Datenschutz im Gesundheitswesen – Anforderungen, Risiken und Praxis

Gesundheitsdaten sind laut DSGVO alle Informationen, die sich auf die körperliche oder geistige Gesundheit einer Person beziehen. Sie geben Auskunft über den früheren, gegenwärtigen oder zukünftigen Gesundheitszustand.

Dazu zählen zum Beispiel Diagnosen, Befunde, Medikationspläne oder Angaben zu einem Klinikaufenthalt. Weil diese Daten besonders sensibel sind, genießen sie einen höheren Schutz und dürfen nur unter strengen Voraussetzungen verarbeitet werden.

Die ärztliche Schweigepflicht ist eine strafrechtlich geschützte Berufspflicht, die die Offenlegung von Patient:innengeheimnissen verbietet. Der Datenschutz hingegen ist ein Grundrecht, das den gesamten Umgang mit personenbezogenen Daten von der Erhebung bis zur Löschung regelt.

Die Schweigepflicht ist also ein Teilaspekt des umfassenderen Datenschutzes, der durch Gesetze wie die DSGVO und das BDSG konkretisiert wird.

Der Datenschutz im Gesundheitswesen wird durch ein Zusammenspiel europäischer, nationaler und landesspezifischer Gesetze geregelt.

Die wichtigsten Grundlagen sind die Datenschutz-Grundverordnung (DSGVO) und das Bundesdatenschutzgesetz (BDSG). Ergänzend gelten bereichsspezifische Regelungen wie das Fünfte Buch Sozialgesetzbuch (SGB V), das Patientendaten-Schutz-Gesetz (PDSG) sowie die Berufsordnungen der Ärzt:innen und Landeskrankenhausgesetze.

Für den Datenschutz in einer Arztpraxis ist immer die Praxisleitung verantwortlich, also der:die niedergelassene Ärzt:in oder die Geschäftsführung. Diese Person muss sicherstellen, dass alle datenschutzrechtlichen Vorgaben eingehalten werden.

Sie kann zwar Aufgaben an geschultes Personal oder eine:n Datenschutzbeauftragte:n delegieren, die Letztverantwortung verbleibt jedoch bei der Leitung der Praxis.

Ärzt:innen dürfen Patientendaten nur dann an Dritte weitergeben, wenn eine klare rechtliche Grundlage dies erlaubt. In den meisten Fällen ist dafür die ausdrückliche Einwilligung der Patient:innen erforderlich.

Eine Weitergabe ohne Einwilligung ist nur in gesetzlich geregelten Ausnahmen zulässig, etwa zur Abrechnung mit der Krankenkasse, bei Meldepflichten nach dem Infektionsschutzgesetz oder zur Abwehr von Lebensgefahr.

Patientenakten müssen nach Abschluss der Behandlung grundsätzlich für eine Dauer von zehn Jahren aufbewahrt werden. Diese Frist ist im Bürgerlichen Gesetzbuch (§ 630f BGB) sowie in den Berufsordnungen der Ärzt:innen verankert.

Für bestimmte Unterlagen, wie zum Beispiel Dokumentationen im Rahmen der Strahlentherapie oder bei Gerichtsverfahren, können auch längere Fristen von bis zu 30 Jahren gelten.

Bei einer Datenpanne muss die Praxisleitung den Vorfall unverzüglich bewerten, dokumentieren und Maßnahmen zur Schadensbegrenzung ergreifen. Besteht durch die Panne ein Risiko für die Rechte und Freiheiten von Personen, muss sie innerhalb von 72 Stunden an die zuständige Datenschutz-Aufsichtsbehörde gemeldet werden.

Bei einem hohen Risiko müssen zusätzlich die betroffenen Patient:innen persönlich über den Vorfall informiert werden.

Eine datenschutzkonforme Videosprechstunde erfordert die Nutzung eines zertifizierten Videodienstanbieters, der eine durchgehende Ende-zu-Ende-Verschlüsselung gewährleistet. Die Kommunikation darf nicht aufgezeichnet werden und muss in einer privaten Umgebung stattfinden.

Zudem müssen Patient:innen vorab ihre Einwilligung zur Behandlung per Video geben und über den Datenschutz aufgeklärt werden. Mit dem Dienstanbieter ist ein Auftragsverarbeitungsvertrag (AVV) abzuschließen.

Die Polizei darf nur unter sehr strengen Voraussetzungen auf Patientendaten zugreifen, da die ärztliche Schweigepflicht auch gegenüber Ermittlungsbehörden gilt. Ein Zugriff ist in der Regel nur mit einem richterlichen Beschluss oder der Einwilligung der betroffenen Person möglich.

Eine Ausnahme kann bei unmittelbarer Gefahr für Leib und Leben bestehen, um beispielsweise eine schwere Straftat zu verhindern.

Die elektronische Patientenakte (ePA) wurde mit hohen Sicherheitsstandards entwickelt, um die sensiblen Gesundheitsdaten zu schützen. Die Datenübertragung erfolgt verschlüsselt über ein geschütztes Netzwerk, die Telematikinfrastruktur, und die Server stehen in Deutschland.

Allein die Patient:innen entscheiden, welche Daten gespeichert und welche Ärzt:innen oder Kliniken darauf zugreifen dürfen. Der Zugang ist durch eine Zwei-Faktor-Authentifizierung gesichert.