Das war unerwartet. Das bisher unter dem Spitznamen DVG-2 laufende Patientendatenschutzgesetz (PDSG), dessen Referentenentwurf seit gestern vorliegt, fällt deutlich umfangreicher aus, als zuletzt gemutmaßt worden war. Es ist alles andere als „nur“ ein Datenschutzgesetz. Das PDSG bringt unzählige neue Fristen für gematik und Selbstverwaltung. Es macht äußerst detaillierte Vorgaben dazu, welche medizinischen Berufsgruppen auf welche Daten zugreifen dürfen. Es könnte einen echten Schritt zu mehr Interoperabilität bedeuten. Und es ist der bisher kräftigste Versuch, gesetzlich ernst zu machen mit jenem in Sachen Gesundheitsdaten selbstbestimmten Patienten, über den spätestens seit Ulla Schmidt alle Gesundheitsminister geredet haben.
Was steht nun drin im PDSG-Entwurf? Was folgt, erhebt keinen Anspruch auf Vollständigkeit. Es ist eine subjektive Auswahl in subjektiver Reihenfolge.
- Terminologien: §355 SGB V beschäftigt sich primär mit der schon bekannten Zuständigkeit der KBV für medizinische Informationsobjekte (MIOs). Neu ist insbesondere, dass die KBV verpflichtet wird, zur Gewährleistung der semantischen Interoperabilität vom BfArM für diese Zwecke verbindlich zur Verfügung gestellte Klassifikationen, Terminologien und Nomenklaturen zu verwenden. Spezifisch soll das BfArM bis zum 1. Januar 2021 eine Terminologie und eine Nomenklatur kostenfrei für alle Nutzer zur Verfügung stellen und dafür ein nationales Kompetenzzentrum für medizinische Terminologien aufbauen. Präziser wird das Gesetz selbst nicht, in den Erläuterungen wird aber explizit erwähnt, dass insbesondere SNOMED CT zur Verfügung gestellt werden soll und dass dem BfArM dafür Sachkosten in Höhe von 1,6 Millionen Euro im Jahr 2021 sowie 800.000 Euro in den Folgejahren, außerdem Personalkosten in Höhe von 600.000 Euro pro Jahr entstehen.
- Datenspende: Versicherte bekommen im §363 SGB V das Recht, die Daten ihrer elektronischen Patientenakte freiwillig für die wissenschaftliche Forschung zur Verfügung zu stellen. Den Umfang dieses Datensatzes können die Versicherten frei wählen. Sie betrifft nur Daten ohne Personenbezug, also Bilder, EKGs, Laborwerte, Diagnosen etc. Diese werden pseudonymisiert. Die Daten gehen ohne Pseudonym an das Forschungsdatenzentrum nach §303d SGB V, das Pseudonym wiederum geht an die Vertrauensstelle nach §303c SGB V. Die entsprechenden Festlegungen muss die gematik bis zum 30. Juni 2021 treffen.
- EPA-Zugriffe: Das PDSG regelt im §352 SGB V detailliert, welche Berufsgruppen welche prinzipiellen Zugriffsrechte auf die EPA-Daten bekommen – immer natürlich unter dem Vorbehalt der Patientenerlaubnis. Im Einzelnen wird eingegangen auf Ärzte, Zahnärzte, ärztliche Mitarbeiter, Apotheker, pharmazeutisches Personal, Psychotherapeuten, Pflegepersonal, Hebammen, Physiotherapeuten und andere.
- Ansprüche der Versicherten: Versicherte, die eine EPA nutzen wollen, haben gegenüber niedergelassenen Ärzten und Krankenhäusern den gesetzlichen Anspruch auf Übermittlung und Speicherung von Behandlungsdaten in der EPA. Die Patienten müssen darüber auch verpflichtend informiert werden.
- Unterstützung der Versicherten: Ärzte, Zahnärzte und Psychotherapeuten, die an der vertragsärztlichen Versorgung teilnehmen oder in Krankenhäusern arbeiten, müssen Patienten auf Verlangen bei der erstmaligen Befüllung und Nutzung einer EPA unterstützen. Diese Leistung darf abgerechnet werden, pro Versichertem und EPA aber nur einmal. Die Spitzenverbände müssen sich bis zum 1. Januar 2021 auf die Vergütungsmodalitäten einigen.
- Zugriffsmanagement der EPA: Die EPA wird – das war eine der Hauptintentionen des ganzen Gesetzes – ein Zugriffs- und Rechtemanagement bekommen. Dies wird, auch das keine Überraschung, gestuft eingeführt, um – das sagte BMG-Abteilungsleiter Gottfried Ludewig am Donnerstag bei einem öffentlichen EPA-Frühstück in Berlin – die Akteneinführung nicht noch einmal verschieben zu müssen. Ab 1. Januar 2021 soll es demnach eine relativ pauschale Zustimmungsregelung geben, bei der der Patient nicht einzelne Leistungserbringer und einzelne Dokumente/Datensätze separat adressiert, sondern einen dokumenten- und leistungserbringerübergreifenden Zugriff entweder erteilen oder nicht erteilen kann. Die Dauer dieses Pauschalzugriffs wird standardmäßig auf eine Woche begrenzt, der Patient/Versicherte kann die Zeit aber von einem Tag bis 18 Monaten selbst festlegen, wenn er das möchte. Ab dem 1. Januar 2022 soll dann das detaillierte Zugriffs- und Rechtemanagement greifen, das Datenschützer, Patientenvertreter und Verbraucherschützer fordern und das es erlaubt, den Zugriff auf spezifische Dokumente und Datensätze sowie auf Gruppen von Dokumenten und Datensätzen separat festzulegen. Zusätzlich soll der Patient unterschiedlichen Zugriffsberechtigten unterschiedliche Zugriffsrechte erteilen können, und zwar „mindestens“ hinsichtlich des Zugriffs auf Kategorien von Dokumenten oder Datensätzen.
- Neues vom eRezept: Relativ unerwartet gibt §360 SGB V der gematik die Aufgabe, eine Anwendung (App) zu entwickeln und zur Verfügung zu stellen, die den Versicherten Zugriff auf elektronische ärztliche Verordnungen gibt. Das ist jene „neutrale“ Rezeptplattform, die unter anderem die organisierte Apothekerschaft gefordert hatte und für die sie mit ihrer WebApp einen Aufschlag gemacht hatte. Es wird – soweit beim ersten Lesen nicht übersehen – allerdings nicht explizit ausgeschlossen, dass es weitere Rezeptplattformen geben kann. Diese müssen allerdings, auch das sagt §360, die TI nutzen, sobald die erforderlichen Dienste und Komponenten flächendeckend zur Verfügung stehen. §31 SGB V besagt zudem, dass Vertragsärzte oder Krankenkassen Verordnungen weder bestimmten Apotheken zuweisen noch Versicherte dahingehend beeinflussen dürfen. Die eRezept-Spezifikation der gematik muss wie gehabt bis zum 30. Juni 2020 vorliegen. Als neue Frist gibt es den 30. Juni 2021, bis zu dem eine Spezifikation für elektronische BtM-Rezepte erstellt werden muss. KBV und GKV-Spitzenverband müssen sich schließlich bis zum Ende des neunten auf die Gesetzesverkündigung folgenden Monats auf die Inhalte eines elektronischen Grünen Rezepts – für nicht verschreibungspflichtige Medikamente – einigen.
- Fristen, Fristen, Fristen: Wo wir schon bei Fristen sind. Davon gibt es eine ganze Menge. KBV und GKV Spitzenverband müssen bis zum Ende des siebten auf die Gesetzesverkündigung folgenden Monats die notwenigen Regelungen für elektronische Überweisungsscheine festlegen. Das betrifft Änderungen der Bundesmantelverträge ähnlich jenen, die derzeit für das eRezept in Arbeit sind. Die Anlage eines Notfalldatensatzes soll innerhalb des ersten Jahrs nach Inkrafttreten des Gesetzes gemäß §87 durch entsprechende Änderung des EBM doppelt vergütet werden, wohl um Anreize zu schaffen. Der GKV-Spitzenverband muss bis zum 1. Januar 2021 eine Richtlinie zu Maßnahmen zum Schutz von Sozialdaten in Abstimmung mit dem Bundesbeauftragten für Datenschutz erstellen und diese dann alle zwei Jahre aktualisieren.
- Nicht-ärztliche Gesundheitsberufe: Bis 30. Juni 2020 muss die gematik die Voraussetzungen dafür schaffen, dass Pflegeeinrichtungen sowie weitere nicht ärztliche Leistungserbringer – namentlich Hebammen, Physiotherapeuten, und – vor allem im Kontext Infektionsschutz – Mitarbeiter Öffentlicher Gesundheitsdienste – die TI nutzen können. (Der Passus klingt – erstes Lesen – so, als sei dafür das elektronische Gesundheitsberuferegister, das seit Jahren nicht vom Fleck kommt, erst einmal nicht nötig. Zumindest wird es im Gesetzesentwurf und auch in den Kommentierungen an keiner Stelle erwähnt.)
- Datenschutzrechtliche Verantwortlichkeiten: §307 SGB V regelt die datenschutzrechtlichen Verantwortlichkeiten bei der TI entlang der gesamten Datenkette. Leistungserbringer sind demnach verantwortlich für die Verarbeitung personenbezogener Daten mittels der dezentralen TI-Komponenten. Im Gesetzeskommentar heißt dazu, dass sich die Verantwortlichkeit schwerpunktmäßig auf die Sicherstellung der bestimmungsgemäßen Nutzung der Komponenten, deren ordnungsgemäßen Anschluss und die Durchführung von Updates beziehe. Für den sicheren Zugangsdienst ist demnach der jeweilige Diensteanbieter datenschutzrechtlich verantwortlich. Die Datenverarbeitung im gesicherten Netz fällt in die Verantwortlichkeit dessen, der von der gematik den Auftrag für den alleinverantwortlichen Betrieb erhalten hat. Die gematik selbst ist nicht Anbieter des Netzes und als solche demnach im operativen Betrieb auch nicht verantwortlich.
- Datenschutzrechtliche Informationen: Um Unklarheiten zu beseitigen, wird die gematik verpflichtet, eine koordinierende Stelle einzurichten, die insbesondere für Versicherte als einheitlicher Ansprechpartner zur Verfügung steht, wenn es darum geht, Datenschutzrechte effizient auszuüben.
- Beschlagnahmeschutz: Qua Änderung der Strafprozessordnung soll der Beschlagnahmeschutz nicht mehr nur für die elektronische Gesundheitskarte, sondern auch für die elektronische Patientenakte gelten.
Soweit ein erster Überblick. Wer Ergänzungen oder Änderungen hat oder auch Fehler entdeckt, gerne melden.