Zwischen analoger Gegenwart und digitaler Versorgungszukunft Das Minenfeld IT-Sicherheit und Datenschutz

On-Premise oder Cloud? Diese Frage dürften sich derzeit viele Healthcare-Einrichtungen stellen, die in der Umsetzung von Digitalprojekten stecken. Dabei herrscht oft der Irrglaube vor, dass On-Premise die sicherere Option wäre – denn es fehlen Informationen und ein verbindlicher Rechtsrahmen. Die deutsche Gesundheitswirtschaft und v.a. die Krankenhaus- und Rehalandschaft unterliegen häufig dem Irrglauben, dass das sogenannte On-Premise-Hosting, also die Speicherung und Verarbeitung von Daten auf lokalen Servern, die sicherste Option der Datenspeicherung bedeutet. Doch die vielfach stark veraltete IT-Infrastruktur und nicht ausreichende Kapazitäten in technischer wie auch personeller Hinsicht können dem eigenen Anspruch kaum gerecht werden. Zumal in Krankenhäusern und Rehaeinrichtungen weiter viel gefaxt wird, was sowohl keine sichere als auch keine effiziente Lösung bedeutet. Anbieter von Software-as-a-Service-Lösungen (SaaS-Lösungen) hingegen haben in den letzten Jahren so viel Kompetenzen in IT-Sicherheit und Cloud-Datenschutz aufgebaut, dass eine Auslagerung der Daten im richtigen Setting in der Regel nicht nur sicherer und zuverlässiger ist, sondern auch günstiger. Doch vielfach gilt in deutschen Gesundheitseinrichtungen noch heute der Glaubenssatz: Die Cloud ist unsicher. Dabei ist die Technik viel weiter als im öffentlichen Diskurs beleuchtet. IT-Sicherheit durch Betreiberausschluss Player im Gesundheitswesen agieren in einem datenschutzrechtlich hochsensiblen Umfeld – und sind sich dieser Verantwortung bewusst. Denn der Anspruch an den Schutz von Gesundheits- und Sozialdaten ist naturgemäß weitaus höher als der Datenschutzanspruch in anderen Branchen. Entsprechend emotional werden die Diskussionen rund um Datenschutz und Datensicherheit geführt, wenn es um die Frage „On-Premise- oder Cloud-Lösung“ geht. Wie bei von Emotionen geleiteten Debatten häufig der Fall, kommen sachliche Argumente regelmäßig zu kurz. Ein gutes Beispiel in diesem Zusammenhang ist der Betreiberausschluss, der viel zu selten thematisiert wird, obwohl er den höchsten technologischen Standard abbildet. Eine korrekt umgesetzte und wirksame Ende-zu-Ende-Verschlüsselung der verarbeiteten Daten verhindert die Zuordnung zu natürlichen Personen und nur wer den passenden Schlüssel hat, kann auf diese Daten zugreifen. Dabei können Nutzer die Schlüssel entweder clientseitig– z.B. durch die Eingabe ihrer Passwörter im Frontend, also auf der Benutzeroberfläche ihrer Endgeräte – oder über andere Mechanismen ohne Zuarbeit des Anbieters generieren. Weder Clouddienstleister als Hosting-Dienstleister für die Daten noch SaaS-Anbieter als Auftragnehmer der Krankenhäuser und Rehaeinrichtungen haben dann Zugriff darauf. "Eine korrekte Ende-zu-Ende-Verschlüsselung kann die Zuordnung zu natürlichen Personen verhindern."Maximilian Greschke Digitalisierungsmut statt „German Angst” Viele große Clouddienstleister (sogenannte „Hyperscaler“) haben US-amerikanischen Ursprung. Auch wenn diese Dienstleister längst europäische Entitäten mit Servern in der EU aufgebaut haben, also EU-Recht unterliegen, lautet ein viel bemühtes Argument: Die US-amerikanischen Muttergesellschaften könnten jederzeit auf die Daten ihrer europäischen Töchter zugreifen – und auch US-Behörden hätten potenziell Zugriff darauf. Durch die Ende-zu-Ende-Verschlüsselung gilt aber: Selbst wenn Muttergesellschaften oder US-Behörden auf die Daten zugreifen wollen würden, hätten sie keine realistische Chance, die verschlüsselten Daten zu entschlüsseln, weil sie nur auf entpersonalisierte Datensätze Zugriff hätten und eine Reidentifizierung mit realistischem Aufwand nicht möglich wäre. Innovationsdruck durch das KHZG Das deutsche Gesundheitswesen hinkt mit seiner Digitalisierung hinter anderen Branchen wie auch anderen europäischen Ländern deutlich hinterher. Das Krankenhauszukunftsgesetz (KHZG) wurde ins Leben gerufen,um u.a. die Digitalisierung bis Ende 2024 voranzutreiben. Das ist zum einen gut, weil die Digitalisierung damit den Fokus erfährt, den sie längst haben sollte. Zugleich gehen damit aber auch Ansprüche an digitale Lösungen einher und der Innovationsdruck vor allem an Start-ups ist enorm.Um den gesamtgesellschaftlichen Auftrag der Digitalisierung des deutschen Gesundheitswesens voranzutreiben und dem Druck generell und budgetär standzuhalten, sind klare Vorgaben aus Gesetzgebung und Rechtsprechung und damit Planungssicherheit erforderlich. Stabile rechtliche Lösung statt Einzelfallentscheidungen Mitte 2020 hat der Europäische Gerichtshof (EuGH) mit dem sogenannten Schrems-II-Urteil entschieden, dass das bis dahin als Übermittlungsgrundlage angewendete US-EU-Privacy-Shield nicht mehr angewendet werden kann. In der Folge wurde der rechtssichere Datenaustausch wesentlich erschwert. Seitdem gibt es kein Folgeabkommen zwischen der EU und den USA, sondern lediglich internationale Bekundungen. Aber wie lange wird die Implementierung dauern — und wie lange hält das Abkommen danach? All das führt zu Irritationen in Bezug auf den Innovationsstandort Deutschland. In der Folge hat sich im deutschen Markt z.B. bei Vergabeverfahren im Wesentlichen eine Einzelfallbetrachtung etabliert. Wenn Deutschland bis Ende 2024 durchdigitalisiert sein soll, zu den über das KHZG initiierten Vergabeverfahren mit langen Vorlauf- und Durchführzeiten aber auch noch Einzelfallbetrachtungen mit Klagen und Gegenklagen hinzukommen, wird die Zeit knapp. Insbesondere kleine und junge Unternehmen wie Start-ups haben weder Zeit und Strukturen noch Finanzmittel, solche Dinge über Jahre auszusitzen. Die Branche braucht eine stabile und verlässliche Lösung für alle statt Einzelfallentscheidungen – auch wenn Einzelfallentscheidungen eine gute Basis sind. Rechtliche Regelungen müssen die Cloud zulassen „Mit dem Krankenhauszukunftsgesetz (KHZG) hat der Gesetzgeber erhebliche Mittel für Digitalisierungsprojekte bereitgestellt. Hochspezialisierte Dienstleister stellen passende digitale Services etwa für die Patientenverwaltung oder für KI-Anwendungen in der medizinischen Versorgung bereit. Das darin liegende Potenzial kann nur genutzt werden, wenn die landesrechtlichen Regelungen die Verarbeitung von Gesundheitsdaten in der Cloud, d.h. in Form einer Auftragsverarbeitung, zulassen. Darüber hinaus müssen IT-Services ein hohes Schutzniveau bei der Datenverarbeitung vorweisen können, um im Markt mitmischen zu dürfen.“ Kathrin Schürmann, Partnerin Schürmann Rosenthal Dreyer Rechtsanwälte Digitalisierung ist kein Selbstzweck Welche Auswirkungen diese Gemengelage haben kann, hat ein kürzlich erfolgter Vergabe-Rechtsstreit um einen Entlassmanagement-Fall in Baden-Württemberg gezeigt. Am Ende bekam die Recare Deutschland GmbH vom Oberlandesgericht (OLG) Karlsruhe als höchster Instanz Recht (Aktenzeichen: 15 Verg 8/22) und somit auch den Zuschlag für einen großen Auftrag. Dem war jedoch ein monatelanger Rechtsstreit vorausgegangen, bei dem die vorige Instanz den Einzelfall nicht geprüft hatte. Das OLG-Urteil hat hingegen eine wichtige Botschaft für Krankenhäuser: Wenn Anbieter und angeschlossene Clouddienstleister versichern, dass sie Daten in der EU bzw. in Deutschland hosten und verarbeiten werden, dann kann diese Versicherung als ausreichend angesehen werden. Das gilt auch, wenn die Clouddienstleister Tochterunternehmen US-amerikanischer Konzerne sind. Kontakt zu den Autoren: Maximilian Grescke, Co-Founder und CEO Recare Deutschland GmbH, maximilian.greschke@recaresolutions.com Martin Camphausen, MBA, Head of Marketing and Corporate Communications Recare Deutschland GmbH, martin.camphausen@recaresolutions.com

Zwischen analoger Gegenwart und digitaler Versorgungszukunft Das Minenfeld IT-Sicherheit und Datenschutz

Reimbursement im Überblick

Digitale Gesundheit von A bis Z

Kostenloser Newsletter