Cloud : Wo bleibt der Cloud-Rechtsrahmen?

Wie in vielen anderen Bereichen wurde auch im deutschen Gesundheitssystem die Digitalisierung lange Zeit hinten angestellt. Projekte wie die elektronische Patientenakte (ePA) wurden zwar schon vor Jahren angestoßen, aber eher schleppend verfolgt – das System funktionierte ja auch ohne, zumindest weitgehend. Die Covid-19-Pandemie war ein erster Weckruf, den die Branche brauchte, um ihre digitale Transformation mit mehr Entschlossenheit anzugehen. Hinzu kommt der akute Fachkräftemangel, der Gesundheitseinrichtungen zwingt, mit weniger Personal mehr zu leisten. Innovative digitale Lösungen können hierbei helfen, Mitarbeitende zu entlasten und gleichzeitig die Patientenversorgung zu verbessern.

Um diese nutzen zu können, greifen Krankenhäuser und Praxen vielerorts bereits auf Cloud-Dienste zurück, zum Beispiel um ihren Patient:innen Patientenportale zu bieten, über die sie Termine vereinbaren können oder Zugriff auf medizinische Dokumente erhalten oder selber bereitstellen.

Unbegründete, aber nachvollziehbare Cloud-Bedenken

Und dennoch gibt es bei den Verantwortlichen weiterhin große Bedenken hinsichtlich der Sicherheit der Cloud. Vor allem Public Clouds – bei denen die Anbieter ihre Computing-Ressourcen für mehrere Mandanten bereitstellen und verwalten – scheinen manchen zu riskant.

Dieses Empfinden ist grundsätzlich nachvollziehbar, denn Gesundheitsdaten sind besonders sensibel und müssen geschützt werden – niemand möchte, dass Informationen zu seiner oder ihrer Gesundheit und Krankheitsgeschichte unkontrolliert an die Öffentlichkeit gelangen. Entsprechend wichtig ist es, dass sich Betreiber von Krankenhäusern oder Arztpraxen Gedanken über die Sicherheit ihrer Patientendaten machen. Doch mit Blick auf Public Clouds sind diese Sorgen unbegründet. Denn die Public-Cloud-Anbieter haben ein starkes Interesse daran, ein Höchstmaß an Sicherheit zu erreichen. Hinzu kommt, dass insbesondere die Hyperscaler auch über die Expertise und Ressourcen verfügen, um dieses Höchstmaß gewährleisten zu können.

In der Praxis aber zerbrechen sich die verantwortlichen Führungskräfte oft mit irrationalen Bedenken den Kopf darüber, inwieweit die Daten ihrer Patient:innen in der Cloud sicher sind. Dabei wäre es nützlicher, wenn sie sich stattdessen auf die technischen und organisatorischen Aspekte einer Cloud konzentrieren würden, wie Umgang mit Backups oder die Auswahl der Cloud-Infrastruktur. Zudem ist jetzt der Zeitpunkt gekommen, an dem sie sich mit konkreten Anwendungsfällen auseinandersetzen und Projekte in die Wege leiten müssen. Denn dank des Mobilfunkstandards 5G können größere Datenmengen als je zuvor mit geringer Latenz in Echtzeit an eine große Anzahl von Endgeräten übertragen werden.

Mitarbeitende entlasten, Patientenversorgung verbessern

In Verbindung mit der Cloud eröffnen sich dadurch auch im Gesundheitswesen neue Möglichkeiten. So könnten Patient:innen – oder beispielsweise autorisierte Angehörige –, nachdem sie einen Rettungswagen gerufen haben, medizinische Informationen den Notärzt:innen und Rettungssanitäter:innen aus der Cloud schon bei Anfahrt zugänglich machen. Diese sind dadurch in der Lage, sich über die gesundheitliche Vorgeschichte der Patient:innen, mögliche Arzneimittelinteraktionen oder Allergien zu informieren. Dadurch wird gleichzeitig die Arbeit des medizinischen Personals als auch die Patientenversorgung optimiert.

Auch im Hinblick auf eine weitere technologische Entwicklung wird die Cloud notwendig, um sie im Gesundheitswesen sinnstiftend einzusetzen: mit Large-Language-Modellen (LLM) wie GPT. Die Interaktion und zwischen Ärzt:innen und Patient:innen und ihre Dokumentation sind ein entscheidender Bestandteil der medizinischen Versorgung. In Zukunft könnten diese mittels eines Ambient-Mikrofons erfasst und relevante Informationen direkt während des Patientenkontaktes in ein Krankenhausinformationssystem (KIS) beziehungsweise klinisches Zielsystem übertragen werden – und dank einem zugrundeliegenden LLM ist der Text dann genau wie von den Ärzt:innen erwartet, da das Modell anhand entsprechender Beispielberichte genaue Vorgaben erhält.

Der Gesetzgeber muss einen Rechtsrahmen schaffen

All das wird jedoch Zukunftsmusik bleiben, wenn sich Krankenhausleiter:innen und Praxisbetreiber.innen weiterhin ängstlich mit der abstrakten Frage nach der Sicherheit der Cloud aufhalten und sich im Wirrwarr aus unterschiedlichen Anforderungen verschiedener Instanzen zurechtfinden müssen, die Datenschutz und den Umgang mit der Cloud regeln. Deshalb sind an dieser Stelle die Behörden gefragt – auf Landes-, nationaler und EU-Ebene. Wir brauchen dringend einen klaren und realistischen rechtlichen Rahmen für den Einsatz der Cloud im Gesundheitswesen.

Im Mittelpunkt solcher Richtlinien sollte die Vereinheitlichung der Regelungen zur datenschutzkonformen Nutzung von (Gesundheits-) Daten und digitalen Diensten stehen. Aktuell müssen Krankenhaus- und Praxisbetreiber:innen unter anderem die DSGVO, deren kirchliche Fassungen, die Landeskrankenhausgesetze, das BSI-Gesetz sowie die KRITIS-Verordnung im Blick haben. Eine Vereinheitlichung ist auch mit Blick auf den europäischen Gesundheitsdatenraum (European Health Data Space), den die EU anstrebt, wichtig. Denn um Daten europaweit zu teilen und zu nutzen, muss zunächst geklärt sein, inwieweit und in welcher Form Krankenhäuser und Praxen dies überhaupt tun dürfen.

Es ist ein guter Schritt, dass der Gesundheitsminister digitale Projekte wie die Realisierung des E-Rezepts beschleunigt. Er sollte dabei aber nicht die vielen anderen möglichen Projekte und die für all diese Projekte notwendige Cloud-Infrastruktur vergessen. Das Gesundheitssystem und dessen Einrichtungen brauchen eindeutige Leitlinien für die Cloud, um den klaren Nutzen für alle erzielen zu können.

Markus Vogel ist Chief Medical Information Officer bei Nuance, einem Unternehmen von Microsoft.