Von Rezept zu Rezept Patrick Hollstein, 13.02.2012 17:52 Uhr
Im Skandal um den angeblich illegalen Umgang mit Abrechnungsdaten winden sich die Beteiligten: Offenbar ist es nicht leicht, die Vorwürfe des „Spiegel“ gegenüber der Firma pharmafakt/Gesellschaft für Datenverarbeitung (GFD) abzustreiten. In ihren Stellungnahmen berufen sich die GFD sowie die Verrechnungsstelle der Süddeutschen Apotheken (VSA) darauf, zumindest keine personenbezogenen Daten von Versicherten weitergegeben zu haben. Zum Umgang mit arztbezogenen Daten gibt es keine Auskunft. Stattdessen versucht man, die Verantwortung auf einen ehemaligen Geschäftsführer abzuschieben.
Die GFD war 1998 von der VSA sowie den Landesapothekerverbänden Bayern, Baden-Württemberg und Sachsen gegründet worden. Die Firma soll Verordnungsdaten analysieren und Studien zum Verordnungsverhalten von Ärzten und Arztgruppen zu einzelnen Wirkstoffen erstellen. Dabei ist die GFD nicht nur für die eigenen Verbände, sondern auch für die Pharmaindustrie aktiv.
Für die Hersteller waren Verordnungsdaten lange Gold wert: Selbst in anonymisierter Form ließen sich bis vor einigen Jahren bei Auswertungen in feinem Maßstab relativ einfach Rückschlüsse auf den jeweiligen Arzt ziehen. Das Problem für die Industrie: Seit 2007 dürfen Verordnungsdaten nur noch anonymisiert oder in einer Auflösung geliefert werden, die pro Cluster 300.000 Einwohner oder 1300 Ärzte umfasst. Mit dem GKV-Wettbewerbsstärkungsgesetz (GKV-WSG) wollte die damalige Bundesregierung die Unabhängigkeit der Mediziner sichern und den Einfluss der Industrie stutzen.
Umso interessanter sind seitdem also Informationen, mit denen sich doch noch irgendwie Rückschlüsse auf das Verordnungsverhalten einzelner Ärzte ziehen lassen – also entweder direkt arztbezogene Daten oder anonymisierte Sätze, die über einen Schlüssel decodiert werden können. Der „Spiegel“ deutet an, dass dazu Daten der Gesellschaft für Statistik im Gesundheitswesen (GFS) genutzt worden sein könnten. Die Firma, die ursprünglich von der VSA gegründet worden war, bearbeitet als Retax-Dienstleister unter anderem Rezepte der Barmer GEK.
Die GFD bestätigt in ihrer Stellungnahme, von 1999 bis 2011 mit der GFS kooperiert zu haben. Im Rahmen der Zusammenarbeit seien die vorliegenden Informationen auf Plausibilität geprüft und verifiziert worden. Die GFS wiederum erklärt, der GFD zur Qualitätssicherung ihrer Arztdaten einen Zugang über eine gesicherte Datenleitung eingerichtet zu haben. Die GFD habe nur auf auch allgemein zugängliche Arztdaten wie Name, Arztnummer und Adresse zugreifen können. Außerdem habe die GFD bis 2010 Daten über monatliche Rezeptzahlen von Ärzten erhalten.
Beim Norddeutschen Apothekenrechenzentrum (NARZ) beziehungsweise dessen Tochtergesellschaft GFI klingelten 2011 die Alarmglocken. Seit 2007 hatten die Bremer eigentlich nur noch verschlüsselte Daten an die GFD geliefert. Es habe jedoch Verdachtsmomente gegeben, dass diese Daten über einen Abgleich mit den GFS-Daten deanonymisiert würden, erklärt die Firma heute. Heißt im Klartext: Der 128-stellige Zifferncode könnte in die achtstellige Arztnummer rückübersetzt werden.
Die GFI stellte die Datenlieferung ein und forderte von der GFD eine Stellungnahme. Diese leitete die Firma an die zuständige Datenschutzbeauftragte für Bremen weiter, die ihrerseits erhebliche Zweifel am Umgang mit den sensiblen Informationen äußerte.
Man habe nie personenbezogene Daten von Versicherten weitergegeben, heißt es heute bei der GFD. Verkauft würden ohnehin keine Daten – sondern nur Auswertungen und Studien, aus denen allerdings ebenfalls keine Rückschlüsse auf Patienten gewonnen werden könnten. Zum Umgang mit arztbezogenen Informationen findet sich in der Stellungnahme nichts.
Die VSA räumt ein, bis 2009 unverschlüsselte Daten an die GFD geliefert zu haben. Der damalige Geschäftsführer der GFD habe schriftlich bestätigt, dass die Informationen nur zu internen Zwecken und nicht zur Deanonymisierung verwendet würden. Ob es diesbezüglich Verstöße gegeben hat, erklärt die VSA nicht. Immerhin hatten sich die Gesellschafter 2009 von ihrem Chef bei der GFD getrennt und „aufgrund der Umstände des Ausscheidens“ eine datenschutzrechtliche Prüfung eingeleitet. VSA-Chef Dr. Andreas Lacher übernahm bei der GFD persönlich das Ruder und stellte das System um.
Es habe seit 2009 eine „kritische Neubewertung ausgewählter Teilprozesse“ gegeben, heißt es rückblickend bei der GFD. In Zusammenarbeit mit einer Anwaltskanzlei und der bayerischen Datenschutzaufsicht sei ein neues Modell für die Datenverarbeitung konzipiert worden: Seitdem übernimmt eine Tochterfirma mit dem Namen Idapharm die Auswertung der Daten der Rechenzentren – technisch, organisatorisch und rechtlich getrennt von der GFD. Auf diese Weise sei gewährleistet, dass heute keiner der Beteiligten Daten deanonymisieren könnte, so die GFD.