CIRS und die Anonymität, die man vorführen kann

Die Quartalsauswertung liegt auf dem Tisch: vier CIRS-Meldungen aus der eigenen Abteilung, bei rund 900 behandelten Fällen im Quartal. Die Chefärztin weiß nicht, wie sie die Zahl lesen soll. Vielleicht war es ein ruhiges Quartal. Vielleicht melden die Erfahrenen nicht mehr, weil auf ihre letzten Meldungen nichts folgte. Vielleicht melden die Jungen nicht, weil sie nicht sicher sind, wer die Meldung liest.

Die Forschung legt eine unbequeme Lesart nahe: Ein systematisches Review von 2023 verglich Meldesysteme mit systematischem Aktenscreening (Global Trigger Tool) und fand, dass Meldesysteme im Mittel 7,0 Prozent der so identifizierten unerwünschten Ereignisse erfassten — Spannweite 0 bis 37,4 Prozent, in zwölf von vierzehn Studien unter 10 Prozent [1]. Die Schlussfolgerung der Autoren: Melderaten taugen nicht als Maß für die Sicherheit eines Hauses. Eine niedrige Zahl kann ein sicheres Quartal bedeuten oder ein schweigendes — von außen ist das nicht zu unterscheiden.

Warum nicht gemeldet wird

An der Technik liegt es selten. Die Empfehlungen des Aktionsbündnisses Patientensicherheit zur Einführung von CIRS benennen die Bedingungen, unter denen Menschen melden: Freiwilligkeit, Sanktionsfreiheit, Anonymität beziehungsweise Vertraulichkeit — und die Meldebereitschaft sinkt, wo persönliche Nachteile erwartet werden [2]. Einen quantifizierten Zusammenhang zwischen wahrgenommener Anonymität und Melderate hat die Forschung bislang nicht geliefert; es gibt keine Studie mit belastbarer Effektgröße. Qualitativ zieht sich der Befund durch jede Empfehlung.

Dazu kommt eine ehrliche Einsicht aus der Praxis: Vollständige Anonymität ist oft gar nicht herstellbar. Wer den Vorfall kennt, erkennt die Abteilung, manchmal die Person — in einem Team von zwölf Leuten ist „anonym“ ein relativer Begriff. Die Stiftung Patientensicherheit Schweiz spricht deshalb zunehmend von Vertraulichkeit statt Anonymität und setzt teils auf freiwillige Identifikation mit geschütztem Umgang [3]. Für Deutschland heißt das: Wer Anonymität zusagt, sollte präzise sagen können, was genau zugesagt ist.

Was §135a SGB V schützt — genau gelesen

Auch die Rechtslage wird in Schulungen oft großzügiger dargestellt, als sie ist. §135a Abs. 3 Satz 1 SGB V bestimmt: Meldungen und Daten aus einrichtungsinternen und einrichtungsübergreifenden Risikomanagement- und Fehlermeldesystemen dürfen im Rechtsverkehr nicht zum Nachteil des Meldenden verwendet werden [4]. Die Ausnahme ist eng gefasst: Eine Verwendung ist nur zulässig, wenn sie der Verfolgung einer Straftat dient, die im Höchstmaß mit mehr als fünf Jahren Freiheitsstrafe bedroht ist, die im Einzelfall besonders schwer wiegt und deren Aufklärung sonst unmöglich oder wesentlich erschwert wäre.

Zwei Präzisierungen gehören in jede CIRS-Schulung. Erstens: Geschützt ist die meldende Person — die Norm ist ein Verwendungsverbot zu deren Nachteil. Zweitens: Ein allgemeiner Beschlagnahmeschutz für CIRS-Daten ist sie nicht. Ein ausdrückliches strafprozessuales Beschlagnahmeverbot für CIRS-Meldungen existiert nicht; Zugriffe der Ermittlungsbehörden sind grundsätzlich möglich und werden über den Verhältnismäßigkeitsgrundsatz begrenzt. Ein weitergehender Schutz wird in der Fachliteratur diskutiert und gefordert, ist aber geltendes Recht bislang nicht. Wer Mitarbeitenden „absolute Sicherheit“ verspricht, verspricht mehr, als das Gesetz hergibt — und genau solche Übertreibungen fallen der Meldekultur auf die Füße, wenn der erste Ernstfall sie widerlegt.

Anonymität als Architektur

Wenn weder das Versprechen noch das Gesetz allein trägt, bleibt die dritte Ebene: das System selbst. Der Unterschied ist einfach zu prüfen — eine Zusage steht in der Verfahrensanweisung, eine Architektur steht im Code und lässt sich vorführen. Technisch prüfbare Anonymität heißt:

• Es gibt nichts zu deanonymisieren: keine Personenkennung am Datensatz, keine gespeicherten IP-Adressen, vergröberte Zeitstempel. Was nie erhoben wurde, kann kein Auskunftsersuchen und kein Datenleck offenlegen.
• Mindestzellgrößen auf Abfrageebene: Auswertungen unterhalb einer Mindestzahl von Meldungen oder Antworten werden vom System blockiert — im Code, sodass auch Administrator:innen sie nicht umgehen können.
• Komplementäre Zellunterdrückung: Auch die Nachbarzellen werden unterdrückt, damit sich kleine Gruppen nicht per Differenzbildung rekonstruieren lassen — heute 31 Antworten, gestern 30, macht eine identifizierte Person.
• Abfragen unterhalb der Schwelle werden verweigert und protokolliert.
• Und all das ist demonstrierbar: Betriebsrat, Personalvertretung und Mitarbeitende können sich die Blockade am lebenden System zeigen lassen, mit echten Abfragen.

Wer so baut, muss weniger versprechen.

Bei aiomics gehört ein solches Fundament zur Befragungs-Suite, die im Pilotbetrieb an Rehakliniken läuft: Die Mindestzellgröße von zehn ist auf Query-Ebene im Code erzwungen — branchenüblich wäre fünf —, komplementäre Zellunterdrückung eingeschlossen; diese Konstruktionsentscheidungen gelten für den Pilotbetrieb wie für jeden geplanten Ausbau. Der CIRS-artige Ereignis-Eingang und das Mitarbeiterpaket samt Betriebsvereinbarungs-Template sind geplant und noch nicht ausgeliefert. Wie die Suite insgesamt gebaut ist, steht in PROMs und PREMs: die Befragungspflicht, die kaum ein Haus auswertet.

Fünf Fragen an jedes Meldesystem

1. Wo ist die Mindestzellgröße implementiert — in einer Richtlinie oder im Code? Und auf welcher Ebene: im fertigen Bericht oder an der Abfrage selbst?
2. Kann eine Administratorin die Schwelle umgehen? Falls ja, handelt es sich um eine Konvention mit Benutzeroberfläche.
3. Welche Metadaten speichert das System zu einer Meldung — IP-Adresse, Gerätekennung, exakte Uhrzeit, angemeldetes Konto?
4. Wie verhindert das System Differenzabfragen über die Zeit oder über Filterkombinationen?
5. Lässt sich all das dem Betriebsrat und den Mitarbeitenden am lebenden System vorführen?

Ein Meldesystem ist so gut wie das Vertrauen derer, die es füttern — und Vertrauen wächst dort, wo man nachsehen darf. Was eine Abteilung aus den gemeldeten und den ungemeldeten Ereignissen lernen kann, wenn die Akte mitspielt, behandeln wir in Die M&M-Konferenz und die Frage: Was wussten wir wann?. Wenn Sie über Fehlerkultur, Dokumentation und KI regelmäßig lesen möchten: Visite ist unser Brief dazu.

Quellen

1. Systematisches Review zum Erfassungsgrad von Incident-Reporting-Systemen im Vergleich zum Global Trigger Tool. International Journal for Quality in Health Care. 2023;35(3):mzad056. doi:10.1093/intqhc/mzad056
2. Aktionsbündnis Patientensicherheit e. V. Empfehlungen zur Einführung von Critical Incident Reporting Systemen (CIRS). https://www.aps-ev.de/
3. Stiftung Patientensicherheit Schweiz. CIRS-Management: häufige Fragen. https://patientensicherheit.ch/cirrnet/cirs-management/faq/
4. § 135a SGB V. https://www.gesetze-im-internet.de/sgb_5/__135a.html