Bundesdatenschutz: Keine weiteren Prüfungen am E-Rezept

Marit Hansen, die Landesdatenschützerin Schleswig-Holsteins, hat sich in der vergangenen Woche kritisch zu einigen Teilen des E-Rezept-Projekts in Schleswig-Holstein geäußert. Die Kassenärztliche Vereinigung (KV) des Landes war neben der KV Westfalen-Lippe die einzige KV, die das neue Verordnungssystem in einigen Praxen testen wollte. Doch Hansen hatte der KVSH auf Nachfrage mitgeteilt, dass sie die von der KVSH und dem Software-Anbieter Medisoftware angedachte E-Rezept-Weiterleitung via E-Mail kritisiert. Konkret hatte Hansen bemängelt, dass die Weiterleitung von Codes via Mail oder Smartphone-App grundsätzlich unsicher sei, weil diese in einigen Apps von Versandhändlern und Apotheken-Plattformen problemlos eingelesen und entschlüsselt werden könnten.

Automatisch stellt sich vor diesem Hintergrund die Frage, welche Auswirkungen die Einschätzungen Hansens auf den weiteren, bundesweiten Roll-out des E-Rezept-Systems haben. Ist nun auch das in Westfalen-Lippe geplante Projekt hinfällig? Was sagt der Bundesdatenschutz zu diesen Fragen? Die PZ hat sich diesbezüglich an den Landesdatenschutz Nordrhein-Westfalen und den Bundesbeauftragten für Datenschutz und die Informationsfreiheit (BfDI), Ulrich Kelber, gewendet. In den Antworten zeigt sich, dass Hansen die Tragweite der Problematik offenbar frühzeitig erkannte und beide Behörden mit ins Boot holte.

Die NRW-Landesdatenschützer, die für die Überwachung des Pilotprojekts in Westfalen-Lippe zuständig sind, erklären gegenüber der PZ, dass es einen entsprechenden Austausch mit den Kollegen aus Schleswig-Holstein gab. Auch die KV Westfalen-Lippe sei an die Behörde herangetreten, um das am 1. September startende Pilotprojekt datenschutzrechtlich prüfen zu lassen. Die Landesdatenschützer haben laut einem Sprecher »den geplanten alternativen Übermittlungsweg des E-Rezepts per E-Mail« geprüft. Klar ist also: Auch in Westfalen-Lippe sollen die E-Rezept-Codes offenbar via E-Mail versendet werden. Die NRW-Landesdatenschützer erklärten gegenüber der PZ, dass man der KV klargestellt habe, dass ein unverschlüsselter Versand von E-Rezept-Daten ausgeschlossen werden müsse. Der Sprecher wörtlich: »Der Versand von E-Mail-Nachrichten, bei denen ein Bruch der Vertraulichkeit von personenbezogenen Daten ein hohes Risiko für die Rechte und Freiheiten von natürlichen Personen darstellt, muss regelmäßig durch eine Ende-zu-Ende-Verschlüsselung geschützt sein.« Sollte es alternative Weiterleitungswege geben, dürften diese nicht hinter der Ende-zu-Ende-Verschlüsselung zurückbleiben.

Hansen hatte ihre Kritik am Vorgehen in Schleswig-Holstein mit Smartphone-Apps aus dem Apothekenmarkt erklärt. Sie hatte beschrieben, dass es in einigen Apps möglich sei, die Codes abzuscannen und anschließend die Rezept- und Versichertendaten einzusehen. In NRW hat man die Smartphone-Apps der Plattformen und Versender nicht in die Prüfung miteinbezogen, so der Sprecher.