European Health Data Space: Was das Gesetz erlaubt

Der EHDS ist eine EU-Verordnung, die 2024 verabschiedet wurde und bis 2036 in mehreren Phasen umgesetzt wird. Er hat zwei Säulen:

Säule 1 – Primäre Nutzung: Patienten sollen in der gesamten EU auf ihre eigenen Gesundheitsdaten zugreifen können. Elektronische Patientenakten, Rezepte, Befunde – alles digital und grenzüberschreitend.

Säule 2 – Sekundäre Nutzung: Gesundheitsdaten sollen für Forschung, Innovation, Politikgestaltung und Statistik genutzt werden können – über EU-weite Datenräume.

Säule 1 klingt gut. Säule 2 ist das Problem.

Unter dem EHDS können folgende Akteure Zugang zu Gesundheitsdaten beantragen:

• Forschungseinrichtungen: Universitäten, Institute, öffentliche Forschung
• Pharma-Unternehmen: Für Medikamentenentwicklung, Wirksamkeitsstudien
• Medizintechnik-Hersteller: Für Geräteentwicklung, KI-Training
• Behörden: Für öffentliche Gesundheit, Epidemiologie, Politikgestaltung
• Versicherungen: Eingeschränkt, aber möglich
• EU-Institutionen: Für Statistik und Regulierung

Der Zugriff erfolgt über nationale „Gesundheitsdaten-Zugangsstellen" (Health Data Access Bodies). Diese Stellen prüfen Anträge und gewähren oder verweigern Zugang.

Die Frage: Wer kontrolliert diese Stellen? Wie unabhängig sind sie? Und was passiert, wenn ein Antrag abgelehnt wird – gibt es Rechtsmittel?

Das EHDS arbeitet mit einem Opt-out-System für die sekundäre Nutzung. Das bedeutet:

• Standard: Deine Gesundheitsdaten dürfen genutzt werden
• Ausnahme: Du widersprichst (Opt-out)
• Problem: Die meisten Menschen wissen nicht, dass sie widersprechen müssen
• Ergebnis: Die meisten Gesundheitsdaten werden genutzt – ohne bewusste Zustimmung

Das Opt-out-System kehrt das Prinzip der informierten Zustimmung um. Statt „Du musst zustimmen, damit deine Daten genutzt werden" lautet das Prinzip „Du musst widersprechen, sonst werden deine Daten genutzt."

Ausnahmen vom Opt-out: In einigen Fällen kann die Nutzung auch ohne die Möglichkeit des Opt-out erfolgen – z.B. für öffentliche Gesundheit, Notfallvorsorge oder wenn die Daten „anonymisiert" sind. Was „anonymisiert" in der Praxis bedeutet, ist umstritten: Gesundheitsdaten sind hochidentifizierend, und Re-Identifizierung ist technisch möglich.

Szenario 1: Ein Pharma-Unternehmen beantragt Zugang zu Gesundheitsdaten von 5 Millionen EU-Bürgern, um Nebenwirkungen eines Medikaments zu untersuchen. Die Zugangsstelle genehmigt. Die Daten werden genutzt. Du wirst nicht gefragt.

Szenario 2: Eine KI-Firma beantragt Zugang zu Radiologie-Bildern, um einen Algorithmus zu trainieren. Die Zugangsstelle genehmigt. Deine Röntgenbilder werden Teil des Trainingsdatensatzes. Du wirst nicht gefragt.

Szenario 3: Eine Regierung beantragt Zugang zu Impfdaten, um die Impfquote zu analysieren. Die Zugangsstelle genehmigt. Deine Impfdaten werden genutzt. Du kannst nicht widersprechen (öffentliche Gesundheit).

Szenario 4: Ein Versicherer beantragt Zugang zu Gesundheitsdaten, um Risikoprofile zu erstellen. Die Zugangsstelle prüft – und entscheidet. Ob sie genehmigt, hängt von der nationalen Umsetzung ab.

1. Re-Identifizierung: Gesundheitsdaten sind hochidentifizierend. Auch „anonymisierte" Daten können mit anderen Datenquellen verknüpft werden, um Personen zu identifizieren.
2. Kommerzialisierung: Gesundheitsdaten werden zu einem Wirtschaftsgut. Pharma, Tech und Versicherer profitieren – nicht der Patient.
3. Fehlende Transparenz: Du erfährst nicht, wer deine Daten nutzt, wofür und mit welchem Ergebnis.
4. Opt-out-Hürde: Das Opt-out muss aktiv beantragt werden. Wie und wo, ist in vielen Mitgliedsstaaten noch unklar.
5. EU-weite Vernetzung: Daten, die in einem Land erfasst werden, können in einem anderen genutzt werden – mit unterschiedlichen Datenschutzstandards.

Der EHDS ist nicht schlecht. Der Patientenzugang zu eigenen Daten ist ein Fortschritt. Aber die sekundäre Nutzung ohne informierte Zustimmung ist ein Eingriff in die informationelle Selbstbestimmung – verpackt als Fortschritt.

Die Pandemie-Governance-Analyse zeigt, wie Gesundheitsdaten im Krisenfall genutzt wurden. Der EHDS institutionalisiert diesen Zugriff – nicht für Krisen, sondern für den Normalbetrieb.

Ein Sigma fragt: „Wer profitiert?" Die Antwort: Pharma, Tech, Forschung, Behörden. Wer verliert? Der Einzelne, der seine Daten nicht kontrolliert.

→ Zurück zum Hub: Die Covid-Jahre: Vorbereitung, Durchführung, Profit

Der Kodex sagt: Was du nicht kontrollierst, kontrolliert dich. Deine Gesundheitsdaten sind die intimsten Daten, die du hast. Wer sie ohne deine Zustimmung nutzt, nutzt dich.