Eigentlich sollte man meinen, innerhalb der EU gälte das gleiche Datenschutzrecht – haben wir doch eine Datenschutz-Grundverordnung. Diese ermöglicht aber den Mitgliedstaaten, und in Deutschland auch den Bundesländern, abweichende oder konkretisierende Regelungen zu erlassen. Dies ist in Berlin geschehen: Das Berliner Krankenhausgesetz verbietet den Kliniken der Hauptstadt die Auftragsverarbeitung, das heißt die Verarbeitung personenbezogener Daten durch beauftragte Unternehmen, die z.B. auf die Auswertung klinischer Daten spezialisiert sind und dies im Auftrag zahlreicher Kliniken und anderer Unternehmen im In- und Ausland auch tun. Einzige Ausnahme von diesem Verbot: Eine Auftragsverarbeitung durch Einrichtungen der Unternehmensgruppe, der das Krankenhaus angehört oder durch andere Berliner Krankenhäuser. Mit dieser Beschränkung ist es Berliner Krankenhäusern verwehrt, an internationalen Forschungsprojekten teilzunehmen, bei denen externe Auftragsverarbeiter solche Daten verarbeiten.
Im Herbst 2020 sollte die Vorschrift aufgehoben oder zumindest durch eine liberalere Fassung ersetzt werden, denn eigentlich erlaubt die Datenschutz-Grundverordnung keine Einschränkungen der Auftragsverarbeitung. Hierüber konnte jedoch mit der Datenschutzbehörde des Landes Berlin keine Einigung erzielt werden. Immerhin wurde die Vorschrift bis zum Oktober dieses Jahres ausgesetzt. Nun droht sie wieder in Kraft zu treten, mit unangenehmen Konsequenzen: In den vergangenen knapp zwei Jahren haben sich zahlreiche Krankenhäuser an Vorhaben beteiligt, in denen Auftragsverarbeitung stattfindet oder sogar durch das Krankenhaus-Zukunftsgesetzgefördert wird. Sollten diese Kooperationen nun im Oktober auf einmal verboten sein, ist der Abschluss der Vorhaben gefährdet, es droht sogar die Rückforderung von Fördermitteln. Auf dieses Problem haben zahlreiche Berliner Einrichtungen und auch die Berliner Krankenhausgesellschaft wieder und wieder aufmerksam gemacht. Immerhin liegen nun zwei Gesetzesentwürfe vor, die das Problem beheben könnten. Doch die ideale Lösung sind sie noch nicht, denn sie enthalten nicht nachvollziehbare Einschränkungen und bürokratische Hürden.
Verdopplung der bürokratischen Hürden
Der erste Entwurf erlaubt zwar die Auftragsverarbeitung, macht jedoch eine Anzeige gegenüber der Berliner Datenschutzbehörde zur Voraussetzung und verpflichtet das Krankenhaus, Hinweise der Behörde zu berücksichtigen. Diese Regelung ist schwer handhabbar, und lässt zudem noch offen, ob eine Bestätigung des Eingangs der Anzeige Voraussetzung für die Auftragsverarbeitung ist und wie die möglicherweise erteilten „Hinweise“ berücksichtigt werden sollen.
Der zweite Entwurf sieht eine Anzeigepflicht gegenüber der Senatsverwaltung und der Datenschutzbehörde vor, verdoppelt also die bürokratische Hürde. Zudem lässt er das „Konzernprivileg“ entfallen, das eine Datenverarbeitung zwischen Einrichtungen ermöglicht, die der gleichen Unternehmensgruppe angehören. Diese müssten danach als formal getrennte Unternehmen agieren, was zusätzlichen bürokratischen Aufwand bedeutet.
Beide Entwürfe lassen Übergangsregelungen vermissen, sodass eine rechtliche Grauzone für die zwischenzeitlich abgeschlossenen Auftragsverarbeitungen zu erwarten ist. Hier wäre es geboten, für Verträge, die in der Zeit abgeschlossen wurden, in der das Verbot nicht galt, deren Rechtsgültigkeit klarzustellen.
Deutschland in der Forschung abgehängt
Wie ist das Ganze einzuordnen? Deutschland hat eine sehr intensive Tradition mit dem Datenschutz. Vom ersten Datenschutzgesetz 1973 (Hessen), der Bundesverfassungsgerichts-Entscheidung zum Volkszählungsurteil bis hin zur intensiven Ausgestaltung der zahlreichen bundes- und landesgesetzlichen Regelungen, über deren Einhaltung mehr als 100 Datenschutzbeauftragte des Bundes, der Länder, der Landeskirchen, der Diözesen und Ethikkommissionen wachen. Wir haben eine Gesundheitslandschaft geschaffen, in der pro Jahr mehr als 500 Millionen ambulante Behandlungen und mehr als 15 Millionen stationäre Ereignisse zwar dokumentiert, geschützt und gespeichert werden. Aber in keinem anderen Land ist der Aufwand, Zugang zu diesen Daten zu bekommen und mit ihnen zu forschen, größer als in Deutschland. Die Sponsoren der großen internationalen Forschungsvorhaben machen inzwischen um Deutschland einen weiten Bogen – kein Wunder, dauert doch die Genehmigung klinischer Prüfungen hier zu Lande rund 100 Tage länger als in Frankreich, Spanien oder Italien. Deutschland ist als Forschungsstandort in einer absteigenden Position.
Der Bundesministerium für Gesundheit hat das verstanden und in der vergangenen Legislaturperiode zahlreiche Vorstöße gemacht, auch der privaten Forschung Zugang zu medizinischen Daten zu verschaffen. Mit dem klinischen Krebsregister ist dies gelungen. Beim Forschungsdatenzentrum der gesetzlichen Krankenversicherung hat der Bundestag in letzter Minute den Zugang auf öffentlich-rechtliche Einrichtungen beschränkt. Inzwischen haben auch einige Bundesländer nachgezogen und ihre Landesgesetzgebung forschungsfreundlicher ausgestaltet. Berlins Landeskrankenhausgesetz bildet nun das Schlusslicht in der weitgehend abgebauten Phalanx der forschungsfeindlichen Landesgesetze.
Was bringt der europäische Gesundheitsdatenraum?
Zudem stehen wir in einer Zeit des Umbruchs, in einer Zeit, in der wir erkannt haben, dass es nicht ausreichend ist, Daten zu erheben und wegzusperren, sondern diese auch für Forschungsvorhaben zu nutzen. Die EU hat hierzu eine Reihe von Gesetzen beschlossen und weitere Entwürfe vorgelegt, die dieses neue Zeitalter markieren und bahnen. Der wichtigste Entwurf ist der zur Schaffung eines europäischen Gesundheitsdatenraums EHDS, nach dem EU-weit Datenzugangsstellen die Forschung mit qualitativ aufbereiteten und standardisierten Datensätzen ermöglichen werden. Die Pandemie hat gezeigt, wie dringend notwendig wir eine intelligente und interoperable Datennutzung vorantreiben müssen. Das Berliner Landeskrankenhausgesetz mit seinem Paragrafen zur Auftragsverarbeitung ist ein Fossil in diesem neuen Szenario zur Datennutzung.
Was also ist zu tun? In den vergangenen 20 Monaten ist nicht berichtet worden, dass die Rechte der Patienten auf informationelle Selbstbestimmung durch das pausierte Gesetz mit Füßen getreten worden wären, dass es dadurch zu Persönlichkeitsrechtsverletzungen und Datenschutzverstößen gekommen wäre. Wenn es also nicht gelingt, eine Neuregelung für die wichtige Auftragsverarbeitung zu konsentieren, die ohne bürokratische Hürden und Inkonsistenzen daherkommt, ist es zumindest an der Zeit, die streitige Regelung weitere zwei Jahre auszusetzen, um die Entwicklung zu beobachten und zu prüfen, ob überhaupt landesrechtliche Vorschriften zusätzlich zur Datenschutz-Grundverordnung für die Auftragsverarbeitung im klinischen Bereich erforderlich sind. Wir meinen, dass solche Regelungen nicht erforderlich sind. Und wenn es nicht erforderlich ist, ein Gesetz zu machen, dann ist es erforderlich kein Gesetz zu machen (Montesqieu).
Christian Dierks ist Facharzt für Allgemeinmedizin, Fachanwalt für Medizin- und Sozialrecht und Managing Partner von Dierks+Company, einer Strategie- und Rechtsberatung in Berlin.
