Datenschützer verteidigen Rechenzentrum
Die bayerische Datenschutzaufsicht hat das süddeutsche Apothekenrechenzentrum VSA gegen den Vorwurf in Schutz genommen, unzureichend verschlüsselte Patientendaten an einen US-Datenhändler zu verkaufen. "Die gesetzlichen Voraussetzungen an die Anonymisierung sind erfüllt", sagte Landesamts-Präsident Thomas Kranig am Montag unter Verweis auf eine umfassende Prüfung Anfang 2013. "Wir haben das geprüft und sind der Auffassung: Das passt so."
Allerdings war das nicht immer so: Bis ins Jahr 2010 hinein gab es demnach durchaus Mängel bei der Anonymisierung von Patientendaten durch die VSA. "Es gab früher Verfahren, die nicht in Ordnung waren. Bei früheren Verfahren war nicht sichergestellt, dass die Daten anonymisiert das Rechenzentrum verlassen haben", sagte Kranig.
Bahr: Patientendaten müssen geschützt werden
Bundesgesundheitsminister Daniel Bahr (FDP) rief zu genauem Hinsehen auf. "Patientendaten sind hochsensibel und dürfen nicht zweckentfremdet werden", sagte er in Berlin. "Wenn es neue Vorwürfe gibt, dann müssen die Behörden diesen nachgehen." Wenn da etwas falsch gelaufen sei, müsse dies geahndet werden.
Der "Spiegel" hatte unter Hinweis auf zahlreiche vertrauliche Dokumente berichtet, dass das Rechenzentrum VSA unzureichend verschlüsselte Daten verkaufe. Denn ein 64-stelliger Schutzcode lasse sich leicht auf die tatsächliche Versichertennummer zurückrechnen: "Die realen Patienten, die sich hinter derartigen Pseudonymen verbergen, lassen sich ohne größeren Aufwand identifizieren." Der "Spiegel" schrieb von "kosmetischen Schein-Anonymisierungen".
Behörde sieht Pflichten erfüllt
Dem widersprach der Präsident des Bayerischen Landesamtes für Datenschutzaufsicht. Die gesetzlichen Anforderungen an die Anonymisierung der Daten seien erfüllt. Kranig verwies auf das Bundesdatenschutzgesetz, wonach die Daten bei einer Anonymisierung so aufbereitet sein müssen, dass sie "nicht mehr oder nur mit einem unverhältnismäßig großen Aufwand an Zeit, Kosten und Arbeitskraft" einer Person zugeordnet werden können. Dies sei hier der Fall.
