Datenschutz im Aufsichtsbereich – hier: Einführung von datengestützten Auswertungen gem. § 25b SGB V durch das Gesundheitsdatennutzungsgesetz

Sehr geehrte Damen und Herren,

mit Inkrafttreten des sog. Gesetzes zur Nutzung von Gesundheitsdaten (sog. Gesundheitsdatennutzungsgesetz - GDNG) wird Ihnen als Kranken- und Pflegekassen gem. § 25b SGB V die Möglichkeit zur datengestützten Auswertung zur Erkennung individueller Gesundheitsrisiken eingeräumt. Dazu sind verschiedene Voraussetzungen zu erfüllen. 

Nach § 25b Abs. 1 SGB V sind ausschließlich zu den dort beschriebenen sechs Zwecken die Durchführung von datengestützten Auswertungen zur Erkennung individueller Gesundheitsrisiken
zulässig. 

Dabei muss die Auswertung nicht durch die Kranken- und Pflegekassen selbst erfolgen. Denn § 25b Abs. 2 S. 5 SGB V räumt die Möglichkeit ein, dass dazu der Abschluss von Dienstleistungsverträgen zulässig ist. Dabei ist jedoch zu beachten, dass eine Anzeige gem. § 80 SGB X nicht die Anzeige gem. § 25b SGB V ersetzt. Vielmehr sind insoweit gegenüber der Aufsichtsbehörde zwei separate Anzeigen einzureichen: Die Anzeige gem. § 25b SGB V über die datengestützte Auswertung und die Anzeige gem. § 80 SGB X zur Auftragsdatenverarbeitung.

Gegenüber den Versicherten sieht § 25b Abs. 2 und 3 SGB V eine Informationspflicht über die geplante Auswertung sowie das Recht auf Ausübung eines Widerspruchs gegen diese Auswertung vor. Nach Maßgabe dieser Vorschrift darf erst vier Wochen nach Information der Versicherten mit der Auswertung begonnen werden. In den Datensatz zur Auswertung dürfen nur Daten derjenigen Versicherten einbezogen werden, die der Auswertung nicht widersprochen haben.

Eine weitere Informationspflicht vor Durchführung der Auswertung ist gegenüber dem Verwaltungsrat einzuhalten. Nach § 25b Abs. 6 Satz 2 SGB V hat die Kranken- oder Pflegekasse den Verwaltungsrat unverzüglich über ein Programm zur Auswertung nach Absatz 1 zu unterrichten. 

In § 25b Abs. 6 SGB V wird eine Pflicht zur Anzeige der geplanten Datenauswertung gegenüber der Aufsichtsbehörde begründet. Inhalt dieser Anzeige ist die Information der Aufsichtsbehörde über die verwandten Datengrundlagen, die Ziele der Auswertung und das mit der Auswertung verfolgte Programm. 

Für die Einreichung der Anzeigen haben wir eine E-Mail-Adresse sowie ein Anzeigeformular entwickelt. Bitte füllen Sie das Formular aus und senden dieses nebst den angeführten Anlagen an folgende E-Mail-Adresse:
 datenauswertung@bas.bund.de 

Zudem möchten wir Sie auf die weitere Verpflichtung aus § 25b Abs. 9 SGB V hinweisen: Wenn die Kranken- und Pflegekasse entgegen der gesetzlichen Vorgaben des § 25b Abs.1 bis 8 SGB V Daten verarbeitet hat und ein Vorstandsmitglied hiervon gewusst hat oder hätte hiervon wissen müssen, begründet dies ein mögliches Regressverfahren gegen den Vorstand. Denn die Aufsichtsbehörde hat nach Anhörung des Vorstandsmitglieds den Verwaltungsrat zu veranlassen, das Vorstandsmitglied auf Ersatz des aus dieser Pflichtverletzung entstandenen Schadens in Anspruch zu nehmen, falls der Verwaltungsrat das Regressverfahren nicht bereits von sich aus eingeleitet hat. Somit geht mit dieser Vorschrift auch eine weitgehende Haftung des Vorstands einher.

Die neue Vorschrift stellt sowohl die Kranken- und Pflegekassen als auch die Aufsichtsbehörden vor neue Herausforderungen. Wir sind bestrebt, die verschiedenen Verpflichtungen, die zu Verwaltungsverfahren zwischen Ihnen und dem BAS führen, mit geringstmöglichem bürokratischem Aufwand umzusetzen. Zu diesem Zweck haben wir für das Anzeigeverfahren ein Formular entwickelt, dass Ihnen eine vollständige Dokumentation der relevanten Daten und uns eine zügige Bearbeitung ermöglicht.

Für Fragen hinsichtlich der Anwendung der Vorschrift, aber auch für Anregungen zu dem von uns entwickelten Formular, stehen wir Ihnen gerne zur Verfügung.

Mit freundlichen Grüßen
Im Auftrag
(Schulte-Drüggelte)
Anlage