„Wie hoch könnte das Bußgeld sein?“ werden wir immer gefragt, wenn wir Risikobewertungen vornehmen. Anstatt mit der Angst von Ihnen zu spielen, haben wir einen Bußgeldrechner entwickelt. Der Rechner orientiert sich an den Berechnungssätzen der Behörden für Datenschutzaufsicht in Deutschland.
Seit Jahren beklagt der Gesundheitssektor die Zunahme an Bürokratie – mit der Anwendbarkeit der DSGVO sind viele Pflichten hinzugekommen. Rechenschaftspflichten nach der DSGVO sind scharf wie Rasierklingen. Pflichten zur Gewährleistung ausreichender IT-Security und zahlreiche Dokumentations- und Informationspflichten machen die DSGVO aus Sicht vieler zum „Bürokratie-Monster“. Lesen Sie hier die wichtigsten Fakten für das Gesundheitswesen nach, die nach unserer Meinung für das Verständnis wirklich wichtig sind.
Ausgerechnet bei sensiblen Patientendaten lässt der Datenschutz in Deutschland offenbar zu wünschen übrig. Die richtige Beratung sorgt hierbei für weniger Bürokratie und mehr Freiheiten für die Ärzte und das medizinische Personal.
Braucht man von jedem Patienten vor der Behandlung eine Einwilligung? Sind Fachgespräche mit Kollegen noch erlaubt? Die größten DSGVO-Irrtümer und unsere Handlungsempfehlungen haben wir in diesem kostenlosen E-Book exklusiv für den Gesundheitssektor zusammenfasst.
Für die Verletzung des Schutzes von personenbezogenen Daten hat sich der Begriff „Datenpanne“ durchgesetzt. Gemeint ist Folgendes: Gem. Art. 14 Nr. 12 DSGVO ist eine Verletzung von personenbezogenen Daten gegeben, wenn diese Daten verlorengegangen, vernichtet, verändert oder unbefugt offengelegt wurden.
Beispiele: USB-Stick mit Gesundheitsdaten verloren, Fax oder E-Mail mit personenbezogenen Daten fehlversendet, Emotet-Angriff auf den Server, Patienten können Bildschirme mit Daten Dritter einsehen.
Wenn der Verantwortliche Kenntnis von einem solchen Vorfall erhält, ist Eile geboten. Innerhalb von 72 Stunden ab Kenntnis muss dieser Vorfall der zuständigen Aufsichtsbehörde gemeldet werden, wenn die Verletzung des Schutzes personenbezogener Daten voraussichtlich zu einem Risiko für die Rechte und Freiheiten der betroffenen Person führt. Die Meldepflicht gilt auch dann, wenn (erkennbar) noch kein Schaden eingetreten ist. Klingt das kompliziert? Das ist es tatsächlich auch, bitte lassen Sie sich von Ihrem Datenschutzbeauftragten hierzu dringend beraten!
Mehr lesen
Der Datenschutzbeauftragte – Ihr Helfer in der Not
Der Datenschutzbeauftragte dient als Ihr persönlicher Experte für Datenschutz und Datensicherheit in Ihrem Unternehmen.
Die Aufgaben eines Datenschutzbeauftragten verteilen sich dabei gleichermaßen auf die Tätigkeit innerhalb des Unternehmens, die Rolle gegenüber den Aufsichtsbehörden sowie die Funktion gegenüber Betroffenen.
Welche Aufgaben muss ein Datenschutzbauftragter übernehmen können?
Im Hinblick auf die interne Tätigkeit des Datenschutzbeauftragten im Unternehmen lassen sich drei Hauptaufgaben festhalten:
Neben diesen drei Hauptaufgaben ist der Datenschutzbeauftragte der erste Ansprechpartner eines Unternehmens, wenn Fragen zum Thema Datenschutz aufkommen. Um Fragen von Kunden, Mitarbeitern, der Geschäftsführung oder von Dritten kompetent beantworten zu können, ist eine umfangreiche Ausbildung des externen Datenschutzbeauftragten unerlässlich.
Warum nutzen so viele Ärzte einen externen Datenschutzbeauftragten?
Die umfangreiche und komplexe Position des Datenschutzbeauftragten kann zwar von einem Ihrer Mitarbeiter übernommen werden. Der entsprechende Mitarbeiter muss jedoch über eine spezielle Ausbildung sowie Zertifizierung verfügen und von seiner eigentlichen Tätigkeit freigestellt werden.
Der externe Datenschutzbeauftragte dagegen wird im Rahmen eines Dienstleistungsverhältnisses für Ihr Unternehmen tätig und kann somit die Aufgabe des betrieblichen Datenschutzbeauftragten übernehmen.
Insbesondere für kleine und mittlere Unternehmen bietet der externe Datenschutzbeauftragte viele Vorteile im Vergleich zur Benennung eines internen Datenschutzbeauftragten:
Mehr lesen
Der Gesetzgeber hat mit dem neuen Digitale Versorgung Gesetz vorgegeben, dass Ärzte künftig für die Behandlung von Patienten auch Gesundheits-Apps einsetzen sollen. Haben Sie sich diesbezüglich schon mal über Ihre eigene Haftung Gedanken gemacht?
Der Arzt muss sich vor der Anwendung einer App davon überzeugen, dass diese für den angedachten Zweck geeignet und auch erkennbar sicher ist, um im Schadensfall einen Verschuldensvorwurf zu entkräften.
Berechnen Sie Ihr Datenschutz-Risiko und reagieren Sie frühzeitig auf Mängel!
Vermeiden Sie Verstöße und ein hohes Bußgeld, indem Sie Risiken in der Datenverarbeitung identifizieren und die richtigen Maßnahmen einleiten. Durch eine Bewertung können Sie sich einen Eindruck über Ihr aktuelles Datenschutzniveau einholen.
Die Datenschutzgrundverordnung (DSGVO) ist eine europäische Rechtsverordnung, die in Deutschland unmittelbar Geltung entfaltet. Daneben gibt es noch das deutsche Bundesdatenschutzgesetz in der neuen Fassung seit 25. Mai 2018, das in den Grenzen Anpassungsvorschriften enthält, z.B. ab wie vielen Angestellten eines Betriebs ein Datenschutzbeauftragte bestellt werden muss (§ 38 BDSG).
Die DSGVO ist auf einen Fall einer Datenverarbeitung anwendbar, wenn personenbezogene Daten zu Zwecken verarbeitet werden, nicht nur rein privater Natur sind. Räumlich anwendbar ist die DSGVO, wenn diese Daten von EU-Bürgern mit Wohnsitz in der EU stammen oder wenn es um Daten geht, die von Menschen verarbeitet werden, die sich in der EU aufhalten.
Ist die DSGVO auf eine Datenverarbeitung anwendbar, gilt das Grundprinzip: Die Datenverarbeitung ist verboten, wenn sie nicht ausnahmsweise erlaubt ist. Die DSGVO sieht in Art. 6 DSGVO bestimmte Vorschriften vor, die Datenverarbeitungen zu bestimmten Zwecken erlauben (sog. Erlaubnistatbestände). Im Gesundheitssektor kann z.B. ein Behandlungsvertrag, eine Einwilligung eines Patienten, eine gesetzliche Pflicht oder ein Notfall mit Lebensgefahr sein.
Wenn Daten verarbeitet werden dürfen (man sagt: „auf eine Rechtsgrundlage gestützt werden können“), dann wird in zahlreichen Vorschriften das „Wie“ bzw. der Umfang der erlaubten Datenverarbeitung geregelt und welche Sicherheitsvorschriften dabei eingehalten werden müssen.
Mehr lesen
Die Arten personenbezogener bzw. auf Personen beziehbare Daten sind zahlreich. Um Ihnen einen besseren Eindruck zu geben, was wirklich personenbezogene Daten sind, haben wir Ihnen eine einfache Auflistung erstellt:
Diese Liste ist allerdings nicht abschließend. Wenn Sie Fragen zu einem konkreten Einzelfall bei Ihnen haben, schreiben Sie uns gerne eine Mail. Wir klären das gerne mit Ihnen im Rahmen unserer kostenlosen Erstberatung.
Mehr lesen
Im Gesundheitssektor werden höchst sensible Gesundheitsdaten verarbeitet. Gesundheitsdaten, die auch in unserem eigenen Interesse als Betroffener und Patient (wir sind ja nicht nur Ärzte) geschützt werden müssen. Daher führen wir uns nochmal vor Augen, warum Gesundheitsdaten so sensibel sind:
Viele Ärzte und Krankenhäuser begegnen uns tagtäglich mit dem naiven Argument „Wen interessiert denn die Patientenakte von Frau Müller? Damit kann doch niemand etwas anfangen!“
Gesundheitsdaten sind Daten, an denen es vielfältige Interessen und zahlreiche Interessenten gibt:
Bitte seien Sie sich daher bewusst: Gesundheitsdaten sind in der legalen und illegalen Wirtschaft das höchste Gut. Wir vergleichen das immer mit früheren Goldgräberzeiten – so empfinden das bereits seit Jahren Unternehmen und Hacker im Hinblick auf Gesundheitsdaten.
Daher: Lassen Sie uns die Daten schützen – auch wir können als Patient von Datenklau betroffen sein.
Mehr lesen
Wir möchten an dieser Stelle gleich mit einem gefährlichen Irrglauben aufräumen. Es ist der Arzt bzw. das Krankenhaus für den Datenschutz verantwortlich und nicht der Softwarehersteller oder der Staat.
Genau dieser Umstand macht deutlich, wie wichtig es als Arzt ist, sich mit dem Thema Datenschutz und Datensicherheit auseinanderzusetzen.
Wie Sie ja wissen, unterliegen die Informationen, die Ärzte und Krankenhauspersonal erhalten, dem Arztgeheimnis bzw. dem besonderen Berufsgeheimnis. Neben dem Datenschutz ist im Gesundheitswesen also vor allem auch immer die Verschwiegenheitspflicht zu wahren. Verstöße gegen die Verschwiegenheitspflicht, die auch gleichzeitig immer einen Datenschutzverstoß darstellen, können sogar strafrechtliche Konsequenzen für Sie als Arzt nach sich ziehen.
Daher lautet unser Motto mit mehr als 20 Jahren Erfahrung im Datenschutz: Stellen Sie sich mit uns Ihrer Verantwortung und wir sorgen für unbürokratischen und einfachen Datenschutz, der Sie absichert.
Mehr lesen
Ist die DSGVO auf eine Datenverarbeitung anwendbar, gilt das Grundprinzip: Die Datenverarbeitung ist verboten, wenn sie nicht ausnahmsweise erlaubt ist. Die DSGVO sieht in Art. 6 DSGVO bestimmte Vorschriften vor, die Datenverarbeitungen zu bestimmten Zwecken erlauben (sog. Erlaubnistatbestände).
Gemäß Art. 6 Abs. 1 DSGVO kann eine Datenverarbeitung z.B. ausnahmsweise dann zulässig sein, wenn die betroffene Person und der Verantwortliche (auf Deutsch: z.B. der Patient und der Arzt) einen Behandlungsvertrag abschließen und wenn dann zur Erfüllung dieses Verfahrens die Verarbeitung von Daten erforderlich ist. Die Verarbeitung von Daten beginnt meist sofort mit der (Erst-)Erhebung von Patientendaten für die Handakte oder Patientenkartei und dann mit Speicherung des Befundes, der diverse Gesundheitsdaten enthält. In diesem Fall wäre Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit dem Behandlungsvertrag die Rechtsgrundlage, die diese Erhebung und Speicherung von Daten soweit erlaubt, wie dies für die Erreichung des Behandlungszwecks nötig ist.
Häufig besteht besonders zur Erleichterung von Abrechnungen oder Vermittlung von Fachärzten der Bedarf, weitere Daten zu erheben oder Gesundheitsdaten an andere Stellen zu übermitteln. Soweit dies nicht mehr von dem konkreten Behandlungszweck gedeckt sein sollte, muss der Verantwortliche prüfen, auf welche weitere Rechtsgrundlage diese Datenverarbeitung gestützt werden kann, damit diese rechtmäßig durchgeführt wird. Je nach Sachverhalt kann diese Datenverarbeitung auf eine Einwilligung der betroffenen Person gestützt werden, soweit diese rechtlich wirksam formuliert ist. Bspw. für die Weiterleitung von Kontaktdaten an einen Facharzt wäre dann die Einwilligung in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO die zulässige Rechtsgrundlage.
Art. 6 Abs. 1 DSGVO enthält weitere Rechtsgrundlagen, aufgrund derer eine Verarbeitung von personenbezogenen Daten erlaubt sein kann (z.B. aus gesetzlichen Pflichten, aus berechtigten Interessen, im Fall eines Notfalls mit Lebensgefahr). Auch eine nach den Vorschriften der DSGVO rechtmäßige Auftragsverarbeitung gem. Art. 28 DSGVO kann eine Rechtsgrundlage dafür sein, Gesundheitsdaten an einen Abrechnungsdienstleister weiterzugeben.
Der Verantwortliche ist verpflichtet, für jede Datenverarbeitung zu prüfen, ob diese aufgrund der richtigen Rechtsgrundlage erfolgt und ob die dafür maßgeblichen Datenschutzgrundsätze (Art. 5 Abs. 1 DSGVO) eingehalten werden. Rasiermesserscharf ist dabei vor allem die Rechenschaftspflicht des Verantwortlichen (Art. 5 Abs. 2 DSGVO). Denn dort ist ganz lapidar geregelt, dass der Verantwortliche nachweisen können muss, dass er sich an die Datenschutzgrundsätze (und damit an die DSGVO) hält. Kann er das nicht, z.B. weil es an der nötigen Dokumentation, Einwilligungserklärungen, Verarbeitungsverzeichnissen usw. fehlt, läuft er Gefahr, im Falle eines behördlichen Ermittlungsverfahrens oder eines Schadenersatzprozesses zu verlieren.
Daneben gibt es betriebsbezogene Pflichten, z.B. zur Führung eines Verarbeitungsverzeichnisses, zur Gewährleistung von Sicherheitsmaßnahmen, zur Bestellung eines Datenschutzbeauftragten oder zur Informationen von Betroffenen und zum Umgang mit Betroffenenrechten (Auskunft, Widerruf, Widerspruch u.v.m.)
Mehr lesen
Eine Einwilligung ist nur wirksam, wenn sie freiwillig und von einer hinreichend informierten Person erteilt wurde. Die Einwilligungserklärung muss den Sachverhalt der Datenverarbeitung, um die es geht, in verständlicher Sprache wiedergeben, sodass es für den Betroffenen klar ist, worum es geht. Dabei ist besonders darauf zu achten, dass sich die Verarbeitungszwecke (das „Warum“ der Datenverarbeitung) aus dem Einwilligungstext ergeben.
Folgende Voraussetzungen müssen erfüllt werden, um eine wirksame Einwilligung zu erhalten:
Einwilligungen zur Verarbeitung von Gesundheitsdaten machen es nötig, dass der Betroffene seine ausdrückliche Zustimmung erklärt. Dies kann z.B. durch das Ankreuzen eines Kästchens und einer Unterschrift dokumentiert werden. Um sicherzustellen, dass die Einwilligung erteilt wurde, aber auch zum Nachweis der Einhaltung der Datenschutzgrundsätze im Hinblick auf die Rechenschaftspflicht, ist es sehr wichtig, mit der Unterschrift und einem ausgefüllten Kästchen eine entsprechende Dokumentation zu führen.
Mehr lesen
Der Verantwortliche, z.B. eine Apotheke, muss alle Personen, die von der Verarbeitung von Daten zu ihrer Person betroffen sind, darüber informieren. Insbesondere muss der Verantwortliche die betroffene Person u.a. unterrichten, welche Daten er wie verarbeitet, warum und an wen er diese weitergibt. Ein Verstoß gegen die Informationspflichten führte in den letzten 2 Jahren bereits zu empfindlichen Strafen im Gesundheitswesen.
Folgende Mindestangaben müssen im Datenschutzmerkblatt stehen:
Das Datenblatt sollte übersichtlich und auf das Wesentliche beschränkt gestaltet werden. Im Regelfall sollte das in max. 2 DinA4-Seiten möglich sein.
Mehr lesen
Betroffene Personen haben ein Recht zu erfahren, wie Daten über ihre Person verarbeitet werden. Das sogenannte Auskunftsrecht ist in Art. 15 DSGVO geregelt. Danach hat jeder Patient das Recht, zu erfahren, ob und welche Daten wie verarbeitet werden. Gem. Art. 15 Abs. 1 lit. a bis h DSGVO muss die Auskunft bestimmte Mindestangaben enthalten, z.B. welche Daten zu welchen Zwecken verarbeitet werden. Beauskunften Sie diese Angaben nicht, so führt dies zu einem datenschutzrechtlichen Verstoß mit einem hohen Bußgeldrisiko.
Besondere Vorsicht gilt der Authentifizierungdes Betroffenen. Denn natürlich kann sich jeder leicht für einen Patienten ausgeben und unter dessen Namen eine Anfrage stellen. Für u.a. eine Identitätsverwechselung musste eine deutsche Uniklinik im Jahr 2019 ein Bußgeld von über 100.000 € hinnehmen – daher sollte die Identitätsprüfung mehrstufig erfolgen, ggf. mit Sicherheitsfragen oder Rückfragen, z.B. wann der letzte Behandlungstermin stattgefunden hat, um sicherzugehen, dass der Anfragende und die Person des Betroffenen dieselbe Person ist.
Ab Eingang einer Auskunftsanfrage muss zudem die Bearbeitungsfrist notiert werden. Auskünfte müssen im Regelfall innerhalb von einem Monat bearbeitet werden. Gem. Art. 15 Abs. 3 S. 1 DSGVO muss in der Auskunft eine Datenkopie bereitgestellt werden. Hier reicht es im Regelfall aus, z.B. Personenstammdaten zu übermitteln. Damit ist also nicht gemeint, sämtliche Schriftstücke, E-Mails usw. zu übermitteln.
Mehr lesen
Die verantwortliche Stelle muss vor Einsatz von IT-Geräten bzw. von EDV sicherstellen, dass diese im Hinblick auf die möglichen Risiken geeignet ist. Mit anderen Worten: Der Verantwortlich ist für die Einhaltung der DSGVO auch im Hinblick auf die IT-Sicherheit verantwortlich und haftet dafür.
Welche technischen und organisatorischen Maßnahmen getroffen werden müssen, um ein angemessenes Niveau an Datensicherheit zu erreichen, regelt Art. 32 DSGVO und nennt einige Beispiele, wie „Vertraulichkeit“.
„Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten“
Jede verantwortliche Stelle sollte überprüfen, ob hinreichende Sicherheitsmaßnahmen getroffen wurden. Spätestens bei einem Kontrollbesuch der Aufsichtsbehörde werden diese Assessments über technische und orgisatorische Maßnahmen („toM“) abgefragt. Unsere exklusive Mandanten-Checkliste kann dabei helfen den eigenen Betrieb zu überprüfen.
Mehr lesen
Die Datenschutz-Folgenabschätzung ist eine Prüfung, die bei besonders risikoreicher Datenverarbeitung durchgeführt werden muss. Je höher das Risiko oder der mögliche Schaden für die betroffene Person sein kann, desto strengere Anforderungen stellt die DSGVO an die Rahmenbedingungen für die Datenverarbeitung. Die Datenschutz-Folgenabschätzung soll bei der Ermittlung angemessener Schutzmaßnahmen helfen. Wenn ein hohes oder sehr hohes Risiko von der Verarbeitung ausgeht, das sich durch Schutzmaßnahmen nicht beherrschen lässt, muss vor der Inbetriebnahme eine Zustimmung der zuständigen Aufsichtsbehörde eingeholt werden. Mehr Informationen zu den Prüfungsschritten einer Datenschutz-Folgenabschätzung finden Sie hier.
Bestimmte besonders risikogeneigte Verarbeitungen haben die Aufsichtsbehörden auf der sog. Blacklist zusammengefasst. Gem. Art. 35 Abs. 3 lit. b DSGVO ist eine Datenschutz-Folgeabschätzung dann durchzuführen, wenn es um eine umfangreiche Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Art. 9 Abs. 1 DSGVO oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Art. 10 DSGVO geht. Laut Blacklist des Bayerischen Landesamtes für Datenschutzaufsicht (BayLDA) fallen darunter u.a. Fachverfahren, die umfangreich Gesundheitsdaten verarbeiten, um bei Gesundheitsamt, kassenärztlichen Vereinigungen, Krankenhaus, Krankenversicherung, Krebsregister, Landesweites Labor für Infektionsschutz, Rentenversicherung, Rettungsdienst oder Stelle für Versorgungsforschung eingesetzt zu werden. Big Data im Gesundheitswesen und umfangreiche Biobanken werden auch ausdrücklich genannt.
Mehr lesen
Art. 82 DSGVO normiert den Schadenersatz- und Schmerzensgeldanspruch des Betroffenen gegen den Verantwortlichen. Die Ansprüche setzen voraus, dass wegen eines Verstoßes gegen die DSGVO dem Betroffenen ein Schaden entstanden ist. Die Ansprüche richten sich auch gegen den Auftragsverarbeiter, z.B. eine Abrechnungsstelle. Neu und beachtenswert ist die in Art. 82 Abs. 3 DSGVO geregelte Beweislastumkehr: Der Verantwortliche oder der Auftragsverarbeiter wird von der Haftung gemäß Absatz 2 befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist. Auch hier gilt, dass eine Exkulpation aus der Haftung nur dann gelingt, wenn die verantwortliche Stelle anhand ordentlich geführter Dokumentation nachweisen (!) kann, dass sie die DSGVO eingehalten hat.
Die DSGVO sieht keine Pflicht für die Schulung von Mitarbeitern vor. Gleichwohl kann der Verantwortliche nur dann seine Rechenschaftspflichten erfüllen, wenn er entsprechende Schulungen seiner Mitarbeiter nachweisen kann. Zudem haftet der Verantwortliche für jede Rechtsverletzung, die ein Mitarbeiter z.B. durch Fehler bei der Verarbeitung von Gesundheitsdaten, macht. Im Rahmen von Mitarbeiterschulungen kann auch der Umgang mit Phishing-Emails oder Ransomeware-Angriffen trainiert werden, bei denen der Faktor Mensch die größte Gefahr für die IT-Sicherheit darstellt. Im Rahmen von Schulung sollte zudem ein Grundverständnis für Datenschutz und Privatheit vermittelt werden.
Auch Arbeitnehmerdaten müssen rechtmäßig verarbeitet werden. Erfahren Sie, worauf Sie als Arbeitgeber bei der Datenverarbeitung sicherstellen müssen und warum die Datenschutzerklärung für Arbeitnehmer so wichtig ist.
Bei jeder Website werden personenbezogenen Daten weiterverarbeitet. Die Ziele von Datenschutz und Online-Marketing könnten hierbei nicht gegenläufiger sein. Auch im Gesundheitswesen muss über die Verarbeitung von Informationen aufmerksam gemacht werden.
Dem NDR zufolge verschicken Kliniken, Ärzte oder Labore die Arztberichte und medizinischen Daten übermäßig oft an falsche Empfänger. Dies passiert sicherlich nicht aus Leichtsinn oder Mutwilligkeit von den betroffenen Ärzten und dem medizinischen Personal. Nein, vielmehr wird der Datenschutz im Gesundheitswesen durch technologischen Fortschritt, verpflichtende Anbindung an die Telemedienstrukturen und sensible Patientendaten immer komplexer und strategischer.
Diese und andere Themen beschäftigen ein MVZ im medizinischen Alltag und hier ist es besonders wichtig, die Risiken zu erkennen und diese umgehend durch eine spezialisierte Rechtsberatung zu beseitigen.