Spiegel online: Handel mit Rezeptdaten verbieten

„Keine Verschlüsselung, sondern Verschleierung“, lautet die aktuelle Headline. Wer in der Apotheke ein Rezept einlöse, müsse damit rechnen, dass „seine Rezeptdaten hinter seinem Rücken an Marktforschungsfirmen im In- und Ausland weiterverkauft werden“, heißt es in dem Beitrag.

Gehandelt würden Informationen über „Medikament, Geburtsjahr und Geschlecht der Patienten, Ausstellungsdatum, Abgabedatum und vieles mehr“. Das geschehe „ohne Einwilligung und ohne eine Opt-Out-Möglichkeit“; den wenigsten Patienten sei dieser Handel mit ihren Krankheitsdaten daher bewusst. Laut Bericht werden personenbezogene Daten wie die Versichertennummer oder Arztnummer vor dem Verkauf verschlüsselt, um einen Rückschluss auf Patienten oder Arzt auszuschließen. „Das war aber nicht immer so“, heißt es.

So habe Thomas Kranig, Leiter des Bayerischen Landesamts für Datenschutzaufsicht (BayLDA), mitgeteilt, dass bei der VSA „die Verfahrensweise bis zum Jahr 2010 nicht den gesetzlichen Vorgaben entsprach“. Unverschlüsselte und nicht gesetzeskonform anonymisierte Daten seien „von den beteiligten Firmen übermittelt, abgerufen und gespeichert“ worden. So seien die verkauften Rezeptdaten „offenbar auch zum 'Patiententracking' benutzt“ worden, schreibt Spiegel online unter Berufung auf ein vertrauliches Schreiben eines VSA-Anwalts. Auch die „Zuordnung einzelner Verordnungen zu einem bestimmten Arzt“ und „Aussagen zu einzelnen Ärzten“ seien demnach möglich gewesen. „Das aber wäre illegal, sollte es zutreffen“, heißt es in dem Bericht.

Dem Autor zufolge könnte die VSA noch bis 2012 ein „untaugliches Anonymisierungsverfahren“ eingesetzt haben: Das Verfahren SHA-256 sei zwar ein weit verbreitetes Standardverfahren für andere Zwecke, aber zum Schutz von Versichertennummern ungeeignet, zitiert Spiegel online „etliche Sicherheitsexperten“.

Die VSA verteidigt in ihrer Stellungnahme das alte Verfahren, das seinerzeit „State of the Art“ gewesen sei. Im Mai 2012 habe die VSA ihre Anonymisierungsmethoden schließlich umgestellt auf ein Trustcenter-Verfahren mit „Krypto-Box“ und dem Verschlüsselungsverfahren AES, heißt es in dem Bericht. Das NARZ liefere dagegen gar keine detaillierten Rezeptdaten mehr an Marktforschungsfirmen: Das Datenfeld für die Versichertennummer etwa werde nicht verschlüsselt, sondern einfach leer gelassen.

Ein Weg, um die unterschiedliche Handhabung in den einzelnen Bundesländern zu beenden, sei eine gesetzliche Neuregelung, die die Weitergabe anonymisierter Daten ausschließe. „Der wirtschaftliche Schaden, der den Apothekenrechenzentren entstünde, wenn sie die Rezeptdaten nicht mehr an Marktforscher weiterverkaufen dürften, ist überschaubar. Pro Rezept bekommen sie etwa anderthalb Cent.“