sicherlich: die Patientenakte in Patientenhand

sicherlich ist ein Forschungs- und Entwicklungsprojekt für eine medizinische Akte, die der Patient selbst hält. Die Dokumente liegen verschlüsselt auf dem eigenen Gerät. Wer einen Teil der Akte braucht (eine Praxis, eine Krankenkasse, der nächste Arzt), erhält ihn in einem eigenen Umschlag, für einen Zeitraum, den der Patient festlegt und beenden kann.

→ siehe auch: Blockchain Approach to Medical Data Ownership, das erste Konzept

Ausgangslage

Medizinische Unterlagen entstehen an vielen Orten: in Praxen, Kliniken, Laboren, bei Krankenkassen. Jede Stelle führt ihre eigene Kopie. Der Patient hat ein Recht auf Einsicht und auf Abschriften, hält die Akte aber nicht.

In Deutschland setzen drei Vorschriften den Rahmen. § 630f BGB macht den Behandelnden zum Verwahrer der Patientenakte und verpflichtet ihn, sie zehn Jahre nach Abschluss der Behandlung aufzubewahren. § 630g BGB gibt dem Patienten das Recht, die Akte einzusehen und Abschriften zu erhalten. Artikel 17 Absatz 3 Buchstabe b DSGVO setzt das Recht auf Löschung aus, wo eine gesetzliche Aufbewahrungspflicht gilt. Sorgfältige Schlüsselverwaltung auf Seiten des Patienten ändert daher nichts daran, wer die Akte hält.

Ansatz

Das Projekt arbeitet vom Gerät des Patienten nach außen.

• Tresor. Ein lokaler, verschlüsselter Speicher: mit Argon2id abgeleitete Schlüssel, Datensätze mit AES-256-GCM verschlüsselt in einer SQLite-Datei.
• Aufnahme (PhotoFlow). Scans durchlaufen lokale OCR und einen deterministischen Klassifikator; ein Modell extrahiert die Felder. Der Patient bestätigt jedes Dokument, bevor es abgelegt wird. Ein optionaler externer Extraktionsdienst ist eine bewusste Grenze: Ist er eingeschaltet, verlässt das Seitenbild das Gerät.
• Austausch. Jeder Empfänger erhält einen eigenen Umschlag. Vermittler transportieren nur Chiffretext; das Relay löscht ihn nach einer festgelegten Frist und lässt sich selbst betreiben. Ein Verzeichnis auf dem Gerät des Patienten hält fest, wer was sehen darf und bis wann.
• Rechte. Briefvorlagen für Auskunft, Löschung und Datenübertragbarkeit (Artikel 15, 17 und 20 DSGVO).

Versicherer nennen einen Leistungsfall, der ohne menschliches Zutun vom Eingang bis zur Auszahlung läuft, Dunkelverarbeitung. PhotoFlow setzt dieselbe Automatisierung auf Seiten des Patienten ein und endet in einem Bestätigungsschritt: Ohne Zustimmung des Patienten wird nichts abgelegt.

Umschlagverschlüsselung ist ein etabliertes Verfahren. Die offenen Fragen der Austauschebene sind rechtlicher Natur.

Grenzen des Widerrufs

Eine Freigabe lässt sich beenden: Es wird kein neuer Schlüssel ausgegeben und die verschlüsselte Kopie wird zurückgezogen. Das macht nicht rückgängig, dass ein Empfänger eine Seite bereits gelesen hat. Diese Grenze ist technisch. Die zweite Grenze ist rechtlich: Eine Praxis muss ihre Akte zehn Jahre aufbewahren, der Widerruf des Patienten erreicht sie also nicht.

Gestaltungsannahme

Das Projekt nimmt eine andere Zuordnung an: Der Patient hält die Akte, und die Praxis arbeitet auf einer Kopie, die der Patient freigibt, solange die Behandlung sie erfordert. Die Aufbewahrungsfrist bleibt bei zehn Jahren, weil sie Patienten schützt: Eine Akte, die unbemerkt gekürzt werden kann, kann keinen Behandlungsfehler belegen. Was sich ändert, ist der Anknüpfungspunkt der Pflicht: vom Aktenschrank der Praxis zu der Akte, die der Patient hält.

Eine vom Patienten gehaltene Akte muss die Grenzen des § 630g BGB abbilden können; danach darf der Behandelnde die Einsicht aus erheblichen therapeutischen Gründen oder wegen erheblicher Rechte Dritter verweigern.

Es gibt zwei Wege: eine Gesetzesänderung oder einen funktionierenden Mechanismus, der die Rechtsfrage zu einer Frage über etwas Bestehendes macht. Das Projekt geht den zweiten Weg, mit Rechtsberatung, bevor Daten einer echten Praxis beteiligt sind. Die rechtlichen Punkte oben sind Arbeitshypothesen; sie zu prüfen ist Teil des Projekts.

Der gläserne Patient

„Gläserner Patient“ wird meist als Warnung davor gelesen, Daten zu teilen. Das Projekt liest es anders: Durchsichtigkeit entsteht dadurch, wer die Daten hält und wer entscheidet, wohin sie gehen, nicht durch das Teilen selbst. Zu Transparenzforderungen und der Unterstellung von Verbergen dahinter siehe Beim Wort genommen.

Arbeitspakete

1. PhotoFlow und Tresor ohne manuelle Übergabe verbinden.
2. Austausch zwischen zwei Geräten derselben Person, bei dem weder Dritte noch eine Rechtsfrage beteiligt sind.
3. Freigabeverzeichnis mit Widerruf: was „widerrufen“ bedeutet, wenn die verschlüsselte Kopie schon zugestellt ist.
4. Rechtsprüfung durch eine Datenschutzanwältin oder einen Datenschutzanwalt; wer einen Umschlag senden und empfangen darf; ein Pilot mit einer Praxis.
5. Versicherung: Gesetzliche Beiträge richten sich nach dem Einkommen, private Prämien nach dem Risiko. Welche Teile einer vom Patienten gehaltenen Akte ein Versicherer in beiden Modellen sehen darf, ist ungeklärt.