Die MedTech-Branche muss aufpassen, dass sie nicht zum reinen Produktlieferanten ohne Datenhoheit wird

 

Pressemittteilung (Berlin / Düsseldorf) des BVMed zur "eCommerce-Konferenz von MedInform: "Valide Stammdaten sind das digitale Blut"

 

Daten sind der Treibstoff der digitalen Entwicklung auch in der Gesundheitswirtschaft. Dabei ist eine gute Qualität der Stammdaten eines Unternehmens die Voraussetzung für optimierte, automatisierte Geschäftsprozesse. Das verdeutlichten die Experten der 20. eCommerce-Konferenz von MedInform am 21. Februar 2018 in Düsseldorf. MedInform ist der Informations- und Seminarservice des BVMed. "Geschäftserfolge beruhen künftig auf sauber gepflegten Stammdaten", betonte der BVMed-Vorstandsvorsitzende Dr. Meinrad Lugan. Die MedTech-Unternehmen müssten dabei aus ihren Daten selbst digitale Geschäftsmodelle entwickeln.

 

Der Umsetzungsdruck für ein besseres Datenmanagement kommt dabei zunehmend auch durch Vorgaben des Gesetzgebers auf europäischer und nationaler Ebene. Beispiele sind die verbindliche Einführung elektronischer Rechnungen an öffentliche Auftraggeber oder die Pflicht zur standardisierten "UDI"-Kennzeichnung von Medizinprodukten nach der neuen EU-Medizinprodukte-Verordnung (MDR), auf die die Experten der Konferenz eingingen. Hinzu kommen neue Pflichten aus den Bereichen Datenschutz und Datensicherheit. BVMed-Geschäftsführer Joachim M. Schmitt warb für einen mutigeren Umgang mit dem Thema Digitalisierung. "Wir müssen Digitalisierung positiv begreifen und begleiten. Die Chancen durch diese neuen Wege sind enorm, die Risiken durchaus beherrschbar." 

 

Dr. Meinrad Lugan, Vorstandsmitglied bei B. Braun Melsungen und BVMed-Vorstandsvorsitzender, beleuchtete die dramatische Entwicklung der Digitalisierung, die in den letzten Jahren bereits unser gesamtes Leben verändert hat. Die digitalen Technologien sind "raumgreifend" geworden, sie werden "ambient". Dieser Entwicklung kann niemand entgehen. Das betrifft natürlich auch die Medizinprodukte-Branche. Geschäftserfolge beruhen künftig auf sauber gepflegten Stammdaten. Modernes Stammdaten-Management hat damit für die MedTech-Unternehmen eine enorme Bedeutung. Dienstleister wie Amazon können mit ihren Daten in eine individuelle Tiefe gehen, wie es die Unternehmen derzeit noch nicht können. Lugan: "Die MedTech-Branche muss aufpassen, dass sie nicht zum reinen Produktlieferanten ohne Datenhoheit wird." Die MedTech-Industrie und der wichtige Kunde Krankenhaus hinken technologisch Jahre hinter dem her, was möglich ist. Der digitale Gesundheitsmarkt wächst sehr viel stärker als der analoge Markt. Damit können digitale Dienstleistungen künftig wertvoller werden als die Produkte. Die Akzeptanz von Medical Apps steigt. Es gibt bereits 1,2 Millionen Health-Apps. "Wenn davon nur 500 Apps ein gutes Geschäftsmodell entwickeln, das zwischen den MedTech-Unternehmen und seinen Kunden steht, wird das schon dramatische Auswirkungen haben", so der BVMed-Vorstandsvorsitzende. Sein Fazit: "Wir müssen bei der Digitalisierung aus unserem Schneckentempo herauskommen, sonst machen die neuen Spieler mit ihren Daten die neuen Regeln der Patientenversorgung. Die Unternehmen müssen aus ihren Daten selbst digitale Geschäftsmodelle entwickeln."

 

Eine Vorreiterrolle bei der Digitalisierung spielt in Europa Estland. Einblicke in Estlands Weg in die digitale Wirtschaft gab Prof. Dr. Gunnar Prause, Professor für International Business an der Hochschule Wismar und der Universität Tallinn. eGovernment und eHealth seien in dem baltischen Staat Erfolgsmodelle. Haupttreiber der Entwicklung ist "e-Estonia", eine Interessengemeinschaft, die die digitale Gesellschaft vorantreibt. Jeder Este hat eine elektronische ID-Karte. Das Land ist flächendeckend mit Breitband versorgt. 99 Prozent der öffentlichen Dienste gibt es online. 99,8 Prozent der Banküberweisungen erfolgen online. 98 Prozent der Steuererklärungen erfolgen online. Bereits 30 Prozent der Wähler geben ihre Stimme online ab. Derzeit werden vollautomatische Auslieferungsroboter für Waren getestet. Das eHealth-System mit elektronischem Rezept wurde bereits 2008 eingeführt. 99 Prozent der Ärzte erstellen online Rezepte. Flächendeckend kommen PDF-Rechnungen zum Einsatz. Jede Institution in Estland kennt dabei nur die eigenen Daten. Bei Nutzung erfolgt die Datenzusammenführung über die eID-Karte und einen ID-Code. Wichtig: Alle Daten gehören den Betroffenen. Der Zugriff auf die eigenen Daten ist jederzeit möglich. Der Schutz der Daten wird durch verteilte Datenhaltung sichergestellt. Das estnische eHealth-System ermöglicht den Datenzugriff auf die eigene Krankenakte über ein Portal. Der "Telearzt" beinhaltet Fallzusammenfassungen, Überweisungen, Impfungen, zahnmedizinische Informationen oder medizinische Bilder. 95 Prozent der Gesundheitsdaten sind digitalisiert. Bereits 50 Prozent der medizinischen Überweisungen erfolgen digital. Was kann Deutschland von Estland lernen? Angebotsorientierung, One-Stop-Shop für die Bürger und der Multi-Channel-Ansatz garantieren ein durchgängiges eGovernment und eHealth-Konzept. Alle neuen Gesetze müssten diesen Ansatz stärken, so Prause. 

 

Die Umsetzung der eRechnungs-Richtlinie in Deutschland erläuterte Stefan Engel-Flechsig, Rechtsanwalt und Leiter des Forums elektronische Rechnung Deutschland (FeRD). Nach EU-Recht werden ab November 2018 der Empfang und die Verarbeitung elektronischer Rechnungen im Behördenverkehr auf Bundesebene verbindlich. Lieferanten müssen ab November 2020 elektronische Rechnungen an öffentliche Auftraggeber des Bundes schicken. Ausgenommen sind Rechnungsbeträge unter 1.000 Euro. Die eRechnung mit strukturierten Daten kommt dadurch "nach langem Anlauf in Wirtschaft und Verwaltung in Fahrt", so der Rechtsexperte. Die eRechnung ist ein Bestandteil der digitalen Transformation von fast allen Prozessen in der Wirtschaft und Verwaltung. Nach dem Gesetz ist eine Rechnung elektronisch, "wenn 1. sie in einem strukturierten elektronischen Format ausgestellt, übermittelt und empfangen wird und 2. das Format die automatische und elektronische Verarbeitung der Rechnung ermöglicht". Das reine PDF-Format erfüllt diese Voraussetzungen nicht. Ein hybrides Rechnungsformat findet dabei Anerkennung als Lösung für kleine und mittelständische Unternehmen sowie für die Verwaltung, soweit das hybride Rechnungsformat CEN-konform ist. Das von der Wirtschaft favorisierte hybride Format "ZUGFeRD" kann weiter genutzt werden, wird aber derzeit zu "ZUGFeRD 2.0" weiterentwickelt, um die EU-Vorgaben zu erfüllen. Das EU-Format wird von Deutschland und Frankreich mit dem auf ZUGFeRD basierenden hybriden "Factur-X"-Format bereits umgesetzt. 

 

Dr. Thomas Rothe, Projektleiter SAP am Universitätsklinikum Dresden, will den Unternehmen "die Angst vor dem Thema elektronische Rechnungen" nehmen. Die Umsetzung sei relativ einfach, beispielsweise im PDF/A-3 ZUGFeRD-Format, wie es im Uniklinikum verwendet wird. PDF wurde zwar ursprünglich im Jahr 1993 von Adobe beschrieben, "ist heute aber ein offener Standard, der durch internationale Normierungsgremien weiterentwickelt wird". Der technische XML-Teil einer PDF-ZUGFeRD-Rechnung kann dann in die entsprechenden Systeme integriert werden. Das "eInvoice"-Projekt des Uniklinikums Dresden begann im Jahr 2010 damit, alle Papierrechnungen einzuscannen und aus dem Bild in einem Validierungsschritt strukturierte Daten für die elektronischen Prozesse zu generieren. Zudem wurde ein Archivsystem mit unveränderlichen Dokumenten integriert. Weitere Projektschritte und Prozesserweiterungen wurden durch "eInvoice PDF" 2013 und "eInvoice ZUGFeRD" 2015 realisiert. "Wir haben mit dieser Technik sehr gute Erfahrungen gemacht und konnten die Prozesse im Unternehmen deutlich optimieren", so Rothe. Lieferanten, die Rechnungen im PDF/A-3 ZUGFeRD-Format senden können, erhalten bei Ausschreibungen einen Bonus. Sein Fazit: "Die elektronische Rechnung ist für alle ein Gewinn."

 

Michael Dobrindt von Data Interchange stellte das PEPPOL-Projekt ("Pan-European Public Procurement Online") im Gesundheitssektor vor. Ziel von PEPPOL ist die Standardisierung grenzüberschreitender elektronisch unterstützter öffentlicher Vergabeverfahren innerhalb der Europäischen Union. PEPPOL hat dafür eine Kommunikationsinfrastruktur entwickelt, über die Unternehmen und Institutionen Nachrichten direkt und sicher austauschen können, die beim Kauf von Waren oder Dienstleistungen notwendig sind, also Bestellungen, Lieferscheine oder Rechnungen. Unternehmen und Institutionen, die PEPPOL-Nachrichten austauschen möchten, müssen sich über einen Access Point Provider verbinden. Für eine Beteiligung an PEPPOL muss das interne ERP-System entsprechend an das XML-Format angepasst werden. "Versorger und Verwaltungsbehörden müssen ihre internen Managementsysteme vorbereiten, um fähig zu sein, Informationen aus den PEPPOL-Nachrichten zu extrahieren, die für den Austausch der Transaktionen notwendig sind", so Dobrindt. Der Druck im Markt wurde dadurch erhöht, dass die britische NHS 2017 PEPPOL verbindlich eingeführt hat. Neben Großbritannien wird PEPPOL auch in Dänemark oder Norwegen genutzt. 

 

Die Bedeutung eines guten Stammdatenmanagements betonte der IT-Experte Dr. Hans-Werner Velten. Eine gute Stammdatenqualität ist die Voraussetzung für optimierte, automatisierte Geschäftsprozesse. Zu den Stammdaten eines Medizinproduktes gehören technische Daten und Spezifikationen, klinische Daten und Leistungsdaten, Produktionsvorgaben, Herstellungsdaten, Anwendungsvorgaben, UDI- und Labeling-Vorgaben, aber auch Katalogdaten und Vermarktungsdaten. Stammdaten werden dabei immer in unterschiedlichen Systemen und Datenbanken vorgehalten, beispielsweise im ERP-System oder in QM-Datenbanken. Eine gute Stammdatenqualität kann durch dokumentierte und geschulte Anlage-, Änderungs- und Deaktivierungsprozesse erreicht werden. "Stammdatenmanagement ist eine Organisations- bzw. Prozessaufgabe, damit die Qualität nachhaltig ist, keine rein technische Aufgabe", so Velten. Ein Datenqualitätsmanagement braucht eine klare Festlegung von Rollen, Verantwortlichkeiten und Berechtigungen. Ein Lösungsansatz kann ein zentrales System sein, in dem Stammdaten angelegt, geändert und ausgelesen werden können. 

 

Das UDI-Datenmanagement beleuchtete Michael Ankele, Bereichsleiter Materialwirtschaft, Einkauf und Logistik bei Erbe Elektromedizin, aus der Sicht eines weltweit agierenden mittelständischen Medizinprodukte-Herstellers. Mit der EU-Medizinprodukte-Verordnung (MDR) wird die Kennzeichnung jedes Medizinprodukts mit einer eindeutigen Produktidentifikation, englisch "Unique Device Identification" (UDI), zur Pflicht. Die Unterschiede der MDR-Vorgaben zu den US-amerikanischen Regelungen zu UDI sind dabei "überschaubar". Der Code ermöglicht eine durchgängige Rückverfolgbarkeit bei Medizinprodukten und bietet den Unternehmen die Chance, die Digitalisierung von Prozessen in der Logistik und der Bestellungsabwicklung zu unterstützen. Ankele: "UDI ist eine große Chance für alle Beteiligten in der Supply Chain durch die Verwendung eines einheitlichen Schlüssels". Die einheitliche Produktkennzeichnung kann als Schlüssel für den standardisierten Informationsaustausch dienen. Ein nächster Schritt könnten RFID-Technologien sein, die ein größeres Datenvolumen und variable Schreib- und Leseprozesse bieten. 

 

Michael Döhler von IntelliShop stellte eine eCommerce-Softwarelösung für die Medizintechnik vor. Ziel ist es, mit einer eCommerce-Plattform Verkaufsprozesse zu optimieren. So kann die Plattform alle Systeme integrieren. Ein Tablet für die Außendienstmitarbeiter kann dabei als "Fernbedienung" für die verschiedenen Prozesse von der Terminfindung bis zum Verkauf dienen. Für den Hersteller Eppendorf hat IntelliShop beispielsweise eine zentrale eCommerce-Lösung für den Verkauf von Medizinprodukten gebaut, die eine branchenspezifische Abbildung von Account-Strukturen für Labore, Universitäten und Kliniken bietet. Außerdem können marktindividuelle Preise, Angebotsprozesse und Marketing-Werkzeuge abgebildet werden. Auch die Anbindung von Beschaffungssystemen und Marktplätzen wie SciQuest oder LabCloud ist möglich. Künftig wird der Aufbau digitaler Services neue Geschäftsmodelle und Prozessoptimierungen ermöglichen. 

 

Prof. Dr. Sebastian Schinzel von der Fachhochschule Münster beleuchtete das Thema Cybersicherheit und Medizintechnik. Die jüngsten Angriffe auf große Portale wie Amazon oder Netflix kamen dabei über Web-Kameras mit eigener IP und Standard-Passwörtern, die meist nicht geändert werden und damit leicht nutzbar sind. Die Wege, wie Computer oder Geräte kompromittiert werden, haben sich dabei in den letzten Jahren kaum geändert. Neu sind Geschäftsmodelle der Kriminellen wie der Verschlüsselungs-Trojaner WannaCry, mit dem Geld erpresst werden soll. Von solchen Angriffen ist die medizinische IT, die oft auf Windows-Rechnern läuft, ebenfalls verstärkt betroffen. So gibt es seit diesem Jahr Malware, die gezielt Krankenhäuser angreift – mit einem Fokus auf bildgebende Systeme. In den USA kam es dadurch schon zu einer Lösegeldzahlung in Höhe von 60.000 Dollar, damit die Klinik wieder auf ihre Daten und Systeme zugreifen konnte. Neue Anwendungen der "Smart Medicine" sind dabei genauso gefährdet. Die Unternehmen müssen daher mehr in den Schutz der Systeme und der Patientendaten investieren. "Cybersicherheit muss jetzt auch in den Krankenhäusern und der Medizintechnik ein wichtigeres Thema werden", so Schinzel. Das Projekt "MediSec" der Fachhochschule will dabei helfen, IT-Systeme der Krankenhäuser und Medizintechnik-Hersteller sicherer zu machen. 

 

Was kommt auf die MedTech-Unternehmen durch die neue EU-Datenschutzgrundverordnung und durch das IT-Sicherheitsgesetz zu? Diese Frage beantwortete Maria Heil von NOVACOS Rechtsanwälte. Das IT-Sicherheitsgesetz vom Juli 2015 hat zum Ziel, für die Bevölkerung relevante IT-Systeme besser zu schützen. Das Gesetz ist vor allem für Unternehmen relevant, die kritische Infrastrukturen betreiben. Dazu gehört seit Juni 2017 auch der Gesundheitssektor, vor allem Krankenhäuser mit mehr als 30.000 Fällen. Medizinische Apparate wie CT-, MRT-, und Röntgenapparate sind als Gebrauchsgeräte auch dem Bereich der stationären medizinischen Versorgung zuzuordnen. Dann gelten bestimmte Anforderungen an die IT-Sicherheit, die beachtet werden müssen.

 

Beim Thema neues Datenschutzrecht läuft der Countdown: Am 25. Mai 2018 ersetzt die neue EU-Datenschutz-Grundverordnung (EU-DSGVO) das bislang geltende Bundesdatenschutzgesetz (BDSG) als unmittelbar geltendes Recht. Parallel dazu gilt ab dem 25. Mai 2018 eine neue Fassung des BDSG. Das neue Datenschutzrecht bringt für die Medizinprodukte-Unternehmen eine Vielzahl neuer Regelungen und Anforderungen mit sich. Dazu gehören geeignete technische und organisatorische Maßnahmen gegen Cyber-Angriffe, das Führen eines Verzeichnisses aller technischen und organisatorischen Daten-Verarbeitungstätigkeiten, Datenschutz-Folgenabschätzungen und dokumentierte Nachweise, wie die Datenschutzregelungen eingehalten werden sollen. Die gesetzlichen Vorgaben müssen dabei zeitnah umgesetzt werden, um drastisch erhöhte Bußgelder zu vermeiden. Denn bei Verstoß drohen dem Unternehmen Sanktionen von bis zu 4 Prozent des weltweiten Jahresumsatzes oder bis zu 20 Millionen Euro. Die Prinzipien der Datenverarbeitung wie Zweckbindung und Datensparsamkeit haben sich dabei gegenüber dem alten Recht nicht verändert, so Heil. Für die Verarbeitung von personenbezogenen Daten muss jedoch eine Einwilligung des Betroffenen vorliegen. Die Rechtsexpertin empfahl den Unternehmen, zunächst eine Bestandsaufnahme der vorhandenen Daten, insbesondere von personenbezogenen Daten, vorzunehmen. Dazu gehören klinische Studiendaten, aber auch CRM-Systeme, die beispielsweise Kunden auf Ärzteseite erfassen. Ein Zugriff auf das CRM-System ist bereits eine "Datenverarbeitung". Wichtig sei der Aufbau von Compliance-Strukturen im IT- und Datenschutzbereich. Dazu gehören eine interne Strategie sowie geeignete technische und organisatorische Maßnahmen. Die Unternehmen seien zum Aufbau von präventiven Prozess- und Systemstrukturen verpflichtet, so Heil.