Aus Sicht der Stiftung Datenschutz 01/23: Genesungswünsche vom Petersberg

Bei Bonn am Rhein liegt das Siebengebirge mit dem Petersberg. In dem darauf stehenden Hotel wurden bedeutsame Dokumente wie das Petersberger Abkommen von 1949 besiegelt, in dem die Alliierten Hohen Kommissare und der Bundeskanzler erste Schritte zur Souveränität der jungen Bundesrepublik gingen. Ob die Mitglieder der Konferenz der deutschen Datenschutzaufsichtsbehörden ihr Papier vom November 2022 in die illustre Reihe solcher Dokumente haben stellen wollen, ist nicht bekannt. Jedenfalls gaben sie ihm den erhabenen Titel „Petersberger Erklärung“. Es geht darin um die Verwendung von Daten für die Gesundheitsforschung.

Um die wissenschaftliche Forschung mit Daten ging es zwar auch bereits in einem acht Monate zuvor beschlossenen Papier. Dieses kam eher nüchtern als bloße Entschließung der Datenschutzkonferenz daher – vielleicht sollte also dem Nachfolgetext etwas mehr Gewicht gegeben werden. Tatsächlich lässt der Titel aufhorchen, geht es doch um die „Ermöglichung einer datenschutzkonformen Nutzung von Gesundheitsdaten“. Sicherlich soll damit dem verbreiteten Narrativ vom Datenschutz als Verhinderer etwas entgegengesetzt werden

„Datenschutz verhindert“

Und dies ist auch nötig, weil immer wieder von interessierter Seite betont wird, was „der Datenschutz“ gerade im Gesundheitsbereich so alles verhindere. Teilweise geschieht das aus fehlender Rechtskenntnis – etwa, wenn unter Außerachtlassung von Art. 6 Abs. 1 d) und Art. 9 Abs. 2 c) DSGVO behauptet wird, Schwerverletzte nicht versorgen zu können, weil von ihnen keine Einwilligung erlangt werden könne. Teilweise geschieht es unter Verkennung der rechtspolitischen Möglichkeiten – etwa, wenn unter Außerachtlassung von Art. 9 Abs. 2 i) und j) DSGVO behauptet wird, das EU-Datenschutzrecht lasse keinen Spielraum, um bei der Gesundheitsdatennutzung vom Verbotsprinzip abzuweichen.

Lesen Sie hier den Beitrag mit allen Fußnoten im pdf.

Die DSGVO ist im Grundsatz forschungsfreundlich. Es kommt bloß drauf an, was aus daraus in den Mitgliedstaaten gemacht wird. So wird berechtigt kritisiert, dass die deutsche Begleitgesetzgebung zu Art. 9 Abs. 2 j) DSGVO die Möglichkeit zur Forschungserleichterung nicht gerade gut nutze. Durch die im §27 BDSG vorgesehene Pflicht zur Interessenabwägung werde Rechtsunsicherheit geschaffen. Tatsächlich ist der europäische Gesetzgeber an dieser Stelle einmal weniger streng als der deutsche. Denn die DSGVO verlangt keine Interessenabwägung und den damit einhergehenden zusätzlichen Aufwand für die Forschungspraxis. Zwar ist es für versierte Datenschutzjuristinnen und -juristen ohne weiteres möglich, eine belastbar argumentierte und umfassend dokumentierte Abwägung widerstreitender Interessen vorzunehmen. Doch sind diesbezügliche Fertigkeiten eben nicht oft in der medizinischen Forschung zu finden. Die Pflicht zur Interessenabwä gung mag daher viele Forscherinnen und Forscher abschrecken und die Gesundheitsdatenforschung im Effekt hindern. Fraglich ist daher, warum der deutsche Gesetzgeber ohne Not die Forschungsfreundlichkeit der DSGVO schmälerte.

Und immer grüßt der Föderalismus

Der in Deutschland konstitutive Föderalismus macht die Sache nicht einfacher. Der ersichtlich nicht perfekte §27 BDSG ist noch nicht einmal ein steter Orientierungspunkt, denn diverse spezialgesetzliche Regelungen haben als bereichsspezifisches Datenschutzrecht Vorrang. Krankenhausgesetze und Archivgesetze der Länder sind hier zu nennen, ebenso wie das Arzneimittelgesetz und das Krebsregistergesetz – jede eigenständige Regulierung ist dabei geeignet, Rechtsklarheit in der Gesundheitsdatenforschung zu erschweren. Wenn dann noch landesspezifische Interpretationen einer an sich einheitlichen Gesetzeslage hinzutreten, mag bei Forschenden leicht Frust aufkommen. Denn datennutzende Forschungsprojekte sind kaum je auf ein einzelnes Bundesland begrenzt. Leicht kommen also mehrere womöglich abweichende Forschungsklauseln in Landesgesetzen zusammen und schlimmstenfalls noch abweichende Haltungen von Datenschutzaufsichtsbehörden.

Ein „Lied davon singen“ können die im länderübergreifenden Forschungsnetzwerk RACOON agierenden Personen. In diesem Verbund arbeiten 36 Universitätskliniken aus fast allen Bundesländern zusammen. Sie sehen sich in ihrem wissenschaftlichen Bemühen nicht etwa einer einheitlichen deutschen Präzisierung der DSGVO gegenüber, sondern Regelungen aus 13 Landeskrankenhausgesetzen und 16 Landesdatenschutzgesetzen – wobei letztere mitunter von den Mitgliedern der DSK auch noch unterschiedlich angewendet werden. Bei einer Veranstaltung Anfang November 2023 berichteten Vertreter des Forschungsprojekts, wie die eine Landesaufsicht den Forschungszweck für hinreichend konkret für die Interessenabwägung nach §27 BDSG befand, während die andere dies nicht tat. Eine Datenschutzbehörde sah die Datensätze als anonymisiert an, eine andere als lediglich pseudonymisiert. Während manche Länderbehörden den §287a SGB V anwendbar hielten, sahen manche das nicht so. Diese Norm hat an sich großes Potential zur praktischen Vereinheitlichung, denn sie sieht die Zuständigkeit einer federführenden Datenschutzaufsichtsbehörde vor. Und eine einheitliche datenschutzrechtliche Beurteilung ist der Forschenden größter Wunsch.

Hoffnung auf Zusammenstreben

Wenn die eingangs erwähnte Petersberger Erklärung der Datenschutzkonferenz den Willen zur Ermöglichung von Gesundheitsdatenforschung herausstellt, so ist das nur zu begrüßen. Denn es wird damit ein zukunftssicherer Weg eingeschlagen. Auf diesem Weg wird nicht mehr nur nach etwaigen Risiken und deren maximal möglicher Vermeidung gefragt. Sondern es wird auch klug erwogen, wie der Datenschutz Forschung wohlwollend begleiten und damit besser ermöglichen kann. Dass sich Medizin und Datenschutz in einer solchen Zielstellung durchaus annähern können, zeigte sich bei einer Diskussion einer weiteren Veranstaltung des BfDI: Das vom Verfasser moderierte Streitgespräch zwischen einer datennutzenden Gesundheitsforscherin und einem datenschützenden Landesbeauftragten geriet weit weniger streitig als vorgesehen, denn ein Wille zum Kompromiss war in beiden Disziplinen klar erkennbar.

Das DSK-Papier zur Gesundheitsdatenforschung enthält jedenfalls sowohl moderne als auch klassische Elemente. Sehr zeitgemäß ist der Vorschlag, wonach die für Patientinnen und Patienten notwendige Transparenz über Gesundheitsdatenverarbeitung auch über Dashboards oder Datencockpits herzustellen sei. In einer anderen Passage wurde ein vormals „typisch deutsches“ Verständnis von Datenschutz vor der Verabschiedung noch an die geltenden europäischen Vorgaben angepasst. Zunächst hatte es heißen sollen: „Die datenschutzrechtliche Einwilligung als Grundlage für die Datennutzung kann dem hohen Gut des Rechts auf informationelle Selbstbestimmung am besten Ausdruck verleihen.“ Später wurde das „am besten“ durch ein neutraleres „unmittelbar“ ausgetauscht.