Einleitung

Die Digitalisierung durchdringt sämtliche Lebensbereiche und in hohem Maße auch die Gesundheitsversorgung. Beispielsweise sind im Internet vielfältige Gesundheitsinformationen verfügbar, die Wissen über gesundheitsförderliche Fragestellungen breit verfügbar machen. Zudem bieten am Körper tragbare Geräte (Wearables) sowie Apps Unterstützung für eine gesunde Lebensführung an. Von der elektronischen Patientenakte (ePA) wird erwartet, dass sie das Verständnis der Patient*innen für ihre Erkrankungen und Erkrankungsrisiken erhöht und gesundheitszuträgliches Verhalten fördert. Nicht zuletzt sollen breit angelegte Datenbanken zum Erkenntnisgewinn über gesundheitliche Risikofaktoren und davon ausgehend zur Entwicklung und Evaluation präventiver Strategien beitragen [1].

Unter Prävention werden im Allgemeinen Maßnahmen verstanden, mit denen die Möglichkeit der Entstehung eines gesundheitlichen Schadens oder ein bereits aufgetretener Schaden reduziert werden soll [2]. Digitale Produkte und Services können in unterschiedlicher Weise zur Prävention beitragen. Mit Blick auf den Krankheitsverlauf können sie dabei helfen, etwa durch eine effizientere Identifizierung und Bekämpfung von Risikofaktoren den Ausbruch einer Krankheit zu verhindern (Primärprävention), eine Erkrankung im noch nicht symptomatischen Frühstadium z. B. durch Monitoring von Herz-Kreislauf-Funktionen zu erkennen und frühzeitig zu behandeln (Sekundärprävention) oder die Folgen und die Verschlimmerung einer bereits bestehenden Erkrankung zu minimieren (Tertiärprävention). Mit Blick auf die Zielgruppen präventiver Maßnahmen eröffnen die Erhebung und Auswertung von Daten u. a. mit den Mitteln von künstlicher Intelligenz (KI) und Big Data Analytics die Möglichkeit einer stärkeren Individualisierung von Maßnahmen und damit den Übergang von einer universellen hin zu einer selektiven und schließlich zu einer indizierten Prävention [3].

Die Digitalisierung und die damit einhergehende technische Verfügbarkeit und Verknüpfbarkeit unterschiedlicher Daten aus verschiedenen Lebensbereichen ermöglicht, dass das schon lange eingeforderte breite Verständnis von Gesundheit als ein biopsychosoziales Konzept, wie es auch die WHO in den Vordergrund stellt, in Forschung und Praxis zur Geltung kommen kann [4]. Komplexe Einflüsse auf die Gesundheit werden durch die technologischen Entwicklungen wissenschaftlich untersuchbar, wenn auch die methodischen Herausforderungen der Generierung von Evidenz nicht zu unterschätzen sind [5, 6].

Will man die Potenziale der Digitalisierung für die Prävention nutzbar machen, stellen sich wesentliche ethische und rechtliche Herausforderungen, was den Schutz grundlegender Rechte und Freiheiten sowie gesellschaftlich relevanter Werte angeht [7]. Dazu gehören neben der Gesundheit des Individuums und der Gesellschaft v. a. die (informationelle) Selbstbestimmung, die Privatsphäre, die Solidarität und die Gerechtigkeit.

Im ersten Teil dieses Artikels werden die Potenziale und Herausforderungen der Digitalisierung in der Prävention mit Blick auf die Beförderung oder Schwächung dieser zentralen Werte einer ethischen Analyse unterzogen. Die Analyse erfolgt dabei aus zwei verschiedenen Perspektiven: zum einen aus der „Datenperspektive“, bei der es um den Zugang zu und die Nutzung von gesundheitsrelevanten Daten aus verschiedenen Quellen zum Zwecke der Prävention geht (siehe nächster Abschnitt), zum anderen aus der „Algorithmenperspektive“, bei der der Einsatz algorithmischer Systeme, einschließlich künstlicher Intelligenz, zur Bedarfserhebung und Evaluation präventiver Maßnahmen im Mittelpunkt steht (siehe übernächster Abschnitt). Die beiden Perspektiven ergänzen und überlappen sich, gleichwohl fokussieren sie jeweils unterschiedliche Aspekte des soziotechnischen Systems. Für ein soziotechnisches System sind Beziehungen und Wechselwirkungen sozialer und technischer Systeme charakteristisch [8]. Die anschließende rechtliche Analyse erfordert zunächst, Datenverarbeitungsvorgänge im Gesundheitswesen in drei Phasen zu gliedern. Daran anknüpfend werden das sogenannte datenschutzrechtliche Verbotsprinzip erörtert und geeignete Erlaubnistatbestände diskutiert. Schließlich wird ein Blick auf das Diskriminierungsrisiko geworfen, das mit der Datenverarbeitung im Gesundheitswesen einhergeht.

Nutzung gesundheitsrelevanter Daten zu Zwecken der Prävention

Die Entwicklung und Implementierung präventiver Maßnahmen kann von einer Vielzahl verschiedener Daten und Datenquellen profitieren. Dazu gehören Daten aus dem klassischen Bereich des Gesundheitssystems, etwa aus der ePA oder aus Forschungsdatenbanken, wie z. B. Gendatenbanken [9]. Auch zählen Abrechnungsdaten der Gesetzlichen Krankenversicherung (GKV) dazu sowie Daten, die bei einem Besuch von Webpages und bei der Nutzung von sozialen Medien anfallen. Weiterhin sind Ernährungs- und Aktivitätsdaten aus der Nutzung von Smartphone-Apps und Wearables relevant.

Daten, die bei der Nutzung des Internets oder sozialer Medien generiert werden, können etwa für die Vorhersage von Epidemien genutzt werden, um ihren Ausbruch zu vermeiden oder zumindest die Ausbreitung einzudämmen [10]. Wird hierbei mit anonymisierten Daten gearbeitet, stehen in ethischer Hinsicht Fragen der Qualitätssicherung, einer möglichen Diskriminierung und eines verantwortungsvollen Einsatzes von Ressourcen hinsichtlich der gerechtigkeitsrelevanten Vermeidung von überschießenden oder mangelhaften präventiven Maßnahmen im Vordergrund.

Auf personenbezogener Ebene ist die Verwendung von Daten zum Zweck der Suizidprävention durch Facebook ein viel diskutiertes Beispiel. Durch die Auswertung von Wortwahl und Formulierungen in Nutzer*innenbeiträgen sollen Hinweise auf Suizidalität identifiziert und eine Intervention in Form eines Alarms an Ersthelfer*innen wie etwa Bekannte oder sogar Polizei eingeleitet werden [11]. Das Potenzial solcher Präventionsangebote scheint zunächst erheblich zu sein, da Suizide bei den 15- bis 39-Jährigen weltweit zu den häufigsten Todesursachen zählen [12] und Männer und Frauen in dieser Alterskohorte derzeit die größte Nutzer*innengruppe stellen [13]. Allerdings stellt die Nutzung dieser Daten einen erheblichen Eingriff in die Privatsphäre und die persönliche Integrität dar, da aus ihnen – auch wenn sie öffentlich geteilt wurden – durch die algorithmische Auswertung sensible Informationen über das Leben eines Menschen, nämlich seine Suizidalität, geschlussfolgert werden.

Zudem wird die informationelle Selbstbestimmung verletzt, wenn keine Einwilligung für diese konkrete Art der Datenverwendung eingeholt wird. Problematisch ist zudem die Frage der Relevanz der verwendeten Daten und damit verbunden der Qualität der datenbasierten Diagnostik einer Suizidalität. Der Facebook-Konzern hat bislang nicht offengelegt, wie Mitarbeiter*innen aufgrund der algorithmenbasierten Empfehlungen über Interventionen entscheiden [11]. Zudem ist unklar, ob bei den von Facebook identifizierten Fällen tatsächlich eine Suizidalität vorlag und ob die Intervention einen Nutzen erbracht hat. Da es sich um sensible, personenbezogene Daten handelt, wurde bereits gefordert, dass eine solche Erhebung und Verwendung von Daten den gleichen Ansprüchen genügen müsse, wie klinische Forschung im engeren Sinne [11]. Zunehmend befassen sich auch andere soziale Plattformen mit Fragen der psychischen Gesundheit. Beispielsweise werden im Instant-Messaging-Dienst „Snapchat“ durch das Tool „Here For You“ beim Eintippen bestimmter Signalbegriffe wie „Angst“, „Stress“, „Trauer“, „Suizidgedanken“ und „Mobbing“ etc. Gesundheitsinformationen und gezielte Hilfsangebote eingeblendet [14]. Ob diese den Anwender*innen nutzen oder schaden und welche sozialen Auswirkungen derartige Angebote haben, ist noch weitgehend ungeklärt.

Weitere für präventive Zwecke relevante Daten können durch die Verwendung einschlägiger Wearables und Apps erzeugt werden. Sie werden in der Regel im außerklinischen Kontext genutzt, können unter bestimmten Voraussetzungen aber auch in der klinischen Versorgung zum Einsatz kommen [15]. In der Tertiärprävention bei Diabetes mellitus etwa eröffnen sich neue Möglichkeiten der selbstbestimmten Lebensführung von Patient*innen. Die Messung der Blutzuckerwerte und das Management der Insulinverabreichung lassen sich leichter in den Alltag integrieren. Zudem können Vitalwerte fortlaufend selbstständig ermittelt, gespeichert und mit den behandelnden Ärzt*innen geteilt werden. Problematisch wäre allerdings, die anfallenden Daten ohne Einwilligung zur Überwachung des Gesundheitsverhaltens zu nutzen, da dies einen Eingriff in die Privatsphäre darstellen würde.

Daten aus Forschungsdatenbanken können ebenfalls für präventionsmedizinische Zwecke verwendet und gegebenenfalls mit Daten aus anderen Quellen verknüpft werden. Die Zusammenführung von Daten zu hormonellen Risikofaktoren, Brustdichte und Familiengeschichte mit genetischen Daten aus einer Datenbank z. B. kann eine verbesserte Identifikation des individuellen Brustkrebsrisikos ermöglichen [16]. Auf dieser Grundlage lassen sich gezielte Interventionen entwickeln und anbieten, bei denen dann wiederum die üblichen Anforderungen an ein qualitativ gutes und ethisch vertretbares Präventionsprogramm zu berücksichtigen sind [17]. Werden genetische Daten verarbeitet, ist zudem zu bedenken, dass diese nicht nur die jeweilige Person, sondern auch ihre Verwandten betreffen. Daraus kann sich ein Konflikt zwischen individuellen Gesundheitsinteressen und dem Prinzip der informationellen Selbstbestimmung ergeben.

Angesichts ihres hohen Potenzials für die Generierung von Evidenz und für die Weiterentwicklung der Möglichkeiten einer effizienten Prävention ist die Nutzung digitaler Daten im Grundsatz wünschenswert. Gleichzeitig aber sind die grundlegenden Rechte und Freiheiten der einzelnen Person zu wahren. Perspektivisch wird ein Ausgleich wohl nur durch ein Bündel an Maßnahmen zu gewährleisten sein. Diskutiert werden etwa eine gesetzliche Klarstellung des Weiterverarbeitungsprivilegs, Verwertungsverbote in anderen Sektoren wie dem Versicherungswesen und dem Arbeitsmarkt, ein strafbewehrtes Verbot der Deanonymisierung von Daten sowie ein innovatives Einwilligungsmodell in die Weiterverwendung von Daten zu Forschungszwecken wie der Meta-Consent [7, S. 127–132]. Der Meta-Consent basiert auf der Idee, dass Individuen differenziert nach Art und Kontext der Forschung sowie Datenquelle entscheiden können sollen, wann sie mit Anfragen zu einer Sekundärnutzung ihrer Daten konfrontiert werden wollen. Dieses umstrittene und unter der Geltung der Datenschutz-Grundverordnung (DSGVO) zu präzisierende Einwilligungskonzept geht auf Thomas Ploug und Søren Holm zurück. Die beiden Ethiker wollen mit dem Meta-Consent die Selbstbestimmung der Individuen bewahren und zugleich wichtige Forschungsinteressen der Allgemeinheit nicht durch komplexe Einwilligungsverfahren behindern [18].

Algorithmengestützte Erhebung von Bedarfen und Maßnahmenevaluation

Daten und Datensätze können nur dann Nutzen generieren, wenn qualitativ hochwertige Algorithmen zu ihrer Auswertung zur Verfügung stehen [19].

Die Algorithmen, die zur Verarbeitung großer Datenmengen (Big Data) eingesetzt werden, weisen unterschiedliche Komplexitätsgrade auf. Einfache Algorithmen führen individuell programmierte Operationen aus. Im Rahmen des maschinellen Lernens hingegen werden Algorithmen mit großen Referenzdatensätzen trainiert, um eigenständig Regeln aus Daten abzuleiten, diese anschließend auf neue Datensätze anzuwenden und ggf. weiterzuentwickeln [20, S. 8–11].

Mit Blick auf Präventionsprogramme können Algorithmen z. B. genutzt werden, um verfügbare Datensets umfassend und schnell im Hinblick auf lebensstilbedingte Erkrankungsrisiken bei sogenannten Zivilisationskrankheiten zu untersuchen oder spezifische Risikoprofile für verschiedene Subpopulationen zu erstellen. Im Anschluss können sie Schlussfolgerungen und Lösungsvorschläge für spezifische Situationen und Probleme generieren [20, S. 84].

Auch können Algorithmen genutzt werden, um die Ausbreitung von Infektionskrankheiten zu erfassen und so frühzeitige und effektive Interventionen zu ermöglichen. Eingesetzt wurden sie u. a. bereits zur Modellierung der Ausbreitungswege der Ebolaviruserkrankung in Westafrika. Algorithmengestützte Simulationen zeigten an, welche Regionen ein höheres Infektionsrisiko aufwiesen, und boten damit Orientierung für die Durchführung von Interventionen vor Ort [21]. Die Aussagekraft solcher Simulationen hängt dabei in erheblichem Maße von der Relevanz und Qualität der analysierten Daten ab.

Dies zeigt sich auch bei der Verwendung von Proxys, also stellvertretenden Informationen, zur Bestimmung von Bedarfen. Diese ist durchaus üblich, kann jedoch erhebliche Verzerrungen der Ergebnisse bedingen, wie z. B. eine US-amerikanische Studie von Obermeyer et al. zeigt. Darin werden im Rahmen der tertiären Prävention eingesetzte algorithmengestützte Programme zur Ermittlung bestimmter Patient*innengruppen analysiert, die aufgrund komplexer Gesundheitsbedürfnisse in besonderer Weise von High-Risk-Care-Managementprogrammen profitieren könnten. Trotz bestehender Bedarfe würden Schwarze Menschen durch den Algorithmus als Niedrigrisikopatient*innen eingestuft werden. Dies sei dadurch bedingt, dass bereits produzierte Gesundheitskosten als Stellvertreterinformation für die allgemeine Gesundheit einer Person verwendet würden und Schwarze Menschen tendenziell niedrigere Gesundheitskosten produzieren. Dies sei, so Obermeyer et al., allerdings v. a. dadurch bedingt, dass sie durch den Wohnort oft schlechteren Zugang zu Krankenhäusern und weniger flexible Arbeitszeiten hätten [22]. Es zeigte sich also, dass die Algorithmen ohne die relevanten „Hintergrunddaten“ die tatsächlich problematische Versorgungslage dieser Bevölkerungsgruppe nicht erfassen können. Aufgrund der Wahl des Datensatzes entsteht eine Verzerrung (Bias). Werden auf dieser Grundlage Entscheidungen über Bedarfe getroffen, kommt es nicht allein zu Fehlallokationen knapper Mittel für die Gesundheitsversorgung, sondern zu einer Verschärfung gesundheitlicher Ungleichheiten und zu Diskriminierung (vgl. unten Diskriminierungsrisiko).

Gesundheitliche Ungleichheiten können sich auch dann durch Digitalisierung verstärken, wenn zunehmend Daten aus der Nutzung digitaler Angebote für die Bedarfsermittlung verwendet werden. Nur wenige Hochaltrige z. B. nutzen diese Dienste [23], ihre Daten werden also nicht ins System eingespeist. Diese gesundheitlich besonders vulnerable Patient*innengruppe kann dann nicht am Nutzen der Digitalisierung teilhaben, was zu noch weiterer Exklusion führen kann.

Besonders in der Primärprävention nichtübertragbarer Krankheiten werden neben sozioökonomischen Faktoren auch Daten relevant, die den Lebensstil betreffen, z. B. Tabak- oder Alkoholkonsum und das Maß körperlicher Aktivität. Durch die Verknüpfung solcher Daten untereinander sowie mit weiteren klinischen Daten kann ihre prognostische Bedeutsamkeit erheblich erhöht werden. Dies wird bereits heute für die Risikostratifizierung und zielgruppengerechte Bedarfserhebung genutzt [24]. Die verbreitete Nutzung von Wearables zur Erfassung individueller Ernährungs- und Bewegungsdaten sowie zunehmend umfassende Datenbanken lassen für die Zukunft hier grundlegend neue Möglichkeiten für die Bedarfserhebung erwarten. Allerdings werden gegebenenfalls Daten unterschiedlicher Qualität miteinander verknüpft. Besonders die Qualität privat erfasster Vitaldaten gilt als ungesichert und auch die Verknüpfbarkeit ist nicht immer technisch gewährleistet. Die Qualität des mithilfe von Algorithmen generierten Outputs hängt jedoch von der Qualität des Inputs ab. Datensätze, die auf bspw. Schrittzählern, Aufzeichnungen von Trainingseinheiten, Ernährungs- und Schlaftagebüchern basieren, sind oft unvollständig, ungenau und über einen zu kurzen Zeitraum gesammelt [25].

Weitere Herausforderungen bestehen hier auch mit Blick auf die Aufrechterhaltung gesellschaftlicher Solidarität, die im Solidarprinzip der gesetzlichen Krankenversicherung zum Ausdruck kommt. Eine aktuelle Studie zeigt, dass Menschen, die fitnessbezogene Wearables und Apps nutzen, mit größerer Wahrscheinlichkeit als solche, die sie nicht nutzen, bestimmte Möglichkeiten der Entsolidarisierung befürworten, z. B. was die Reduktion des Versicherungsbeitrags bei vorliegender Bereitschaft zum Teilen von Daten angeht [26]. Zwar ist in der gesetzlichen Krankenversicherung eine Tarifbildung aufgrund individueller Gesundheitsrisiken gesetzlich verboten. Dennoch könnten Bonusprogramme den Druck auf Individuen erhöhen, ihre Daten preiszugeben, auch wenn sie das vorher nicht wollten. Sobald die Datenoffenlegung als Norm gilt, kann eine Weigerung dazu mit dem Stigma belegt sein, etwas verbergen zu wollen, wie bspw. schlechte gesundheitsbezogene Messwerte [27].

Beim Einsatz von algorithmischen Systemen ist zu beachten, dass den durch sie generierten Empfehlungen aufgrund vermeintlicher Objektivitätsansprüche zu unkritisch gefolgt werden könnte (Automationsbias). Zwar ist die automatische Verarbeitung umfangreicher Datensätze prinzipiell geeignet, die für die Planung und Evaluation von Maßnahmen unerlässliche Evidenz zu erhöhen, ein unbesehenes Vertrauen in die Ergebnisse maschineller Analysen wäre jedoch problematisch. Neben Mängeln in der Datenqualität kann auch die Funktionsweise selbst lernender Algorithmen die Überprüfung der Ergebnisse für den einzelnen Anwender erschweren (Blackboxeffekte). Fraglich ist, wie mit diesem Mangel an Transparenz und Nachvollziehbarkeit umgegangen werden sollte. Die Datenethikkommission der Bundesregierung hat auch mit Blick auf Transparenz und Nachvollziehbarkeit konkrete Empfehlungen für eine risikoadaptierte Regulierung auf europäischer und deutscher Ebene unterbreitet, bei der je nach dem Schädigungspotenzial des algorithmischen Systems fünf Stufen voneinander unterschieden werden. Diese Stufen reichen von einem allenfalls geringen bis zu einem unvertretbaren Schädigungspotenzial. Mit zunehmendem Schädigungspotenzial erhöhen sich die regulatorischen Anforderungen, etwa eine Offenlegungspflicht gegenüber Aufsichtsinstitutionen bis hin zu einer Zulassungspflicht oder gar einem Verbot [7, S. 180–182].

Datenschutzrecht: Drei Phasen der Datenverarbeitung im Gesundheitswesen

Das Datenschutzrecht ist ein komplexes Regelungskonzept aus europarechtlichen sowie nationalen Gesetzen, insbesondere der Datenschutz-Grundverordnung (DSGVO), dem Bundesdatenschutzgesetz (BDSG) und dem Fünften Buch Sozialgesetzbuch (SGB V). Im Gesundheitswesen wird die Komplexität durch die multipolare Struktur des Regelungsbereichs noch gesteigert. Es ist durch das Zusammenwirken unterschiedlicher Akteur*innen geprägt, die Daten in unterschiedlichen Zusammenhängen verarbeiten. Je nach Akteur*in, Zweck des Datenverarbeitungsschrittes und Art der Daten stellt das Datenschutzrecht unterschiedliche Anforderungen an die verantwortliche Stelle.

Insbesondere kann Datenverarbeitung zwecks Prävention aus datenschutzrechtlicher Perspektive nicht als einheitlicher Vorgang betrachtet werden. Im Wesentlichen sind drei Phasen zu unterscheiden, in denen verschiedene Verarbeitungsschritte stattfinden. Zunächst werden Gesundheitsdaten anlässlich Heilbehandlungen und Gesundheitsförderung verarbeitet. Dann werden diese Daten mit algorithmischen Systemen (einschließlich KI) ausgewertet. Aus dem Ergebnis der Datenauswertung werden in der dritten Phase Rückschlüsse für die Gesundheitsversorgung einzelner Personen und der Gesamtgesellschaft gezogen. Die gewonnenen Erkenntnisse werden insbesondere im Rahmen der Bedarfserhebung eingesetzt sowie der Evaluation.

Während das Datenschutzrecht für die erste Phase vergleichsweise ausdifferenziert ist [28,29,30], stellen die zweite und dritte Phase das geltende Recht vor Herausforderungen. Denn der Mehrwert moderner Verarbeitungsmethoden hängt wesentlich von Menge und Vielfalt der verfügbaren Daten und deren Verwendungsmöglichkeiten ab. Dem steht das sogenannte Verbotsprinzip des Art. 9 I DSGVO gegenüber. Zudem müssen Diskriminierungsrisiken, die in der dritten Phase flagrant werden, bereits bei der Datenverarbeitung der ersten beiden Phasen mitgedacht werden.

Das „Verbotsprinzip“

Die Verarbeitung von Gesundheitsdaten ist gemäß Art 9 I DSGVO grundsätzlich verboten und nur in AusnahmefällenFootnote 1 zulässig. Auch die Weiterverarbeitung von Daten ist nur erlaubt, soweit ein Erlaubnistatbestand vorliegt. Jeder Verarbeitungsschritt muss durch eine Rechtsgrundlage legitimiert sein.

Grundsätzlich kommen drei Typen von Erlaubnistatbeständen in Betracht, die im Folgenden diskutiert werden: Der Erlaubnistatbestand der Datenerhebung setzt voraus, dass der Zweck der Prävention mit dem Erhebungszweck vereinbar ist. Die Weiterverarbeitung könnte durch eine wirksame Einwilligung der datengebenden Person legitimiert sein. Schließlich kommt eine gesetzlich geregelte Ausnahme in Betracht.

Zweckvereinbarkeit

Nach dem Zweckbindungsgrundsatz, Art. 5 Abs. 1 litera b DSGVO (Art. 5 I b DSGVO), müssen personenbezogene Daten „für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden“. Maßstab für die Zweckvereinbarkeit ist grundsätzlich Art. 6 IV DSGVO. Danach sind u. a. die Verbindung zwischen den Zwecken, das Verhältnis der betroffenen Person und der verarbeitenden Stelle, die möglichen Folgen der Weiterverarbeitung für die betroffene Person sowie geeignete Garantien zu berücksichtigen. Zudem ist die Art der verarbeiteten Daten relevant; bei der Weiterverarbeitung von Gesundheitsdaten ist Zweckvereinbarkeit nur mit besonderer Vorsicht zu bejahen. Ergänzend regelt Art. 5 I b DSGVO, dass die Vereinbarkeit vermutet wird, wenn die Weiterverarbeitung u. a. zu wissenschaftlichen Forschungszwecken und zu statistischen Zwecken erfolgt.

Nach diesen Vorschriften verbietet es sich, die Weiterverarbeitung von Gesundheitsdaten zu präventiven Zwecken mit den Erhebungszwecken der Heilbehandlung pauschal für vereinbar zu erklären. Die Vereinbarkeit hängt von der konkreten Situation und dem Verarbeitungsschritt ab. Darüber hinaus ist die Reichweite der Privilegierung des Art. 5 I b DSGVO umstritten [31, 32, Art. 5 DSGVO Rn. 103]. Jedenfalls greift sie nur, wenn die Garantien des Art. 89 DSGVO vorliegen, d. h. „die Grundsätze der Datenminimierung, der Speicherbegrenzung und des Systemdatenschutzes eingehalten werden“ [32, Art. 6 IV DSGVO Rn. 41 m. w. N.]. Die Prüfung der Vereinbarkeit ist aufwendig und hinsichtlich der besonderen Sensibilität von Gesundheitsdaten wenig Erfolg versprechend. Für den Einsatz moderner Verarbeitungsmethoden zwecks Prävention ist das keine stabile Grundlage.

Einwilligung

Denkbar ist, die Weiterverarbeitung durch Einwilligung der betroffenen Person zu legitimieren. Eine solche ist gem. Art. 4 Nr. 11 DSGVO nur wirksam, wenn sie für einen „bestimmten Fall“ und „in informierter Weise“ erfolgt. Art. 5 I b DSGVO verlangt einen eindeutig festgelegten Verarbeitungszweck. Der damit angesprochene Grundsatz der Zweckfestlegung [32, Art. 5 DSGVO Rn. 72 ff., 33, Art. 5 DSGVO Rn. 12 ff.] verbietet die Verarbeitung personenbezogener Daten für abstrakte, allgemeine oder später zu konkretisierende Zwecke [32, Art. 5 DSGVO Rn. 72, 76, 33, Art. 5 DSGVO Rn. 13]. Geht es um die Verarbeitung von Gesundheitsdaten, ist bei der Prüfung der Vereinbarkeit besondere Sensibilität gebotenFootnote 2.

Eine Einwilligung in die Weiterverarbeitung von Gesundheitsdaten zwecks Prävention ist kaum wirksam möglich. Die betroffene Person müsste nicht nur verständlich darüber informiert werden, ob die Weiterverarbeitung zwecks primärer, sekundärer oder tertiärer Prävention erfolgt. Auch die Unterscheidung von Verhaltens- und Verhältnisprävention genügte den Anforderungen nicht. Sie müsste verstehen, welche konkreten Maßnahmen für wen und welche Krankheitsbilder entwickelt werden sollen und vieles mehr. Diese Details konkretisieren sich oft erst im Laufe der Verarbeitung und verändern sich währenddessen.

Auch ein sogenannter Broad Consent bringt keine generelle Erleichterung. Zwar soll nach Erwägungsgrund 33 DSGVO erlaubt sein, eine „Einwilligung für bestimmte Bereiche wissenschaftlicher Forschung zu geben, wenn dies unter Einhaltung der anerkannten ethischen Standards der wissenschaftlichen Forschung geschieht“. Die (Un)Möglichkeit einer solchen breiten Einwilligung wird aus datenschutzrechtlicher Perspektive aber kritisch betrachtet [28, S. 931, 34, Art. 89 DSGVO Rn. 37 ff., 35]. Insbesondere ist zweifelhaft, dass eine breite Einwilligung „informiert“ erfolgt, wie Art. 4 Nr. 11 DSGVO fordert ([36], vgl. [37]).

Dagegen könnte theoretisch ein sogenannter Dynamic Consent, bei dem die Einwilligung der betroffenen Person fortlaufend für neue Verarbeitungszwecke abgefragt wird [34, Art. 89 DSGVO Rn. 41], den Anforderungen der Zweckbestimmtheit und Informiertheit ein Stück weit Rechnung tragen. Voraussetzung ist, dass die betroffene Person regelmäßig über die aktuelle und geplante Verarbeitung ihrer Daten und die konkreten Zwecke unterrichtet wird. Die praktische Umsetzbarkeit dieses Modells ist allerdings fraglich.

Gesetzlicher Erlaubnistatbestand

Schließlich kommen gesetzlich geregelte Ausnahmefälle des Art. 9 II DSGVO als Erlaubnisnormen in Betracht. Auf den ersten Blick ist das Erfolg versprechend. Gleich mehrere der aufgezählten Varianten scheinen prädestiniert, die Weiterverarbeitung von Gesundheitsdaten zu legitimieren.

Bei genauerem Hinsehen schrumpft die Zahl der geeigneten Rechtsgrundlagen aber. So ist in Art. 9 II h DSGVO von Datenverarbeitungsvorgängen „für Zwecke der Gesundheitsvorsorge“ die Rede. In Art. 9 II i DSGVO geht es um Verarbeitungsvorgänge „aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit“. Liest man die Normtexte aber weiter, stellen sie hohe Anforderungen. Insbesondere setzen sie weitere gesetzliche Regelungen und damit Konkretisierungen voraus. Der Erlaubnistatbestand tritt dann in Gestalt langer Normketten mit detaillierten Anforderungen auf (z. B. Art. 9 II h, III DSGVO, §§ 23 II, 22 I Nr. 1 b, Nr. 2, II DSGVO oder Art. 9 II i DSGVO, §§ 23 I, 22 I Nr. 1 c, Nr. 2, II DSGVO). Stets ist eine detaillierte Abwägung der Interessen im konkreten Fall vorzunehmen. Damit eignet sich keine der infrage kommenden Normen für eine pauschale Legitimation der Verarbeitung zwecks nicht näher konkretisierter Prävention. Vielmehr ist die datenschutzrechtliche Zulässigkeit für jeden einzelnen Verarbeitungsschritt und unter Berücksichtigung aller Umstände des Einzelfalls zu beurteilen. Im Ergebnis müssen viele unterschiedliche gesetzliche Grundlagen herangezogen werden, um die Verarbeitung zu legitimieren.

Vor dem Hintergrund dieser komplexen Gesetzeslage ist das Vorhaben der Bundesregierung, gesetzliche Regelungen zu schaffen, um die Verarbeitung zu wissenschaftlichen Forschungszwecken zu erleichtern [38], begrüßenswert. Die konkrete Umsetzung im Digitale-Versorgung-Gesetz ist aber bedenklich. Aus Perspektive des Datenschutzes ist insbesondere problematisch, dass personenbezogene Daten nur pseudonymisiert und nicht anonymisiert zentral gespeichert werden sollen. Hinzu kommt das Fehlen einer Widerspruchsmöglichkeit [39, 40].

Diskriminierungsrisiko

In der dritten Phase zeigen sich – neben den erwähnten ethischen – auch weitere rechtliche Herausforderungen, insbesondere ein hohes Diskriminierungsrisiko. Das muss bereits auf Ebene der Datenverarbeitung der ersten beiden Phasen mitgedacht werden. Es besteht bereits heute die Gefahr, dass bestimmte Personengruppen vernachlässigt oder strukturell benachteiligt werden. Das Risiko wird durch Methoden der KI noch gesteigert [41, 42]. Bereits heute geht es nicht nur darum, aus mehreren denkbaren Therapien die beste herauszufiltern, sondern (auch) um die Verteilung begrenzter Ressourcen. Aus der Frage, ob die präventive Maßnahme A oder B wirksamer ist, droht die Frage zu werden, ob Krankheitsgruppe X oder Y verstärkt behandelt und erforscht wird. Der Vorteil für Personengruppe X ist faktisch mit einer Benachteiligung der Gruppe Y verbunden. Datenschutzrecht hat (u. a.) den Zweck, Diskriminierungsrisiken zu minimieren. Ihm geht es insbesondere um solche Diskriminierungen, die nur schwer erkennbar und beweisbar sind. Da reaktive Maßnahmen wie Diskriminierungsverbote solchen Diskriminierungen nicht gerecht werden, setzt Datenschutzrecht im Vorfeld von Entscheidungen an. Ein Beispiel ist Art. 9 I DSGVO, der die Verarbeitung eben jener Daten verbietet, die auch das Antidiskriminierungsrecht schützt.

Ausblick

Die algorithmengestützte Verarbeitung großer Datenmengen aus verschiedenen Quellen kann die Generierung von Evidenz in der Prävention erheblich befördern und durch digitale Anwendungen ihre Effektivität und Effizienz steigern. Interventionen können genauer auf die Bedarfe unterschiedlicher Zielgruppen zugeschnitten und gesundheitlich zuträgliches Handeln durch eine digital gestützte Gesundheitskommunikation befördert werden. Eine verbreiterte Datenlage kann zudem die Evaluation von Präventionsmaßnahmen und -programmen erheblich verbessern. Gleichzeitig zeichnen sich in zahlreichen Studien und Anwendungen bereits heute eine Reihe ethischer und rechtlicher Risiken ab, die es interdisziplinär zu diskutieren gilt und für die auf gesellschaftlicher sowie politischer Ebene passende Rahmenbedingungen geschaffen werden müssen.

Angesichts der erheblichen Potenziale der Digitalisierung für die Prävention, sowohl in Hinblick auf epidemiologische Forschungszwecke als auch die Entwicklung, Implementierung und Evaluation von Präventionsmaßnahmen und -programmen, ist es von zentraler Bedeutung, dass

  • hohe Standards der Datenqualität gewährleistet werden, um so die Grundlage für evidenzbasierte Forschung und Vertrauen in Präventionsmaßnahmen und -programme zu schaffen;

  • die Interoperabilität von Datenbeständen befördert wird, sodass sie im gesamten soziotechnischen Datenökosystem nutzbar gemacht werden können;

  • Daten durch umfassende Datenschutzmaßnahmen auch technisch vor unberechtigten Zugriffen geschützt werden, sodass die Persönlichkeitsrechte der datengebenden Personen geschützt sind;

  • innovative Einwilligungsformate für die Erhebung und Verwendung von Daten entwickelt werden, um die Informiertheit und Freiwilligkeit einer Einwilligung sicherzustellen und die informationelle Selbstbestimmung bei gleichzeitiger gemeinwohlorientierter Datennutzung zu stärken;

  • streng auf die Relevanz und das Diskriminierungsrisiko der zu Präventionszwecken verwendeten Datensätze und deren Verarbeitung geachtet wird;

  • Anwender*innen für den Umgang mit gesundheitsrelevanten Daten und den Umgang mit algorithmengestützten Empfehlungssystemen geschult werden, um Vertrauensverlusten und Phänomenen wie etwa dem „Automationsbias“ vorzubeugen;

  • die Reichweite des Weiterverarbeitungsprivilegs rechtlich konkretisiert wird. Denkbar sind z. B. auch ein Verwertungsverbot in anderen Sektoren wie dem Versicherungswesen und dem Arbeitsmarkt sowie ein strafbewehrtes Verbot der Deanonymisierung von Daten.