Ausstieg vor dem Einstieg: Auf das Ende der Testphase des E-Rezepts und die optimistische Ankündigung der gematik, ab September in den beiden bisherigen E-Rezept-Testregionen Schleswig-Holstein und Westfalen-Lippe den Rollout zu starten, folgte am Montag die Ernüchterung. Die KV Schleswig-Holstein (KVSH) erklärte, dass sie den Rollout zunächst nicht unterstützen werde. Begründet wurde dies mit einer Kritik des Unabhängigen Landesbeauftragten für Datenschutz (ULD) in Schleswig-Holstein, die ein „Weiter-so“ aus Sicht der KVSH nicht erlaubt. Die Reaktionen ließen zumindest auf Twitter nicht lange auf sich warten: Sie reichten von „Whaaaaaat?“ und „Why????“ bis „Wenn das nicht so traurig wäre, käme man aus dem Lachen nicht mehr raus, Deutschland.“
Was ist da los?
Wer verstehen will, was da gerade passiert, der muss einerseits die Einschätzung des ULD, andererseits die umfangreiche Stellungnahme der KVSH lesen, die auf die ULD-Einschätzung aufsetzt. Dem ULD geht es um die Übermittlung des 2D-Barcodes des E-Rezepts von Leistungserbringern an Patient:innen per E-Mail oder SMS. Der enthält zwar keine personalisierten Patientendaten, verweist aber auf solche, nämlich den Ablageort des jeweiligen E-Rezepts auf dem Server des entsprechenden Fachdienstes der gematik. Daher sei die QR-Code Übertragung ohne „angemessene Verschlüsselung“ auch mit Einverständnis der Patient:innen nicht gangbar, da „die von den verantwortlichen Leistungserbringern vorzuhaltenden technischen und organisatorischen Maßnahmen“ auf objektiven Rechtspflichten beruhten, die „nicht zur Disposition stehen“, so die Datenschützer.
Die Datenschützer stoßen sich also weder an der E-Rezept-Übermittlung per gematik-App noch an der offiziellen Alternative, dem Ausdruck des 2D-Barcodes, der den Patient:innen dann (als Ersatz für das rosafarbene Muster 16) in die Hand gedrückt wird. Das ist beides aus Sicht des ULD in Ordnung. Was nicht geht, ist ein „Umgehungskreislauf“, der derzeit breit genutzt wird. Er wurde von mehreren Praxis-IT-Herstellern etabliert, in Schleswig-Holstein vor allem MediSoftware und CompuGroup. Dieser Umgehungskreislauf hatte in den letzten Wochen maßgeblich Anteil daran, dass die E-Rezept-Zahlen stärker stiegen, als viele erwartet hatten.
Der Umgehungskreislauf besteht darin, Patient:innen, die zum Beispiel ein Verlängerungsrezept benötigen, den QR-Code des auf dem TI-Server deponierten E-Rezepts aus der Praxis-IT heraus per E-Mail oder SMS zuzusenden. Die Patient:innen können den QR-Code dann an eine Offizin- oder Versandapotheke weiterleiten, und die Apotheke kann sich damit dann das E-Rezept herunterladen. Auch die direkte Weiterleitung des E-Rezepts an Apotheken kann so erfolgen.
Mail oder SMS sieht die gematik nicht vor
Die gematik-Spezifikation des E-Rezepts sieht diesen Weg aber nicht vor. Dort gibt es derzeit nur die E-Rezept-App, die bisher so gut wie gar nicht genutzt wird, weil niemand sie kennt und weil die (einmalige) Authentifizierung der Patienten:innen per NFC-fähigem Smartphone als vermeintliche Hürde gilt. Der zweite offizielle gematik-Weg für die Übertragung des QR-Codes ist der Ausdruck mit Übergabe an die Patient:innen, also der konventionelle Muster 16 Workflow mit neuem Blatt Papier.
Ein dritter offizieller Weg für die QR-Code-Übertragung an die Apotheke wurde dagegen gerade erst eingefädelt, vermutlich als politische Konsequenz des „Umgehungskreislaufs“, nämlich die Nutzung der eGK (statt der App) als identifizierendes Medium. Das wird aber nicht vor irgendwann 2023 zur Verfügung stehen. Gegen all diese Szenarien hat der ULD nichts. Auch einen „Umgehungskreislauf“ können sich Datenschützer prinzipiell vorstellen. Dafür reiche aber eine Transportverschlüsselung nicht aus. Mit anderen Worten: Wenn schon außerhalb der TI versandt wird, dann bitte mit Verschlüsselung und zusätzlichem Sicherheitsfeature wie 2-Faktor-Authentifizierung: „Denkbar erscheint es, der versicherten Person auf sicherem Weg getrennt ein Passwort zur Entschlüsselung der E-Mail oder des E-Mail—Anhangs zu übermitteln, welche(r) den QR-Code enthält“, so der ULD.
KVSH kriegt kalte Füße, KZVSH und KVWL nicht
Die Einlassung des ULD erfolgte in Form einer schriftlichen Erläuterung auf explizite Anfrage der KVSH-Chefin hin. Die KVSH begründet ihren Ad-hoc-Ausstieg aus dem Rollout damit, dass Ärzt:innen im Zweifel für Datenschutzvorfälle haften müssten, die beim „Umgehungskreislauf“, theoretisch passieren könnten – und zwar auch dann, wenn die Patient:innen jeweils explizit einwilligen, was sie tun.
Hier wird es dann allerdings etwas absurd. Patient:innen, die sich einen ausgedruckten QR-Code in der Praxis aushändigen lassen, können den natürlich einlesen und weiterleiten, wohin sie wollen. Die Arztpraxis dagegen soll das nicht dürfen, auch nicht auf Patientenwunsch – weil die KV etwas paternalistisch Sorge hat, dass Arzt oder Ärztin haften müssen. Die KVSH hätte ihre Ärzt:innen auch einfach über dieses Problem informieren können. Und die Ärzt:innen könnten dann selbst entscheiden, ob sie das (geringe) Risiko auf sich nehmen – wie sie das bei jedem Faxversand tun, den auch kein Datenschützer gerne sieht.
Denkbar wäre natürlich auch, den Umgehungskreislauf für den Übergangszeitraum entweder zu akzeptieren oder ihn bis zum Beginn der eGK-basierten Übertragung dadurch zu vermeiden, dass der QR-Code gefaxt wird. Das ist zwar nicht im Sinne irgendeiner Digitalisierung, aber es wäre der Muster 16 Status quo. Man sieht: Die KVSH hätte viele Möglichkeiten gehabt, anders zu reagieren als wie sie es getan hat. Das zeigt sich auch daran, dass die Kassenzahnärztliche Vereinigung in Schleswig-Holstein bisher nicht nachgezogen ist. Und auch die KV Westfalen-Lippe, die zweite E-Rezept-Test-KV, hat mittlerweile bekannt gegeben, dass sie am Rolloutbeginn im September festhält.
Weitere Informationen:
Stellungnahme der KV Schleswig-Holstein zum Ausstieg aus dem E-Rezept Rollout
https://www.kvsh.de/praxis/praxisfuehrung/newsletter/erezept-ausstieg-aus-dem-rollout
Schreiben des ULD an die KVSH
Erläuterungen des ULD zu den Inhalten des Schreibens und der Anforderungen an mögliche Mail-/SMS-Übertragungen des QR-Codes