Sekundärnutzung klinischer Daten in datensammelnden, nicht-interventionellen Forschungs- oder Lernaktivitäten – Begriff, Studientypen und ethische Herausforderungen

Wenn wir von Sekundärnutzung klinischer Daten in datensammelnden, nicht interventionellen Forschungs- oder Lernaktivitäten (SeConts) sprechen, so stellt sich zuallererst die Frage, was mit dem Begriff der klinischen Daten gemeint ist. Klinische Daten sind nach unserer Begriffsdeutung ausschließlich Daten, die im Kontext der Krankenversorgung in Krankenhäusern und Arztpraxen erhoben werden. Dies können zum einen Daten sein, die direkt mit der Behandlung zusammenhängen, wie z. B. Diagnosen, Befunde, Verlaufsdokumentation, Medikationspläne oder Laborwerte. Zum anderen geht es bei klinischen Daten auch um Daten aus dem Abrechnungswesen von Versorgungsleistungen, die z. B. Alter, Beschäftigungsstatus und andere soziodemographische Informationen beinhalten. Bei allen genannten Formen von Daten ist es nach unserem Verständnis des Begriffs „klinische Daten“ unerheblich, ob die Daten aus der Administration der Kliniken selbst bezogen werden, zukünftig über eine selbstverwaltete elektronische Patientenakte oder von den Krankenkassen. In allen Fällen sprechen wir von klinischen Daten. Als Überkategorie zum Begriff der klinischen Daten steht derjenige der Gesundheitsdaten³, welcher zwar auch klinische Daten beinhaltet, jedoch in seinem Umfang über diese hinausgeht. So werden z. B. auch Daten als Gesundheitsdaten angesehen, die mit sogenannten Wearables (tragbare Geräte wie Fitness-Armbänder) und Gesundheitsapps etc. gewonnen werden und einen (expliziten) Gesundheitsbezug haben, jedoch nicht im klinischen Kontext erhoben werden. Verschiedene Arten von Gesundheitsdaten inklusive der für diesen Artikel relevanten klinischen Daten werden in Abb. 1 dargestellt.

Der Begriff der Sekundärnutzung klinischer Daten impliziert die Existenz einer vorhergehenden Primärnutzung⁴. Die Primärnutzung wurde bereits mit der Erläuterung der Herkunft klinischer Daten angedeutet. Klinische Daten dienen in ihrer ursprünglichen (primären) Verwendung der Patientenversorgung bzw. – im Falle von Abrechnungs- und Verwaltungsdaten – der Organisation und Durchführung jener Versorgung. Im Rahmen von SeConts werden keinerlei neue Daten erhoben. Vielmehr werden bereits aus der Versorgung vorhandene Daten gesammelt und zu einem anderen Zweck als dem der Versorgung verwendet. Dies bedeutet, dass die sekundäre Nutzung keinerlei zusätzliche Intervention am Patienten voraussetzt oder mit sich bringt, welche dem Zweck der Erhebung von Daten zu Forschungszwecken dienen würde. Dieses Verständnis von Sekundärnutzung schließt nicht aus, dass die zu nutzenden Daten im Zuge von Interventionen erzeugt wurden, welche zu Diagnose- oder Therapiezwecken am Patienten vorgenommen wurden.

Unter Lernaktivitäten verstehen wir Aktivitäten, die sich von Forschung dahingehend unterscheiden, dass das primäre Interesse in der unmittelbaren Sicherung oder Verbesserung einer konkreten Versorgungssituation besteht. Lernaktivitäten können auf eine bestimmte Klinik oder Station bezogen sein, wie z. B. bei der Infektionskontrolle einer bestimmten Abteilung. Ebenso können sich Lernaktivitäten auf ganze Gesellschaften beziehen, wie dies z. B. das Robert Koch-Institut für Deutschland in Hinblick auf die Infektionskontrolle zur Aufgabe hat. Selbstverständlich können auch Lernaktivitäten zu Erkenntnissen führen, die Gegenstand einer wissenschaftlichen Publikation werden. Ebenso ist im Falle von Erkenntnissen, welche über Lernaktivitäten einzelner Kliniken gewonnen werden, eine Weitergabe des Wissens auch in anderer als wissenschaftlicher Form möglich. Eine solche Weitergabe kann etwa in Klinikverbünden geschehen, wenn z. B. Erkenntnisse zur Verbesserung des Infektionsmanagements einer einzelnen Klinik an den restlichen Verbund weitergegeben werden. Das primäre Ziel von Lernaktivitäten bleibt jedoch die zeitnahe Kontrolle und Verbesserung einer konkreten Versorgungssituation. Dieser Fokus bedeutet nicht, dass Lerntätigkeiten direkt denjenigen Patienten zugutekommen, deren Daten verwendet werden. Ein derartiger direkter Nutzen für den Patienten ist eher unwahrscheinlich, da auch Qualitätssicherungs- und Verbesserungsprozesse innerhalb einzelner Kliniken eine gewisse Implementierungszeit beanspruchen.

Es gibt ein weites Spektrum an Forschungs- oder Lernaktivitäten, welche unter SeConts subsumiert werden können. Beispiele wären hier die Modellierung von klinischen Studien in-silico (Weiner et al. 2008), vergleichende Wirksamkeitsstudien (comparative effectiveness studies) (Bronsert et al. 2013; Institute of Medicine 2009), Studien zur Arzneimittelsicherheit und -wirksamkeit (Kuter et al. 2013) oder auch Studien zu Risikofaktoren verschiedener Krankheiten (Mathews et al. 2013; Conway et al. 2007). Ebenso ist es möglich, individuelle Heilversuche (z. B. durch einen Off-Label Use von Medikamenten) retrospektiv zu analysieren (Oshikoya et al. 2019). Weiterhin kann SeConts der Infektionskontrolle in Kliniken (Samore et al. 1997; Evans et al. 1992) oder der Früherkennung z. B. von multiresistenten Keimen (Pittet et al. 1996) dienen. Auf gesamtgesellschaftlicher Ebene sind gesellschaftliche Infektionskontrolle (Smith et al. 2007) und epidemiologische Studien unterschiedlicher Art (Robinson et al. 2001; Mitchell et al. 2014) sowie Outcome-Forschung (Been et al. 2015) oder Versorgungsforschung (Hay und Hay 1992) mit klinischen Daten durchführbar. Ebenso können hier die bereits gut etablierten sogenannten Registerstudien (Stattin et al. 2010), die eher eine Methode als einen Studientyp beschreiben, genannt werden.

Betrachtet man den jeweiligen Forschungsgegenstand der unterschiedlichen genannten Arten von SeConts, so ist eine Kategorisierung in drei übergeordnete Bereiche möglich. Der Forschungsgegenstand kann entweder der individuelle Patient (Mikroebene), die klinische Versorgungseinheit (Mesoebene) oder die Gesellschaft (Makroebene) sein. Entsprechend dieser Ebenen ergibt sich eine Einteilung von SeConts in nicht-interventionelle klinische Forschung (Mikroebene), Aktivitäten zur Kontrolle, Verbesserung und Erforschung der Versorgung (oder bestimmter Versorgungssituationen) (Mesoebene) und Public Health Forschung (Makroebene). Darüber hinaus ist in allen drei Bereichen eine explorative Verwendung der Daten möglich. Hierunter fällt insbesondere die Hypothesengenerierung – für welche manche Autoren (Braun und Dabrock 2016; Lee et al. 2015) ein großes Potenzial in der Datenanalyse durch Künstliche Intelligenz (KI) bzw. Maschinellem Lernen (ML) sehen. Über die hypothesengenerierende Verwendung (ob mit oder ohne KI bzw. ML) hinaus ermöglicht die Sekundärnutzung klinischer Daten die Durchführung von Machbarkeitsstudien⁵ im Vorfeld geplanter Studien und ggf. sogar der Identifizierung möglicher Teilnehmer für geplante bzw. laufende klinische Studien⁶ (Kopcke et al. 2013). Neben den genannten Beispielen gibt es weitere Studientypen, welche mehreren Anwendungsfeldern zugeordnet werden können, wie z. B. Forschung in der Medizininformatik, welche u. a. an Diagnostiksoftware zur Unterstützung von Ärzten oder an einer Verbesserung der Datensicherheit in Kliniken arbeitet und somit in die Anwendungsfelder „nicht-interventionelle klinische Forschung“ und „Aktivitäten zur Kontrolle, Verbesserung und Erforschung der Versorgung (oder bestimmter Versorgungssituationen)“ fallen kann (Xu et al. 2010; Yeniterzi et al. 2010). Die genannten Anwendungsfelder von SeConts inklusive möglicher Studientypen sind in Tab. 1 zusammengefasst.

Was hingegen nicht zum Umfang unseres Begriffs von SeConts gezählt werden kann, ist Forschung, welche klinische Daten mit Forschungsdaten kombiniert oder Daten aus anderen Quellen (z. B. von Wearables oder Fitness Apps) auswertet. Ein Beispiel hierfür wären Genomweite Assoziationsstudien (GWAS), welche aktuell häufig eine Kombination aus klinischen Daten (Phänotypen) und Forschungsdaten (Genotypen) darstellen⁷. Ebenso kann Biobankforschung nicht unter SeConts gefasst werden. Zwar ist es möglich, dass Biomaterial im Zuge der Behandlung und somit ohne zusätzliche Eingriffe entnommen werden kann (Kaye et al. 2012). Jedoch sind Entnahme und Sammlung des Materials ein ethisch und rechtlich relevanter Extraschritt, der nicht zu Behandlungs-, sondern zu Forschungszwecken unternommen wird. Dies gilt besonders auch für die eventuell aus dem Biomaterial zu erzeugenden Daten, mit denen später Forschung betrieben wird, da diese Daten eben nicht bereits aus dem Versorgungskontext vorliegen, sondern aus dem Biomaterial nur zu Forschungszwecken gewonnen werden.⁸

Nachdem im vergangenen Abschnitt verschiedene technische, organisatorische und datenimmanente Herausforderungen von SeConts benannt wurden, sollen im Folgenden mögliche Risiken analysiert werden, welche SeConts für die beteiligten Stakeholder, insbesondere die Patienten, mit sich bringen kann. Die Durchführung von SeConts ist in verschiedenen Dimensionen auf einer breiten Skala vorstellbar: (1) punktuell mit (spezifischer) informierter Einwilligung, d. h. im Rahmen einzelner Studien, welche Patienten um die Einwilligung zur Datennutzung bitten; (2) semi-systematisch mit breiter Einwilligung, d. h. Patienten willigen in zukünftige SeConts ein, die zum Zeitpunkt der Einwilligung noch nicht feststeht; (3) systematisch ohne Einwilligung, d. h. Daten werden standardmäßig und ohne vorige Einwilligung der Forschungsnutzung (SeConts) zugeführt, so lange Patienten nicht widersprechen (Opt-Out). Zusätzlich sind weitere Einwilligungsmodelle denkbar. Während unser Text sich auf Nutzenpotenziale, Herausforderungen und Risiken für verschiedene Stakeholder bezieht, die grundsätzlich für alle Dimensionen der möglichen Durchführung von SeConts relevant sind, geht es nicht um die verschiedenen denkbaren Einwilligungsmodelle, sodass wir auch keine ethische Bewertung derselben durchführen.

Bei SeConts handelt es sich um einen Vorgang, bei dem besonders sensible Daten betroffen sind. Zwar sind personenbezogene Daten stets als schützenswert einzustufen. Nicht umsonst betont das Bundesverfassungsgericht, dass im Kontext der elektronischen Datenverarbeitung kein Datum belanglos ist (BVerfG, Urt. v. 15.12.1983 – 1 BvR 209 u.a./83, BVerGE 65, 1). Jedoch zeichnen sich klinische Daten durch ein besonders hohes Maß an Sensibilität aus (Rumbold und Pierscionek 2018), handelt es sich doch um Informationen über Patienten, welche besonders persönlicher Natur sind und potenziell Rückschlüsse auf viele Bereiche des Lebens (z. B. Lebensstil, Sexualverhalten, erwarteter zukünftiger Gesundheitsstatus etc.) des Einzelnen zulassen. Nicht zuletzt zählen Informationen dieser Art zu den „besonderen Kategorien von personenbezogenen Daten“ gemäß Art. 9 Abs. 1 DSGVO und werden zusätzlich von der ärztlichen Schweigepflicht geschützt.

Speicherung, Transfer und Verarbeitung von Daten birgt stets die Gefahr von Datenpannen. Mit dem Begriff der Datenpanne sind hier alle Arten von Ereignissen gemeint, bei denen die Vertraulichkeit und der geplante Schutz der Daten verletzt werden, sei es durch technisches Versagen, menschliche Unachtsamkeit oder durch vorsätzliche unethische oder kriminelle Handlungen. Das Spektrum möglicher Folgen derartiger Datenpannen mit klinischen Daten, z. B. nach einem Datendiebstahl, ist weit und könnte von Belästigung durch personalisierte Werbung bis hin zu Identitätsdiebstahl, Diskriminierung, Stigmatisierung oder Erpressung reichen (Benitez und Malin 2010; Kaplan 2016; Parker und Aggleton 2003; Laurie et al. 2014; Weichert 2018; Bundesamt für Gesundheit 2017).

Auch wenn uns im deutschsprachigen Raum keine systematischen Untersuchungen zu Datenpannen in Form konkreter Datendiebstähle in Krankenhäusern bekannt sind¹¹, so zeigen Untersuchungen z. B. aus den USA, dass dort bereits Daten aus elektronischen Patientenakten entwendet wurden. Liu und Kollegen geben an, dass zwischen 2010 und 2013 in amerikanischen Krankenhäusern insgesamt 949 unbefugte Zugriffe auf Informationen aus insgesamt fast 30 Mio. Patientenakten dokumentiert wurden. 552 der Datenpannen wurden explizit als Diebstahl klassifiziert (Liu et al. 2015). Eine Studie von Floyd et al. zeigt anhand von belegten Datenpannen (inklusive Datendiebstählen) in US-Krankenhäusern zwischen 2012 und 2015, dass die Mehrheit der betreffenden Daten aus Namen, Geburtsdatum, Sozialversicherungsnummer und ähnlichem besteht. Es wurden jedoch auch Daten wie Diagnosen und Behandlungsinformationen entwendet (Floyd et al. 2016). Die jeweilige Art des Missbrauchs der betroffenen Daten in Folge eines Datendiebstahls ist schwer zu erforschen. Eine genaue Nachverfolgung der missbräuchlichen Verwendungen und damit verbundener Folgen für die Betroffenen ist grundsätzlich schwierig. Mit Blick auf die Existenz zahlreicher (illegaler) Portale im sogenannten Darkweb, auf denen mit persönlichen Daten gehandelt wird, liegt die Vermutung nahe, dass auch gestohlene klinische Daten dort angeboten werden (Floyd et al. 2016).

Im Folgenden widmen wir uns zunächst den möglichen Risiken, die in erster Linie die Patienten selbst betreffen aber potenziell auch Auswirkungen für andere Stakeholder haben (zum Thema „Risiken“, siehe auch den Beitrag von Anja Köngeter in diesem Band). Hierbei legen wir den Schwerpunkt auf diejenigen Risiken, die direkt oder indirekt mit der Sicherheit der Daten in Verbindung stehen, zeigen aber auch Risiken auf, die im Rahmen von SeConts sogar ohne Datenpannen entstehen können. Dabei ist zu bedenken, dass es, wie es auf dem Gebiet der Beschäftigung mit neuartigen Entwicklungen oft vorkommt, keine einschlägigen empirisch gesicherten Kenntnisse gibt. Für eine bessere Einschätzung möglicher Risiken in Bezug auf den Missbrauch gestohlener Daten ist eine Verbesserung der Forschungslage erforderlich. Eine Pflicht für öffentliche Einrichtungen wie Krankenhäuser, Datenschutzpannen zu melden (vgl. Art. 33 DSGVO) stellt hierfür eine geeignete Grundlage dar. Die wissenschaftliche Aufbereitung derartiger Informationen ist im deutschen Kontext derzeit noch äußerst begrenzt. Die Wahrscheinlichkeit einer Datenpanne oder gar eines Datendiebstahls im Kontext von SeConts ist zudem äußerst schwierig abzuschätzen, da empirische Daten aktuell wenn, dann lediglich für die Krankenversorgung, nicht aber für SeConts vorliegen (siehe Abschn. 5.1). Gleiches gilt in verstärktem Maße für mögliche Arten des Missbrauchs, welche aus einer Datenpanne folgen können. Aus diesem Grund untersuchen wir mögliche Risiken aus Sicht eines „Negativszenarios“, dessen Eintrittswahrscheinlichkeit im Moment nur schwer einzuschätzen ist. Voraussetzung dafür, dass Daten missbraucht werden und dem Einzelnen schaden können, ist die Möglichkeit, Personen mit den, in den Daten enthaltenen, persönlichen Informationen zu verknüpfen (Re-Identifikation). Zwar ist es in der biomedizinischen Forschung üblich, mit pseudonymisierten (d. h. de-identifizierten) Daten zu arbeiten,¹² doch macht dies eine Re-Identifikation nicht unmöglich (zur datenschutzrechlichen Relevanz pseudonymisierter Daten, vgl. den Beitrag von Markus Spitz in diesem Band). Möglichkeit und Aufwand einer solchen Re-Identifikation schwankt je nach Inhalt, Struktur sowie dem jeweiligem Verwendungskontext des Datensatzes (Jungkunz et al. 2021). Doch drohen mögliche Risiken für Patienten im Zuge von Datenpannen nicht allein im konkreten Fall einer Datenpanne mit gezieltem Datenmissbrauch, welcher faktisch spürbare negative Auswirkungen auf die betroffenen Personen hat. Bereits die Kenntnis einer Datenpanne kann für die einzelne betroffene Person aufgrund der Ungewissheit über das Schicksal ihrer persönlichen Daten und darüber, ob diese irgendwo und irgendwann gegen sie verwendet werden, potenziell erheblich belastend sein (de Bruin 2010; Laurie et al. 2014).

Ausgehend von den genannten möglichen Risiken (Identitätsdiebstahl, Diskriminierung, Stigmatisierung oder Erpressung), welche für Patienten von einer möglichen Datenpanne ausgehen, lassen sich im Rahmen eines „Negativszenarios“ weitere mögliche unerwünschte Folgen vorstellen. Im Falle einer systematischen Durchführung von SeConts ohne Einwilligung (siehe Abschn. 5.1) könnte z. B. die Gefahr bestehen, dass Patienten, die sich Gedanken über mögliche Datenschutzrisiken machen, Vertrauen in das Gesundheitssystem verlieren (Platt und Kardia 2015), was ein Risiko darstellt, welches nicht allein auf Patienten beschränkt ist. Der Vertrauensverlust in das Gesundheitssystem könnte sich in einem Vertrauensverlust gegenüber dem Arzt niederschlagen und somit das Arzt-Patienten-Verhältnis negativ beeinflussen (Kelley et al. 2015). Ein Vertrauensverlust könnte auf der Sorge vor Einbußen der Vertraulichkeit der Daten beruhen (zum Thema Angst um die Vertraulichkeit, vgl. (King et al. 2012)). Studien zeigen, dass Patienten aufgrund mangelnden Vertrauens in die Sicherheit bei der Speicherung und Weitergabe ihrer Behandlungsdaten Informationen vorenthalten haben (Agaku et al. 2014; Campos-Castillo und Anthony 2015). Eine systematische Durchführung von SeConts ohne Einwilligung könnte diesen Effekt verstärken, so dass Patienten aus Angst um die Vertraulichkeit ihrer Daten im schlimmsten Fall behandlungsrelevante Informationen für sich behalten könnten (Kaplan 2016). Auch ist denkbar, dass Patienten aus Angst um die Vertraulichkeit ihrer Daten notwendige Arztbesuche nicht wahrnehmen.

Doch auch eine Durchführung von SeConts mit vorheriger Einwilligung könnte bei Patienten die Sorge um die Sicherheit der Daten und somit Belastungen für Patienten mit sich bringen, so wie es in jeder anderen Form der Datenverarbeitung der Fall sein kann. Im Falle von SeConts ist es zudem möglich, dass die Einwilligung des Patienten die Befürchtungen um die Sicherheit der Daten nicht adäquat abbildet, wenn eben jene Einwilligung durch soziale Erwünschtheit oder auch falsche Hoffnungen in Bezug auf den eigenen Nutzen von SeConts motiviert ist (Aitken et al. 2016) und deshalb eigene Befürchtungen hinten angestellt werden (vgl. hierzu die Debatte zum Begriff „therapeutic misconception“).

So ist es vorstellbar, dass Patienten hoffen, durch ihre Einwilligung in SeConts das Wohlwollen ihres Arztes und somit einen Vorteil für ihre Behandlung zu erlangen. Ebenso ist es möglich, dass Patienten sich von SeConts (bzw. deren Ergebnissen) einen persönlichen Vorteil erhoffen (Richter et al. 2018), der sie motiviert, der Nutzung zuzustimmen und dabei andere (entgegenstehende) persönliche Interessen und Werte nachzuordnen. SeConts ist dem Verständnis im vorliegenden Artikel zufolge nicht darauf ausgelegt, dem Patienten, der seine Daten bereitstellt, selbst zu nutzen. Es ist zwar nicht gänzlich auszuschließen, dass SeConts einen individuellen Nutzen für einzelne Patienten mit sich bringt, jedoch ist dies aufgrund der notwendigen Zeit, welche selbst die Umsetzung oder Implementierung von Kenntnissen aus Aktivitäten zur Kontrolle und Erforschung der Versorgung (oder bestimmter Versorgungssituationen) benötigt (von der Translation von Forschungskenntnisse in die Behandlung ganz zu schweigen), sehr unwahrscheinlich. So könnte SeConts bei (jungen) Patienten mit chronischen Erkrankungen mittelfristig eine Verbesserung der Behandlung hervorbringen, von denen sie auch selbst in Zukunft profitieren könnten. Aus unserer jetzigen Perspektive gehen wir jedoch davon aus, dass bei SeConts in aller Regel kein individueller Eigennutzen erwartet werden kann.

Es ist theoretisch möglich, dass Patienten durch die Rückmeldung sogenannter Zufalls- oder Zusatzbefunde von SeConts profitieren. Hierbei muss aber unterstrichen werden, dass es zu möglichen Zufallsbefunden bei SeConts, nach unserem Kenntnisstand, keine Erfahrungen und Berichte gibt. Es herrscht in der Bioethik eine lebhafte Diskussion um Zufallsbefunde aus der Forschung, d. h. aus der Analyse von Forschungsdaten, insbesondere bei Bildgebung (Erdmann 2015) und Genomik (Gitter 2019). Selbst bei genomischer Forschung ist jedoch unklar, ob Zufallsbefunde in relevanter Häufigkeit auftreten (Schuol et al. 2015). Im Gegensatz zum reinen Forschungskontext, in welchem Daten zu Forschungszwecken analysiert werden und nicht schon von einem (behandelnden) Arzt in Augenschein genommen wurden, stammen klinische Daten per Definition bereits aus klinischen Diagnosen und Therapien, für die sie erhoben wurden. Sie wurden also bereits von einem Behandler oder Diagnostiker zum Zwecke der Behandlung untersucht. Ein Zufallsbefund im Rahmen von SeConts durch Forscher ist aus unserer Sicht daher relativ unwahrscheinlich, so dass, zusammen mit dem völligen Mangel an Erfahrung, zum jetzigen Zeitpunkt wenig dafür spricht, in möglichen Zufallsbefunden einen ernstzunehmenden Grund für potenziellen persönlichen Nutzen für den Patienten zu sehen.

Etwaige Hoffnungen von Patienten, sie würden von der Zustimmung zu SeConts selbst profitieren, sind in der Regel unbegründet. Der Gefahr der falschen Hoffnungen auf einen persönlichen Nutzen ist also entgegenzuwirken, z. B. durch eine ausführliche Aufklärung von Patienten über Zweck, Möglichkeiten und Konsequenzen von SeConts.

Neben den Risiken, die mehr oder weniger ausschließlich die Patienten betreffen, kann SeConts auch Risiken und Herausforderungen für Patienten und weitere Stakeholder mit sich bringen. Zwei derartige mögliche Risiken sollen im Folgenden angeführt werden: erstens die mögliche Belastung durch erhöhten Dokumentationsaufwand für Ärzte und Pflegepersonal und zweitens der Vergleich (von Qualität und Wirtschaftlichkeit) medizinischer Maßnahmen zwischen verschiedenen Behandlern oder Kliniken.

Werden Daten aus der Versorgung standardmäßig und systematisch der Forschung zugeführt, so verändert dies mit hoher Wahrscheinlichkeit die Dokumentationsroutinen der Versorgung selbst. Daten müssen in einer Form dokumentiert werden, welche eine spätere sekundäre Verarbeitung im Rahmen von SeConts ermöglicht. Ebenso könnte es zu der Entwicklung kommen, dass, vor dem Hintergrund der späteren Forschungsnutzung, eine größere Menge an Daten erhoben wird, als dies für die reine Versorgung notwendig wäre. Eine derartige Erhöhung der dokumentierten Datenmenge kann sowohl für das Personal selbst eine Belastung darstellen, als auch negative Auswirkungen auf die Patientenversorgung mit sich bringen. Zum einen träfe ein derartiger Mehraufwand bei der Datenerhebung auf ohnehin bereits knappe zeitliche Ressourcen des klinischen Personals, was für das Personal selbst eine physische und psychische Belastung wäre. Zudem würde das für die Dokumentation aufgewendete Mehr an Zeit an anderer Stelle in der Versorgung fehlen und somit negative Folgen für Patienten mit sich bringen. Gegen die Entwicklung in Richtung dieses negativen Szenarios spricht die Möglichkeit eines anderen, positiveren Szenarios. So kann eine standardisierte Dokumentation mit standardisierten digitalen Formularen – z. B. durch die Nutzung von festen Textbausteinen, welche für die Erstellung von Arztbriefen ausgewählt werden können – auch eine Zeitersparnis mit sich bringen. Voraussetzung hierfür ist jedoch die Implementierung eines ausgereiften, komplexen und möglichst bundesweit kompatiblen digitalen klinischen Informationssystems (KIS) mitsamt der entsprechenden IT-Infrastruktur und gut geschultem Personal.

Das zweite zu schildernde konkrete Risiko von SeConts besteht in der Möglichkeit eines Vergleichs von Qualität und anderen Parametern (z. B. Kosten) medizinischer Maßnahmen einzelner Ärzte, Abteilungen oder ganzer Kliniken. Zwar ist der Vergleich von Qualität etc. eine durchaus wichtige Maßnahme zur Qualitätskontrolle und -verbesserung sowie der Patientensicherheit. Jedoch erzeugen mögliche Vergleiche zwischen Behandlern oder zwischen Kliniken mitunter auch Ängste, (ungerechtfertigt) in ein schlechtes Licht gerückt zu werden (z. B. bei Kollegen; Vorgesetzten; den Forschern, die die Daten analysieren). Eine derartige Befürchtung kann sich z. B. für ein onkologisches Spitzenzentrum ergeben, an das sich überproportional viele Patienten mit negativen Prognosen wenden, wenn dieser spezielle Umstand in einem Vergleich der Leistungen, z. B. der Outcomes, mit anderen onkologischen Kliniken nicht angemessen berücksichtigt wird.

Auch ist zu befürchten, dass sich ein Vergleich von Stationen oder Kliniken nicht nur auf die Qualität der Versorgung, sondern auch und primär auf Wirtschaftlichkeit (Profitabilität und Kosten) fokussieren und in dieser Sphäre einen Konkurrenzdruck um die „günstigste oder profitabelste Behandlung“ weiter befeuern könnte. In einem Gesundheitssystem, welches ohnehin bereits unter hohem Kosten- und Ökonomisierungsdruck leidet (Strech et al. 2008; Fernau et al. 2017; Krause et al. 2013), könnte dies einen weiteren Faktor zur Zuspitzung der Lage darstellen und durchaus negative Auswirkungen auf die Versorgungssituation selbst haben. Allerdings ist auch zu bemerken, dass ein Blick auf die Kosten von Behandlung im Rahmen eines eingepflegten Wirtschaftlichkeitsgebots stets erforderlich ist und z. B. ganz besonders an den Stellen ethisch geboten ist, an denen die Gefahr einer Überversorgung aufgrund finanzieller Interessen der Kliniken droht. Vergleiche zwischen Ärzten oder Abteilungen/Kliniken im Rahmen von SeConts haben also auch das Potenzial, zur Aufdeckung derartiger problematischer Missstände beizutragen, etwa im Falle eines Übermaßes an Operationen mit fragwürdiger Wirksamkeit aber finanziellen Vorteilen für die jeweilige Klinik (Quintel et al. 2016).

Ein wichtiger erster Schritt, um Risiken zu reduzieren, ist die Identifikation derselben und eine Einschätzung ihrer Höhe. Das Gesamtrisiko für den einzelnen Patienten im Rahmen einer konkreten Form von SeConts lässt sich zwar nicht in absoluten Zahlen darstellen. Jedoch lassen sich Aspekte von Daten und deren Nutzung identifizieren, die für eine Einschätzung der Höhe des Risikos für Patienten aufschlussreich sind (Jungkunz et al. 2021). Die Identifikation und Einschätzung der Höhe eines Risikos für Patienten ermöglicht im nächsten Schritt die Ergreifung von (technisch-organisatorischen) Gegenmaßnahmen. Datensätze, die aufgrund ihrer hohen Variablen- und geringen Fallzahl die Re-Identifikation von Individuen verhältnismäßig „leicht“ machen (Bender et al. 2001; Mokken et al. 1992; Dankar et al. 2012; El Emam et al. 2009), können z. B., soweit es die Forschungsfrage zulässt, anders strukturiert werden um das Re-Identifikationsrisiko zu senken.¹³ Ebenso ließen sich – unter Vorbehalt der Kompatibilität mit der Forschungsfrage sowie der technischen Machbarkeit – die Analysen u. U. vor Ort durchführen (dezentrale Analysen), so dass nur die kumulierten Ergebnisse herausgegeben würden, die auf der Basis der Vorgaben der Forscher erstellt wurden. Die klinischen Daten selbst würden somit die datenhaltende Stelle nicht verlassen.

Zusätzlich zur Überprüfung durch eine Ethikkommission – wie bei Studien mit klinischen (personenbezogenen) Daten üblich – sollten mögliche Risiken und Implikationen für Betroffene auch von einem „Use and Access Committees (UAC)“ bewertet werden. UACs stellen ein wichtiges Element einer angemessenen Governance Struktur für SeConts dar. Ihre Aufgabe ist es, den Zugriff auf klinische Daten für SeConts strukturiert und transparent zu regeln. Dabei haben sie sowohl die Datenschutzinteressen der Patienten als auch die legitimen Interessen und Befürchtungen anderer Stakeholder im Blick (Shabani und Borry 2016). UACs können z. B. eventuell auf die Konditionen des Data Transfer Agreements bzw. der Datennutzungsbestimmungen einwirken, die mit dem anfragenden Forscher abgeschlossen werden (zum Thema der vertraglichen Regelungen zwischen Datensender und Datenempfänger, siehe den Beitrag von Markus Spitz in diesem Band). Mögliche Risiken wie z. B. das oben angesprochene Risiko eines unsachgemäßen und damit potenziell „ungerechten“ Vergleichs verschiedener Kliniken oder Abteilungen könnte durch gezielte Bestimmungen, welche entsprechende Aktivitäten der datenanfragenden Forscher unterbinden, reduziert werden. Ebenso kann ein UAC prüfen, ob der jeweilige datenanfragende Forscher bzw. die in Frage kommende Studie vorab definierte Kriterien erfüllt und diese ggf. einfordern bzw. die Datenherausgabe im Zweifel untersagen. Zu diesen Kriterien gehören beispielsweise Vorgaben in Bezug auf wissenschaftliche Transparenz und Gemeinwohlorientierung (Cheah und Piasecki 2020). Wie die Anforderungen an Studien in Bezug auf Transparenz und Gemeinwohlorientierung konkret aussehen, ist eine Frage, die noch geklärt werden muss (vgl. hierzu den Beitrag von Anja Köngeter in diesem Band).

Weitere Elemente für eine ethisch vertretbare Durchführung von SeConts finden sich auf der Ebene der Aufklärung, Einwilligung und der Gewährleistung einiger konkreter informationeller Selbstbestimmungsrechte wie insbesondere dem Recht auf Widerspruch (Opt-Out). Die Notwendigkeit der Widerspruchsmöglichkeit (Opt-Out) ergibt sich aus der Tatsache, dass eine Risikoabschätzung, wie wir sie oben (Abschn. 6.1) vorschlagen, stets nur eine ungefähre Abschätzung für einen Großteil der möglichen Patienten erfassen kann, nicht aber individuelle Variationen des Risikos. So erscheinen z. B. bestimmte Datentypen für viele Personen als relativ unbedenklich in Bezug auf ihre Sensibilität. Für einzelne Personen kann diese Einschätzung aber durchaus falsch sein. Ein Profi-Fußballspieler sieht sich bei der Weitergabe der Röntgenaufnahme einer Meniskusluxation im Kniegelenk mit Blick auf den Abschluss möglicher neuer lukrativer Arbeitsverträge anderen Risiken gegenüber als dies für die meisten anderen Personen (bei gleicher Wahrscheinlichkeit einer Re-Identifikation) der Fall ist.

Derartig spezielle Einzelfälle, welche in einer allgemeinen Risikoabschätzung nicht berücksichtigt werden (können), dürfen keinem individuell nicht tragbaren Risiko ausgesetzt werden. Eine Voraussetzung, um diesem individuellen Risiko für einzelne Patienten im Rahmen einer Widerspruchsmöglichkeit Rechnung zu tragen, ist eine verständliche Patientenaufklärung. Eine adäquate Aufklärung darüber, was mit seinen klinischen Daten geschehen soll, ermöglicht jedem Patienten, eine individuelle Risikoeinschätzung vorzunehmen und eine Entscheidung darüber zu treffen, ob er dieses Risiko tragen will oder nicht. Gleichzeitig dient die Aufklärung der Schaffung von Transparenz in Bezug auf SeConts und wirkt so falschen Hoffnungen bzgl. des Nutzens entgegen. Die Achtung der Patientenautonomie durch die Widerspruchsmöglichkeit kann in Verbindung mit der genannten Transparenz in Aufklärung und Kommunikation einem möglichen Vertrauensverlust von Patienten in ihre Ärzte, Gesundheitsinstitutionen oder in das Gesundheitssystem entgegenwirken. Die Auseinandersetzung mit der Frage ob die Widerspruchsmöglichkeit (im Sinne einer Minimalanforderung) oder aber vielmehr eine der verschiedenen Formen einer aktiven Einwilligung (z. B. Broad Consent, Tiered Consent, Meta-Consent, Dynamic Consent) als angemessen für SeConts angesehen werden kann, ist nach wie vor eine viel diskutierte Frage, der wir hier, wie bereits erwähnt, nicht nachgehen können. Tab. 4 fasst die erwähnten Risiken für Patienten und andere Stakeholder und die vorgeschlagenen Gegenmaßnahmen zusammen.