Registergesetz ante portas?

Dass medizinische Register nicht nur von großem Nutzen für Wissenschaft und Behandlung sein, sondern auch in der öffentlichen Meinung für Beachtung sorgen können, zeigte jüngst die Aussage des Bundesjustizministers Buschmann dahingehend, das Datenschutzrecht stünde der Einführung eines Impfregisters entgegen, was sogleich auf Kritik stieß. Umso relevanter sind die Ergebnisse des von BQS und TMF im Auftrag des Bundesministeriums für Gesundheit erstellten und Ende 2021 veröffentlichten Gutachtens zur Weiterentwicklung medizinischer Register – zumal die neue Bundesregierung im Abschnitt zu Gesundheit und Pflege ihres Koalitionsvertrages explizit ein Registergesetz vorsieht. Vor diesem Hintergrund sollen die rechtlichen Aspekte des genannten Gutachtens im Folgenden dargestellt werden.

Ausgewählte Aspekte bundesgesetzlich vorgegebener Register
Im Rahmen der verschiedenen Register wird hinsichtlich der rechtlichen Voraussetzungen zunächst zwischen solchen, die bundesgesetzlich vorgeschrieben sind, und solchen, die nicht gesetzlich geregelt sind, unterschieden. Mit Vorliegen einer gesetzlichen Regelung werden zugleich Fragen der Zuständigkeit und Finanzierung, aber auch der Datenverarbeitung adres-siert. Entsprechende Regelungen führen auch zu gewissen Beschränkungen, sofern Nutzungszwecke und Datenumfänge abschließend aufgeführt werden.
Betrachtet wurde im Rahmen des Gutachtens unter anderem das im Transplantationsgesetz (TPG) vorgeschriebene Transplantationsregister. Rechtsgrundlage für die Erhebung und Verarbeitung von Daten ist die Einwilligung der Organempfänger:innen und lebenden Organspender:innen. Vorgesehen ist zudem nach § 15e TPG eine verpflichtende Meldung an das Register durch verschiedene Stellen. Der Datenkranz umfasst dabei neben Daten zur Aufnahme in die Warteliste und zur Charakterisierung auch solche zu Nachsorge und Qualitätssicherung. Hauptzweck der Nutzung ist die Weiterentwicklung der Regeln zur Aufnahme in die Warteliste und zur Vermittlung der Organe sowie die Verbesserung der Qualität der Versorgung.

Der Hauptzweck der Verbesserung der Versorgung findet sich im Deutschen Hämophilieregister (DHR) wieder, welches in der Hämophilieregister-Verordnung vom 21. Mai 2019 gere-gelt wurde. Hierin vorgesehen ist eine Meldeverpflichtung der beteiligten ärztlichen Personen. Sofern eine Einwilligung der Patient:innen für die Einzelerfassung der Daten vorliegt, werden die personenidentifizierenden Daten an eine getrennte Vertrauensstelle übermittelt und pseudonymisiert. Beim DHR werden das Pseudonym und die Daten dann zusammengeführt. Liegt keine Einwilligung vor, werden nur anonymisierte Daten übermittelt.

Die Rechtsgrundlage des Implantateregister Deutschland (IRD), sieht für die Datenerhebung und -verarbeitung eine Meldepflicht für die verantwortlichen Gesundheitseinrichtungen gegenüber dem IRD und gegenüber der Vertrauensstelle vor. Eine Einwilligung ist nicht vorgeschrieben, vielmehr erfolgt eine Einschränkung der Rechte der Betroffenen, wonach diesen kein Anspruch auf Einschränkung der Verarbeitung oder Widerspruch zusteht.

Von großer Bedeutung sind außerdem die klinischen Krebsregister, die vorrangig der einrichtungsbezogenen Qualitätssicherung der Versorgung krebskranker Menschen dienen. In juristischer Hinsicht ist besonders, dass diese Register sowohl durch Bundes- als auch durch Landesrecht geregelt werden. Die Gesetzgebungskompetenz des Bundes für die grundsätzlichen Regelungen in § 65c SGB V (Verpflichtung der Bundesländer zur Errichtung, Finanzierung durch die Krankenkassen, Abstimmung eines Basisdatensatzes usw.) wird angesichts der Häufigkeit von Krebs als Maßnahme gegen gemeingefährliche Krankheiten aus Art. 74 Abs. 1 Nr. 19 des Grundgesetzes (GG) hergeleitet. Die konkrete Umsetzung dieser Krebsregister und damit ein Großteil der Detailregelungen, einschließlich der Bestimmungen zur Pseudonymisierung und zum Datenzugang, wird jedoch in den jeweiligen Landesgesetzen geregelt. Die Landesgesetze verpflichten die an der Krebsbehandlung beteiligten Versorger:innen zur Meldung der relevanten medizinischen Daten an die klinischen Krebsregister nach Information der Patient:innen ohne das Erfordernis einer Einwilligung. Die Daten, welche die Patient:innen direkt identifizieren (Identitätsdaten wie der Name), werden dabei immer nur an eine Vertrauensstelle übermittelt, welche dem Krebsregister dann ein entsprechendes Pseudonym für die medizinischen Daten dieses Patienten weitergibt. Manche Bundesländer sehen für die Patient:innen zwar die Möglichkeit zum Widerspruch vor, welcher in der Regel jedoch lediglich dazu führt, dass die jeweiligen Identitätsdaten nur eingeschränkt genutzt werden können oder nur als Chiffrat vorliegen dürfen. Während sich auch die Fristen für die Löschung von Identitätsdaten in den Ländern unterscheiden, bestehen für rein medizinische Daten keine Löschverpflichtungen.

In den Landeskrebsregistergesetzen normiert sind auch die epidemiologischen Krebsregister, welche der bevölkerungsbezogenen Analyse von Krebserkrankungen dienen. Diese erhalten Zugang zu bereits pseudonymisierten Daten der klinischen Krebsregister, welche meist für Zwecke der epidemiologischen Register noch etwas weiter ausgedünnt werden.

Aufgrund des Bundeskrebsregisterdatengesetzes (BKRG) gibt es seit 2010 auch eine bundesweite Zusammenführung der pseudonymen Daten aus den epidemiologischen Krebsregistern bei dem am RKI angesiedelten Zentrum für Krebsregisterdaten (ZfKD). Einen Mehrwert für die Zukunft soll das Gesetz zur Zusammenführung von Krebsregisterdaten schaffen, welches das BKRG dahingehend geändert hat, dass ab 2022 auch eine bundesweite Zusammenführung der zwar ebenfalls pseudonymen, aber doch detaillierteren Daten aus den klinischen Krebsregistern beim ZfKD sowie eine erweiterte Auswertung dieser Daten vorgesehen ist.

Insgesamt zeigt das Gutachten wesentliche Unterschiede bei den gesetzlich vorgeschriebenen Registern auf. Dies betrifft nicht nur deren krankheitsbezogenen Inhalte, sondern auch die Organisation, die notwendigen Strukturen, die Qualitätskriterien sowie die Rechtsgrundlagen (teils gesetzliche Erlaubnis, teils Einwilligung). Eine Schwäche der bundesgesetzlich geregelten Register sieht das Gutachten vor allem in der bis dato nicht vorgesehenen Anbindbarkeit für andere Register mit medizinisch-wissenschaftlichen Fragestellungen durch Bereitstellung von automatisierten Schnittstellen. So sind für die Nutzung von Daten aus den Registern spezifische Antragsverfahren für einzelne wissenschaftliche Vorhaben vorgeschrieben. Eine kontinuierliche Bereitstellung ist nur für die meldenden Stellen verankert. Der Gesetzgeber könnte, so das Gutachten, unter Einschluss der bundesgesetzlich geregelten Register die Datenanschlussfähigkeit verbessern, einen Rahmen für die Nutzung der erhobenen Daten schaffen und eine anlassbezogene Datenzusammenführung ermöglichen.

Rechtlicher Rahmen für nicht spezialgesetzlich geregelte Register
Wie sieht es bei der Mehrzahl der nicht spezialgesetzlich geregelten Register aus? Üblicherweise bestehen diese aus klinischen Patientendaten, welche im Versorgungszusammenhang erhoben wurden. Dabei werden die Daten in der Regel entlang definierter Schemata für die Übermittlung an das Register erfasst und dann in pseudonymisierter Form weitergegeben. Als Zwecke stehen wie allgemein bei medizinischen Registern Qualitätssicherung und/oder Forschung im Vordergrund.

Das SGB V als allgemeine Regelung für die GKV enthält grundsätzlich für beide Zielsetzungen Erlaubnistatbestände zur Verarbeitung personenbezogener Daten. Eine Datenverarbeitung zur Qualitätssicherung wird zunächst durch § 299 SGB V gestattet, allerdings nur soweit dies in den Richtlinien und Beschlüssen des Gemeinsamen Bundesausschusses oder bestimmten Vereinbarungen der Selbstverwaltung vorgesehen ist. Zudem wird die Datenzusammenführung auf Stichproben begrenzt, wenn keine gewichtigen medizinisch-fachlichen oder methodischen Gründe für eine vollzählige Erfassung sprechen. Somit sei § 299 SGB V für die meisten Register keine tragende Rechtsgrundlage.

Etwas missverständlich wird das Gutachten, wenn es in der Folge dann zunächst ausführt, dass für die Forschung mit Behandlungsdaten kein Erlaubnistatbestand existiere. Denn mit dem immerhin kurz erwähnten § 287 SGB V existiert seit Langem eine gesetzliche Erlaubnis zur Forschung. Diese gilt allerdings nur für Krankenkassen und Kassenärztliche Vereinigungen sowie die bei diesen vorliegenden Sozialdaten, also die dort primär zu Abrechnungszwecken erfassten Daten – und dies auch nur für befristete und im Umfang begrenzte Forschungsvorhaben, also keine auf unbestimmte Zeit angelegten Register.
Außerdem geht das Gutachten später noch auf den 2020 in Kraft getretenen § 287a SGB V ein, der für länderübergreifenden Vorhaben der Versorgungs- und Gesundheitsforschung auf § 27 des Bundesdatenschutzgesetzes (BDSG) verweist, welcher über § 287 SGB V hinaus eine Datenverarbeitung zu wissenschaftlichen Forschungszwecken auf gesetzlicher Grundlage ohne Einwilligung der Betroffenen erlauben kann. Aus Wortlaut und Entstehungsgeschichte wird abgeleitet, dass § 287a SGB V nicht auf Sozialdaten beschränkt sein soll, sondern alle für die bundeslandübergreifende Gesundheitsforschung erforderlichen Daten umfassen kann und insoweit auch die konkurrierenden Forschungsklauseln der Bundesländer verdrängt. Das Gutachten sieht gleichwohl die systematische Stellung im SGB als „sehr riskant“ an, da bislang davon ausgegangen wurde, dass sich das SGB allein auf Sozialdaten bezieht und in diesem Bereich abschließend ist. Auch wird darauf hingewiesen, dass die Gesetzgebungskompetenz des Bundes „nicht über jeden Zweifel erhaben“ ist, was nach Ansicht des Verfassers des vorliegenden Artikels jedenfalls dann gilt, wenn man § 287a SGB V über Sozialdaten hinaus auf komplexere Behandlungsdaten bezieht.

Auch soweit man auf § 27 BDSG zurückgreifen kann, verbleiben Herausforderungen bei dessen Auslegung und Anwendung, nach Meinung der Gutachter zwar weniger zum dortigen Begriff des Vorhabens, der auch Register umfassen soll, wohl aber zur Erforderlichkeit der Datenverarbeitung und vor allem zur dort vorgesehenen Abwägung. Denn für die Zulässigkeit eines Forschungsvorhabens müssen die Interessen des Verantwortlichen an der Verarbeitung die Interessen der betroffenen Person, hier also der Patient:innen, an einem Ausschluss der Verarbeitung erheblich überwiegen. Diese Abwägungserfordernis bringt dem Gutachten zufolge erhebliche Rechtsunsicherheit mit sich, weshalb eine generelle Anwendung dieser Vorschrift auf Register unrealistisch sei.

Liegt keine gesetzliche Erlaubnis zur Datenverarbeitung für Zwecke eines Registers vor, ist die Einwilligung der betroffenen Patient:innen erforderlich. Diese muss sich nach Art. 4 Nr. 11 der Datenschutz-Grundverordnung (DSGVO) auf „den bestimmten Fall“ beziehen, was gewisse Unsicherheiten für Register mit sich bringt, die sich nicht wie klinische Studien auf ganz konkrete Forschungsfragen fokussieren, sondern allgemeiner Forschung und Qualitätssicherung in ihrem Bereich bezwecken. Die Konferenz der deutschen Datenschutzaufsichtsbehörden hat zwar unter bestimmten Voraussetzungen eine weit gefasste Einwilligung für bestimmte Bereiche wissenschaftlicher Forschung („Broad Consent“) entsprechend Erwägungsgrund 33 der DSGVO für zulässig erachtet. Der gemeinsame Ausschuss der europäischen Datenschutzaufsichtsbehörden ist hier aber, wie das Gutachten ausführt, noch etwas unklarer in seiner Haltung. Diese Unsicherheit könnte der Gesetzgeber den Gutachtern zufolge ein Stück weit beseitigen, indem er beispielsweise den Broad Consent auf eine gesetzliche Grundlage stellt.

Dies hat er in Bezug auf die Bereitstellung von Daten der elektronischen Patientenakte (ePA) zu Forschungszwecken in § 363 Abs. 8 SGB V bereits getan, was das Gutachten (auf S. 108) auch anerkennt, selbst wenn es an anderer Stelle (S. 81) ausführt, dass § 363 SGB V keinen über das allgemeine Datenschutzrecht hinausgehenden Spielraum liefere. Zumindest ein Mehr an Rechtssicherheit im Hinblick auf den Broad Consent wie auch die Verfahrensweisen bei der Bereitstellung von Daten aus der ePA an das Forschungsdatenzentrum ist mit § 363 SGB V nach Ansicht des Verfassers des vorliegenden Beitrages aber schon erreicht worden. Es bleibt abzuwarten und zu begleiten, wie diese Möglichkeit technisch und organisatorisch so entwickelt wird, dass sie ab 1. Januar 2023 den Versicherten in der GKV zur Verfügung gestellt wird.

Rechtlicher Rahmen für die Verknüpfung von Datenbeständen
Ein weiterer wesentlicher Aspekt mit Auswirkungen auf die Weiterentwicklung medizinischer Register ist die Verknüpfung von Datenbeständen. Bei den zu verknüpfenden Datenbeständen handelt es sich regelmäßig um bereits pseudonymisierte Daten, was dazu führt, dass komplexe Record-Linkage-Verfahren für die Zuordnungen erforderlich sind. Anders als beispielsweise in den skandinavischen Ländern bestehen in Deutschland zum einen keine geplant gewachsenen Registerstrukturen, die von vornherein eine solche Datenverknüpfung vorsehen, zum anderen gibt es keinen eindeutigen Identifikator, der eine Ex-post-Verknüpfung fehlerresistent ermöglichen könnte.

Für Deutschland hält das Gutachten fest, dass für Forschungsvorhaben die eine eindeutige Identifizierung ermöglichenden Sozialversicherungsnummern als Grundlage einer Pseudo­nymisierung ausscheiden, da diese persönlichen Angaben über den Versicherten enthalten und somit dem Sozialgeheimnis nach § 35 SGB I unterliegen. Eine Verarbeitung ist daher nur unter engen Voraussetzungen zulässig. Erschwerend kommt hinzu, dass angesichts der detaillierten Regelungen im SGB zum Umgang mit diesen Nummern als Sozialdaten ein Rückgriff auf eine Einwilligung ausgeschlossen sei.

Die Verwendung der Krankenversicherungsnummer zur Generierung von Pseudonymen und zur sicheren Identifizierung ist auch bei Vorliegen einer Einwilligung unzulässig, sofern nicht – wie bei der Zusammenführung von Krebsregisterdaten mit Daten aus Krebsfrüherkennungs- und Qualitätssicherungsprogrammen nach § 25a Abs. 4 S. 6 SGB V – ein Erlaubnistatbestand besteht. Eine ergänzende gesetzliche Regelung, die eine Einwilligung der Betroffenen auch für andere Fälle ermöglichen würde, wäre jedoch dem Gutachten zufolge bei Zwischenschaltung einer Treuhandstelle verfassungsrechtlich zulässig und rechtspolitisch sinnvoll.

Gesetzgeberische Möglichkeiten für die Weiterentwicklung
Nach Empfehlung des Gutachtens sollte eine Zentralstelle für medizinische Register (ZMR) eingerichtet werden, wodurch unter Beachtung diverser Maßnahmen zur Qualitätssicherung eine höhere Qualität für Datenerhebungen garantiert werden soll. Zudem sei es erstrebenswert, allgemeine gesetzliche Regelungen für alle im ZMR gelisteten Register zu erlassen, ohne vielgestaltige Einzelregelungen treffen zu müssen.
Denkbar sei nach Auffassung der Autor:innen des Gutachtens zudem die einwilligungsfreie Meldung medizinischer Daten eines bei der ZMR gelisteten Registers auf der Basis eines Erlaubnistatbestands. Für Register, die als für die Bekämpfung von Krankheiten besonders wichtig eingeschätzt werden, könnte auch eine Meldepflicht eingeführt werden, um so die im Bereich der Qualitätssicherung mit Blick auf die Vollzähligkeit bestehende Hürde einer einwilligungsbasierten Rechtsgrundlage zu überwinden. Dafür müsste eine entsprechende Regelung eine Verordnungsermächtigung enthalten, welche es ermöglicht, bestimmte Register als besonders bedeutsam zu qualifizieren. Mit der Schaffung einer gesetzlichen Basis wäre es zudem möglich, das Problem des durch DSGVO, BDSG, SGB V und Landesrecht zersplitterten Rechtsrahmens anzugehen. Jedoch bedürfe es der Festlegung eines Datenkranzes, sodass für die Patient:innen vorhersehbar ist, welche Daten gemeldet werden. Die datenübermittelnde Stelle trifft insoweit eine Informationspflicht gegenüber den Patient:innen. Auch im Bereich der Forschung mit Registerdaten wäre den Gutachtern zufolge eine einwilligungsfreie Nutzung wünschenswert, wobei als Zwischenlösung die Vereinfachung und Vereinheitlichung der Patienteneinwilligung dienen soll.

Für Regelungen zur Einrichtung der ZMR wie auch zur Errichtung und Nutzung von Registern zur Qualitätssicherung im Gesundheitsbereich kann dem Gutachten zufolge auf die Gesetzgebungskompetenzen des Bundes zur Sozialversicherung (Art. 74 Abs. 1 Nr. 12 GG) und ergänzend auf die für Maßnahmen gegen gemeingefährliche oder übertragbare Krankheiten beim Menschen sowie das Recht der Arzneien, Medizinprodukte, Heilmittel und Betäubungsmittel (Art. 74 Abs. 1 Nr. 19 GG) zurückgegriffen werden. Problematisch wären lediglich ausschließlich auf Forschungsvorhaben bezogene Regelungen.

Für reine Forschungsregister oder eine ZMR mit dem Schwerpunkt registerbasierter Forschung käme ausschließlich die Förderung der wissenschaftlichen Forschung (Art. 74 Abs. 1 Nr. 13 GG) als Kompetenztitel in Betracht. Fraglich bleibt jedoch auch den Gutachtern zufolge, ob belastende Maßnahmen mit Grundrechtsrelevanz wie beispielsweise gesetzliche Erlaubnisse im Sinne des Datenschutzrechts hierauf gestützt werden könnten. Bestehen bleibt zudem die Frage, ob bei vorhandener Gesetzgebungskompetenz des Bundes, wie im Hinblick auf die Datenerhebung für Zwecke der Sozialversicherung, die Schaffung eines Erlaubnistatbestandes für die Sekundärnutzung (Weiterverarbeitung) von Sozialdaten zu Forschungszwecken aufgrund einer Annexkompetenz zulässig wäre, ohne die Nutzung an eine Einwilligung des Betroffenen zu koppeln.

Ausgewählte Impulse aus internationalen Registern
Internationalen Registern stehen teilweise weiter gehende Erlaubnistatbestände als nationalen Registern zur Verfügung. Ein Beispiel ist das US-amerikanische IRIS-Register, welches im Bereich Augenheilkunde mit dem Ziel der Qualitätssicherung und -verbesserung auf freiwilliger Basis eta­bliert wurde. Die Verarbeitung von pseudonymisierten Patientendaten ermöglichen die nationalen Datenschutzbestimmungen entsprechend dem Health Insurance Portability and Accountability Act (HIPAA) ohne eine gesonderte Einwilligung.

Einwilligungsbasiert hingegen erfasst das europäische ESID-Register nach den jeweiligen nationalen Rechtsgrundlagen Patientendaten zu primären Immundefekten. Das entsprechende deutsche ESID-Register beruht hierbei auf einer modular aufgebauten Einwilligungslösung ohne spezifische Rechtsgrundlage. Die ESID-Register beinhalten dabei lediglich die medizinischen Daten. Die personenidentifizierenden Daten werden dagegen von einer Treuhandstelle verwaltet. So können auch Daten klinischer Studien eingebunden werden.

Das niederländische Krebsregister wiederum ist als einwilligungsfreies Register mit Widerspruchslösung in Form einer unabhängigen Stiftung konzipiert. Lediglich die Durchführung von klinischen Studien sowie die Erhebung zusätzlicher Daten erfordern eine Einwilligung. Mangels spezifischer Rechtsgrundlage ist es derzeit jedoch erforderlich, mit jeder meldenden Stelle separate Verträge abzuschließen.

Fazit
Das Gutachten von BQS und TMF hat ein wichtiges Thema aufbereitet und diskussionswürdige Empfehlungen zur Weiterentwicklung des Rechtsrahmens für medizinische Register unterbreitet. Nach Meinung des Autors des vorliegenden Beitrages sollten jedoch nicht nur für eine Meldepflicht der Leistungserbringer:innen, sondern auch für eine gesetzliche Erlaubnis zur registerbasierten Datenverarbeitung ohne Einwilligung und damit einer Duldungspflicht der Patient:innen gewichtige Gründe vorliegen müssen, seien sie rechtlicher, medizinisch-fachlicher oder methodischer Natur. Solche Gründe dürften zum Beispiel für die Aufnahme der Daten von Schwerverletzten in das TraumaRegister der DGU vorliegen, da diese in der Regel nicht ohne Weiteres einwilligungsfähig sind. Eine Herausforderung liegt allerdings in der Suche nach einer geeigneten Gesetzgebungskompetenz des Bundes insbesondere für die Datenverarbeitung zu Forschungszwecken, auch wenn mehr bundeseinheitliche Regelungen wünschenswert sind.


Der Autor dankt Herrn Philipp Jäger für seine Mitarbeit bei der Erstellung dieses Artikels.

Das vollständige „Gutachten zur Weiterentwicklung medizinischer Register zur Verbesserung der Dateneinspeisung und -anschlussfähigkeit“ kann hier abgerufen werden:
www.bundesgesundheitsministerium.de/service/publikationen/details/gutachten-zur-weiterentwicklung-medizinischer-register-zur-verbesserung-der-dateneinspeisung-und-anschlussfaehigkeit-1.html