DSK: Datenschutz in medizinischen Registern

28. November 2023

Am 22. und 23. November 2023 hat in Lübeck die 106. Tagung der Konferenz der Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz (DSK)) stattgefunden. Bei der DSK tauschten sich Experten unteranderem zum Datenschutz in medizinischen Registern aus. In diesem Zusammenhang hat die DSK eine Entschließung zu „Rahmenbedingungen und Empfehlungen für die gesetzliche Regulierung medizinischer Register“ formuliert. Im Übrigen veröffentlichte sie auch eine Entschließung zum Datenschutz in der Gesundheitsforschung.

Vielfalt medizinischer Register in Deutschland

Hintergrund der Debatte ist, dass die Landschaft medizinischer Register in Deutschland äußerst vielfältig mit verschiedenen Strukturen und Arten ist. Deswegen stützen sich die meisten bezüglich der Datenverarbeitung auf Einwilligungen, während nur wenige auf eine gesetzliche Grundlage zurückzuführen sind. Die Zwecke der Register sind ebenso heterogen und reichen von Forschungsvorhaben zu Patienteninitiativen.

Hier setzt die Forderung der Bundesregierung nach einer einheitlichen gesetzlichen Regulierung in Form des Registergesetzes an. Durch allgemeine Regeln könnte man Daten besser und umfassender im öffentlichen Interesse verwenden, um mehr Struktur und Qualität zu gewährleisten. Laut der DSK ist hierbei allerdings stets ein hohes Datenschutzniveau zu gewährleisten. Zu beachten sei insbesondere Art. 92532 und ggf. 89 Abs. 1 der Datenschutzgrundverordnung (DSGVO).

Die Rolle der Zentralstelle für medizinische Register

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden befürwortet die Schaffung einer Zentralstelle für medizinische Register. Diese soll nicht nur ein Registerverzeichnis führen, sondern auch für die Auditierung und Zuordnung der einzelnen Gesundheitsregister je nach Qualitätsstufe verantwortlich sein. Nach Ansicht der DSK soll die Einteilung in die verschiedenen Kategorien „die Datenqualität, die Datenstruktur und die Standards bei der Verarbeitung“ beachten. Die Kompetenzen der Zentralstelle sollen entscheidend für die Weiterverarbeitung der in den Registern gespeicherten Daten sein. Deswegen fordert die DSK, die Stelle als unabhängige Körperschaft des öffentlichen Rechts einzurichten.

Konkret geforderte Rahmenbedingungen aus Datenschutzsicht:

Die DSK schließt sich der Bundesregierung mit dem Wunsch nach mehr Struktur und Einheit bei medizinischen Registern an. Um dies zu erreichen, hat sie in Ihrem Entschluss eine Liste von Rahmenbedingungen veröffentlicht, die wir im folgendem zusammengefasst haben.

Rechtsgrundlage der Datenerhebung: Werden personenbezogene Daten an das Register übertragen, die nicht hierfür erhoben wurden, bedürfe es für diese Zweckänderung einer klaren gesetzlichen Regelung gemäß Art. 6 Abs. 4 DSGVO. Die konkreten Aufbewahrungs- und Löschfristen müssten auf eindeutigen und verhältnismäßigen Regelungen unter Einhaltung der Grundsätze der Datenminimierung und Speicherbegrenzung beruhen.

Voraussetzungen für die Datenverarbeitung: Jedenfalls sei eine medizinisch-fachliche Erforderlichkeit für einen der in Art. 9 Abs. 2-4 DSGVO genannten Zwecke und bei Forschungszwecken ein allgemeines, voraussetzungsloses Widerspruchsrecht“ notwendig. Im Übrigen müssten die Öffnungsklausel nach Art. 9 Abs. 2 DSGVO und eventuell Art. 89 Abs. 1 DSGVO eingehalten werden. Wolle man für Forschungszwecke Daten verknüpfen, sei dies nur anlassbezogen und temporär zulässig. Nicht zu vergessen sei auch das Grundrecht auf Datenschutz. Die Rechtmäßigkeit der Datenverarbeitung müsse zudem differenziert und abhängig je nach dem konkreten Verarbeitungszweck bewertet werden. Hinsichtlich etwaiger Identifikationskennzeichen müsse darauf geachtet werden, dass bereichsspezifisch unterschiedliche und nicht rückrechenbare Bezeichnungen verwendet werden, um eine nachhaltige Pseudonymisierung sicherzustellen.

Technisch-organisatorische Maßnahmen: Weiterhin wünscht die DSK eine Standardisierung und Harmonisierung der Regeln zu technisch-organisatorischen Maßnahmen abhängig vom spezifischen Risiko. Hierzu solle auch die Anforderung an eine dezentrale Speicherung und Verarbeitung zählen. Bei einem sehr hohen Risiko empfiehlt die DSK zudem eine gesetzliche Datenschutzfolgenabschätzung (DSFA). Man solle sich zusätzlich auch für ein digitales Einwilligungsmanagement und eine digitale Ausübung der Betroffenenrechte einsetzen.

Zulassungsverfahren und unabhängige Vertrauensstellen: Zudem hält es die DSK für sinnvoll für „qualitätsgesicherte Register“ ein Zulassungsverfahrens einzuführen, um ihnen bestimmten Datenverarbeitungsbefugnisse zu gewähren. Daneben solle eine unabhängiger Vertrauensstellen erschaffen werden, die für die Anonymisierung und Kennzeichnung zuständig ist. In diesem Zusammenhang sollte auch ein System für die kontinuierliche Überprüfung von Qualitätsstandards und der Einhaltung des Schutzniveaus implementiert werden.

Fazit

Die gesetzliche Regulierung von Gesundheitsregistern ist notwendig, um Struktur und Qualität zu schaffen. Doch dabei darf Datenschutz nicht aus dem Blick verloren werden, weshalb die DSK verständlicherweise auch in medizinischen Registern dessen Beachtung fordert. Deswegen werden klare Vorgaben zu Zweckänderungen, Aufbewahrung, Datenübermittlung und technisch-organisatorischen Maßnahmen betont. Daher ist eine ausbalancierte Regulierung, die den Schutz der Gesundheitsdaten gewährleistet und gleichzeitig die wissenschaftliche Forschung ermöglicht, von entscheidender Bedeutung. Der Weg zu qualitätsgesicherten und transparenten medizinischen Registern erfordert eine sorgfältige Abwägung der Interessen und eine enge Zusammenarbeit zwischen Datenschutzbehörden, Registern und der Zentralstelle. Ob die Gesetzgebung diese Aufgabe meistern wird, bleibt abzuwarten.