gms | German Medical Science

Hintergrund: Notaufnahmen sind mit stetig steigenden Fallzahlen und Überfüllungssituationen konfrontiert. Studien zeigen, dass dieser Zustand mit sinkender Patientenzufriedenheit und einem ungünstigen medizinischen Verlauf assoziiert ist. Die im Projekt INDEED geplante Analyse sektorenübergreifender Versorgungsverläufe von Notaufnahmepatienten bildet die Basis für die Entwicklung gesundheitspolitischer Interventionen sowohl zur bedarfsgerechten, wirtschaftlichen Anpassung von Versorgungsprozessen und deren Strukturen als auch zur Verbesserung der medizinischen Behandlungsqualität.

Fragestellung: Wie können datenschutzkonform zwei Datenquellen; die erhobenen Routinedaten aus verschiedenen Notaufnahmen und die vertragsärztlichen Abrechnungsdaten (KV-Daten) sowie die Arzneiverordnungsdaten (AV-Daten) der korrespondierenden Kassenärztlichen Vereinigungen (KV); über Pseudonyme miteinander verknüpft und sekundär für Versorgungsforschungsfragestellungen ohne vorliegende Einwilligung der betroffenen Patienten genutzt werden?

Methode: Auf Basis einer genauen Analyse der Anforderungen aller Projektbeteiligten und koordiniert durch die TMF wurde ein Datenschutzkonzept für die Krankenhäuser erstellt, welches sich an Best-Practice-Ansätzen ausrichtet, wie sie von den Projektpartnern TMF und OFFIS Oldenburg bereits in anderen Projekten realisiert wurden. Nach mehrfacher Vorstellung und Diskussion des Projekts in der AG Datenschutz der TMF erfolgte schlussendlich auch eine Votierung durch dieses Gremium, die sich auf den Abgleich mit den generischen Konzepten der TMF bezieht. Diese wurden 2014 von der Konferenz der unabhängigen Datenschutzaufsichtsbehörden in Deutschland zur Anwendung in der medizinischen Forschung empfohlen. Abschließend erfolgte die Abstimmung mit den Datenschutzbeauftragten der beteiligten Einrichtungen sowie je nach landesrechtlicher Vorgabe ggf. auch mit den zuständigen Behörden. Die Übermittlung der Routinedaten durch die KVen erfordert die Genehmigung der Aufsichtsbehörden gemäß § 75 SGB X in den einzelnen KV-Regionen auf Basis eines separat abgestimmten Datenschutzkonzepts, da es sich bei diesen Daten um Sozialdaten handelt.

Ergebnisse: Um zu möglichst unverzerrten Daten zur sektorenübergreifenden Versorgung der Patienten zu kommen, muss die Gesamtheit der in der Notaufnahme vorstelligen Patienten abgebildet werden. Die Einholung einer Einwilligung ist daher nicht möglich. Als Rechtsgrundlage für die Übermittlung der Routinedaten aus den Notaufnahmen kommen nur gesetzliche Regelungen auf Landesebene in Betracht, die die Verarbeitung mindestens pseudonymisierter Daten auch ohne Einwilligung erlauben und auch als Offenbarungsbefugnis gemäß ärztlicher Schweigepflicht gelten können. Entsprechende Rechtsrundlagen wurden mit Ausnahme der Standorte in Bayern für die Bundesländer aller angefragten Standorte gefunden.

Die Datenschutzkonzepte sehen vor, die medizinischen Nutzdaten (MDAT) und patienten- sowie leistungserbringer-identifizierenden Daten (IDAT) schon in den Notaufnahmen bzw. bei den KVen zu trennen und zu verschlüsseln. Hierzu werden Pseudonyme erster Stufe mit Hilfe eines Einwegverschlüsselungsverfahrens aus eGK-Nummer, Name, Vorname und Geburtsdatum erstellt. Die Treuhandstelle beim OFFIS Oldenburg ersetzt die Pseudonyme erster Stufe durch Pseudonyme zweiter Stufe, ohne selbst Einblick in die MDAT zu erhalten.

Der Treuhänder schickt dann die doppelt pseudonymisierten MDAT an das zentrale Datenmanagement. Per Antrag an das Data-Use-And-Access-Committee können auswertende Konsortialpartner Daten auszugsweise, zur Beantwortung der gestellten Forschungsfragen, anfordern. Ggf. findet vor Herausgabe noch eine weitere Vergröberung der Daten im zentralen Datenmanagement statt, um letztlich nur faktisch anonymisierte Datensätze herauszugeben.

Das INDEED-Projekt befindet sich derzeit in der Genehmigungs- bzw. Datenausleitungsphase. Alle behördlichen Genehmigungen für die Nutzung der Routinedaten der Krankenhäuser wurden bis auf ein Bundesland, in welchem der formale Bescheid noch aussteht, eingeholt. Die Anträge nach § 75 SGB X werden derzeit bearbeitet bzw. durch die Aufsichtsbehörden geprüft.

Durch die Genehmigungsverfahren und im Zuge der Anwendung der DSGVO kam es zu einer zeitlichen Verschiebung, dennoch konnte mit der Erstellung und Abstimmung der Datenschutzkonzepte ein zentraler Grundstein für die weitere erfolgreiche Projektarbeit gelegt werden.

Diskussion: Im Projekt INDEED wurden umfangreiche und möglicherweise modellhafte Konzepte für den Datenschutz entwickelt. Herausfordernd sind die heterogenen rechtlichen Voraussetzungen für die Nutzung der Krankenhausdaten in den verschiedenen Bundesländern.

Praktische Implikationen: Erstellung und Abstimmung eines Datenschutzkonzepts sind Voraussetzungen für die Umsetzbarkeit komplexer Vorhaben mit personenbezogenen Daten. Die notwendigen Ressourcen sind in Projekten einzuplanen. Innovationsfonds-Projekte sollten diesbezüglich voneinander lernen.