Krankheitsdaten sind außerordentlich wertvoll. Allein mit Patientendaten würden jährlich in Deutschland bis zu 30 Millionen Euro Umsatz gemacht, schätzen Branchenexperten. Pharmakonzerne geben bis zu ein Drittel ihres Umsatzes für Marketing und Vertrieb aus – weitaus mehr, als es in der Automobil- oder Lebensmittelindustrie üblich ist. Je mehr die Unternehmen über die Patienten wissen, desto leichter lassen sich Wettbewerber vom Markt drängen. Die Daten verraten, wann und wo Leute über Sodbrennen, Haarausfall oder Magenkrämpfe klagen – und welche Gegenmittel man unters Volk bringen könnte. Die Informationen über Patientin Nummer 36288244, weitere Unterlagen sowie Gespräche mit ehemaligen und noch aktiven Mitarbeitern betroffener Unternehmen machen klar, wie das Geschäft läuft und wer davon profitiert.

Die Frau, die sich hinter Nummer 36288244 verbirgt, ist erst 19 Jahre alt. Ihr Einverständnis zur Weitergabe ihrer Daten hat sie nie gegeben, und sie weiß auch nicht, dass jemand damit Schindluder treibt. Und doch kann man ihre Unterlagen kaufen. Name und Adresse tauchen in den der ZEIT vorliegenden Dokumenten zwar nicht auf. "Aber die Unternehmen könnten durchaus über Methoden verfügen, die Anonymisierung zu entschlüsseln und die Person zu identifizieren", sagt der Jurist Thomas Giesen vom Institut für Informationsordnung in Dresden. Er befasst sich seit Jahrzehnten mit Persönlichkeitsrechtsfragen in der Medizin. "Die Daten werden nicht anonymisiert, nur pseudonymisiert. Das ist nur auf den ersten Blick diskret, weil man in besonderen Konstellationen durchaus Rückschlüsse auf bestimmte Patienten ziehen kann, etwa bei der Kombination seltener Diagnosen und seltener Verordnungen." Giesen hält die Übermittlung solcher Patientendaten an die Industrie per Software für nicht erlaubt: "Pseudonyme Daten sind personenbeziehbar und unterstehen dadurch natürlich auch der ärztlichen Schweigepflicht." Die Bundesärztekammer wollte sich gegenüber der ZEIT zu diesem Thema nicht äußern.

Zum gläsernen Kranken wird man jedenfalls schneller als gedacht. Oft reicht schon die Adresse des Arztes. Wer dann noch ein halbwegs auffälliges Leiden hat oder auf dem Land wohnt, ist bei allem Datenschutz rasch aufgestöbert. Wie viele übergewichtige 19-jährige Frauen mit Akne und Zerrung an der Halswirbelsäule wird es wohl in einem 2.000-Seelen-Dorf geben? Um da den passenden Namen herauszufinden, braucht es keinen Computer.

Mit der Digitalisierung nahm das Übel seinen Anfang. Die Ärzte legten ihre Patienteninformationen nicht mehr in Papierakten ab, sondern speicherten sie in Computerdateien. So erinnert sich ein Spezialist, der selbst zahllose Modelle für die ökonomische Nutzbarmachung von Patientendaten entwickelt hat. Einmal gespeichert, erschienen die Daten den Marktforschern zum Greifen nah. Die nächste Idee war so simpel wie skandalös: Ärzte wurden gefragt, ob sie etwas dagegen hätten, den Marktforschungsunternehmen ihr Datenkonvolut teilweise zur Verfügung zu stellen. Natürlich bloß zu statistischen Zwecken. Und so läuft es größtenteils bis heute.

Frank Wartenberg, Chef der deutschen Niederlassung von IMS Health, betont, dass es immer wichtiger werde, Therapieverläufe im Gesundheitswesen zu beobachten. IMS Health ist das größte einer ganzen Reihe von Unternehmen, die sich darauf spezialisiert haben, Patientendaten bei Ärzten und Apotheken in Deutschland aufzuspüren. Der Sitz des Unternehmens ist im amerikanischen Connecticut, in der Frankfurter Filiale arbeiten mehr als 300 Leute. Zwischen IMS Health und den Ärzten steht noch die Firma Compugroup, ein führender Hersteller von Praxissoftware aus Koblenz mit rund 3.700 Angestellten. Diese Software übermittelt die Daten aus den Praxen an IMS Health.

Die Marktforschungsfirma selbst hat offiziell Verträge mit 2.500 Ärzten. Das ist zwar nur ein Bruchteil der insgesamt 130.000 niedergelassenen Mediziner in Deutschland. Da aber eine normale deutsche Arztpraxis durchschnittlich 1200 Patienten pro Jahr betreut, macht das rechnerisch drei Millionen Patientenbiografien.

Die Ärzte erstellen elektronische Karteikarten ihrer Patienten, in der sie Diagnose, Verschreibung und Behandlung vermerken. Daraus lässt sich erkennen, wie oft der Patient da war, welche Diagnose gestellt und welches Medikament verschrieben wurde. Diese Daten wandern zu IMS Health. Das Unternehmen betont, die Patientendaten würden jedoch noch in der Arztpraxis anonymisiert, sodass unmöglich zurückverfolgt werden könne, welcher Mensch sich hinter der Information verbirgt. Außerdem würden die einzeln vorliegenden Daten von IMS nur bündelweise weitergegeben. Für sein gesammeltes Datenpaket bekomme ein Arzt eine "übliche Aufwandsentschädigung", teilt IMS Health mit. Nach Informationen aus Branchenkreisen sind es wenige Hundert Euro im Jahr. "Es darf nicht sein, dass Ärzte für ein paar Hundert Euro ihr Berufsethos verkloppen", wundert sich Kritiker Giesen.

Ein anderes großes Marktforschungsunternehmen ist Medimed, die deutsche Tochtergesellschaft des französischen Unternehmens Cegedim. Medimed gibt zwar zu, Daten von einzelnen Ärzten zu bekommen. Wie viele es sind, wird nicht verraten. Kenner der Szene schätzen: mehrere Zehntausend. Die kooperierenden Ärzte bekommen von Medimed kein Honorar, sondern nur einzelne Statistiken. Franz-Xaver Thalmeir, General Manager bei der Konzernmutter Cegedim, erklärt das Verfahren in einer E-Mail so: "Über eine Software im Abrechnungssystem des Arztes werden dann nur bestimmte Fall-Daten übermittelt. Das System vergibt dabei nach einem nur dem Software-Haus bekannten Algorithmus eine Nummer pro Patient, die mit keiner anderen Versicherten- oder sonstigen Nummer korreliert. Damit wird ein nach den derzeitigen technischen Möglichkeiten nicht auf die echte Identität rückführbares Kennzeichen, ein sogenanntes faktisches Anonym, vergeben. Für die Medimed sind diese Daten nicht mehr personenbezogen." Und weiter heißt es: "Das Arztgeheimnis wird selbstverständlich respektiert. Rein fallbezogene Daten sind aber wichtig für die Produktentwicklung und -information der Pharmaunternehmen sowie für die immer bedeutendere Versorgungsforschung." Bedeutend sei aber, ob die Daten tatsächlich für die Versorgungsforschung – also zu wissenschaftlichen Zwecken – oder recht eigentlich für die Marktforschung – also zu Werbezwecken – aufbereitet würden, argumentiert Persönlichkeitsrechtler Giesen: "Die Wissenschaft ist oft ein Mäntelchen, das über die Marktforschung gelegt wird."