Noch ein Nachtrag von gestern: Die Gesellschafter der gematik, die die IT-Infrastruktur für die elektronische Patientenakte (ePA) bereitstellt, haben wohl das Opt-out-Prinzip für diese ePA beschlossen. Sprich: Funktionäre der gematik legen fest, dass das Anlegen der elektronischen Patientenakte (ePA), die Befüllung und der Zugriff sowie die "pseudonymisierte" Datenweitergabe zu Forschungszwecken erfolgen darf, wenn der Patient dem nicht aktiv wiederspricht. So ganz nebenbei werden auch der elektronische Medikationsplan (eMP) sowie die elektronische Patientenkurzakte (ePKA) Teile der ePA. Kommen soll das bis 2025. Ich habe mal einige Informationen und Gedanken zur Thematik zusammen getragen.
Anzeige
Wer ist die gematik?
Die Gematik GmbH ist die Spitzenorganisationen des deutschen Gesundheitswesens, gegründet 2005, die Einführung, Pflege und Weiterentwicklung der elektronischen Gesundheitskarte (eGK) und ihrer Infrastruktur in Deutschland voranzutreiben, zu koordinieren und die Interoperabilität der beteiligten Komponenten sicherzustellen.
Die Gesellschafter der Gematik sind das Bundesministerium für Gesundheit (BMG), die Bundesärztekammer (BÄK), die Bundeszahnärztekammer (BZÄK), der Deutsche Apothekerverband (DAV), die Deutsche Krankenhausgesellschaft (DKG), der Spitzenverband der Gesetzlichen Krankenversicherungen (GKV-SV), der Verband der Privaten Krankenversicherung (PKV), die Kassenärztliche Bundesvereinigung (KBV) und die Kassenzahnärztliche Bundesvereinigung (KZBV).
Der Opt-out-Beschluss der gematik-Gesellschafter
Zum 7. November 2022 teilt die gematik mit, dass die Gesellschafterversammlung der gematik an diesem Tag entschieden habe, dass die elektronische Patientenakte (ePA) soll noch in dieser Legislaturperiode als Opt-out-Lösung umgesetzt werden soll. Demnach soll die ePA dann für alle Versicherten automatisch eingerichtet werden. Ich hatte diese Entwicklung kommen sehen, da im Vorfeld bereits ausgiebig diesbezüglich lobbyiert wurde. Ich verweise auf meinen Kommentar hier vom 11. August 2022. Zitat aus meinem Kommentar:
Ich verlinke mal auf diesen Tweet, wo das diskutiert wird. Ein Rechtsgutachten der Bertelsmann-Stiftung hat sich damit befasst und der Ärztetag befürwortete auch "opt-out" – hat der betreffende in seinem Blog "Der digitale Patient" thematisiert.
Tenor: Opt-out ist notwendig, damit die ePA überhaupt genutzt wird. Also erst mal machen – wenn dann alle Patienten per ePA digitalisiert sind, kann ein Patient ja immer noch opt-out wählen. Ich hatte darauf hingewiesen, dass der Großteil der Leute das gar nicht abschätzen kann und ich aus Sicherheitsbedenken arge Bauchschmerzen habe. Bei den Tweets und der Antwort hier dreht sich mir der Magen um – überspitzt formuliert: Wir müssen das machen – Bertelsmann hat das so festgestellt und das ist auch gut so. Der Betreiber des Blogs, Dr. Etgeton, gehört zur Bertelsmann-Stiftung – und deren Rechtsgutachten und die Aussagen werden dann in Entscheiderkreisen als "na bitte, geht doch" herumgereicht.
Ich kann mir persönlich nur schwer vorstellen, dass der Großteil der Ärzte dem Entschluss des deutschen Ärztetags da voll informiert und in Kenntnis der Folgen, dediziert zustimmt. Alleine die Forderungen, dass es einfach funktionieren muss, und die Sicherheit der Patientendaten gewährleisten muss, ist ja bereits ein Oxymoron – was gerade widerlegt wurde.
Und auf die Hürden im Praxisalltag hat da mit Sicherheit keiner geschaut – für mich sieht es wie eine "Funktionärsentscheidung" aus "irgendwie ist es schon gut, dess es ist erforderlich, dass valide Daten für Versorgungs- und Forschungszwecke abrufbar bereitgehalten werden – wird schon irgendwie gut gehen".
Wer sich von der Funktionärsentscheidung (sprich: den gematik Gesellschaftern) nicht gut aufgehoben sieht und die automatische Anlage samt Befüllen und Zugriffsbefugnis sowie Datenweitergabe im Hinblick auf die eigene ePA nicht möchte, muss aktiv widersprechen. Damit das auch jeder versteht, spricht die gematik vom Opt-out-Prinzip. Laut Mitteilung hat die gematik hat demzufolge den Prüfauftrag für eine "Opt-out-ePA" erhalten, in dessen Rahmen vier wichtige Opt-out-Dimensionen geprüft werden sollen:
Anzeige
- die Bereitstellung der Akte,
- der Zugriff auf die ePA,
- die Befüllung der ePA
- und die pseudonymisierte Datenweitergabe zu Forschungszwecken.
Ferner wurde laut Mitteilung beschlossen, dass auch der elektronische Medikationsplan (eMP) sowie die elektronische Patientenkurzakte (ePKA) Teile der ePA werden sollen.
Opt-out-ePA zentraler Bestandteil der Gesundheitsversorgung
Damit ist die Angelegenheit "eingetütet" – die gematik Gesellschafter haben über die Daten von Millionen Krankenversicherten entschieden. Verkauft wird dies damit, dass nur damit das Potenzial der elektronischen Patientenakte vollumfänglich auszuschöpfen sei. O-Ton der gematik:
Denn als Opt-out-Lösung wird sie zu einem zentralen Teil einer modernen, digitalen Gesundheitsversorgung in Deutschland – patientenzentriert, zugänglich für alle Bürger:innen und unabhängig von Alter oder digitaler Affinität.
Die Opt-out-ePA bündelt relevante Gesundheitsdaten von allen Versicherten individuell, sicher und souverän an einem Ort und stärkt damit die Patientensicherheit erheblich: Sämtliche an einer Behandlung beteiligte Leistungserbringer bekommen schnell und effizient einen Überblick über die Krankengeschichte von Patient:innen.
Medikationsprozesse können besser begleitet und Doppeldiagnosen vermieden werden. Arztbriefe und Befunde liegen künftig nicht mehr in Papierform vor oder müssen per Fax oder Post versendet werden. Diagnosen und Dokumente anderer Fachkolleg:innen können vielmehr direkt nach der Untersuchung abgelegt werden und sind sofort einsehbar.
So viel zur Märchenstunde der gematik (ich verweise in diesem Zusammenhang auf meinen Blog-Beitrag Elektronische Patientenakte (ePA 2.0) als Sicherheitsrisiko?). Im Vergleich zur künftigen Opt-out-Lösung müssen sich Versicherte zurzeit bei ihrer gesetzlichen Krankenkasse für eine ePA registrieren, um eine elektronische Patientenakte angelegt zu bekommen. Das klappt aber hinten und vorne nicht (siehe gematik untersagt Video-Ident-Verfahren in der Telematikinfrastruktur (9. August 2022)).
Mit der Opt-out-Geschichte hat man eine "wunderbare" Lösung geschaffen: Wer nicht aktiv widerspricht, bekommt die ePA und diese wird befüllt, gelesen und für die Weitergabe von Daten zu Forschungszwecken missbraucht.
Warum ich Bauchschmerzen habe
Grundsätzlich würde ich ja sagen: Der Zugriff auf meine Gesundheitsdaten wäre ja eine gute Sache, wenn ich die Kontrolle behalte und das Ganze sicher ist. Sicherlich wird auch jeder zustimmen, dass die Freigabe von pseudonymisierten Daten für die Forschung eine vernünftige Sache ist.
Pseudonymisierung hat noch nie funktioniert
Bei der Pseudonymisierung von persönlichen Daten wird der Name oder ein anderes Identifikationsmerkmal durch ein Pseudonym (zumeist ein Code, bestehend aus einer Buchstaben- oder Zahlenkombination) ersetzt, um die Feststellung der Identität des Betroffenen auszuschließen oder wesentlich zu erschweren.
Die Pseudonymisierung hat aber noch nie richtig funktioniert, denn im Gegensatz zur Anonymisierung bleiben bei der Pseudonymisierung Bezüge verschiedener Datensätze, die auf dieselbe Art pseudonymisiert wurden, erhalten. Die Pseudonymisierung ermöglicht also – unter Zuhilfenahme eines Schlüssels – die Zuordnung von Daten zu einer Person, was ohne diesen Schlüssel nicht oder nur schwer möglich ist, da Daten und Identifikationsmerkmale getrennt sind. Entscheidend ist also, dass eine Zusammenführung von Person und Daten noch möglich ist.
Je aussagekräftiger die Datenansammlung ist (z. B. Einkommen, Krankheitsgeschichte, Wohnort, Größe), desto größer ist die theoretische Möglichkeit, diese auch ohne Code einer bestimmten Person zuzuordnen und diese identifizieren zu können. Um die Anonymität zu wahren, müssten diese Daten gegebenenfalls getrennt oder verfälscht werden, um die Identitätsfeststellung zu erschweren.
Selbst wenn man postuliert, dass der theoretische Prozess der Pseudonymisierung so gestaltet wird, dass eine gezielte Zuordnung der Daten zu einer Person nicht erkennbar ist – wer sagt mir denn, dass dies über die Jahre immer so bleibt. Es muss nicht einmal Vorsatz sein, sondern ein kleiner Fehler bei der Datenextraktion für die Pseudonymisierung eines Datensatzes für die Forschung kann verheerende Folgen haben. Speziell, wenn Patienten seltene oder stigmatisierende Krankheiten haben.
Hier kann man nur jedem Patienten raten, dieser Weitergabe zu widersprechen – denn nicht umsonst heißt es "Daten sind das neue Öl".
An den Taten sollt ihr sie messen
Ich habe weiter oben im Text den Lobgesang der gematik bezüglich der Vorteile und der Sicherheit der Opt-out-ePA gezielt zitiert. Man gibt sich bei der gematik überzeugt, dass alles im Griff zu haben. Am Artikelende habe ich ja einige Blog-Beiträge verlinkt, die zeigen, dass Gesundheitsdaten im Fokus von Angreifern stehen. Ich könnte wöchentlich über große Datenschutzvorfälle im Gesundheitswesen bloggen, wo Millionen Patientendaten über Ransomware-Angriffe, Hacks oder Unachtsamkeit für unbefugte Dritte einsehbar werden. Gut, ist Ausland wie USA, Australien, Indien etc. Wir sind natürlich Deutschland mit Spitzenfunktionären und der gematik GmbH als Stelle, die diese Infrastruktur bereitstellt. Da wird doch alles besser?
Gemäß meiner Überschrift sehe ich leider schwarz, denn die gematik hat sich bisher nicht mit Ruhm bekleckert, was die bisherigen Fortschritte betrifft. Im Blog-Beitrag Elektronische Patientenakte (ePA 2.0) als Sicherheitsrisiko? hatte ich dargelegt, wie wackelig die ePA im Hinblick auf bösartige Dokumente ist. Die Vorstellung der kassenärztlichen Vereinigungen (ich hatte mal an einer Sitzung teilgenommen): Die Arzthelferin muss vor dem Upload von Dokumenten an einem eigenen PC prüfen, ob die Dokumente für die ePA sauber sind. Dann übernimmt sie über die Praxissoftware die Dateien in die ePA. Alles in Allem haftet aber der Arzt für alles. Halte ich in der Praxis für nicht tragbar.
Um das Kaliber der Qualität der gematik-Dienstleistungen vor Augen zu führen, verweise ich einerseits auf meinen Blog-Beitrag gematik untersagt Video-Ident-Verfahren in der Telematikinfrastruktur (9. August 2022). Erst als der Chaos Computer Club nachgewiesen hat, dass das Video-Ident-Verfahren, welches zur Verifizierung der Patienten für die ePA verwendet wurde, leicht ausgetrickst werden kann, stoppten die Funktionäre diese Vorgehensweise.
Seit Monaten wogt der Streit über einen Millionen schweren Austausch der TI-Konnektoren in Arztpraxen – die gematik sieht dies als "alternativlos". Der Chaos Computer Club hat nachgewiesen, dass dies schlicht Geldschneiderei ist (siehe meinen Blog-Beitrag TI-Konnectoren im Gesundheitswesen – der "400 Millionen Euro"-Hack des Chaos Computer Clubs). Auch das BSI hält den Austausch der TI-Konnektoren nicht für erforderlich (siehe z.B. diesen Artikel).
Und aktuell musste die gematik ja die Verschiebung der vollen Funktionalität des eRezepts mit Einlösemöglichkeit durch Apotheken auf Sommer 2023 verkünden (ich hatte die Tage im Beitrag KBV: Gematik verschiebt eRezept-Einlösung mit eGK auf Sommer 2023 berichtet). Den Grund darf man sich auf der Zunge zergehen lassen: Am Ende des Tages scheiterte die Umsetzung, weil die gematik Vorstellungen zur Verschickung der eRezepte per E-Mail mit dem Datenschutz kollidierte. Dabei hatte der Bundesdatenschutzbeauftragte Ulrich Kelber den Beteiligten drei datenschutzkonforme Lösungen vorgeschlagen – die wollte oder konnte man bei der gematik aber nicht umsetzen. Stattdessen wurde der "Datenschutz" als Bremse ausgemacht und von Funktionären auch so kommuniziert.
Wenn ich diese Ketten an Pleiten, Pech und Pannen verfolge, habe ich nicht den Eindruck, dass die gematik-Lösung für die elektronische Patientenakte (ePA) in sonderlich guten Händen ist. Über die Aussage "Die Opt-out-ePA bündelt relevante Gesundheitsdaten von allen Versicherten individuell, sicher und souverän an einem Ort und stärkt damit die Patientensicherheit erheblich." brauchen wir in diesem Kontext in meinen Augen nicht wirklich seriös nachzudenken. Diese Aussage ist schlicht eine Binse für die Presse.
Es mag sich zwar mit der Zeit bessern. Wer nach "ePA Zugriffsberechtigungen" im Internet sucht, erhält jede Menge Treffer, oft von Krankenkassen und Anbietern von Apps, die erklären wollen, wie einfach die Berechtigungsverwaltung doch sei. Mit ist schlicht dieser Artikel aus August 2020 in Erinnerung, wo der Datenschutzbeauftragte Ulrich Kelber die fehlende, granulare Berechtigungsverwaltung rügte und androhte, dass die Krankenkassen allen Versicherten eine Warnung bezüglich dieser Risiken zukommen lassen müssen. Das sieht nicht nach einer souveränen Umsetzung aus, sondern auch da wurde gewurstelt auf Teufel komm raus.
So als Fußnote: Dass das Zeugs alles per App – von Krankenkassen oder Drittanbietern oder von der gematik – verwaltet werden soll, ist ein Treppenwitz. Das Zeug läuft ggf. auf Smartphones, die keine Sicherheitsupdates mehr erhalten – oder es scheitert an passender Hardware. Dass wir langsam am App-Wahn ersaufen – jede Stelle will ja heute eine App. Dass die Speicher der Smartphones dann "platzen", die Leute den Überblick verlieren und das Ganze sicherheitstechnisch ein Alptraum wird (Tracking, fehlende Updates) etc. scheint niemanden zu interessieren. Es herrscht "Silo-Denke", nur dass zählt, was ich in meinem Loch so hervorschaufele.
Unter diesem Aspekt geht ich mit einem sehr unguten Gefühl in die ganze Geschichte und werde wohl mein Recht zum Opt-out in diversen Bereichen wahrnehmen.
DSGVO mit zweierlei Maß?
Zum Abschluss noch etwas zum Nachdenken. Als Betreiber einiger Blogs mache ich Handstände, um die DSGVO einzuhalten. Kürzlich habe ich über die Abmahnwelle zu Google Fonts berichtet (siehe auch Achtung: Neue Google Fonts-Abmahn-Welle (Oktober 2022)). Hier geht es um die theoretische Möglichkeit, dass ein Webseitenbesucher beim Nachladen benutzter Google Fonts seine IP-Adresse an Google überträgt. Google könnte diese zur Profilbildung verwenden – statthaft wäre dies nur, wenn der Besucher vorher seine Einwilligung gibt. Wer meine Blogs erstmalig besucht, muss eine Cookie-Consent-Einwilligung geben, weil auch dort Daten erfasst werden könnten. Selbst für Kommentare wird die Einwilligung gespeichert. Fazit: Ohne aktive Einwilligung geht fast nichts – obwohl im Grunde nur eine IP-Adresse übermittelt wird.
Und nun kommen wir zur elektronischen Gesundheitsakte, in der höchst sensible Daten, inklusive Name, Geburtsdatum und Adressen gespeichert werden. Und da beschließt eine Gesellschafterversammlung, bestehend aus Funktionären, dass eine Opt-out-Lösung eingeführt wird. Nur wer aktiv wiederspricht, kann verhindern, dass seine Daten erfasst, ausgewertet und (pseudonymisiert) weitergegeben werden? An dieser Stelle ist mir die Kinnlade heruntergefallen – bei den Kollegen von heise lese ich hier nichts dazu. Die gematik soll lediglich die vier oben genannten Optionen im Prüfauftrag zusammen mit dem Bundesbeauftragten für Datenschutz erarbeiten. Bin ja mal gespannt, welches Überraschungen da noch warten – und ich schäme mich, dass mir spontan der Gedanke "Bananenrepublik" durch den Kopf schoss.
Ähnliche Artikel:
Elektronische Patientenakte: Bär will Datenschutz schleifen
Digitalisierung im Gesundheitswesen: Ärzteverbände fordern einjähriges Moratorium
Gesundheitswesens: Einrichtungen Hauptziel von Ransomware-Angriffen
Elektronische Patientenakte (ePA 2.0) als Sicherheitsrisiko?
gematik untersagt Video-Ident-Verfahren in der Telematikinfrastruktur (9. August 2022)
Video-Ident durch Chaos Computer Club "sturmreif geschossen"
Problem mit statischer Aufladung bei eGK 2.1-Lesegeräten
Datenleck: Old-School-'Hack' für Gesundheitskarte
KBV: Gematik verschiebt eRezept-Einlösung mit eGK auf Sommer 2023
TI-Konnectoren im Gesundheitswesen – der "400 Millionen Euro"-Hack des Chaos Computer Clubs
Cyber-Sicherheit im Gesundheitswesen
Sicherheitslücken im deutschen Gesundheitsdatennetz
Nächstes Sicherheitsdesaster bei Vivy-Gesundheits-App
Gesundheitsdaten ziehen Kriminelle besonders an
Digitalisierung Deutschland: Patientendaten in Praxissoftware einsehbar
Hack dein Gesundheitsamt, die Luca-App machte es möglich
Datenschutz-GAU: Finger weg von der Gesundheits-App Vivy
Schweizer Impfplattform mit schweren Sicherheitsmängeln
Der Schweizer Impfpass: Gescheitert an der Sicherheit
Tenable zeigt: Fast 106 Millionen Gesundheitsdaten offengelegt
Autsch: Der CovPass-Ansatz zum digitalen COVID-19-Impfnachweis wird fünfmal teurer als geplant
Anzeige
> ich schäme mich, dass mir spontan der Gedanke "Bananenrepublik" durch den Kopf schoss.
Dafür brauchst Du Dich nicht zu schämen. Wer wachen Auges durch die Welt (oder im speziellen durch Deutschland) geht muss das schon längst erkannt haben. Alles andere ist Schönrederei.
Hoffentlich erfahre ich es möglichst zeitnah, wie und wo man sein Opt-Out aussprechen kann, diesem Gematik-Verein kann man nun wirklich nicht trauen. Die wollen die "Digitalisierung" mit der Brechstange umsetzen, Sicherheit wird nur als Belästigung und Bedürfnis von Spinnern gesehen. Ganz nach dem FDP-Motto: Digitalisierung first, Bedenken second. Vollpfosten!
Ich bin vor allem mal gespannt wie lange der Opt-Out verfügbar ist, bevor die automatische Anlage der ePA und damit die Verarbeitung unserer persönlichen Daten startet. Vielleicht werden ja auch erst die Daten verarbeitet und nach ein, zwei Jahren kann man dann den Opt-Out nutzen, weil der leider noch nicht verfügbar ist.
Die Punkte im Artikel taugen auf jeden Fall nicht als Maßnahme zur Vertrauensbildung. Eigentlich sehr schade, denn grundsätzlich ist eine Digitalisierung des Gesundheitswesens ja durchaus als sinnvoll zu betrachten.
"Forschungszwecke" finde ich auch sehr allgemein formuliert.
Sicher möchten da Leute erforschen wieviel Geld sie mit den Daten verdienen können.
(Bemerkenswert: Beim Thema Organspende hätte ich die Wiederspruchslösung, wenn auch mit Bauchschmerzen, akzeptiert. )
Ein OptOut macht das Ganze auch nicht mehr schlimmer: Das wird wieder so laufen, dass man plötzlich beim Arztbesuch von der Sprechstundenhilfe ein paar Blätter Papier zum Unterschreiben hingehalten kriegt. Mit der Erläuterung „Das brauchen wir wegen dem Datenschutz." – Unterschreibste, wirste behandelt; weigerst du dich, kriegste den Doktor gar nicht erst zu sehen.
Bei Widerspruch kann es einem blühen, dass man sich eine andere Praxis suchen muss. Vielleicht auch eine andere Krankenkasse.
Politisch gewollt. So wie es früher Industrievertreter mit irgendwelchen Staatschefs von Entwicklungsländern machen konnten, nutzt die Digitalisierungslobby heute bei uns die Unbedarftheit der Entscheidungsträger aus. Hauptsache es glitzert und heißt „modern".
Die Gematik-Entscheidungen trifft stets das BMG mit seiner Stimmenmehrheit – alle weiteren Vertreter des Gesundheitssektors haben nichts zu melden. Normalität sind deshalb Entscheidungen nach Gutdünken ohne Folgeabschätzungen für Leistungserbringer. Skandalöser Weise sind Ärzte gegen Honorarkürzung verpflichtet eine Blackbox (Konnektor) zu nutzen und haften auch noch für alle System- und Designfehler ohne Kenntnis von Details. Arbeitsabläufe in den Praxen werden stets komplizierter statt einfacher, es werden mehr Ressourcen verbraucht (mehr als doppelter Zeitaufwand, neue Drucker, höherer Papier- und Tonerverbrauch, Personal, Administration, Support) und zusätzlich gibt es als Sahnehäubchen eine inakzeptabel hohe Ausfallquote (Abstürze der Kartenleser, Serverausfälle etc.) Statt sich auf sinnvolle Dinge zu konzentrieren (schneller und sicherer Informationsaustausch zwischen Ärzten, Krankenhäusern, Gesundheitsämtern, Krankenkassen) zwingt man mitten in einer Pandemie Ärzten unfertige IT-Systeme auf.
Danke – dein Kommentar ist die Kurzfassung dessen, was in obigem Text und in einigen Blog-Beiträgen hier verteilt niedergeschrieben steht.
Schön zusammengefasst – das ist Deutschland in einer Nußschale.
Ich habe jetzt immer noch nicht verstanden ob das auch für private Krankenversicherung oder nur gesetzliche Krankenversicherung gelten soll.
Meines Wissens "nur" die gesetzlichen Patienten.
Die Privaten wissen ja schon jetzt welcher Arzt wem was verordnet hat.
Bei den Gesetzlichen wird das -absichtlich("Datenschutz")- durch "pooling" verschleiert.
Der Arzt meldet der Kassenärztlichen Vereinigung (KV) seine Leistung.
Diese prüft grob die Abrechung (ist ja nicht ihr Geld) und summiert auf wieviel der Arzt für diese und jene Kasse gearbeitet hat, bei der der Patient versichert ist.
Den Patienten-Namen braucht es nicht mehr. (Darum klappte einst der Trick mit den verstorbenen Patienten ja auch )
Die KV schickt der KV eine Rechnung mit der Summe aller Ärzte.
Die KK zahlt an die KV, die KV teilt das Geld wieder auf die Ärzte gemäß deren Anteilen auf. So grob.
Datenschutz at its best…
Habe ich die Verfassungs-Änderung verpasst die besagt daß die Gematik die 4. Macht im Staat ist?
Man erinnert sich das die Fingerabdruck-Daten im
Reisepass auch auf dem kurzen Dienstweg vom Vorstand der Bundesdruckerei eingeführt wurde.
Und welch kompetentes Lied die Gematik singt wurde ja mit der 300 Millionen Aktion klar.
Was ist das für ein Laden?
Wurde der mal auf Korruption untersucht?
Korruption ist wenn man übertragene Macht zum eigenen Vorteil nutzt..
Korruption ist in Deutschland schon lange Standard.
Ein Problem dahinter ist, das die Krankenkassen eine bessere Kontrolle der Ärzte haben wollen.
Das derzeitige System mit der Kassenärtlichen Verneinung verhindert das die ges. Kk weiß welcher Arzt z. B. ein bombengeschäft mit dem Verschreiben von Benzos macht. Das System verschleiert es in guter Absicht.
Mit der ePA und eRezept wäre eine Kontrolle möglich.
BRD = Bananen Republik Deutschland…
Aber echt.
Kann ich so nicht bestätigen. Meine Krankenkasse weiß sehr genau, welcher Arzt mir wann welches Rezept ausgestellt hat. Zumindest, sobald ich es einlöse, denn die Apotheke rechnet direkt mit meiner Krankenkasse ab, nicht mit der KV.
Kriege ich auch bei meinen Physiotherapie-Rezepten mit, die seit 7 Jahren außerhalb des Regelfalls ausgestellt werden. Regelmäßig kommt ein Schreiben der Krankenkasse, die nachfragt, ob ich einen Unfall hatte und ob Regress gegen Dritte gestellt werden könne. Allerdings sehen die wohl keine Details, sonst würden sich diese Schreiben erübrigen. Da ist vieles getrennt, was Mitarbeiter sehen können und was nicht.
ihr verschwendet zu viel Zeit mit Demagogie…
noch nie war es so einfach innerhalb Europas einen guten Job mit wenigen Mausklickts (inkl. Skype-Vorstellungsgespräch) zu finden und sogar 100% remote das Einkommen zu erwirtschaften! die oben genannten Zustände haben wir nicht seit gestern, und es wird auf absehbare Zeit sich nichts ändern, das gibt die Demographie einfach nicht her, der Rest ist simpelste Biologie und Grundschul-Mathematik
AB++
Es hat auch niemand was gegen Digitalisierung gesagt, hier geht es um was anderes wie dir scheinbar entgangen ist.
Du kennst sicher den Satz:
"Wo ein Trog ist, kommen die Schweine."
Günter, wann gehst Du in die Politik?
Ich habe allen älteren Bekannten in meinem Umfeld Hilfe auf Basis Deines Artikels angeboten, was Aufklärung und optout angeht. Das sind und waren alles böhmische Dörfer für sie.
Ich habe vorsorglich schon vor Wochen meiner Krankenkasse untersagt eine ePA anzulegen, zu befüllen, Zugriff darauf zu gewähren oder gar Daten weiterzuleiten.
Leider habe ich nur Blabla als Antwort erhalten und nicht die Zusicherung, das heute und in Zukunft auch so wie ich es wikk hanzuhaben. Ich werde das als Einschreiben Rückschein nochmal wiederholen. Sicher ist sicher.
Was hast du genau geschrieben?
Danke und Grüße
Eines habe ich noch nicht völlig verstanden:
Muss ich jetzt meiner Krankenkasse zur ePA widersprechen oder wie verhindere ich Schlimmeres?
Alles richtig, was hier einige schreiben.
Ich für meinen Teil wäre aber dankbar, wenn ich meine Krankenakte elektronisch mit führen könnte. Vor mir aus auf meiner Krankenkassen-Chipkarte.
ABER ich möchte die Karte einsehen dürfen und verwalten dürfen!
Zudem möchte ich entscheiden, was wer wann sehen darf und ich möchte meine Daten mit einem Key vor unbefugten Zugriff schützen können.
Aber der quatsch da oben ist haarsträubend und wie schon einige geschrieben haben irgendwie nicht DSGVO-konform!
Also sowieso oft.
Der Grundgedanke war bestimmt mal ganz toll, die Umsetzung ist Murks!
Löst euch bitte vom Gedanken, dass die Daten der elektronischen Patientenakte (ePA) auf dem Chip der Krankenkassenkarte (Elektronische Gesundheitskarte, eGK) gespeichert werden könnten. Wie groß soll den die Kapazität dieses Chipss ein, um 20 CTs, die Arztbriefe, Laborberichte, Medikamentenpläne, Gutachten, Verordnungen, ggf. Befunde und Behandlungen von zig Jahren zu speichern?
Selbst wenn es ginge: Und dann verliert jemand sein Kärtchen oder es wird geklaut oder der Chip geht kaputt – die schöne elektronische Patientenakte (ePA) wäre futsch, einfach so pulverisiert. Das Ganze funktioniert nur, wenn das Zeug irgendwo zentral gespeichert wird und sich dort jemand um Sicherheit und Backup kümmert. Aber damit kommen wir in ein Dilemma:
– Man kann ja mal postulieren, dass die an der betreffenden Stelle einen Superhelden-Job machen (in der Praxis hat jemand Durchfall und muss schnell aufs Klo, während eine Datenbank beim Sichern mal ungeschützt ins Internet fällt – oder jemand macht bei der Implementierung Mist und baut Sicherheitslücke um Sicherheitslücke ein …).
– Damit das Zeugs funktioniert, müssen zig Stellen über geeignete Software auf diese zentrale Datensammlung zugreifen. Damit kommen zig Praxis-Software-Hersteller ins Boot, die auf den Datensätzen herumfuhrwerken.
Und mitten drin der arme Patient, Arzt, Therapeut, der das im praktischen Alltag handhaben soll.
Arzt: "Ich bräuchte mal ihre Zugangsbewilligung, damit ich ihre Daten einsehen kann."
Patient: "Ups, mein Akku ist gerade leer.",
"Sorry, an meine Krankenkassenkarte habe ich ja gedacht, auch FFP-2-Maske ist mit dabei, aber mein Handy liegt zuhause."
"Sorry, mein Handy ist so alt, das funktioniert seit ein paar Wochen mit dem Dingens nicht mehr."
….
Einfach mal nachdenken: Das Zeug muss mit digitalen Zertifikaten signiert und abgesichert werden – die laufen aber ab. Die Smartphone haben Verfallszeiten von 1-2 Jahren – selbst wenn man mal 4-5 Jahre postuliert. Irgendwann fällt das Gerät wegen fehlender Updates raus (Zertifikate abgelaufen, App unterstützt das OS nicht mehr, eine Schwachstelle erzwingt den Umstieg auf ein neues Gerät).
Es gibt ein neues Handy und dann müssten die Daten bzw. die App transferiert werden – viel Spaß in Digitalien 2.0. Ist ja nicht nur die Krankenkassen App, sondern zig Banking-Apps, und, und, und.
Ich bin mir nicht sicher, ob das die Masse der Verantwortlichen auf dem Radar haben. Da kommt ein Tsunami an Problemen auf die Praxis zu. Wer in den letzten 2 Jahren zum Arzt muss, wird möglicherweise unsere persönlichen Beobachtungen bestätigen: In zig Fällen darf man miterleben, dass die IT in den Praxen gerade mal wieder Ärger macht und das Praxis-Team eine Art Notbetrieb organisiert, an der Hotline hängt oder die Patienten nach Hause schicken muss.
Gerade heute vom Physiotherapeuten gekommen – der hatte vor einer Woche einen DDoS-Angriff auf sein Terminverwaltungssystem (läuft in der Cloud) und hat 2.000 Mails mit Terminanfragen bekommen. Erst die Hotline konnte das abstellen, indem die Software offline genommen und dann ein DDoS-Schutz eingebaut wurde. O-Ton: Drei Kreuze, dass wir alle Patientendaten separat halten.
Wann kommen die Leute noch dazu, Patienten und Patientinnen zu behandeln? Kürzlich einen interessanten Bericht gesehen, "man klagt über fehlende Ärzte oder Probleme, Arzttermine zu bekommen", dabei hat sich die Zahl der Ärzte in den letzten Jahrzehnten stark erhöht. Nur kommen die nicht zum Behandeln, sondern ersticken in Bürokratie. Und da hauen die Funktionäre aus Gesundheitsministerium und Kassenärztlichen Vereinigungen samt Krankenkassen (alles Gesellschafter der gematik) den Digitalisierungs-Turbo rein, der das Ganze nochmals auf eine neue "Qualitätsstufe" hebt.
PS: Anonymisierte Stimme aus dem Umfeld:
Und wer erstellt die ePA Software? Es gibt Entwickler und es gibt Entwickler. Hab da in der Praxis schon gesehen das auf einer MS Plattform entwickelt wurde, die seit 15 J abgekündigt wurde.
Um mehr rauszuholen durften sich bei der Softwareschmiede auch die jungen Wilden austoben. Man konnte in jeden einzelnen Modul den Werdegang über die Jahre nach empfinden. Alles was sich nicht mehr integrieren lies, wurde kurz um irgendwie dazu gebaut. PDF Import über einen Mirth-Server. Teils Notfallkonzept, welches PDFs aus der DB mit PowerShell erzeugt.
eGK Leser: Quellcode findet man im Netz. Ist ja alles von 1999. Zumindest den ungeschützten Bereich mit Vers. Nummer, Träger ID und Träger-Bezeichnung + Adresse des Patienten.
Nach außen hin geben sich ja alle seriös. Aber es gibt Software aus 2020, die ausschaut wie aus der Rumpelkammer von 1999. Frage mich wer das kontrolliert?
Das ist das Grauen der Praxis – wenn ich ja literatisch begabt wäre, könnte ich ein Buch über die Erlebnisse eines Bekannten schreiben, der einem Arzt versucht, durch die Fallen der Digitaltechnik zu helfen – der hat das jetzt alles an einem Dienstleister abgegeben.
Ich habe mir meine persönliche E-Akte auf einem verschlüsselnden USB-Stick zusammen gebastelt. PDFs aller Arztbriefe, Befunde, Einweisungen und Entlassungen, Blutspenden, Rezepte etc..
Nur will man wirklich, dass eine Arztpraxis oder eine Klinik von jedem dahergekommenen Deppen den USB-Stick in den Praxis/Klinik-PC steckt? Auch eine gruselige Vorstellung.
Ich sitze da imer zwischen zwei Stühlen. Soll ich mich freuen, dass der Arzt jetzt genau Bescheid weiß und mich besser behandeln kann oder entsetzt davon laufen.
Als IT-Verantwortlicher würde ich das Nutzen von privaten Datenträgern grundsätzlich verbieten, als Datenschutzbeauftragter die zentrale Speicherung von Patientendaten.
Lösung: dezentral, verschlüsselt und mit Blockchain abgesichert?
Ich weiß es nicht.
Freundliche Grüße
@Günter Born
Okay, ich bin kein Softwareentwickler und die Thematik ist mir nur als Zuschauer bekannt.
Dass es gehen kann, zeigen Weltkonzerne, die weltweit vernetzt sind.
Ich selbst habe einige Jahre bei der LINDE AG gearbeitet und es hat so weit funktioniert. Aber ja, es muss zentral gesteuert werden und es bedarf Vollprofis.
Trotz alledem würde ich meine Krankenakte gerne digital haben.
Aktuell schleppe ich 3 Ordner mit mir herum, wo dann die MVA sich durch wuseln muss.
Es ist alles nicht einfach und die Praxen müssen übermenschliches leisten. Das sehe ich selbst bei meinen Fachärzten.
Die Lösungen sind vielfältig, aber alles kostet viel Geld und alle wollen Geld sparen. Allen voran die Krankenhäuser, die noch obendrein AGs oft sind.
"Damit das Zeugs funktioniert, müssen zig Stellen über geeignete Software auf diese zentrale Datensammlung zugreifen. Damit kommen zig Praxis-Software-Hersteller ins Boot, die auf den Datensätzen herumfuhrwerken. "
Die Hersteller von Praxissoftware können das nicht oft nicht leisten.
Es ist ja nicht nur die ePA sondern auch KIM, eAU und anderes.
Und deswegen gibt es oft keine native Unterstützung, sondern es wird
über externe Module realisiert …. z.B. Easy-Ti.
Am Rande: Die Module stören sich u.U. gegenseitig und müssen
dann auf ggfls auf verschiedenen Rechnern laufen.
Easy-Ti …
Die Software stellt IMHO im wesentlichen nur eine Schnittstelle auf die jeweiligen
ePA dar. Für die Datenspeicherung der ePA ist scheinbar der Ausgeber der
ePA zuständig. Für die TK macht das scheinbar IBM.
https://www.tk.de/techniker/leistungen-und-mitgliedschaft/online-services-versicherte/elektronische-patientenakte-tk-safe/datenschutz-und-recht-elektronische-patientenakte/wo-werden-ega-daten-gespeichert-2028902?tkcm=aaus
Der Hersteller bekommt es seit Monaten nicht hin, das die Software sich alle paar Wochen
automatisch neu lizensiert – darf ich alle paar Wochen von Hand erledigen.
Will man Daten lokal verarbeiten, werden Kopien auf einer lokalen Netzwerkfreigabe
abgelegt …völlig unstrukturiert … alles auf einem Haufen. Und es
hat auch jeder Praxismitarbeiter Zugriff darauf. Nicht so wirklich DSGVO-konform -oder ?
Patienten aus dieser lokalen Schnittstelle ( Easy-Ti) zu löschen geht überhaupt nicht.
Und die Daten aus einer ePA unstrukturiert auf einer Netzfreigabe liegen,
ist im Zweifel kaum machbar einzelne Patientendaten zu löschen.
Wird spannend wenn da mal ein Patient mit einer entsprechenden Aufforderung kommt.
Btw:
Easy-Ti ist bei uns seit einem Jahr installiert … es stehen noch immer
nur 5 "Testpatienten" drin.
Es hat auch kein Arzt Lust darauf sich mit der wenig ausgegoren Technik zu beschäftigen
und ggfls "IT-Support" bei Älteren und Kranken zu leisten, wie man den
die App bedient. Wenn denn ein Smartphone vorhanden ist.
( Ich selbst als Admin habe keines … )
Mir scheint, als ob die GEMATIK auf Biegen und Brechen den Australiern Konkurrenz machen möchte beim Thema "Vertrauenswürdiger, sicherer und vor allem GESICHERTER Umgang mit Daten von Krankenversicherten und Beitragszahlern":
https://www.9news.com.au/technology/medibank-hack-suspected-cybercriminal-releases-sample-of-australian-customer-data/26aa6096-f730-4a8c-83a1-b0d3da6519d7
Ich möchte Rene aus vollem Herzen zustimmen. Auch ich fände es toll, wenn mein behandelnder Arzt, nachdem ich bewusstlos im Krankenhaus liege, einen Zugriff auf meine Gesundheitsdaten hat und nicht ins Blaue hinein handeln muss.
Österreich hat mit Optout in diesem Kontext gute Erfahrungen gemacht. Die Schweiz hat den anderen Weg gewählt und kommt, auch aus anderen Gründen, nicht voran. Wenn sich ein demokratischer Staat, in einem demokratischen Prozess für eine allgemeine, elektronische Patientenakte entschieden hat, ist Optout, glaube ich, die richtige Wahl. Daran hängt es aber garnicht aus meiner Sicht. Das wirkliche Problem sind stümperhafte Umsetzungen, von grosssprecherischen Managertypen mit Dollarzeichen in den Augen und gesteuert von Politikern, deren digitales Mindset grenzwertig gegen Null tendiert. Wie sagte mein Freund Herr Spahn so schön: Die Gesundheitskarte kommt, Hacker hin, Hacker her. Nachdem der CCC und der NDR den Identitätsnachweis für den Zugriff auf die Patientendaten durch Ärzte an die Käsetheke nebenan haben liefern lassen und damit offengelegt haben, dass die, an private Unternehmen outgesourcten Umsetzungen, völliger Kohl waren. Dank an den CCC für die tolle Expertenarbeit. Insgesamt diskutieren wir viel zu wenig über die digitale Transformation unserer Gesundheitsprozesse und glauben, die Schlauen werden es schon hinbekommen. Ich bin da nicht so sicher…
Funfact: Echt! Jeder im DACH Raum kocht sein eigenes Süppchen… Unfassbar.
Zu: "Auch ich fände es toll, wenn mein behandelnder Arzt, nachdem ich bewusstlos im Krankenhaus liege, einen Zugriff auf meine Gesundheitsdaten hat und nicht ins Blaue hinein handeln muss."
Ist natürlich ein Wunsch aus dem rosaroten Einhornland – nicht übel nehmen, wenn ich das mal etwas zerpflücke.
Wenn ein medizinischer Notfall auftritt und der Patient in die Notfallaufnahme kommt, wird der Notfallarzt sein auf Erfahrungen und Ausbildung eingeübtes Programm mit Notfall-Maßnahmen abspulen und nicht in irgend einer elektronischen Krankenakte herum pulen, um herauszufinden, wann die Hämmoriden letztmalig behandelt wurden.
In solchen Fällen wären wichtig: Notfallinformationen über Medikamentenunverträglichkeiten und Blutgruppen, möglicherweise Hinweise auf dringend benötigte Medikamente – manche Menschen tragen so etwas als Notfall-Pass in einem Amulett bei sich.
Wenn ich aber mal postuliere, dass der Patient die Datenhoheit besitzt, mal zaghaft gefragt: Wie will der arme Notfall-Arzt von seinem bewusstlosen Patienten die Einwilligung zum Blick in die elektronische Patientenakte erhalten – ggf. mit erforderlicher PIN?
Es ist in meinen Augen eine Technik-Gläubigkeit, die hier geritten wird, ohne einen Funken auf die Praxis zu schauen. Sind die Regeln zu starr oder zu komplex, bekommen die Patienten das nicht mehr gebacken (wie häufig kommen die Fälle vor, wo Leute ihre PIN für Zahlungen mit der Kredit- oder Debit-Karte plötzlich nicht mehr wissen?). Sind die Regeln zu lax, öffnet das Missbrauch und Datenschutzvorfällen Tür und Tor (oben ist der Fall aus Australien verlinkt, wo ein Medizindienstleister Opfer eines Cyberangriffs wurde und 3 oder 4 Millionen Patientendaten offen liegen – die australische Regierung plant jetzt ein verschärftes Datenschutzrecht).
Mir ist noch die Thematik COVID-19-Impfung/Test-Nachweis mit der COVID-Pass-App in Erinnerung. Ständig war man irgendwo am wischen und am Suchen – war das Icon für die App verschwunden oder machte das Smartphone von jemandem Probleme, wurde die Schlange immer länger. Und nun soll jeder beim Arzt mit einer ePA-App herum fummeln? Die Mutter/der Vater mit der ePA-App für sich und seine Kinder. Die Kinder, wenn sie die alten Eltern zum Arzt begleiten? Der alleinstehende ältere Patient, der mit Digitaltechnik nichts am Hut hat und Pflegefall ist? Really?
Ich denke, wir haben aktuell ganz andere Probleme als Digitalisierung. Es ist eine von Beratern genährte Mär, dass mit Digitalisierung irgendwelche Ressourcen im Gesundheitswesen verbessert werden können, wenn die Strukturen und Abläufe von vor 20 Jahren nur digital abgebildet werden.
Man kann digitalisieren, wo es Sinn macht, aber mit Augenmaß. Aber nicht so, wie aktuell durchgeführt.
Der Arzt wird im Zweifelsfall genau die Laboranalyse oder das MRT, CT, 3D-Röntgenaufnahme anfordern, die er benötigt. Grund a) um Missverständnisse und Unklarheiten auszuschließen und b) um seine Geräte zu amortisieren.
Gerade beim Oralchirurgen miterlebt. Es gab eine Röntgenaufnahme des Kiefers vom Zahnarzt – für die Implantatplanung wurde eine neue 3D-Röntgenaufnahme angefertigt. Dann wurde etwas an einer gänzlich anderen Stelle entdeckt, was dringend behandelt werden musste. Dafür wurde eine neue 3D-Aufnahme angefertigt (habe ich bezahlen dürfen). In diesem Fall war ich sogar dankbar, dass der Chirurg sich das sehr genau in 3D angesehen hat, statt zu operieren und den Gesichtsnerv zu schädigen.
Bitte, bitte: Eine superwichtige Information fehlt zum Stichwort „Gesellschafterversammlung" und der Aufzählung der Gesellschafter der Gematik! Gesundheitsminister Spahn damals im Handstreich 51 Prozent für das Bundesministerium für Gesundheit (BMG) übernommen und ist damit Alleinherrscher, die Anderen nur Tapete.
ich mache mir da keine Sorgen. Google und Microsoft könnten mit den Daten was anfangen, aber wir doch nicht.
Wir können weder die Infrastruktur aufrechterhalten, noch für eine stabile Energieversorgung garantieren und Digitalisierung schon mal gar nicht.
D.h. außer Datensalat passiert da gar nix, außer der Backupserver steht wie bei Buchbinder der ganzen Welt öffentlich und ungeschützt zur Verfügung.
Was für Gefahren durch die zentrale Speicherung der Daten entstehen, sah man doch erst kürzlich in Australien:
Da wurde eine Krankenkasse gehackt, die Hacker haben Lösegeld verlangt und die Krankenkasse hat sich geweigert, das zu zahlen.
Daraufhin haben die Hacker alle erbeuteten Daten ins Internet gestellt.
Von mehreren tausend Leuten waren die kompletten Gesundheitsdaten öffentlich einsehbar!
Ich bin auch einmal gespannt, ob das Opt-Out-Verfahren vor Gericht Bestand hat.
Willkommen in der neuen schönen Datenwelt der Krankenversicherungen. – Das passt doch, tagesschau.de meldet heute:
„Hacker haben Gesundheitsdaten von Millionen Kunden einer australischen Krankenversicherung abgeschöpft und nun Teile davon im Darknet veröffentlicht. So landeten im verborgenen Bereich des Internets unter anderem private Informationen über Abtreibungen oder Patientendaten über Behandlungen etwa gegen HIV und Drogensucht."
(Quelle: h**ps://www.tagesschau.de/ausland/hacker-krankenversicherung-australien-101.html)
Q.E.D. – Der CCC hat schon vor längerer Zeit darauf hingewiesen, dass ein System, in dem Gesundheitsdaten von Millionen Patienten zentral gespeichert werden, am Ende nicht sicher betrieben werden kann. Dafür ist so ein System zu komplex; die Anzahl von Zugriffsmöglichkeiten und Berechtigungen, die angegriffen werden können, ist im Gesundheitswesen quasi unendlich.
Das Opt-out-Prinzip für die ePA ist eine schlechte, vielleicht sogar nur eine Scheinlösung, Augenwischerei. – Es wird sein, wie es immer in der digitalen Welt ist: Die Mehrheit der Ärzte und Patienten wird das nutzen, was ihnen vorgesetzt wird. Gleichzeitig wird der gruppendynamische Druck auf die kritische Minderheit der Ärzte und Patienten, die die ePA ablehnen, so groß werden, dass am Ende auch diese nicht umhin kommen werden, die ePA zu verwenden … Ich sehe mich schon in einer Praxis vor einem Arzt sitzen, der sagt: „Ja …, wenn Sie keine ePA haben, dann kann ich Sie auch nicht richtig behandeln …"
Ein Vögelein hat mit heute gezwitschert, dass die gematik intern davon ausgeht, dass 95% der Versicherten nicht von der Opt-out-Möglichkeit Gebrauch machen werden. Hat man sauber gedeichselt.
HI Günther,
es wäre ja mal wirklich gut für die Ü50ziger dann hier eine kleinen Beitrag zu schreiben was, wie, wo man bei den Gesetzlichen Krankenkassen tun muss, um ein rechtsicheres optout zu erreichen ;-) ich frag hier mal die Profis, gerade auch für die vielen Ü50ziger die technisch nicht so versiert sind, und das Video Identverfahren durch die Gematik untersagt wurde.
sobald was fest steht, und ich was weiß, werde ich was zu schreiben. Aktuell hat die gematik einen Prüfauftrag