Nutzung von Gesundheitsdaten in der Forschung - Susanne Töpfer Bundesdruckerei-Gruppe
„Noch hat das Arbeiten mit Gesundheitsdaten für viele ein Geschmäckle“
Damit die Arbeit mit Gesundheitsdaten in der Forschung künftig besser gelingt, ist es wichtig, für die Sinnhaftigkeit dieser Arbeit zu sensibilisieren, sagt Susanne Töpfer, Senior Business Developer bei der bei Bundesdruckerei-Gruppe und zuständig für die Weiterentwicklung des Datentreuhänders. Im Interview erklärt sie, wie man beim Datentreuhänder der Bundesdruckerei bei der Pseudonymisierung von Gesundheitsdaten vorgeht, was dazu beiträgt, dass die Digitalisierung im Gesundheitswesen zügiger vorangeht – und warum ihrer Einschätzung nach das Gesundheitsdatennutzungsgesetz noch zu keiner großen Dynamik in der Arbeit mit Gesundheitsdaten geführt hat.
Frau Töpfer, was ist Ihr Digital Health Hack? Welche Herausforderung bei der Digitalisierung haben Sie gemeistert, deren Lösung auch für andere Akteure im Digital-Health-Bereich interessant sein könnte?
Meine Lieblingsanekdote dazu ist aus der Zeit der Corona-Pandemie. Die Bundesdruckerei hat damals einen entscheidenden Teil zum Aufbau des digitalen Impfquotenmonitorings zur Covid-19-Impfung geleistet. Es war gesetzlich vorgeschrieben, dass die Impfungen getrackt und dem RKI zugesandt werden sollten. Ich habe damals an der Schnittstelle zwischen den Entwicklern und Entwicklerinnen und dem Robert Koch-Institut gearbeitet. Die Idee kam im November 2020 auf und wir hatten nicht einmal zwei Monate Zeit, um das an den Start zu bringen.
Es gab viele Akteursgruppen, die bei dem Projekt zusammengearbeitet haben, und es war zunächst ein zäher Prozess. Es gab immer mal wieder Bedenken hinsichtlich des Vorgehens. Aber als dann alle anerkannten, dass es notwendig und sinnvoll ist, haben alle Zahnräder ineinander gegriffen. Es war interessant zu sehen, wie zügig wir dann eine Lösung hinbekommen haben, die technisch und vom Datenschutz her ausgereift war – und die uns dann durch die ganze Pandemie getragen hat.
Natürlich war die Grundvoraussetzung dafür, dass die Lösung kam, die gesetzliche Grundlage. Das hat Druck von außen erzeugt. Aber dass es dann so gut lief, lag daran, dass alle die Sinnhaftigkeit erkannt und an einem Strang gezogen haben. Man sieht daran: Auch bei der Digitalisierung im Gesundheitswesen kann es zügig vorangehen.
Entscheidend war also ein gemeinsames Verständnis davon, was erreicht werden sollte.
Genau, das ist die Grundbedingung dafür, dass es zügig geht. Wenn alle ein gemeinsames Ziel haben und sich alle vertreten und gehört fühlen, sieht man, wie schnell es gehen kann. Wichtig ist bei der Digitalisierung im Gesundheitswesen letztlich auch immer dafür zu sensibilisieren, welchen Nutzen die Lösung schafft. Das machen wir auch als Bundesdruckerei.
Wie?
Wir bieten beispielsweise Webinare an, bei denen wir Forschern und Forscherinnen und anderen möglichen Nutzenden Anwendungen vorstellen und die Möglichkeit bieten, mit Kollegen und Kolleginnen aus dem Vertrieb, aber auch dem Produktteam ins Gespräch zu kommen. Zu den Anwendungen zählt beispielsweise unsere Datentreuhänder-Plattform, bei der wir als neutraler Vermittler zwischen Datengeber und Datennutzer agieren. Wir zeigen bei den Webinaren unter anderem, wie die Daten verarbeitet werden. Wir wollen damit den Anwendenden Bedenken nehmen und aufzeigen, was alles möglich ist.
Beim Datentreuhänder werden Daten pseudonymisiert oder anonymisiert, damit keine Rückschlüsse auf die Patient:innen möglich sind. Erst einmal ganz grundsätzlich gefragt: Worin besteht der Unterschied zwischen diesen beiden Verfahren?
Die Anonymisierung ist das Verfahren, welches verhindert, dass sich später eine Verbindung zwischen den identifizierenden und den medizinischen Daten herstellen lassen. Dabei werden die identifizierenden Daten, wie der Name oder das Geburtsdatum, gelöscht und gegebenenfalls durch eine beliebige Zeichenfolge ersetzt. Dadurch lässt sich nicht mehr zurückverfolgen, woher dieser Datensatz ursprünglich kommt, der Personenbezug zum Individuum entfällt. Dadurch verlieren die Daten aber auch an Mehrwert für die Forschung.
Inwiefern?
Es ist dann nicht mehr möglich, quellenübergreifend zu einer Person zu forschen. Wenn jemand zum Beispiel in den vergangenen Jahren beim Hausarzt, in einer Augenklinik und wegen eines gebrochenen Beins im Krankenhaus war, werden die Daten jeweils anonymisiert. Dadurch ist man dann aber nicht mehr in der Lage die gesamte Gesundheitsgeschichte dieser Person zusammenzufügen. Der gesamte Datenschatz lässt sich dann nicht mehr heben.
Wie gelingt das durch die Pseudonymisierung?
Auch hier wird der Personenbezug zwischen den identifizierenden Daten und den medizinischen Daten aufgelöst. Aber im Vergleich zur Anonymisierung wird bei der Pseudonymisierung jedem medizinischen Datensatz dieselbe Zeichenkette zugeordnet – egal, ob die Daten beim Hausarzt oder im Krankenhaus erhoben wurden. Dadurch ist der Bezug zum Individuum nicht mehr gegeben, aber man kann quellenübergreifend die Daten für die Forschung nutzen. Und die Daten können zudem zeitübergreifend genutzt werden. Sprich: Wenn jemand nach einem halben Jahr wieder ins Krankenhaus zur Nachsorge kommt, können auch diese Daten dem Pseudonym zugeordnet werden.
Welche Daten werden neben dem Namen in der Regel pseudonymisiert?
Das ist von Kunde zu Kunde unterschiedlich. Häufig sind es neben dem Vor- und Nachnamen sowie dem Geburtsdatum auch die Versicherungsnummer und die Adressdaten, die wir pseudonymisieren.
Wie sieht der gesamte Workflow bei der Pseudonymisierung aus?
Grundsätzlich gibt es auf der einen Seite die Datengeber, zum Beispiel ein Krankenhaus oder eine Arztpraxis. Und zum anderen gibt es die Datennutzer, beispielsweise ein Forschungszentrum, das RKI oder privatwirtschaftliche Unternehmen aus dem Pharmaziebereich. Wir arbeiten aktuell vor allem mit Privatunternehmen zusammen. Viele Forschungseinrichtungen haben eigene Lösungen gebaut und kommen erst dann auf uns zu, wenn sie etwa Größeres umsetzen möchten.
Bei unserer Arbeit werden zunächst die identifizierenden Daten – also Name, Vorname und so weiter – sowie die medizinischen Daten – wie etwa die Informationen zu Medikamenten – voneinander getrennt. Die medizinischen Daten werden an unserem System vorbeigeschleust, sodass wir nichts damit zu tun haben.
Für die Pseudonymisierung gibt es ein lokales Tool, das beim Datengeber läuft und dort die Daten pseudonymisiert. Für Krankenhäuser ist es zum Beispiel gesetzlich vorgeschrieben, dass die Daten zunächst pseudonymisiert werden müssen, bevor sie die Klinik verlassen. Dann gelangen die Daten zu uns in die Rechenzentren der Bundesdruckerei und werden dort nochmals pseudonymisiert.
Wenn nun jemand mit den Daten forschen möchte: Wie werden dafür die medizinischen Daten mit den Pseudonymen wieder zusammengebracht?
Sowohl der medizinische Datensatz als auch die Pseudonyme erhalten eine Arbeitsnummer. Der Datennutzer kann dann anhand dieser Arbeitsnummer beides zusammenfügen und damit arbeiten.
Von wem stammen die Daten, die der Datentreuhänder der Bundesdruckerei verwaltet?
Es sind Arztpraxen und Krankenhäuser, aber auch Apotheken-Abrechnungszentren – also im Grunde alle Akteure im Gesundheitswesen, die Daten generieren.
Spielen auch bereits Daten aus Wearables eine Rolle?
Wir verarbeiten diese aktuell noch nicht. Es kommen schon viele Daten zusammen, wenn man die eben genannten Datenquellen nimmt. Wenn dann auch noch mehrere Millionen Bürger und Bürgerinnen mit ihren Wearable-Daten dazukämen, wäre das organisatorisch noch mal eine ganz andere Hausnummer. So weit sind wir noch nicht.
IT-Sicherheitsfachleute monieren immer mal wieder, dass nur wenige Datenpunkte nötig sind, um die Pseudonymisierung wieder aufzuheben, sodass sich die Person identifizieren lässt. Was ist dran an diesem Einwand?
Wir arbeiten mit zwei unterschiedlichen Salt, also zufällig gewählten Zeichenfolgen. Mit einer Zeichenfolge, die bei der Bundesdruckerei geschützt wird und die nur wir kennen. Und mit einem zweiten Salt, der in der lokalen Anwendung – zum Beispiel im Krankenhaus – implementiert ist und nur dort bekannt ist. Das bedeutet: In dieser Organisationskette verfügt niemand über alle Informationen. Selbst wenn also eine Instanz geknackt würde, wüsste man immer noch nicht, wer sich hinter einem Pseudonym verbirgt.
Wenn man mit sehr speziellen Krankheitsbildern arbeitet, die in einer Region nur sehr selten auftreten, muss man aber noch einen Schritt weiter gehen. Denn dann lässt sich mithilfe weniger Parameter in den medizinischen Daten eine Person identifizieren – auch wenn man mit Pseudonymen arbeitet.
Was kann man in diesem Fall tun, um dennoch sicherzustellen, dass eine Person nicht identifiziert werden kann?
Man muss zum Beispiel das Einzugsgebiet eines Datensatzes vergrößern, sodass es beispielsweise nicht mehr nur das Gebiet Berlin umfasst, sondern das Gebiet Berlin-Brandenburg.
Im Frühjahr vergangenen Jahres ist das Gesundheitsdatennutzungsgesetz in Kraft getreten. Es soll dazu beitragen, einfacher mit Gesundheitsdaten gemeinwohlorientiert zu arbeiten. Was hat sich Ihrer Erfahrung nach inzwischen getan? Ist eine Dynamik bei der Arbeit mit Gesundheitsdaten entstanden?
Es gibt viele positive Aspekte in dem Gesetz – etwa, dass man nun nicht mehr einwilligen muss, damit die Daten aus der elektronischen Patientenakte für die Forschung genutzt werden dürfen, sondern dass dies automatisch passiert, wenn kein Widerspruch vorliegt. Ich habe jedoch bisher nicht das Gefühl, dass durch das Gesetz ein großer Drive in der Arbeit mit Gesundheitsdaten gekommen ist.
Woran liegt das?
Oft fehlt der Mut, Erster zu sein. Der Umgang mit Gesundheitsdaten ist sehr sensibel, viele haben Angst, sich die Finger zu verbrennen. Sie warten daher lieber darauf, dass jemand anderes den ersten Schritt geht – obwohl es ja eine gesetzliche Grundlage gibt. Ich habe momentan noch das Gefühl, dass viele noch beobachten, was gut funktioniert und was nicht.
Was würde die Arbeit mit Gesundheitsdaten in der Forschung erleichtern?
Wie ich eingangs bereits angemerkt habe, spielt die Sensibilisierung für die Sinnhaftigkeit der Arbeit mit Gesundheitsdaten eine große Rolle. Noch hat das Arbeiten mit Gesundheitsdaten für viele ein Geschmäckle. Dabei kann sich die Perspektive schnell ändern, wie mir in einem Gespräch mit Vertretern von einem großen Pharmahersteller nochmal bewusst wurde: Die Erfahrung zeigt, dass Bürger und Bürgerinnen ihre Daten bereitwillig zur Verfügung stellen, wenn sie selbst an etwas erkranken, also zu Betroffenen werden. Sie erhoffen sich so, dass die Forschung schneller vorankommt.
Die Bundesdruckerei ist neben den Aktivitäten als Datentreuhänder auch in anderer Weise im Bereich Digital Health aktiv. Auf welche Weise ist die Bundesdruckerei darüber hinaus in diesem Feld tätig?
Wir betreiben Portale zur Bestellung des elektronischen Praxis- oder Institutionsausweises und zum elektronischen Heilberufsausweis. Über die Ausweise können sich Institutionen aus dem Gesundheitswesen als medizinische Einrichtung beziehungsweise Angehörige von Heilberufen und Betrieben der Gesundheitshandwerke gegenüber der Telematikinfrastruktur ausweisen. Die Bundesdruckerei betreibt auch das Organspenderegister.
Zudem sind wir beim Thema Datenräume aktiv. Hierzu haben wir ein Produkt, das wir Identity Hub nennen. Das ist ein Verifikations- und Identifizierungstool, das die Interaktion in einem Datenraum legitimiert. Es ist eine Softwarekomponente, die klärt, ob einzelne Personen, aber auch Unternehmen oder andere Akteursgruppen berechtigt sind, in einem Datenraum zu agieren.
Das Interview führte Hendrik Bensch.
**Hiergeht es zur Internetseite der Bundesdruckerei**.
Weitere Digital Health Hacks gibt es**hier.**
