Gesundheitsdaten sind nach der Datenschutzgrundverordnung (DSGVO) besonders geschützt, hinzu kommt die Verschwiegenheitspflicht nach Ärztegesetz. Datenschutz in der Ordination ist somit eine komplexe rechtliche wie tatsächliche Materie.
Eine private Krankenversicherung darf grundsätzlich Rechnungen zu Medikamenten vom Versicherten fordern, auch wenn daraus die Krankheit ersichtlich ist. Dies trifft auch zu, wenn allein durch die Vorlage der Rezeptgebührenbestätigung noch nicht ausgeschlossen werden kann, dass eine „irrtümliche Doppeleinreichung“ geschieht. Die Rechtsgrundlagen dazu finden sich im Versicherungsvertragsgesetz, ergeben sich aus der Rechtsprechung und sind natürlich abhängig vom Einzelfall (welche Versicherung, vgl. § 34 VersVG und Erkenntnis der Datenschutzbehörde zu 2020-0.225.643). Fraglich ist, warum der Gesetzgeber die Rezeptgebührenbestätigung nicht so ausgestaltet hat, dass diese so eindeutig ist, dass nicht zusätzlich Rechnungen übermittelt werden müssen – zum Beispiel durch eine Rechnungs-ID.
Für den Arzt bedeutet dieses Erkenntnis, dass die Übermittlung von Daten über den Patienten zu Abrechnungszwecken an eine Versicherung aufgrund dieses Argumentes des Ausschlusses von Irrtümern – soweit die Argumentation nachvollziehbar erstattet wird – gemäß Datenschutzbehörde vertretbar erscheint.
Scannen von Patientenunterlagen
Oft ist es nötig, Unterlagen von Patienten für die Verwendung in der Ordination zu erfassen. Wenn es eine klare, gesetzliche Anordnung gibt dies zu tun, zum Beispiel die Kopie des Ausweises zu speichern, ist das in Ordnung. Wenn wie beim e-card-System aber nur die Verpflichtung besteht, die Identität der Patienten festzustellen, stellt sich die Frage, ob die Speicherung einer ganzen Ausweiskopie dadurch schon gerechtfertigt ist.
Die Datenschutzbehörde hat in einer interessanten Entscheidung dargelegt, wie eine Identifikation datenminimierend erfolgen kann. Rechtlich ist das Interesse des Betroffenen, dem Gesetz zu entsprechen, ein ausreichender Grund für die Verarbeitung von Daten zur Identität, somit Ausweisdaten. So kann der Datenverarbeiter später nachweisen, dass er die Identität des Patienten ausreichend geprüft hat, was im Missbrauchsfall nötig sein kann, um Rechtsansprüche abzuwehren oder durchzusetzen. Da aber keine direkte gesetzliche Anordnung des Gesetzgebers zur e-card besteht, eine ganze Ausweiskopie zu speichern, sollten nur die absolut notwendigen Daten aus einem Ausweis verarbeitet werden.
Die Rechtsgrundlage für diese durchzuführende Abwägung ist das sogenannte berechtigte Interesse gemäß Art 6 Abs 1 lit f DSGVO. Das Judikat der DSB ist zur Zahl DSB 2020-0.349.984 ergangen.
E-Mail-Kommunikation – Videosprechstunde
Klar ist, dass Gesundheitsdaten generell nicht unverschlüsselt und unsigniert per E-Mail übertragen werden dürfen. E-Mail-Kommunikation mit Patienten ist dennoch möglich und nützlich, etwa um Terminbestätigungen zu erteilen, solange aus dem Mailverkehr keine Rückschlüsse auf den Gesundheitszustand möglich sind.
Wenn hierzu automatische Systeme benutzt werden, wie zum Beispiel ein Terminbuchungssystem über die Webseite der Ordination, ist darauf zu achten, dass die dort eingegebene E-Mail-Adresse der Nutzer vor Verwendung noch einmal überprüft wird. Es könnte ja sein, dass ein unbefugter Dritter eine fremde Mailadresse benutzt, um zu provozieren, dass dieser Terminnachrichten erhält, die er nie angefordert hat.
Üblich ist hierzu das „Double-opt-in“-Verfahren: In einem ersten Mail erhält der Empfänger die Nachricht, dass seine Mailadresse bei der Ordination registriert wurde, und er kann dies mit einem Klick auf einen Link im Mail bestätigen. Wenn er die Registrierung nicht selbst durchgeführt hat, muss er nichts weiter tun und erhält auch keine unangeforderten Mails mehr. Erst nach Bestätigung der Registrierung durch den Link im E-Mail wird die Mailadresse dann von der Ordination für die angebotenen Dienste verwendet. Bitte im ersten Mail auch keine Werbung oder Ähnliches einfügen. Die Datenschutzbehörde hat heuer bestätigt, dass dieses Verfahren zu benutzen ist (DSB-D130.073/0008-DSB/2019).
Auch bei Videosprechstunden ist darauf zu achten, ein System zu benutzen, dass dem Verschlüsselungsstandard des Gesundheitstelematikgesetzes und den Anforderungen der DSGVO entspricht. Oft leiten Systeme Videochats unverschlüsselt über Server im Ausland, die Konferenzen sind für den Hersteller im Nachhinein entschlüsselbar oder es ist unklar, wie die Absicherung konkret erfolgt. All dies ist generell ein No-Go für die Videosprechstunde. Im Notfall sind natürlich andere Maßstäbe anzulegen. Die Üblichkeit eines Systems ist per se kein Kriterium für dessen Zulässigkeit. Fragen Sie hierzu den Softwarehersteller. Wichtig ist, nicht nur eine Zusicherung zu erhalten, sondern eine fundierte Begründung dazu, etwa unter Angabe des verwendeten Verschlüsselungssystems samt seinen Parametern.
Aufhebung des „Privacy Shield“
Der EuGH hat das rechtliche Framework „Privacy Shield“ aufgehoben, da es keine ausreichenden Garantien enthielt, dass Daten von Betroffenen nicht ohne Weiteres bestimmten amerikanischen Behörden zugänglich sind. Unter Privacy Shield versteht man einerseits eine Vereinbarung der EU mit den USA und andererseits einen Beschluss der EU-Kommission. Dieses „Framework“ ermöglichte es, bestimmte Datentransfers aus Europa in die USA im Wesentlichen wie innerhalb der EU durchzuführen. Voraussetzung war, dass das Daten empfangende US-Unternehmen gemäß Privacy Shield zertifiziert war.
Nunmehr sind Datenübertragungen an US-Unternehmen nicht mehr nur möglich, weil das US-Unternehmen eine entsprechende Zertifizierung aufweist, sondern es ist zumindest ein Vertrag mit „Standardvertragsklauseln“ nötig („standard contractual clauses“) bzw. ist die Datenübermittlung durch eine Zustimmung des Betroffenen gedeckt oder zur Vertragserfüllung nötig.
Fragen Sie daher bei sämtlichen Diensten, die Sie nutzen und die mit den USA in Verbindung stehen – Medizingerätehersteller, Cloud-Dienstleister etc. – nach einer solchen Rechtsgrundlage, die dezidiert auch nach Aufhebung des Privacy Shield gelten soll. Dokumentieren Sie diese Auskunft. Es gibt hier dennoch derzeit keine ausreichende Rechtsicherheit, die oben genannten Grundlagen sind aber jedenfalls als Minimum anzusehen, am besten weicht man auf rein europäische Dienstleister aus.
Zugangs- und Berechtigungssystem in der Ordination
Im Zuge der Sicherungsmaßnahmen zur Datenintegrität und Datensicherheit ist in der Praxis ein System zu betreiben, das sicherstellt, dass nur befugte Personen Zugriff auf personenbezogene Daten haben. Dieser Zugang sollte zur Aufgabenerfüllung konkret und aktuell benötigt werden und nicht „auf Verdacht“ erfolgen (Art 32 DSGVO). Das umfasst nicht nur Userkonten im Computersystem mit Passwortschutz, sondern auch Zugangsbeschränkungen zu analogen Datenbeständen, zum Beispiel durch Schlüssel. So muss etwa der Zugang zu Patientendaten nicht jedem Mitarbeiter, der diesen benötigen könnte, offenstehen.
Die Datenschutzbehörde hat heuer in einem Fall etwa ausgesprochen, dass eine Verletzung des Rechts auf Geheimhaltung des Patienten bestehen kann, wenn der Ordinationsgehilfe Einsicht in die Patientenakten nehmen kann, damit er seine private Neugier befriedigt (Verfahren DSB-2020-0.251.582). Missbrauch ist nie ganz auszuschließen, aber durch ein adäquates System kann die Erfüllung der Sorgfaltspflichten im Bedarfsfall nachgewiesen werden. Letzes Jahr hat die Datenschutzbehörde auch ausgesprochen, dass es nicht erlaubt ist, sensible Unterlagen wie ausgefüllte Patientenfragebögen, in denen Angaben zum Gesundheitszustand und Medikamentengebrauch enthalten sind, in unmittelbarer Nähe von Dritten offen abzulegen (Schreibtisch, DSB-D123.815/0002-DSB/2019).
