Im Gesundheitsausschuss des Bundestages musste die Regierung massive Kritik für ihren Entwurf des Medizinregistergesetzes einstecken. Er beschränke den Datenschutz, beschneide das Widerspruchsrecht und gefährde die Grundrechte der Patient:innen. Zuspruch gab es für einen Änderungsantrag der Grünen.

In rund 350 verschiedenen Datenbanken lagern Gesundheitsdaten aus Deutschland. Zu den größten dieser sogenannten Medizinregister zählen das „Deutsche Herzschrittmacher-Register“ mit den Daten von mehr als einer Million Patient:innen oder das „TraumaRegister DGU“, das Daten von über 100.000 Personen enthält.

Gesundheitsministerin Nina Warken (CDU) will diese Daten für Forschende zugänglich machen. Dafür soll es einheitliche Vorgaben und Qualitätsstandards geben, das steht im Regierungsentwurf des Medizinregistergesetzes, der derzeit im Bundestag verhandelt wird. Ein neues Zentrum für Medizinregister (ZMR) soll die Register auf Datenschutz und Datenqualität prüfen. Qualifizierte Register werden dann in einem Verzeichnis aufgeführt, dürfen zu einem festgelegten Zweck kooperieren und auch anlassbezogen Daten zusammenführen.

In einer Anhörung des Gesundheitsausschusses am vergangenen Mittwoch äußerten verschiedene Verbände und Fachleute deutliche Kritik an den Regierungsplänen: Der Entwurf verstoße gegen europäisches Recht, es drohe die Gefahr einer Reidentifizierung von Personen und die Widerspruchsmöglichkeiten der Patient:innen seien unzureichend. Abhilfe könne teilweise ein Änderungsantrag der Grünen schaffen, für den sich einige der Sachverständigen aussprachen.

Regelungen zum Datenschutz seien „mangelhaft“

Am deutlichsten fiel die Kritik von Thilo Weichert vom Netzwerk Datenschutz Expertise aus. Er bescheinigte dem Regierungsentwurf, „gegen Europarecht sowie nationales Verfassungsrecht“ zu verstoßen. Als Grund führte der ehemalige Landesdatenschutzbeauftragte von Schleswig-Holstein an, dass die Regierung zentrale grundrechtliche Vorgaben und deren Konkretisierung in der europäischen Datenschutz-Grundverordnung (DSGVO) missachte. Der Entwurf sei daher „mangelhaft“.

Die DSGVO sieht vor, dass Betroffene bei jeder sie betreffenden Datenverarbeitung informiert werden müssen. Die Bundesregierung will die Betreiber von Medizinregister jedoch nur dazu verpflichten, allgemein und einmalig über die Zwecke ihrer Datenbank zu informieren. Die Betroffenen könnten so nicht nachvollziehen, was mit ihren Daten passiert, so Weichert: „Ich bin sehr skeptisch, dass diese Regelung dann vor dem Europäischen Gerichtshof oder auch vorm Bundesverfassungsgericht standhält.“

Außerdem seien die Schutzvorkehrungen für die Register unzureichend, was für die Betroffenen „ein lebenslanges, unverhältnismäßiges Risiko“ bedeute. Dass das Gesetz eine Speicherdauer der Gesundheitsdaten von bis zu 100 Jahren vorsehe, vergrößere dieses Problem noch, sagte Weichert. Angesichts einer solchen Zeitspanne könne die Regierung nicht ernsthaft von einer Löschfrist sprechen.

Das Risiko der Reidentifizierung

Auch die Bundesärztekammer kritisiert in ihrer Stellungnahme den unzureichenden Datenschutz.

Der Gesetzentwurf sieht vor, dass die Daten qualifizierter Medizinregister miteinander verknüpft werden können. Die Betreiber sollen dafür registerübergreifende Pseudonyme auf Grundlage des unveränderbaren Teils der Krankenversichertennummer von Versicherten (KVNR) erstellen. Damit aber lägen den Registerbetreibern faktisch sowohl die identifizierenden Klardaten der Betroffenen als auch die pseudonymisierten Daten vor. Medizinregister sollten jedoch grundsätzlich nur mit pseudonymisierten Daten arbeiten, so die Forderung der Bundesärztekammer. Außerdem sollte die Registerarchitektur konsequent dem Grundsatz der Datenminimierung folgen.

Auch Thilo Weichert warnte vor der Gefahr der Reidentifizierung. Der Entwurf trage dazu bei, dass die Krankenversichertennummer zu einem „Kennzeichen von allgemeiner Bedeutung“ für den Gesundheitsbereich werde. Damit erhöhe sich das Risiko der Reidentifizierung massiv. Es bedürfe dann nur noch „eines geringen Zusatzwissens“, so Weichert in der Anhörung, um festzustellen, zu wem ein Datensatz gehört.

Bei der Krankenversichertennummer handele es sich gemäß der DSGVO zudem um eine „nationale Kennziffer“. Eine solche Ziffer ist aber nur dann zulässig, wenn der Persönlichkeitsschutz der Betroffenen gewahrt bleibt, erklärte Weichert. Garantien dafür sehe der Gesetzentwurf nicht vor.

Widerspruchsrechte stärken

Die Bundesarbeitsgemeinschaft Selbsthilfe unterstrich, dass der Datenschutz insbesondere für vulnerable Gruppen wichtig ist. „Wir haben Menschen, die HIV-infiziert sind, unter unseren Mitgliedern. Da ist natürlich der Datenschutz ein ganz großes Thema“, sagte Siiri Ann Doka vom Dachverband, der bundesweit mehr als einhundert Selbsthilfeverbände behinderter und chronisch kranker Menschen vertritt.

Die BAG Selbsthilfe sehe sich in einem Zwiespalt, sagte Doka. Einerseits begrüße ihr Verband es, wenn Medizinregister eingerichtet werden. Andererseits gebe es „erhebliche Risiken für die Daten der Patienten“. Dieses Spannungsverhältnis ließe sich auflösen, wenn Patient:innen stärker eingebunden werden. Alle stehen vor der gleichen Frage: „Will ich die Forschung fördern und im Grunde anderen auch Hilfestellung für ihre Erkrankung geben? Oder muss ich mich auf den Schutz meiner Daten konzentrieren?“

Zur Patientenbeteiligung zähle auch, dass Betroffene eine Möglichkeit erhalten, sich möglichst barrierearm darüber zu informieren, was mit ihren Daten passiert, und deren Nutzung gegebenenfalls differenziert widersprechen zu können, sagte Doka. Die BAG Selbsthilfe spreche sich daher für eine zentrale Vertrauensstelle aus, die auch die Widersprüche von Patient:innen aufnehme.

Forderung nach einer unabhängigen Vertrauensstelle

Der Verband greift damit einen Änderungsantrag der Fraktion Bündnis 90/Die Grünen auf. Er sieht vor, eine unabhängige Vertrauensstelle beim Robert Koch-Institut einzurichten. Sie soll unter anderem Pseudonymisierungsverfahren vereinheitlichen und Widersprüche von Patient:innen entgegennehmen.

Auch die Bundesdatenschutzbeauftragte stellt sich hinter diesen Vorschlag. Die Vertrauensstelle könne „einen wesentlichen Beitrag zu einer einheitlichen und transparenten Registerlandschaft leisten“ und zugleich die Betroffenenrechte stärken, schreibt Louisa Specht-Riemenschneider in ihrer Stellungnahme. Allerdings betont sie, dass dann geklärt werden müsse, wie die Vertrauensstelle finanziell und personell ausgestattet wäre.

Das hier mit Blick auf den Regierungsentwurf grundsätzlich Klärungsbedarf besteht, hat die Anhörung ebenfalls gezeigt. Denn für das neue Zentrum für Medizinregister sieht das Gesetz bislang gerade einmal vier Personen vor. „Wie wollen Sie so die notwendige fachliche Kompetenz zusammenbekommen“, fragte der sichtlich entgeisterte Thilo Weichert am Mittwoch, „um die zahlreichen Aufgaben zu erfüllen, die ein solches Zentrum wahrnehmen muss?“

Auch diese Frage sollte der Bundestag noch klären, bevor er im Plenum über den Gesetzentwurf abstimmt.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Bundesgesundheitsministerin Nina Warken hat ihre Digitalisierungsstrategie vorgelegt. Darin betont die CDU-Ministerin, die Patient:innensouveränität stärken zu wollen. Tatsächlich aber will sie eine der umfassendsten Gesundheitsdateninfrastrukturen weltweit aufbauen. Nutznießer sind Forschung und Pharma-Unternehmen. Die Rechte der Patient:innen bleiben auf der Strecke.

Rund 75 Millionen gesetzlich Versicherte, ihre Gesundheitsdaten täglich übermittelt an ein nationales Forschungsdatenzentrum, verknüpfbar mit hunderten Medizinregistern und europaweit vernetzt – das ist die Vision von Bundesgesundheitsministerin Nina Warken (CDU).

Die Ministerin präsentierte in der vergangenen Woche ihre „Digitalisierungsstrategie für das Gesundheitswesen und die Pflege“. Darin verspricht Warken eine bessere medizinische Versorgung und mehr Patientensouveränität. Tatsächlich aber zielt ihre Strategie vor allem darauf ab, eine der umfassendsten Gesundheitsdateninfrastrukturen weltweit aufzubauen.

Das knapp 30-seitige Papier legt zugleich die Grundlage für ein umfangreiches „Digitalgesetz“. Den Entwurf will das Bundesgesundheitsministerium (BMG) noch im laufenden Quartal vorlegen. Die Rechte der Patient:innen drohen darin weitgehend auf der Strecke zu bleiben.

Die geplante Dateninfrastruktur ruht auf drei Säulen: die elektronische Patientenakte, das Forschungsdatenzentrum Gesundheit und das geplante Medizinregistergesetz. Das Zusammenspiel aller drei Vorhaben ebnet auch der EU-weiten Vernetzung der Gesundheitsdaten den Weg.

Die ePA soll zur „Gesundheits(daten)plattform“ werden

Alle Versicherten, die nicht widersprochen haben, besitzen seit Januar 2025 eine elektronische Patientenakte (ePA); seit Oktober 2025 sind Behandelnde dazu verpflichtet, sie zu verwenden. Gesundheitsministerin Warken will die ePA nicht nur zum „zentralen Dreh- und Angelpunkt“ der ärztlichen Versorgung machen, sondern auch zur „Gesundheits(daten)plattform“ ausbauen.

Dafür sollen erstens mehr strukturierte Daten in die ePA fließen, die dann „möglichst in Echtzeit für entsprechende Anwendungsfälle nachnutzbar“ sind. Derzeit sind dort vor allem noch PDF-Dateien hinterlegt, die nicht einmal durchsuchbar sind, was den Umgang mit der ePA aus Sicht von Behandelnden deutlich erschwert.

Zweitens soll die ePA weitere Funktionen wie eine digitale Terminvermittlung und elektronische Überweisungen erhalten. Die Patientenakte soll so „auch interessanter werden für diejenigen, die nicht krank sind“, kündigte Warken an. Derzeit nutzen gerade einmal rund 4 Millionen Menschen ihre ePA aktiv. Bis zum Jahr 2030 soll sich ihre Zahl, so das Ziel des BMG, auf 20 Millionen erhöhen.

„Künstliche Intelligenz“ soll Symptome auswerten

Wer sich krank fühlt, soll künftig auch über die ePA-App eine digitale Ersteinschätzung einholen können. Mit Hilfe eines Fragenkatalogs sollen Versicherte dann erfahren, ob ihre Symptome den Gang zur Hausärztin oder gar zur Notfallambulanz rechtfertigen.

Diese Auswertung soll offenbar auch mit Hilfe sogenannter Künstliche Intelligenz erfolgen. Ohnehin soll KI laut Warken „in Zukunft da eingesetzt werden können, wo sie die Qualität der Behandlung erhöht, beim Dokumentationsaufwand entlastet oder bei der Kommunikation unterstützt“. Bis 2028 sollen beispielsweise mehr als 70 Prozent der Einrichtungen in der Gesundheits- und Pflegeversorgung KI-gestützte Dokumentation nutzen – ungeachtet der hohen Risiken etwa für die Patientensicherheit oder die Autonomie der Leistungserbringer.

Dafür will das BMG „unnötigen bürokratischen Aufwand“ für KI-Anbieter reduzieren. Das Ministerium strebt dafür mit Blick auf den Digitalen Omnibus der EU-Kommission „eine gezielte Anpassung der KI-Verordnung“ an. Das umstrittene Gesetzesvorhaben der Kommission zielt darauf ab, Regeln für risikoreiche KI-Systeme hinauszuzögern und den Datenschutz deutlich einzuschränken. Zivilgesellschaftliche Organisationen warnen eindringlich, dass mit dem Omnibus der „größte Rückschritt für digitale Grundrechte in der Geschichte der EU“ drohe.

Forschungsdatenzentrum soll als „Innovationsmotor“ wirken

Die in der ePA hinterlegten Daten sollen aber nicht nur der ärztlichen Versorgung dienen, sondern vor allem auch der Forschung zugutekommen. Sie sollen künftig – sofern Versicherte dem nicht aktiv widersprechen – täglich automatisch an das Forschungsdatenzentrum Gesundheit (FDZ) gehen. Während Warken die ePA als „Dreh- und Angelpunkt“ der Versorgung sieht, beschreibt sie das FDZ als „Innovationsmotor“ der Gesundheitsforschung.

Das FDZ wurde nach jahrelangen Verzögerungen im vergangenen Herbst erst handlungsfähig. Es ist beim Bundesamt für Arzneimittel und Medizinprodukte (BfArM) in Bonn angesiedelt. Forschende können sich bei dem Zentrum registrieren, um mit den dort hinterlegten Daten zu arbeiten. Auch Pharma-Unternehmen können sich bewerben. Eine Voraussetzung für eine Zusage ist, dass die Forschung einem nicht näher definierten „Gemeinwohl“ dient.

Die pseudonymisierten Gesundheitsdaten sollen das FDZ nicht verlassen. Stattdessen erhalten Forschende Zugriff auf einen Datenzuschnitt, der auf ihre Forschungsfrage abgestimmt ist. Die Analysen erfolgen in einer „sicheren Verarbeitungsumgebung“ auf einem virtuellen Desktop, das Forschende übers Internet aufrufen können.

Ob dabei tatsächlich angemessene Schutzstandards bestehen, muss indes bezweifelt werden. Denn das Forschungszentrum verfügte in den vergangenen Jahren nicht einmal über ein IT-Sicherheitskonzept, weshalb auch ein Gerichtsverfahren der Gesellschaft für Freiheitsrechte ruht.

Gemeinsam mit der netzpolitik.org-Redakteurin Constanze Kurz hatte die GFF gegen die zentrale Sammlung sensibler Gesundheitsdaten beim FDZ geklagt. Aus ihrer Sicht sind die gesetzlich vorgesehenen Schutzstandards unzureichend, um die sensiblen Gesundheitsdaten vor Missbrauch zu schützen. Sie verlangt daher für alle Versicherten ein voraussetzungsloses Widerspruchsrecht gegen die Sekundärnutzung der eigenen Gesundheitsdaten. Nachdem das FDZ seit Oktober den aktiven Betrieb aufgenommen hat, dürfte das ruhende Verfahren in Kürze fortgesetzt werden.

„Real-World-Überwachung“ ermöglichen

Dessen ungeachtet haben sich laut BfArM-Präsident Karl Broich bereits 80 Einrichtungen beim FDZ registriert. Die Antragsteller kommen zu gleichen Teilen aus Wirtschaft, Verwaltung und Forschung. Mehr als zwei Drittel von ihnen hätten bereits konkrete Forschungsanträge gestellt, bis zum Ende des Jahres will Warken diese Zahl über die Schwelle von 300 hieven. Alle positiv beschiedenen Anträge sollen künftig in einem öffentlichen Antragsregister einsehbar sein.

Zum Jahreswechsel wird das FDZ wohl auch über weit mehr Daten verfügen als derzeit. Bislang übermitteln die gesetzlichen Krankenkassen die Abrechnungsdaten all ihrer Versicherten an das Forschungszentrum. Diese geben bereits Auskunft darüber, welche Leistungen und Diagnosen die Versicherungen in Rechnung gestellt bekommen haben.

Ab dem vierten Quartal dieses Jahres sollen dann nach und nach die Behandlungsdaten aus der ePA hinzukommen. Den Anfang machen Daten aus der elektronischen Medikationsliste, anschließend folgen die Laborfunde, dann weitere Inhalte.

Der baldige Datenreichtum gibt dem FDZ aus Sicht von BfArM-Chef Broich gänzlich neue Möglichkeiten. Er geht davon aus, dass seine Behörde in zehn Jahren bundesweit „einer der großen Daten-Hubs“ ist. Mit den vorliegenden Daten könnten Forschende dann umfassende „Lifecycle-Beobachtungen“ durchführen – „eine Real-World-Überwachung also, die klassische klinische Prüfungen so nicht abdecken können“.

Auch im FDZ soll „Künstliche Intelligenz“ mitwirken. Zum einen in der Forschung selbst: „Dafür arbeiten wir an Konzepten, die Datenschutz, Sicherheit und wissenschaftliche Nutzbarkeit von Beginn an zusammendenken“, sagt Broich. Zum anderen soll das FDZ Datensätze etwa für das Training von Sprachmodellen bereitstellen, wie die Digitalisierungsstrategie des BMG ausführt und auch bereits gesetzlich festgeschrieben ist. Sowohl Training als auch Validierung und Testen von KI-Systemen sind eine zulässige Nutzungsmöglichkeiten. Das bedeutet konkret: Die sensiblen Gesundheitsdaten von Millionen Versicherten können zum Training von Sprachmodellen verwendet werden.

Wie „Künstliche Intelligenz“ unser Gesundheitswesen verändern soll – und welche Fragen das aufwirft

Warken will Medizinregister miteinander verknüpfen

Ab 2028 könnten Trainingsdaten dann auch detaillierte Daten zu Krebserkrankungen enthalten. Denn in knapp zwei Jahren sollen die FDZ-Datenbestände mit Krebsregistern sowie dem Projekt genomDE verknüpft werden, das Erbgutinformationen von Patient:innen sammelt.

Die Datenfülle beim FDZ dürfte damit noch einmal ordentlich zunehmen. Allein die Krebsregister der Länder Bayern, Nordrhein-Westfalen und Rheinland-Pfalz halten Daten von insgesamt mehr als drei Millionen Patient:innen vor. Wer nicht möchte, dass etwa die eigenen Krebsdaten mit den Genomdaten verknüpft werden, muss mindestens einem der Register komplett widersprechen.

Im Gegensatz etwa zu den Krebsregistern der Länder, die auf Basis spezieller rechtlicher Grundlagen arbeiten, bewegen sich die meisten anderen Medizinregister dem BMG zufolge derzeit „in einem heterogenen Normengeflecht von EU-, Bundes- und Landesrecht“, was „die Schaffung einer validen Datenbasis“ behindere.

Das Ministerium hat daher bereits im Oktober das „Gesetz zur Stärkung von Medizinregistern und zur Verbesserung der Medizinregisterdatennutzung“ auf den Weg gebracht. Der Referentenentwurf sieht vor, einheitliche rechtliche Vorgaben und Qualitätsstandards für Medizinregister zu schaffen.

Ein Zentrum für Medizinregister (ZMR), das ebenfalls am BfArM angesiedelt wäre, soll demnach bestehende Medizinregister nach festgelegten Vorgaben etwa hinsichtlich Datenschutz und Datenqualität bewerten. Qualifizierte Register werden dann in einem Verzeichnis aufgeführt, dürfen zu einem festgelegten Zweck kooperieren und auch anlassbezogen Daten zusammenführen. Die personenbezogenen Daten, die dort gespeichert sind, können für die Dauer von bis zu 100 Jahren in den Registern gespeichert werden.

Derzeit gibt es bundesweit rund 350 Medizinregister. Zu den größten zählen das „Deutsche Herzschrittmacher Register“, das die Daten von mehr als einer Million Patient:innen enthält, und das „TraumaRegister DGU“ mit Daten von mehr als 100.000 Patient:innen. Das Gesundheitsministerium geht davon aus, dass etwa drei Viertel der bestehenden Medizinregister Interesse daran haben könnten, in das Verzeichnis des ZMR aufgenommen zu werden.

Verbraucher- und Datenschützer:innen mahnen Schutzvorkehrungen an

Gesundheitsdaten, die dem ZMR vorliegen, sollen ebenfalls pseudonymisiert oder anonymisiert der Forschung bereitstehen. Das geplante Medizinregistergesetz sieht außerdem vor, dass die Daten qualifizierter Register ebenfalls miteinander verknüpft werden können.

Zu diesem Zweck sollen Betreiber von Medizinregistern und die meldenden Gesundheitseinrichtungen registerübergreifende Pseudonyme erstellen dürfen. Als Grundlage dafür soll der unveränderbare Teil der Krankenversichertennummer von Versicherten (KVNR) dienen.

Fachleute weisen darauf hin, dass eine Pseudonymisierung insbesondere bei Gesundheitsdaten keinen ausreichenden Schutz vor Re-Identifikation bietet. Das Risiko wächst zudem, wenn ein Datensatz mit weiteren Datensätzen zusammengeführt wird, wenn diese weitere personenbezogene Daten der gleichen Person enthält.

Das Netzwerk Datenschutzexpertise warnt zudem davor, die Krankenversichertennummer in einer Vielzahl von Registern vorzuhalten. Weil im Gesetzentwurf notwendige Schutzvorkehrungen fehlen würden, sei „das Risiko der Reidentifizierung bei derart pseudonymisierten Datensätzen massiv erhöht“.

Der Verbraucherzentrale Bundesverband kritisiert die Menge an personenbezogenen Daten, die laut Gesetzentwurf an qualifizierte Medizinregister übermittelt werden dürfen. Dazu zählen neben sozialdemographischen Informationen auch Angaben zu Lebensumständen und Gewohnheiten sowie „zu einem Migrationshintergrund oder einer ethnischen Zugehörigkeit, der Familienstand oder die Haushaltsgröße“.

Um die Patient:innendaten besser zu schützen, forderte der Verband bereits im November vergangenen Jahres, eindeutig identifizierende Daten vom Kerndatensatz eines Medizinregisters getrennt aufzubewahren.

Gesundheitsministerium schafft Schnittstellen in die EU

Das Gesundheitsministerium lässt sich davon jedoch nicht beirren und strebt weitere Datenverknüpfungen an. Laut seiner Digitalisierungsstrategie will das BMG das Forschungspseudonym auch dazu nutzen, um die Gesundheits- und Pflegedaten „mit Sozialdaten und Todesdaten zu Forschungszwecken“ sowie „mit Abrechnungs- und ePA-Daten“ zu verbinden. Ob Versicherte dieser umfangreichen Datenverknüpfung überhaupt noch effektiv und transparent widersprechen können, ist derzeit zweifelhaft. Sicher aber ist: Der Aufwand dürfte immens sein.

Die Digitalisierungsstrategie macht ebenfalls deutlich, dass das Ministerium die geplanten Maßnahmen auch in Vorbereitung auf den Europäischen Gesundheitsdatenraum (EHDS) ergreift. Der EHDS ist der erste sektorenspezifische Datenraum in der EU und soll als Blaupause für weitere sogenannte Datenräume dienen. Schon in wenigen Jahren sollen hier die Gesundheitsdaten von rund 450 Millionen EU-Bürger:innen zusammenlaufen und grenzüberschreitend ausgetauscht werden.

Konkret bedeutet das: In gut drei Jahren, ab Ende März 2029, können auch Forschende aus der EU beim FDZ Gesundheitsdaten beantragen. Und das Zentrum für Medizinregister soll dem BMG zufolge ebenfalls Teil der europäischen Gesundheitsdateninfrastruktur werden.

Der größte Brückenschlag in der Gesundheitsdateninfrastruktur steht also erst noch bevor. Und auch hier bleibt die Ministerin eine überzeugende Antwort schuldig, was die Versicherten davon haben.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.