Kurz vor Weihnachten hat der Europäische Gerichtshof (EuGH) in einem Urteil Stellung zum Gesundheitsdatenschutz bezogen. Zuvor hatte er bereits wegweisende Entscheidungen zum Schufa-Scoring und den Verschuldensanforderungen bei der Bußgelderteilung erlassen. Mit Urteil vom 21.12.2023 (C-667/21) hat der EuGH sich nun mit dem Gesundheitsdatenschutz im Arbeitsverhältnis auseinandergesetzt. (mehr …)
Am 14.12.2023 hat der Deutsche Bundestag zwei wegweisende Digitalgesetze für die Gesundheitsversorgung verabschiedet. Das Digital-Gesetz (DigiG) und das Gesundheitsdatennutzungsgesetz (GDNG) markieren einen entscheidenden Schritt in Richtung eines modernen and angepassten Gesundheitssystems. Ziel ist es, durch digitale Innovationen den Versorgungsalltag zu verbessern und die Forschungsmöglichkeiten in Deutschland zu stärken. (mehr …)
Nachdem es sich in den letzten Wochen immer wieder um Gesundheitsdatenschutz gedreht hat, äußert sich auch das Europäische Parlament (EU-Parlament). Der Ausschuss für bürgerliche Freiheiten, Justiz und Inneres (LIBE) und der Ausschuss für Umweltfragen, öffentliche Gesundheit und Lebensmittelsicherheit (ENVI) des EU-Parlaments drücken in einer Pressemitteilung vom 28.11.2023 seinen Wunsch nach einem europäischen Gesundheitsdatenraum (European Health Data Space (EHDS)) aus. Das geschieht parallel zu den deutschen Bestrebungen nach der E-Patientenakte und den Forderungen der Datenschutzkonferenz (DSK) für einheitliche medizinische Register und mehr Datennutzung zu Forschungszwecken.
Primärnutzung: Steigerung des individuellen Gesundheitsschutzes
Mitglieder des Parlaments haben mit überragender Mehrheit einen Entwurf angenommen, der es den Bürgern ermöglichen soll, ihre persönlichen Gesundheitsdaten sicher und grenzüberschreitend nutzen zu können. Zu den betroffenen Daten sollen Rezepte, die Krankheitsgeschichte, Bildmaterial oder Laborergebnisse gehören. Für die Datennutzung soll über die MyHealth@EU-Plattform ein Zugang eingerichtet werden. Im Gegenzug sollen effektive Sicherheitsmechanismen zum Schutz sensibler personenbezogener Daten geschaffen werden.
Sekundärnutzung: Datenweitergabe für das Gemeinwohl
Diese momentane Entwicklung verspräche auch eine verbesserte Portabilität von Gesundheitsdaten und ein sicheres Teilen für „öffentliche Interessen im Gesundheitsbereich“. Das neue Gesundheitssystem soll es nämlich ermöglichen, bereits gesammelte Daten weiterzugeben. Hiervon umfasste Daten könnten Informationen zu Krankheitserregern, Erstattungsansprüche oder genetische Daten sein. Zum „öffentlichen Interesse im Gesundheitsbereich“ sollen etwa Forschungsförderung, Innovation, Politikgestaltung, Bildung, Patientensicherheit und regulatorische Zwecke gehören.
Andererseits sollen strenge Datenschutzbestimmungen festgelegt werden, um sicherzustellen, dass sensible Daten nur unter klaren Bedingungen und für definierte Zwecke geteilt werden dürfen. Deswegen soll die Verwendung für Werbung oder den Ausschluss von Versicherungsleistungen verboten sein. Für die Weitergabe und Anonymisierung oder Pseudonymisierung von Daten wäre eine staatliche Stelle zuständig. Für besonders sensible Daten soll es für die Sekundärnutzung zudem ein Einwilligungserfordernis geben und einen Widerspruchsmechanismus für sonstige Daten. Außerdem sollen Bürger das Recht erhalten, Entscheidungen von Stellen zur Gesundheitsdatenzugriff anzufechten.
Fazit
Der Wunsch nach einem europäischen Gesundheitsdatenraum ist bis zu einem gewissen Punkt nachvollziehbar. Zweifellos verspricht das neue System einen grenzüberschreitenden Fortschritt in der Patientenversorgung und in der medizinischen Forschung.
Dennoch sind einige kritische Gedanken zu berücksichtigen, insbesondere im Hinblick auf die Privatsphäre der Patienten. Zum einen stellt sich die Frage, ob die Primärnutzung tatsächlich einen signifikanten Vorteil für die Patienten darstellt. Auch jetzt schon ist es dem Individuum möglich seine Gesundheitsdaten mit Ärzten zu teilen, wenn auch vielleicht nicht ganz so komfortabel. Zudem kommt die Vielfalt der in der Pressemitteilung erwähnten Daten und potenziellen Nutzungszwecke. Dies birgt Missbrauchspotential in sich. Auch die erwähnte Widerspruchslösung bedeutet im Umkehrschluss eine pauschale Weitergabe von Daten. Im Übrigen könnte hiermit – genau wie mit dem neuen Data Act – eine weitere kritische Schwelle im Umgang mit personenbezogenen Daten überschritten werden. Ein zu leichtfertiger Umgang mit diesen sensiblen Informationen könnte langfristig das Vertrauen der Öffentlichkeit in solche Systeme untergraben.
Insgesamt müssen die Einführung des EHDS mit einem kritischen Auge betrachten und sichergestellt werden, dass Datenschutz und individuelle Rechte weiterhin im Mittelpunkt stehen. Die Potenziale dieser Initiative sind enorm, aber es muss ein Ausgleich mit der Privatsphäre der Patienten gewährleistet sein. Nun bleibt zunächst abzuwarten, wie die Vollversammlung des Europäischen Parlaments im Dezember über den Entwurf abstimmen wird.
Am 22. und 23. November 2023 hat in Lübeck die 106. Tagung der Konferenz der Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz (DSK)) stattgefunden. Bei der DSK tauschten sich Experten unteranderem zum Datenschutz in medizinischen Registern aus. In diesem Zusammenhang hat die DSK eine Entschließung zu „Rahmenbedingungen und Empfehlungen für die gesetzliche Regulierung medizinischer Register“ formuliert. Im Übrigen veröffentlichte sie auch eine Entschließung zum Datenschutz in der Gesundheitsforschung.
Vielfalt medizinischer Register in Deutschland
Hintergrund der Debatte ist, dass die Landschaft medizinischer Register in Deutschland äußerst vielfältig mit verschiedenen Strukturen und Arten ist. Deswegen stützen sich die meisten bezüglich der Datenverarbeitung auf Einwilligungen, während nur wenige auf eine gesetzliche Grundlage zurückzuführen sind. Die Zwecke der Register sind ebenso heterogen und reichen von Forschungsvorhaben zu Patienteninitiativen.
Hier setzt die Forderung der Bundesregierung nach einer einheitlichen gesetzlichen Regulierung in Form des Registergesetzes an. Durch allgemeine Regeln könnte man Daten besser und umfassender im öffentlichen Interesse verwenden, um mehr Struktur und Qualität zu gewährleisten. Laut der DSK ist hierbei allerdings stets ein hohes Datenschutzniveau zu gewährleisten. Zu beachten sei insbesondere Art. 9, 25, 32 und ggf. 89 Abs. 1 der Datenschutzgrundverordnung (DSGVO).
Die Rolle der Zentralstelle für medizinische Register
Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden befürwortet die Schaffung einer Zentralstelle für medizinische Register. Diese soll nicht nur ein Registerverzeichnis führen, sondern auch für die Auditierung und Zuordnung der einzelnen Gesundheitsregister je nach Qualitätsstufe verantwortlich sein. Nach Ansicht der DSK soll die Einteilung in die verschiedenen Kategorien „die Datenqualität, die Datenstruktur und die Standards bei der Verarbeitung“ beachten. Die Kompetenzen der Zentralstelle sollen entscheidend für die Weiterverarbeitung der in den Registern gespeicherten Daten sein. Deswegen fordert die DSK, die Stelle als unabhängige Körperschaft des öffentlichen Rechts einzurichten.
Konkret geforderte Rahmenbedingungen aus Datenschutzsicht:
Die DSK schließt sich der Bundesregierung mit dem Wunsch nach mehr Struktur und Einheit bei medizinischen Registern an. Um dies zu erreichen, hat sie in Ihrem Entschluss eine Liste von Rahmenbedingungen veröffentlicht, die wir im folgendem zusammengefasst haben.
Rechtsgrundlage der Datenerhebung: Werden personenbezogene Daten an das Register übertragen, die nicht hierfür erhoben wurden, bedürfe es für diese Zweckänderung einer klaren gesetzlichen Regelung gemäß Art. 6 Abs. 4 DSGVO. Die konkreten Aufbewahrungs- und Löschfristen müssten auf eindeutigen und verhältnismäßigen Regelungen unter Einhaltung der Grundsätze der Datenminimierung und Speicherbegrenzung beruhen.
Voraussetzungen für die Datenverarbeitung: Jedenfalls sei eine medizinisch-fachliche Erforderlichkeit für einen der in Art. 9 Abs. 2-4 DSGVO genannten Zwecke und bei Forschungszwecken ein allgemeines, voraussetzungsloses Widerspruchsrecht“ notwendig. Im Übrigen müssten die Öffnungsklausel nach Art. 9 Abs. 2 DSGVO und eventuell Art. 89 Abs. 1 DSGVO eingehalten werden. Wolle man für Forschungszwecke Daten verknüpfen, sei dies nur anlassbezogen und temporär zulässig. Nicht zu vergessen sei auch das Grundrecht auf Datenschutz. Die Rechtmäßigkeit der Datenverarbeitung müsse zudem differenziert und abhängig je nach dem konkreten Verarbeitungszweck bewertet werden. Hinsichtlich etwaiger Identifikationskennzeichen müsse darauf geachtet werden, dass bereichsspezifisch unterschiedliche und nicht rückrechenbare Bezeichnungen verwendet werden, um eine nachhaltige Pseudonymisierung sicherzustellen.
Technisch-organisatorische Maßnahmen: Weiterhin wünscht die DSK eine Standardisierung und Harmonisierung der Regeln zu technisch-organisatorischen Maßnahmen abhängig vom spezifischen Risiko. Hierzu solle auch die Anforderung an eine dezentrale Speicherung und Verarbeitung zählen. Bei einem sehr hohen Risiko empfiehlt die DSK zudem eine gesetzliche Datenschutzfolgenabschätzung (DSFA). Man solle sich zusätzlich auch für ein digitales Einwilligungsmanagement und eine digitale Ausübung der Betroffenenrechte einsetzen.
Zulassungsverfahren und unabhängige Vertrauensstellen: Zudem hält es die DSK für sinnvoll für „qualitätsgesicherte Register“ ein Zulassungsverfahrens einzuführen, um ihnen bestimmten Datenverarbeitungsbefugnisse zu gewähren. Daneben solle eine unabhängiger Vertrauensstellen erschaffen werden, die für die Anonymisierung und Kennzeichnung zuständig ist. In diesem Zusammenhang sollte auch ein System für die kontinuierliche Überprüfung von Qualitätsstandards und der Einhaltung des Schutzniveaus implementiert werden.
Fazit
Die gesetzliche Regulierung von Gesundheitsregistern ist notwendig, um Struktur und Qualität zu schaffen. Doch dabei darf Datenschutz nicht aus dem Blick verloren werden, weshalb die DSK verständlicherweise auch in medizinischen Registern dessen Beachtung fordert. Deswegen werden klare Vorgaben zu Zweckänderungen, Aufbewahrung, Datenübermittlung und technisch-organisatorischen Maßnahmen betont. Daher ist eine ausbalancierte Regulierung, die den Schutz der Gesundheitsdaten gewährleistet und gleichzeitig die wissenschaftliche Forschung ermöglicht, von entscheidender Bedeutung. Der Weg zu qualitätsgesicherten und transparenten medizinischen Registern erfordert eine sorgfältige Abwägung der Interessen und eine enge Zusammenarbeit zwischen Datenschutzbehörden, Registern und der Zentralstelle. Ob die Gesetzgebung diese Aufgabe meistern wird, bleibt abzuwarten.
Am 22. und 23. November 2023 hat in Lübeck die 106. Tagung der Konferenz der Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz (DSK)) stattgefunden. Bei der DSK haben sich Datenschutzexperten unteranderem zum Datenschutz in der Gesundheitsforschung ausgetauscht. Hierzu hat die DSK eine Entschließung unter dem Titel „Datenschutz in der Forschung durch einheitliche Maßstäbe stärken“ veröffentlicht. Morgen berichten wir zudem über eine weitere Entschließung der DSK über „Rahmenbedingungen und Empfehlungen für die gesetzliche Regulierung medizinischer Register“.
Hintergrund: Heterogene Datenschutzanforderungen als Forschungshemmnis
Hintergrund der Entschließung ist, dass sich medizinische Forschungsprojekte oft über Bundeslandesgrenzen hinweg erstrecken und verschiedene Forschungseinrichtungen aus unterschiedlichen Ländern involvieren. Da je nach Standort allerdings andere datenschutzrechtliche Regeln gelten, wird die Forschungsarbeit erschwert. Im Übrigen entstehen so auch datenschutzrechtliche Nachteile für betroffenen Personen. Die DSK wendet sich deswegen and Bundes- und Landesgesetzgeber. Sie fordert aufeinander abgestimmte gesetzliche Bestimmungen mit einem effektivem Datenschutzstandard, der länderübergreifende Forschung erleichtert.
Gesundheitsdatennutzungsgesetz (GDNG) – Ein erster Schritt?
Das Bundesgesundheitsministerium könnte mit dem Gesetzentwurf eines Gesundheitsdatennutzungsgesetzes (GDNG) zu einer einheitlichen Rechtsgrundlagen für die Datenweitergabe zu Forschungszwecken und zur Förderung der Patientensicherheit beitragen. Die DSK äußert jedoch Zweifel an der Rechtssicherheit der Neuerung. Es bestünden Unsicherheiten bezüglich des Verhältnisses zu den Landeskrankenhausgesetzen, da eine Auseinandersetzung mit der Gesetzgebungskompetenz der Länder im Krankenhausbereich fehle.
Notwendigkeit konkreter Garantien und Maßnahmen
Die DSK betont den Grundsatz: „Je höher der Schutz der betroffenen Personen durch geeignete Garantien und Maßnahmen, desto umfangreicher und spezifischer können die Daten zu Forschungszwecken genutzt werden.“. Deswegen müsse man möglichst genaue Regelungen schaffen, um eine weitreichende Datennutzung zu ermöglichen. Der Schutzumfang solle dabei abhängig von der jeweiligen Datenart festgelegt werden. Laut der DSK muss man, wenn eine hinreichende Anonymisierung nicht sichergestellt werden kann (z. B. bei Röntgenbildern), durch geeignete Vorschriften – etwa Form besonderer technischer und organisatorischer Maßnahmen – einen angemessenen Schutzumfang gewährleisten.
Vorschlag spezifischer Maßnahmen
Die DSK schlägt verschiedene Maßnahmen vor, um einen angemessenen Schutz der Grundrechte und Interessen der betroffenen Personen zu gewährleisten. Dazu gehören Vorgaben für die Betrachtungstiefe und Aufgabenzuweisungen für die Datenschutz-Folgenabschätzungen. Weiterhin müsse man zusätzlich zu Art. 15 ff. Datenschutzgrundverordnung (DSGVO) Betroffenenrechte, wie spezifische Widerspruchsrechte oder einen Anspruch auf die Vernichtung von Bio-Proben, implementieren. Auch die Festlegung angemessener Sperrfristen zur Ausübung der Betroffenenrechte könne helfen. Zudem solle man eine unabhängige Treuhandstellen zur Verschlüsselung einbinden sowie gesonderte Einrichtungen etablieren. Zuletzt sei an Verschwiegenheitspflichten, Zeugnisverweigerungsrechten und Ausgestaltungen zur Datenminimierung zu denken. Diese Aufzählung sei nicht abschließend. Vielmehr müsse die Legislative die vollumfängliche Ausgestaltung dieser Regelungen übernehmen.
Kernbereichsschutz
Die DSK hebt weiter hervor, dass bestimmte Gesundheitsdaten je nach den Gegebenheiten dem absoluten Schutz des Kernbereichs privater Lebensgestaltung zugeordnet werden müssen. Infolgedessen dürfe auch ein Forschungsinstitut solche medizinischen personenbezogenen Daten nicht für wissenschaftliche Zwecke verwenden.
Uneingeschränkte Datenschutzaufsicht
Zuletzt sei eine uneingeschränkte Datenschutzaufsicht unabdingbar für den notwendigen Schutz betroffener Personen. Einschränkungen der Befugnisse der Datenschutzbehörden müssten aufgehoben werden, um eine effektive Überwachung zu gewährleisten.
Fazit
Die Forderungen der DSK sind klar: Ein einheitlicher Datenschutz in der länderübergreifenden Gesundheitsforschung ist dringend erforderlich. Der vorgeschlagene GDNG-Gesetzentwurf ist ein erster Schritt, doch es bedarf weiterer präziser Regelungen und Anpassungen, um einen effektiven Datenschutz zu gewährleisten. In diesem Zusammenhang haben die Datenschutzbehörden ihre Unterstützung angeboten, um die Gesetzgeber bei der Schaffung eines hohen Datenschutzniveaus in der medizinischen Forschung zu begleiten.
Im Gesundheitsbereich passiert aktuell sehr viel. Erst letzte Woche fand eine Fachtagung zum Gesundheitsdatenschutz statt. Nun ging es beim Digital-Gipfel 2023 am 20. und 21. November neben der KI-Verordnung auch um eine digitale Identität im Gesundheitswesen. Die Konferenz fungierte als Schauplatz für wegweisende Entwicklungen im Gesundheitsbereich. Am Montagmorgen tauschten sich Experten des Digital- und Gesundheitswesens entsprechend des Programms im Vortrag „Digitale Identität – ein Schlüssel für alles. Kickstart im Gesundheitswesen“ aus. Themen waren zum Beispiel die E-Patientenakte, das E-Rezept oder eine neue Gesundheits-ID-App der Techniker Krankenkasse (TK).
Die TK-Ident-App
Die TK präsentiert auf dem Gipfel stolz ihre neue Gesundheitsanwendung – die „TK-Ident“. Ralf Degner von der TK kündigt bei dem Treffen ihren Launch in App-Stores in wenigen Tagen an. Die App verspricht mittels einer einmaligen Anmeldung per elektronischem Personalausweis eine einheitliche Identität für sämtliche Gesundheitsanwendungen. Auch die Einsicht in die elektronische Patientenakte soll bequem ohne eine weitere Bestätigung der Identität so möglich sein. Die Schaffung eines vertrauenswürdigen Systems, bei dem keine Daten an die bekannten Internet-Riesen übermittelt werden, müsse hierbei im Fokus stehen.
Der Digitalisierungsaufbruch im Gesundheitswesen
Susanne Ozegowski, Abteilungsleiterin für die Digitalisierung des Gesundheitswesens im Bundesministerium für Gesundheit, sieht die neue App als Teil des Wandels zur Digitalisierung im Gesundheitswesen. Die vorgeschlagene ID-Funktion, könne Probleme lösen, die die elektronische Gesundheitskarte bislang nicht meistern konnte. Neben der E-Patientenakte sieht sie einen Anwendungsbereich auch für das E-Rezept oder die ärztliche Videosprechstunde.
ID-Wallet als Vereinfachung
Ernst Bürger, verantwortlich für die Verwaltungsdigitalisierung im Bundesministerium des Innern, wies darauf hin, dass die App mittels des veralteten ePA-SDK (Software Development Kit) entwickelt worden sei. Um eine einfachere Wallet-Lösung zu ermöglichen, bedürfe es einer Überarbeitung des Systems.
Gesundheits-ID für Online-Services
Ab dem 01.01.2024 ermöglichen es gesetzliche Krankenkassen ihren Kunden auf Wunsch eine digitale Identität in Form einer Gesundheits-ID einzurichten. Dadurch soll der Zugang zu Online-Gesundheitsanwendungen wie etwa das E-Rezept oder die E-Patientenakte erleichtert werden. Dies soll mittels Authentifizierung entweder durch die Gesundheitskarte und PIN oder der Online-Ausweisfunktion des Personalausweises und PIN funktionieren. TK-Chef Jens Baas plädiert für letztere Option als Standardverfahren, da hier bereits ein sicheres und für die Nutzer einfaches verfahren existiert.
Datensicherheit als oberste Priorität
Sicherheitsforscher Martin Tschirsich begrüßte grundsätzlich die Neuerungen. Er betonte allerdings, dass die Einhaltung von Sicherheitsstandards entscheidend ist. Gerade bei Gesundheitsanwendungen mit sensiblen Daten sei dies unumgänglich. Es sei hier von höchster Priorität die Applikationen einfach und sicher zu gestalten. Dazu gehöre auch, dass man sich nicht ständig per Ausweis identifizieren muss.
Claudia Plattner, Präsidentin des Bundesamts für Sicherheit in der Informationstechnik, unterstreicht, dass digitale Identitäten die Grundvoraussetzungen für Datensicherheit sind. In einer Online-Sprechstunde müssten sich zum Beispiel Ärzte als auch Patienten wechselseitig identifizieren können.
Fazit
Der Digital-Gipfel 2023 gibt Einblick in die Zukunft des Gesundheitswesens und beschäftigt sich vor allem mit der digitalen Identität. Die TK-Ident-App verspricht eine wegweisende Vereinheitlichung von Gesundheitsanwendungen. Gerade vor dem Hintergrund weiterer Digitalisierungen wie der E-Patientenakte und dem E-Rezept scheint der Aufbau einer digitalen Identität unumgänglich. Entscheidend bleibt allerdings entsprechende Vorkehrungen zu schaffen, um die Sicherheit besonders schützenswerter sensibler Gesundheitsdaten zu gewährleisten. Die Herausforderung liegt im Aufbau eines vertrauenswürdigen Systems, das Gesundheitsdaten bewahrt. Es liegt nun an den Akteuren, Potenziale zu nutzen und höchste Standards umzusetzen.
Rund um das Thema Gesundheitsversorgung und Datenschutz passiert aktuell sehr viel. Erst Ende Oktober hat der EuGH ein datenschutzrechtliches Auskunftsrecht in Form einer kostenlosen ersten Kopie der Patientenakte bestätigt. Nun hat der Landesbeauftragte für den Datenschutz und die Informationssicherheit Rheinland-Pfalz (LfDI RlP) bekanntgegeben, dass am 13.11.2023 eine Fachtagung unter anderem zum Thema des Gesundheitsdatenschutz geendet hat. Die Tagung fand unter dem Titel „Was passiert mit unseren Gesundheitsdaten? Möglichkeiten und Grenzen der digitalen Nutzung von Gesundheitsdaten“ statt. Schwerpunkt war es, einen ausgewogenen Austausch unter Bezugnahme ethischer und rechtlicher Aspekte zu haben.
Datenschutz und Ethik als Symbiose
Der LfDI RlP Dieter Kugelmann vertrat die Ansicht, dass in diesem Zusammenhang Datenschutz kein Hindernis, sondern Teil der Lösung ist. Er unterstrich die Bedeutung, Datenschutz von Anfang an in den Gestaltungsprozess einzubinden, um eine ausgewogene Digitalisierung des Gesundheitswesens zu ermöglichen, die sowohl Innovation fördert als auch weiterhin die Rechte des Einzelnen beachtet.
Mehr Versorgungsqualität durch Elektronische Patientenakte
Ein weiteres Thema war die Einführung der elektronischen Patientenakte. Diese soll laut Bundesgesundheitsminister Karl Lauterbach ab 2025 eingeführt werden. Peter Heinz, Vorstandsmitglied der Kassenärztlichen Vereinigung Rheinland-Pfalz, unterstrich diesbezüglich die Bedeutung solcher Instrumente für ein hohes Maß an Versorgungsqualität und Forschungsfortschritt. Aus datenschutzrechtlicher Sicht ist es hierbei von besonderer Relevanz die Patienten über die Nutzung ihrer Gesundheitsdaten aufzuklären. Für Vertreter der Ärzteschaft kann es allerdings eine kaum zu bewältigende logistische Aufgabe sein, diese beiden Komponenten in Ausgleich zu bringen. In diesem Bereich bestehen also noch verschiedene Ungewissheiten, die abschließend geklärt werden müssen.
Chancen und Herausforderungen der digitalen Gesundheitsforschung
Auch im Fachgespräch über neue Entwicklungen in der Diagnose und Therapieforschung existierte Redebedarf im Datenschutzbereich. Die Digitalisierung und künstliche Intelligenz (KI) bieten nicht zu unterschätzende Chancen. Die Verwendung sensibler Gesundheitsdaten hierfür birgt allerdings auch ein großes Gefahrenpotential. Sabine Maur, Präsidentin der Landespsychotherapeutenkammer Rheinland-Pfalz, verdeutlichte in diesem Zusammenhang das Datenschutz und die Nutzung der Vorteile der Digitalisierung einher gehen können.
Fazit
Die Fachtagung zum Gesundheitsdatenschutz zeigt, dass die Digitalisierung im Gesundheitswesen sowohl Herausforderungen als auch Chancen birgt. Die intensive Diskussion macht klar, dass ein interdisziplinäres Vorgehen entscheidend für den Wechsel zu einem digitalen und fortschrittlicheren Gesundheitswesen ist. Insgesamt kann festgehalten werden, dass die Digitalisierung im Gesundheitswesen bedeutende Fortschritte ermöglichen könnte. Wichtig ist nun, dass entsprechende Vorkehrungen getroffen werden, um diese Innovation auch sicher voranzubringen.
Der Europäische Gerichtshof (EuGH) hat mit Urteil vom 26.10.2023 (C-307/22) den Zugang zu Patientenakten gestärkt. Hierin bestätigte er das Recht der Patienten auf eine kostenlose erste Kopie der Patientenakte, auch wenn sie ohne Begründung angefordert wurde. Dieses Urteil sorgt für mehr Transparenz durch Ärzte im Gesundheitswesen.
Der zugrundeliegende Fall
Das Urteil beruht auf einem Fall in Deutschland, bei dem ein Patient von seiner Zahnärztin eine Kopie seiner Patientenakte verlangte. Hiermit wollte er wegen mutmaßlichen Fehlverhaltens der Ärztin rechtliche Schritte gegen sie einleiten. Die Zahnärztin verlangte im Gegenzug jedoch, dass der Patient die Kosten für die Kopie übernehmen sollte.
Bisherige Rechtslage
Im deutschen Recht regelt § 630g BGB das Recht des Patienten auf Einsichtnahme in die Patientenakte. Nach Abs. 1 S. 1 darf dieses Recht nur verweigert werden, wenn erhebliche therapeutische Gründe oder sonstige erhebliche Rechte Dritter entgegenstehen. Im Übrigen hat nach Abs. 2 S. 2 der Patient die Kosten für eine Kopie hiervon zu tragen. Hingegen würde nach dem EU-Recht in Art. 15 Abs. 3 S. 1 DSGVO im Rahmen des allgemeinen datenschutzrechtlichen Auskunftsanspruch dem Behandelten eine kostenlose erste Kopie der Patientenakte zu stehen.
Der EuGH hatte das Verhältnis dieser beiden Regelungen bislang nicht abschließend geklärt. Bisher hatte er lediglich den Inhalt und Umfang des Auskunftsanspruchs geregelt (C-487/21). Demnach haben Patienten das Recht auf eine vollständige Kopie der in ihrer Patientenakte enthaltenen Informationen, sofern diese notwendig sind, um die personenbezogenen Daten der Akte eindeutig zu verstehen. Dies umfasst Daten wie Befunde und Angaben zu Heilungsmaßnahmen.
Das EuGH-Urteil
Der EuGH hat nun in seinem Urteil festgelegt, dass Patienten das Recht auf eine kostenlose erste Kopie ihrer Patientenakte haben. Kostentragungspflichten entstehen nur, wenn weitere Kopien der Akte angefordert werden.
Dieses Recht gilt unabhängig davon, ob der Patient beabsichtigt, die Informationen zum Beispiel im gerichtlichen Prozess gegen medizinische Fachkräfte zu nutzen. Im Übrigen besteht auch keine Pflicht zur Begründung des Antrags. Es ist lediglich erforderlich, dass der Patient legitime Zwecke verfolgt, selbst wenn sie wie im vorliegenden Fall keinen datenschutzrechtlichen Bezug aufweisen.
Die rechtliche Grundlage für dieses Urteil sieht der EuGH in der Datenschutz-Grundverordnung (DSGVO). Der EuGH betont, dass nationale Gesetze den Patienten nicht die wirtschaftliche Last einer ersten Kopie übertragen dürfen. Vielmehr sind die Ärzte „Verantwortliche“ im Sinne der DSGVO und müssen deswegen entsprechend Art. 15 Abs. 3 S. 1 DSGVO eine kostenlose Kopie zur Verfügung stellen. Die wirtschaftlichen Interessen der Ärzteschaft müssen demgegenüber zurücktreten. Weder Art. 12 DSGVO noch Art. 15 DSGVO normieren zudem eine Pflicht zur Angabe von Gründen. Weiterhin wird für den Verantwortlichen hierin auch kein Ermessen eingeräumt, eine Begründung zu fordern oder diese zu bewerten.
Damit kommt der EuGH zum Ergebnis, dass eine diesen Grundsätzen entgegenstehende nationale Regel, wie § 630g Abs. 2 S. 2 BGB, unionsrechtswidrig ist.
Fazit
Das EuGH-Urteil stärkt die Rechte der Patienten und fördert die Transparenz im Gesundheitswesen. Geregelt werden zwei wesentliche Punkte. Zunächst bestätigt er das Recht auf eine kostenlose Kopie der Patientenakten. Zum anderen bedarf es keiner Angabe von Gründen für das Auskunftsverlangen von Seiten des Antragsstellers. Durch das Urteil schafft der EuGH nicht nur Deutschland, sondern EU-weit einheitliche Standards im Umgang mit Patientenakten und dem Recht auf Information. Ob dies zu einem steigenden Rechtsmissbrauch des Auskunftsanspruchs führen wird, bleibt abzuwarten.
Auch im Gesundheitswesen sind Datenschutz und die Weitergabe von sensiblen Patientendaten an Dritte von großer Bedeutung. Dabei müssen bestimmte datenschutzrechtliche Voraussetzungen beachtet werden, um den Schutz der Patientendaten zu gewährleisten.
Datenweitergabe im medizinischen Bereich
Datenschutz im medizinischen Bereich ist grundsätzlich ein anspruchsvolles Thema. Wenn es darum geht, Patientendaten an Dritte weiterzugeben, wird die Situation komplexer. Deshalb stellt sich die Frage, inwieweit Berufsgeheimnisträger wie Ärzte dies dürfen. Dies betrifft nicht nur die Übermittlung von Patientenakten an andere Kliniken oder Praxen, sondern auch die Versendung von Blutproben an ein Labor oder die Weitergabe von Informationen zu Abrechnungszwecken.
Bedeutung von Patientendaten im Datenschutz
Patientendaten umfassen eine Vielzahl sensibler Informationen, wie etwa die Krankengeschichte, Blutwerte und die Art konkreter Beschwerden. Diese Daten gelten als Gesundheitsdaten im Sinne von Art. 9 Abs. 1 DSGVO und genießen deshalb einen besonderen Schutz. Zusätzlich unterliegen sie der ärztlichen Schweigepflicht. Selbst pseudonymisierten Daten sind weiterhin personenbezogene Daten.
Erfordernis einer Rechtsgrundlage für die Datenweitergabe
Aufgrund der Datenschutzbestimmungen und der ärztlichen Verschwiegenheitspflicht, darf man Patientendaten nur in Ausnahmefällen an Dritte übermitteln. Eine Datenübermittlung ist ohne die ausdrückliche Einwilligung des Patienten oder eine andere gesetzliche Erlaubnis nicht gestattet.
Gesetzliche Rechtsgrundlagen
Wenn eine gesetzliche Rechtsgrundlage vorliegt, bedarf es keiner zusätzlichen Einwilligung der Patienten. Dies gilt in begrenztem Umfang in den folgenden Fällen:
Ausdrückliche Patienteneinwilligung
In Fällen ohne gesetzliche Erlaubnis, ist die Einwilligung der Patienten erforderlich (Art. 6 Abs. 1 lit. a i. V. m. Art. 7 DSGVO). Dann müssen die Patienten transparente und umfassende Informationen über den Zweck der Datenübertragung und die jeweiligen Empfänger erhalten. Die Einwilligung sollte klar, eindeutig und idealerweise schriftlich erfolgen.
Die Privatärztlichen Verrechnungsstellen (PVS)
PVS sind Dienstleister, die Laboren, Arztpraxen und Krankenhausverwaltungen bei der Abrechnung medizinischer Leistungen helfen. In einigen Fällen wird angenommen, dass der Behandlungsvertrag als ausreichende Rechtsgrundlage dient (Art. 9 Abs. 2 lit. h, Abs. 3 DSGVO i. V. m. § 22 Abs. 1 Nr. 1 lit. b BDSG). Dies ist allerdings umstritten und aktuell noch nicht abschließend geklärt. Aus diesem Grund raten wir, sich auch in solchen Fällen um eine Einwilligung der Patienten zu bemühen.
Konsequenzen einer rechtswidrigen Datenweitergabe
Wenn keine Rechtsgrundlage für die Datenweitergabe besteht und trotzdem Daten übertragen werden, handelt es sich um einen Datenschutzverstoß. Dies kann schnell zu Bußgeldern auf Grund von Datenschutzrecht oder zur Geltendmachung von Schadensersatzansprüchen durch die Patienten führen. Darüber hinaus kann es sich auch um einen Verstoß gegen das Berufsgeheimnis handeln, woraus gemäß § 203 StGB eine Geld- oder Freiheitsstrafe folgen kann.
Fazit
Die Weitergabe von sensiblen Patientendaten ist und bleibt ein anspruchsvolles Thema. Es ist von großer Bedeutung, die datenschutzrechtlichen Prozesse in Arztpraxen und Krankenhäusern entsprechend anzupassen. In den meisten Fällen empfiehlt es sich, Einwilligungen für die erforderliche Datenweitergabe einzuholen, um Bußgelder oder sogar strafrechtliche Konsequenzen zu vermeiden. Wir als Externer Datenschutzbeauftragter helfen Ihnen gerne beim Implementieren entsprechender Prozesse weiter.
Der Verbraucherzentrale Bundesverband e.V. (vzbv) teste, wie Anbieter von Zyklus-Apps mit Betroffenenanfragen nach Art. 15 DSGVO umgehen. Im Ergebnis besteht für die App-Anbieter bei Beantwortung von Auskunftsersuchen Nachholbedarf.
Mit Hilfe von Zyklus-Apps können die Nutzerinnen persönliche Informationen über den Start ihrer Periode, gesundheitlichen Begleiterscheinungen oder beispielsweise zu einem Kinderwunsch dokumentieren. Dabei handelt es sich regelmäßig um Gesundheitsdaten im Sinne des Art. 9 DSGVO, d.h. um besondere Kategorien personenbezogener Daten, die einem besonderem Schutz unterliegen.
Im Rahmen eines Tests untersuchte nun der vzbv, wie zwölf Zyklus-Apps mit dem Recht auf Auskunft der Betroffenen umgehen. Nach Art. 15 DSGVO haben die betroffenen Nutzerinnen die Möglichkeit zu erfahren, ob die App-Anbieter ihre personenbezogenen Daten verarbeiten und wenn ja, welche Datenkategorien verarbeitet werden, zu welchen Zwecken, wem die Daten ggf. übermittelt werden, wie lange die Daten gespeichert werden und ob die Verarbeitung mittels einer automatisierten Entscheidungsfindung erfolgt. Dabei dient das Recht auf Auskunft u.a. dazu, den betroffenen Nutzern eine Informationsgrundlage zu bieten. Anschließend können sie weitere Rechte, wie das Recht auf Berichtigung oder Löschung nach Art. 16 und 17 DSGVO ausüben.
Zur datenschutzrechtlichen Untersuchung der Apps sollten drei Verbraucherinnen alles zwölf Apps verwenden. Im Anschluss stellte der vzbv im Namen jeder Verbraucherin eine Auskunftsanfrage. Zum Abgleich stellte anschließend die Stiftung Warentest die gleichen Fragen offen an die App-Anbieter.
Im Ergebnis erkennbar sei, laut vzbv dass die App-Anbieter einen großer Teil der Auskunftsanfragen, d.h. 31 von 36 innerhalb der gesetzlichen Frist von einem Monat beantwortet hätten. Zu der Frage, ob eine Datenverarbeitung erfolge, hätten die App-Anbieter in 21 von 31 Fällen geantwortet.
Negativ aufgefallen seien vier Anbieter, deren Auskünfte den eigenen Datenschutzerklärungen widersprochen hätten. Dabei habe ein Anbieter auf die Auskunftsanfrage geantwortet, dass er keine Gesundheitsdaten verarbeite. Nach der eigenen Datenschutzerklärung sei dies aber gerade der Fall.
Hinzukäme, dass die App-Anbieter über die bloße Datenverarbeitung hinausgehende Fragen nur lückenhaft beantwortet hätten. Insbesondere die Fragen zu den Zwecken der Datenverarbeitung seien nur unzureichend beantwortet worden. Zu den Verarbeitungszwecken hätten die App- entweder keine, falsche oder unvollständige Antworten gegeben.
Der durchgeführte Test erfolgte im Rahmen einer Untersuchung der Stiftung Warentest zu Zyklus-Apps. Die Anfragen zeigen, dass alle Nutzer achtsam mit der Abgabe personenbezogener Daten umgehen sollten. Dabei zeigt sich auch, dass die Wahrung von Betroffenen Rechten ein wichtiger Bestandteil des Datenschutzes sind.
datenschutzticker.de -
Blog zu Datenschutz und Datensicherheit der KINAST Rechtsanwälte.
Weitere Informationen über unsere Kanzlei finden Sie unter www.kinast.eu.
