Gesundheitsdaten: Zentrales Datenportal für Forschungsdaten geöffnet
Das Forschungsdatenportal für Gesundheit ist eröffnet. Forscher können hier Zugang zu Gesundheitsdaten und Bioproben von deutschen Unikliniken beantragen.
(Bild: bixstock/Shutterstock.com)
Forschende können nun Gesundheitsdaten und Bioproben der deutschen Universitätsmedizin zentral beim Deutschen Forschungsdatenportal für Gesundheit (FDPG) beantragen. Bisher war dies nur Forschenden möglich, die an der Medizininformatik-Initiative (MII) beteiligt sind. Mit der Öffnung des Portals drücken Stakeholder aus Politik und Wissenschaft, die auf eine umfassende rechtliche Freigabe aller Gesundheitsdaten für Forschungszwecke drängen, aufs Tempo. Derzeit prüfen die zuständigen Datenschützer, ob bei verwendeter Pseudonymisierung eine Datenschutzfolgeabschätzung benötigt wird.
Die MII wurde vom Bundesforschungsministerium (BMBF) gefördert. Dabei wurden an über 30 universitätsmedizinischen Standorten Datenintegrationszentren aufgebaut. Das FDPG bietet für Anträge und Abfragen der Datenbestände die zentrale Anlaufstelle. Betrieben wird das zentrale Datenportal von der Technologie- und Methodenplattform für die vernetzte medizinische Forschung e.V. (TMF).
Freigabe nach Einwilligung
Konkret können Daten aus der Versorgungsdokumentation aller deutschen Unikliniken abgefragt werden. Der MII-Kerndatensatz umfasst Module zur Person, Diagnose, Prozedur, Laborbefund, Medikation, Einwilligung und Bioprobendaten. Ohne explizite Einwilligung der Patientinnen und Patienten (Opt-In) dürfen keine Daten weitergegeben werden. Die Einwilligung erfolgt als "Broad Consent", der die Verarbeitungszwecke der medizinischen Forschung nicht abschließend festlegt. Die Forschenden werden zudem vertraglich verpflichtet, die Daten sorgfältig zu schützen und spätestens nach Ende des Forschungsprojekts alle Daten vollständig zu löschen.
Im Modul "Person" stehen mehrere Millionen Datensätze im standardisierten FHIR-Format bereit, die unter anderem Angaben zu Alter und Geschlecht enthalten. Die Standardisierung ist noch nicht abgeschlossen, weshalb sich das Portal noch im Pilotbetrieb befindet. Es wird in ersten Nutzungsprojekte getestet und laufend verbessert.
Datenfreigabe für gemeinwohlorientierte und kommerzielle Forschung
Für einen Antrag zur Datennutzung müssen die Forschenden ein positives Ethikvotum ihrer Einrichtung vorlegen. Über den Antrag entscheiden sogenannte Use-and-Acess-Committees (UACs) an jeder angefragten Universitätsklinik. Entsprechend verbleibt die Datenhoheit bei den Universitätskliniken. Wird der Antrag bewilligt, werden pseudonymisierte Daten über das Portal zur Verfügung gestellt. Dazu wird gegebenenfalls ein "Record Linkage" durchgeführt, "sodass für die Forscher erkennbar wird, welche Datensätze von verschiedenen Standorten zu ein und demselben Patienten gehören". Aktuell müssen die Forschenden mit einem fünfmonatigen Antragsverfahren rechnen.
Allen Forschenden steht das frei, einen Antrag zu stellen, wenn sie ein Ethikvotum ihrer Institution vorlegen können. Es wird nicht nach kommerziellen oder gemeinnützigen Zwecken unterschieden. "Die Datenfreigabe gilt nur für medizinische Forschungszwecke", betonte eine Sprecherin der TMF gegenüber heise online. Das Verfahren schließe eine unethische Nutzung der Daten aus und gewährleiste eine hohe wissenschaftliche Qualität der Datenanalysen.
Auch Unternehmen, die an KI-Sprachmodellen arbeiten, könnten mit einer Freigabe rechnen, wenn die Daten für medizinische Forschung verarbeitet wird. Dazu gehören allerdings im Moment keine US-Unternehmen. Der von der Datenschutzkonferenz von Bund und Ländern zugelassene "Broad Consent" erlaube ausschließlich eine Datenausleitung in Länder, die an die EU-DSGVO gebunden sind, erklärte die Sprecherin. Daher sei diese an Unternehmen mit Sitz in den USA derzeit ausgeschlossen.
Dezentrale Pseudonymisierung
Daten, die eine Person unmittelbar identifizieren – Name, Geburtsdatum, Anschrift – werden pseudonymisiert. Personen identifizierende Daten werden – außer in von der Person erlaubten oder gesetzlich geregelten Fällen – nicht an Forschende oder sonstige Dritte weitergegeben, insbesondere nicht an Versicherungsunternehmen oder Arbeitgeber. Eine Beschlagnahmung der Daten durch Strafverfolgungsbehörden ist damit nicht ausgeschlossen.
Das FDPG fungiert als Schnittstelle zu den Forschenden. Die Forschenden erhalten die pseudonymisierten Daten über eine Datenmanagementstelle, die an einem der Standorte angesiedelt ist. "Das FDPG erhält in diesem Prozess keine personenbezogenen Gesundheitsdaten", betont eine Sprecherin der TMF. Da am FDPG also keine besonders schutzbedürftigen Daten verarbeitet würden und auch keine Verarbeitung in besonderem Umfang stattfinde, sei eine Datenschutzfolgenabschätzung nicht erforderlich. Es gebe aber eine Datenschutzfolgenabschätzung für die Verarbeitungsprozesse an jedem Standort.
Datenschutzfolgenabschätzung erfolgt?
Die für die TMF zuständige Datenschutzaufsichtsbehörde prüft auf Anfrage von heise online, ob tatsächlich keine Datenschutzfolgenabschätzung der TMF notwendig ist. Das zu verwendende Verfahren zur Pseudonymisierung wurde im Datenschutzkonzept der MII festgelegt. Das im Januar 2022 beschlossene Konzept (PDF) erkennt ausdrücklich die "Notwendigkeit zur Weiterentwicklung des Konzepts" an, was beispielsweise die Vorgaben für die Authentifizierung und Autorisierung von Benutzern oder die Überlassung von Bio-Proben angeht.
Das Datenschutzkonzept sieht außerdem "noch keine allgemeinen technischen und organisatorischen Mindeststandards für beteiligte Standorte" vor. Es fehlen zudem Ausführungen zur datenschutzrechtlich relevanten Verarbeitung von personenbezogenen Daten von Antragstellern. Aktuell ist in Klärung, ob bereits eine Bewertung dieses Datenschutzkonzepts durch die zuständige Datenschutzbehörde erfolgte.
(mack)
