Datenschützer misstraut Trustcenter

Berlin -

Bundesweit streiten Datenschützer derzeit über den korrekten Umgang mit Rezeptdaten. Seit der Spiegel sich das Thema am Wochenende vorgeknöpft hat, sind die Apotheker als vermeintliche Datendealer in der Schusslinie. Der Berliner Datenschutzbeauftrage Dr. Alexander Dix findet, dass die Rechenzentren unsauber arbeiten und dass der Vorstoß seines Kollegen Dr. Thilo Weichert aus Schleswig-Holstein richtig war.

Die Rechenzentren verkaufen die Daten an Marktforschungsunternehmen – dazu müssen diese ausreichend anonymisiert sein. „Der Gesetzgeber hat klar gesagt: Pseudonymisierung reicht nicht aus. Wir brauchen eine endgültige Anoymisierung“, so Dix.

Wie Weichert ist Dix der Ansicht, dass die Verfahren der in die Kritik geratenen Rechenzentren nicht ausreichen. „Es wird nur als Anonymisierung bezeichnet von den entsprechenden Rechenzentren. In Wirklichkeit ist es aber eine Pseudonymisierung“, sagt Dix.

Dass die Daten in einem sogenannten Trustcenter ein zweites Mal verschlüsselt werden, reicht laut Dix nicht: „Wir wissen nicht, wie unabhängig dieses Trustcenter tatsächlich ist. Aber selbst wenn es ein unabhängiges Trustcenter wäre: Mit Hilfe dieses Treuhänders kann der Personenbezug trotzdem hergestellt werden.“

Dix findet daher auch, dass Weichert im Rahmen seiner Kompetenzen gehandelt habe, als er über den Spiegel auf den vermeintlichen Missstand aufmerksam machte: „Das Thema ist so sensibel, dass ich es völlig legitim finde, dass er hier auch die Öffentlichkeit auf dieses Problem hingewiesen hat. Das muss nämlich kurzfristig gelöst werden, und zwar in datenschutzkonformer Weise“, sagt Dix.

Aus Sicht des Berliner Datenschutzbeauftragten könnten die Rezepte beispielsweise mit jeweils einer Nummer versehen werden – einem Einmalschlüssel. Dann werde für einen Patienten oder einen Arzt nicht immer derselbe Code vergeben und Rückschlüsse seien ausgeschlossen.

Dadurch verlieren die Daten allerdings massiv an Wert: Denn die Auswertung von einzelnen Patientenschicksalen über längere Zeiträume wird dadurch unmöglich. Aus Dix' Sicht ist eine solche Nutzung aber auch gar nicht erlaubt: „Eine Verfolgung von Patientenschicksalen oder eine bundesweite Patientendatei wollte der Bundesgesetzgeber gerade – und wie ich finde auch aus guten Gründen – ausschließen“, so Dix.

Anfang des Jahres hatte Dix die Rezeptabrechnungsstelle Berliner Apotheker (RBA) dazu gebracht, ihr Verfahren umzustellen. Er geht davon aus, dass auch die übrigen drei Rechenzentren umstellen müssen. „Personenbezug ist nötig für Zwecke der Abrechnung. Für Zwecke der Marktforschung ist er nicht erforderlich – und deshalb muss er endgültig gekappt werden“, so Dix.