Eine Analyse für Zeit Online von Meike Laaff, Alina Schadwinkel und Jakob Simmank

Patienten können künftig auf Kassenkosten Gesundheits-Apps erhalten und Angebote zu Onlinesprechstunden leichter nutzen. Das sieht das Digitale-Versorgung-Gesetz (DVG) vor. Am Donnerstagabend hat es der Bundestag mit den Stimmen der Koalitionsparteien gegen das Votum der Linken und Grünen bei Enthaltung von AfD und FDP verabschiedet. „Wir gehen Schritt für Schritt in die digitale Zukunft“, sagte der Bundesgesundheitsminister Jens Spahn (CDU) zu seinem Vorhaben. Digitale Lösungen könnten den Patientenalltag konkret verbessern. Jeder, der mitmachen wolle, solle mitmachen können. Künftig soll auch viel Papierkram entfallen: Wer etwa einer gesetzlichen Krankenkasse freiwillig beitreten möchte, kann das künftig auch auf elektronischem Weg.

Was neben den Angeboten für Versicherte auch beschlossen wurde: Forscher sollen künftig schneller an Abrechnungsdaten kommen, um zu verstehen, wie gut Kranke hierzulande wirklich versorgt sind. Daran gibt es viel Kritik, besonders in Datenschutzfragen. Nun sind Patientendaten wie Alter, Geschlecht, Wohnort und Behandlungsleistungen extrem sensibel. Entsprechend wichtig ist es, sie sicher zu verwahren. Ob das mittels eines neu zu schaffenden Forschungsdatenzentrums gelingt, ist umstritten – auch weil eine gesonderte Datenschutzverordnung erst noch geplant ist.

Bei aller Kritik: Es ist dringend notwendig, das deutsche Gesundheitswesen zu modernisieren. Denn digitalisierte Daten, Telekonsile und Onlinesprechstunden sparen Zeit und Kosten, retten bestenfalls sogar Leben. Insofern steht fest: Das Digitale-Versorgung-Gesetz bringt durchaus Risiken mit sich. Doch es bietet eben auch Chancen. Was dürfte Patienten künftig nutzen, wo wird es kritisch? Ein Überblick.

Es wird eine elektronische Patientenakte geben

Versicherte können ihre medizinischen Daten demnächst elektronisch verwahren lassen. Ab Januar 2021 soll die ePA, die elektronische Patientenakte, verfügbar sein. Was sich auf Wunsch speichern lässt: Befunde und Behandlungsdaten, also etwa Informationen zu Impfungen sowie Medikationspläne oder elektronische Arztbriefe.

Patienten und Patientinnen können die gespeicherten Informationen über ihre Gesundheit jederzeit einsehen, sie können Daten hochladen oder Inhalte löschen. Ob und welche Daten der behandelnde Arzt einstellen und welche andere Ärztin noch auf diese Informationen zugreifen darf, soll jeder von Beginn an selbst entscheiden können – allerdings zunächst nur grob. In den kommenden Jahren will das Bundesgesundheitsministerium die Funktionen der ePA erweitern. Ab 2022 soll es dann möglich sein, für einzelne Dokumente zu entscheiden, wer sie einsehen darf.

Wozu das gut sein soll? Informationen werden gebündelt, Doppeluntersuchungen könnten sich vermeiden lassen. Labortests und Röntgenaufnahmen müssen nicht mehrmals gemacht haben. Weil in der ePA alle Daten zentral gespeichert sind, ist es einer Ärztin künftig möglich, an die Ergebnisse eines Krankenhauses oder von Kollegen zu kommen – das schont Patienten, spart Termine und verringert die Ausgaben im Gesundheitssystem.

Im Notfall kann es sogar Leben retten. Bricht ein Mensch ohnmächtig zusammen, hätte der Notarzt sehr schnell wichtige Informationen zusammen, etwa: die letzte Kernspinaufnahme – die zeigt, dass die Bauchschlagader eine Aussackung hat und nun womöglich gerissen ist.

Das Gesundheitswesen muss digitaler werden

Weil die ePA kommt, sind Ärztinnen und Ärzte gezwungen, ihre Praxen technisch aufzurüsten. Damit sich alle Daten speichern lassen, müssen Ärzte ihre Praxen an die Telematikinfrastruktur (TI) anschließen. Dem nicht genug, sollen das auch Apotheken bis September 2020 und Krankenhäuser bis 1. Januar 2021 leisten. Hebammen und Physiotherapeuten sowie Pflege- und Rehabilitationseinrichtungen können sich freiwillig an das Datennetz anschließen lassen.

Ärzte, die sich weiterhin nicht vernetzen wollen, müssen einen erhöhten Honorarabzug von 2,5 Prozent ab 1. März 2020 in Kauf nehmen. Bisher lag er bei 1 Prozent.

Richtig, das ist ein Zwang. Wer sich nicht an die Regeln hält, wird bestraft. Von allein allerdings hat sich in den vergangenen Jahren nur wenig getan.

Ärzte dürfen für Videosprechstunden werben

Lange galt in Deutschland: Ein Arzt darf nur beraten und behandeln, wenn er den Patienten persönlich trifft. Seit der Lockerung des Fernbehandlungsverbot jedoch ist es gestattet, „im Einzelfall“ auch bei noch unbekannten Patientinnen eine ausschließliche Beratung oder Behandlung über Kommunikationsmedien vornehmen zu dürfen. Es muss allerdings „ärztlich vertretbar“ und „die erforderliche ärztliche Sorgfalt“ gewahrt sein.

Die Videosprechstunde an sich ist also nicht erst mit dem Digitale-Versorgung-Gesetz erlaubt. Mit den dort formulierten Regelungen wird es künftig jedoch leichter sein, herauszufinden, welche Ärzte und Medizinerinnen sie anbieten. Die dürfen nämlich nun prominent dafür werben.

Hilfreich ist das vor allem für alte, wenig mobile oder bettlägerige Patienten. Auch für Menschen, die in Regionen leben, in denen es nur wenig Ärzte – vor allem Fachärzte gibt – kann das von Vorteil sein.

Schneller verfügbar: Daten für die Versorgungsforschung

Seit Jahren nutzen Forscherinnen und Forscher Krankenkassendaten wie Alter, Geschlecht, Postleitzahl oder kodierte Diagnose. Das Sozialgesetzbuch regelt längst, dass es in Ausnahmen vertretbar sein kann, diese Informationen ungefragt zu nutzen – allerdings unter strengen Sicherheitsvorgaben und verschlüsselt. Was sich mit dem neuen DVG ändert: Die Abrechnungsdaten soll zunächst der GKV-Spitzenverband von allen Kassen sammeln, der diese dann pseudonymisiert an ein Forschungsdatenzentrum liefert, das den Datenpool speichert. Forschergruppen können dann einen Antrag stellen, um für ihre Studien die pseudonymisierten Daten zu nutzen. Bisher arbeiten viele Forscher mit den Datensätzen einzelner Krankenkassen, der Allgemeinen Ortskrankenkassen (AOK) etwa oder den Daten der Techniker Krankenkasse. Die aber sind verzerrt: Die AOK hat viele ältere und kranke Versicherte, die Techniker Krankenkasse viele Studenten und Akademikerinnen. Bestenfalls bedeutet das neue Gesetz also, dass Wissenschaftler zukünftig mit einem geringeren Zeitverzug die Versorgung in Deutschland untersuchen können. „Dieser beträgt heute rund vier Jahre und könnte zukünftig auf ein Jahr reduziert werden“, schreibt das Bundesgesundheitsministerium. Der Ansatz ist sinnvoll: Wenn man die reale Versorgungssituation kennt, lassen sich sinnvollere politische Entscheidungen treffen.

So werten nicht Unternehmen mit wirtschaftlichen Interessen die Informationen aus, sondern Forscherinnen und Forscher, die die Medizin in Deutschland verbessern wollen. Aus den Abrechnungsdaten lässt sich nicht nur lesen, wo Ärzte zu wenig, sondern auch, wo sie zu viel tun: unnötige Herzkatheter-Operationen oder Gelenkspiegelungen, die wenig bringen. Und die Daten könnten entschlüsseln, wo es hakt: Was etwa in ländlichen Regionen fehlt oder welche Arzneimittel noch verschrieben werden, obwohl es bereits bessere gibt. Dies ist beispielsweise bei Fluorchinolonantibiotika der Fall. Sie sollten längst nicht mehr erste Wahl bei bestimmten Erkrankungen sein, weil sie Gelenke und das Gehirn angreifen können.

Zusätzlich können Krankenkassendaten helfen, Nebenwirkungen von Medikamenten aufzuspüren, die in klinischen Studien nicht aufgefallen sind, weil sie zu nur bei wenigen oder verzögert auftreten. Die pseudonymisierte Auswertung von Krankenkassendaten kann Deutschland tatsächlich gesünder machen.

Für die ePA ist längst nicht alles geklärt

Man will die Patientenakte in den kommenden Jahren weiterentwickeln. Von verschiedenen „Funktionsstufen“ schreibt das Bundesgesundheitsministerium. An den Start geht also eine elektronische Akte in vorläufiger Form. Damit Patienten künftig mehr möglich ist, wird zu den weiteren Details, insbesondere zum Datenschutz, derzeit ein Referentenentwurf erarbeitet. Erst dieser könnte eine umfassende, sichere Nutzung gewährleisten – Diskussionen sind zu erwarten.

Der Schutz der Abrechnungsdaten ist bedenklich

Gesundheitsdaten aller Versicherten in einem Forschungsdatenzentrum speichern? Da sind Datenschützer alarmiert. Ja, auch dann, wenn Forscherinnen und Forscher, wie im Gesetz, diese Daten nicht personenbezogen ausgespielt bekommen, sondern auf Antrag anonymisierte und zusammengefasste Ergebnisse aus diesen Daten erhalten. Viele Kritikpunkte hat das Portal netzpolitik.org zusammengefasst.

So halten es viele für generell fragwürdig, sensible Informationen wie abgerechnete Leistungen zentral zu speichern, weil sie so besonders anfällig für Missbrauch und Sicherheitslücken sind. Heißt: Die Informationen könnten zum Beispiel aufgrund von Pannen an die Öffentlichkeit geraten oder Hacker könnten sie erbeuten. Werden Daten hingegen dezentral und nach Zweck getrennt verarbeitet, ist das zwar komplizierter, gleichzeitig wird es aber auch schwerer, die Daten zu missbrauchen oder zu entwenden.

Datenpannen gab es in der Vergangenheit immer wieder. Zuletzt berichteten zum Beispiel der Bayerische Rundfunk und das US-Rechercheportal ProPublica über ein weltweites Datenleck mit Millionen von MRT-Bildern. Auch der britische NHS ist immer wieder in die Schlagzeilen geraten, weil Unbefugte an vermeintlich geschützte, sensible Informationen gelangten.

Sorgen machen sich Datenschützerinnen auch über die Pseudonymisierung der Daten. Die soll nämlich erst beim GKV-Spitzenverband als zentraler Sammelstelle stattfinden. Selbst der Bundesrat sieht hier die „Gefahr der Reidentifizierung“ und meint damit: Auch wenn ein Datensatz unter Pseudonym gespeichert ist, kann es möglich sein, den Klarnamen seines Inhabers wieder ausfindig zu machen. Im schlimmsten Fall würde das bedeuten, dass sich aus diesen Daten wieder ableiten ließe, wer eine Psychotherapie in Anspruch genommen hat, eine Krebsbehandlung oder eine Abtreibung. Der Bundesrat hat „erhebliche Zweifel, ob mit den Regelungen (…) der Grundsatz der Verhältnismäßigkeit im Hinblick auf die Persönlichkeitsrechte der Versicherten gewahrt bleibt“.

Auch in einer Expertenanhörung zu dem Gesetz im Oktober hatte ein Informatiker der Universität Erlangen-Nürnberg die Idee der Pseudonymisierung kritisiert und empfahl stattdessen, Berechnungen nur mit verschlüsselten Daten durchzuführen.

Für Kritik sorgt schließlich auch, dass Versicherte keine Möglichkeit haben, der Weitergabe ihrer Daten zu widersprechen. Manch Datenschützer findet es abstrus, dass Menschen im Netz Cookies akzeptieren sollen, gegen die Nutzung der persönlichen medizinischen Abrechnungsdaten zu Forschungszwecken aber nicht widersprechen dürfen. Sie würden sich wünschen, dass jeder Patient der Nutzung seiner Daten aktiv zustimmen müsste.

Sorge bereitet die mögliche Vernetzung von Daten

Könnten künftig Datensätze – zum Beispiel Krankenkassendaten mit Gesundheitsumfragen oder Rentenversicherungsdaten – miteinander verbunden werden? Ob das passieren wird, ist bisher unklar. Sollte es so weit kommen, wird sich die Datenschutzfrage jedoch erneut stellen.

Der Nutzen von Gesundheits-Apps ist bislang kaum belegt

Laut DVG sollen Ärzte und Medizinerinnen künftig Gesundheits-Apps auf Kosten der gesetzlichen Krankenkassen verschreiben dürfen. Dazu zählen allerdings nur Apps, die Medizinprodukte im Sinne der EU-Medizinprodukteverordnung sind. Anwendungen also, die Patienten dabei unterstützen, ihre Arzneimittel regelmäßig einzunehmen oder ihre Blutzuckerwerte zu dokumentieren beispielsweise. Schrittzähler und Work-out-Tracker hingegen haben keine Chance.

Ob eine App die notwendigen Anforderungen erfüllt, soll das Bundesinstitut für Arzneimittel und Medizinprodukte prüfen. Genau das ist aber ein Problem, denn um die Evidenz steht es im Bereich von Apps nicht allzu gut. „Zum Nutzen von Digital-Health-Anwendungen gibt es nur wenige Studien“, fasste es die Bertelsmann-Stiftung 2016 in einem Gutachten zusammen.

Gesundheits-Apps haben häufig noch Sicherheitslücken

Dass die Apps, die die Krankenkassen Patienten verschreiben, sicher sein sollen, steht zwar im Digitale-Versorgung-Gesetz: Das Bundesinstitut für Arzneimittel und Medizinprodukte soll sie auf Datenschutz und -sicherheit prüfen. Der IT-Sicherheitsanalyst Martin Tschirsich kritisierte aber, dass diese Prüfung allein auf Dokumenten basiere, die der Hersteller vorlege. Eine eigene Prüfung durch die Behörde sei nicht zu erwarten, sagte er dem Blog MedWatch. Da auch hier Näheres noch durch Rechtsverordnungen des Gesundheitsministeriums geregelt werden müsse, könne er nicht beurteilen, wie es um die Datensicherheit stehen werde.

Tschirsich hatte im vergangenen Dezember beim Jahrestreffen des Chaos Computer Clubs in Leipzig empfindliche Sicherheitslücken in der Gesundheitsapp Vivy offengelegt. Vivy wurde damals schon von Krankenkassen unterstützt und galt als ein Testballon für den Zugriff auf Patientendaten. „Das Vorhandensein von Sicherheitssiegeln und weiteren derartigen Begleitdokumenten hat bislang selten mit einem ausreichenden Sicherheitsniveau korrespondiert“, sagt Tschirsich.