Datenschutz und Pflege

Dem Datenschutz kommt auch in der Pflege eine große Bedeutung zu. 

Grundsätzlich unterliegen alle Personen, die im medizinischen Bereich arbeiten und mit Patientendaten umgehen, einer besonderen Verschwiegenheitspflicht. Diese jedoch ergibt sich nicht nur spezifisch aus den Bestimmungen zum Datenschutz in der Pflege, Krankenhäusern und Arztpraxen. 

Vielmehr unterliegt das gesamte Berufsfeld aufgrund des hippokratischen Eides einem besonderen Berufsgeheimnis, das sich nicht nur auf Ärzte beschränkt. 

Die Schweigepflicht ist mithin kein Standard wegen dem Datenschutz. In der Pflege und in anderen medizinischen Berufen ist diese ethische Grundregel schon wesentlich älter. Ein Zuwiderhandeln ist damit nicht allein als Datenschutzverstoß zu werten, sondern strafrechtlich relevant. 

Die unbefugte Preisgabe von dem Berufsgeheimnis unterliegenden Daten kann gemäß § 203 Strafgesetzbuch mit einer bis zu einjährigen Freiheitsstrafe oder einer Geldstrafe geahndet werden. 

In der DSGVO nehmen Gesundheitsdaten eine besondere Stellung ein. In der stationären Pflege und in Krankenhäusern muss zwischen Einrichtungen in kirchlicher Trägerschaft und denen in privater oder staatlicher unterschieden werden. Bei den kirchlichen Trägerschaften gilt die Anordnung über den Kirchlichen Datenschutz (KDO) und das Kirchengesetz über den Datenschutz der Evangelischen Kirche in Deutschland (DSG-EKD).

Bei staatlichen oder privaten Trägerschaften sollte insbesondere den Umgang mit Gesundheitsdaten, vor dem Hintergrund der DSGVO nochmals überprüft werden.

Datenschutz in der Praxis

Zwei sehr schöne Vergleiche, die Betreiber in ihren Schulungen und zur Einordung von Sachverhalten nutzen können, sind folgende: Personenbezogene Daten sind zu behandeln wie Gift und die DSGVO funktioniert ähnlich wie die Straßenverkehrsordnung. Zwar ist nicht jedes Gift sofort tödlich, aber es sollte sich auf den Umgang vorbereitet werden. Wer Gift verliert und es könnte jemand zu Schaden kommen, sollte den Verlust melden. Gift sollte immer vor unbefugten Zugriff gesichert sein. Für Daten gelten dieselben Regeln. 

Beispiele für Problemzonen in der Praxis

WhatsApp

Eines der größte Probleme stellt der beliebte Messenger dar, den vielen Verantwortliche und Mitarbeiter für die unkomplizierte Kommunikation nutzen. Dies gänzlich aus dem Alltag auszuschließen ist in der Praxis nicht möglich. Hier können Sie sich nur mit Unterweisungen, Vorschriften und Schulungen zur Pseudonymisierung sowie Anonymisierung helfen. 

Fotodokumentation

Weisen Sie ihre Mitarbeiter, vor allem Pflegehelfer, darauf hin, dass Mobiltelefone nicht einmal im Ausnahmefall für die Fotodokumentation genutzt werden sollten. Die Einwilligung der Betroffenen umfasst nicht die Weitergabe der Fotos in Clouddienste, wie sie auf fast allen Android- und Apple-Produkten standardmäßig eingesetzt werden.

Social Media

Viele Teams oder sogar ganze Einrichtungen nutzen Facebook oder den Facebook Messenger für die Kommunikation im Team. Laut EuGH-Urteil vom 05.06.2018, Az. C-210/16 haften die Betreiber von einzelnen Fanpages für die Datenverstöße von Facebook mit. Hier sollten Sie ihre Mitarbeiter anhalten, keine sensiblen Daten auszutauschen – weder Daten von sich selbst noch von anderen Personen. Den Einsatz von Messengern aus Social Media-Diensten wie Facebook gilt es betrieblich zu untersagen. 

Die gesundheitsbezogenen Daten der Pflegebedürftigen werden von der DSGVO als sogenannten „besonderen Kategorien personenbezogener Daten“ eingeordnet, denn sie stellen – beispielsweise neben den Daten über rassische und ethnische Herkunft – besonders sensible Daten dar. Diese Daten werden von der DSGVO besonders geschützt. Dieser Schutz manifestiert sich in erhöhten Anforderungen für den rechtmäßigen Umgang mit diesen Daten.

So werden etwa an die Einwilligung in die Verarbeitung gesundheitsbezogener Daten strengere Anforderungen gestellt, als im Fall der Einwilligung für „normale“ Daten. Insbesondere dürfen Gesundheitsdaten auch nicht allein auf Grundlage einer Interessenabwägung zwischen den berechtigten Interessen des Unternehmens und den schutzwürdigen Interessen und Grundrechten der Betroffenen verarbeitet werden.

Die Verarbeitung zwecks Gesundheitsvorsorge ist aber natürlich zulässig, auch ohne eine Einwilligung des Patienten. Auch zur Durchführung eines Behandlungsvertrages ist eine Verwendung von Gesundheitsdaten natürlich gestattet.

Zu beachten ist, dass der Gesetzgeber die Unternehmen daneben aber auch zu höheren technischen und organisatorischen Schutzmaßnahmen bei dem Umgang mit Gesundheitsdaten verpflichtet. Schlagworte sind hier: Verschlüsselung, Rechte- und Rollenkonzepte, Sensibilisierung der an Verarbeitungsvorgängen Beteiligten.

Auftragsdatenverarbeitung im Gesundheitsdienst

DSGVO im Gesundheitswesen (Ärzte, Apotheken, Pflegedienste)

Wer im Gesundheitswesen tätig ist, sei es als Arzt oder Zahnarzt, als Apotheker, als Heilpraktiker, Physiotherapeut oder im Pflegedienst etc. hatte schon bisher eine besondere Stellung und eine besonderen Verantwortung im Umgang mit den sensiblen Gesundheitsdaten der Patienten.

Dies folgt bereits aus der gesetzlichen Schweigepflicht und setzt sich mit der DSGVO im Gesundheitsbereich fort.

Grundsätzliches Verbot der Verarbeitung von Gesundheitsdaten in der DSGVO

Erklärtes Ziel der DSGVO (Artikel 9 Absatz 1) ist es, an die Verarbeitung besonderer Kategorien von personenbezogener Daten strenge Anforderungen zu stellen.

Die Gesundheitsdaten von natürlichen Personen gehören per definitionem zu dieser besonderen Kategorie.

Sie sind neben genetischen oder biometrischen Daten ebenso gesondert geschützt wie Daten zur Sexualität und anderen Daten aus denen die rassische und ethnische Herkunft, die politische Meinung, religiöse oder weltanschauliche Überzeugung sowie die Gewerkschaftszugehörigkeit eines Menschen hervorgehen.

Auch im Gesundheitswesen kommt der Digitalisierung eine immer größere Bedeutung zu. Ein grundsätzliches Verbot der Datenverarbeitung wirkt daher auf den ersten Blick praxisfern.

Moderne EDV-Systeme und der Datenaustausch zwischen Gesundheitsträgern, Ärzten, Krankenhäusern und Krankenkassen haben längst Einzug in den Arbeitsalltag gefunden. Patienten kommunizieren zunehmend elektronisch mit Ihren Ärzten. Termine können online vereinbart werden. Websites von Ärzten stellen Kontaktformulare bereit.

Ausnahmen für die Verarbeitung von Gesundheitsdaten

Deshalb enthält die DSGVO einen in Artikel 9 Absatz 2 festgelegten Katalog von Ausnahmen, unter denen die Verarbeitung von Gesundheitsdaten und den anderen in die besondere Kategorie eingeordneten personenbezogenen Daten zulässig bleibt.

So soll dem Schutz besonders sensibler Daten durch das grundsätzliche Verbot einerseits und durch festgelegte Ausnahmen andererseits Rechnung getragen werden.

Welche Auskunftsrechte haben eigentlich Angehörige von Pflegebedürftigen

Grundsätzlich stehen die Betroffenenrechte, wie das Recht auf Auskunft, nur der Person selbst zu. 

Es wird davon ausgegangen, dass diese Rechte auch nicht abtretbar sind. Jedoch kann der Betroffene, z.B. der Patient, einen Angehörigen mit der Ausübung seines Rechts bevollmächtigen. Dann müsste das Unternehmen die gesetzlich vorgesehenen Informationen an den Angehörigen erteilen, die sich aber inhaltlich natürlich nur auf den Patienten beziehen. 

Auch der Angehörige hat (als Betroffener) einen eigenen Auskunftsanspruch hinsichtlich Daten, die das Unternehmen über ihn selbst speichert. Er kann sich an das Unternehmen wenden und Auskunft verlangen. 

Einwilligung der Betroffenen

Das grundsätzliche Verbot zur Verarbeitung von Gesundheitsdaten gilt dann nicht wenn, der Betroffene ausdrücklich in die Verarbeitung eingewilligt hat.

Aus dem Regelungsgefüge von Verbot und Ausnahmevorbehalt ist erkennbar, dass im Gesundheitswesen an die Einwilligung des Patienten in die Verarbeitung seiner Gesundheitsdaten strenge Anforderungen zu stellen sind.

Somit bekommt auch die Aufklärung und die Information des Patienten durch den Arzt oder Gesundheitsträger über die zu erhebenden und gespeicherten Daten mit der DSGVO eine größere Bedeutung.

Datenerhebung nur für den erforderlichen Umfang

Achten Sie im Rahmen Ihrer Organisation darauf, dass der Behandlungsvertrag nicht alle Fälle umfasst und nur solche Daten an Dritte weitergegeben werden, bei denen der Patient zusätzlich zugestimmt hat, oder dies in einem Patientenvertrag / Pflegevertrag vereinbart ist.

Dies gilt insbesondere für Informationen an Angehörige oder für die Weitergabe von Daten an privat ärztliche Verrechnungsstellen oder die für Einholung von Bonitätsauskünften bei Privatpatienten und Selbstzahler.

Das ist bspw. der Fall bei gesetzlichen Meldepflichten für bestimmte ansteckende Erkrankungen oder bei vorrangigen öffentlichen Interessen im Rahmen der Gesundheitsvorsorge oder der Arbeitsmedizin.

Einwilligungserklärung bei Bestellungen von Medikamenten im Online-Shop erforderlich

Das Landgericht Dessau-Roßlau hat entschieden (Urt. 3 O 29/17 vom 28.03.2018), dass bei einer Bestellung von Medikamenten im Internet Gesundheitsdaten auch vom Betreiber Online-Shop verarbeitet werden und dass deshalb eine ausdrückliche Einwilligungserklärung des Betroffen in die Verarbeitung notwendig ist.

Dem Urteil lag der Fall zu Grunde, dass ein Apotheker seine Ware über Amazon verkauft hat. Bei der Bestellung eines Medikaments wurden die Bestelldaten des Kunden nicht nur von der Apotheke, sondern auch von Amazon als Online-Shop-Betreiber verarbeitet.

Bei Gesundheitsdaten handelt es sich um sensible personenbezogene Daten, deren Verarbeitung grundsätzlich untersagt ist. Die Verarbeitung der Daten durch den Apotheker ist ausnahmsweise nach § 28 Abs. 7 BDSG zulässig, da er einer Geheimhaltungspflicht unterliegt. Auch der Betreiber der Handelsplattform verarbeitet die Daten um die Bestellung abzuwickeln. Im Gegensatz dazu unterliegt der Online-Shop aber keiner Verschwiegenheitspflicht. Für diese Verarbeitung greift kein Ausnahmetatbestand des § 28 BDSG, sodass die Verarbeitung der Gesundheitsdaten des Bestellers rechtswidrig ist.

Dies hat zur Folge, dass der Online-Shop-Betreiber eine Einwilligungserklärung des Kunden vor der Verarbeitung der Bestellerdaten einholen muss.

Auch nach der DSGVO ändert sich die Rechtslage ab dem 25. Mai nicht. Art. 9 Abs. 2 DSGVO sieht ebenfalls keine Ausnahme für den Betreiber der Handelsplattform vor, sodass es einer ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. A DSGVO bedarf.

Medikamentenbestellung. Umsetzung in der Praxis

Wie stehen Apotheker, Ärzte, Labore und Pflegeeinrichtungen im Datenschutz zueinander. Sind Pflegedienste, Senioreneinrichtungen Auftraggeber und Apotheker, Ärzte usw. Auftragsverarbeiter?

Nein. Dies hat einen rechtlichen Hintergrund. Wenn es sich um ein Ärzte, Apotheken und Labore handelt, welche nach StGB 203 zur Geheimhaltung und zur Schweigepflicht schon von Berufswegen verpflichtet sind, ist wie bei der Datenübermittlung mit Grundlage §22 BDSG 1 b und Art 9 DSGVO h und 3 zurückzugreifen. Somit wäre ein Vertrag zur Auftragsdatenverarbeitung nicht notwendig.

Auszug DSGVO Art 9 Absatz 2h und Nr. 3

2h) die Verarbeitung ist für Zwecke der Gesundheitsvorsorge oder der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit des Beschäftigten, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich oder für die Verwaltung von Systemen und Diensten im Gesundheits- oder Sozialbereich auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats oder aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs und vorbehaltlich der in Absatz 3 genannten Bedingungen und Garantien erforderlich,

3) Die in Absatz 1 genannten personenbezogenen Daten dürfen zu den in Absatz 2 Buchstabe h genannten Zwecken verarbeitet werden, wenn diese Daten von Fachpersonal oder unter dessen Verantwortung verarbeitet werden und dieses Fachpersonal nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen dem Berufsgeheimnis unterliegt, oder wenn die Verarbeitung durch eine andere Person erfolgt, die ebenfalls nach dem Unionsrecht oder dem Recht eines Mitgliedstaats oder den Vorschriften nationaler zuständiger Stellen einer Geheimhaltungspflicht unterliegt.

IT-Systeme Gesundheitsdienste

Jedes Unternehmen im Gesundheitsdienst arbeitet mit einem IT-System. Administrationsarbeiten, Pflege- und Instandsetzungstätigkeiten in diesem Bereich bedeutet unter Umständen aber auch Zugriff auf besonders geschützte Daten durch Dritte. 

Dies ist nur Zulässig wenn entsprechende Vertragsgestaltung (Auftragsdatenverarbeitung) für die Wartung, Pflege und Instandsetzung gesichert werden.

IMS Services hat hierzu einen Mustervertrag in der Anlage beigefügt.

Datensicherheit beim Telefax-Dienst

Im Gegensatz zur Briefpost handelt es sich beim Telefax um eine Art offener Zustellung. Deshalb müssen bei einem Versand von personenbezogenen Daten per Fax Maßnahmen getroffen werden, die verhindern, dass bei der Übertragung diese Daten unbefugt gelesen, kopiert, verändert oder gelöscht werden können. So kommt es beispielsweise immer wieder zu Fehlübertragungen. Als häufigste Ursache dafür ist meist menschliches Versagen verantwortlich, etwa nicht erkannte Tippfehler bei der Eingabe der Zielnummer.

Vorsicht ist insbesondere überall dort geboten, wo ein Fax-Gerät mit einer eigenen Amtsnummer an einer Nebenstellenanlage hängt. Hier muss, um ins Netz zu gelangen, eine "0" vorgewählt werden. Wird das unterlassen, kommt es in manchen Fällen zu Fehlleitungen, nämlich dann, wenn die verkürzte Nummer einen Fax-Anschluss darstellt.

Mit der Zunahme der Telefax-Teilnehmer hat sich auch die Fluktuation erhöht. Das hat wiederum eine Zunahme der Irrläufer zur Folge. Wenn ein Fax-Teilnehmer, etwa wegen Umzugs, seinen Fax-Anschluss kündigt, vergibt die Telekom diese Fax-Nummer bereits wieder nach wenigen Wochen an einen anderen, neu hinzugekommenen Teilnehmer.

Um dem Risiko eines Fehlversands zu begegnen, sollte sich der Absender deshalb, dort wo Zweifel angebracht sind, vor dem Versand durch einen Anruf vergewissern, ob er mit der ihm bekannten Fax-Nummer auch den richtigen Adressaten erreicht.

Sicherheitsmaßnahmen erforderlich

Alle verantwortlichen Stellen sind aufgerufen, in ihrem unmittelbaren Bereich darauf hinzuwirken,

• dass vor Versand von      schutzwürdigen Daten mit dem Telefax-Dienst geprüft wird, ob diese      Versandart wirklich erforderlich und nicht eine andere Versandart      angemessener ist,
• dass ein Absender vor dem      Absenden eines Dokuments überprüft, ob das Dokument den Empfänger direkt      erreichen muss oder über Dritte, etwa eine zentrale Poststelle, zugestellt      werden kann und
  

• dass bei Benutzung eines      Telefax-Gerätes die den zu übertragenden Informationen angemessene      Sorgfalt bei der Eingabe der jeweiligen Zielnummer aufgebracht wird. Vor      dem Absenden eines Telefaxes hat der Absender zu prüfen, ob er die      richtige Zielnummer gewählt hat. Die Zielnummer erscheint vor dem Absenden      im Display des eigenen Gerätes.

Soweit technische Hilfsmittel dafür vorhanden sind, ist von ihnen Gebrauch zu machen. Dazu einige Beispiele:

• Um Fehler bei der      Zielnummerneingabe zu vermeiden, können die Zielnummern eingespeichert      werden.
• Ist der Fax-Anschluss an      eine Nebenstellenanlage angeschlossen, kann eine Nebenstellennummer      verwendet werden, die möglichst wenig Spielraum für Fehleingaben durch den      Absender zulässt (Vermeidung ähnlicher Fax-Nummern bei anderen Stellen,      soweit das bekannt ist).
• Zum Schutze gegen      unbefugte Kenntnisnahme auf dem Übertragungsweg oder im Falle einer      Fehlleitung kann das Fax durch den Einsatz von Zusatzkomponenten am      Fax-Gerät verschlüsselt werden. Eine Entschlüsselung ist dann nur dem      rechtmäßigen Empfänger möglich. Dies setzt aber voraus, dass der Empfänger      über entsprechende Vorrichtungen verfügt, die es ihm gestatten, den Text wieder      zu entschlüsseln. Hierzu sind entsprechende, nicht ganz billige      Zusatzeinrichtungen bei Absender und Empfänger erforderlich. Diese      Investitionen lohnen sich damit nur bei einem regelmäßigen Fax-Austausch      zwischen zwei bestimmten Stellen.

Da derartige Vorrichtungen bei einem Fax-Versand mittels PC aufgrund des verwendeten Protokolls derzeit nicht zur Verfügung stehen, muss - außer wenn dadurch in einem Notfall eine nicht zumutbare Zeitverzögerung entstehen würde - ein Versand sensibler personenbezogener Daten online per Fax unterbleiben.

Als weitere Möglichkeit zur Gewährleistung der Sicherheit bei der Datenübertragung könnten identifizierende personenbezogene Merkmale durch ein Pseudonym ersetzt und die Zusammenführung von Pseudonymen und personenbezogene Daten auf einem getrennten Weg (z. B. mittels Telefon) durchgeführt werden. Dies stellt allerdings einen erheblichen organisatorischen Aufwand dar.

Für eine ordnungsgemäße Abwicklung des Telefax-Dienstes empfiehlt es sich, zusätzlich folgende technische und organisatorische Maßnahmen einzuhalten:

• Das Deckblatt eines      Telefaxes muss den Absender, die genaue Anschrift des Empfängers sowie die      Anzahl der zu übertragenden Seiten enthalten.
• Die      Übertragungsprotokolle sind für interne Beweissicherungszwecke über einen      bestimmten Zeitraum (zumindest 1 Jahr) aufzubewahren. Wegen mangelhafter      Manipulationssicherheit haben sie vor Gericht allerdings keine Beweiskraft    (siehe Urteil des OLG München vom 16.12.1992).
• Die Telefax-Geräte sind      so aufzustellen, dass nur Befugte ankommende Dokumente an sich nehmen und      vom Inhalt auslaufender Dokumente Kenntnis erhalten können. Gegebenenfalls      sind Geräte zu verwenden, die durch mechanische Vorrichtungen (z.B. Hauben      o.ä.) verhindern, dass Unbefugte Zugriff auf angekommene Telefaxe      erhalten.
• Bei Rückgabe geliehener      oder geleaster Geräte ist zu kontrollieren, ob alle Speicher (Faxe,      Sendeprotokolle, Kurzwahlnummern) gelöscht wurden, damit keine      behördenspezifischen Informationen an den nächsten Benutzer weitergegeben      werden.

Fernmeldegeheimnis

Im Bereich der Telekom unterliegt das Telefax dem Fernmeldegeheimnis. Der Inhalt des Telefaxes wird bei der Telekom auf dem Übertragungswege im Regelfall nicht zwischengespeichert. Das Fernmeldegeheimnis endet, sobald ein Dokument dem Adressaten zugestellt wurde.

Fazit

Es gibt Behörden, die auf den Einsatz des Telefax-Dienstes ganz verzichten, wenn nicht in jedem Fall sichergestellt ist, dass ein Dokument den Adressaten direkt erreicht oder wenn Gefahr besteht, dass der Inhalt des übermittelten Dokuments unzuständigen Personen zugänglich wird. Viele sind der Meinung: Was am Telefon nicht gesagt werden darf, sollte wegen der Abhörmöglichkeiten auf dem Transportweg auch nicht gefaxt werden. Diese Auffassung kann nur ausdrücklich unterstützt werden.

Insbesondere bei der Übertragung von Telefaxen mit besonders schutzwürdigem Inhalt (sensible personenbezogenen Daten wie Sozial-, Steuer-, Personal- oder medizinische Daten) kann eine Fehlzustellung gravierende Folgen für den Absender, Empfänger und Betroffene haben. Deshalb sollte zumindest in diesen Fällen eine unverschlüsselte Datenübertragung untererbleiben.

Anlage:

Anlage 1 Muster Verarbeitungsvertrag Gesundheitswesen O2R7_DatSch_Anlage 1 Muster Verarbeitungsvertrag.docx (23.27KB)

Anlage 1
Muster Verarbeitungsvertrag Gesundheitswesen

O2R7_DatSch_Anlage 1 Muster Verarbeitungsvertrag.docx (23.27KB)