|
24.08.2026 10:23 Uhr |
Datenschutzvorfälle im Gesundheitswesen nehmen zu und sie werden komplizierter. Das sagt Prof. Tobias Keber, Landesdatenschutzbeauftragter von Baden-Württemberg und Vorsitzender der Datenschutzkonferenz. Im Podcast spricht er über sensible Patientendaten, die Verantwortung von Kliniken und Dienstleistern, den Streit um die Anonymisierung von Krankenhausdaten und neue Zugriffsrechte für Nachrichtendienste.
Bis Ende Juli seien bei der baden-württembergischen Behörde allein im Gesundheitsbereich bereits 428 Datenpannen gemeldet worden. Im gesamten Vorjahr waren es 572. Auch bundesweit melden Landesdatenschützer Rekorde bei Datenpannen und Beschwerden – ein Trend, der sich durch den wachsenden KI-Einsatz weiter verschärft. Die Gründe sieht er nicht nur in einzelnen technischen Fehlern: Datenverarbeitungen würden umfangreicher und Zuständigkeiten dadurch schwerer zu klären. Gerade im Gesundheitswesen könne das gravierende Folgen haben, weil Behandlungsdaten ein besonderes Vertrauensverhältnis zwischen Patienten und Ärzten betreffen.
Ein wiederkehrendes Problem seien Fehlversandkonstellationen, bei denen Patientendaten an falsche Empfänger gingen. Bei einem hohen Risiko müssten Verantwortliche nicht nur die Datenschutzaufsicht informieren, sondern auch die Betroffenen. Keber plädiert für eine offenere Fehlerkultur: Die größere Gefahr sei die Dunkelziffer der Vorfälle, die trotz Meldepflicht nicht angezeigt würden.
Auch der Fall der Reha-Kliniken zeigt aus seiner Sicht, warum die Aufarbeitung lange dauern kann. Wenn mehrere Einrichtungen, Dienstleister und Aufsichtsbehörden in verschiedenen Ländern betroffen seien, müsse zunächst genau geklärt werden, wer datenschutzrechtlich verantwortlich ist. Die von den Landesaufsichtsbehörden auf den Weg gebrachten Stuttgarter Impulse sollen unter anderem die Zusammenarbeit verbessern und Synergien bei komplexen Verfahren schaffen.
Außerdem prüft Keber derzeit bei einem IT-Dienstleister für Krankenhäuser, Bindoc, ob Daten aus Millionen Krankenhausfällen tatsächlich anonymisiert sind oder weiter als personenbezogene Gesundheitsdaten gelten. Das Unternehmen hat gegen eine Auskunftsanordnung der Behörde Klage erhoben.
Mit dem europäischen Gesundheitsdatenraum (EHDS) und weiteren nationalen Regelungen wächst zugleich der Druck, Gesundheitsdaten auch für die Forschung und Versorgung verfügbar zu machen. Dabei ist die Frage der sicheren Datennutzung technisch anspruchsvoll: Mit Secure Multiparty Computation lassen sich beispielsweise klinische Daten länderübergreifend auswerten, ohne sie physisch auszutauschen – ein Ansatz, der Datenschutz und Forschungsinteressen verbindet. Keber bezeichnet die Umsetzung als „Herkulesaufgabe“.
DSGVO, EHDS, Gesundheitsdatennutzungsgesetz (GDNG) und Landeskrankenhausgesetze müssten zusammen gedacht werden. Dass die Anonymisierung von Gesundheitsdaten dabei eine zentrale Streitfrage bleibt, zeigt auch die Forderung des Deutschen Ärztetags nach strengerem Schutz vor Reidentifizierung, denn KI-gestützte Mustererkennung kann selbst formal anonymisierte Daten einzelnen Personen zuordnen. Besonders wichtig sei dabei, dass Kliniken ihre Verantwortung nicht einfach an externe Dienstleister delegierten: Sie blieben datenschutzrechtlich verantwortlich und müssten deren technische und organisatorische Zuverlässigkeit prüfen.
Am Rande geht es auch um die geplante Reform des Nachrichtendienstrechts. Unter den gesetzlich vorgesehenen Voraussetzungen können auch Arzt-Patienten-Gespräche, Patientenakten und weitere dem Berufsgeheimnis unterliegende Informationen in den Blick einer nachrichtendienstlichen Maßnahme geraten. Die Kassenärztliche Bundesvereinigung fordert deshalb für Ärzte und Psychotherapeuten einen absoluten Schutz statt einer Abwägung im Einzelfall. Sie kritisiert, dass Ärzte und Psychotherapeuten im Entwurf nur relativ geschützt sind, während etwa Geistliche und Rechtsanwälte absoluten Schutz genießen. Sie warnt davor, dass heimlich „Praxis- und Geschäftsräume [...] betreten werden, etwa um Abhörgeräte zu installieren“. Keber bewertet den Entwurf nicht im Detail, macht aber die grundrechtliche Fallhöhe deutlich: Das Arzt-Patienten-Verhältnis sei traditionell besonders geschützt. Wenn der Staat in ein solches Vertrauensverhältnis eingreifen wolle, brauche er sehr gute Gründe.
Insgesamt sieht Keber noch ein nicht aufgelöstes Spannungsverhältnis bei Datenschutz und Datennutzung; das sei „noch ordentlich brüchig“. Sie kann medizinischen Fortschritt ermöglichen, Datenschutz und Kontrolle müssten dabei aber mitwachsen. Als möglichen Weg nennt Keber KI-Reallabore nach der europäischen KI-Verordnung. Dort könnten konkrete Anwendungen unter Beteiligung der Aufsicht erprobt werden, bevor sie breit eingesetzt werden. Baden-Württemberg und auch Nordrhein-Westfalen arbeiten daran, solche Reallabore aufzubauen.
(mack)