Bereichen ist diese sehr gut gelungen und klar definiert, es bleiben aber zum Teil wesentliche Aspekte nach wie vor zu weich.“

Bergh führt zwei Beispiele an: das so genannte Need-to-know-Prinzip (Erforderlichkeitsprinzip) und den Behandlungszusammenhang (Datenzugriff nur für mit dem Fall befasste Personen). Das Need-to-know-Prinzip findet sich noch an einigen zentralen Stellen der Orientierungshilfe. Diesem zufolge dürfen Ärzte nur die Daten einsehen, die für die Behandlung des Patienten dringend erforderlich sind. „Diese Prämisse ist medizinisch nicht realistisch und umsetzbar, da keiner im Vorfeld festlegen kann, welche Informationen für die Behandlung des Patienten wirklich notwendig sind, ohne die Unterlagen gesehen zu haben“, so der Professor. „Und gleichzeitig kann ein Neurologe beispielsweise nicht für den Urologen entscheiden, welche Daten dieser wirklich braucht, um dem Patienten adäquat zu helfen.“

Gleiches gelte für Teile der Definitionen des Behandlungszusammenhangs. „Die bislang verwendeten technischen Konstrukte wie Fachabteilung, Rolle, Organisationseinheit und Zeit reichen für die Anforderungen der Orientierungshilfe alleine nicht aus“, sagt Bergh. „Das Hauptproblem aber ist, dass die denkbaren Lösungskonzepte sich so in der Realität nicht werden umsetzen lassen.“

Bergh weiter: „Selbst wenn die Hersteller die dafür erforderlichen Module neu programmieren wollten, wüsste ich bei einigen Dingen nicht, wie sie das praktisch machen sollen. Leider waren die IT-Verantwortlichen im Krankenhaus nicht in den Entwurfsprozess eingebunden. Zusammen mit den Herstellern sollten sie in einen Dialog mit den Datenschutzbeauftragten treten, um die Orientierungshilfe weiterzuentwickeln und zu umsetzbaren Kriterien zu gelangen, die dann durchaus ein noch höheres Maß an Schutz für den Patienten bieten könnten.“

Die rollenbasierten Konzepte mit Zuordnung von Zugriffsrechten (Lese-/Schreibzugriff etc.) können zudem im Laufe der Zeit sehr komplex werden. Denn in einem Krankenhaus gibt es pro Fachabteilung verschiedene Ärzteprofile: Chefarzt, Oberarzt, Stationsarzt, Durchgangsarzt etc. Noch komplexer wird es, wenn die einrichtungsübergreifende Kommunikation dazukommt, sprich wenn elektronische Daten und Informationen mit Hausärzten, externen medizinischen Zentren etc. ausgetauscht werden. Gerade dieser Bereich erfährt aber aller Voraussicht nach in den kommenden Jahren durch sich rasch entwickelnde Themen wie Gesundheitstelematik und E-Health deutlich mehr Gewicht als bisher. „Hier stellt sich die Frage: Wer ist Herr über die Daten? Wer entscheidet über die Weitergabe? Wir befinden uns hier in einer Grauzone, die noch mit Gesetzen geklärt werden muss“, so Bergh. Am besten wäre es seiner Meinung nach, den Patienten entscheiden zu lassen und ihm dabei Hilfestellung zu geben.