EHDS Dokumentation

Relevante Dokumente:

Entwurf der Verordnung ist hier.
Position der „European Doctor’s Association“ CPME
Stellungnahme Bundesrat
Artikel des bayerischen LfD Thomas Petri: Die primäre und sekundäre Nutzung elektronischer Gesundheitsdaten. Zum Vorschlag der EU-Kommission für einen Europäischen Gesundheitsdatenraum
 
Gutachten Dominique Schröder im Auftrag der Gesellschaft für Freiheitsrechte GFF.

Kommentierte Inhaltsangabe

Allgemeines

Eigentlich liegt das Gesundheitswesen, insbesondere seine Organisation, in der EU in der Zuständigkeit der Mitgliedsstaaten. Die Zuständigkeit der EU für den Erlass von Rechtsvorschriften auf dem Gebiet Gesundheit ist im Vertrag über die Arbeitsweise der EU (AEUV) festgelegt, nämlich in den Art. 6 und 168 (https://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=CELEX:12012E/TXT:de:PDF ).
Nach Art 6 darf sich die EU im Gesundheitsbereich ausschließlich zur Unterstützung, Koordinierung oder Ergänzung der Maßnahmen der Mitgliedstaaten einbringen. Art. 168 Abs. 1 – 6 enthält einen Katalog von Bereichen für diese Tätigkeit der EU auf dem Gebiet des Gesundheitswesens.
Nichts davon passt hier. Art. 168 Abs. 7 AEUV lautet: „Bei der Tätigkeit der Union wird die Verantwortung der Mitgliedstaaten für die Festlegung ihrer Gesundheitspolitik sowie für die Organisation des Gesundheitswesens und die medizinische Versorgung gewahrt. Die Verantwortung der Mitgliedstaaten umfasst die Verwaltung des Gesundheitswesens und der medizinischen Versorgung sowie die Zuweisung der dafür bereitgestellten Mittel.“
Der Verordnungsentwurf beruft sich als Rechtsgrundlage aber nicht auf diese Vorschriften, sondern auf Art. 16 und 114 AEUV (siehe Begründung, Ziffer 2, auf Seite 7). Art. 16 hat den Datenschutz zum Gegenstand, Art 114 das bessere Funktionieren des Binnenmarktes durch Rechtsangleichung. Man wird wohl kaum darlegen können, wieso es hier nicht um die „Organisation des Gesundheitswesens“ bzw. um seine Verwaltung geht.
D.h. man kann eine „offene Flanke“ für grundsätzliche Einwände sehen, falls wir welche brauchen. 

KAPITEL I, Allgemeine Bestimmungen

Artikel 1 „Gegenstand und Anwendungsbereich“
In Abs. 2 heißt es: „Diese Verordnung a) stärkt die Rechte natürlicher Personen […]
In Wirklichkeit hebelt sie sie final aus.
Artikel 2 „Begriffsbestimmungen“
In 39 (Unter-)Punkten werden einerseits die Begriffsbestimmungen der DSGVO herangezogen, andererseits erscheinen die nebulösen Bestimmungen eher wie Öffnungsklauseln.

KAPITEL II, Primärnutzung elektronischer Gesundheitsdaten

Abschnitt 1: Zugang zu und Übermittlung von personenbezogenen elektronischen Gesundheitsdaten für die Primärnutzung

Artikel 3 „Rechte natürlicher Personen hinsichtlich der Primärnutzung ihrer personenbezogenen elektronischen Gesundheitsdaten
Schlüsselvorschrift
Artikel 3 (1) Recht natürlicher Personen, „sofort, kostenlos und in einem leicht lesbaren gängigen und zugänglichen Format“ auf Gesundheitsdaten zuzugreifen. 
Artikel 3 (2) „Recht“ natürlicher Personen, eine elektronische Kopie ihrer Gesundheitsdaten zumindest der „prioritären Kategorien“ in dem „elektronischen Austauschformat nach Art. 6“ zu erhalten. 
Anmerkung: Nach Art. 15 Abs. 3 S. 3 DSGVO ist man bereits berechtigt, eine vollständige elektronische Kopie seiner Gesundheitsdaten vom Arzt, Krankenhaus usw. zu erhalten, in einem „gängigen Format“. Die wesentlichen Änderungen sind: 
1. „Sofortiger“ Zugriff – d.h. elektronische Erfassung und Online Verfügbarkeit der Gesundheitsdaten erforderlich, das wird in der Praxis Zentralisierung dieser Informationen bedeuten, siehe auch Art. 3 (5), 4 (1) und 7 (1). 
2. „Prioritäre Kategorien“ müssen in einem vereinheitlichten „EU-Format“ geliefert werden, das von der EU Kommission in Durchführungsrechtsakten näher spezifiziert wird (Art. 5).
  • Artikel 3 (3) „Gemäß Artikel 23 der Verordnung (EU) 2016/679 können die  Mitgliedstaaten dieses Recht beschränken, wenn dies angesichts der  Patientensicherheit sowie ethischer Grundsätze zum Schutz der natürlichen Person erforderlich ist
Anmerkung: Zumindest in Deutschland ist das manchmal Praxis bei besonders schwerwiegenden Diagnosen (Krebs im Spätstadium usw.) und psychischen Diagnosen (z.B. Psychosen, Verfolgungswahn). 
Art. 3 (5) Die Mitgliedsstaaten müssen Zugangsdienste für elektronische Gesundheitsdaten und Proxy-Dienste einrichten, über die Patienten und ihre Vertreter diesen Zugriff nach Abs. 1 und 2 bekommen. 
Art. 3 (6) Über (diese) Zugangsdienste oder damit verknüpfte Anwendungen müssen natürliche Personen Gesundheitsdaten in ihre elektronische Patientenakte übernehmen können. 
Art. 3 (8) „Natürliche Personen haben  das Recht, einem Dateninhaber aus dem Gesundheits- oder Sozialversicherungssektor Zugang zu ihren elektronischen Gesundheitsdaten zu gewähren oder diesen aufzufordern, ihre Daten an einen Datenempfänger ihrer Wahl aus dem Gesundheits- oder  Sozialversicherungssektor zu übermitteln, und zwar unverzüglich,  kostenlos und ungehindert durch den Dateninhaber oder die Hersteller der  von diesem Dateninhaber genutzten Systeme.“ Mitteilungspflicht. Wir kennen das von Hausarztprogrammen, wo finanzieller Druck durch billigere Tarife auf die Patient:innen dazu gehörte, diesen Transfer zu veranlassen.
Hier ist keinerlei Schutz vor Druck-Situationen vorgesehen. 
  • Artikel 3 (10) „Natürliche Personen haben das Recht, Informationen über die  Gesundheitsdienstleister und die Angehörigen der Gesundheitsberufe  zu erhalten, die im Rahmen der Gesundheitsversorgung auf ihre  elektronischen Gesundheitsdaten zugegriffen haben. …“ Die Informationen werden über die Zugangsdienste  bereitgestellt. 
  • Artikel 3 (12) “ Die Kommission legt im Wege von Durchführungsrechtsakten die Anforderungen für die technische Umsetzung der in diesem Artikel genannten Rechte fest. Diese Durchführungsrechtsakte werden gemäß dem in Artikel 68 Absatz 2 genannten Beratungsverfahren erlassen.“
  •  Der Ausschuss besteht aus Vertretern der Mitgliedsstaaten, die Kommission aus Kommissaren, die vom Rat, d.h. von den  versammelten Mitgliedsstaaten vorgeschlagen wurden. D.h. Regierungsvertreter entscheiden über diese Durchführungsrechtsakte, ohne parlamentarische Kontrolle. Im innerstaatlichen Recht zB in Deutschland ist es genauso, bei gesetzlichen Verordnungsermächtigungen wie hier. Man sollte die zahlreichen Ermächtigungen für Durchführungsrechtsakte in diesem Verordnungsentwurf trotzdem kritisch sehen, wegen der zusätzlichen parlamentarisch unkontrollierten Verhandlungsebene zwischen den EU-Regierungen, die logischerweise (noch) größere Einfallstore für Lobbyismus öffnet, als eine innerstaatliche Verordnungsermächtigung. Daher müssten wir alle diese Ermächtigungen für Durchführungsrechtsakte eigentlich kritisch analysieren. 
Artikel 4 „Zugang von Angehörigen der Gesundheitsberufe zu personenbezogenen
elektronischen Gesundheitsdaten“
  • Art. 4 (1)  Wenn Angehörige der Gesundheitsberufe Daten elektronisch verarbeiten, 
 a) haben sie  unabhängig vom Versicherungs- und Behandlungsmitgliedstaat Zugriff auf  die elektronischen Gesundheitsdaten der von ihnen behandelten  natürlichen Personen; 
  • b) stellen sie  sicher, dass die personenbezogenen elektronischen Gesundheitsdaten der  natürlichen Personen, die sie behandeln, mit Informationen über die  erbrachten Gesundheitsdienstleistungen aktualisiert werden.
D.H. Zugriff von jedem Mitgliedsstaat auf elektronische Gesundheitsdaten in jedem Staat muss möglich sein. Kann man als einen Art systemischen Zwang zu elektronischen Patientenakten sehen. 
  • Art. 4 (3) Angehörige der Gesundheitsberufe haben zumindest Zugriff auf die Gesundheitsdaten der prioritären Kategorien nach Art. 5, dafür sorgen die Mitgliedsstaaten. 
  • Artikel 4 „(4) Hat die natürliche Person den Zugang zu den elektronischen  Gesundheitsdaten beschränkt, …   zum Schutz lebenswichtiger Interessen der betroffenen Person  … kann der Gesundheitsdienstleister oder Angehörige der  Gesundheitsberufe Zugang zu den gesperrten elektronischen  Gesundheitsdaten erhalten.“
Grundsatz: Jeder Angehörige der Gesundheitsberufe hat Zugriff auf alle Gesundheitsdaten der Personen, die er behandelt, ausser die betroffene Person hat ausdrücklich ihre Daten genau für dieses eine Mitglied von Gesundheitsberufen gesperrt. Dann hat dieser gesperrte Gesundheitsberufler nur zum Schutz lebenswichtiger Interessen Zugriff.
Das ist eine Umkehrung der grundsätzlichen Vertraulichkeit von Gesundheitsdaten nach dem sog. hippokratischen Eid. Danach ist es dem Arzt verboten, Gesundheitsdaten irgend jemandem mitzuteilen, ausser auf Wunsch des Patienten im Einzelfall. 
Artikel 5 „Prioritäre Kategorien personenbezogener elektronischer Gesundheitsdaten für die Primärnutzung“
  • Artikel 5 „(1) … Die wesentlichen Merkmale der in Unterabsatz 1 genannten  Kategorie elektronischer Gesundheitsdaten sind in Anhang I  festgelegt. …“
Wesentlich ist die „Patientenkurzakte“, zu der gehören:
„7. Aktuelle, gelöste, geschlossene oder inaktive Probleme
8. Informationen in Textform zur medizinischen Vorgeschichte“
Da kann man so viel rein packen, wie man will. Die „Kurzakte“ kann eine ziemlich vollständige Patientenakte sein. 
Ferner gehören dazu elektronische Verschreibungen, d.h. es geht hier auch um einen gemeinsamen europäischen Markt für Versandapotheken wie Doc Morris. Im Anhang ist das Nr. 2. 
Artikel 5 (2) „Verordnungsermächtigung“ für die Kommission, Anhang 1 zu ändern. Wesentliche Voraussetzung für das Hinzufügen einer neuen Kategorie von Daten zu Anhang 1 ist, dass diese neue Kategorie in mehreren europäischen Gesundheitsakten-Systemen verwendet wird.
Artikel 6 „Europäisches Austauschformat für elektronische Patientenakten“
Die Kommission legt in Durchführungsrechtsakten die technischen Spezifikationen für die in Artikel 5 genannten Gesundheitsdaten fest. 
Anmerkung: In Art. 5 (2) bekommt die Kommission das Recht, mit Durchführungsrechtsakten neu festzulegen, welche Gesundheitsdaten es nun sein sollen, die sie nach Art 6 in weiteren Durchführungsrechtsakten normieren darf. Generalvollmacht zur Gesundheitsdaten-Normierung. 
Artikel 7 „Registrierung personenbezogener elektronischer Gesundheitsdaten“
(1) Die Mitgliedstaaten stellen  sicher, dass die Angehörigen der Gesundheitsberufe bei der  elektronischen Verarbeitung von Daten die einschlägigen  Gesundheitsdaten, die zumindest unter die prioritären Kategorien nach Artikel 5 fallen, in Bezug auf die von ihnen für natürliche Personen  erbrachten Gesundheitsdienstleistungen systematisch in einem  elektronischen Format in einem EHR-System registrieren.
EHR-System ist (nach Art. 2 h) ein System für elektronische Patientenakten. D.h.  Gesundheitsdaten aller Behandlungen müssen „systematisch“ in einer elektronischen Gesundheitsakte gespeichert werden. Gesundheitsakten sollen weder opt-in sein (Rechtslage Deutschland) noch opt-out (Koa-Vertrag) sondern Pflicht für alle!
(3) Kommission legt in Durchführungsrechtsakten die Einzelheiten für diese Registrierung fest: Wer muss registrieren, was muss registriert werden, und in welchem Format. 
Artikel 8 Telemedizin
Wenn ein Mitgliedsstaat telemedizinische Dienste zulässt, muss er Anbieter aus anderen Mitgliedsstaaten zulassen. 
Artikel 9 Identifizierungsmanagement
Artikel 10 „Digitale Gesundheitsbehörde“
In jedem Land wird eine „digitale Gesundheitsbehörde“ eingesetzt, die die Aufgabe hat, diese Verordnung im jeweiligen Land durchzusetzen und ihre Umsetzng zu kontrollieren. (Insb. 10 (1) c). Ferner wird sie verpflichtet, Jahresberichte zu erstellen mir vorgegebenen Inhalten über den Stand der Durchführung. 
10 (3) Kommission kann Durchführungsrechtsakte erlassen, in denen zusätzliche Aufgaben für diese „digitalen Gesundheitsbehörden“ und zusätzliche Inhalte des Jahresberichts festgelegt werden. 
  • Artikel 10 „(5) Bei der Wahrnehmung ihrer Aufgaben arbeitet die digitale  Gesundheitsbehörde aktiv mit Vertretern der Interessenträger,  einschließlich Patientenvertretern, zusammen. Die Mitglieder der digitalen Gesundheitsbehörde vermeiden jegliche Interessenkonflikte.“
–> Das ist dann die Anlaufstelle für die Lobbyisten der Interessenvertreter. Zum Glück dürfen Patientenvertreter dort auch vorsprechen.

Abschnitt 2: Grenzüberschreitende Infrastruktur für die Primärnutzung elektronischer Gesundheitsdaten

Artikel 12 „MyHealth@EU“
Eine zentrale EU-Plattform für digitale Gesundheit ermöglicht den grenzüberschreitenden Austausch von Gesundheitsdaten. 
  • Artikel 12 „(2) …Jeder Mitgliedsstaat benennt eine Kontaktstelle für digitale Gesundheit.  Die nationale Kontaktstelle für digitale Gesundheit gilt als befugter Teilnehmer an der Infrastruktur. …“  Das heißt, diese Behörde liest mit. 
  • (6)  Die Apotheken haben Zugang zu elektronischen Verschreibungen, die ihnen aus anderen Mitgliedsstaaten übermittelt werden.  Goldgrube für DocMorris und Co, die in der ganzen EU jedes Rezept einlösen dürfen. 
Artikel 13 „Zusätzliche grenzüberschreitende digitale Gesundheitsdienste und -infrastrukturen“
  • Artikel 13 „(1) Die Mitgliedstaaten können über MyHealth@EU zusätzliche  Dienste … bereitstellen, um … die Kontinuität der Versorgung zu  verbessern und den Zugang zu einer sicheren und hochwertigen Gesundheitsversorgung zu gewährleisten. …“
–> Das Geld sollte man besser in Krankenhaus- und Pflegepersonal  investieren. Wochenlange Wartezeiten auf einen Arzttermin wären  dann vermeidbar.
  • Artikel 13  „(3) Über einen Durchführungsrechtsakt, mit dem die Übereinstimmung einer nationalen Kontaktstelle mit den EU-Vorgaben festgestellt wird, … entscheidet die Gruppe der gemeinsam Verantwortlichen für  MyHealth@EU gemäß Artikel 66.“
  • Artikel 66 „(6) … Die Gruppe entscheidet auch, ob einzelne befugte Teilnehmer  sich den Infrastrukturen anschließen dürfen oder ob ihre Verbindung  getrennt wird.“
Befugt sind: Die nationalen Kontaktstellen nach Art. 12 (2). Und vermutlich auch Krankenhäuser, Arztpraxen, Apotheken etc.
KAPITEL III
EHR-Systeme und Wellness-Anwendungen
[nicht bearbeitet]
KAPITEL IV
Sekundärnutzung elektronischer Gesundheitsdaten
Problematische Begrifflichkeiten:
  • Der Zugang zu den Gesundheitsdaten wird durch die Zugangsstellen festgelegt (Art. 34). Diese sind in Art. 36 definiert. Dateninhaber, bei denen die Daten abgeholt werden können, sind alle Stellen, die Gesundheitsdaten besitzen, auch Krankenkassen oder nationale Plattformen, siehe Art. 2 Abs. 2 Buchst. y). Als Dateninhaber gelten die Besitzer von Daten, also diejenigen, die sie erhoben oder (verpflichtend) dokumentiert haben. Die Patienten, über die diese Daten Auskunft geben, werden lediglich als „natürliche Personen“ bezeichnet. Sie gelten noch nicht einmal als „Betroffene“ wie in der DSGVO. Der Bezug zwischen dem Individuum und seinen Daten wird damit verschleiert bzw. „wegdefiniert“.

Abschnitt 1, Allgemeine Bedingungen für die Sekundärnutzung elektronischer Gesundheitsdaten

Artikel 33 Mindestkategorien elektronischer Daten für die Sekundärnutzung
„(1) Die Dateninhaber stellen die folgenden Kategorien elektronischer Daten für die Sekundärnutzung gemäß den Bestimmungen dieses Kapitels zur Verfügung:
a) elektronische Patientenakten;
b) Daten zu gesundheitsrelevanten Faktoren, einschließlich sozialer, umweltbedingter und verhaltensbezogener Gesundheitsfaktoren;
c) relevante genomische Daten zu Erregern mit Auswirkungen auf die menschliche Gesundheit;
d) gesundheitsbezogene Verwaltungsdaten, einschließlich Daten zu Forderungen und Erstattungen;
e) humangenetische, genomische und proteomische Daten;
f) personengenerierte elektronische Gesundheitsdaten, einschließlich Medizinprodukten, Wellness-Anwendungen oder sonstiger digitaler Gesundheitsanwendungen;
g) Daten zur Identifizierung von Angehörigen der Gesundheitsberufe, die an der Behandlung einer natürlichen Person beteiligt sind;
h) Gesundheitsdaten aus bevölkerungsweiten Registern (Register zur öffentlichen Gesundheit);
i) elektronische Gesundheitsdaten aus medizinischen Registern für bestimmte Krankheiten;
j) elektronische Gesundheitsdaten aus klinischen Prüfungen;
k) elektronische Gesundheitsdaten aus Medizinprodukten und Registern für Arzneimittel und Medizinprodukte;
l) Forschungskohorten, Fragebögen und Erhebungen zum Thema Gesundheit;
m) elektronische Gesundheitsdaten aus Biobanken und speziellen Datenbanken;
n) gesundheitsrelevante elektronische Daten zu Versicherungsstatus, beruflichem Status, Bildung, Lebensstil und Wohlbefinden sowie Verhaltensdaten;
o) elektronische Gesundheitsdaten mit Verbesserungen verschiedener Art wie Berichtigungen, Anmerkungen oder Anreicherungen, die der Dateninhaber nach einer Verarbeitung auf der Grundlage einer Datengenehmigung erhalten hat.“
Abs. 2: von der Pflicht zur Datenabgabe ausgenommen sind Kleinstunternehmen (weniger als 10 Beschäftigte und Jahresumsatz/Jahresbilanz unter 2 Mio. EUR)
Abs. 3: Kategorien von Dateninhabern, die Daten abzulieferen haben
Abs. 4: Geschäftsgeheimnisse und geschütztes geistiges Eigentum in Gesundheitsdaten werden mit eingesammelt, aber vor Weitergabe zur Nutzung unkenntlich gemacht.
Abs. 5: „Ist nach nationalem Recht die Einwilligung der natürlichen Person erforderlich, so berufen sich die Zugangsstellen für Gesundheitsdaten bei der Gewährung des Zugangs zu elektronischen Gesundheitsdaten auf die in diesem Kapitel festgelegten Pflichten.“
Abs. 6: öffentliche Stellen können zur Bewältigung einer Notstandssituation von Zugangsstellen Unterstützung bei der Datenverarbeitung/-kombination/-anlayse erhalten
Abs. 7: Kommission erhält Befugnis, die Liste der Datenkategorien in Abs. 1 zu ändern
Abs. 8: „Die Zugangsstellen für Gesundheitsdaten können Zugang zu elektronischen Gesundheitsdaten weiterer Kategorien gewähren, die ihnen nach nationalem Recht oder auf der Grundlage der freiwilligen Zusammenarbeit mit den einschlägigen Dateninhabern auf nationaler Ebene anvertraut wurden, insbesondere zu elektronischen Gesundheitsdaten im Besitz privater Einrichtungen im Gesundheitssektor.“
Anmerkungen:
  • die Menge an Datenkategorien und Informationen zu jedem Einzelnen erhöht die Gefahr, dass a) Einzelne transparent werden und b) die Datensätze den Betreffenden trotz Pseudonymisierung wieder zugeordnet werden können 
  • betroffen sind sehr sensible Daten, wie Gen-Daten (Abs. 1 lit. e), deren Öffentlichwerden den Betroffenen und ihren Verwandten auf Generationen hinaus schaden könnte, oder „Verhaltensdaten“ (Abs. 1 lit. b und n), von denen unklar ist, wie sie erhoben werden, deren Dokumentation aber Verhaltensänderungen bewirken könnte, weil man sich beobachtet fühlt
  • für Betroffenen ist nicht absehbar, welche ihrer Daten für die Sekundärnutzung weitergegeben aktuell oder künftig weitergegeben werden können, denn 
  • die Auflistung der verpflichtend abzugebenden Daten (Abs. 1) ist nicht abschließend („Mindestkategorien“) und enthält unscharf bezeichnete/abgegrenzte und damit ausweitbare Datenkategorien sowie Daten mit „Verbesserungen […] wie Berichtigungen, Anmerkungen oder Anreicherungen, die der Dateninhaber nach einer Verarbeitung […] erhalten hat (lit. o)
  • Abs. 8 ist eine Art „Öffungsklausel“ für weitere Daten, die Dateninhaber den Zugangsstellen „ach nationalem Recht oder in freiwillige Zusammenarbeit überließen 
  • die EU-Kommission wird in Abs. 7 befugt, die Liste zu ändern, „um sie an die Entwicklung der verfügbaren elektronischen Gesundheitsdaten anzupassen“. 
  • Art 33 (5) Ist nach nationalem Recht die Einwilligung der natürlichen Person erforderlich, so berufen sich die Zugangsstellen für Gesundheitsdaten bei der Gewährung des Zugangs zu  elektronischen Gesundheitsdaten auf die in diesem Kapitel festgelegten Pflichten.“  > Die Einwilligungserfordernis wird also aufgehoben – unklar bleibt, aufgrund welcher Pflichten (denen zum Verfügbarmachen der Daten zwecks Sekundärnutzung?)
Artikel 34 Zwecke, für die elektronische Gesundheitsdaten zur Sekundärnutzung verarbeitet werden können
Abs. 1  erlaubte Zwecke:
a) aus Gründen des öffentlichen Interesses für öffentliche Gesundheit, Arbeitsschutz, z. B. Epidemien, Überwachung der öffentlichen Gesundheit, hohe Qualitäts- und Sicherheitsstandards für Gesundheitsversorgung, Arzneimittel oder Medizinprodukte
b) Unterstützung von öffentlichen Stellen im Gesundheits- und Pflegesektor bei ihren Aufgaben
c) amtliche Statistiken
d) Bildungs- oder Lehrtätigkeiten 
e) wissenschaftliche Forschung 
f) Entwicklungs- und Innovationstätigkeiten für Produkte oder Dienste für öffentliche Gesundheit oder soziale Sicherheit, hohe Qualitäts- und Sicherheitsstandards für Gesundheitsversorgung, Arzneimittel oder Medizinprodukte
g) Training, Erprobung und Bewertung von Algorithmen, auch in Medizinprodukten, KI-Systemen und digitalen Gesundheitsanwendungen für öffentliche Gesundheit oder soziale Sicherheit, hohe Qualitäts- und Sicherheitsstandards für Gesundheitsversorgung, Arzneimittel oder Medizinprodukte
h) Bereitstellung einer personalisierten Gesundheitsversorgung mithilfe von Vergleichsdaten anderer Personen
Abs. 2: Zugang nach Art. 1 lit. a – c wird nur öffentlichen Stellen oder sonstigen Stellen der Union gewährt (diese Stellen dürfen Dritte mit der Datenverarbeitung beauftragen)
Abs. 3: gem. Art 15 Datengesetz wird bei öffentlichem Notstand Zugang zu in privatem Besitz befindlichen Daten gewährleistet
Abs. 4: öffentliche Stellen/ sonstige Stellen der Union, die dabei geschütztes geistiges Eigentum und Geschäftsgeheimnisse erhalten, „ergreifen alle notwendigen spezifischen Maßnahmen, um die Vertraulichkeit dieser Daten zu wahren“.
Anmerkungen:
  • Datennutzung für öffentliche und privatwirtschaftliche Zwecke, Privatsphäreschutz der Patienten gegenüber wirtschaftlichen Interessen an Datennutzung offenbar nachrangig
  • Art 34 Abs. 1 lit. f: „Entwicklungs- und Innovationstätigkeiten […] hohe Qualitäts- und Sicherheitsstandards für die Gesundheitsversorgung, Arzneimittel oder Medizinprodukte gewährleisten“ >>> Gefahr, dass Anbieter bei den teuren klinischen Studien vor der Zulassung sparen, weil sie mit wesentlich geringerem Aufwand an Daten aus dem Live-Betrieb ihrer Produkte kommen (vgl. Implantateregister:  https://patientenrechte-datenschutz.de/implantateregister-entzug-von-grundrechten/)
  • Art. 34 Abs. 1 lit. g: „Training, Erprobung und Bewertung von Algorithmen, auch in Medizinprodukten, KI-Systemen und digitalen Gesundheitsanwendungen“ >>> Datensicherheit von Patientendaten, die massenhaft zum Trainieren und Testen von IT-Systemen benutzt werden, ist zweifelhaft. Da diese Art Forschung höchstwahrscheinlich personenbezogene Datensätze benötigt, besteht Gefahr der De-Pseudonymisierung
  • „personalisierte Gesundheitsversorgung“ (Abs. 1 lit. h): Personalisierung erfolgt meist auf Basis von (nicht zuverlässig anonymisierbaren) Gendaten. Hierfür ist die Einwilligung der Betroffenen (und bei Gendaten von deren Familien) erforderlich.
  • Teil eines geistigen Eigentums oder eines Geschäftsgeheimnisses (Abs. 4) könnten auch personenbezogene Patientendaten sein, z.B. die personelle Zusammenstellung einer bestimmten Kohorte im Pharma-Bereich oder das Vorhandensein einer Gemeinsamkeit zwischen Leuten wie eine neue Krankheit oder Empfindlichkeit. Die Dateninhaber dürfen ihre Daten vor der Weitergabe weder ändern noch kürzen oder anonymisieren. 
Artikel 35 Unerlaubte Sekundärnutzung elektronischer Gesundheitsdaten
„Es ist verboten, für die folgenden Zwecke auf elektronische  Gesundheitsdaten, die mittels einer Datengenehmigung gemäß Artikel 46 erlangt wurden, zuzugreifen und diese zu verarbeiten:
a) Entscheidungen zum Schaden der Betroffenen
b) Ausschluss Betroffener von Versicherungsverträgen bzw. Änderung ihrer Beiträge oder Prämien 
c) Werbung/Vermarktung an Leistungserbringer oder Einzelpersonen
d) Gewährung von Zugang zu den Daten für Dritte, die nicht in der Datengenehmigung genannt sind
e) Entwicklung von Produkten oder Diensten, die Einzelnen oder der Gesellschaft insgesamt schaden können (z.B. Drogen, Alkohol, Tabak, die öffentliches Ordnung Gefährdendes, Sittenwidriges)
Anmerkungen:
  • prinzipiell positiv, dass Gesundheitsdaten nicht für Entscheidungen zum Schaden der Betroffenen genutzt werden dürfen – allerdings wird der Nachweis darüber für die Betroffen meist schwierig bis unmöglich sein
  • auch die anderen Verbote (Werbung/Marketing an Betroffene/Leistungserbringer, Zugangsgewährung für Dritte, Entwicklung schädlicher Produkte/Dienste) decken  wahrscheinliche Szenarien ab (andere Daten wurden bereits in dieser Form missbraucht, z.B. nutzten Pharmafirmen widerrechtlich verkaufte Daten aus Apothekenrechenzentren für ihr Marketing), werden diese aber kaum verhindern können
  • Kurz: Datenmissbrauchsverbote werden Datenmissbrauch nicht verhindern, sondern ihn nur – sofern beweisbar – juristisch verfolgbar machen.

Abschnitt 2, Governance der Sekundärnutzung elektronischer Gesundheitsdaten und ihre Mechanismen

Artikel 36 Zugangsstellen für Gesundheitsdaten
Die Mitgliedsstaaten benennen Zugangsstellen für Gesundheitsdaten und versehen diese mit ausreichenden Ressourcen. 
Anmerkung: 
Für Deutschland werden das wohl die Forschungsdatenzenten sein, siehe https://ec.europa.eu/commission/presscorner/detail/de/QANDA_22_2712 , Antwort 10
Artikel 37 Aufgaben der Zugangsstellen für Gesundheitsdaten
Diese Zugangsstellen haben eine Vielzahl von Aufgaben dabei, Gesundheitsdaten verfügbar zu machen, die hier geregelt sind. Zum Beispiel sammeln sie die Daten ein und stellen sie zur Verfügung nach Art 37 Abs. 1 Buchst. g) Sie veröffentlichen einen nationalen Datensatzkatalog, in dem alle nationalen Datenquellen von Gesundheitsdaten veröffentlicht sind, mit genauen Angaben über Quelle und Art der Gesundheitsdaten (Art. 37 Abs. 1 Buchst. q) Unterabsatz i). Sie beteiligen sich „an datenaltruistischen Tätigkeiten nach Art. 40“ (Art. 37 Abs. 1 lit. h) und unterstützen die Entwicklung, das Trainieren, Testen und Validieren von KI-Systemen (Art. 37 Abs. 1 lit. i). Die Liste der Aufgaben der Zugangsstellen kann (nach Art. 37 Abs. 4) von der Kommission durch delegierte Rechtsakte geändert werden. 
Anmerkung:
Zugangsstelle bietet ausführliche Informationen für Datennutzer (Katalog der erhältlichen Daten, verhängte Sanktionen etc.), aber keine für Betroffene (siehe Art. 38)
Artikel 38 Pflichten der Zugangsstellen für Gesundheitsdaten gegenüber natürlichen Personen
Zugangsstellen machen „die Bedingungen für die Sekundärnutzung öffentlich zugänglich und leicht durchsuchbar“ (Abs. 1) und „allgemeine Informationen über alle gemäß Artikel 46 erteilten Datengenehmigungen öffentlich verfügbar“. Sie sind jedoch „nicht  verpflichtet, jeder natürlichen Person die spezifischen Informationen gemäß Artikel 14 […] über die Verwendung ihrer Daten für Projekte für  die eine Datengenehmigung erteilt wurde, zur Verfügung zu stellen“ (Abs. 2). Selbst wenn mögliche Auswirkungen auf die Gesundheit einer „natürlichen Person“ der Zugangsstelle  bekannt werden, „kann“ die Zugangsstelle sie unterrichten, muss aber nicht…  (Abs.  3)
Anmerkung:
Betroffene haben keine Möglichkeit, festzustellen, für welche Projekte ihre Daten verwendet wurden (von einer Möglichkeit, vorab eine Zustimmung zur Nutzung zu erteilen – oder auch nicht – ganz zu schweigen). 
Artikel 39 Berichterstattung der Zugangsstellen
Die Zugangsstellen sind verpflichtet, regelmäßig über ihre Tätigkeit Bericht zu erstatten, einschließlich der Beantwortung von „Anfragen natürlicher Personen betreffend die Wahrnehmung ihrer Datenschutzrechte“ (lit. f) und der „Anzahl der digitalen Gesundheitsprodukte und -dienste, einschließlich KI-Anwendungen“ die mit den EHDS-Daten entwickelt wurden.
Anmerkung:
Die Anzahl ist das Einzige, was über die „Produkte“ der Datennutzungen berichtet wird – keine Angaben über die Anwendungen, deren Zweck, Wert, Einsatz oder Einnahmen daraus – intransparente (Daten-)Wirtschaftsförderung.
Artikel 40 Datenaltruismus im Gesundheitswesen
Datenaltruismus nur im Rahmen des DGA bedeutet ausschließlich für nicht-kommerzielle Zwecke.Für genauere Regelungen wird auf den Data Governance Act verwiesen.
Artikel 41 Pflichten der Dateninhaber
(1) Dateninhaber sind verpflichtet, mit den Zugangsstellen loyal zusammenzuarbeiten. 
(2) Die Dateninhaber übermitteln der Zugangsstelle eine allgemeine Beschreibung der Gesundheitsdaten, die sie haben. Der Umfang und das Format dieser Informationen sind in Art. 55 festgelegt (weitere Ermächtigung für delegierte Rechtsakte der Kommission dort). Die Kommission macht aus diesen Sätzen einen Gesamt-Katalog nach Art. 57. 
(4) Der Dateninhaber stellt der Zugangsstelle auf Anforderung seine Gesundheitsdaten zur Verfügung, 
(5) nach Anreicherungen schickt er dieser die angereicherten Daten.
(7) Kommission erhält die Befugnis, die Pflichten der Dateninhaber zu ändern
Anmerkungen:
  • Die „Loyalitätspflicht“ der Dateninhaber (Abs. 1) kann zur Auslegung herangezogen werden, falls es zu einem Rechtsstreit kommt. (Alle Vorschriften der Verordnung sind in jedem Mitgliedsstaat einklagbar, sobald sie verabschiedet ist.)
  • Die Aufstellung der Pflichte der Dateninhaber relativ bedeutungslos, denn die EU-Kommission kann sie weitreichend ändern.
Artikel 42 Gebühren
(1) Die Zugangsstellen und die Dateninhaber können für die Bereitstellung von Gesundheitsdaten für die Sekundärnutzung Gebühren erheben
(2) ebenso für die Erhebung von Daten, die sich nicht im Besitz der Zugangsstelle oder einer öffentlichen Stelle befinden oder 
(3) bei Weiterverwendung angereicherter Daten eine Entschädigung für den „Anreicherer“. 
(4) „Alle Gebühren […] schränken den Wettbewerb nicht ein. Die Förderung, die der Dateninhaber aus Spenden, öffentlichen nationalen Mitteln oder Unionsmitteln erhält, bleibt bei dieser Berechnung unberücksichtigt“. 
(5) Wenn die Datennutzer sich nicht mit den Dateninhabern über die Höhe der Gebühren einigt, werden sie von der Zugangsstelle festgelegt. 
(6) Die Kommission kann Näheres dazu in delegierten Rechtsakten festlegen. 
Anmerkungen:
Dateninhaber können (und sollen) mit der Weitergabe „ihrer“ Gesundheitsdaten Geld verdienen. Natürliche Personen sind hier nicht erwähnt.
Artikel 43 Von den Zugangsstellen für Gesundheitsdaten verhängte Sanktionen
(4) Zugangsstellen können Datengenehmigungen widerrufen, den betroffenen Verarbeitungsvorgang beenden, Maßnahmen ergreifen, um die Einhaltung der Anforderungen sicherzustellen und ggf. den Datennutzer für bis zu fünf Jahre vom Zugang ausschließen. 
(5) Dateninhabern werden Geldbußen für jeden einzelnen Tag Verzögerung der Abgabe ihrer Daten an die Datennutzer angedroht. Deren Höhe setzen die Zugangsstellen fest. Außerdem  können Dateninhaber für bis zu fünf Jahre von der Teilnahme am EHDS ausgeschlossen werden 
(7) „Alle gemäß Absatz 4 verhängten Sanktionen und Maßnahmen werden anderen Zugangsstellen zu Gesundheitsdaten bereitgestellt.“
Anmerkungen:
  • Die „Höchststrafe“ ist ein fünfjähriger Ausschluss vom Zugang zum EDHS. Das dürfte kaum abschrecken, wenn der Datenmissbrauch lukrativ ist (dazu wären empfindlichere Strafen wie die Einziehung des durch Datenmissbrauch erworbenen Vermögens nötig)
  • Den Dateninhabern werden Geldbußen für die Verzögerung der Datenabgabe angedroht (Abs. 5), die Ermöglichung der Sekundärnutzung also als Bringschuld behandelt.

Abschnitt 3, Datengenehmigung für die Sekundärnutzung elektronischer Gesundheitsdaten

Artikel 44 Datenminimierung und Zweckbegrenzung
(1) „Die Zugangsstelle für Gesundheitsdaten stellt sicher, dass der Zugang nur zu den beantragten elektronischen Gesundheitsdaten gewährt wird, die für den Zweck der Verarbeitung relevant sind, den der Datennutzer im Datenzugangsantrag angegeben hat und der mit der erteilten Datengenehmigung übereinstimmt.“
(2) Daten werden, wenn möglich, in einem anonymisierten Format zur Verfügung gestellt
(3) Wenn anonymisierten Daten für den beabsichtigten Zweck nicht ausreichen, kann Zugang in einem pseudonymisierten Format gewährt werden. „Die Informationen, die erforderlich sind, um die Pseudonymisierung rückgängig zu machen, stehen nur der Zugangsstelle zu Gesundheitsdaten zur Verfügung. Datennutzer stellen die Identität der ihnen in pseudonymisiertem Format zur Verfügung gestellten elektronischen Gesundheitsdaten nicht wieder her. Bei Nichteinhaltung der von der Zugangsstelle für Gesundheitsdaten zur Gewährleistung der Pseudonymisierung ergriffenen Maßnahmen durch den Datennutzer werden angemessene Sanktionen verhängt.“
Anmerkung:
  • Abs. 2 und 3: Weder das „anonymisierte Format“ noch das „pseudonymisierte Format“ sind irgendwo verbindlich festgelegt. 
  • Dass nur die Zugangsstelle die Informationen hat, um die Pseudonymisierung rückgängig zu machen, ist leider falsch. In den meisten Fällen reichen dafür wenige, leicht erhältliche, Zusatzinformationen über den Betroffenen (z.B. Alter, Geschlecht, Postleitzahl). Insbesondere die Zusammenführung von Datenbanken, z.B. bei der „Anreicherung“ von Daten, macht Pseudonymisierung obsolet. 
  • Ein fünfjähriger Ausschluss ist nicht ausreichend als Strafe für das Brechen von Pseudonymisierung.
Artikel 45 Anträge auf Datenzugang
(1) „Jede natürliche oder juristische Person kann für die in Artikel 34 genannten Zwecke einen Antrag auf Datenzugang stellen.“
(3) Diese Anträge können sich auf mehrere Datenquellen beziehen, auch in verschiedenen Mitgliedsstaten.
(2) Die Anträge müssen bestimmte Angaben enthalten,
(4) falls pseudonymisierte Daten gewünscht sind, auch darüber wie die Voraussetzungen für eine rechtmäßige Datenverarbeitung gemäß Art. 6 Abs. 1 DSGVO befolgt würden sowie eine ethische Bewertung nach nationalem Recht
(7) EU-Kommission kann die Liste der in einem Antrag zu liefernden Informationen ändern
Artikel 46 Datengenehmigung
(1) Wenn der Antrag einem der Zwecke nach Art. 34 Abs. 1 dient, die verlangten Daten für den genannten Zweck erforderlich sind und der Antragsteller die Anforderungen erfüllt, stellt die Zugangsstelle eine Datengenehmigung aus, (2) andernfalls nicht.
(3) „Trifft die Zugangsstelle […] innerhalb der Frist keine Entscheidung, gilt die Datengenehmigung als erteilt“. 
(5) Verweigerung der Genehmigung erfordert Begründung gegenüber dem Antragsteller
(9) Datengenehmigungen werden für max. fünf Jahre erteilt, eine einmalige Verlängerung um max. fünf Jahre auf Antrag des Datennutzers ist möglich. 
(11) Datennutzer sind verpflichtet, die Ergebnisse der Datennutzung zu veröffentlichen. „Diese Resultate oder Ergebnisse enthalten nur anonymisierte Daten“. 
(12) Ein Datennutzer muss klinische Befunde, die für die Gesundheit eines Betroffenen wichtig sind, der Zugangsstelle mitteilen, die kann sie nach Art. 38 Abs. 3 an den Betroffenen oder dessen Arzt weitergeben, muss das aber nicht.
Anmerkungen:
  • Die Erteilung der Genehmigung gilt als default: Bei Untätigkeit der Zugangsstelle gilt die Genhemigung als erteilt, eine Verweigerung muss begründet werden.
  • Fünf Jahre sind ein langer Zeitraum, in dem  sich auch Methoden und Techniken der Datenverarbeitung und damit die aus den Daten ableitbaren Erkenntnisse ändern können.  
Artikel 47 Datenanfrage
(1) Datenanfragen sind für die in Artikel 34 genannten Zwecke möglich. Die Zugangsstelle beantwortet Datenanfragen in einem anonymisierten statistischen Format, der Datennutzer selbst erhält keinen Zugang zu den elektronischen Gesundheitsdaten
Artikel 48 Bereitstellung von Daten ohne Datengenehmigung für öffentliche Stellen sowie Organe, Einrichtungen und sonstige Stellen der Union
Wie für andere Datennutzer, aber ohne dass eine Datengenehmigung erforderlich ist
Artikel 49 Zugang zu elektronischen Gesundheitsdaten eines einzigen Dateninhabers
(1) Für Daten eines einzigen Dateninhabers kann der Antrag auf Datenzugang direkt an den Dateninhaber gestellt werden, 
(2) der erteilt die Datengenehmigung und muss die Gesundheitsdaten in einer sicheren Verarbeitungsumgebung zugänglich machen. 
(4) Der Dateninhaber muss die Zugangsstellen innerhalb von drei Monaten über die an ihn gestellten Anträge, von ihm erteilten Datengenehmigungen etc. unterrichten
Anmerkungen
  • Fraglich, inwieweit der jeweilige Dateninhaber in der Lage ist, eine „sichere Verarbeitungsumgebung“  zu bieten und die Daten zuverlässig zu anonymisieren/ pseudonymisieren.
  • Der Stand der Information über die erteilten Genehmigungen ist unübersichtlich/ uneinheitlich, z.B. könnten Dateninhaber Antragstellern Zugang gewähren, ohne zu merken, dass diese für die EHDS-Teilnahme gesperrt sind
Artikel 50 Sichere Verarbeitungsumgebung
(1) Sicherheitsanforderungen und Maßnahmen zum Schutz der Vertraulichkeit in den „sicheren Verarbeitungsumgebungen“, in denen die sekundäre Verarbeitung stattfindet: 
a) Zugang begrenzt auf befugte Personen, die in der Datengenehmigung aufgeführt sind
b) Risiko unbefugten Lesens, Kopierens, Änderns oder Entfernens von Daten in der sicheren Verarbeitungsumgebung wird minimiert durch „modernste technische Mittel“
c) Eingabe, Inspektion, Änderung oder Löschung elektronischer Gesundheitsdaten in Verarbeitungsumgebung nur durch begrenzte Zahl befugter identifizierbarer Personen
d) Zugriff nur mittels persönlicher, eindeutiger Nutzerkennung und vertraulicher Zugriffsverfahren und nur auf die in der jeweiligen Datengenehmigung erfassten Daten 
e) Zugang wird protokolliert für einen Zeitraum zur Prüfung der Verarbeitungsvorgänge 
f) Zugangsstellen überwachen die Sicherheitsmaßnahmen
Abs. 2: Dateninhaber können Gesundheitsdaten hochladen und Datennutzer können sie in einer sicheren Verarbeitungsumgebung abrufen. Datennutzer können nur „nicht personenbezogene“ Gesundheitsdaten herunterladen.
Anmerkung:
Es geht ausschließlich darum, dass nur die Erlaubnisinhaber die Gesundheitsdaten nutzen dürfen – keine Vorschrift gegen Missbrauch der Zugriffsmöglichkeiten. Selbst Spahns „Digitale-Versorgung-Gesetz“ ist besser: In § 303 e) Abs. 4 SGB V ist vorgesehen, dass „durch geeignete technische und organisatorische Maßnahmen sichergestellt  wird, dass die Verarbeitung durch den Nutzungsberechtigten auf das erforderliche Maß beschränkt und insbesondere ein Kopieren der Daten verhindert werden kann.“ Da Datennutzer im EHDS die Möglichkeit haben sollen, „nicht personenbezogenen Gesundheitsdaten“ herunterzuladen, wird es dort keine technischen Vorkehrungen gegen das Herunterladen generell geben.
Artikel 51 Gemeinsam Verantwortliche
(1) Zugangsstellen für Gesundheitsdaten und Datennutzer gelten als gemeinsam Verantwortliche für elektronische Gesundheitsdaten, die entsprechend der jeweiligen Datengenehmigung verarbeitet werden. 

Abschnitt 4, Grenzüberschreitender Zugang zu elektronischen Gesundheitsdaten für die Sekundärnutzung

Artikel 52 Grenzüberschreitende Infrastruktur für die Sekundärnutzung elektronischer Gesundheitsdaten (HealthData@EU)
(1) Die Mitgliedsstaaten benennen nationale Kontaktstellen für die Bereitstellung elektronische Gesundheitsdaten zwecks grenzüberschreitender Sekundärnutzung.
(2) „Befugte Teilnehmer“ von HealthData@EU sind die nationalen Kontaktstellen, 
(3) die „Organe, Einrichtungen und sonstigen Stellen der Union, die mit Forschung, Gesundheitspolitik oder -analyse befasst sind“ und 
(4) „Forschungsinfrastrukturen nach EU-Recht für Zwecke der Forschung, Politikgestaltung, Statistik, Patientensicherheit oder Regulierung“.  
(5) Drittländer oder internationale Organisationen können befugte Teilnehmer werden, sofern sie die Vorschriften des Kapitels IV einhalten und in der Union ansässigen Datennutzern unter gleichwertigen Bedingungen Zugang zu den elektronischen Gesundheitsdaten gewähren, die ihren Zugangsstellen für Gesundheitsdaten zur Verfügung stehen.“
(7) Die Kommission darf Kategorien von befugten Teilnehmern hinzufügen oder streichen
(9) Die Kommission entwickelt, errichtet und betreibt die zentrale HealthData@EU-Plattform, (10 )stellt Verarbeitungsumgebungen für grenzüberschreitende Projekte zur Verfügung usw. (11) Sie gilt aber als Austragsverarbeiterin und die befugten Teilnehmer als Verantwortliche. 
Anmerkungen:
  • Bei Ausweitung der Sekundärnutzung über EU-Grenzen hinaus ist für Betroffene unüberschaubar, was mit ihren Daten passiert. Fraglich ist, wie kontrollierbar die Einhaltung der Anforderungen in Ländern außerhalb der EU sein wird. 
  • Die Drittländer/ internationalen Organisationen müssen im Gegenzug ihre Daten für EU-ansässige Datennutzer zur Verfügung stellen – also ein Tauschhandel mit Patientendaten unter „befugten Teilnehmern“?
  • nach Abs. 7 kann die EU-Kommisssion den Kreis der befugten Teilnehmer weiter ausweiten – kaum vorstellbar, wer außer den bereits benannten „befugten Teilnehmern“ ein legitimes Interesse haben könnte.
  • Die EU-Kommission trifft alle wichtigen Entscheidungen, gilt aber nur als „Auftragsverarbeiterin“. In Art. 4 Ziffer 7 DSGVO ist vorgesehen, dass im Recht der EU oder der Mitgliedsstaaten festgelegt werden kann, wer Verantwortlicher (controller) ist. Das können auch Personen oder Organisationen sein, die gar keinen Einfluss auf die Zwecke und Mittel der Verarbeitung haben. So können die Bestimmungen der DSGVO unterlaufen werden. Die DSGVO enthält keine Kontrollmechanismen dagegen. 
Artikel 53 Zugang zu grenzüberschreitenden Quellen elektronischer Gesundheitsdaten für die Sekundärnutzung
(1) Bei grenzüberschreitenden Registern und Datenbanken ist die Zugangsstelle für Gesundheitsdaten, in der der Dateninhaber registriert ist, zuständig
Artikel 54 Gegenseitige Anerkennung
(1) Bei einem Antrag auf grenzüberschreitenden Zugang entscheiden weiterhin die Zugangsstellen für Gesundheitsdaten und die befugten Teilnehmer, ob sie den Zugang zu den Daten in ihrem Zuständigkeitsbereich gewähren oder verweigern.
(2) „Eine von einer betroffenen Zugangsstelle für Gesundheitsdaten erteilte Datengenehmigung kann mittels gegenseitiger Anerkennung von den anderen betroffenen Zugangsstellen für Gesundheitsdaten übernommen werden.“

Abschnitt 5, Qualität und Nutzen von Gesundheitsdaten für die Sekundärnutzung

Artikel 55 Beschreibung des Datensatzes
Die Zugangsstellen informieren die Datennutzer mit einem Metadaten-Katalog über die verfügbaren Datensätze und ihre Eigenschaften. 
Artikel 56 „Datenqualitäts- und -nutzenlabel“
optional, informiert über Eigenchaften von Datensätzen
Artikel 57 EU-Datensatzkatalog
(1) „Die Kommission erstellt einen EU-Datensatzkatalog, der die nationalen Kataloge von Datensätzen verbindet, die von den Zugangsstellen für Gesundheitsdaten und anderen befugten Teilnehmern von HealthData@EU erstellt wurden.“
Artikel 58 „Mindestspezifikationen für Datensätze“
Ermächtigung der Kommission für Durchführungsrechtsakte mit Mindest-Spezifikationen für grenzüberschreitende Datensätze für diesen EU-Datensatzkatalog. 

KAPITEL V, Zusätzliche Maßnahmen

Artikel 59 „Kapazitätsaufbau“
Austausch der Mitgliedstaaten zwecks Kapazitätsaufbau für Primär- und Sekundärnutzung
Artikel 60 „Zusätzliche Anforderungen an die Vergabe öffentlicher Aufträge und die Finanzierung durch die Union“
Artikel 61 Übertragung nicht personenbezogener elektronischer Daten in Drittländer
(1) „Von Zugangsstellen für Gesundheitsdaten bereitgestellte, nicht personenbezogene elektronische Daten, die auf elektronischen Daten einer natürlichen Person beruhen und unter eine der Kategorien von Artikel 33 [Buchstaben a, e, f, i, j, k und m] fallen, gelten als hochsensibel im Sinne von Artikel 5 Absatz 13 Daten-Governance-Gesetz (COM(2020) 767 final), sofern ihre Übertragung in Drittländer angesichts der begrenzten Zahl der an diesen Daten beteiligten natürlichen Personen, der geografischen Streuung oder der in naher Zukunft zu erwartenden technologischen Entwicklungen das Risiko einer Rekonstruktion der Identität birgt.“
(2) „Die Maßnahmen zum Schutz der in Absatz 1 genannten Datenkategorien hängen von der Art der Daten und den Anonymisierungstechniken ab und werden in dem Delegierten Rechtsakt im Rahmen der Befugnisübertragung gemäß Artikel 5 Absatz 13 Daten-Governance-Gesetz (COM(2020) 767 final) näher ausgeführt.“
Anmerkung:
  • „nicht personenbezogene elektronische Daten, die auf elektronischen Daten einer natürlichen Person beruhen“ (oder von wenigen Personen), sind personenbezogen, weil personenbeziehbar
  • auch die Risiken technischer Entwicklungen in weiterer Zukunft sind bei Datenweitergaben zu bedenken – z.B. werden heute jahrzentealte Kriminalfälle mithilfe von DNA-Analysen neu aufgerollt, die zukünftigen Möglichkeiten der Identitätsrekonstruktion (z.B. mithilfe künstlicher Intelligenz) sind nicht absehbar.
Artikel 62 „Internationaler Zugang zu nicht personenbezogenen elektronischen Gesundheitsdaten und deren Übertragung“
(1) Digitale Gesundheitsbehörden, Zugangsstellen und befugte Teilnehmer der grenzüberschreitenden Infrastrukturen treffen Maßnahmen, um internationale Übertragung von/ Zugriff auf nicht personenbezogene Gesundheitsdaten zu verhindern, der im Widerspruch zu Unionsrecht/ Recht des betreffenden Mitgliedstaats stünde.
(2) Gerichtsurteile / Verwaltungsentscheidungen eines Drittlands, die die Übertragung von/ Zugang zu in der Union gespeicherten nicht personenbezogenen elektronischen Gesundheitsdaten verlangt, sind nur dann anerkannt/vollstreckbar, wenn sie auf eine internationale Übereinkunft (z.B. Rechtshilfeabkommen) gestützt sind.
(3) Ohne internationale Übereinkunft und wenn die Befolgung des Urteils/ der Entscheidung den Adressaten in Widerspruch zu Unionsrecht/ Recht des Mitgliedstaats bringt, erfolgt die Datenübertragung/ Zugangsgewährung an die Drittlandsbehörde nur ,
a) wenn laut Rechtssystem des Drittlands eine solche Entscheidung/Urteil zu begründen, verhältnismäßig und hinreichend bestimmt sein muss (z.B. durch Bezug auf bestimmte verdächtige Personen oder Rechtsverletzungen),
b) wenn der begründete Einwand des Adressaten von einem zuständigen Gericht des Drittlands überprüft wird und
c) wenn das zuständige Gericht des Drittlands befugt ist, die Interessen des Bereitstellers der durch Unionsrecht/ Recht des Mitgliedstaats geschützten Daten zu berücksichtigen.
[…]
(5) „Die digitalen Gesundheitsbehörden, Zugangsstellen für Gesundheitsdaten oder Datennutzer teilen dem Dateninhaber mit, dass ein Antrag einer Verwaltungsbehörde eines Drittlands auf Zugang zu seinen Daten vorliegt, bevor sie dem Antrag nachkommen, außer wenn der Antrag Strafverfolgungszwecken dient und solange dies zur Wahrung der Wirksamkeit der Strafverfolgungsmaßnahmen erforderlich ist.“
Anmerkung:
Unklare Ausdrucksweise, viele Ausnahmen, viel Potenzial für Fehler …  Eigentlich müsste sich von selbst verstehen, dass Datenweitergaben/-zugriffe, die im Widerspruch zu Unionsrecht bzw. dem Recht des betreffenden Mitgliedsstaats stehen, unzulässig sind. Hier werden mit labyrinthischen Formulierungen und vielen Ausnahmen Möglichkeiten eröffnet, Gesundheitsdaten für Zwecke außerhalb der in Art. 34 erlaubten zu verwenden, z.B. zur Strafverfolgung. 
Es würde ja reichen, wenn ein „Drittland“ z.B. unverheiratete Mütter oder schwule Männer bestrafen will. Hier müssten hohe Hürden hin, also wenigstens ein Richtervorbehalt als Eingangsvoraussetzung für ein Genehmigungsverfahren im jeweiligen Herkunftsland der Daten, dass an den Rechtsnormen der EU orientiert ist und bei Daten aus mehreren Ländern gälte das Konsensprinzip, sonst erfolgt keine Datenweitergabe.
Artikel 63 Internationaler Zugang zu personenbezogenen elektronischen Gesundheitsdaten und deren Übertragung
„Im Zusammenhang mit dem internationalen Zugang zu personenbezogenen elektronischen Gesundheitsdaten und deren Übertragung können die Mitgliedstaaten im Einklang mit und unter den Bedingungen von Artikel 9 Absatz 4 der Verordnung (EU) 2016/679 weitere Bedingungen, auch Beschränkungen, beibehalten oder einführen.“ 
Anmerkung:
Dies ist der einzige Artikel zum internationalen Zugang zu personenbezogenen Gesundheitsdaten. Er bestätigt v.a. die Regelung der DSGVO: Nach Art. 9 DSGVO (Verordnung (EU) 2016/679) gilt für Gesundheitsdaten ein Verarbeitungsverbot, außer für die dort in Abs. 2 aufgezählten Zwecke. Das macht die internationale Weitergabe schwierig. Art. 9 Abs. 4 enthält eine Öffnungsklausel, nach der „zusätzliche Bedingungen“ im nationalen Recht vorgesehen werden können, unter denen Gesundheitsdaten verarbeitet werden können. 

Sonstiges

EHDS-Verordnung, S.6, enthält einen Hinweis auf einen weiteren EU-Verordnungsvorschlag, der für zusätzliche datenschutztechnische Komplikationen beim EHDS sorgen könnte:
  • „Der EHDS baut auf dem neuen Vorschlag zur europäischen digitalen Identität[22] mit den darin vorgesehenen Verbesserungen im Bereich der elektronischen Identifizierung, einschließlich der EUid-Brieftasche, auf. Dies würde bessere Mechanismen für die Online- und Offline-Identifizierung natürlicher Personen und Angehöriger der Gesundheitsberufe ermöglichen.“
Fußnote [22]: „Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Änderung der Verordnung (EU) Nr. 910/2014 im Hinblick auf die Schaffung eines Rahmens für eine europäische digitale Identität (COM(2021) 281 final).“
Diese Verordnung ist aber auch noch nicht in kraft. Es steht zu hoffen, dass der biometrische BPA vom BVerfG kassiert wird. Dann werden die Karten neu gemischt.

Patientenrechte und Datenschutz e.V.