Datenschutz im Gesundheitswesen

Datenschutz im Gesundheitswesen ist der Bereich, in dem zwei Regelwerke gleichzeitig gelten und unterschiedliche Antworten geben können. Die DSGVO fragt, ob eine Verarbeitung zulässig ist. Das Strafrecht fragt, ob eine Offenbarung strafbar ist. Wer nur das eine prüft, übersieht das andere – und § 203 StGB kennt keine Interessenabwägung.

Zwei Ebenen, die nicht deckungsgleich sind

Datenschutzrechtlich sind Gesundheitsdaten besondere Kategorien nach Art. 9 DSGVO. Ihre Verarbeitung ist grundsätzlich untersagt; sie wird erst durch einen der Ausnahmetatbestände zulässig – in der Behandlung regelmäßig Art. 9 Abs. 2 lit. h, der zusätzlich Berufsgeheimnis oder gleichwertige Verschwiegenheitspflicht voraussetzt.

Strafrechtlich unterliegen Ärztinnen, Zahnärzte, Apotheker, Psychotherapeutinnen und ihre berufsmäßig tätigen Gehilfen der Schweigepflicht nach § 203 StGB. Eine unbefugte Offenbarung ist eine Straftat – unabhängig davon, wie die datenschutzrechtliche Bewertung ausfällt.

Der praktische Unterschied zeigt sich beim Dienstleister. Ein Vertrag nach Art. 28 DSGVO macht die Weitergabe datenschutzrechtlich zulässig – die strafrechtliche Seite regelt er nicht. Dafür sorgt § 203 Abs. 3 StGB: Mitwirkende Personen dürfen einbezogen werden, sind aber zur Verschwiegenheit zu verpflichten, und das ist zu dokumentieren.

Wo es in der Praxis hakt

Das Wartezimmer. Namensaufrufe, einsehbare Bildschirme, Gespräche am Tresen, die im Raum mitgehört werden. Das ist kein Formalismus: Es ist die Verarbeitungssituation mit der höchsten Zahl unbeteiligter Zuhörer.

Die Fernwartung des Praxisverwaltungssystems. Der Anbieter greift auf ein System zu, in dem Patientendaten liegen. Nötig sind: Vertrag zur Auftragsverarbeitung, Verpflichtung der mitwirkenden Personen nach § 203 Abs. 4, Protokollierung der Zugriffe und die Möglichkeit, sie zu begrenzen.

Die Terminerinnerung. Eine SMS oder E-Mail an Patienten offenbart bereits, dass eine Behandlungsbeziehung besteht. Bei spezialisierten Einrichtungen sagt schon der Absender etwas über die Diagnose.

Der Befundversand. Unverschlüsselte E-Mail ist für Gesundheitsdaten nicht angemessen im Sinne von Art. 32 DSGVO. Wo ein sicherer Weg fehlt, bleibt Papier oder ein Abholverfahren.

Löschen gegen Aufbewahren. Berufsrechtliche und sozialrechtliche Aufbewahrungspflichten für Patientenunterlagen laufen den Löschansprüchen entgegen. Sauber ist die Trennung: Was der Aufbewahrung unterliegt, wird gesperrt und nur noch für diesen Zweck vorgehalten. Die Fristen gehören ins Löschkonzept.

Die Benennungspflicht greift hier früher

Die Schwelle von zwanzig Personen aus § 38 BDSG ist im Gesundheitswesen selten der Auslöser. Maßgeblich ist die zweite Alternative: Wer umfangreich besondere Kategorien nach Art. 9 verarbeitet, muss unabhängig von der Beschäftigtenzahl einen Datenschutzbeauftragten benennen.

Für Krankenhäuser, größere Praxisverbünde, Medizinische Versorgungszentren und Pflegedienste ist das der Regelfall. Ob eine Einzelpraxis „umfangreich” verarbeitet, ist eine Einzelfallfrage – die Schritte stehen in der Checkliste.

Ebenso häufiger als anderswo: die Datenschutz-Folgenabschätzung. Sie ist bei umfangreicher Verarbeitung von Gesundheitsdaten regelmäßig erforderlich.

Wenn etwas passiert

Ein Vorfall mit Gesundheitsdaten führt fast immer zu einem hohen Risiko für die betroffenen Personen. Das bedeutet: Meldung an die Aufsichtsbehörde binnen 72 Stunden und Benachrichtigung der Betroffenen nach Art. 34 DSGVO. Der Ablauf steht unter Datenschutzvorfall melden.

Einrichtungen ab einer bestimmten Größe fallen zusätzlich unter NIS-2 – mit eigenen Meldewegen und Pflichten der Leitung.

Was wir übernehmen

Bestandsaufnahme der Verarbeitungen, Verzeichnis, Verträge mit Abrechnungsstellen und Systemanbietern, Verpflichtung der mitwirkenden Personen, Schulung des Teams – und die Rolle des Beauftragten, ab 137 € im Monat.

Kontakt

Sie betreiben eine Praxis, ein MVZ oder einen Pflegedienst und wissen nicht, ob Sie benennen müssen? Das klären wir in einem Gespräch.