Richtlinie zur datengestützten einrichtungsübergreifenden Qualitätssicherung: Änderungen zu § 9 und den Regelungen zu Patientenbefragungen in Teil 1

Dieser Beschluss des Gemeinsamen Bundesausschusses (G-BA) vom 18. März 2021 ändert die Richtlinie zur datengestützten einrichtungsübergreifenden Qualitätssicherung (DeQS-RL). Die Änderungen betreffen vor allem die Regelungen zu Patientenbefragungen in Teil 1 der Richtlinie und präzisieren § 9 sowie die dazugehörigen Anlagen.

Im Detail werden folgende Punkte geändert:

• § 9: Ergänzung, dass die notwendige Datenverarbeitung auch die Depseudonymisierung leistungserbringeridentifizierender Daten einschließt.
• § 11a: Präzisierungen zur Speicherung und Verarbeitung von Daten, insbesondere die Einführung eines "organisatorisch unabhängigen Bereichs" innerhalb der Versendestelle für sensible Daten im Zusammenhang mit Patientenbefragungen. Dieser Bereich ist für die Verarbeitung spezifischer Versendedaten zuständig und räumlich und organisatorisch von anderen Aufgaben der Versendestelle getrennt.
• § 14 Absatz 2a: Definition von "Versendedaten" für Patientenbefragungen. Diese werden unterteilt in Daten für die Datenprüfung und Patientenauswahl (a) und Daten für den Versand der Fragebögen (b). Es wird klargestellt, dass Daten unter (b) nicht-pseudonymisierte personenbezogene Daten der Patienten umfassen.
• Anlage zu Teil 1: Anpassungen an die neue Definition der Versendedaten. Es wird festgelegt, dass die Daten für Datenprüfung/Auswahl (a) und Versand (b) getrennt entschlüsselt werden müssen und unterschiedliche Schlüssel der Versendestelle bzw. des organisatorisch unabhängigen Bereichs verwendet werden. Auch die Aufgaben der Versendestelle bei der Entschlüsselung und Prüfung der Daten werden präzisiert und der Aufgabenbereich des neu eingeführten "organisatorisch unabhängigen Bereichs" in Bezug auf die Versendedaten für den Versand der Fragebögen (b) definiert.

Zusammenfassend lässt sich sagen, dass die Änderungen der DeQS-RL durch diesen Beschluss vor allem die Datenschutzaspekte bei Patientenbefragungen stärken sollen. Durch die Einführung des "organisatorisch unabhängigen Bereichs" und die detailliertere Regelung der "Versendedaten" wird eine klarere Trennung und sicherere Verarbeitung sensibler Patientendaten im Rahmen der Qualitätssicherung angestrebt. Die Änderungen treten nach Veröffentlichung im Bundesanzeiger in Kraft. Die Begründung für diesen Beschluss ist auf der Webseite des G-BA einsehbar.

Zusammenfassung:

Der Gemeinsame Bundesausschuss (G-BA) hat am 18. März 2021 eine Änderung der Richtlinie zur datengestützten einrichtungsübergreifenden Qualitätssicherung (DeQS-RL) Teil 1 beschlossen. Die Änderungen betreffen § 9 (Datenannahmestelle) und Regelungen zu Patientenbefragungen, insbesondere die §§ 11a, 14 sowie die Anlage zu Teil 1 §§ 2 und 4a.

Kernpunkte der Änderungen:

• § 9 Datenannahmestelle: Klarstellung, dass die Datenannahmestellen für Krankenhäuser im erforderlichen Umfang Krankenhausstandorte depseudonymisieren dürfen, um geeignete Qualitätsergebnisse in strukturierten Qualitätsberichten zu veröffentlichen.
• § 11a Versendestelle:
  • Einführung eines organisatorisch und räumlich abgetrennten Bereichs innerhalb der Versendestelle für die Verarbeitung sensibler Adressdaten (§ 14 Abs. 2a Satz 1 Buchstabe b DeQS-RL). Diese Daten werden dort gespeichert, bei Bedarf entschlüsselt und mit einem separaten kryptografischen Schlüssel verschlüsselt.
  • Sicherstellung, dass in anderen Bereichen der Versendestelle keine Entschlüsselung dieser sensiblen Daten möglich ist.
  • Keine vorgesehene personelle Trennung für diesen Bereich aufgrund der begrenzten zeitlichen und inhaltlichen Aufgabe.
• § 14 Arten der Daten: Differenzierung der Versendedaten für Patientenbefragungen in zwei Kategorien:
  • Daten für die Datenprüfung und Patientenauswahl (z.B. Geschlecht, behandlungsspezifische Daten) (Buchstabe a).
  • Daten für den Versand der Fragebögen (z.B. Name, Wohnanschrift) (Buchstabe b).
  • Die Zuordnung der Versendedaten zu diesen Kategorien wird in den Erforderlichkeitstabellen der themenspezifischen Bestimmungen in Teil 2 der DeQS-RL festgelegt.
• Anlage zu Teil 1 § 2 Datenübermittlung an die Datenannahmestelle:
  • Daten nach § 14 Abs. 2a Satz 1 Buchstabe a und b müssen aus Datenschutzgründen getrennt entschlüsselt werden können und werden daher in zwei separaten Containern (XML-Elementen) gespeichert.
  • Separate Verschlüsselung dieser Container beim Leistungserbringer möglich.
  • Daten nach § 14 Abs. 2a Satz 1 Buchstabe a werden mit dem öffentlichen Schlüssel der Versendestelle verschlüsselt und können bei Dateneingang entschlüsselt und geprüft werden.
  • Daten nach § 14 Abs. 2a Satz 1 Buchstabe b werden mit dem öffentlichen Schlüssel des organisatorisch unabhängigen Bereichs der Versendestelle verschlüsselt und erst entschlüsselt, wenn der Patient in die Stichprobe aufgenommen wurde.
• Anlage zu Teil 1 § 4a Verfahren in der Versendestelle:
  • Umsetzung des Grundsatzes der Datensparsamkeit (DSGVO).
  • Entschlüsselung von Versendedaten für die Patientenauswahl nur, wenn in themenspezifischen Bestimmungen als erforderlich festgelegt.
  • Zunächst werden nur die für die Patientenauswahl erforderlichen Versendedaten entschlüsselt.
  • Die für den Versand der Fragebögen erforderlichen Daten werden erst in einem zweiten Schritt und nur für ausgewählte Datensätze im organisatorisch unabhängigen Bereich entschlüsselt.

Verfahrensablauf und Stellungnahme des BfDI:

• Der Beschlussentwurf wurde in der Arbeitsgruppe Richtlinie zur datengestützten einrichtungsübergreifenden Qualitätssicherung (AG DeQS) und im Unterausschuss Qualitätssicherung (UA QS) beraten.
• Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) wurde gemäß § 91 Absatz 5a SGB V zum Beschlussentwurf angehört.
• Der BfDI äußerte zunächst datenschutzrechtliche Bedenken hinsichtlich der Übermittlung nicht zwingend erforderlicher Adressdaten an die Versendestelle.
• Nach einem alternativen Verfahrensvorschlag des IQTIG, der die separate Verarbeitung und Verschlüsselung der Adressdaten in einem organisatorisch und räumlich getrennten Bereich vorsieht, stimmte der BfDI dem Beschlussentwurf zu.
• Der BfDI bestätigte im erneuten Stellungnahmeverfahren, dass keine weiteren datenschutzrechtlichen Bedenken bestehen.

Fazit des G-BA:

• Der G-BA beschloss die Änderung der DeQS-RL Teil 1 am 18. März 2021.
• Patientenvertretung und Ländervertretung unterstützen den Beschluss.
• Die beteiligten Organisationen (private Krankenversicherung, Bundesärztekammer, Deutscher Pflegerat, Bundespsychotherapeutenkammer, Bundeszahnärztekammer) äußerten keine Bedenken.