[datensicherheit.de, 08.11.2022] Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Prof. Ulrich Kelber, geht in seiner aktuellen Stellungnahme vom 7. November 2022 auf die „unsichere Feature-Spezifikationsvariante ,Abruf der E-Rezepte in der Apotheke nach Autorisierung’“ ein und bekundet hierfür kein Einvernehmen: „Die geplante Schnittstelle ist nicht nach dem Stand der Technik abgesichert und verstößt damit gegen die DSGVO.“ Er schlägt indes eine sichere, für die Versicherten, Ärzte und Apotheker „vollkommen funktionsgleiche Alternative“ vor, bei der im Hintergrund andere Verfahren genutzt würden.

Foto: Bundesregierung/Kugler

Prof. Ulrich Kelber: Unzureichend gesicherte Schnellschüsse kann der BfDI bei seinem gesetzlichen Auftrag nicht mittragen!

BfDI enttäuscht über Ausstieg der Kassenärztlichen Vereinigungen aus Pilotprojekten

Der BfDI ist demnach „enttäuscht über den Ausstieg der Kassenärztlichen Vereinigungen aus den Pilotprojekten zur Einführung des E-Rezeptes“ sowie der Meinungsäußerungen der beiden kassenärztlichen Vereinigungen und des Apothekerverbands zum Thema:

„Das E-Rezept als solches und die drei ursprünglich vorgesehen Einlösungswege sind konsentiert und funktionsfähig. Auch die nun zusätzliche geplante Funktionalität der Einlösung durch Stecken der elektronischen Gesundheitskarte (eGK) ohne Eingabe einer PIN ist umsetzbar.“

BfDI sieht Patienten als Leidtragende, welche gerne das E-Rezept nutzen möchten

Die geplante Datenverarbeitung mit der zunächst von der gematik vorgelegten Umsetzung verursache allerdings ein „großes Risiko für die Rechte und Freiheiten aller Nutzerinnen und Nutzer des E-Rezepts“, bundesweit und bei allen Arztpraxen und Apotheken, warnt Professor Kelber und führt hierzu aus:

„Uns gegenüber gemachte Vorschläge zur Minderung des Problems abseits einer anderen Umsetzung verringern die Gefahren für die Versicherten nicht ausreichend.“ Unverständlich sei, dass Kassenärztliche Vereinigungen und Apothekerverband dieses Problem, dass ihnen seit Monaten und damit länger als dem BfDI selbst bekannt sei, nicht wahrnehmen wollten und stattdessen schon Basisabsicherungen von IT-Lösungen als überzogen diffamierten. Er betont: „Leidtragende sind die Patientinnen und Patienten, die gerne das E-Rezept auf einem der bereits funktionierenden Wege nutzen möchten.“

BfDI erwartet von allen Beteiligten bis zum Sommer 2023 eine sichere Lösung

Falls es zu einem – „wohl leicht umsetzbaren“ – Hack bei der unzureichend gesicherten, vom BfDI und auch dem Bundesamt für die Sicherheit in der Informationstechnik (BSI) nicht freigegebenen Umsetzungsvariante gekommen wäre, hätte das Vertrauen in das E-Rezept und andere Digitalisierungen des Gesundheitssystems enorm gelitten, moniert Professor Kelber und unterstreicht:

„Ich erwarte von allen Beteiligten, dass bis zum Sommer 2023 eine sichere Lösung für das Abholen von E-Rezepten durch Stecken der eGK zur Verfügung steht.“ Die kassenärztlichen Vereinigungen sollten ihren Ausstieg aus dem Pilotprojekt überdenken und nicht angeblich überzogene IT-Sicherheits- und Datenschutzanforderungen vorschieben. Schließlich stünden alle Möglichkeiten der Einreichung von E-Rezepten, „die auch zum Start des Pilotprojektes vorhanden waren“, weiter uneingeschränkt zur Verfügung.

Unzureichend gesicherten Lösungen wird der BfDI eine datenschutzrechtliche Absage erteilen

Neue Funktionalitäten müssten aber Standardanforderungen an IT-Sicherheit erfüllen und dürften nicht dem unberechtigten Zugriff auf den gesamten Bestand der E-Rezepte „Tür und Tor öffnen“. Eine Umsetzungszeit von sechs Monaten sei dabei in der Softwareentwicklung durchaus üblich und notwendig. „Unzureichend gesicherte Schnellschüsse kann der BfDI bei seinem gesetzlichen Auftrag nicht mittragen. Ich bedanke mich bei dem Teil der Berufsverbände im Gesundheitssektor, die uns in dieser Haltung klar und eindeutig unterstützen.“

Der BfDI fordert außerdem, dass das Bundesministerium für Gesundheit und der Deutsche Bundestag durchsetzen, dass vorhandene „sichere und bequeme Authentisierungsmittel“ zum Standard werden, wie beispielsweise eine PIN für die Gesundheitskarte oder den elektronischen Personalausweis: „Es ist alles da, überprüft und könnte sofort eingesetzt werden, wenn beispielsweise die Krankenkassen endlich ihre Versicherten mit der PIN zur eGK versorgen würden.“ Digitalisierung im Gesundheitssektor müsse richtig umgesetzt werden: Sicher, datenschutzkonform und bequem zu nutzen! Abschließend stellt Professor Kelber nochmals klar: „Unzureichend gesicherten Lösungen werden wir auch weiter eine datenschutzrechtliche Absage erteilen.“

[datensicherheit.de, 16.06.2011] Für seine Forderung, die geplanten Verfahren für die Einführung der „elektronischen Gesundheitskarte“ (eGK) seitens der Krankenkassen in Deutschland zu überarbeiten, erhielt der Centralverband Deutscher Berufsfotografen (CV) jetzt Rückendeckung von der Europäischen Kommission:
Ein Hauptkritikpunkt der Berufsfotografen besteht in der Tatsache, dass eine sichere Identitätsprüfung bei der Anfertigung und Verwendung der Versicherten-Bilder für die eGK mit dem bisher vorgesehen Verfahren nicht gegeben sei. Der CV fühlt sich nun durch eine Klarstellung aus Brüssel bestätigt, die auf die Einhaltung der Datenschutzrichtlinien drängt. Demnach werden die Krankenversicherungsträger und die Betreiber der eGK verpflichtet, dafür zu sorgen, dass die personenbezogenen Daten einschließlich der Bilddaten „sachlich richtig und auf dem neuesten Stand“ sind.
Der Gesetzgeber hat die Krankenkassen verpflichtet, bis Ende 2011 zehn Prozent der Versicherten mit der eGK auszustatten. Diese wird im Gegensatz zur bisherigen Krankenversichertenkarte aber nicht nur administrative, sondern auch medizinische Daten erhalten, die es besonders zu schützen gilt. Bisher war vorgesehen, dass der Versicherte ein Foto an die Krankenkasse senden soll, aber ohne seine Identität nachweisen zu müssen. Kritiker sehend darin einen Verstoß gegen die europäische Datenschutzrichtlinie „95/46/EG“, da so eine zweifelsfreie Zuordnung des Fotos des Versicherten zu seinen medizinischen Daten nicht möglich ist.
Mit der Klarstellung der Europäischen Kommission sei für alle Beteiligten – Krankenkassen, Leistungserbringer, Bundesministerium für Gesundheit, Aufsichtsbehörden, Datenschützer, Politk und Versicherte – ein wichtiger Meilenstein erreicht. So seien die notwendigen Voraussetzungen der Datensicherheit bei Einführung der eGK geschaffen, meint CV-Geschäftsführer Andreas Gliem. Der CV und seine Mitglieder weisen bereits seit Jahren auf die Unzulässigkeit von Prozessen ohne Identitätsprüfung bei der Lichtbildbeschaffung hin. Unter anderem wandte sich der CV an alle Vorsitzenden und Verwaltungsratsvorsitzenden der Krankenkassen sowie an den Bundesbeauftragten und alle Landesbeauftragten für den Datenschutz.
Man werde zügig den Ausbau von „Registrierstellen“ vorantreiben, in denen die Versicherten Lichtbilder erstellen lassen können und in denen durch speziell geschultes Personal die Identität geprüft und bestätigt wird. Diese übernehmen in diesem Konzept auch die datenschutzgerechte Weiterleitung an die jeweilige Krankenkasse. Damit befinde sich der CV exakt „auf einer Linie“ mit dem Beauftragten für den Datenschutz und die Informationsfreiheit Peter Schaar.

Weitere Informationen zum Thema:

CentralVerband Deutscher Berufsfotografen
CV begrüßt Klarstellung aus Brüssel