CDO im Gesundheitswesen: Innovation und Schutz von Patientendaten in Einklang bringen

Gesundheitsdaten sind zugleich die wertvollsten und die am stärksten regulierten Daten der Welt.

Der NHS hält Daten von 55 Millionen Patienten über Jahrzehnte hinweg, ein Asset, für dessen Zugang Pharmaunternehmen, KI-Forscher und Tech-Konzerne Milliarden zahlen würden. Die Herausforderung für den CDO im Gesundheitswesen: Wie realisieren Sie diesen Wert, ohne das Patientenvertrauen zu verraten, das die Daten überhaupt erst wertvoll macht?

Das regulatorische Umfeld

Gesundheitsdaten unterliegen dem strengsten Datenschutzregime aller Branchen:

HIPAA (USA): Der Health Insurance Portability and Accountability Act verpflichtet betroffene Einrichtungen (Leistungserbringer, Versicherungen), Protected Health Information (PHI) zu schützen. Die Bußgelder sind nach Verschuldensgrad gestaffelt und werden jährlich an die Inflation angepasst, auf der höchsten Stufe bis zu rund 2,1 Mio. $ pro Verstoßkategorie und Jahr, mit strafrechtlichen Konsequenzen bei vorsätzlicher Fahrlässigkeit.

DSGVODSGVOEU-Verordnung zur Erhebung, Speicherung und Nutzung personenbezogener Daten, mit Bußgeldern, die am weltweiten Umsatz bemessen werden.Vollständige Definition ansehen → Artikel 9 (EU): Gesundheitsdaten gelten als „besondere Kategorien personenbezogener Daten“ und erfordern eine ausdrückliche Einwilligung sowie zusätzliche Schutzmaßnahmen über die Standardanforderungen der DSGVO hinaus. Bußgelder bei Verstößen erreichen 4 % des weltweiten Jahresumsatzes.

NHS Data Security Standards (UK): Die Caldicott Principles legen fest, wie Patientendaten genutzt werden dürfen. Ein Caldicott Guardian, eine leitende Person, die für den Schutz von Patienteninformationen verantwortlich ist, ist in allen NHS-Organisationen vorgeschrieben.

Compliance ist nicht optional. Und im Gesundheitswesen gilt: Der CDO, der Datenprodukte ohne wasserdichte Compliance baut, zerstört den Ruf der Organisation schneller als jede Wettbewerbsbedrohung.

Real-World Data und Real-World Evidence

Real-World Data (RWD): Daten aus der klinischen Praxis statt aus kontrollierten Studien, elektronische Patientenakten, Medizingerätedaten, Abrechnungsdaten von Versicherungen, Patientenregister.

Real-World Evidence (RWE): Insights aus der Analyse von RWD.

Die Pharmaindustrie hat im vergangenen Jahrzehnt 1,4 Billionen $ in F&E investiert. Die Erfolgsquote von Wirkstoffen, die in klinische Studien eintreten: rund 12 %. Der Hauptgrund für das Scheitern: Sie wirken in kontrollierten Studien, aber nicht in realen Patientenpopulationen mit Komorbiditäten, Polypharmazie und Lebensstilfaktoren, die klinische Studien ausschließen.

RWD/RWE setzt genau hier an. Indem Pharmaunternehmen analysieren, wie Wirkstoffe in realen Populationen tatsächlich abschneiden, treffen sie bessere Entwicklungsentscheidungen. Die FDA akzeptiert RWE zunehmend in Zulassungsanträgen und schafft damit einen großen Markt für CDOs im Gesundheitswesen, die eine hochwertige RWD-Infrastruktur aufbauen können.

Die NHS-Datenstrategie: eine nationale Fallstudie

2021 veröffentlichte der NHS seine Data Strategy for Health and Social Care, einen Plan, NHS-Daten „sicher und effizient für diejenigen zugänglich zu machen, die sie benötigen“.

Kernbestandteile:

• Eine föderierte Datenplattform, die Daten der NHS Trusts und Integrated Care Boards verknüpft
• Ein Trusted Research Environment (TRE), das die Analyse von Patientendaten erlaubt, ohne dass die Daten die NHS-Infrastruktur verlassen
• Der NHS Data Access Request Service (DARS) als Zugangspunkt für genehmigte Datennutzung

Diese föderierte Plattform existiert inzwischen, und ihre Vergabe zeigt, wie umstritten diese Arbeit ist. Im November 2023 vergab NHS England den Auftrag für die Federated Data Platform an Palantir, ein Deal im Wert von rund 330 Mio. £ über sieben Jahre. Ärzteverbände, Datenschutzaktivisten und einige Patientenorganisationen protestierten lautstark und argumentierten, die Wahl des Anbieters und das Einwilligungsmodell drohten frühere Fehler zu wiederholen. Der technische Aufbau war der einfache Teil. Die öffentliche Debatte nicht.

Die Strategie ging ausdrücklich auf das öffentliche Vertrauen ein. Nach dem care.data-Debakel (ein Versuch von 2014, NHS-Daten zu teilen, der nach öffentlichem Widerstand eingestellt wurde) lernte der NHS, dass Datenaustausch ohne öffentliches Verständnis und Einwilligung politisch und ethisch nicht haltbar ist.

Die Lektion: Im Gesundheitswesen besteht die Aufgabe des CDO nicht nur in der technischen Infrastruktur. Es geht um die Governance-, Transparenz- und Vertrauensinfrastruktur, die Datenaustausch überhaupt erst akzeptabel macht.

Die Lektion DeepMind/Google Health

2015 gab der Royal Free NHS Trust die Krankenakten von 1,6 Millionen Patienten an DeepMind weiter, um ein Warnsystem für akutes Nierenversagen namens Streams zu entwickeln. Die Technologie funktionierte. Aber die Datenweitergabe erfolgte ohne angemessene Patienteneinwilligung und verstieß gegen die NHS-Datenschutzregeln. 2017 entschied das Information Commissioner's Office, dass der Trust gegen das Datenschutzrecht verstoßen hatte.

Für das öffentliche Vertrauen wurde es noch schlimmer. 2019 wurden die Gesundheitssparte von DeepMind und die Streams-App an Google übertragen, trotz früherer Zusicherungen, dass Patientendaten nicht an Google gehen würden. Google stellte die Streams-App 2021 ein. Das Muster bestätigte genau die Befürchtung, die Governance-Kritiker geäußert hatten.

Der technische Erfolg war für das Ergebnis irrelevant. Das Governance-Versagen war katastrophal und beschädigte über Jahre das öffentliche Vertrauen in Partnerschaften zwischen NHS und Tech-Unternehmen.

Das ist die entscheidende Herausforderung des CDO im Gesundheitswesen: Sie sind der Hüter des Vertrauens, das Ihre Daten überhaupt erst wertvoll macht. Bewegen Sie sich zu langsam, liefern Sie keine Innovation. Bewegen Sie sich zu schnell ohne saubere Einwilligung und Governance, zerstören Sie das Fundament, auf dem alles andere steht.

Key Takeaways

• Gesundheitsdaten unterliegen den strengsten Regeln aller Branchen: HIPAA in den USA (Höchststufe der jährlichen Bußgelder bei rund 2,1 Mio. $ pro Verstoßkategorie), DSGVO Artikel 9 mit besonderen Kategorien personenbezogener Daten in der EU sowie die Caldicott Principles plus Caldicott Guardian im NHS.
• RWD und RWE zeigen Pharmaunternehmen, wie Wirkstoffe außerhalb kontrollierter Studien abschneiden, und die FDA akzeptiert RWE zunehmend in Zulassungsanträgen.
• Die NHS Federated Data Platform ist inzwischen live, gebaut von Palantir im Rahmen eines 2023 vergebenen Vertrags über rund 330 Mio. £, und stieß wegen Einwilligung und Anbieterwahl auf massiven Widerspruch.
• care.data (2014) und der Fall Royal Free/DeepMind (Datenweitergabe 2015, ICO-Entscheidung 2017, Übertragung an Google 2019) zeigen, dass technischer Erfolg nichts bedeutet, wenn Einwilligung und Governance scheitern.
• Das eigentliche Produkt des CDO im Gesundheitswesen ist Vertrauen. Wer die Balance verfehlt, bekommt selten eine zweite Chance.