Nicht nur in Deutschland ist die Einführung der elektronischen Patientenakte umstritten. Auch in anderen Ländern haben sich zentrale Datenspeicherung, die Beteiligung von Privatunternehmen, hohe Kosten sowie Zwang und mangelnde Transparenz als Stolpersteine erwiesen.
Seit 1. Januar 2021 müssen in Deutschland die gesetzlichen Krankenkassen ihren Versicherten eine elektronische Patientenakte (ePA) anbieten können. Das Projekt bleibt umstritten, nicht nur wegen des fraglichen Nutzens und hoher Kosten, sondern vor allem, weil die im "Patientendaten-Schutzgesetz" getroffenen Regelungen nicht DSGVO-konform sind. Darauf hat der Bundesdatenschutzbeauftragte Ulrich Kelber mehrfach hingewiesen und Warnungen an die unter seiner Aufsicht stehenden 65 Krankenkassen angekündigt, dass aufgrund "mangelhafter Datenkontrolle" und einem nicht sicheren Authentifizierungsverfahren DSGVO-Verstöße drohen. Die Befüllung und Nutzung der ePA wollen unter diesen Umständen gut überlegt sein.
Chaos in Österreich
Ein Blick in andere Länder zeigt, dass auch hier Sicherheit, Datenschutz und Akzeptanz nicht immer gegeben sind. In Österreich etwa wurde im August 2019 über "Chaos nach dem ELGA-Start in Wien" berichtet [1], die Ärztekammer riet gar von der Verwendung der "Elektronischen Gesundheitsakte", wie sie dort genannt wird, ab. Softwareprobleme, Systemabstürze und deutliche Verzögerungen beim Aufdruck eines QR-Codes auf ein Rezept ließen viele Ärzte verzweifeln. Patienten sind automatisch mit dabei, können sich aber im Rahmen der Opt-Out-Lösung abmelden, was bisher circa 300.000 Bürger vollzogen haben. 2018 empfahl die Ärztekammer Patienten aus der ELGA auszutreten, nachdem die Regierung persönliche Daten aus der Akte zur Forschung freigeben wollte. Das konnte zwar noch verhindert werden, wirft aber ein Schlaglicht auf die Problematik, dass im Nachhinein die Möglichkeiten, auf Daten aus eAkten zuzugreifen und diese zu verwenden, leicht verändert werden können, auch durch neue Regierungskonstellationen.
Estland - gar nicht vorbildhaft
Diese Problematik zeigt sich, wie wir gleich sehen werden, im stets als Vorbild gepriesenen Estland. Die ZEIT berichtete 2019 ausführlich über die dortige Digitalisierung der Gesundheitsdaten [2]. Die werden demnach verschlüsselt auf einem Server gespeichert. Der Zugang dazu, jeweils mit Zifferncode, ist möglich über eine Smartphone-App, den Chip im Personalausweis und den elektronischen Arztausweis. Damit kann jeder Mitarbeiter im Medizinsystem jederzeit die Gesundheitsdaten eines jeden Bürgers einsehen. Laut einem Vertreter des estnischen Gesundheitsministeriums liegt der Fokus auf Missbrauchserkennung, nicht auf Missbrauchsvermeidung wie etwa in Deutschland. Daten aus 20 Systemen fließen dort unter staatlicher Aufsicht zusammen, von der Krankengeschichte bis zum Röntgenbild. An eine nationale Infrastruktur zum verschlüsselten Datenaustausch sind alle staatlichen Einrichtungen angeschlossen, zudem über 50.000 Unternehmen und Organisationen.
Laut diesem Bericht war die Sicherheit des Systems bisher stets gegeben. 2017 jedoch hatte die FAZ bereits mit Bezug auf die Financial Times über Sicherheitslücken berichtet [3]. Die wurden beim Personalausweis gefunden, sodass mehr als jedem Zweiten die digitale Identität hätte gestohlen werden können: "Man hätte es erwarten können, ja müssen, schließlich ist in der digitalen Welt nur sicher, dass Daten niemals sicher sind. Irgendein Hacker wird ihrer habhaft, irgendein Geheimdienst kommt an sie heran", so der Autor lakonisch. Dies gilt nicht nur für Estland. Auch veränderte politische Verhältnisse können in jedem Land die Verwendung staatlich-zentral gespeicherter Daten erweitern. So meldete die Süddeutsche Zeitung wiederum nur drei Tage vor Erscheinen des ZEIT-Beitrags: "Vom Musterschüler zum Rabauken. Populistische Minister, rassistische Sprüche von Abgeordneten und Angriffe auf Journalisten: Estland, einst Vorzeigestaat unter den jungen EU-Mitgliedern, droht nach rechts abzudriften." [4]
Tschechien stoppt ePA
Etliche Länder wiederum haben nach teils hohen Investitionen ähnliche Vorhaben eingestellt. So stoppte Tschechien die von einer Privatfirma betriebene elektronische Patientenakte IZIP bereits 2012 [5]. Schuld daran waren laut einem Bericht der "Tagesschau" Korruptionsvorwürfe, Datenschutzbedenken und die mangelnde Akzeptanz bei den Patienten [6]. Am 2019 eingeführten europaweiten Austausch elektronischer Rezepte jedoch ist die tschechische Republik wieder beteiligt. Bis 2021 sollen im Rahmen elektronischer grenzüberschreitender Gesundheitsdienste e-Rezepte und sogenannte Patientenkurzakten zwischen 22 EU-Ländern ausgetauscht werden können, darunter auch Deutschland [7]. Auch dies ist bei Nutzung (oder Nicht-Nutzung) der ePA zu bedenken.
Kaum Interesse an ePA in Frankreich
In Frankreich besteht bisher kein großes Interesse an den Neuerungen. "Stell dir vor, es gibt die elektronische Patientenakte, und keiner nutzt sie", schrieb gar die Bertelsmann-Stiftung dazu 2018 (dies könnte auch in Deutschland ab 2021 der Fall sein, wo im Übrigen just Arvato, die Tochterfirma des Bertelsmann-Konzerns, die Telematikinfrastruktur betreibt) [8]. Von einer freiwillig möglichen Nutzung der elektronischen Akte haben erst gut 500.000 Versicherte Gebrauch gemacht. Kritik entzündet sich hier vor allem an der zentralen Datenspeicherung, der einzeln durchzusehenden Sammlung von PDF-Dokumenten, den Kosten, aber auch daran, dass ausgerechnet Microsoft von der Regierung als Anbieter der technischen Infrastruktur beauftragt wurde [9].
Pannen und gesprengtes Budget in England
England wird in Studien wie etwa der der Bertelsmann-Stiftung gerne schon als guter Nutzer elektronischer Gesundheitsdaten genannt. Ohne Pannen ist es bisher allerdings auch hier nicht abgelaufen. 2006 meldete die Ärztezeitung, dass das britische IT-Netz das Budget sprenge [10]. Demnach hätten schon seit 2003 alle Primärarztpraxen, Kliniken und Verwaltungsstellen des National Health Service (NHS) digital vernetzt sein sollen. Mit Investitionen von über 34 Milliarden € handelte es sich demnach um das größte IT-Projekt der Welt, so der Bericht. 2014 jedoch bereitete der NHS erneut ein umstrittenes Big-Data-Projekt vor [11]. Die Patientendaten aller NHS-Versicherten sollten im Rahmen von "care.data" in einer zentralen Datenbank gespeichert werden. Angeblich anonymisierte Daten stellten sich dann aber gar nicht als anonymisiert heraus. Auch verkaufte der NHS Krankenhausakten an Unternehmen, die Risiken für Unternehmen berechnen. Patienten waren wie in Österreich über das Opt-Out-Prinzip automatisch daran beteiligt. Ärzte hatten auch nicht mehr Ahnung vom System als die Patienten: 80 % wussten nicht genau, wie und wofür die Daten verwendet werden sollen. Wie in Deutschland sollten Ärzte bei fehlender Beteiligung mit Sanktionen belegt werden. Das Projekt wurde 2016 eingestellt [12].
Niederlande wählen lokale Lösung ohne Zwang
Das wäre fast ebenso in den Niederlanden geschehen. Das Projekt mit Zwang für Ärzte und Apotheker, zentraler Datenspeicherung sowie automatischer Teilnahme der Patienten scheiterte 2011 zunächst am Widerstand der ärztlichen Selbstverwaltung, bereits angelegte acht Millionen Datensätze mussten gar vernichtet werden. Mittlerweile ist das Projekt formell komplett in die Hände der Selbstverwaltung übergegangen, die Behandler entscheiden selbst, ob sie sich an die nationale Datenschaltstelle anbinden oder nicht, Patienten müssen erst um Einverständnis gebeten werden, um medizinische Daten hierüber zur Verfügung zu stellen. Die Datenaustauschstruktur ist dezentral, der Datenfluss somit nur lokal und nicht über Regionengrenzen hinweg möglich [13].
Dänen können prüfen, wer auf Daten zugreift
Ähnlich wird dies in Dänemark gehandhabt. Für das Gesundheitswesen in fünf Regionen eingeteilt organisieren diese die Bereitstellung der elektronischen Patientenakte [14]. Ab 2004 waren alle Hausärzte verpflichtet, eine solche eAkte sowie digitale Kommunikationswege zu verwenden. Das öffentliche Gesundheitsportal sundhek.dk wird stets von nationaler und regionaler Verwaltung geprüft, und gibt die Daten nicht für die Forschung oder gar kommerzielle Zwecke frei [15]. Die Dänen zeigen sich skeptisch gegenüber der Privatwirtschaft, so der Chef von sundhek.dk, M. Petersen [16]. Es verwundert daher nicht, dass die Dänen in hohem Maße dem Projekt vertrauen und es häufig nutzen, auch können sie prüfen, wer auf ihre Daten zugegriffen hat. Eine Datenpanne sorgte allerdings im Juli 2016 für Schlagzeilen: So wurden damals zwei unverschlüsselte CDs, die Gesundheitsdaten praktisch der gesamten Bevölkerung enthalten hatten, falsch zugestellt und landeten statt bei der Statistikbehörde bei der Chinesischen Visumsstelle in Kopenhagen [17].
Datenlecks allenthalben
Apropos Datenlecks: In den USA sind in den Jahren 2014 bis 2017 bei 363 Datenlecks über 130 Millionen Patientenakten betroffen gewesen, somit 30 Millionen pro Jahr. In Norwegen sind allein 2018 drei Millionen Patientenakten gehackt worden [18]. In Singapur waren 2019 vorübergehend über 14.000 Daten HIV-positiver Patienten im Internet zugänglich, wohl über einen Arzt, der im Beziehungskonflikt zu einem hochrangigen Gesundheitsbeamten stand [19]. Es hat weitere Cyberangriffe auf Gesundheitssysteme mehrerer Länder in den letzten Jahren gegeben, deren Darstellung hier den Rahmen sprengen würde.
Freiwilligkeit, Vertrauen und erkennbarer Nutzen entscheidend
Welches Fazit lässt sich aus dem Blick in andere Länder ziehen? Erstens sind Akzeptanz und Vertrauen bei allen Nutzern einer elektronischen Patientenakte wichtig, was sich vor allem durch Freiwilligkeit erreichen lässt. Ein nachvollziehbarer Nutzen sowie eine einfach zu handhabende Technik wären ebenso notwendig, damit es nicht zu Burnout-Erscheinungen kommt, wie sie bereits bei amerikanischen Ärzten im Umgang damit aufgetreten sind [20]. So sinnvoll digitale Tools für einzelne Erkrankungen wie etwa Diabetes sind, so wenig ließen sich Studien finden, die den medizinischen Nutzen solcher umfassenden zentralisierten Datensammlungen im Gesundheitswesen belegen konnten. Stattdessen wird auf zahlreichen meist von Privatunternehmen betriebene Webseiten der Fortschritt durch e-Health und ePA pauschal angepriesen. Die Einführung der ePA in Deutschland wird dabei aktuell gerne auch mit der COVID-19-Pandemie begründet. Hier aber konnten vielmehr durch eine gut ausgebaute ambulante Medizin hohe Todesfallzahlen wie in Nachbarländern bisher vermieden werden. Ein Mangel zeigte sich dabei weniger elektronisch, sondern personell - Stichwort Pflegenotstand und Ärztemangel.
Kommerzielle Interessen und Privatwirtschaft jedoch, zweitens, sollten beim Betrieb einer ePA keine Rolle spielen. Eine Selbstverwaltung, die wie in den Niederlanden digitale Kommunikationstools zur Verfügung stellen könnte, gäbe es hierzulande auch. KV-Connect wurde jedoch nur wenig genutzt, sodass der Gesetzgeber offenbar meinte, hier Zwang anwenden zu müssen. Wenn dann aber der Leiter des vom Gesundheitsministerium installierten "Health Innovation Hub" sich langfristig neben den Krankenkassen schon "andere privatwirtschaftliche Träger für die Patientenakten" vorstellen kann [21], erscheint Misstrauen angebracht.
Und drittens muss bedacht werden, dass zentral gespeicherte Daten immer anfällig für Pannen und Missbrauch sind. Letzterer ist nicht nur durch Hacker, sondern auch durch menschliche Fehler oder gezieltes Vorgehen von Zugriffsberechtigten möglich, deren Kreis zudem nachträglich erweitert werden kann. Auch etwaig veränderte politische Verhältnisse können sich dabei ungünstig auswirken. Dezentral, freiwillig, nützlich und transparent [22] - das sollten daher weiterhin die Vorgaben sein, will man Gesundheitsdaten digital verwalten.
Mein herzlicher Dank für wertvolle Informationen zum Thema gebührt Dr. W. Deiss, Internist aus Siegen.
Dr. med. Andreas Meißner.
Facharzt für Psychiatrie und Psychotherapie Tegernseer Land- straße 49 81541 München
E-Mail: psy.meissner@posteo.de