Wertvolle Erkenntnisse aus Krankenkassen-Rückantworten zum Datenauskunftsschreiben

Die Vorlage des Datenauskunftsschreiben kann von http://www.patientennet.de/stoppt-die-eCard/ heruntergeladen werden. In dem Schreiben wird die Datenauskunft nach § 83 SGB X eingeholt, in dem folgende Informationen verlangt werden:

1. die zu meiner Person gespeicherten Daten, auch soweit sie sich auf die Herkunft der Daten beziehen,
2. die Empfänger oder Kategorien von Empfängern, an die die Daten weitergegeben werden, und
3. den Zweck der Speicherung.

Weiterhin berücksichtigt das Datenauskunftsschreiben aktuelle technische Erkenntnisse, die das eGK/TI-System aufklären und es wird versucht über zusätzliche Fragen nähere Auskünfte über die eGK-Produktion und das telematische System zu erhalten. Teilweise konnte ich mit Hilfe der Versicherten eine dritte Variante eines Antwortschreibens an die Krankenkassen versenden, individuell abgestimmt auf die von den Krankenkassen erhaltenen Aussagen (siehe Abschnit B.).

A.

Bisheriger Aktionsablauf:


a. Versicherte versenden Datenauskunftsschreiben nach Mustervorlagen
b. Krankenkassenantwortschreiben wird mir übermittelt
c. Individuell von mir abgestimmtes neues Antwortschreiben wird im Namen der Versicherten abgesendet (Status: noch kein Rücklauf)

Aus den mir übermittelten Rückantworten der Stufe b. lassen sich nun wertvolle Rückschlüsse ziehen. Häufig vertreten unterschiedliche Krankenkassen die gleichen fehlerhaften Ansichten:

Die Existenz der 30-stelligen Versichertennummer wird verneint oder es wird im Wortlaut geantwortet dass der Versicherte über die 30-stellige Versichertennummer erst mit Ausgabe der neuen elektronischen Gesundheitskarte informiert werden wird. Angeblich speichern Krankenkassen keine medizinischen Daten und die eigenen Systeme werden nicht in die Cloud eingebunden. Extrem unterschiedlich fällt der Umfang der Datenauskünfte an die Versicherten selbst aus. Einige Krankenkassen übermitteln den im §291a festgelegten Datenumfang, ohne genauere Angaben. Andere informieren über die Zweckbindungen der Datenerhebung iun Form längerer Liste auf Merkblättern. Diese Listen sind wichtige Grundlagen für weitere Auswertungen der Systemhintergründe und Prozesse.

Die Beantwortung der Frage 2. nach den Empfängern wird entweder pauschal beantwortet in dem auf das Recht verwiesen wird externe Dienstleister für bestimmte Aufgaben der Datenverarbeitung zu beauftragen oder es werden konkret Unternehmen genannt, die eingebunden sind:

Swiss Post (ehemals Systemform MediCard GmbH), Systemformstraße 5, 83209 Prien am Chiemsee, siehe
http://www.sps-prien.de/Default.aspx

BITMARCK SERVICE GmbH mit Sitz in Essen siehe
https://www.bitmarck.de/unternehmen/unternehmensgruppe/

Morpho Cards GmbH in Flintbek, siehe
http://de.wikipedia.org/wiki/Morpho_Cards

Hier eine Auswahl der Antworten der Krankenkassen im orginalen Wortlaut (Persönliche Informationen wurden entfernt!):

[
Neben den Zertifikaten, Sicherheitsschlüsseln und dem Lichtbild werden folgende Daten an Morpho Cards GmbH übermittelt: Vorname, Name, Geburtsdatum, Geschlecht, Straße, Hausnummer, Postleitzahl, Wohnort, neue KV-Nummer , Beginn Versicherungsschutz, Versichertenart. Hierbei handelt es sich um eine Datenverarbeitung im Auftrag im Rahmen des § 80 SGB X. Mit der Onlineanbindung der Arztpraxen wird erreicht, dass beim Stecken der eGK die Daten des Versicherten auf der eGK mit den Daten bei seiner Krankenkasse abgeglichen und ggf. eine Aktualisierung überspielt werden kann. Hier wird der auf der eGK aufgebrachte Sicherheitsschlüssel mit dem im Kassensystem gespeicherten abgeglichen und bei Übereinstimmung eine Datenübermittlung an diese eGK vorgenommen. Von unserer Seite werden Ihre Daten an keine weiteren Systeme übermittelt.

Ihre Daten werden in keiner Cloud gespeichert, sondern bleiben in unserem Bestandssystem, welches körperlich in unserem eigenen Rechenzentrum betrieben wird. Aus heutiger Sicht ist auch nicht davon auszugehen, dass eine Cloud als Bestandteil der Telematikinfrastruktur zugelassen würde. Mit der Firma Arvato besteht kein Vertragsverhältnis, sodass Arvato auch keine Daten erhält.
]

Weitere Antworten der Krankenkassen auf folgende Fragen:

Frage:  Werden Daten in den geplanten 8 Rechenzentren der telematischen Infrastruktur abgespeichert?

[
Antwort: Die Telematikinfrastruktur sieht keine solchen Rechenzentren vor. Sie stellt eine sichere Kommunikationsinfrastruktur dar, deren Komponenten für Datenübermittlung und Sicherheitsverfahren benötigt werden. Die künftige Übermittlung von Sozialdaten wird gemäß den Bestimmungen des §291 SGB V und der weiteren gesetzlichen Vorschriften erfolgen. Die (Krankenkasse) handelt ausschließlich im Rahmen ihres gesetzlichen Auftrags. Die gematik hat die Verantwortung, dass alle Teilnehmer der Telematikinfrastruktur die geltenden gesetzlichen Vorgaben erfüllen. Näher Informationen dazu finden Sie auf www. gematik.de.
]

Frage:  „Im Detail interessiert mich auch wie es zur personenbezogenen Generierung der neuen einmaligen 30-stelligen Versicherten-Nr. gekommen ist, von der 10 Stellen sichtbar auf die neue Chipkarte aufgedruckt werden."

[
Antwort: Die lebenslange Krankenversichertennummer, die sogenannte EKVNR ist 10stellig (nicht 30stellig) und wird von der Informationstechnischen Servicestelle der gesetzlichen Krankenversicherung GmbH vergeben. Sie steht unter der Rechtsaufsicht des Bundesministeriums für Gesundheit und arbeitet mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) zusammen.
]

B.

Die nachfolgenden Ausführungen entstammen dem individuell von mir abgestimmten neuen Antwortschreiben, das im Namen der Versicherten abgesendet wird. Ein Rücklauf von den Krankenkassen ist bisher nicht erfolgt und es ist fraglich ob die präsentierte gestiegene Komplexität der Hinweise und Fragen von den Krankenkassen bewältigt werden können und verwertbare Kommentare entstehen. Bereits in den Rückantworten der Stufe b. (siehe A) wird gelegentlich auf die gematik verwiesen oder auch aktiv dazu aufgefordert die Fragen direkt an die gematik zu stellen. Die Krankenkassen sind allerdings die verantwortliche Stelle für die Versicherten und insofern muss die Aufforderung der Krankenkassen sich direkt an die gematik zu wenden prinzipiell zurückgewiesen werden.
 


Texte der individuell von mir abgestimmten neuen Antwortschreiben (Stufe A c. )  :


Nach den im Internet abrufbaren Informationen wird für die Verarbeitung meiner Daten XML (Extensible Markup Language), die erweiterbare Auszeichnungssprache und XSD* , eingesetzt. Soweit ich dies nachvollziehen kann werden damit meine Daten mit zusätzlichen Informationen deutlich erweitert, die nicht nur technischer Natur sind und nicht zu den Sozialdaten gezählt werden können.
Weiter ist mir bekannt dass mit XML zusätzliche Metadaten erhoben werden, die mittlerweile als große Gefahr für den Datenschutz angesehen werden.

Siehe: http://de.wikipedia.org/wiki/Metadaten

* Erklärung des Begriffes: Schema-Design für Strukturierung und Regeln der XML-Dokumente und deren Abprüfung (Validierung)

Der Nachweis, des mit Hilfe von XML und XSD deutlich erweiterten Datenumfangs, kann über die im Internet abrufbare Liste der Daten, die auf neuen elektronischen Gesundheitskarte enthalten sind, erbracht werden.

Siehe: http://wiki.hl7.de/index.php/Spezifikation_eGK-Daten

In den Dokumenten gematik_eGK_Speicherstrukturen_V1_6_0.pdf und rs291-11_anlage2-sgbv_291a_anpassung.pdf wird, im Zusammenhang zur HL7-Spezifikation der eGK-Daten, darauf hingewiesen, dass die Versicherungsdaten selbst als XML-Daten gemäß vorgegebenem XML-Schema, gzip-komprimiert und nicht verschlüsselt innerhalb der Dateien auf der eGK abgelegt werden. Der Nachweis, dass dies für einen Übergangszeitraum so geregelt ist, kann über folgendes gematik-Dokument erbracht werden:

Gematik Dokumentenname: Schema_VSD.xsd, siehe Seite 10:

<xs:annotation>
<xs:documentation>
Hinweis: "Fuer eine befristete Uebergangszeit (die Frist ist noch festzulegen) wird bei der eGK der schuetzenswerte Teil der Versichertenstammdaten in derselben Form so in den  ungeschuetzten Container kopiert, dass der gesamte, ohne Zusatzauthentifizierung auslesbare Versichertendatensatz inhaltlich dem der heutigen KVK entspricht." [Archboard 33]

Ihre Aussage einer gegebenen Datenverschlüsselung ist unpräzise und bezieht sich auf einen Zeitraum der in der Zukunft liegt.

In der Liste  http://wiki.hl7.de/index.php/Spezifikation_eGK-Daten  werden u.a. folgende Informationselemente aufgeführt:

Besondere Personengruppe
"4"= Sozialhilfeempfänger § 264 SGB V
DMP-Kennzeichnung *

* Disease Management Programm

Hinweis:
[ Das Recht des Patienten auf Kontrolle und Selbstbestimmung über seine medizinischen Behandlungen ist verfassungsrechtlich geschützt durch Art. 2 Abs. 2 in Verbindung mit Artikel 1 Abs. 1 GG. Die Bestimmung über seine leiblich-seelische Identität gehört zum ureigensten Bereich der Persönlichkeit des Menschen (Sondervotum der Richter Hirsch, Niebler und Steinberger zu BVerfGE 52, S. 131, BVerfGE 52, S. 171 (175) ].

Die Teilnahme eines Patienten an einem Disease-Management-Programm ist freiwillig, wird jedoch häufig mit Bonusmaßnahmen unterstützt. Siehe http://de.wikipedia.org/wiki/Disease-Management-Programm. ]

Die Erfassung der besonderen Personengruppe und der Teilnahme an DMP-Programmen ist datenschutz-rechtlich bedenklich!

Die Anzahl der mit XML und XSD erzeugten Daten und Informationselemente, die sich auf meine Person beziehen, liegt in 3-stelligen Bereich. Sie haben mich nicht über den Einsatz von XML informiert und auch nicht über die Konsequenzen, die sich daraus ergeben.

Bitte beantworten Sie mir die folgenden Fragen:

Welche der von Ihnen genannten Unternehmen, die BITMARCK SERVICE GmbH mit Sitz in Essen oder die Morpho Cards GmbH in Flintbek, führt die Produktion und Befüllung meiner  personenbeziehbaren Daten in die XML-Strukturen und XML-Dokumente durch?

Wie Sie selbst ausführen werden in Zukunft die Daten auf der Karte per Onlineverbindung über das Internet (VPN-Tunnel durch die Cloud) abgeglichen und angeblich keine meiner Daten an weitere System weitergegeben.

Für die Produktion von XML-Dokumenten (Templates) und deren Befüllung mit meinen Daten ist es allerdings erforderlich eine Kopie der XML-Dokumente, mit meiner Versichertennummer zusammen, in anderen IT-Systemen vorzuhalten. Wäre dies nicht der Fall könnte keine zielgerichtete Befüllung der XML-Dokumente zu meiner Person erfolgen.

Meine zweite Frage an Sie lautet deswegen:

Können Sie die Existenz der Abspeicherung von XML-Dokumenten, zusammen mit personenbeziehbaren Daten, wie z.B. mit meiner Versichertennummer, in anderen Rechenzentren oder eingegliederten Unternehmen der telematischen Infrastruktur ausschließen?

In diesem Zusammenhang zeigen sich Widersprüche und es entstehen weitere Fragen:

Das Internet ist die Cloud! Jedes teilnehmende IT-System, also die Primärsysteme (Krankenkassen, Ärzte, Krankenhäuser, Apotheker), die an die telematische Infrastruktur angeschlossen werden (gematik Anpassungsprozess der IT/EDV-Systeme), stellen ihre Speichersysteme dem Gesamtsystem für eine indirekte Verlinkung der Daten, die sich dort befinden, zur Verfügung.

Wie können also die Daten ausschließlich in ihrem Bestands- und Kassensystem verbleiben, wenn meine Daten, mit XML/XSD und Metadaten zusammen mit der Versichertennummer produziert werden und diese Daten der telematischen Infrastruktur insgesamt zur Verfügung gestellt werden sollen?
 

Soweit zur Entwicklung der Antwortschreiben der dritten Stufe. Abschließend füge ich Teile eines weiteren von mir entwickelten Anschreibens zur Klärung der Datensituation bei den Krankenkassen an:

Folgende Dokumente wurden von mir herangezogen um Ihre Aussagen zu korrigieren:

KVNR_VST_Broschuere.pdf Titel: „Die neue Krankenversichertennummer - Mehr Transparenz im Gesundheitswesen“ Nachweis 30-stellige Krankenversichertennummer siehe Seite 4 ausführliche Beschreibung der 30-Stellen

Gematik Dokument: > ORS1_Schemadateien_20140826.zip > Schema_VSD.xsd > Nachweis 30-stellige Krankenversichertennummer siehe Zeile 145:

<xs:documentation>Die Versicherten-ID ist der 10-stellige unveraenderliche Teil der 30-stelligen Krankenversichertennummer</xs:documentation>

Mit  beiden Dokumenten ist der Nachweis erbracht dass die eigentliche Nummer 30 Stellen lang ist, auch wenn nur 10 Stellen in die eGK integriert sind. Im Hintergrund des eGK/TI-Systems wird eine 30-stellige Nummer berücksichtigt.

Sie schreiben weiter dass die Telematik-Infrastruktur -keine solchen Rechenzentren-  vorsieht. Im - Endbericht - zur Kosten-Nutzen-Analyse der Einrichtung einer Telematik-Infrastruktur im deutschen Gesundheitswesen vom 31. Juli 2006 der Booz Allen Hamilton GmbH Zollhof 8 40221 Düsseldorf werden auf Seite 61 die 8 Rechenzentren (RZ), die für die telematische Infrastruktur benötigt werden, detailliert beschrieben:

1. zwei RZ für die Arztpraxen (inkl. psychologischer Psychotherapeuten)

2. zwei RZ für die Zahnarztpraxen

3. zwei RZ für die Apotheken

4. ein RZ für alle Krankenhäuser

5. ein RZ von der gematik bereitgestelltes Sektornetz, über das die sonstigen Leistungserbringer (z.B. Heil- und Hilfsmittelerbringer, Logopäden, Podologen) an die TI angebunden werden

Mit den ca. 8 Rechenzentren entsteht eine Infrastruktur, die in der Lage ist die dezentralen Datenspeicher der Leistungserbringer, in Form von Verweisen (Links) auf die eigentlichen Dokumente und Informationen, in einer einheitlichen Form zu vernetzen und auszutauschen.

Die Leistungserbringer, auch Primärsysteme genannt, sind alle Teilnehmer des Systems, wie z.B. Ärzte, Apotheker, Krankenhäuser und auch Krankenkassen.

In der Informationstechnologie ist dies eine Entwicklung die schon seit langem eingesetzt hat um Unternehmen und ihre Dokumente und Daten international zu vernetzen. Sie arbeiten in München an einem PC und Ihre Daten liegen in London und den USA und sie sehen dies in Ihrem Datei-Explorer, als wenn Sie lokal auf der Festplatte abgespeichert sind.

Die von Ihnen genannte -sichere Kommunikationsinfrastruktur- ist eine illusionäre Werbebotschaft, angesichts einer Vielzahl an Faktoren und angesichts der eingesetzten erweiterbaren Auszeichnungssprache XML und der Metadatenstrukturen direkt auf der eGK der derzeitigen Funktionalität und in der telematischen Infrastruktur.


Begriffserklärung:


Was sind Metadaten?
[  Metadaten oder Metainformationen sind Daten, die Informationen über Merkmale anderer Daten enthalten, aber nicht diese Daten selbst.
Bei den durch Metadaten beschriebenen Daten handelt es sich oft um größere Datensammlungen wie Dokumente, Bücher, Datenbanken oder Dateien. So werden auch Angaben von Eigenschaften eines einzelnen Objektes (beispielsweise Personennamen) als dessen Metadaten bezeichnet.
/
Metadaten werden oft dazu eingesetzt, um Informationsressourcen zu beschreiben und dadurch besser auffindbar zu machen und Beziehungen zwischen den Materialien herzustellen. Dies setzt in der Regel erst eine Erschließung mit einem gewissen Standardisierungsgrad (zum Beispiel durch Bibliothekarische Regelwerke) voraus.
http://de.wikipedia.org/wiki/Metadaten ]

Weitere Merkmale von Metadaten:

·Metadaten und XML bilden ein universales Austauschfomat
·Wissen und Informationen werden für die maschinelle Verarbeitung optimiert
·Die Verknüpfung verschiedener Daten und Inhalte wird ausgebaut
·Daten aus informationellen Quellsystemen können effektiver in Software zur Datenanalyse integriert werden

 

 Neue Positionen für den Widerstand gegen die elektronische Gesundheitskarte (eGK) und telematische Infrastruktur (TI) auf Basis technischer Analysen und neuerer Meldungen zur eGK/TI

2002063

Gesamtarchitektur EGK und TI: Telematische Infrastruktur (TI-System), Komponenten und Rechenzentren

Rolf D. Lenkewitz

Impressum

Inhalte sind lizensiert unter Creative Commons
news2

Impressum

www.rdlenkewitz.eu