Datenschutz im Gesundheitswesen

Der Arbeitsalltag in einem Krankenhaus gestaltet sich in vielerlei Hinsicht stressig. Viele Patienten, ernsthafte Krankheiten und lange Schichten, da bleibt wenig Zeit, um sich Gedanken über den Datenschutz im Gesundheitswesen zu machen. Dabei stellt der Gesetzgeber jedoch gerade an den datenschutzkonformen Umgang mit sensiblen Daten hohe Anforderungen. Da diese auf vielfältige Weise in einem Krankenhaus anfallen, genutzt und weiterverarbeitet werden müssen, entstehen dementsprechend viele Problemfelder mit Blick auf die Einhaltung der datenschutzrechtlichen Aspekte. Und, das Thema Datenschutz im Gesundheitswesen rückt auch bei den Patienten und ihren Angehörigen durch die erhöhte mediale Aufmerksamkeit in den Mittelpunkt. Die ärztliche Schweigepflicht hingegen spielt im Datenschutz schon seit jeher eine große Rolle. Etwa bei der Frage, ob es zulässig ist, Informationen im Rahmen der Auskunfts- oder Akteneinsichtsrechte an Patienten oder Angehörige herauszugeben. Oder es kommt zu Problemen, wenn im Rahmen der ärztlichen Schweigepflicht Dienstleister eingeschaltet werden, die Zugriff auf Gesundheitsdaten haben.

Eine zentrale Rolle beim Datenschutz im Krankenhaus nimmt der organisatorische und technische Teil ein. Für häufige Schlagzeilen sorgte in der Vergangenheit der sorglos praktizierte Umgang mit Patientenakten (z. B. bei der Entsorgung dieser), der letztlich in einem Bußgeld der Datenschutzaufsichtsbehörde endete. So wurde in Portugal das erste größere DSGVO-Bußgeld in Höhe 400.000 € gegen ein Krankenhaus verhängt, weil dieses kein ausreichendes Berechtigungskonzept für Patientendaten implementiert hatte und somit doppelt so viele Personen wie berechtigte Mitarbeiter inklusive Nutzer mit dem Profil „Techniker“ Zugriff auf alle Patientendaten hatten.

Auch in einer Arztpraxis fallen im Geschäftsbetrieb eine Vielzahl sensibler personenbezogener Daten an. Dabei stellt sich für kleinere Arztpraxen häufig die Frage, ob für ihre Praxis die gesetzliche Pflicht zur Bestellung eines Datenschutzbeauftragten besteht. Die Datenschutz-Grundverordnung (DSGVO) verlangt für eine Bestellpflicht in Art. 37 Abs. 1 lit. c) eine umfangreiche Verarbeitung besonderer Kategorien von personenbezogenen Daten als Kerntätigkeit. Zwar werden in einer Arztpraxis eine Menge sensibler Daten verarbeitet, jedoch ist dieser Vorgang keinesfalls die Kerntätigkeit der Arztpraxis. In Deutschland muss nach dem BDSG aber ein Datenschutzbeauftragter für eine Arztpraxis bestellt werden, wenn zwanzig oder mehr Mitarbeiter (entgegen des Wortlauts inklusive des Inhabers der Arztpraxis) regelmäßig personenbezogene Daten verarbeiten. In der Regel ist ein Einzelarzt nicht gesetzlich verpflichtet, für seine Praxis einen Datenschutzbeauftragten zu bestellen.

Doch Vorsicht, wer der Bestellpflicht im Datenschutz nicht unterfällt, muss dennoch die Vorgaben der DSGVO umsetzen. Dafür ist dann der Inhaber der Arztpraxis persönlich verantwortlich. Ein Umstand, der rund um den Anwendbarkeitstermin der DSGVO für die eine oder andere kuriose Nachricht sorgte. Der Mythos, dass Patienten im Wartezimmer nur noch mit einer Nummer, nicht aber dem Namen ausgerufen werden dürfen, sorgte bei der einen oder anderen Datenschutzbehörde für Stirnrunzeln. Der Empfangsbereich in der Arztpraxis stellt zwar einen Schwerpunktbereich für den Datenschutz dar, da hier Unbefugte ohne die richtigen Vorkehrungen oftmals Zugriff auf sensible Daten wie z.B. Patientenakten oder andere Informationen erhalten können. Es sollte jedoch bei der Umsetzung darauf geachtet werden, dass diese praxisorientiert und nicht am Patienten vorbei erfolgt.

Der Datenschutz im Gesundheitswesen spielt auch bei Krankenkassen eine wichtige Rolle. Hier werden allerhand sensible Daten wie Einkommensnachweise, aber auch Sozialdaten (Bescheide zu Sozialleistungen der Versicherten) verarbeitet, die dem Sozialgeheimnis unterliegen. Darüber hinaus wird oft eine Vielzahl von Gesundheitsdaten im Rahmen einer Krankenhausbehandlung auf elektronischem Wege mit den Krankenhäusern ausgetauscht. Der Gesetzgeber hat in den Sozialgesetzbüchern abschließend geregelt, wann und zu welchem Zweck gesetzliche Krankenkassen Sozialdaten verarbeiten dürfen. Die Datenerhebungsbefugnisse der Krankenkassen unterliegen dem Erforderlichkeitsgrundsatz und müssen demzufolge also direkt für die Aufgabenerfüllung der Krankenkassen notwendig sein. Die erhobenen Sozialdaten sind zu löschen, sobald sie für diesen Zweck nicht mehr gebraucht werden.

Ein Drittel der Deutschen können sich laut einer Studie grundsätzlich vorstellen, gesundheits- und fitnessbezogene Daten mit ihrer Krankenkasse zu teilen, um Vorteile zu erhalten. Für Krankenkassen rückt damit zunehmend die Frage in den Fokus, ob und wie sie sich die durch Fitness‑Apps- oder Gadgets gesammelten Gesundheitsdaten ihrer Mitglieder für neue Dienstleistungen oder präventive Gesundheitsprogramme datenschutzkonform zunutze machen können.