Datenschützer erteilen E-Rezept-Abruf via eGK eine Absage

In Deutschland wird die ganz große Mehrheit der E-Rezepte derzeit ausgedruckt. Der eigentlich vorgesehene Weg über die Gematik-App wird kaum genutzt. Den meisten Versicherten fehlen die Zugangsvoraussetzungen – eine NFC-fähige Versichertenkarte  (eGK) plus PIN. Um den Zugang zu „echten“, also papierlosen E-Rezepten für mehr Patient:innen möglich zu machen, war geplant, den Abruf mittels eGK zu etablieren. Insbesondere die Kassenärztliche Vereinigung in Westfalen-Lippe, wo derzeit das E-Rezept ausgerollt wird, hatte auf eine Umsetzung noch in diesem Jahr bestanden. Sonst würden sich die Praxen dort nicht mehr „aktiv“ an dem Projekt beteiligen, so die Drohung. Auch für Apotheken vor Ort wäre dieser Weg von Vorteil, weil Versender außen vor blieben. Eine entsprechende Spezifikation war auch von der Gematik schon erstellt worden. Im November sollte es losgehen. Die Softwarehäuser hatten bereits mit der Implementierung begonnen.

Doch nun wird es wohl erst einmal nichts werden mit dem Abruf der E-Rezepte mittels eGK. Denn sowohl der Bundesdatenschutzbeauftragte als auch das Bundesamt für Sicherheit in der Informationstechnik halten die von der Gematik vorgelegte Spezifikation für nicht datenschutzkonform. Das berichtete zuerst heise.online.

Ein wesentlicher Kritikpunkt des Datenschutzbeauftragten ist demnach, dass allein mit der Versichertennummer ohne weiteren Prüfnachweis, wie PIN oder Identitätsprüfung, auf Versichertendaten zugegriffen werden kann. So könnten etwa Apotheken-Mitarbeiter:innen oder theoretisch sogar IT-Personal die auf dem Server gespeicherten E-Rezepte abrufen.

Als Lösungsmöglichkeit schlägt der Bundesdatenschutzbeauftragte unter anderem vor, dass durch das Versichertenstammdatenmanagement (VSDM) ein Zugangstoken ausgestellt wird. Dieser könne über das Internet verschickt werden – gegebenenfalls auch verschlüsselt. Eine weitere denkbare Option wäre demnach die „direkte Kommunikation zwischen VSDM-Dienst und dem E-Rezept-Fachdienst und die Zuordnung mittels einer Vorgangsnummer“. Die Änderungen am Apothekenverwaltungsdienst und dem E-Rezept-Fachdienst, die dafür notwendig seien, sind in den Augen der Datenschützer auch bei den anderen geplanten Methoden überfällig.

Deutschlands oberster Datenschützer begründet seine Entscheidung laut heise.online unter anderem mit dem hohen Missbrauchsrisiko, das er „vor dem Hintergrund eines zentralen E-Rezepte-Speichers für alle deutschen versicherten Personen [als] sehr hoch" einschätzt. Bei bundesweit mehr als 18.000 Apotheken mit „unterschiedlich stark aufgestellter IT-Sicherheit“ wird das Eintrittsrisiko ebenfalls als hoch erachtet.

Dass im Krankenhauspflegeentlastungsgesetz ein Bußgeldtatbestand beim Missbrauch der E-Rezept-Daten ergänzt werden soll, beruhigt den Datenschützer offenbar nicht, weil dieser nicht präventiv wirke, die DSGVO aber auf Prävention ausgelegt sei. 

Ob die Praxen in Westfalen-Lippe ihre Drohung nun wahr machen und aus dem Roll-out aussteigen, bleibt abzuwarten. Klar ist aber, den E-Rezept-Roll-out werden diese Entwicklungen nicht voranbringen und E-Rezepte in Deutschland werden wohl erst einmal weiter auf Papier existieren.