Welche Verschlüsselung von Rezeptdaten ist ausreichend? Der Spiegel behauptet, Abrechnungszentren der Apotheker hätten Datensätze verkauft, mit denen einzelne Patienten identifizierbar seien. Die beschuldigten Firmen dementieren: Jeder Personenbezug werde „eliminiert“, das Vorgehen sei von Datenschützern genehmigt. Diese aber sind uneins, wie streng die gesetzlichen Vorgaben in der Praxis umzusetzen sind. Der Deutsche Apothekerverband sieht dennoch keinen Grund, seinen Rechenzentren generell zu misstrauen.
Der strittige Vorgang betrifft die meisten Apotheken in Deutschland. Fast alle rechnen nicht selbst mit der Krankenkasse ab, sondern lagern dies an externe Rechenzentren aus. Diese scannen die Originalrezepte und haben damit Zugriff auf Patientendaten. Das ist für die Abrechnung auch notwendig. „Anonymisierte Daten“ …, dürfen aber von den Unternehmen „auch für andere Zwecke verarbeitet und genutzt werden“, heißt es im 5. Sozialgesetzbuch [1]. Damit eröffnet sich ein großer Markt: Die Rechenzentren verkaufen die anonymisierten Datensätze für Millionenbeträge an Marktforschungsunternehmen, diese bereiten sie auf und bieten sie Kunden wie Pharmaunternehmen an.
Datenschützer streiten über ausreichende Verschlüsselung
Doch die Frage, wie sehr die Rechenzentren die Daten vor der Weitergabe verschlüsseln müssen, ist offenbar nicht geklärt. Im Spiegel wirft der Leiter des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein, Thilo Weichert, der Verrechnungsstelle der Süddeutschen Apotheker (VSA) vor, sie verkaufe Daten, die ohne großen Aufwand Patienten zuzuordnen seien [2]: „Die Verschlüsselung ist längst nicht ausreichend.“ Die in München ansässige VSA widerspricht: Alle Daten würde doppelt anonymisiert, unter anderem durch eine unabhängige Clearingstelle: „Die Aussage, die VSA würde unzureichend verschlüsselte Daten an Marktforschungsunternehmen verkaufen, ist schlichtweg falsch.“ Das Vorgehen sei vom Bayerischen Landesamt für Datenschutzaufsicht geprüft und freigegeben [3].
Dessen Präsident Thomas Kranig bestätigt, dass seine Behörde die VSA geprüft hat: „Nach unserer Auffassung ist die jetzige Anonymisierung ausreichend und gesetzeskonform“, so Kranig gegenüber Medscape Deutschland. Zwar habe die VSA vor längerem einmal Daten unverschlüsselt weitergegeben. „Aber da haben wir ein Verfahren geführt, und das ist abgeschlossen“. Die neue Verschlüsselung mache nun einen Missbrauch erheblich schwerer. „Eine Zuordnung zu einzelnen Patienten durch die Abnehmer ist praktisch unmöglich.“
Kranig räumt aber ein, dass andere Landesbehörden das Gesetz strenger auslegen als die Bayern. „Ob eine Verschlüsselung ausreichend ist oder nicht, kann im Einzelfall nur ein Richter klären“. Entsprechende Urteile gebe es aber noch nicht. Dazu müsste erst eine Behörde einen Bescheid gegen eine bestimmte Verschlüsselung erlassen, das betroffene Unternehmen müsste dann dagegen klagen. „Ich würde sehr begrüßen, wenn wir so ein Grundsatzurteil hätten“, sagt Kranig.
Für die Apotheker ist diese Grauzone nicht unproblematisch. Denn sie sind rechtlich dafür verantwortlich, dass mit den Daten ihrer Rezepte kein Missbrauch getrieben wird. Eine Weitergabe an bekanntermaßen unzuverlässige Rechenzentren könne als Verstoß gegen die Schweigepflicht gewertet werden, warnt Weichert auf Spiegel Online [4]. Das Norddeutsche Apothekenrechenzentrum liefert deshalb zurzeit nur noch stark reduzierte Daten an Marktforschungsunternehmen.
Apothekerverband vertraut auf Verantwortung der Rechenzentren
Der Deutsche Apothekerverband sieht in dem Bericht des Magazinsaber keinen Grund, den Rechenzentren generell zu misstrauen: „Die Apothekenrechenzentren garantieren den abrechnenden Apotheken die korrekte Anwendung sämtlicher Datenschutzvorschriften. Dies ist uns von den dienstleistenden Unternehmen immer wieder bestätigt worden“, sagt der Vorsitzende Fritz Becker [5]. „Wir gehen deshalb davon aus, dass sich diese Unternehmen der Sensibilität bei der Verarbeitung von personenrelevanten Daten voll bewusst sind.“
Auch die Abnehmer der Daten weisen jeden Missbrauch von sich. Größter Kunde ist der US-Konzern IMS Health, dessen deutsche Niederlassung in Frankfurt sitzt. Der Spiegel berichtet von einem Angebot, in dem IMS Daten aus Insulinrezepten anpreist, „patientenindividuell“ und mit „zwölf Monats-Updates“. Damit seien aber nicht namentlich genannte Patienten gemeint, entgegnet der Konzern, sondern „statistische Krankheitsverläufe“ [6]: „IMS Health erhält von Apothekerrechenzentren keine personenbezogenen Daten und benötigt diese auch nicht.“
Informationen über Ärzte würden beispielsweise zu Segmenten von 10 Personen zusammengefasst: „IMS Health kann nicht nachvollziehen, welche Rezepte welcher Arzt ausgestellt oder welcher Apotheker sie eingelöst hat.“ Dem Spiegel liegen allerdings nach eigener Angabe Listen von Kliniken und Apotheken vor, die bestimmte Krebsmedikamente nutzen. Sie sollen von einem privaten Internetrechner eines IMS-Mitarbeiters stammen.