Datenschutz im Krankenhaus

Andrea Hauser, Ina Haag

• Publisher: Kohlhammer Verlag
• Year: 2021
• Print ISBN: 9783170393547
• eBook ISBN: 9783170393561
• Edition: 6
• Topic: Medicina
• Subtopic: Sanità, amministrazione e assistenza pubblica

Welche immense Bedeutung dem Datenschutz zukommt, lässt sich fast jeden Tag aus aktuellen Pressemitteilungen entnehmen. Von dieser Entwicklung bleiben auch die Krankenhäuser nicht verschont. Vielmehr gibt es ständig neue Vorgaben für die hochsensiblen Patientendaten, die im Krankenhausalltag umgesetzt werden müssen.Das vorliegende Werk gibt einen umfassenden Überblick über alle relevanten Fragestellungen zum Thema Datenschutz im Krankenhaus. Die durch die Datenschutz-Grundverordnung (DS-GVO) seit Mai 2018 neu zu beachtenden Regelungen sind sowohl durchgehend eingearbeitet als auch in einem gesonderten Kapitel in Anlehnung an die für die Krankenhäuser relevanten Artikel der DS-GVO aufbereitet worden. Die 6. Auflage enthält zudem die aktuelle Rechtsprechung inkl. der durch das MDK-Reformgesetz bedingten Änderungen.

VI Durch die DS-GVO bedingte Änderungen

Die sog. DS-GVO ist seit einiger Zeit in aller Munde. Ihr vollständiger Titel lautet:

»Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG« ( EU -Datenschutz-Grundverordnung – DS-GVO).

Inkrafttreten

Ihre Erarbeitung hat lange gedauert, was bei 88 Seiten Umfang und 173 Erwägungsgründen nicht verwundert.

Am 04.05.2016 wurde sie sodann im Amtsblatt der Europäischen Union verkündet. Die Verkündung bedeutete jedoch nicht, dass alles, was auf diesen 88 Seiten an datenschutzrechtlichen Vorgaben enthalten ist, sofort bei jedem Krankenhausträger bekannt oder gar direkt umgesetzt werden musste. Die DS-GVO ist zwar am 20. Tage nach ihrer Veröffentlichung in Kraft getreten, was sich aus Art. 99 DS-GVO ergibt, beansprucht jedoch erst seit dem 25.05.2018 Geltung, mithin zwei Jahre später. Der europäische Verordnungsgeber hatte eine Übergangsfrist geregelt, damit die notwendigen Anpassungen in den Mitgliedstaaten vorgenommen werden konnten.

Unmittelbare Geltung

Seit Mai 2018 gilt die Verordnung in allen ihren Teilen verbindlich und auch unmittelbar in jedem Mitgliedstaat.

Notwendige Umsetzungen sind von Richtlinien bekannt. Diese überlassen den innerstaatlichen Stellen die Wahl der Form und der Mittel, was sich aus Artikel 288 Abs. 3 des Vertrages über die Arbeitsweise der Europäischen Union (AEUV) ergibt. Eines solchen Umsetzungsaktes bedarf es gem. Art. 288 Abs. 2 AEUV bei Verordnungen nicht. Diese gelten direkt.

Als »Grund«-Verordnung regelt die DS-GVO allerdings – wie der Name sagt – vieles nur dem Grunde nach. Sie beinhaltet eine Vielzahl von Öffnungsklauseln, die wiederum dem nationalen Gesetzgeber einen Spielraum eröffnen. Konsequenz für den deutschen Gesetzgeber ist daher jedoch auch, dass ein erheblicher Anpassungsbedarf besteht. Das gesamte Datenschutzrecht von bundesrechtlichen sowie landesrechtlichen Vorschriften muss/musste auf seine Vereinbarkeit hinsichtlich der DS-GVO überprüft und entsprechend bereinigt werden.¹⁵⁹ An dieser Umsetzung arbeiten die Gesetzgeber sowie entsprechenden Landesbehörden nach wie vor.¹⁶⁰

Hintergründe

Bereits im Jahre 1995 gab es eine europäische Datenschutzrichtlinie.¹⁶¹ Diese hatte die Harmonisierung der Vorschriften zum Schutz der Grundrechte und Grundfreiheiten natürlicher Personen bei der Datenverarbeitung sowie die Gewährleistung des freien Verkehrs personenbezogener Daten zwischen den Mitgliedsstaaten zum Ziel.

Die aktuelle DS-GVO ersetzt diese Richtlinie aus dem Jahre 1995. Durch sie soll nunmehr eine weitere Harmonisierung des Europäischen Datenschutzrechts durchgeführt werden. Vordringlichstes Ziel ist es dabei, das Datenschutzrecht innerhalb Europas stärker zu vereinheitlichen. Als weiteres Ziel der Reform ist die Modernisierung des Datenschutzrechts zu nennen, insbesondere bessere Antworten auf die Globalisierung und datenschutzrechtliche Herausforderungen zu geben, die die zunehmende Digitalisierung und das Internetzeitalter mit sich bringen.¹⁶²

Dass dies eine äußerst schwierige Aufgabe ist, liegt auf der Hand. Eine Fülle von Einzelinteressen sowohl im Europäischen Parlament als auch von den 28 Regierungen der EU-Mitgliedsstaaten sind unter einen Hut zu bringen.¹⁶³

Inhalte

Als Ergebnis dieser Gratwanderung steht nun eine nicht nur langatmige, sondern auch abstrakte und teilweise sehr allgemein gefasste und damit unklare Verordnung.

Ihre Anwendung auf den Krankenhausbereich ist an mancher Stelle schwierig. Zudem sind es die deutschen Krankenhausträger gewohnt, mit sehr genauen datenschutzrechtlichen Vorgaben zu arbeiten, die speziell auf die deutschen Krankenhäuser zugeschnitten sind. Wie sich dieser Wandel auswirken wird, bleibt abzuwarten.

1 Informationspflichten gegenüber Patienten im Krankenhausbereich auf der Grundlage der Art. 12 ff. DS-GVO

Die DS-GVO gilt seit dem 25.05.2018 unmittelbar in Deutschland und bedingt zahlreiche Änderungen in datenschutzrechtlicher Hinsicht. Aus diesem Grunde wird nachfolgend dargestellt, welche Anforderungen seitdem hinsichtlich »Informationspflichten gegenüber betroffenen Personen«, sprich Patienten, im Krankenhausbereich gelten.

Vorab sei erwähnt, dass diese »neuen« Informationspflichten wesentlich detailliertere und umfangreichere Informationspflichten enthalten und insofern deutlich über die bis zum 25.05.2018 geltenden Informationspflichten (gemäß § 4 Abs. 3 BDSG bzw. den entsprechenden Regelungen in den Landeskrankenhausgesetzen) hinausgehen.

Dies bedingt, dass der bislang seitens der Krankenhäuser verwendete sog. »Hinweis auf Datenverarbeitung«¹⁶⁴ nicht mehr Verwendung finden sollte, sondern vielmehr den Informationspflichten in der nachfolgenden Form Rechnung getragen werden sollte.

1.1 Kirchliche Krankenhausträger

Hinsichtlich der Krankenhausträger in kirchlicher Trägerschaft ist zu beachten, dass sowohl die evangelische als auch die katholische Kirche entsprechende Regelungen erlassen haben, um den Einklang mit der DS-GVO herzustellen.

Die 12. Synode der evangelischen Kirche in Deutschland hat auf ihrer 4. Tagung zum 15.11.2017 ein Kirchengesetz beschlossen (Kirchengesetz über den Datenschutz der Evangelischen Kirche in Deutschland (EKD-Datenschutzgesetz – DSG-EKD)), das die durch die DS-GVO bedingten Änderungen weitestgehend umsetzt.

Ebenso sind für den katholischen Bereich in der Fassung des einstimmigen Beschlusses der Vollversammlung des Verbandes der Diözesen Deutschlands vom 20.11.2017 Neuregelungen des kirchlichen Datenschutzgesetzes (Gesetz über den kirchlichen Datenschutz – KDG) erfolgt.

Von der grundsätzlichen Ausrichtung her ist festzustellen, dass die kirchlichen Vorschriften stark an die Regelungen der DS-GVO angelehnt sind, weshalb die Ausführungen für die kirchlichen Träger im Wesentlichen entsprechend gelten. Weitere Einzelheiten bzw. Besonderheiten finden sich nachfolgend im Text bzw. auch in der Musterformulierung.

1.2 Rechtliche Grundlagen

Grundlegend zu den sog. »Betroffenenrechten« – wobei der Begriff des »Betroffenenrechts« in der DS-GVO / dem DSG-EKD / dem KDG nicht definiert wird – führt Art. 12 DS-GVO / § 16 DSG-EKD / § 14 KDG in ein eigenständiges Kapitel »Rechte der betroffenen Person« (DS-GVO / DSG-EKD) / »Informationspflichten des Verantwortlichen und Rechte der betroffenen Person« (KDG) ein. Die Regelung verpflichtet den Verantwortlichen zur Ergreifung geeigneter Maßnahmen für eine transparente Informationspolitik und zur Erleichterung der Rechtsausübung seitens der betroffenen Person.¹⁶⁵

Dabei ergibt sich die grundsätzliche Informationspflicht bei der Erhebung von personenbezogenen Daten bei/von der betroffenen Person aus Art. 13 DS-GVO / § 17 DSG-EKD / § 15 KDG und, sofern die personenbezogenen Daten nicht direkt bei der betroffenen Person erhoben werden, aus Art. 14 DS-GVO / § 18 DSG-EKD / § 16 KDG.

Ergänzend dazu finden sich Ausführungen in den Erwägungsgründen 60, 61 sowie 62.

1.3 Hintergrund

Ausweislich des Erwägungsgrundes 11 gehört die Stärkung und präzise Festlegung der Rechte der betroffenen Personen zu den Kernanliegen der DS-GVO. Insofern bilden die »neuen« Informationspflichten die Grundlage für die Ausübung der sog. Betroffenenrechte, Art. 15 ff. DS-GVO / §§ 19 ff. DSG-EKD / §§ 17 ff. KDG. Nur wenn die Personen (Patienten) wissen, dass personenbezogene Daten über sie verarbeitet werden, können sie ihre Rechte auch ausüben.¹⁶⁶

Gemäß Erwägungsgrund 60 machen es die Grundsätze einer fairen und transparenten Verarbeitung erforderlich, dass die betroffene Person über die Existenz des Verarbeitungsvorgangs und seine Zwecke unterrichtet wird. Der Verantwortliche sollte der betroffenen Person alle weiteren Informationen zur Verfügung stellen, die unter Berücksichtigung der besonderen Umstände und Rahmenbedingungen, unter denen die personenbezogenen Daten verarbeitet werden, notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten.¹⁶⁷

1.4 Zeitpunkt der Information

Art. 13 Abs. 1, 2 DS-GVO / § 17 Abs. 2 S. 1 DSG-EKD / § 15 Abs. 1, 2 EKD schreibt die entsprechenden Informationen »zum Zeitpunkt der Erhebung dieser Daten« vor.

Aus der Würdigung von Art. 13 Abs. 2 e) DS-GVO / § 17 Abs. 2 Ziff. 4 DSG-EKD / § 15 Abs. 2 e) KDG wird deutlich, dass die Information ergehen muss, bevor der eigentliche Erhebungsvorgang, also der tatsächliche Datenfluss, einsetzt.¹⁶⁸

Dies ergibt sich auch aus einer Literaturmeinung, wonach die Informationspflichten – nach ihrem Zweck – vor Beginn der Datenerhebung erfüllt werden müssen. Dies liege darin begründet, dass die Informationen der betroffenen Person auch ermöglichen sollen, darüber zu entscheiden, ob sie in die Verarbeitung ihrer Daten einwil...

Table of contents

• Deckblatt
• Titelseite
• Impressum
• Inhalt
• Vorwort
• Abkürzungsverzeichnis
• I Grundlagen
• II Zentraler Grundsatz der Verarbeitung
• III Datenschutznormen/-regelungen
• IV Einwilligungen
• V Ärztliche Schweigepflicht
• VI Durch die DS-GVO bedingte Änderungen
• VII Verwendung von Patientendaten innerhalb des Krankenhauses – Fallbeispiele
• VIII Verwendung von Patientendaten außerhalb des Krankenhauses (Übermittlung an Dritte) – Fallbeispiele
• IX Übermittlung von Patientendaten an Sozialversicherungsträger und MDK
• X Übermittlung von Patientendaten an Unfallversicherungsträger
• XI Dokumentation und Archivierung
• XII Formen der Datenübermittlung
• XIII Der betriebliche Datenschutzbeauftragte im Krankenhaus unter Maßgabe der DS-GVO / des DSG-EKD / des KDG
• XIV Einzelfälle
• Anhang
• Literaturverzeichnis
• Stichwortverzeichnis