Schlagwort: Schutz von Gesundheitsdaten
17. Mai 2022
Vor dem Hintergrund der COVID-19-Pandemie hat die Europäische Kommission Anfang des Monats den europäischen Raum für Gesundheitsdaten (European Health Data Space – EHDS) auf den Weg gebracht. Dies geht aus einer Pressemitteilung der Kommission hervor.
Der EHDS soll dem Fortschritt der Gesundheitsversorgung der Menschen in Europa dienen und dabei einer der zentralen Bausteine einer starken europäischen Gesundheitsunion sein. Einer der Schwerpunkte des europäischen Raumes für Gesundheitsdaten soll, neben der Förderung eines Binnenmarktes für digitale Gesundheitsdienste und -produkte, die Nutzung und Kontrolle der Gesundheitsdaten durch die Betroffenen darstellen. Dabei soll diesen insbesondere der einfache Zugang zu den Daten in digitaler Form gewährt werden. Damit ist angedacht den Austausch zwischen Bürgerinnen und Bürgern und Angehörigen der Gesundheitsberufe und damit die europäische Gesundheitsversorgung zu fördern. Um dieses Ziel zu unterstützen, soll ebenfalls ein gemeinsames europäisches Datenformat erstellt werden sowie digitale Gesundheitsbehörden benannt werden, um die Wahrung der Rechte der Bürgerinnen und Bürger sicherzustellen.
Laut dem Vizepräsident der Europäischen Kommission, Margaritis Schinas, sei der EHDS ein “Neuanfang” für die EU-Politik im Bereich der digitalen Gesundheit und werde die Gesundheitsdaten für die Bürgerinnen und Bürger sowie die Wissenschaft nutzbar machen. Die EU-Gesundheitskommissarin Stella Kyriakides betonte zudem, dass auf diese Daten unter Gewährleistung strikter Garantien für den Schutz der Privatsphäre und der Sicherheit zugegriffen werde.
Der von der Europäischen Kommission vorgelegte Vorschlag wird nun im Rat und im Europäischen Parlament erörtert.
22. Juni 2021
Die unzulässige Weitergabe von Gesundheitsdaten rechtfertigt ein Schmerzensgeld in Höhe von 10.000 Euro, das entschied das Landgericht Meiningen mit Urteil vom 23.12.2020 (Az. (122) 3 O 363/20.
Sachverhalt
Zwischen den Parteien bestand ein Unfallversicherungsvertrag. Nachdem der Kläger einen Verkerhrsunfall erlitt und dabei schwer verletzt wurde, führten die Parteien ein Verfahren vor dem Landgericht Meiningen, in dem es um die Ansprüche aus dem Unfallversicherungsvertrag ging. Gleichzeitig führte der Kläger auch ein Verfahren gegen die Haftpflichtversicherung des anderen Unfallbeteiligten vor dem Landgericht Erfurt, in welchem es um die Geltendmachung weiterer Schadensersatzansprüche ging. Die Beklagten aus beiden Verfahren wurden dabei durch dieselbe Anwaltskanzlei vertreten.
Im Rahmen des Verfahrens vor dem Landgericht Meiningen holte der Unfallversicherer ein Gutachten zum Gesundheitszustand des Klägers ein. Mit Einverständnis der beklagten Unfallversicherung, aber ohne Einwilligung des Klägers, zitierte die für beide Verfahren zuständige Kanzlei auch im Erfurter Verfahren wörtlich aus dem Gutachten, das den Gesundheitszustand des Klägers bewertete und im Auftrag der Unfallversicherung erstellt wurde.
Darin sah der Kläger einen Vertoß gegen die vertraglichen Pflichten der Unfallversicherung, insbesondere seine Gesundheitsdaten seien besonders schützenswert, auch datenschutzrechtlich. Außerdem könne ein negativer Einfluss auf den Ausgang des Erfurter Prozesses durch das Bekanntwerden des Gutachtens nicht ausgeschlossen werden. Die Beklagte hingegen sah keinen Verstoß gegen datenschutzrechtliche Bestimmungen. Sie war der Auffassung, sie müsse sich eine etwaige Pflichverletzung Dritter, d.h. der Kanzlei, nicht zurechnen lassen. Diese sei eine eigenständige datenverarbeitende Stelle im Sinne der DSGVO.
Entscheidung
Das Gericht gab der Klage teilweise statt und sprach dem Kläger ein Schmerzensgeld in Höhe von 10.000 Euro aufgrund einer Nebenpflichtverletzung aus dem Versicherungsvertrag zu.
Dazu stellte es fest, dass die Beklagte dem Kläger gegenüber gem. § 241 Abs. 2 BGB zur Verschwiegenheit verpflichtet war. Es führte aus, dass sensible Daten des anderen Teils Dritten nicht ohne Weiteres offenbart werden dürften, und zwar auch dann nicht, wenn die Vertraulichkeit nicht spezialgesetzlich oder in Vertragsbedingungen ausdrücklich geregelt sei. Aus dem Versicherungsvertrag ergebe sich die Nebenpflicht, die aus diesem Vertragsverhältnis erlangten Daten nicht an Dritte weiterzugeben. Bei den Gesundheitsdaten handle es sich um sensible Daten, die besonders geschützt seien. Auch eine Rechtfertigung für die Weitergabe der Daten aus Art. 6 Abs. 1 lit. f DSGVO, einem berechtigten Interesse, verneinte das Gericht. Danach, so das Gericht, sei die Verarbeitung, zu der auch die Weitergabe von Daten an Dritte gehört, rechtmäßig, wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen und Grundrechte der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen.
Das Gericht sah das Recht des Klägers auf Schutz seines Allgemeinen Persönlichkeitsrechts gem. Art. 2 Grundgesetz gegenüber dem Recht der Versicherung, die in Erfurt verklagt worden war, sich im Prozess zu verteidigen, als überwiegend an. Es erkannte keinen zwingenden Grund für die Verwertung des Gutachtens in dem Verfahren in Erfurt. Zudem hätten in dem Erfurter Verfahren auch noch gerichtliche Gutachten eingeholt werden können.
Die Verletzung des Allgemeinen Persönlichkeitsrechts stufte das Gericht auch als besonders schwerwiegend ein, da es sich bei den Gesundheitsdaten um höchstpersönliche Daten der Intimssphäre handelte.
25. Januar 2021
Das Bundessozialgericht hat festgestellt, dass gesetzlich Versicherte keinen papiergebundenen Berechtigungsnachweis verlangen können.
Nachdem die Kläger bereits erfolglos die unteren Instanzen durchlaufen hatten, entschied auch das BSG zu deren Ungunsten. Den Klägern ging es dabei um die Sicherheit der elektronisch gespeicherten Daten, welche nach ihrer Ansicht nicht ausreichend gewährleistet wird. Auf dem Chip der Geundheitskarte werden Versichertendaten wie Name und Versichertenstatus gespeichert. Als Alternative wollten sich die Kläger mit einem papiergebundenen Berechtigungsnachweis ausweisen.
Entgegen der Auffassung der Kläger entschieden die Kassler Richter, dass die Vorschiften über die elektronische Gesundheitskarte im Einklang mit den Vorgaben des europäischen Datenschutzrechts stehen. Auch der Eingriff in die Grundrechte der Kläger ist nach Ansicht des BSG gerechtfertigt. Insbesondere verhindere die Karte den Missbrauch von Sozialleistungen und diene der Abrechnung. Beides diene der finanziellen Stabilität der Kassen, welche ein überragend wichtiges Gemeinschaftsgut darstelle.
8. Juli 2020
Zunahme von Hackerangriffen
Hackerangriffe werden von der breiten Bevölkerung weder groß gefürchtet, noch wird das Thema Cybersicherheit besonders beachtet. Dabei nimmt ihre Zahl von Jahr zu Jahr zu. Im Jahr 2018 vermeldete das Bundeskriminalamt die Zahl von 87.106 Fällen von Cybercrime. Dies entspricht einer Zunahme von 1,3% im Vergleich zum Vorjahr.
Von Hackerangriffen sind nicht nur Unternehmen betroffen, die über Kundendaten wie Kreditkarten verfügen, sondern auch Justizbehörden und sogar Bundesministerien (siehe Blog vom 05.12.2018).
Sogar das Rote Kreuz ist Anfang des Jahres Opfer eines Hackerangriffs geworden. Glücklicherweise diente dieser Angriff jedoch nur dem Aufsuchen von Sicherheitslücken. Böswillige Hacker hätten hingegen sensible Patientendaten abgreifen können. Eine Krankheitshistorie kann man nicht, wie bei gestohlenen Kreditkartendaten, sperren und ersetzen. Für die Betroffenen wäre eine Veröffentlichung ihrer Gesundheitsdaten mit unangenehmen Konsequenzen verbunden.
Zu diesem Thema hat der Bayerische Landesbeauftragte für den Datenschutz (BayLfD) eine Prüfliste veröffentlicht, die Empfehlungen zur Cybersicherheit für medizinische Einrichtungen ausspricht.
Die Maßnahmen sind jedoch auch für nicht-medizinische Unternehmen von Relevanz.
Empfohlene Maßnahmen
Bei den empfohlenen Maßnahmen sollten unter anderem folgende Punkte besonders beachtet werden:
- Regelmäßige Aktualisierung der verwendeten Software.
- Nutzung von Antiviren-Programmen. Zu beachten ist, dass immer nur ein Antiviren-Programm gleichzeitig installiert sein sollte. Mehrere Programme blockieren sich gegenseitig und schaden mehr, als sie nutzen.
- Schutz vor Ransomware. Wenn möglich, sollte auf Makros in Office-Dokumenten verzichtet werden und wenn, nur signierte Makros verwendet werden.
- Nutzung starker Passwörter. Es sollten keine banalen Begriffe wie „1234“ oder „passwort“ genutzt werden. Auch sollten Passwörter niemals am Arbeitsplatz liegen gelassen werden.
- Nutzung von Zwei-Faktor-Authentifizierung. Näheres dazu ist in unserem Blog nachzulesen.
- E-Mails sollten nur als Text angezeigt werden. So lassen sich leichter manipulierte Links erkennen. Außerdem sollten E-Mails grundsätzlich von einem Antiviren-Programm überprüft werden.
- Es sollten regelmäßig Backups durchgeführt werden.
- Bei der Arbeit im Homeoffice sollte der Zugang über eine VPN-Verbindung gesichert sein. Im Falle der Nutzung mobiler Endgeräte sollten diese über starke Verschlüsselungsmechanismen verfügen.
- Falls Laborergebnisse online abgerufen werden können, muss der Zugang besonders geschützt werden.
- Es sollte eine leistungsstarke Firewall installiert sein, um unbefugte Zugriffe von außen zu verhindern.
- Das Thema Social Engineering darf nicht unterschätzt werden. Hacker versuchen vermehrt Kontakte über Portale wie Xing, LinkedIn oder auch Facebook zu knüpfen, um das Vertrauen ihrer Opfer zu gewinnen und zum Beispiel über manipulierte E-Mails zu missbrauchen.
24. Juli 2015
Im Rahmen eines deutschlandweiten Forschungsprojekts der Universität Bielefeld zur Techniknutzung im Gesundheitssektor, für welches 675 Studierende befragt wurden, bestätigt sich nicht nur, dass das Angebot an Gesundheits-und Fitness-Apps für Smartphone und Smartwatch immer umfangreicher wird, sondern auch, dass die Nutzung in Kreisen der Entscheider von morgen schon längst im Alltag angekommen ist.
Was aus Perspektive der Datenschützer erst mal positiv klingt: Wie die Universität bestätigt, ist die Sensibilität für das Thema Datenschutz unter den Studierenden durchaus vorhanden. Ernüchternd aber: In Zeiten der Selbst- und Leistungsoptimierung fällt die Abwägung der Studierenden zwischen dem Nutzwert dieser Anwendungen und den (berechtigten) Datenschutzbedenken regelmäßig pro Nutzung der Apps aus – und damit pro Preisgabe zahlreicher sensibler Gesundheitsdaten, von denen Versicherer und andere potentielle Interessenten sonst nur hätten träumen können.
„Gerade mit Blick auf Risiken wie den Datenmissbrauch zeigt sich hier ein bemerkenswerter Verdrängungsprozess, der allerdings auch damit einhergeht, dass das bisherige Wissen der Nutzerinnen und Nutzer zu gering ist, zitiert die Universität den Gesundheitswissenschaftler Christoph Dockweiler. „Gerade mal jeder Dritte fühlt sich ausreichend informiert über die potenziellen Risiken der Nutzung“.
Unter 675 Befragten gab mehr als ein Drittel der befragten Studentinnen und Studenten an, täglich Gesundheits- oder Medizin-Apps zu nutzen. Mehr als zwei Drittel dieser Gruppe nutzt dabei Apps zur Gesundheitsüberwachung, beispielsweise hinsichtlich Bewegungspensum oder Schlafverhalten. Immerhin die Hälfte der Befragten nutzt Sport-Apps, welche zurückgelegte Lauf- oder Radstrecken speichern, und dabei auch die Herzfrequenz und den Kalorienverbrauch messen. Ziel dieser Nutzungen ist demnach neben der eigenen Gesundheitskontrolle gerade die Steigerung der individuellen Leistungsfähigkeit – nicht nur ein Nebenaspekt in einer Zeit, in der sich junge Akademiker immer komplexeren Anforderungen ausgesetzt sehen und schon in frühen Semestern um ihre Credits bemüht sein müssen. Der allgemeine Fitnesstrend trägt den Rest dazu bei, einen digitalen Geschäftszweig zu nähren, der nur eines zum Ziel hat: den massenhaften Ertrag von aussagekräftigen personenbezogenen Daten.
Es braucht nicht viel Fantasie um zu erahnen, welche Möglichkeiten und welches Missbrauchspotential diese Datensätze den Interessenten aus der Wirtschaft offerieren – nicht zuletzt im Zeitalter der Big-Data-Technologie, dessen Beginn wir gerade erst erleben.
2. Juni 2015
Nach dem Vorbild des Trends in amerikanischen Unternehmen die Mitarbeiter mit Armbändern auszustatten, die deren tägliche Bewegungen messen und so deren Fitnesszustand dokumentieren, hat nun eine Münchener App-Schmiede eine App auf den Markt gebracht, die vermeintlich den Gemütszustand der Mitarbeiter kontrollieren kann. Hierzu zeichnet diese unterschiedliche Parameter auf, die vermeintlich einen Rückschluss auf das Stresslevel zulassen, wie etwa die Stimme, das Tippverhalten und Bewegungen. Selbst das Schlafverhalten wird analysiert.
Würden diese besonders sensiblen Daten im Sinne des § 3 Nr.9, 28 Abs.6 ff. BDSG Daten nur dem Mitarbeiter selber zur Verfügung stehen, wäre dies datenschutzrechtlich unbedenklich. Dies ist jedoch nicht das Ziel der App. Diese stellt die Daten der Geschäftsführung zur Verfügung. Vordergründig wird dies mit der Gesundheitsfürsorge begründet, um so notwendige Gegenmaßnahmen einzuleiten. Hierzu müssten die Daten entweder anonymisiert werden, oder eine arbeitrsrechtlich nicht unumstrittene Einwilligung des Arbeitnehmers hierzu einholen. Nach den Angaben zur App wird die Anonymität zwar gewährleistet, je nach Größe des Unternehmens und Anzahl der Mitarbeiter, kann es jedoch aufgrund der Bewegungsprofile zu einer Aufhebung dieser kommen.
12. November 2014
Das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) hat anlässlich des heute in Berlin stattfindenden öffentlichen Fachgesprächs des Bundestags-Ausschusses Digitale Agenda zum Thema „eHealth“ eine Stellungnahme mit dem Titel „Gesundheitsdaten bedürfen eines besonderen staatlichen Schutzes“ veröffentlicht.
Mit der Ankündigung eines E-Health-Gesetzes im Sommer 2014 habe Bundesgesundheitsminister Gröhe signalisiert, dass es ihm am Herzen liegt, das Potenzial der Informationstechnik für das Gesundheitswesen auszuschöpfen, um Verbesserungen und eine Effektivierung bei der Gesundheitsversorgung zu erreichen und hierfür die gesetzlichen Grundlagen zu schaffen. Dies kann nach Ansicht des ULD hingegen nur gelingen, wenn hierbei personenbezogene Gesundheitsdaten angemessen und technikadäquat geschützt werden. Die Diskrepanz zwischen rechtlich geforderter Vertraulichkeit und informationstechnischer Praxis werde immer größer, ohne dass die Politik bisher adäquate Schritte eingeleitet hätte. “Die – oft illegalen – Begehrlichkeiten an Gesundheitsdaten wachsen in den Himmel von Big Data, Cloud Computing & Co. Der Patient und seine Rechte bleiben dabei oft auf der Strecke. Die Initiative eines eHealth-Gesetzes kann und sollte nun dazu genutzt werden, von der geld- auf eine patientengetriebene Ausrichtung des IT-Einsatzes im Gesundheitssektor umzuschwenken. Dabei müssen Innovation, Funktionalität und Profit nicht auf der Strecke bleiben, wenn von Anfang an die medizinische und die informationelle Selbstbestimmung der Patientinnen und Patienten inhaltlich und prozedural berücksichtigt werden.“, so Weichert, der Leiter des ULD.
