2015: Top 4

 Fragwürdiger Umgang mit Patientendaten

Ein Krankenhaus gibt Informationen über seine Patienten ohne Erlaubnis an die örtliche Kirchengemeinde weiter – so geschehen im rheinischen Troisdorf. Ein Beispiel für einen fahrlässigen Umgang mit Patientendaten. Informationen über Krankheiten gehören zur Intimsphäre des Menschen. Dennoch wird mit solchen Daten oft nicht angemessen umgegangen. Für Krankenkassen können ärztliche Informationen bares Geld wert sein. Patienten beschweren sich beispielsweise bei Datenschützern, weil sie sich von ihren Versicherern mit unzulässig detaillierten Fragebögen ausgehorcht fühlen. Dabei wird auch die Unwissenheit von Patienten ausgenutzt. Medien sollten stärker darüber aufklären, wie der Datenschutz für Krankenhäuser und Krankenkassen geregelt ist.

Sachverhalt & Richtigkeit:

Der Reporter des Rhein-Sieg-Anzeigers wunderte sich nicht schlecht, als eine E-Mail vom Troisdorfer St.-Josef-Hospital hereinflatterte. Noch größer wurde seine Verwunderung, als er den E-Mail-Anhang öffnete:  Es handelte sich um eine Übersicht mit sensiblen Patientendaten wie Adressen, Aufnahme- und Zimmernummer, Geburtsdaten, aber auch die behandelnde Fachabteilung, was Rückschlüsse auf die Erkrankung erlaubt. Bei der E-Mail handelte es sich um einen Irrläufer, die Daten sollten eigentlich an die katholische Kirche gehen, die mithilfe dieser Daten die Pfarrbesuchsdienste organisiert. Stattdessen ging die Mail aber an den Presseverteiler des Krankenhauses – mit intimen Informationen. Angeblich wurden alle Patienten um ihre Einwilligung für den Datentransfer gebeten, erklärt Karl Heinz Geßmann, der Verwaltungsleiter des St.-Josef-Hospitals. Das sei ein übliches Verfahren. Die Adressen der Patienten seien in der Liste enthalten, damit die ehrenamtlich tätigen Besuchsdienste in den Pfarrgemeinden die Patienten aus den Seelsorgebezirken leichter aufsuchen könnten. Davon wissen allerdings die Patienten nichts und widersprechen dieser Aussage. An sich sei es für ihn keine große Sache, dass die Daten herausgegeben wurden, aber eine Einwilligung wäre doch das Mindeste gewesen, meint ein Patient. Inzwischen hat der Verwaltungschef das Verfahren gestoppt. Er geht zwar weiterhin davon aus, dass es legal und auch üblich gewesen sei. Dennoch sollen Patienten-Listen künftig in dieser Form nicht mehr verschickt werden.

Dieser Datentransfer ist vielleicht kein Einzelfall. Es gibt Hinweise darauf, dass sensible Informationen von Krankenhauspatienten nicht nur zu Kirchen, sondern auch zu anderen Institutionen gelangen. Es besteht beispielsweise der Verdacht, dass ein unzulässiger Datenaustausch zwischen gesetzlichen Krankenkassen und Krankenhäusern stattfindet. Aufgrund des morbiditätsorientierten Risikostrukturausgleiches (morbi. RSA) besteht ein großes Interesse der Krankenkassen, Risikopatienten ausfindig zu machen und für sich zu gewinnen. Was ist dieser morbi. RSA? Gesetzliche Krankenkassen haben es jahrelang darauf abgesehen, möglichst junge, gesunde und gut verdienende Patienten aufzunehmen. Mit dem morbi. RSA soll nun die Wirtschaftlichkeit zwischen den Krankenkassen gewahrt bleiben, alte und (chronisch) kranke Patienten sollen nicht auf der Strecke bleiben. Wenn Krankenkassen viele schwer und chronisch kranke Mitglieder haben, bekommen die Kassen deshalb aus dem Gesundheitsfonds einen lukrativen Zuschlag.

Patienten, die an einer Krankheit leiden, die im morbi. RSA enthalten ist (bis zu 80 verschiedene Krankheiten), bringen unter Umständen den Krankenkassen mehr ein, als die Behandlungen kosten. Gesetzliche Krankenkassen, die chronisch kranke Patienten wie Hämophilie,- Demenz- oder Dialysepatienten haben, erhalten durch den morbiditätsorientierten Risikostrukturausgleich beträchtliche Summen erstattet. Krankenkassen sind somit nicht mehr auf junge und gesunde Patienten angewiesen, denn nun profitieren die Krankenkassen am stärksten, welche die „krankesten Versicherten“, wie Peter Schaar, der ehemalige Bundesdatenschutzbeauftragte, erklärt. Schaar sieht darum den Datenschutz bedroht, weil Krankenkassen versuchen, zusätzliche Informationen über die Krankheiten ihrer Patienten einzuholen.

Hinweise auf konkrete Fälle sind bei der INA aus verschiedenen Quellen eingegangen. Nils Schröder, der Pressesprecher des Landesbeauftragten für Datenschutz und Informationsfreiheit NRW, weiß von Beschwerden im Zusammenhang mit Fragebögen, die von den gesetzlichen Krankenkassen an Risiko-Patienten, welche unter den morbi-RSA fallen, verschickt wurden. Diese Fragebögen sollen zu viele Daten über die Patienten abgefragt haben und deswegen gegen den Datenschutz verstoßen haben.

Relevanz:

Das Thema ist relevant und aktuell, denn die meisten Patienten möchten nicht, dass ihre vertraulichen Daten weitergegeben werden. Mit dem Finanzausgleich durch den morbi. RSA soll die Wirtschaftlichkeit der Krankenkassen garantiert werden. Dies schafft aber auch einen starken Anreiz für Verstöße gegen den Datenschutz.

Vernachlässigung:

Der konkrete Fall des Datenaustausches zwischen dem Troisdorfer Krankenhaus und der Kirche fand ausschließlich regionale Aufmerksamkeit. Der Bonner Generalanzeiger berichtete darüber ebenso wie Rhein-Sieg-Anzeiger, der die Lokalausgabe des Kölner Stadtanzeigers in der Region darstellt. Überregionale Medien haben die Geschichte nicht aufgegriffen. Das Thema des Datenaustausches zwischen Krankenkassen und Krankenhäusern gerade in Bezug auf den morbiditätsorientierten Risikostrukturausgleich hat, trotz eines öffentlichen Hinweises der Datenschutzbeauftragten, medial keinen Niederschlag gefunden. Einzelne Berichte befassen sich mit der Frage der Verteilungsgerechtigkeit zwischen den Krankenkassen, nicht aber mit dem Datenschutz. Eine dpa-Meldung aus dem Jahr 2013 befasst sich mit der Datenerfassung im Zusammenhang mit dem morbi-RSA. Konkret geht es darum, dass Kassen und Mediziner die Eingruppierung in bestimmte Krankheitstypen „optimieren“ könnten, um höhere Zahlungen zu bekommen.

Quellen:

1. Norddeutscher Rundfunk: „Bundesdatenschutzbeauftragter: Zu enge Kontakte zwischen Kliniken und Kassen gefährden Patientendatenschutz“, 5.3.2013, http://www.presseportal.de/pm/6561/2427082/bundesdatenschutzbeauftragter-zu-enge-kontakte-zwischen-kliniken-und-kassen-gefaehrden/rss
2. Redakteur des Rhein-Sieg-Anzeigers stellte zwei Artikel zur Verfügung, die er im vergangenen August zum Fall am Troisdorfer Krankenhaus geschrieben hatte. Artikel liegen vor.
3. NDR-Pressestelle lieferte wichtige Hintergrundinformationen und Hinweise auf konkrete Fälle und benannte mögliche Verdächtige.
4. Der LDI – Landesbeauftragter für Datenschutz und Informationsfreiheit NRW  lieferte eine Stellungnahme und berichtete von der Sachlage, die der Behörde bisher bekannt war und stellte fest, dass Patienten bereits Beschwerde über Fragebögen eingereicht hatten.
5. AOK-Pressesprecher stritt alle Vorwürfe ab und verwies darauf, dass konkrete Fälle genannt werden müssten, um der Sache nachzugehen.
6. Die Pressestelle der Bundesdatenschutzbeauftragten für den Datenschutz und die Informationsfreiheit lieferte Hinweise auf einen Verdacht, konnte allerdings keine Informationen liefern.
7. Verband der privaten Krankenversicherung verwies auf die Schwierigkeiten solcher Fälle, sollten sie passiert sein, nachzuweisen und Beweise zu finden.
8.  Anonyme Quelle; vertrauliche Hinweise

Zitate:

„Seit der Veröffentlichung des Artikels mussten wir zum Leid einiger Patienten den Austausch von Krankendaten mit der GFO abbrechen. Ich kann versichern, dass die Daten ausschließlich an die GFO gingen und nicht für andere Institutionen vorgesehen waren.“ (Karl Geßmann, Verwaltungsdirektor im St. Josef Hospital in Troisdorf)

 

„Hinweise auf einen Austausch zwischen gesetzlichen Krankenkassen und Krankenhäusern sind aufgetaucht. Im Zusammenhang mit dem UKE und der AOK. Es soll konkrete Treffen zwischen Mitarbeitern der Krankenkassen und Krankenhauspersonal gegeben haben. Sei dies der Fall so handele es sich um eine Verletzung der ärztlichen Schweigepflicht und um eine Datenschutz-Verletzung, so auch der damalige Datenschutzbeauftragte Peter Schaar.“ (Frau Katja Kepper, Reporterin des NDR)

 

„Ein unzulässiger Datenaustausch ist nicht bekannt, keine konkreten Fälle von Austausch von Patientendaten. Wenn, dann ging es nur um Statistiken, die zusammengefasst datenschutzrechtlich kein Problem darstellen. Es gab allerdings bei der Bundesdatenschutzbeauftragten Beschwerden im Zuge der Fragebögen (die von den gesetzlichen Krankenkassen an Risiko-Patienten, welche unter den morbi-RSA fallen, verschickt wurden), welche zu viele Daten über ihre Patienten haben wollten.“ (Nils Schröder, Pressesprecher des Landesbeauftragten für Datenschutz und Informationsfreiheit NRW)