Datenverarbeitung

Identitätsdaten in Melderportal, Vertrauensbereich und Vertrauensstelle der Krebsregister

Bei manueller Eingabe einer Meldung im Melderportal sind für die Meldenden alle Identitätsdaten solange sichtbar, bis die Meldung an das Krebsregister übermittelt wird. Sobald Meldende eine Meldung übermittelt haben, sind im Melderportal nur noch die von der oder dem Meldenden vergebene interne Patientenidentifikationsnummer, der Geburtsmonat und das Geburtsjahr, die Postleitzahl und der Wohnort sowie jeweils die letzten drei Ziffern der Krankenkassennummer und der Versichertennummer als Identitätsdaten für die Meldenden sichtbar. Die Inhalte der Meldungen können von den Melderinnen und Meldern auch nach Übermittlung an das Krebsregister jederzeit bearbeitet und dann erneut übermittelt werden.

Werden Meldungen per Schnittstelle übermittelt, bekommen die Melderinnen und Melder die Meldungen im Melderportal in der Tumorhistorie angezeigt, sobald die Meldungen abschließend im Krebsregister bearbeitet wurden. Auch hier wird statt der Identitätsdaten die von der oder dem Meldenden vergebene interne Patientenidentifikationsnummer, der Geburtsmonat und das Geburtsjahr, die Postleitzahl und der Wohnort sowie jeweils die letzten drei Ziffern der Krankenkassennummer und der Versichertennummer angezeigt. Die medizinischen Daten der einzelnen Meldungen können bei Übermittlung per oBDS-Schnittstelle nicht im Melderportal, sondern nur im primären Dokumentationssystem der Melderin oder des Melders bearbeitet werden.

Nach Prüfung werden die Identitätsdaten in dem Vertrauensbereich des KKN und der Vertrauensstelle des EKN durch Pseudonymisierung (» Abschnitt Pseudonymisierung der Meldungen) und Chiffratbildung (» Abschnitt Datenverarbeitung#Bildung von Chiffraten) verschlüsselt.

Pseudonymisierung der Meldungen (Bildung von Kontrollnummern)

Im Vertrauensbereich des KKN und in der Vertrauensstelle des EKN werden die personenidentifizierenden Daten aller Gemeldeten mit einem komplexen Verfahren verschlüsselt und damit pseudonymisiert. Dafür werden aus den personenidentifizierenden Daten Kontrollnummern gebildet, die nicht wieder entschlüsselt werden können und somit eine persönliche Identifizierung nicht mehr zulassen (Einwegverschlüsselung). Sie ermöglichen es jedoch, verschiedene Meldungen zu einer Person zu erkennen und zusammenzuführen. Diese einwegverschlüsselten Kontrollnummern ersetzen im Krebsregister die persönlichen Identitätsdaten als Pseudonym.

Im KKN müssen diese pseudonymisierten Daten spätestens zwei Wochen nach Eingang an den Registerbereich weitergeleitet werden. Im EKN werden diese Daten von der Vertrauensstelle an die Registerstelle zur weiteren Bearbeitung, dauerhaften Speicherung und Auswertung weitergegeben.

Bildung von Chiffraten

Zusätzlich werden aus den Identitätsdaten mit Hilfe eines geheimen Schlüssels so genannte Chiffrate gebildet und im Vertrauensbereich des KKN und in der Registerstelle des EKN gespeichert.

Im KKN ist eine Entschlüsselung der Chiffrate zur Ermittlung der betroffenen Person nur zulässig bei:

• einem Abgleich einer Meldung in der Datenannahmestelle mit den im Register bereits gespeicherten Erkrankungsfällen mit dem Ziel der sicheren Zuordnung der Meldung zu einer betroffenen Person,

• der Auskunftserteilung an eine betroffene Person, zur Aktualisierung oder Korrektur der Identitätsdaten, zur Abrechnung sowie zur Weiterleitung von Forschungsanfragen nach Genehmigung durch das Fachministerium,

• einem Widerspruch durch eine betroffene Person; dabei darf die Entschlüsselung im KKN nur noch zur sicheren Zuordnung der Meldungen zu einer betroffenen Person, zur Auskunftserteilung, zur Korrektur der Identitätsdaten und zur Abrechnung mit den Krankenkassen erfolgen.

Im EKN können zu wichtigen, auf andere Weise nicht durchführbaren und im öffentlichen Interesse stehenden Vorhaben Identitätsdaten wieder lesbar gemacht werden.

Eine Entschlüsselung der Chiffrate zur Ermittlung der betroffenen Person mit Zustimmung des Fachministeriums (§ 11 Abs. 2 GEKN) ist nur zulässig bei:

• einem nachträglich eingelegten Widerspruch, um vor Löschung des Chiffrats zu prüfen, ob die Zuordnung des Widerspruchs zu einer oder einem Betroffenen korrekt ist (§ 7 Abs. 5 Satz 3 GEKN),

• einem durch das Fachministerium genehmigten Vorhaben (§ 11 Abs. 2 Satz 4 GEKN),

• der Ermittlung möglicher Mehrfachmeldungen im Rahmen des Datenabgleichs mit anderen Landeskrebsregistern (§ 11 Abs. 6 Satz 1 Nr. 1 GEKN),

• der Erteilung einer Auskunft über die gespeicherten Daten (§ 12 Abs. 2 Satz 3 GEKN).

Im EKN werden nach Widerspruch keine Chiffrate mehr gebildet und bereits vorhandene Chiffrate zu diesen Betroffenen gelöscht (» Kapitel Recht auf Widerspruch). Nach Löschung des Chiffrats für eine betroffene Person aufgrund eines Widerspruchs können keine Auskünfte aus dem Krebsregister gemäß § 12 GEKN mehr erteilt werden, weil eine eindeutige Identifikation der oder des Betroffenen dann nicht mehr möglich ist.