Weitergabe von Patientendaten durch eine Krankenkasse an eine private Firma
auf die Kleine Anfrage der Abgeordneten Birgitt Bender, Dr. Harald Terpe, Elisabeth Scharfenberg, weiterer Abgeordneter und der Fraktion BÜNDNIS 90/DIE GRÜNEN
Vorbemerkung der Fragesteller
Seit Anfang des Jahres erprobt die Deutsche Angestellten-Krankenkasse (DAK) in Bayern und Baden-Württemberg ein Betreuungsprogramm, das sich unter dem Titel „Besser leben“ an chronisch Kranke richtet. Dazu hat die DAK einen Vertrag mit dem Gesundheitsdienstleister Healthways abgeschlossen. Von Healthways beschäftigte examinierte Krankenpflegekräfte rufen regelmäßig bei Versicherten an, die an Atemwegsleiden, Diabetes, Herzinsuffizienz und koronarer Herzerkrankung leiden und beraten diese in Fragen der gesundheitsbezogenen Lebensführung. Der Bundesbeauftragte für den Datenschutz, Peter Schaar, bemängelt nun, dass im Rahmen dieser Kooperation die DAK vertrauliche Patientendaten an die Firma Healthways weitergegeben habe. Dafür gebe es aber aus seiner Sicht keine Rechtsgrundlage.
Vorbemerkung der Bundesregierung
Nach Mitteilung des Bundesversicherungsamts (BVA) zeigte die DAK mit Schreiben vom 30. August 2007 dem BVA eine beabsichtigte Auftragserteilung an die Firma Healthways International GmbH (Healthways) zur Verarbeitung personenbezogener Daten im Rahmen eines Modellvorhabens an. Nach dem zum damaligen Zeitpunkt noch nicht unterzeichneten Dienstleistungsvertrag sollte Healthways die Betreuung und Unterstützung der in Disease-Management-Programme eingeschriebenen Versicherten, die Erfolgskontrolle der Programme sowie die Auswahl, Rekrutierung und Information neuer Teilnehmer übernehmen.
Aufgrund verschiedener Hinweise leitete das BVA im April 2008 eine aufsichtsrechtliche Prüfung zu dem Modellvorhaben ein und forderte die DAK zu einer Stellungnahme und Übersendung weiterer Unterlagen auf. Eine erste Stellungnahme der Krankenkasse erfolgte mit Schreiben vom 28. Mai 2008, nach dessen Auswertung das BVA mit Schreiben vom 7. August 2008 um ergänzende Informationen gebeten hat. Da die aufsichtsrechtliche Prüfung des Sachverhaltes durch das zuständige BVA derzeit noch nicht abgeschlossen ist, kann zum jetzigen Zeitpunkt noch keine abschließende Bewertung dieser<bos>glegenheit erfolgen.
Fragen und Antworten17
Welchen künftigen Stellenwert misst die Bundesregierung der Beratung chronisch kranker Patientinnen und Patienten per Telefon oder Internet zu?
Eine fachlich fundierte telefonische Beratung (zum Beispiel zu Fragen der gesundheitsbezogenen Lebensführung oder zur Erinnerung an in bestimmten Zeitabständen empfohlene Untersuchungstermine) sowie entsprechende Internetangebote können als moderne Kommunikationsformen ergänzend zur ärztlichen Behandlung grundsätzlich sinnvoll sein, um die Erreichung der im Rahmen des persönlichen und unmittelbaren Arzt-Patienten-Verhältnisses vereinbarten therapeutischen Ziele zu fördern. Solche Angebote können jedoch nicht die ärztliche Beratung und Behandlung ersetzen. Ärztinnen und Ärzten ist es berufsrechtlich nicht erlaubt, individuelle ärztliche Behandlung, insbesondere auch Beratung, ausschließlich über Kommunikationsmedien oder Computerkommunikationsnetze durchzuführen (§ 7 Abs. 3 der Musterberufsordnung für die deutschen Ärztinnen und Ärzte – MBO).
Werden von anderen Krankenkassen als der DAK entsprechende Angebote gemacht bzw. sind diese in Planung?
Nach Angaben des BVA ist eine telefonische Beratung zu Gesundheitsfragen bei den Krankenkassen gängige Praxis. Bei diesen Angeboten nimmt allerdings regelmäßig der Versicherte selbst den ersten Kontakt zur Kasse auf, wohingegen bei dem Angebot der DAK in Zusammenarbeit mit Healthways die Initiative vom Dienstleister ausgeht. Auch soll im Rahmen des Programms „Besser leben“ eine intensivere Betreuung des Versicherten über eine längere Zeit stattfinden.
Wie viele Versicherte nehmen derzeit an dem Programm „Besser leben“ teil?
Derzeit nehmen nach Angaben des BVA ca. 40 000 Versicherte an dem Programm „Besser leben“ teil.
Auf welcher Rechtsgrundlage wird das Programm durchgeführt?
Die aufsichtsrechtliche Prüfung des BVA ist insoweit noch nicht abgeschlossen.
Ist die Anwerbung von Versicherten für die Einschreibung in das Programm beendet, oder wird das Programm auch weiterhin von der Krankenkasse beworben?
Nach Auskunft des BVA wird das Programm in geänderter Form fortgesetzt. Die Akquisition neuer Teilnehmer durch die Firma Healthways ist seit dem 7. August 2008 eingestellt und der Erstkontakt wird zukünftig ausschließlich durch die DAK hergestellt. Eine Weitergabe von Sozialdaten an Healthways erfolgt nach Information des BVA erst nach Abgabe einer Teilnahmeerklärung der Versicherten.
Wurden oder werden die behandelnden Ärztinnen und Ärzte der Teilnehmerinnen und Teilnehmer in das Programm eingebunden? Wenn ja, zu welchem Zeitpunkt, und auf welche Weise? Wenn nein, weshalb nicht?
Nach Mitteilung des BVA informiert Healthways die behandelnden Ärztinnen und Ärzte auf Wunsch des Versicherten telefonisch oder durch Übermittlung der so genannten PC-Betreuungsakte.
Wird bei der Bewerbung des Programms explizit darauf hingewiesen, dass die Durchführung durch einen Dritten erfolgt und eine Übermittlung von Patientendaten an diesen notwendig oder beabsichtigt ist?
Nach Auskunft des BVA hat die DAK zugesichert, die Versicherten zukünftig darauf hinzuweisen, dass die Durchführung des Programms durch eine andere Stelle erfolgt und zu diesem Zweck Sozialdaten an diese weitergegeben werden.
Hat die DAK vor Einführung des Programms das Bundesversicherungsamt als zuständige Aufsichtsbehörde eingeschaltet? Wenn ja, mit welchem Inhalt hat seinerzeit das Bundesversicherungsamt zu den datenschutzrelevanten Aspekten des Programms gegenüber der DAK Stellung genommen?
Nach Mitteilung des BVA hat der Datenschutzbeauftragte der DAK die beabsichtigte Auftragserteilung an die Firma Healthways zur Verarbeitung personenbezogener Daten mit Schreiben vom 30. August 2007 gemäß § 80 Abs. 3 SGB X dem BVA angezeigt. In diesem Schreiben bezog sich die DAK u. a. auf § 137f Abs. 5 Satz 2 SGB V, wonach im Rahmen von DMP-Programmen externe Dienstleister eingeschaltet werden können. Diese sehr oft gewählte Aufgabenübertragung auf Dritte begegnete im Rahmen der datenschutzrechtlichen Prüfung durch das BVA zu diesem Zeitpunkt keinen Bedenken, so dass eine Rückmeldung des BVA nicht erforderlich war. Der Vertrag mit der Firma Healthways ist im Hinblick auf die Vereinbarungen zu den bereits zugelassenen DMP-Programmen in Baden-Württemberg und Bayern durch das BVA als DMP-Zulassungsbehörde geprüft worden.
Von wie vielen Versicherten hat die DAK Datensätze an die Firma Healthways übermittelt?
Nach der Stellungnahme der DAK gegenüber dem BVA sind Daten zu ca. 200 000 chronisch Kranken zur Rekrutierung von Programmteilnehmern an die Firma Healthways weitergegeben worden. Tatsächlich sind nur ca. 40 000 Versicherte im Programm eingeschrieben. Die DAK hat dem BVA versichert, dass nur noch versichertenbezogene Daten von im Programm eingeschriebenen Versicherten bei Healthways vorgehalten werden und alle übrigen Daten gelöscht sind.
Auf welcher Rechtsgrundlage ist diese Übermittlung erfolgt?
Als Rechtsgrundlage für die Erhebung und Speicherung der Sozialdaten bezieht sich die DAK gegenüber dem BVA auf § 284 Abs. 1 Satz 1 Nr. 13 und 14 des Fünften Buches Sozialgesetzbuch (SGB V). In § 284 Abs. 1 Nr. 13 SGB V ist u. a. die Erhebung von Sozialdaten für Modellvorhaben und die Durchführung des Versorgungsmanagements nach § 11 Abs. 4 SGB V geregelt. In § 284 Abs. 1 Nr. 14 SGB V ist die Erhebung von Daten für den RSA und die Durchführung der DMP-Programme geregelt. In Betracht käme nach vorläufiger Einschätzung des BVA ferner § 284 Abs. 1 Nr. 4 SGB V. Danach dürfen Krankenkassen Sozialdaten u. a. erheben und speichern, soweit diese für die Erbringung von Leistungen an Versicherte erforderlich sind. Im Hinblick auf die Datenweitergabe an Healthways ist die aufsichtsrechtliche Prüfung des BVA noch nicht abgeschlossen.
Wie bewertet die Bundesregierung, dass die DAK laut eigener Auskunft ihrem Kooperationspartner Healthways persönliche Daten der in Frage kommenden Patientinnen und Patienten übermittelt hat, ohne vorab deren Zustimmung einzuholen?
Dieser auch aus Sicht der Bundesregierung problematische Aspekt des Programms „Besser leben“ wurde zwischenzeitlich durch das BVA unterbunden. Nach Auskunft des BVA übernimmt die DAK seit dem 21. August 2008 die Akquise der potenziellen Teilnehmer selbst und leitet die Daten erst nach Eingang der Teilnahmebestätigung des Versicherten an dem Programm „Besser leben“ an Healthways weiter.
Gibt es Hinweise darauf, dass die DAK der Firma Healthways auch Daten zur Art der chronischen Erkrankung, zu Klinikbehandlungen und verordneten Arzneimitteln der Patientinnen und Patienten übermittelt hat, ohne vorab deren Zustimmung einzuholen? Wenn ja, wie bewertet die Bundesregierung dieses Verfahren?
Es ist nach Mitteilung des BVA davon auszugehen, dass in der Vergangenheit neben Identifizierungsdaten der Versicherten auch Leistungsdaten versichertenbezogen übermittelt wurden. Dieses auch aus Sicht der Bundesregierung problematische Vorgehen wurde von der DAK zwischenzeitlich abgestellt (vgl. Antwort zu Frage 11. Vor dem Hintergrund der noch nicht abgeschlossenen aufsichtsrechtlichen Prüfung des BVA ist derzeit eine abschließende Bewertung durch die Bundesregierung nicht möglich.
In welcher Form wurde die Einwilligung der betroffenen Versicherten in die Verarbeitung, Nutzung und Übermittlung ihrer Daten eingeholt, und wurden hierbei die Vorschriften des § 67b Abs. 2 des Zehnten Buches Sozialgesetzbuch (SGB X) beachtet?
Die Versicherten haben nach Auskunft des BVA eine Teilnahmeerklärung unterzeichnet, welche ihnen mit Rückumschlag und weiterem Informationsmaterial zugegangen ist. Die Versicherten wurden darin über den Programminhalt und die Datenverwendung durch die DAK vor Abgabe ihrer Erklärung informiert. Künftig werden sie auch über die Beteiligung einer anderen Stelle sowie die Datenweitergabe an diese und die Datennutzung informiert. Die Anforderungen des § 67b Abs. 2 des Zehnten Buches Sozialgesetzbuch (SGB X) werden damit nach vorläufiger Einschätzung des BVA erfüllt.
Werden durch die Firma Healthways im Verlaufe ihrer Telefonberatung weitere personenbezogene Daten erhoben? Wenn ja, auf welcher Rechtsgrundlage werden diese Daten erhoben, und welche gesetzlichen Vorschriften sind ggf. für die Nutzung und Verarbeitung dieser Daten durch Healthways zu beachten?
Die von den Versicherten wissentlich und freiwillig getätigten Angaben im Rahmen des Betreuungsprogramms (u. a. Befinden, Gesundheitszustand), werden in eine PC-Betreuungsakte aufgenommen. Hinsichtlich der Erhebung und Verwendung dieser personenbezogenen Daten ist Healthways als nichtöffentliche Stelle an die Vorgaben des Bundesdatenschutzgesetzes und – soweit Healthways als Auftragsdatenverarbeiter tätig wird – an § 80 SGB X gebunden und wäre gemäß § 80 SGB X in demselben Umfang zur Geheimhaltung der Daten verpflichtet wie dies die in § 35 des Ersten Buches Sozialgesetzbuch (SGB I) genannten Stellen sind.
Welche vertraglichen Vorkehrungen hat die DAK mit Healthways zum Schutz der von ihr übermittelten personenbezogenen Daten getroffen, und wie bewertet die Bundesregierung diese?
Der zwischen der DAK und Healthways geschlossene Vertrag und der erste Nachtrag zu diesem regeln nach Auskunft des BVA die Verschwiegenheitspflicht und den Sozialdatenschutz. Zudem wurde zwischen Healthways und der DAK ein zusätzlicher Vertrag geschlossen. Danach hat Healthways zugesichert, den gleichen Datenschutzstandard sicherzustellen wie ihn auch die DAK zu gewährleisten hat. Zudem ist darin auch geregelt, dass Healthways Daten von Nichtteilnehmern zu löschen hat und wie die Daten von aus dem Programm Ausgeschiedenen zu behandeln sind. Vor dem Hintergrund der noch nicht abgeschlossenen aufsichtsrechtlichen Prüfung des BVA ist derzeit keine abschließende Bewertung durch die Bundesregierung möglich.
Wie bewertet die Bundesregierung die Auffassung, dass durch die Beauftragung eines Dritten, der nicht an die sozialrechtlichen Datenschutzregelungen oder an die strafrechtlichen Vorschriften für Berufsgeheimnisträger gebunden ist, das Recht auf informationelle Selbstbestimmung der betroffenen Versicherten umgangen wird?
Sofern Healthways – wie von der DAK gegenüber dem BVA vorgetragen – nicht als Auftragsdatenverarbeiter tätig wird, sondern die vertraglich vereinbarten Betreuungsleistungen als Leistungserbringer (vgl. Antwort zu Frage 17) erbringen sollte, gelten für Healthways die gleichen rechtlichen Rahmenbedingungen wie für andere Leistungserbringer. Gemäß § 78 Abs. 1 Satz 1 und 2 SGB X hat Healthways als Empfänger von Sozialdaten diese in demselben Umfang geheim zu halten wie die dem Sozialgeheimnis unterliegende DAK.
Da für die Datenerhebung und -verwendung zukünftig Einwilligungserklärungen der Betroffenen eingeholt werden sollen, kann aus Sicht der Bundesregierung künftig nicht mehr von einer Umgehung des Rechts auf informationelle Selbstbestimmung ausgegangen werden. Im Hinblick auf die von der DAK dargelegten differenzierten vertraglichen Datenschutzregelungen, insbesondere auch zu dem vereinbarten Datenschutzstandard ist zum jetzigen Zeitpunkt des noch laufenden Aufsichtsverfahrens keine Notwendigkeit für einen gesetzgeberischen Handlungsbedarf erkennbar.
Nach Abschluss der aufsichtsrechtlichen Prüfung wird eine abschließende Bewertung vorzunehmen sein.
Teilt die Bundesregierung die Rechtsauffassung des Bundesbeauftragten für den Datenschutz, Peter Schaar, dass die Krankenkassen nur „administrative Vorgänge“ auf Dritte übertragen dürfen, aber keine Beratungsleistungen? Wenn nein, warum nicht? Wenn ja, wie gedenkt die Bundesregierung weiter vorzugehen?
Die Bundesregierung teilt grundsätzlich diese Auffassung. Beratungsleistungen der Kassen nach den §§ 11 bis 15 SGB I über die Rechte und Pflichten des Versicherten nach dem SGB sind Kassenleistungen, die nicht an Dritte vergeben werden dürfen.
Nach Mitteilung des BVA trägt die DAK jedoch vor, dass es sich bei dem vertraglich mit Healthways vereinbarten Programm um Maßnahmen der Patientenschulung nach § 43 Abs. 1 Nr. 2 SGB V handele. Healthways soll danach als Leistungserbringer eine Betreuungsleistung nach § 43 Abs. 1 Nr. 2 SGB V erbringen und gerade nicht die den Krankenkassen nach den §§ 11 bis 15 SGB I obliegenden Beratungsleistungen übernehmen.
Das Ergebnis der aufsichtsrechtlichen Prüfung des BVA ist hierzu abzuwarten. Insoweit kann eine abschließende Bewertung durch die Bundesregierung derzeit noch nicht erfolgen.