Verbesserung des Record Linkage für die Gesundheitsforschung in Deutschland – wie können Defizite behoben werden?

In den Anwendungsfällen wurde gezeigt, dass Forschende auf unterschiedliche Weise und mit großem Aufwand RL betreiben und dabei mit verschiedenen Herausforderungen konfrontiert werden, um dringende Fragen der Gesundheitsforschung bearbeiten zu können. In den geschilderten Projekten wurden mehrheitlich direkte Identifikatoren (wie z. B. Krankenversichertennummer (KVNR), Name, Vorname) – entweder kodiert oder im Klartext – beim RL eingesetzt. Die meisten Forschungsprojekte verwendeten probabilistische RL-Ansätze. Häufig wurden dabei mit Hashfunktionen¹ und Bloomfiltern² [5] kodierte Identitätsdaten verwendet. Auftretende Linkage-Unsicherheiten können einen aufwendigen manuellen Abgleich unkodierter Identitätsdaten erfordern. In den untersuchten Projekten wurde die informationelle Gewaltenteilung umgesetzt, indem Forschungsinfrastrukturen in unabhängige Teilstrukturen untergliedert wurden. So können Gesundheitsdaten von den personenidentifizierenden Daten getrennt gehalten werden. Eine Vertrauensstelle administriert und pseudonymisiert dabei die personenidentifizierenden Daten [6, 7].

Allen Anwendungsfällen ist gemein, dass die Fehlerraten für Homonyme (falsch positive Links) und für Synonyme (falsch negative Links) erheblich sein können. Ein Anwendungsfall sticht hierbei mit einer Synonymfehlerquote von 57,6 % heraus – allerdings können auch in anderen Anwendungsfällen Forschungsergebnisse durch Verknüpfungsfehler verzerrt werden. So wurde bei einem RL von Krebsregister- und Krankenkassendaten die Reduktion des Krebsrisikos bei einer Diabetesmedikation mit Sulfonylharnstoffen (im Vergleich zu Metformin) aufgrund von Verknüpfungsfehlern deutlich unterschätzt [8].

In Krebsregistern entsteht durch die manuelle Nachbearbeitung dieser Fehler daher ein erhöhter Personalbedarf [9]. Eine solche Nachbearbeitung ist bei anderen Anwendungen jedoch nicht durchführbar. Die Verwendung der KVNR als direkter Identifikator könnte hier Abhilfe schaffen. Die KVNR steht allerdings für manche Personengruppen (z. B. Selbstzahlende) und in vielen Datenquellen (z. B. bei privaten Krankenversicherungen) nicht immer zur Verfügung.

Daneben stellt auch der Aufwand für die Einholung der erforderlichen Genehmigungen von unterschiedlichen zuständigen Aufsichtsbehörden eine Hürde dar. Dies gilt insbesondere, wenn Datenquellen über mehrere Dateneigner hinweg verteilt vorliegen und unter unterschiedliche rechtliche Regelungen fallen – z. B. bei Landeskrebsregisterdaten oder Abrechnungsdaten aus regionalen oder überregionalen sowie privaten und gesetzlichen Krankenversicherungen.

Insgesamt ist festzuhalten, dass das RL für die Gesundheitsforschung in Deutschland ein aufwendiges Unterfangen darstellt, bei dem die Beteiligten je nach Einsatzbereich, rechtlicher Grundlage, Datenschutzmodell und verfügbaren Identifikatoren aus verschiedenen Optionen wählen müssen. So werden für jeden Anwendungsfall und jedes RL-Projekt einzelfallspezifische Lösungen entwickelt, geprüft, ggf. modifiziert und umgesetzt. In der Praxis ist die Forschung dabei rechtlichen, organisatorischen, personellen und zeitlichen Restriktionen unterworfen. In der Folge werden Forschungsergebnisse aufgrund von Verknüpfungsfehlern verzerrt oder es kommen Studien wegen des Aufwands und der Rechtsunsicherheit erst gar nicht zustande. Es besteht also dringender Verbesserungsbedarf beim RL für die Gesundheitsforschung.

Bei Forschungsprojekten unter Verwendung von Sozial- und Gesundheitsdaten sind umfassende datenschutzrechtliche Vorgaben zu beachten. Die Nutzung und das RL unterschiedlicher Datenquellen unterliegen einem komplexen datenschutzrechtlichen Regelungsregime. Dabei bestehen Besonderheiten und Ausnahmen für die Wissenschaft, die spezielle organisatorische Herausforderungen mit sich bringen [10].

Zur Legitimation der Datenverarbeitung, einschließlich des RL, können entweder die datenschutzrechtliche Einwilligung der betroffenen Person oder ein gesetzlicher Erlaubnistatbestand herangezogen werden. Dabei sind je nach Verarbeitungssituation und Datenkategorie unterschiedliche Rechtsgrundlagen als datenschutzrechtliche Legitimationsinstrumente relevant. Gesetzliche Erlaubnistatbestände existieren für Sozial‑, Krebsregister‑, Melderegister‑, Labor- und Versorgungsdaten.

Nach wie vor ist die Einwilligung der betroffenen Person das zentrale Instrument zur Legitimation und Durchführung des RL von personenbezogenen Daten. Andernfalls müssen gesetzliche Erlaubnistatbestände herangezogen werden, die häufig mit hohen Abstimmungsaufwänden verbunden sind. Dies gilt insbesondere dann, wenn landes- oder sektorübergreifende Datenquellen verlinkt werden sollen.

Darüber hinaus ist die Anwendung verschiedener Regelungen auf Europa‑, Bundes- und Landesebene zu RL-Zwecken herausfordernd. Jedoch werden die Bedarfe zur Erleichterung von RL erkannt und zunehmend regulatorisch aufgegriffen: 2 zentrale Beispiele dafür sind das Gesundheitsdatennutzungsgesetz (GDNG)³ und der Europäische Raum für Gesundheitsdaten (EHDS)⁴.

Eine Voraussetzung für die Durchführung von RL in der Gesundheitsforschung ist die Verfügbarkeit personenbezogener Gesundheitsdaten. Dazu sollten einerseits vorhandene Sekundär- und Registerdaten im Sinne der FAIR-Prinzipien [11] nutzbar gemacht werden. Das heißt, die personenbezogenen Daten müssen auffindbar (Findable), zugänglich (Accessible), interoperabel (Interoperable) und wiederverwendbar (Reusable) sein und somit insbesondere ein RL mit anderen Datenquellen ermöglichen – idealerweise mittels eines in den Datenquellen enthaltenen UI. Das betrifft z. B. die Erschließung der ePA oder Informationen zu Impfungen. Zudem sollten weitere personenbezogene Register, wie ein Mortalitätsregister oder medizinische Geburtsregister, bundesweit aufgebaut werden, um das volle Potenzial von RL ausschöpfen zu können. Diese Empfehlungen decken sich mit bereits formulierten Forderungen aus der Wissenschaft und dem Gesundheitswesen [12‐14].

Bei Forschungsvorhaben besteht bezüglich des Datenschutzes häufig eine erhebliche Rechtsunsicherheit, weil die deutschen Datenschutzaufsichtsbehörden keine Genehmigungen erteilen, sondern lediglich bei angenommenen Verstößen einschreiten. Das führt dazu, dass von Ausnahmeklauseln für die Forschung nur selten Gebrauch gemacht wird. Die Anwendung gesetzlicher Ausnahmeregelungen setzt eine Interessenabwägung voraus, die von der verantwortlichen Stelle, die die Daten zur Verfügung stellt, selbst zu treffen ist. Dabei entsteht jedoch das Risiko, dass eine solche Entscheidung im Nachhinein von der verantwortlichen Datenschutzaufsichtsbehörde nicht geteilt wird. Selbst wenn Ausnahmeregelungen im Einzelfall ein Forschungsprojekt ermöglichen könnten, wird diese Möglichkeit nur selten genutzt, weil die Regelungen der DSGVO mit erheblichen Haftungsrisiken einhergehen. Diese werden verständlicherweise im Allgemeinen gescheut. Zudem ist es gerade die Aufgabe von Datenschutzbeauftragten und Rechtsabteilungen, Compliance sicherzustellen. Die sichere Lösung ist daher häufig die Nichtanwendung einer Ausnahmeregelung. Dies erklärt die häufig restriktive Auslegung der Datenschutzregeln. Mit § 6 Abs. 3 GDNG ist nun erstmals eine Vorschrift geschaffen worden, die für die Weiterverarbeitung von Versorgungsdaten u. a. zu Forschungszwecken vorsieht, dass hier die zuständige Datenschutzaufsichtsbehörde einer gemeinsamen Datenverarbeitung etwa im Rahmen von Verbundforschungsvorhaben zustimmen und über diese Zustimmung innerhalb eines Monats entscheiden muss – und damit erstmals auf diesem Weg Rechtssicherheit für die beteiligten Forschenden geschaffen wird. Mit § 5 GDNG wurde eine Regelung zu einer stärkeren Zentralisierung der Datenschutzaufsicht bei Verbundforschungsvorhaben auf der Basis von Versorgungsdaten geschaffen, die allerdings gerade für öffentliche Einrichtungen in stark kooperativ ausgerichteten Projekten noch keine Verbesserung bringt.

Eine Regelung wie § 6 Abs. 3 GDNG hat das Potenzial, die Möglichkeiten für ein RL im Rahmen von Verbundforschungsvorhaben rechtssicher zu erweitern. Wenn Entscheidungen über Ausnahmeregelungen zum Einwilligungserfordernis staatlich geprüft und klagefähig entschieden werden, kann sichergestellt werden, dass hier eine Kasuistik entsteht, aus der sich eine größere Rechts- und Planungssicherheit ergibt. Auch gegenüber Betroffenen ist diese Lösung vorteilhaft, weil sie Transparenz herstellt und Betroffenenrechte durch ein Anfechtungsrecht der behördlichen Entscheidung ermöglicht.

In Frankreich existiert mit der Commission Nationale de l’Informatique et des Libertés eine solche federführende Aufsichtsbehörde, die eine Genehmigungskompetenz besitzt. Es wäre wünschenswert, auch in Deutschland eine solche Institution für den Bereich der Gesundheitsforschung einzurichten. Diese könnte dafür sorgen, Rechtssicherheit bei der Nutzung von Forschungsklauseln zur einwilligungsfreien Datennutzung sowie bei der Verwendung eines UI herzustellen und haftungsrechtliche Risiken zu vermeiden. Ansätze hierzu finden sich z. B. beim EHDS⁵. Die derzeitig bestehende Rechtsunsicherheit führt zudem dazu, dass ein notwendiger Diskurs zur rechtspolitischen Überarbeitung der gesetzlichen Ausnahmeregelungen nicht entsteht, weil die jeweiligen Forschungsprojekte gar nicht erst zustande kommen. Auch dieses Problem könnte durch eine solche staatliche Stelle gelöst werden.

Bei vielen Forschungsvorhaben wird die informierte Einwilligung eingeholt, bevor ein RL durchgeführt wird. Diese spezifische persönliche Einwilligung legt bestimmte RL-Möglichkeiten fest, die sich später nicht mehr ändern lassen, ohne die Teilnehmenden erneut zu kontaktieren. Aufgrund des Aufwands wird davon in der Regel abgesehen. Da das Datenschutzrecht bislang abgesehen vom sog. Broad Consent kaum Möglichkeiten eröffnet, Einwilligungsdokumente so zu verfassen, dass sie möglichst umfassende RL-Szenarien abdecken, entstehen hierdurch notwendigerweise Lücken im Hinblick auf das RL in zukünftigen Forschungsprojekten.

In der Situation, in der Datensätze, die ohne Einwilligung erhoben wurden und somit kein Kontakt zu den Personen hergestellt wurde, mit Datensätzen, die nur mit Einwilligung verwendet werden dürfen, verknüpft werden sollen, besteht Regelungsbedarf. Es müsste in der entsprechenden gesetzlichen Grundlage ein zukünftiges RL mitgedacht werden, das über die initiale gesetzliche Zweckgebundenheit hinausgeht. So sind zurzeit Registerdaten nicht mit Biobankdaten standortübergreifend verknüpfbar, wenn weder die Einwilligung der Bioprobenspender:innen noch das entsprechende Registergesetz eine solche Verlinkung vorsieht. § 6 Abs. 1 GDNG schafft hier neue Möglichkeiten zum RL, soweit personenbezogene Daten z. B. für die medizinische Diagnostik verarbeitet werden, indem eine explizite zweckändernde Weiterverarbeitung auch zu Zwecken der medizinischen Forschung ermöglicht wird. Für Daten aus der ärztlichen Behandlung ist es zudem wichtig, dass gesetzliche Regelungen so formuliert werden, dass sie sicher als Offenbarungsbefugnis nach § 203 StGB ausgelegt werden können. Dies gilt derzeit noch nicht für viele Ausnahmeklauseln zum Einwilligungserfordernis, die für Forschungszwecke anwendbar sind.

Record Linkage-Verfahren ohne einen UI sind aufwendig und fehleranfällig. Daher bleibt der Ruf nach einer solchen eindeutigen persönlichen Kennung für das RL berechtigt [12, 14‐16]. Wünschenswerte Eigenschaften eines UI wurden bereits zusammengetragen [17]. Von den existierenden Identifikationsnummern (IDs) in Deutschland kommen für die Ableitung eines UI infrage:

Aus diesen Identifikatoren könnte ein geschütztes bereichsspezifisches Pseudonym, eine sogenannte Gesundheits-ID (oder „Forschungspseudonym“) erzeugt werden. Eine solche neu zu schaffende, versorgungsnahe Gesundheits-ID könnte das Problem der Verknüpfungsfehler lösen, ohne dass ein RL mit personenidentifizierenden Daten aus anderen Bereichen erforderlich ist. Zudem wäre damit das RL deutlich effizienter.

Zur Erarbeitung einer Gesundheits-ID schlagen wir die Einrichtung einer interdisziplinären Kommission unter Führung des Bundesministeriums für Gesundheit vor. Diese sollte Erfahrungen aus anderen europäischen Ländern und Vorgaben für die eID der EU-Bürger:innen gemäß der eIDAS-Verordnung⁶ berücksichtigen. Verwaltungswissenschafts‑, Sicherheits- und Domänenexpertise der Sozialversicherungen, der Gesundheitsforschung sowie der Versorgung sollten einbezogen werden (für Details siehe [15]).

Die Datenerfassung und -speicherung in der Gesundheitsversorgung sowie in der klinischen und epidemiologischen Forschung erfolgen dezentral. Um diese dezentralen Strukturen sinnvoll zu verbinden und sowohl eine doppelte als auch zentrale Datenhaltung zu vermeiden, sollte eine dezentrale Forschungsdateninfrastruktur (FDI) aufgebaut werden – einen solchen Ansatz verfolgt auch das GDNG mit einem öffentlichen Metadaten-Katalog, der nicht die eigentlichen Datensätze, sondern u. a. die Informationen über Datenhalter und Lokalisierung der Forschungsdaten enthält.

Um alle relevanten Gesundheitsdaten sicher, umfassend und effektiv für die Forschung zu nutzen, bedarf es einer FDI, die ein fehlerfreies RL und ein Identitätsmanagement umsetzt und dabei mittels Pseudonymisierungstechniken höchste Datenschutzanforderungen erfüllt. Dabei sollten Daten anlassbezogen für die Forschung verknüpft werden können. Hierfür erscheint es sinnvoll, bestehende Strukturen der Datenhalter und FDI einzubinden, wie z. B. die Datenintegrationszentren (DIZ) der Universitätsmedizin für die MII und das NUM, die Local Data Hubs der NFDI4Health⁷, das Forschungsdatenzentrum Gesundheit [18], die onkologischen Brückenköpfe des DKTK [19], das Krebs-Forschungsdatenzentrum onkoFDZ⁸ sowie die Krebsregister.

Für eine effektive dezentral-föderierte FDI zur Erreichung eines umfassenden RL sind zentrale Regelungen zu Governance und Koordination sowie zentrale Komponenten für das RL unverzichtbar:

Zur Bewältigung der methodisch-technischen Herausforderungen beim RL ist es zudem ratsam, Know-how bereitzustellen. Wichtig ist es hierbei, den Wissenstransfer zu Pseudonymisierungs- und RL-Verfahren sowie zur Verwendung eines UI zu fördern. Es wird empfohlen, dass Fachworkshops unterstützt werden. Diese Workshops sollten praktische Verfahrensweisen, verfügbare Technologien und Werkzeuge sowie kontinuierliche Weiterentwicklungen vermitteln (z. B. zu Secure Multi-Party Computation¹³ [23, 24]). Die Relevanz und gleichzeitig Herausforderung in diesem Zusammenhang werden durch die Regelung in § 7 GDNG verdeutlicht, die neue Geheimhaltungspflichten auch im Sinne zusätzlicher Datensicherheit für Forscher:innen enthält, deren Verletzung auch strafbewehrt sein kann.

Die Förderung des gesellschaftlichen Vertrauens in Institutionen, Personen und Prozesse, die für die Auswertung von Gesundheitsdaten verantwortlich sind, stellt eine zentrale Voraussetzung für die Einführung eines UI für die Gesundheitsforschung dar. Das Vertrauen der Bürger:innen in die Gesundheitsforschung ist entscheidend dafür, dass Gesundheitsdaten mit anderen Daten zu Forschungszwecken verknüpft werden können. Daher ist es erforderlich, eine umfassende gesellschaftliche Diskussion über die Vorteile der datenintensiven Gesundheitsforschung zu führen, die 1) neue Modelle der Einwilligung, wie das reine Widerspruchsrecht (Opt-out), und 2) eine stärkere Partizipation der Bevölkerung einschließt.

Zusätzlich sollte ein Transparenzportal über Forschungsvorhaben und Betroffenenrechte informieren und Informationskampagnen unterstützen. Auch hierfür existieren mit dem FDPG der MII und mit dem Citizen-Science-Projekten¹⁴ der NFDI4Health Vorarbeiten.