Gutachter: IT-Dienstleister BinDoc betreibt illegale Krankenhaus-Falldatenbank

Schweres Geschütz fährt das Netzwerk Datenschutzexpertise gegen den IT-Dienstleister BinDoc aus Tübingen auf. In einem jetzt veröffentlichten Gutachten kommen der frühere schleswig-holsteinische Datenschutzbeauftragte Thilo Weichert und seine Co-Autorin Karin Schuler zum Schluss, dass das Unternehmen rechtswidrig von Krankenhäusern sensible Patientendaten einsammele und kommerziell weitervermarkte. Dies könnte Auswirkungen auf die gesamte sogenannte Sekundärnutzung von Gesundheitsinformationen durch Forscher und Firmen haben, die politisch gewollt ist.

Im Zentrum der Kritik steht der Umgang von BinDoc mit zeitbezogenen Informationen, die mit der Aufnahme und Behandlung von Patienten in Kliniken zusammenhängen. Diese "Falldaten" werden laufend erfasst, um den aktuellen Verlauf einer Krankheit abzubilden. Krankenhäuser sind gesetzlich verpflichtet, diese Beschreibungen zu erstellen und für eng definierte Zwecke bereitzustellen. BinDoc bietet Kliniken an, diese personenbeziehbaren Gesundheitsdaten für eigene Wirtschaftlichkeits- und Marktanalysen auszuwerten und mit denen anderer Krankenhäuser zu vergleichen. Der Dienstleister speichert die mit "einer Art Schneeballsystem" gewonnenen Daten der Auftraggeber dabei laut den Gutachtern "in vorgeblich anonymisierter Form", um sie für eigene Analysen sowie für Dritte zu nutzen. Das Register der Firma umfasse schon rund 17 Millionen Behandlungsfälle.

Die vermutete Rechtmäßigkeit und Datenschutzkonformität des Geschäftsmodells basiere vollständig auf der Annahme des Dienstleisters, "dass er lediglich anonymisierte Falldaten erhält und verarbeitet", arbeiten die Autoren heraus. Bei diesen greife die Datenschutzgesetzgebung nicht. "BinDoc behauptet, dass die Verarbeitung in eigener Verantwortung ausschließlich mit anonymisierten Daten erfolgen würde", heißt es in der Untersuchung. "Diese Aussage ist falsch."

Versuche zur Anonymisierung

Tatsächlich verarbeite und speichere das Unternehmen die Patientendaten nur in pseudonymisierter Form, erklären die Verfasser. So genüge wenig Zusatzwissen, "um die Falldaten zu reidentifizieren". BinDoc unternehme im Wesentlichen drei Versuche, um die Informationen zu "anonymisieren": Einige Datenfelder würden aus dem Datensatz entfernt, andere durch einen Hashwert ersetzt oder "durch Kategorisierung in Wertegruppen (Kohorten) übertragen". Alle diese Ansätze ließen sich aber leicht aushebeln. Bei einer Datenpanne etwa könnten Dritte allein durch "Ausprobieren" bekannter Versicherten-IDs oder krankenhausinterner Kennzeichen auf Patienten rückschließen und so deren Falldaten eindeutig zuordnen. Das Unternehmen verstoße so nicht nur gegen Datenschutzbestimmungen sondern auch gegen Paragraf 203 Strafgesetzbuch (StGB), indem es Privatgeheimnisse etwa von Ärzten verletze.

BinDoc ist für circa 300 Unternehmen tätig. Zu den Kunden und Geschäftspartnern gehören deutsche Universitätskliniken sowie die Sana-, Artemed- und Agaplesion-Krankenhäuser. Das Unternehmen führt auch für Medizintechnik- und Pharmaunternehmen, Banken und Ministerien Analysen durch. Aufträge werden teils über die Muttergesellschaft Oberender vermittelt, dem hiesigen Marktführer im Klinik- und Krankenhausmanagement.

BinDoc weist die Vorwürfe zurück

Die ausgemachten Rechtsverstöße müssten sehr ernst genommen werden, fordern Weichert und Schuler: Die Sekundärnutzung werde durch Initiativen wie das Gesundheitsdatennutzungsgesetz (GDNG) und den Europäischen Gesundheitsdatenraum (EHDS) vorangetrieben. Der damit verbundene Paradigmenwechsel beim Patientengeheimnis erfolge "ohne hinreichende Reflexion der Konsequenzen für das heilberufliche Vertraulichkeitsversprechen und insbesondere ohne Schutzmaßnahmen für die betroffenen Patienten". Selbst den Anforderungen des GDNG und des EHDS genüge die Bereitstellung der Daten an BinDoc und die dortige Nutzung "nicht im Ansatz". Letztlich werde das Vertrauen in ein vorrangig gemeinwohlorientiertes Gesundheitssystem geschädigt.

Sven Seemann, Chief Experience Officer von BinDoc, wies die Behauptungen gegenüber heise online entschieden zurück: "Das Gegenteil ist der Fall. Den Aufbau der Datenbank haben wir von Beginn an, bis einschließlich heute, durch kontinuierliche, externe Datenschutz-Gutachten von renommierten Experten begleiten lassen." Das Unternehmen habe daher bereits Widerspruch gegen die Vorwürfe beim Datenschutzbeauftragten von Baden-Württemberg eingereicht, den das Netzwerk zum Einschreiten aufforderte. Im Laufe der Woche will BinDoc detaillierter Stellung nehmen.

(akn)