Datentransparenzverfahren

Bereits heute dürfen Krankenkassen und KBV die Datenbestände gem. § 287 SGB V „mit Erlaubnis der Aufsichtsbehörde die Datenbestände leistungserbringer- oder fallbeziehbar für zeitlich befristete und im Umfang begrenzte Forschungsvorhaben, insbesondere zur Gewinnung epidemiologischer Erkenntnisse, von Erkenntnissen über Zusammenhänge zwischen Erkrankungen und Arbeitsbedingungen oder von Erkenntnissen über örtliche Krankheitsschwerpunkte, selbst auswerten“.

Aktuelles Verfahren vor dem Sozialgericht: https://www.heise.de/news/Richter-zweifelt-an-zentraler-Massenspeicherung-von-Gesundheitsdaten-7312977.html

Gesetzliche Grundlagen

10. Kapitel, 2. Abschnitt SGB V (§§ 294-303f SGB V)
Datentransparenzverordnung (DaTraV)

Verfahren

Rollen/Organisationen

GKV-SV = Datensammelstelle
BfArM = Forschungsdatenzentrum („Datentreuhänder“)
RKI = Vertrauensstelle

Ablauf

Abb. 1: Datentransparenzverfahren Ablauf gem. § 303b Abs. 1 S.1 SGB V

Die Krankenkassen übermitteln für jeden Versicherten - jeweils in Verbindung mit einem Lieferpseudonym - die folgenden Daten an den GKV-SV¹⁾ :

Angaben zu Alter, Geschlecht und Wohnort
Angaben zum Versicherungsverhältnis,
Kosten- und Leistungsdaten
- ärztlicher Leistungen (§ 295 SGB V)
- aus Verträgen gem. § 295a:
  - Hausarztzentrierten Versorgung (§ 73b SGB V)
  - Versorgung mit Schutzimpfungen (§ 132e SGB V)
  - Versorgung durch Betriebsärzte (§ 132f SGB V)
  - Besonderen Versorgung (§ 140 SGB V)
- von Apotheken und weiteren Stellen (§ 300 SGB V)
- von Krankenhäusern und Rehabilitationseinrichtungen (§ 301 SGB V)
- Hebammen und von ihnen geleiteten Einrichtungen (§ 301a SGB V)
- sonstigen Leistungserbringern (§ 302 SGB V)
Angaben zum Vitalstatus und Sterbedatum
Angaben zum abrechnenden Leistungserbringer.

Das Lieferpseudonym ermöglicht eine kassenübergreifende eindeutige Identifizierung des Versicherten im Berichtszeitraum.²⁾

Der GKV-SV führt die Daten zusammen, prüft auf Vollständigkeit, Plausibilität und Konsistenz und klärt Auffälligkeiten mit der liefernden Stelle.³⁾ Anschließend erfolgt die Übermittlung

an das FZD nach § 303d SGB V ohne Lieferpseudonym, wobei jeder einem Lieferpseudonym zugeordnete Datensatz mit einer Arbeitsnummer gekennzeichnet wird und die Angaben zu den Leistungserbringern zu pseudonymisieren sind⁴⁾,
an die Vertrauensstelle § 303c SGB V mit den Lieferpseudonymen inklusive der zugeordneten Arbeitsnummern ⁵⁾.

Die Vertrauensstelle überführt die ihr übermittelten Lieferpseudonyme in periodenübergreifende Pseudonyme.⁶⁾ Das dazu verwendete Verfahren muss dem Stand der Technik und Wissenschaft entsprechen un im Einvernehmen mit dem BSI festgelegt werden.⁷⁾ Zudem darf nicht vom periodenübergreifenden Pseudonym auf das Lieferpseudonym bzw. die Identität des Versicherten geschlossen werden können.⁸⁾ Die Liste der periodenübergreifenden Pseudonyme übermittelt die Vertrauensstelle anschließend an das FDZ.⁹⁾ Nach Übermittlung muss die Vertrauensstelle die Lieferpseudonyme und Arbeitsnummern löschen.¹⁰⁾

Das FZD macht Daten Nutzungsberechtigten nach § 303e Abs. 1 SGB V für die in § 303e Abs. 2 SGB V definierten Zwecke auf Antrag zugänglich.¹¹⁾ Die Daten werden in der Regel anonymisiert und aggregiert übermittelt.¹²⁾ Daten mit kleinen Fallzahlen können übermittelt werden, wenn der antragstellende Nutzungsberechtigte „nachvollziehbar darlegt, dass ein […] zulässiger Nutzungszweck, insbesondere die Durchführung eines Forschungsvorhabens , die Übermittlung dieser Daten erfordert“.¹³⁾ Gleiches gilt für die Übermittlung pseudonymisierter Einzeldatensätze¹⁴⁾, wobei zusätzlich gewährleistet sein muss, dass die Daten nur Personen bereitgestellt werden, die einer Geheimhaltungspflicht nach § 203 StGB unterliegen¹⁵⁾ bzw. zur Geheimhaltung verpflichtet wurden¹⁶⁾ und zusätzlich geeignete technische und organisatorische Maßnahmen sicherstellen, dass „die Verarbeitung durch den Nutzungsberechtigten auf das erforderliche Maß beschränkt und insbesondere ein Kopieren der Daten verhindert werden kann¹⁷⁾.

Datenschutzkritik

https://www.heise.de/news/Datenschutz-Daten-von-Millionen-Krankenversicherten-koennen-weitergegeben-werden-7279249.html

Es liegt auch keine Klage vor beim Sozialgericht in Berlin vom CCC und der Gesellschaft für Freiheitsrechte. Hier die Stellungnahme des CCC: https://www.ccc.de/de/updates/2022/zentral-gespeicherte-patientendaten?s=09

¹⁾ , ²⁾

§ 303b Abs. 1 S.1 SGB V.

³⁾

§ 303b Abs. 2 SGB V.

⁴⁾

§ 303b Abs. 3 S. 3 Nr. 1 und S. 2 SGB V.

⁵⁾

§ 303b Abs. 3 S. 3 Nr. 2 SGB V.

⁶⁾

§ 303c Abs. 1 SGB V.

⁷⁾

§ 303c Abs. 2 S. 1 SGB V.

⁸⁾

§ 303c Abs. 2 S. 2 SGB V.

⁹⁾

§ 303c Abs. 3 S. 1 SGB V.

¹⁰⁾

§ 303c Abs. 3 S. 2 SGB V.

¹¹⁾

§ 303e Abs. 3 S. 1 SGB V.

¹²⁾

§ 303e Abs. 3 S. 3 SGB V.

¹³⁾

§ 303e Abs. 3 S. 4 SGB V.

¹⁴⁾

§ 303e Abs. 4 S. 1 SGB V.

¹⁵⁾

§ 303e Abs. 4 S. 2 Nr. 1 SGB V.

¹⁶⁾

§ 303e Abs. 4 S. 3 SGB V.

¹⁷⁾

§ 303e Abs. 4 S. 2 Nr. 2 SGB V.