Kategorie: Gesundheitsdatenschutz
16. Mai 2018
Der Gesundheitsminister Jens Spahn spricht sich für die elektronische Gesundheitskarte aus. „Die Milliarde ist nicht umsonst investiert“, sagte Spahn der „Süddeutschen Zeitung“ (SZ).
Zuvor hatte es Spekulationen über ein mögliches Aus der elektronischen Gesundheitskarte gegeben. Denn Jens Spahn fordert neben der elektronischen Gesundheitskarte auch einfachere Zugriffsmöglichkeiten auf Patientendaten zu schaffen.
„Wenn Versicherte lieber per Handy und Smartphone-App auf ihre Gesundheitsdaten zugriffen, sollte man ihnen das genauso ermöglichen“, so Jens Spahn.
Der Preis für diese Nutzung könnte ein niedrigerer Sicherheitsstandard sein und damit ein Sicherheitsproblem darstellen. Denn für Datenübertragungen per Smartphone könnten die Nutzer die bisher vorgesehene Sicherheitsschwelle durch Einwilligung individuell senken.
Dieses Vorgehen ist datenschutzrechtlich als kritisch zu betrachten. Gerade, wenn man bedenkt, dass es sich bei Gesundheitsdaten um besonders sensible Daten nach Art. 9 DSGVO handelt, die besonders schützenswert sind.
25. April 2018
Das Landgericht Dessau-Roßlau hat entschieden (Urt. 3 O 29/17 vom 28.03.2018), dass bei einer Bestellung von Medikamenten im Internet Gesundheitsdaten auch vom Betreiber Online-Shop verarbeitet werden und dass deshalb eine ausdrückliche Einwilligungserklärung des Betroffen in die Verarbeitung notwendig ist.
Dem Urteil lag der Fall zu Grunde, dass ein Apotheker seine Ware über Amazon verkauft hat. Bei der Bestellung eines Medikaments wurden die Bestelldaten des Kunden nicht nur von der Apotheke, sondern auch von Amazon als Online-Shop-Betreiber verarbeitet.
Bei Gesundheitsdaten handelt es sich um sensible personenbezogene Daten, deren Verarbeitung grundsätzlich untersagt ist. Die Verarbeitung der Daten durch den Apotheker ist ausnahmsweise nach § 28 Abs. 7 BDSG zulässig, da er einer Geheimhaltungspflicht unterliegt. Auch der Betreiber der Handelsplattform verarbeitet die Daten um die Bestellung abzuwickeln. Im Gegensatz dazu unterliegt der Online-Shop aber keiner Verschwiegenheitspflicht. Für diese Verarbeitung greift kein Ausnahmetatbestand des § 28 BDSG, sodass die Verarbeitung der Gesundheitsdaten des Bestellers rechtswidrig ist.
Dies hat zur Folge, dass der Online-Shop-Betreiber eine Einwilligungserklärung des Kunden vor der Verarbeitung der Bestellerdaten einholen muss.
Auch nach der DSGVO ändert sich die Rechtslage ab dem 25. Mai nicht. Art. 9 Abs. 2 DSGVO sieht ebenfalls keine Ausnahme für den Betreiber der Handelsplattform vor, sodass es einer ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. A DSGVO bedarf.
10. April 2018
Um die Dating-App Grindr rankt sich erneut ein Datenskandal. Nachdem der ägyptische Geheimdienst im Jahr 2014 die Standortanzeige zahlreicher App-User dazu nutzte, Jagd auf homosexuelle Männer zu machen, gerät die App nun erneut in die Kritik. Diesmal geht es um Gesundheitsdaten.
Einem kürzlichen Bericht von CNN zufolge hat die bei homo- und bisexuellen Männern beliebte Dating-App Grindr HIV-Nutzerdaten an die Datendienste Apptimize und Localystics weitergegeben. Neben Angaben zum HIV-Status und dem Datum des letzten HIV-Tests zählen auch die E-Mail- und GPS-Adressen der Nutzer zu den weitergegebenen Daten. Geraten diese Informationen in die falschen Hände, können die Konsequenzen für Betroffene kaum schlimmer sein, zumal durch die damit mögliche Identifizierung von Personen auch die Gefahr einer gesellschaftliche Ächtung einhergeht. Wie konkret diese Gefahr tatsächlich einzustufen ist, ist allerdings unklar: Laut CNN hat die schwedische Non-Profit-Forschungsorganisation SINTEF herausgefunden, dass die Daten teilweise in reinem Textformat und völlig unverschlüsselt übermittelt worden sind, was Grindr jedoch bestreitet.
Grindr hat derweil reagiert und die Datendienste zur Löschung aufgefordert. Zudem verspricht der App-Anbieter für die Zukunft, Daten dieser Art nicht mehr weiterzugeben.
Auch wenn es die Weitergabe solch sensibler Daten kaum zu rechtfertigen vermag, hat der Appell von Grindr an einen eigenverantwortlichen Umgang der Nutzer mit ihren persönlichen Daten durchaus seine Berechtigung. Letztlich kann jeder Nutzer über die Einstellungsfunktion selbst entscheiden, welche Daten er von sich preisgeben möchte. So lässt sich das Risiko einer unerwünschten Datenweitergabe von vornherein ausschließen.
16. März 2018
Sobald in der Notrufzentrale ein Anruf eingeht, werden Daten über den gemeldeten Notfall und detaillierte Patientendaten an den Rettungsdienst weitergeleitet. Im Rahmen eines Sicherheitschecks durch das Magazin für Computer Technik – c’t kam raus, dass ein Zugriff auf die Einsatzdaten durch Dritte möglich war.
Getestet wurde die App NaProt des Berliner Unternehmens Pulsation IT. In diese App werden alle notfallrelevanten Daten wie beispielsweise Name, Geburtsdatum und Unfallort von der Notrufzentrale und von den Rettungskräften eingetragen. Das Ergebnis war, dass reale Einsätze einsehbar waren und falsche Daten eingetragen werden konnten. Außerdem wäre es möglich gewesen, dass Einsätze erst gar nicht über NaProt gemeldet worden wären.
Nach dem der Hersteller informiert wurde, hat er umgehend reagiert und ein Update veröffentlicht, das die Sicherheitslücke geschlossen hat.
12. März 2018
Das Bayerische Landesamt für Datenschutzaufsicht hat gemeinsam mit dem Bayerischen Landesbeauftragten für Datenschutz einen Leitfaden zur Umsetzung der Datenschutzgrundverordnung in bayerischen öffentlichen und privaten Krankenhäusern veröffentlicht. Ziel des Leitfadens ist es, praktische Hinweise zur Umsetzung der DSGVO zur Verfügung zu stellen und bestehende Unsicherheiten abzubauen. Da es bislang nur wenige Hilfstellungen in diesem Bereich gab, war es das erklärte Ziel beider Datenschutzaufsichtsbehörden, erste Hinweise zur Auslegung der DSGVO im Bereich des Gesundheitsdatenschutzes zu geben. Der Leitfaden eignet sich zur Orientierung ebenfalls für Krankenhäuser in anderen Bundesländern.
Schwerpunkt des Leitfadens ist das Datenschutzmanagement, um den erhöhten Anforderungen der DSGVO Rechnung zu tragen. Nach Auffassung der Verfasser sollte das Datenschutzmanagement im Wesentlichen neun Punkte erhalten. Genannt wird in diesem Zuge unter anderem die Festlegung eines Teams, das zur Umsetzung der datenschutzrechtlichen Anforderungen den Datenschutzbeauftragten unterstützen soll. Darüber hinaus enthält der Leitfaden Handlungsempfehlungen zur Erstellung und Pflege des Verzeichnisses der Verarbeitungstätigkeiten, der Auflistung von Datenschutzkonzepten für Verfahren und Auftragsverarbeitungsverträgen, sowie der Erstellung von Datenschutzfolgenabschätzungen. Zudem werden die Punkte der Risikoabschätzung, der Behandlung von Datenschutzverletzungen sowie der Implementierung von Informationspflichten und der Umsetzung von Betroffenenrechten thematisiert.
23. Februar 2018
In der DSGVO nehmen Gesundheitsdaten eine besondere Stellung ein. In der stationären Pflege und in Krankenhäusern muss zwischen Einrichtungen in kirchlicher Trägerschaft und denen in privater oder staatlicher unterschieden werden. Bei den kirchlichen Trägerschaften gilt die Anordnung über den Kirchlichen Datenschutz (KDO) und das Kirchengesetz über den Datenschutz der Evangelischen Kirche in Deutschland (DSG-EKD).
Bei staatlichen oder privaten Trägerschaften sollte insbesondere den Umgang mit Gesundheitsdaten, vor dem Hintergrund der DSGVO nochmals überprüft werden .
Welche Informationen gehören zu den Gesundheitsdaten?
In der DSGVO (Art. 4 Nr. 15) gibt es eine Erläuterung:
„Gesundheitsdaten“ sind demnach personenbezogene Daten, „die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen“.
Gesundheitsdaten gehören -wie schon nach dem BDSG- auch nach der DSGVO zu der besonderen Kategorie personenbezogener Daten. Neu dazugekommen sind genetische Angaben und biometrische Daten zur eindeutigen Identifikation einer Person. Für Gesundheitsdaten gilt eine besondere Schutzbedürftigkeit.
Daher besteht ein grundsätzliches Verbot der Verarbeitung dieser Daten. Eine Verarbeitung ist nur unter bestimmten Voraussetzungen möglich (Art. 92a-j DSGVO). Es bedarf einer Einwilligung des Betroffenen oder eines Rechtfertigungsgrundes.
Organisationen im Sozial- und Gesundheitswesen sollten sich daher rechtzeitig auf die neuen Anforderungen der DSGVO einstellen.
11. Januar 2018
Laut Wissenschaftlern des Universitätsklinikums Freiburg, sollen für das Datenschutzrecht neue Herausforderungen durch den rasanten Fortschritt der Neurotechnologie erwachsen. Als Grund dafür werden neue Technologien im Zusammenhang mit der Messung und Bewertung von Hirnaktivitäten angeführt.
In den vergangenen Jahren hat sich auch die Neurotechnologie, begünstigt durch die Investitionen bedeutender Unternehmen, mit hohem Tempo entwickelt.
Durch diese Entwicklung ist insbesondere die Datensammlung über die Hirnaktivität des Menschen vorangeschritten. Nach den Wissenschaftlern des Universitätsklinikums Freiburg, sollen durch die Messung und Bewertung dieser Daten wiederum Rückschlüsse auf Krankheiten gezogen werden können. Ebenso sollen sie genutzt werden können in Bezug auf allgemeine Verhaltensweisen. Schließlich sollen bereits Geräte in diesem Bereich vorhanden sein, die die Hirnaktivität aufzeichnen sowie Stressabbau bewirken und die Konzentration steigern können. Ein Einsatz dieser Technologien soll bereits in 5 Jahren großflächig möglich sein.
Diskutiert wird daher nun, ob das aktuelle Datenschutzrecht diesen neuen Technologien gerecht werden kann. Die dabei gesammelten Daten zur Hirnaktivität sind Gesundheitsdaten und damit sensible Daten im Sinne des Art. 9 Abs. 1 DSGVO. Gerade bezüglich sensibler Daten muss ein hohes Schutzniveau durch den Datenschutz gewährleistet sein.
Zwar ist die Verarbeitung nur in Ausnahmefällen des Art. 9 Abs. 2 DSGVO zulässig, jedoch bestehen nach diesem Art. 9 Abs. 2 DSGVO durchaus Möglichkeiten für Unternehmen den Schutz zu umgehen. So kann speziell durch eine Einwilligung gem. Art. 9 Abs. 2 lit. a DSGVO eine zulässige Verarbeitung durch ein Unternehmen erfolgen. Ebenso kann eine solche zulässig sein, wenn sie gem. Art. 9 Abs. 2 lit. j DSGVO zum Zweck wissenschaftlicher Forschung erforderlich ist.
Dr. Philipp Kellmeyer, Wissenschaftler am Universitätsklinikum Freiburg, mahnt dazu an, dass der Nutzer weiterhin der Herr seiner Daten bleiben muss.
Gefordert werden von den Wissenschaftlern insbesondere hohe Schutzvorkehrungen gegen einen missbräuchlichen Handel mit sensiblen Daten. Nach der Auffassung des Mediziners Dr. Kellmeyer sollte angedacht werden, den Handel mit diesen Gesundheitsdaten gesetzlich zu verbieten. Ein ähnliches Verbot existiere schließlich bereits für den Organhandel.
Ob derartige Maßnahmen tatsächlich zukünftig notwendig sind, ist jedoch nicht absehbar und bleibt abzuwarten.
16. November 2017
In der modernen Medizin spielt Big Data eine immer bedeutendere Rolle. So finden etwa Virtual Reality, künstliche Intelligenz und Big Data immer größere Berücksichtigung in den Überlegungen und Planungen für die zukünftige Medizin.
Auf der Düsseldorfer Medica, einer bedeutenden Medizinmesse, wurden mögliche Innovationen unter den Schlagwörtern „Patient 4.0“ und „Arzt 4.0“ diskutiert.
Ein thematisierter Ansatzpunkt gilt dem Einsatz des Smartphones in der Medizin. Auf der Düsseldorfer Medica gibt es bereits entsprechende Anwendungen mit gesundheitlichem Bezug. Franz Bartmann vom Vorstand Bundesärztekammer ließ eine zukünftige Bedeutung des Smartphones in der Medizin anklingen, als er das Smartphone als Stethoskop des 21. Jahrhunderts bezeichnete. Diese vereinzelte Aussage stützt eine Erhebung des Branchenverbands Bitkom. Danach sollen 45% der deutschen Smartphone-Besitzer auch Gesundheits-Apps verwenden.
Der Einsatz des Smartphones in der Medizin wirft jedoch zahlreiche ungeklärte Fragen auf, wie etwa nach der Validität der Daten und des Nutzens für den Patienten. Ebenso stellt sich die Frage nach den Zugangsmöglichkeiten zu diesen Daten für den Arzt und der zukünftigen Rolle des Arztes.
Eine mögliche Rolle des Arztes sieht Frank Bartmann darin, dass der Arzt den Patienten als Mentor anleiten kann.
Teilweise wird in diesem Zusammenhang das bisher bestehende Datenbewusstsein kritisiert. So meint der Jurist Dirk Heckmann, dass ein neues Datenbewusstsein notwendig sei. Laut Heckmann, Lehrendem an der Universität Passau und Teil des Ethik-Beirats der AOK Nordwest, sei das Gut Gesundheit bedeutsamer als die informationelle Selbstbestimmung. In die gleiche Richtung ging Erwin Böttinger vom Digital Health Center des Hasso-Plattner-Institutes, als er für vernetzte Daten warb.
Die weitere Entwicklung in diesem Bereich bleibt abzuwarten.
10. November 2017
Die Digitalisierung auf der ganzen Welt schreitet immer mehr voran. Auch im Bereich der Medizin gibt es immer wieder technische Innovationen die eine gewisse Digitalisierung von Krankenhäusern voraussetzen.
Ein weit verbreitetes Problem dabei ist, dass solche Innovationen meist mit hohen Kosten und viel Aufwand verbunden sind. Dementsprechend gibt es zahlreiche Krankenhäuser, die nicht mit dem technischen Fortschritt Schritt halten können.
Der Geschäftsführer der Deutschen Krankenhausgesellschaft Georg Baum beurteilt die Lage deutscher Krankenhäuser so, dass diese seines Erachtens nach ganze 5 Jahre hinter der Digitalisierung zurückliegen. Neuheiten wie beispielsweise „intelligente Pflaster“, welche die Wundheilung mittels Temperaturmessung überwachen und Unregelmäßigkeiten per App mitteilen oder digitale Bilddaten aus CT- oder MRT-Systemen die Tumore aufspüren können, sind dabei für deutsche Krankenhäuser weitestgehend unerschwinglich.
Bei weiterer Betrachtung solcher Innovationen fällt ein weiteres Problem deutlich ins Gewicht. Die IT Sicherheit und der Datenschutz. Da es sich in der Medizin immer um Gesundheitsdaten und somit sensible personenbezogene Daten dreht, stellt sich die Frage wie man diese ordnungsgemäß schützen kann, dass Dritte in keinem Fall Zugang zu den Daten der Patienten bekommen können.
Die Verwendung von Apps und eine drahtlose Übermittlung der Daten bieten dabei die Gelegenheit für Hackerangriffe, welchen durch sogenannte „Cybersicherheit“ vorgebeugt werden soll. Besonders problematisch sind dabei jene Anwendungen, die mit dem Handy eines Patienten oder des Benutzers gekoppelt werden.
Wie sich die Sachlage zukünftig entwickeln wird und wodurch die Gesundheitsapps und technischen Innovationen geschützt werden ist noch nicht ausgereift. Aktuell jedoch benutzen bereits 45 % der deutschen Smartphone Nutzer Gesundheitsapps in ihrem Alltag.
18. Oktober 2017
Anlässlich des frisch gewählten Bundestags formulierten alle unabhängigen deutschen Datenschutzbehörden einen Katalog mit Grundsatzpositionen für die neue Legislaturperiode. Die diesjährige Vorsitzende der Datenschutzkonferenz, die niedersächsische Landesbeauftragte Barbara Thiel, legte das Dokument allen im Bundestag vertretenen Fraktionen vor. Die Aufsichtsbehörden von Bund und Ländern formulierten elf Forderungen an den deutschen Gesetzgeber.
Die Datenschutzbehörden warnen davor, Daten zu einer „rein wirtschaftlichen Größe“ zu machen und fordern, dass das Verbotsprinzip nach der Datenschutzgrundverordnung (DSGVO) nicht unter dem modernen Schlagwort „Datensouveräntität“ zurückweichen darf. Das Grundprinzip der Datenminimierung müsse weiterhin an vorderer Stelle stehen. Diese Forderungen seien nach Ansicht der Konferenzvorsitzenden Thiel kein Hindernis für die Digitalisierung. Vielmehr sei Datenschutz als Grundrechtsschutz und „integraler und förderlicher Bestandteil“ von Fortschritt in Politik, Wirtschaft und Gesellschaft.
Die Grundsatzpositionen der Datenschutzkonferenz heben auch die Bedeutung von Privacy by Design und Privacy by Default hervor. Datenschutz muss im gesamten Lebenszyklus von Produkten und Dienstleistungen bedacht und implementiert werden. Nach den Aufsichtsbehörden soll die Bundesregierungen solche Projekte und Innovationen fördern, auch indem sie sich mit Vertretern aus Wirtschaft, Forschung und Entwicklung austauscht.
Weiter fordern die Aufsichtsbehörden ein eigenständiges Gesetz zum Beschäftigtendatenschutz, das den Anforderungen der Arbeitswelt 4.0 entspricht. § 26 BDSG-neu sei den aktuellen Herausforderungen wie z.B. durch verdeckte technische Überwachung, nicht gewachsen. Im Bereich von E-Health fordern die Datenschutzbehörden strenge Vorgaben, damit z.B. Patienten, die eine laufende Erfassung von Gesundheitsdaten via Wearables und Fitness-Apps nicht zustimmen, bei Versicherungstarifen nicht benachteiligt werden. Big-Data-Projekte im Gesundheitswesen sollten per Gesetz mit der zuständigen Datenschutzaufsichtsbehörde abzustimmen sein. Schließlich sehen die Aufsichtsbehörden das Thema Vorratsdatenspeicherung weiterhin kritisch, jene sei „in all ihren Ausprägungen auf den Prüfstand zu stellen“.
