Kategorie: Allgemein
28. November 2023
Am 22. und 23. November 2023 hat in Lübeck die 106. Tagung der Konferenz der Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz (DSK)) stattgefunden. Bei der DSK tauschten sich Experten unteranderem zum Datenschutz in medizinischen Registern aus. In diesem Zusammenhang hat die DSK eine Entschließung zu „Rahmenbedingungen und Empfehlungen für die gesetzliche Regulierung medizinischer Register“ formuliert. Im Übrigen veröffentlichte sie auch eine Entschließung zum Datenschutz in der Gesundheitsforschung.
Vielfalt medizinischer Register in Deutschland
Hintergrund der Debatte ist, dass die Landschaft medizinischer Register in Deutschland äußerst vielfältig mit verschiedenen Strukturen und Arten ist. Deswegen stützen sich die meisten bezüglich der Datenverarbeitung auf Einwilligungen, während nur wenige auf eine gesetzliche Grundlage zurückzuführen sind. Die Zwecke der Register sind ebenso heterogen und reichen von Forschungsvorhaben zu Patienteninitiativen.
Hier setzt die Forderung der Bundesregierung nach einer einheitlichen gesetzlichen Regulierung in Form des Registergesetzes an. Durch allgemeine Regeln könnte man Daten besser und umfassender im öffentlichen Interesse verwenden, um mehr Struktur und Qualität zu gewährleisten. Laut der DSK ist hierbei allerdings stets ein hohes Datenschutzniveau zu gewährleisten. Zu beachten sei insbesondere Art. 9, 25, 32 und ggf. 89 Abs. 1 der Datenschutzgrundverordnung (DSGVO).
Die Rolle der Zentralstelle für medizinische Register
Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden befürwortet die Schaffung einer Zentralstelle für medizinische Register. Diese soll nicht nur ein Registerverzeichnis führen, sondern auch für die Auditierung und Zuordnung der einzelnen Gesundheitsregister je nach Qualitätsstufe verantwortlich sein. Nach Ansicht der DSK soll die Einteilung in die verschiedenen Kategorien „die Datenqualität, die Datenstruktur und die Standards bei der Verarbeitung“ beachten. Die Kompetenzen der Zentralstelle sollen entscheidend für die Weiterverarbeitung der in den Registern gespeicherten Daten sein. Deswegen fordert die DSK, die Stelle als unabhängige Körperschaft des öffentlichen Rechts einzurichten.
Konkret geforderte Rahmenbedingungen aus Datenschutzsicht:
Die DSK schließt sich der Bundesregierung mit dem Wunsch nach mehr Struktur und Einheit bei medizinischen Registern an. Um dies zu erreichen, hat sie in Ihrem Entschluss eine Liste von Rahmenbedingungen veröffentlicht, die wir im folgendem zusammengefasst haben.
Rechtsgrundlage der Datenerhebung: Werden personenbezogene Daten an das Register übertragen, die nicht hierfür erhoben wurden, bedürfe es für diese Zweckänderung einer klaren gesetzlichen Regelung gemäß Art. 6 Abs. 4 DSGVO. Die konkreten Aufbewahrungs- und Löschfristen müssten auf eindeutigen und verhältnismäßigen Regelungen unter Einhaltung der Grundsätze der Datenminimierung und Speicherbegrenzung beruhen.
Voraussetzungen für die Datenverarbeitung: Jedenfalls sei eine medizinisch-fachliche Erforderlichkeit für einen der in Art. 9 Abs. 2-4 DSGVO genannten Zwecke und bei Forschungszwecken ein allgemeines, voraussetzungsloses Widerspruchsrecht“ notwendig. Im Übrigen müssten die Öffnungsklausel nach Art. 9 Abs. 2 DSGVO und eventuell Art. 89 Abs. 1 DSGVO eingehalten werden. Wolle man für Forschungszwecke Daten verknüpfen, sei dies nur anlassbezogen und temporär zulässig. Nicht zu vergessen sei auch das Grundrecht auf Datenschutz. Die Rechtmäßigkeit der Datenverarbeitung müsse zudem differenziert und abhängig je nach dem konkreten Verarbeitungszweck bewertet werden. Hinsichtlich etwaiger Identifikationskennzeichen müsse darauf geachtet werden, dass bereichsspezifisch unterschiedliche und nicht rückrechenbare Bezeichnungen verwendet werden, um eine nachhaltige Pseudonymisierung sicherzustellen.
Technisch-organisatorische Maßnahmen: Weiterhin wünscht die DSK eine Standardisierung und Harmonisierung der Regeln zu technisch-organisatorischen Maßnahmen abhängig vom spezifischen Risiko. Hierzu solle auch die Anforderung an eine dezentrale Speicherung und Verarbeitung zählen. Bei einem sehr hohen Risiko empfiehlt die DSK zudem eine gesetzliche Datenschutzfolgenabschätzung (DSFA). Man solle sich zusätzlich auch für ein digitales Einwilligungsmanagement und eine digitale Ausübung der Betroffenenrechte einsetzen.
Zulassungsverfahren und unabhängige Vertrauensstellen: Zudem hält es die DSK für sinnvoll für „qualitätsgesicherte Register“ ein Zulassungsverfahrens einzuführen, um ihnen bestimmten Datenverarbeitungsbefugnisse zu gewähren. Daneben solle eine unabhängiger Vertrauensstellen erschaffen werden, die für die Anonymisierung und Kennzeichnung zuständig ist. In diesem Zusammenhang sollte auch ein System für die kontinuierliche Überprüfung von Qualitätsstandards und der Einhaltung des Schutzniveaus implementiert werden.
Fazit
Die gesetzliche Regulierung von Gesundheitsregistern ist notwendig, um Struktur und Qualität zu schaffen. Doch dabei darf Datenschutz nicht aus dem Blick verloren werden, weshalb die DSK verständlicherweise auch in medizinischen Registern dessen Beachtung fordert. Deswegen werden klare Vorgaben zu Zweckänderungen, Aufbewahrung, Datenübermittlung und technisch-organisatorischen Maßnahmen betont. Daher ist eine ausbalancierte Regulierung, die den Schutz der Gesundheitsdaten gewährleistet und gleichzeitig die wissenschaftliche Forschung ermöglicht, von entscheidender Bedeutung. Der Weg zu qualitätsgesicherten und transparenten medizinischen Registern erfordert eine sorgfältige Abwägung der Interessen und eine enge Zusammenarbeit zwischen Datenschutzbehörden, Registern und der Zentralstelle. Ob die Gesetzgebung diese Aufgabe meistern wird, bleibt abzuwarten.
27. November 2023
Am 22. und 23. November 2023 hat in Lübeck die 106. Tagung der Konferenz der Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz (DSK)) stattgefunden. Bei der DSK haben sich Datenschutzexperten unteranderem zum Datenschutz in der Gesundheitsforschung ausgetauscht. Hierzu hat die DSK eine Entschließung unter dem Titel „Datenschutz in der Forschung durch einheitliche Maßstäbe stärken“ veröffentlicht. Morgen berichten wir zudem über eine weitere Entschließung der DSK über „Rahmenbedingungen und Empfehlungen für die gesetzliche Regulierung medizinischer Register“.
Hintergrund: Heterogene Datenschutzanforderungen als Forschungshemmnis
Hintergrund der Entschließung ist, dass sich medizinische Forschungsprojekte oft über Bundeslandesgrenzen hinweg erstrecken und verschiedene Forschungseinrichtungen aus unterschiedlichen Ländern involvieren. Da je nach Standort allerdings andere datenschutzrechtliche Regeln gelten, wird die Forschungsarbeit erschwert. Im Übrigen entstehen so auch datenschutzrechtliche Nachteile für betroffenen Personen. Die DSK wendet sich deswegen and Bundes- und Landesgesetzgeber. Sie fordert aufeinander abgestimmte gesetzliche Bestimmungen mit einem effektivem Datenschutzstandard, der länderübergreifende Forschung erleichtert.
Gesundheitsdatennutzungsgesetz (GDNG) – Ein erster Schritt?
Das Bundesgesundheitsministerium könnte mit dem Gesetzentwurf eines Gesundheitsdatennutzungsgesetzes (GDNG) zu einer einheitlichen Rechtsgrundlagen für die Datenweitergabe zu Forschungszwecken und zur Förderung der Patientensicherheit beitragen. Die DSK äußert jedoch Zweifel an der Rechtssicherheit der Neuerung. Es bestünden Unsicherheiten bezüglich des Verhältnisses zu den Landeskrankenhausgesetzen, da eine Auseinandersetzung mit der Gesetzgebungskompetenz der Länder im Krankenhausbereich fehle.
Notwendigkeit konkreter Garantien und Maßnahmen
Die DSK betont den Grundsatz: „Je höher der Schutz der betroffenen Personen durch geeignete Garantien und Maßnahmen, desto umfangreicher und spezifischer können die Daten zu Forschungszwecken genutzt werden.“. Deswegen müsse man möglichst genaue Regelungen schaffen, um eine weitreichende Datennutzung zu ermöglichen. Der Schutzumfang solle dabei abhängig von der jeweiligen Datenart festgelegt werden. Laut der DSK muss man, wenn eine hinreichende Anonymisierung nicht sichergestellt werden kann (z. B. bei Röntgenbildern), durch geeignete Vorschriften – etwa Form besonderer technischer und organisatorischer Maßnahmen – einen angemessenen Schutzumfang gewährleisten.
Vorschlag spezifischer Maßnahmen
Die DSK schlägt verschiedene Maßnahmen vor, um einen angemessenen Schutz der Grundrechte und Interessen der betroffenen Personen zu gewährleisten. Dazu gehören Vorgaben für die Betrachtungstiefe und Aufgabenzuweisungen für die Datenschutz-Folgenabschätzungen. Weiterhin müsse man zusätzlich zu Art. 15 ff. Datenschutzgrundverordnung (DSGVO) Betroffenenrechte, wie spezifische Widerspruchsrechte oder einen Anspruch auf die Vernichtung von Bio-Proben, implementieren. Auch die Festlegung angemessener Sperrfristen zur Ausübung der Betroffenenrechte könne helfen. Zudem solle man eine unabhängige Treuhandstellen zur Verschlüsselung einbinden sowie gesonderte Einrichtungen etablieren. Zuletzt sei an Verschwiegenheitspflichten, Zeugnisverweigerungsrechten und Ausgestaltungen zur Datenminimierung zu denken. Diese Aufzählung sei nicht abschließend. Vielmehr müsse die Legislative die vollumfängliche Ausgestaltung dieser Regelungen übernehmen.
Kernbereichsschutz
Die DSK hebt weiter hervor, dass bestimmte Gesundheitsdaten je nach den Gegebenheiten dem absoluten Schutz des Kernbereichs privater Lebensgestaltung zugeordnet werden müssen. Infolgedessen dürfe auch ein Forschungsinstitut solche medizinischen personenbezogenen Daten nicht für wissenschaftliche Zwecke verwenden.
Uneingeschränkte Datenschutzaufsicht
Zuletzt sei eine uneingeschränkte Datenschutzaufsicht unabdingbar für den notwendigen Schutz betroffener Personen. Einschränkungen der Befugnisse der Datenschutzbehörden müssten aufgehoben werden, um eine effektive Überwachung zu gewährleisten.
Fazit
Die Forderungen der DSK sind klar: Ein einheitlicher Datenschutz in der länderübergreifenden Gesundheitsforschung ist dringend erforderlich. Der vorgeschlagene GDNG-Gesetzentwurf ist ein erster Schritt, doch es bedarf weiterer präziser Regelungen und Anpassungen, um einen effektiven Datenschutz zu gewährleisten. In diesem Zusammenhang haben die Datenschutzbehörden ihre Unterstützung angeboten, um die Gesetzgeber bei der Schaffung eines hohen Datenschutzniveaus in der medizinischen Forschung zu begleiten.
24. November 2023
Wie wir bereits letzte Woche berichtet haben, hat Microsoft ein neues Outlook herausgebracht, mit dem besorgniserregende Datenübermittlungen einhergehen. Durch die neue Version werden Nutzername und Passwörter aller E-Mail-Accounts an die Microsoft Cloud gesendet. Auch der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) hat sich bereits alarmiert geäußert. Mittlerweile gibt es weitere Stellungnahmen zum neuen Outlook. Zum einen hat sich Microsoft selbst zu den Neuerungen positioniert. Andererseits hat zum Beispiel der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit (TLfDI), Lutz Hasse, am 17.11.2023 hierzu eine kritische Pressemitteilung unter dem Titel „VORSICHT !!!“ veröffentlicht.
Stellungnahme von Microsoft
Microsoft soll mittlerweile auf Nachfrage eine Erklärung gegenüber heise online abgegeben haben. Es werde vor allem auf den Hinweis zur Datensynchronisierung hingewiesen. Im Weiteren schildere Microsoft, wieso die Datenübermittlung erforderlich sei, wie heise online berichtet. Der Datenabgleiche verbessere die „konsistente Nutzererfahrung“. Im Übrigen erkläre Microsoft, dass die Daten verschlüsselt seien und Microsoft keinen Zugriff auf das „Klartext-Passwort“ habe. Heise erwidert jedoch, dass sie entdeckt hätten, dass Microsoft sehr wohl Zugriff auf die entschlüsselten Daten habe. Einen konkreten Hinweis hierauf gebe es allerdings weiterhin noch nicht. Zudem weise Microsoft darauf hin, dass die Synchronisation mit der Microsoft Cloud nicht verpflichtend sei. Nutzer, die ihre Konten nicht mit der Cloud nutzen wollen, könnten zum klassischen Outlook zurück wechseln.
Stellungnahme des TLfDI
In einer warnenden Pressemitteilung bringt Hasse die Aussage über die “Wahlmöglichkeit” wie folgt auf den Punkt: „Mit anderen Worten kann man das neue Outlook entweder so nutzen, wie von Microsoft vorgesehen (mit Datenübernahme) oder gar nicht…Ein Schelm, wer Arges dabei denkt :).“ Als eine angemessene Wahlmöglichkeit stuft er die beiden Optionen also nicht ein. Zudem wertet er die Neuerungen als „tiefgreifende Eingriffe in die Privatsphäre“. Deswegen rät er dringend dazu, sich die Nutzung des neuen Programms unter Einbeziehung aller zur Verfügung stehenden Informationen genau zu überlegen. Er selbst empfiehlt auf das neue Outlook zu „verzichten“.
Weitere Reaktion des BfDI
Mittlerweile habe der BfDI, Ulrich Kelber, auch seine Ankündigung auf Mastodon, die irische Datenschutzbehörde um Einschätzung zu beten, in die Tat umgesetzt, wie heise online schildert. Eine weitere datenschutzrechtliche Prüfung könne erst nach Stellungnahme der federführenden Datenschutzaufsichtsbehörde folgen.
Weitere Expertenmeinungen
Stefan Brink, ehemaliger Landesdatenschutzbeauftragter Baden-Württembergs, reagierte ebenfalls auf eine Anfrage von heise online. Er stufe das Verhalten des Technologiekonzerns als „zumindest intransparent“ ein. Er erkläre sogar, dass es sich unter diesen Voraussetzungen bei der Verwendung von Outlook sogar um eine Rechtsverletzung des Nutzers handeln könne, wenn er zum Beispiel Verschwiegenheitspflichten zu beachten hat. Brink weist laut heise online auf verschiedene datenschutzrechtliche Bedenken hin. Dies sei besonders ärgerlich vor dem Hintergrund, dass Microsoft bereits in der Vergangenheit ähnliche Fehler gemacht habe. Er fordere deswegen ein Einschreiten der zuständigen Aufsichtsbehörden.
Fazit
Microsoft sieht sich heftiger Kritik ausgesetzt und das wahrscheinlich nicht völlig zu Unrecht. Nach dem aktuellen Stand scheinen die vielen kritischen Stellungnahmen zum neuen Outlook jedenfalls bezüglich Hinweis- und Transparenzpflichten nicht völlig unberechtigt. Die Datenschutzgrundverordnung (DSGVO) legt diesbezüglich klare Pflichten fest. Deswegen sind die Warnungen des TLfDI und anderer Datenschutzexperten nicht zu übersehen. Jedenfalls sind die Intransparenz bezüglich der Datennutzung und die potenziellen Verstöße gegen Datenschutzgesetze alarmierend. Nun bleibt abzuwarten, wie die irische Datenschutzbehörden darauf reagieren wird.
22. November 2023
Am 20. und 21. November 2023 fand erneut der Digital-Gipfel (früher IT-Gipfel) der Bundesregierung statt – unteranderem zum Thema Künstliche Intelligenz (KI). Dazu luden Bundesminister für Wirtschaft und Klimaschutz, Robert Habeck, und Bundesminister für Digitales und Verkehr, Volker Wissing, rund 1.000 Teilnehmer nach Jena ein. Dieses Jahr trägt die Veranstaltung den Titel “Digitale Transformation in der Zeitenwende“. Auf dem Digital-Gipfel 2023 wurde auch über die Zukunft einer KI-Regulierung diskutiert. In einem weiteren Beitrag berichten wir auch über die Besprechungen zur geplanten e-Patientenakte.
Bundesregierung über Notwendigkeit einer KI-Regulierung für Europa
Bundeswirtschaftsminister Robert Habeck betonte die Notwendigkeit einer ausgewogenen KI-Verordnung auf europäischer Ebene. Ähnlich wie die Bundesregierung in einem im Oktober bekanntgewordenem Positionspapier ausdrückt, sollen die neuen Regelungen laut Habeck innovationsfreundlich sein. In einem Podcast des Digitalverbandes Bitkoms zum Auftakt des Gipfels betont er die Bedeutung einer vernünftigen und ausgewogenen KI-Verordnung auf europäischer Ebene. Hingegen könne eine übermäßige Regulierung den Fortschritt behindern. Anderenfalls sei es so, als ob man die “besten Verkehrsvorschriften, aber keinen Verkehr auf der Straße” hätte. Zudem will er Investitionen der Privatwirtschaft in die neue Technologie fördern. Deswegen dürfe ein Gesetz lediglich die Anwendung nicht jedoch die Technologie selbst betreffen, um dem Bedürfnis an Innovation und Sicherheit nachzukommen. Weiterhin sprach sich Habeck für eine erhöhte Datenverfügbarkeit aus. Zu dem enormen Bedarf an Datenmengen für neue Technologien passe der Ansatz der Datensparsamkeit nicht mehr. Diese Daten müsse man selbstverständlich anonymisieren.
Auch Volker Wissing erkennt die Bedeutung der Zukunftstechnologie. In einer Pressemitteilung betont er die Relevanz von KI für anhaltende Wettbewerbsfähigkeit und Wohlstand. Man solle chancenorientiert Handeln und lokale Unternehmen in der Entwicklung stärken.
Parallel hierzu wurde laut LTO am Montag ein Positionspapier bekannt, in dem sich Deutschland, Italien und Frankreich gegenüber der spanischen Ratspräsidentschaft für eine risikobasierte Herangehensweise einsetzen. Heise online berichtet, dass die Bundesregierung auf eine unmittelbare “Regulierung von Foundation Models verzichten” wolle.
Kritik an der Richtung der Bundesregierung
Die Positionierung der Bundesregierung führte zu viel Kritik, wie heise online berichtet. Matthias Spielkamp von Algorithm Watch unterstelle der Bundesregierung gar keine echte Regulierung, sondern nur Selbstregulierung zu wollen. Dies sei allerdings nicht gerechtfertigt, da es sich nicht um bloße Grundlagenforschung handle. Habeck habe dem entgegnet, dass auch Atomforschung erlaubt sei. Heise online weist in diesem Zusammenhang allerdings darauf hin, dass Atomforschung “fast auf der ganzen Welt strenger Regulierung” unterliegt.
Kritik sei auch von EU-Abgeordneten Axel Voss (CDU) gekommen. Selbst wenn man eine Selbstregulierung ausreichen lasse, müssten jedenfalls minimale Transparenz- und Cybersicherheitsstandards gegeben sein. So stünde dies aktuell schon im Entwurf zum AI Act.
DGB fordert Mitbestimmung beim KI-Einsatz
Andererseits betone der Deutsche Gewerkschaftsbund (DGB) in Bezug auf den Digital-Gipfel die Bedeutung der Mitbestimmung der Sozialpartner bei der KI-Anwendung. Das rechtfertige sich dadurch, dass der Einsatz von KI am Arbeitsplatz „hochsensibel“ sei. Die DGB-Vorsitzende Yasmin Fahimi kritisierte gegenüber der dpa die geplante KI-Verordnung der EU. Der Entwurf bestimme keine Mitspracherechte der Sozialpartner, was sogar zu einer Reduzierung der bereits bestehenden Gestaltungsrechte führen könne. Deswegen fordere Fahimi – vergleichbar zur Datenschutzgrundverordnung (DSGVO) – die Schaffung einer Öffnungsklausel, um Beschäftigte zu schützen.
Fazit
Der Digital-Gipfel 2023 bietet ein facettenreiches Bild der aktuellen Herausforderungen und Chancen im digitalen Zeitalter insbesondere mit Blick auf die noch ausstehende KI-Regulierung. Die Diskussionen von verschiedenen Seiten zeigt, wie komplex und vielschichtig das Thema ist.
Während zu begrüßen ist, dass die Bundesregierung das große Potential dieser Zukunftstechnologie erkannt zu haben scheint, darf die Schaffung von Schutzmechanismen hierbei nicht außer Acht gelassen werden. Neben des von der DGB zu Recht erkannten Schutz der Arbeiterschaft, müssen auch ganz allgemein Datenschutzaspekte eingehalten werden. Dabei steht bei der Zuführung von Trainingsdaten vor allem die sorgfältige Anonymisierung personenbezogener Informationen im Vordergrund. Auch ganz generell birgt unregulierte KI politisch, gesellschaftlich, sozial und wirtschaftlich genauso große Gefahren wie Potentiale.
Die auseinandergehenden hier dargestellten Meinungen sowie die aktuellen Probleme, die sich bei der Schaffung der KI-Verordnung zeigen, verdeutlichen, dass hier noch einiges an Konfliktpotential besteht. Es bleibt zu hoffen, dass man einen Ansatz finden wird, der sowohl Fortschritt gewährleistet, als auch ausreichenden Schutz bietet. Wie eine konkrete Regulierung am Ende aussehen wird, bleibt spannend.
20. November 2023
Wie viele unserer Beiträge kürzlich gezeigt haben, ist Datenschutz im Gesundheitswesen von zentraler Bedeutung, insbesondere wenn die Daten sensible sind. Deswegen führt auch die Datenschutzaufsicht in Niedersachsen eine Reihe von Kontrollen im Gesundheitsbereich durch. Folglich hat sie kürzlich im Rahmen einer anlasslosen und stichprobenartigen Prüfung fünf Apotheken unter die Lupe genommen, um deren datenschutzkonformen Umgang mit Kundendaten zu überprüfen. Eine Pressemitteilung vom 15.11.2023 stellt die Ergebnisse dieser Prüfung dar und bietet Einblicke in die Stärken und Schwächen der Apotheken im Umgang mit sensiblen Informationen. Grundsätzlich kommt die Behörde zu einem positiven Ergebnis: Die Apotheken in Niedersachen bestehen die Datenschutzprüfung. An einigen einigen Stellen existiere jedoch weiterhin Verbesserungsbedarf.
Datensicherheit in Apotheken: Eine positive Bilanz
Die Prüfung offenbarte, dass die Apotheken in Niedersachsen insgesamt gut aufgestellt sind, wenn es um die Sicherheit von personenbezogenen Daten geht. Insbesondere beim Aufbewahren und Löschen dieser Daten entsprechen sie den datenschutzrechtlichen Regeln, wie Denis Lehmkemper, Landesbeauftragter für den Datenschutz in Niedersachen erklärt. Dies sei vorteilhaft für Kunden und zeige, dass die Betriebe sich über das hohe Maß an Verantwortung bewusst seien.
Prüfungsgegenstand
Geprüft wurden zum einen Einwilligungserklärungen der Kundschaft für Kundenkarten. Diese dienen vorwiegend einem Krankenkassenbericht, der Steuererklärung und Beratungszwecken. Zudem kontrollierte die Aufsichtsbehörde die Einhaltung von Löschpflichten. Im Übrigen wurden die Modalitäten für Berechtigungsscheine für die Ausgabe von Corona-Schutzmasken näher betrachtet. Diese sind noch bis zum 31.12.2023 aufzubewahren und danach zu vernichten.
Einwilligungserklärungen & Softwaresysteme: Akzeptabel, aber verbesserungsfähig
Die Einwilligungserklärungen für die Nutzung von Kundenkarten seien „rechtlich akzeptabel“, allerdings bestehe verbesserungsbedarf. Zum Beispiel seien einige Einwilligungstexte ungenau. Im Übrigen verwende man teilweise ungeeignete Softwareprogramme, sodass ein Risiko für Fehler bestünde.
Berechtigungsscheine ordnungsgemäß aufbewahrt
In sämtlichen Prüffällen verwahrten Apotheken Berechtigungsscheine für die Ausgabe von Corona-Schutzmasken entsprechend der gesetzlichen Vorgaben inklusive eines Vermerks zum Löschungsdatum separat von sonstigen personenbezogenen Daten.
Fazit
Die Apotheken in Niedersachen bestehen die Datenschutzprüfung. Die Ergebnisse zeigen, dass die Betriebe bereits soliden Datenschutzpraktiken folgen. Die identifizierten Verbesserungspotenziale bieten jedoch eine wertvolle Gelegenheit, den Datenschutz weiter zu optimieren. In Anbetracht der stetig wachsenden Bedeutung des Datenschutzes im Gesundheitswesen, wie zuletzt im Rahmen von cloudbasierten digitalen Gesundheitsanwendungen thematisiert, ist diese fortgesetzte Prüfungsreihe ein weiterer Schritt zu einem umfassenden Schutz sensibler Gesundheitsdaten.
17. November 2023
Passend zum aktuellem Trendthema des digitalisierten Gesundheitswesens hat sich neben der kürzlichen Fachtagung im rheinland-pfälzischem Landtag auch die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) mit diesem Thema beschäftigt. In einem Positionspapier vom 06.11.2023 äußert sich die DSK zu cloudbasierten digitalen Gesundheitsanwendungen (DiGA). Dabei beleuchtet sie vor allem welche datenschutzrechtlichen Anforderungen hierbei erfüllt sein müssen.
Rechtlicher Hintergrund
Zunächst kann man DiGA in zwei Kategorien untergliedern. Einerseits gibt es die erstattungsfähige digitale Gesundheitsanwendungen und andererseits alle sonstigen.
§ 4 Abs. 1 der Digitale Gesundheitsanwendungen-Verordnung (DiGAV) bestimmt, dass erstattungsfähige DiGA die gesetzlichen Vorgaben des Datenschutzes und die Anforderungen an die Datensicherheit nach dem Stand der Technik unter Berücksichtigung der Art der verarbeiteten Daten und der damit verbundenen Schutzstufen sowie des Schutzbedarfs gewährleisten müssen. Was erstattungsfähige DiGA sind, regelt das Bundesinstitut für Arzneimittel und Medizinprodukte in einem Verzeichnis (§ 139e Abs. 1 SGB V). Bislang weisen die Hersteller solcher Produkte die Erfüllung der datenschutzrechtlichen Voraussetzungen im Rahmen einer Selbsterklärung nach. Da diese Methode allerdings nicht genügend Gewähr für eine tatsächliche Einhaltung bietet, gibt es zwei gesetzliche Änderungen.
- § 4 Abs. 7 DiGAV: Ab dem 01.01.2025 müssen die vom Bundesamt für Sicherheit in der Informationstechnik nach § 139e Abs. 10 SGB V festgelegten Anforderungen an die Datensicherheit erfüllt werden.
- §4 Abs. 8 DiGAV: Ab dem 01.08.2024 müssen die vom Bundesinstitut für Arzneimittel und Medizinprodukte nach § 139e Abs. 11 SGB V festgelegten Prüfkriterien für die von DiGA nachzuweisenden Anforderungen an den Datenschutz umgesetzt werden.
Zudem gibt es aber auch noch eine Vielzahl DiGA, die nicht erstattungsfähig sind. Welche Voraussetzungen man bei dieser Art der DiGA beachten muss, erklärt die DSK in ihrem Positionspapier.
Wer ist verantwortlich?
Bei der Bestimmung, wer als datenschutzrechtlicher Verantwortlicher gilt, handele es sich um eine komplexe Zuordnung. Es sei eine genaue Analyse der Tätigkeiten im konkreten Kontext ist notwendig. Art. 4 der Datenschutz-Grundverordnung (DSGVO) verpflichtet Verantwortliche (Nr. 7) und Auftragsverarbeiter (Nr. 8). Potenzielle Verantwortliche seien zum Beispiel Ärzte, Hersteller oder Cloud-Betreiber. Ein Hersteller könne etwa ein Verantwortlicher sein, wenn er über die Mittel und Zwecke der Datenverarbeitung selbst bestimmt, wohingegen er Auftragsverarbeiter sei, wenn er für einen Verantwortlichen Daten verwerte. Hingegen trage er keine Verantwortlichkeit, wenn er lediglich mit der technischen Herstellung des Produkts betraut ist.
Grundsatz der datenschutzfreundlichen Gestaltung beachtet?
Die jeweilige Gesundheitsanwendung müsse entsprechend Art. 25 Abs. 1 DSGVO so gestaltet sein, dass man sie auch ohne Anlegen eines Benutzerkontos und ohne Cloudfunktion nutzen kann. Eine Ausnahme hiervon bestünde nur, wenn dies zur ordnungsgemäßen Verwendung zwingend erforderlich sei. Desweiterem müsse man den Nutzer auf die Vorteile und Gefahren der Cloudfunktion hinweisen.
Dürfen die Daten zu Forschungszwecken und zur Qualitätssicherung verwendet werden?
Die Nutzung personenbezogener Daten zu Forschungszwecken bedarf einer klaren Rechtsgrundlage, oft in Form einer ausdrücklichen Einwilligung gemäß Art. 9 Abs. 2 lit. a i. V. m. Art. 6 Abs. 1 lit. a DSGVO. Eine Ausnahme gilt nur, wenn es sich um anonymisierte Daten handelt. Für diesen Fall ist eine Datenschutz-Folgenabschätzung erforderlich, die aufzeigt, dass tatsächlich kein Personenbezug mehr existiert.
Die Verwendung von Daten, um die Pflicht der Qualitätssicherung von Medizinprodukten zu erfüllen, könne durch Art. 6 Abs. 1 lit. c i. V. m. Art. 9 Abs. 2 lit. i DSGVO und § 22 Abs. 1 Nr. 1 lit. c BDSG gerechtfertigt werden. Dabei dürfe die Datenverwertung das hierfür erforderliche Maß nicht überschreiten.
Welche Rechte haben die Nutzer?
Hersteller und Betreiber müssten Verfahren einführen, um die Erfüllung von Betroffenenrechten sicherzustellen. Dazu gehört das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit.
Ist die Verarbeitung sicher?
Wie bei sonstiger Verarbeitung personenbezogener Daten müsse man technische und organisatorische Maßnahmen (TOM) zur Risikominimierung implementieren und hierüber auch den Nachweis erbringen. Die regelmäßige Überprüfung und Bewertung dieser Maßnahmen sei im Rahmen einer Datenschutz-Folgenabschätzung erforderlich. Im Übrigen solle man die vom Bundesamt für Sicherheit in der Informationstechnik entwickelte Technische Richtlinie „Sicherheitsanforderungen an digitale Gesundheitsanwendungen“ (BSI TR-03161) beachten.
Dürfen die Daten international übertragen werden?
Ist ein internationaler Datentransfer gewünscht, müsse man sich an die Vorgaben des Kapitels V der DSGVO halten.
Fazit
Die aktuellen Entwicklungen im Datenschutz für Gesundheitsanwendungen werfen essenzielle Fragen auf, die sorgfältiger Klärung bedürfen. Nun hat sich auch die DSK zu cloudbasierten digitalen Gesundheitsanwendungen positioniert. Die Verantwortlichkeiten müssen klar definiert werden, insbesondere bei nicht unter § 139e SGB V fallenden Anwendungen. Grundsätzlich gilt, dass auch hier die Anforderungen der DSGVO streng beachtet werden müssen. Deswegen sind Unternehmen und Entwickler in diesem Bereich aufgefordert, ihre Prozesse entsprechend anzupassen, um den stetig wachsenden Anforderungen gerecht zu werden.
16. November 2023
Rund um das Thema Gesundheitsversorgung und Datenschutz passiert aktuell sehr viel. Erst Ende Oktober hat der EuGH ein datenschutzrechtliches Auskunftsrecht in Form einer kostenlosen ersten Kopie der Patientenakte bestätigt. Nun hat der Landesbeauftragte für den Datenschutz und die Informationssicherheit Rheinland-Pfalz (LfDI RlP) bekanntgegeben, dass am 13.11.2023 eine Fachtagung unter anderem zum Thema des Gesundheitsdatenschutz geendet hat. Die Tagung fand unter dem Titel „Was passiert mit unseren Gesundheitsdaten? Möglichkeiten und Grenzen der digitalen Nutzung von Gesundheitsdaten“ statt. Schwerpunkt war es, einen ausgewogenen Austausch unter Bezugnahme ethischer und rechtlicher Aspekte zu haben.
Datenschutz und Ethik als Symbiose
Der LfDI RlP Dieter Kugelmann vertrat die Ansicht, dass in diesem Zusammenhang Datenschutz kein Hindernis, sondern Teil der Lösung ist. Er unterstrich die Bedeutung, Datenschutz von Anfang an in den Gestaltungsprozess einzubinden, um eine ausgewogene Digitalisierung des Gesundheitswesens zu ermöglichen, die sowohl Innovation fördert als auch weiterhin die Rechte des Einzelnen beachtet.
Mehr Versorgungsqualität durch Elektronische Patientenakte
Ein weiteres Thema war die Einführung der elektronischen Patientenakte. Diese soll laut Bundesgesundheitsminister Karl Lauterbach ab 2025 eingeführt werden. Peter Heinz, Vorstandsmitglied der Kassenärztlichen Vereinigung Rheinland-Pfalz, unterstrich diesbezüglich die Bedeutung solcher Instrumente für ein hohes Maß an Versorgungsqualität und Forschungsfortschritt. Aus datenschutzrechtlicher Sicht ist es hierbei von besonderer Relevanz die Patienten über die Nutzung ihrer Gesundheitsdaten aufzuklären. Für Vertreter der Ärzteschaft kann es allerdings eine kaum zu bewältigende logistische Aufgabe sein, diese beiden Komponenten in Ausgleich zu bringen. In diesem Bereich bestehen also noch verschiedene Ungewissheiten, die abschließend geklärt werden müssen.
Chancen und Herausforderungen der digitalen Gesundheitsforschung
Auch im Fachgespräch über neue Entwicklungen in der Diagnose und Therapieforschung existierte Redebedarf im Datenschutzbereich. Die Digitalisierung und künstliche Intelligenz (KI) bieten nicht zu unterschätzende Chancen. Die Verwendung sensibler Gesundheitsdaten hierfür birgt allerdings auch ein großes Gefahrenpotential. Sabine Maur, Präsidentin der Landespsychotherapeutenkammer Rheinland-Pfalz, verdeutlichte in diesem Zusammenhang das Datenschutz und die Nutzung der Vorteile der Digitalisierung einher gehen können.
Fazit
Die Fachtagung zum Gesundheitsdatenschutz zeigt, dass die Digitalisierung im Gesundheitswesen sowohl Herausforderungen als auch Chancen birgt. Die intensive Diskussion macht klar, dass ein interdisziplinäres Vorgehen entscheidend für den Wechsel zu einem digitalen und fortschrittlicheren Gesundheitswesen ist. Insgesamt kann festgehalten werden, dass die Digitalisierung im Gesundheitswesen bedeutende Fortschritte ermöglichen könnte. Wichtig ist nun, dass entsprechende Vorkehrungen getroffen werden, um diese Innovation auch sicher voranzubringen.
15. November 2023
Die Verwendung von Microsoft ist immer wieder Datenschutzbedenken ausgesetzt. Erst kürzlich wurde von deutschen Datenschutzbehörden eine Handreichung zur datenschutzkonformen Nutzung von Microsoft Office 365 für private und öffentliche Organisationen veröffentlicht. Nun preist Microsoft sein neues Outlook an und ermutigt Nutzer zum Wechsel. Doch Vorsicht ist geboten: Das Upgrade könnte mit einer besorgniserregenden Datenübermittlung einhergehen. Wer das neue Outlook ausprobiert, könnte die Übertragung sensibler Zugangsdaten an Microsoft-Server riskieren und dem Unternehmen Einblicke in private E-Mails gewähren. Nun hat sich auch der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) besorgt über das Vorgehen von Microsoft geäußert.
Verlockendes Upgrade mit versteckten Risiken
Das neue Outlook wird mittlerweile im Startmenü von Windows-11-Geräten mit dem 2023-Update beworben. Das kostenlose Outlook soll das ursprüngliche Mail-Programm in Windows ablösen und in Zukunft auch das alte Outlook. Auch der Outlook-Client stellt eine Testversion zur Verfügung, die 2024 das bestehende Mail-Programm und den integrierten Kalender in Windows ersetzen soll.
Doch hinter der verlockenden Fassade könnte sich eine fragwürdige Datensammelpraxis verbergen. Bei der Einrichtung von E-Mail-Konten, die nicht zu Microsoft gehören, warnt das Programm vor Datenübertragungen. In einem Fenster weist der Betreiber bei Einrichtung darauf hin, dass Nicht-Microsoft-Konten mit der Microsoft-Cloud synchronisiert werden. Das bedeutet ein Risiko der Übertragung von IMAP- und SMTP-Zugangsdaten und E-Mails, wie Heise online berichtet. Dies betreffe bisher Gmail-, Yahoo-, iCloud- und IMAP-Konten. Laut Microsoft diene die Praxis dazu, Funktionen anzubieten, die Gmail und IMAP nicht bereitstellen.
Erste Stellungnahme des BfDI
Der BfDI hat hierzu bereits eine erste kurze Stellungnahme abgegeben und äußert sich besorgt über Vorgehen von Microsoft. Auf Mastodon schrieb er, dass er die Meldungen über ein vermutetes Datensammeln von Microsoft als alarmierend einstuft. Er kündigt an, heute am Dienstag, den 14.11.2023, beim Treffen der europäischen Datenschutzaufsichtsbehörden die federführenden irischen Datenschutzbeauftragten um einen Bericht bitten zu wollen.
Fazit
Bezüglich des verlockende Angebots, auf das neue Outlook umzusteigen, ist Vorsicht geboten. Microsofts undurchsichtige Datensammelpraxis, die bereits in der Vergangenheit für Kontroversen sorgte, setzt sich fort. Die unangekündigte Übertragung sensibler Zugangsdaten an Microsofts Server ist ein Risiko für die Privatsphäre der Nutzer und könnte eine Datenschutzgefahr für Ihr Unternehmen darstellen. Angesichts dieser Entwicklungen ist es unerlässlich, dass Nutzer vor einem Upgrade ihre persönlichen Risiken abwägen und die möglichen Konsequenzen für ihre Datenschutzrechte berücksichtigen.
14. November 2023
Die Europäische Union plant die Einführung der sogenannten „Chatkontrolle“. Durch technische Überwachungsmaßnahmen will man hierbei Kindesmissbrauch im Internet verfolgen und vorbeugen. Kürzlich hat die Konferenz der unabhängigen deutschen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) einen Entschluss veröffentlicht, in der sie die Chatkontrolle als anlasslose Massenüberwachung betitelte. Zu einem ähnlichen Ergebnis ist jetzt auch der Ausschuss für bürgerliche Freiheiten, Justiz und Inneres des Europäische Parlaments gekommen. Das EU-Parlament hat nämlich in einer Pressemitteilung vom 14.11.2023 bekanntgegeben, sich mit großer Mehrheit gegen eine anlasslose Chatkontrolle im Sinne einer Massenüberwachung positioniert zu haben.
Schutzmechanismen statt anlassloser Kontrolle
Zunächst soll es verschiedene Vorkehrungen geben, die nicht zwangsläufig an personenbezogene Daten anknüpfen, sondern die Funktion der Websites allgemein betreffen. So sollen Internetanbieter etwa dazu verpflichtet werden, das Risiko einer missbräuchlichen Nutzung zu bewerten. Die Anbieter müssen in eigener Verantwortung gezielte, angemessene und wirksame Maßnahmen ergreifen, um diese Risiken zu mindern. Zudem sollen pornografische Websites effektive Altersüberprüfungssysteme, Erkennungsmechanismen für kinderpornografisches Inhalte und menschliche Moderatoren zur Bearbeitung dieser Berichte implementieren. Dienste, die auf die Nutzung durch Minderjährige abzielen, sollen zusätzlich standardmäßig Zustimmungsverpflichtungen zum empfangen unaufgeforderter Nachrichten, Blockierungsfunktionen und mehr elterliche Kontrolle enthalten.
Massenüberwachung nur als “Ultima Ratio”
Um Massenüberwachung oder eine anlasslose Kontrolle im Internet zu vermeiden, dürfen nur als letzte Möglichkeit, wenn alle sonstige Maßnahmen gescheitert sind, und auch nur durch zeitlich begrenzte gerichtliche Anordnung, Methoden herangezogen werden, die es erlauben jegliches kinderpornografisches Material aufzuspüren und zu entfernen. Gleiches gilt für die besonders umstrittene Aufdeckungsanordnung, die mit einer umfassenden Chatkontrolle verbunden ist. Auch diese darf nur als letzter Ausweg für Einzelpersonen oder bestimmte Gruppen (einschließlich Abonnenten eines Kanals) erteilt werden, wenn ein “begründeter Verdacht” im Zusammenhang mit sexuellem Kindesmissbrauch besteht. Die Kontrolle verschlüsselter Kommunikation, wie etwa WhatsApp, wurde vom Anwendungsbereich der Erkennungsanordnungen ausgeschlossen, um sicherzustellen, dass die Unterhaltungen geschützt bleiben.
EU-Zentrum für den Kinderschutz
Im Rahmen des Gesetzes soll ein neues EU-Zentrum für den Kinderschutz eingerichtet werden. Dieses soll die Dienstleister bei der Implementierung der neuen Regeln unterstützen und bei der Erkennung von rechtswidrigem Material helfen. Parallel dazu würde die neue Stelle auch nationale Behörden bei der Umsetzung des neuen Gesetzes beistehen und Untersuchungen durchführen. Es bestünde sogar die Befugnis Geldbußen von bis zu 6 % des weltweiten Umsatzes zu verhängen.
Fazit
Dass das EU-Parlament die Befugnisse im Rahmen der Chatkontrolle begrenzt hat und sich gegen eine anlasslose Massenüberwachung ausgesprochen hat, ist zu begrüßen. Die erzielte rechtliche Kompromisslösung schafft praxistaugliche Regeln zur Bekämpfung des sexuellen Missbrauchs von Kindern im Netz. Hierdurch wird ein ausgewogener Ansatz zwischen dem Schutz von Kindern und der Wahrung der Privatsphäre bewirkt.
Nun muss nur noch das Plenum des Parlaments den Gesetzentwurf formell billigen. Sobald das passiert ist, können die Verhandlungen über den finalen Gesetzestext beginnen.
13. November 2023
Das EU-Parlament hat am 09.11.2023 bekannt gegeben, dass es mit großer Mehrheit für den Data Act gestimmt hat. Das neue Gesetz soll Hindernisse beim Zugang zu Daten beseitigen. Die Regelung legt fest, wer unter welchen Bedingungen einen Zugang zu Daten hat. Im Übrigen werden private und öffentliche Einrichtungen befugt gewisse Daten zu teilen.
Innovation durch Erleichterung des Datenzugangs
Sinn der neuen Regelung ist es, Innovation zu Fördern mittels eines erleichterten Zugangs zu Daten. Das Ausmaß an Daten, die täglich generiert wird, wächst exponentiell und nur ein geringer Anteil hiervon wird tatsächlich genutzt. Die neue Gesetzgebung ermöglicht es, auf die bereits existierenden Daten zuzugreifen und so das unerschlossene Potenzial vollständig zu nutzen.
Der Data Act ist vor allem darauf ausgelegt, Datenzugangsregeln für vernetzte Dienste festzulegen. Für solche Unternehmen sollen zukünftig transparente Regeln für das Teilen von Daten existieren. Dieser Schritt ist besonders entscheidend für die Fortentwicklung künstlicher Intelligenz, bei der umfangreiche Daten für ein effektives Training erforderlich sind.
Datenzugang für Nutzer
Die Nutzer sollen zunächst einen uneingeschränkten Zugang zu den von ihnen generierten Daten erhalten. Durch das Gesetz werden Anbieter vernetzter Produkte und Dienste verpflichtet, die hierdurch erstellten Daten dem Nutzer in leicht zugänglicher Form in Echtzeit und kostenlos bereitzustellen. Die Regelung richtet sich zum Beispiel an virtuelle Sprachassistenten wie Alexa oder Siri aber auch an Anbieter von Fitness-Uhren oder vernetzten Autos.
Kostensenkung bei After-Sales-Dienstleistungen
Ein weiterer mit dem Data Act verbundener Vorteil besteht in der potenziellen Kostenreduktion für After-Sales-Dienstleistungen und Reparaturen von vernetzten Geräten. Durch die Optimierung des Datenzugangs zielt die Gesetzgebung darauf ab, diese Dienste erschwinglicher zu machen und eine Umgebung zu schaffen, in der Verbraucher ihre vernetzten Geräte problemlos reparieren können.
Zugang des öffentlichen Sektors
Zudem soll es besondere Befugnisse für öffentliche Stellen in Notfallsituationen geben. So sollen etwa Behörden bei Überschwemmungen oder Waldbränden befähigt sein, auf erforderliche Daten von privaten Unternehmen zuzugreifen und diese zu nutzen. Allerdings können Behörden nur unter Beachtung der DSGVO in besonderen Konstellationen oder zur Erfüllung eines gesetzlichen Auftrages die gewünschten Daten fordern.
Schutz von Geschäftsgeheimnissen und Verhinderung rechtswidriger Übertragungen
In Anerkennung der Sensibilität von Geschäftsgeheimnissen hat das Parlament Maßnahmen integriert, um solche Daten zu schützen. Dies verhindert nicht nur rechtswidrige Datenübertragungen in Drittländer mit schwächeren Datenschutzvorkehrungen, sondern schützt auch davor, dass Wettbewerber die Daten nutzen, um Dienstleistungen oder Geräte ihrer Konkurrenten nachzuahmen. Dementsprechend können Unternehmen in Ausnahmefällen der Übermittlung bestimmter Daten widersprechen, wenn sie den hinreichend begründeten und objektiv nachvollziehbaren Nachweis erbringen, dass dies zu erheblichem wirtschaftlichem Schaden führen würde.
Erleichterung des Wechsels zwischen Cloud Service Providern
Zuletzt führt der Data Act Bestimmungen ein, um den Wechsel zwischen Cloud Service Providern zu vereinfachen und den Nutzern mehr Flexibilität zu geben. Durch die Neuerungen werden Betreiber verpflichtet mit anderen Diensten kompatible Standards zu verwenden. Dadurch wird auch kleineren Unternehmen gegenüber Marktbeherrschenden Konzernen eine Chance im Wettbewerb gegeben. Zudem sind die Nutzer dann nicht mehr an einen bestimmten Anbieter gebunden. Eine Neuerung im Vergleich zu der bereits in der DSGVO existierenden Regelung über Datenportabilität besteht darin, dass der Data Act auch nicht persönliche Datensätze erfasst.
Fazit
Nun, da das EU-Parlament für den Data Act gestimmt hat, fehlt nur noch eine förmliche Absegnung des EU-Rats. Bei Reibungslosem weiterem Ablauf, wird das Gesetz voraussichtlich Mitte 2025 in Kraft treten. Trotzdem gibt es weiterhin einige Zweifel. Die erzwungene Weitergabe von Daten könnte einen möglichen Schaden für europäische Unternehmen im internationalen Wettbewerb darstellen. Zudem bleibt die genaue Umsetzung und die Schaffung von Standards noch offen. Jedenfalls trägt die neue Regelung aber auch das Potential in sich, ein wegweisender Schritt für neue Prozesse und Geschäftsmodelle zu sein und so zu Innovation beizutragen. Der Weg zu einer effektiven und ausgewogenen Nutzung von Daten in Deutschland und Europa ist damit zumindest geebnet.
Pages: 1 2 3 4 5 6 7 ... 203 204 
