Im Gesundheitswesen spielt der Datenschutz eine unverzichtbare Rolle, um den Schutz sensibler Patientendaten zu gewährleisten. Medizinische Daten umfassen nicht nur personenbezogene Informationen, sondern fallen gemäß Art. 9 (1) DSGVO in die Kategorie der besonderen personenbezogenen Daten. Die Erhebung solcher Daten ist grundsätzlich verboten, es sei denn, es liegt eine ausdrückliche Einwilligung oder eine gesetzliche Erlaubnis gemäß Art. 9 (2) DSGVO vor. Dieser Schutz dient nicht nur der Rechtskonformität, sondern auch dem grundsätzlichen Verständnis, dass Gesundheitsdaten einen besonders sensiblen Charakter haben und daher besonders geschützt werden müssen.
Umgang mit der Komplexität medizinischer Daten
Das medizinische Personal in der Gesundheitsbranche unterliegt den allgemeinen Bestimmungen der DSGVO, jedoch gibt es spezifische Regelungen, die den Umgang mit medizinischen Daten verschärfen. Hierbei können verschiedene Herausforderungen auftreten:
- Verschwiegenheitspflicht
Das medizinische Personal ist nicht nur für die Einhaltung der DSGVO verantwortlich, sondern auch an die ärztliche Schweigepflicht gebunden. Beide Regelwerke, die DSGVO und die ärztliche Schweigepflicht, bestehen unabhängig voneinander und müssen bei der Verwendung von Patientendaten gleichermaßen beachtet werden. - Meldepflichten und Auskunft
Darüber hinaus bestehen für bestimmte Krankheitsbilder Meldepflichten, die unter Wahrung der Anonymität und Pseudonymität umzusetzen sind. Nach dem BDSG hat nur der Patient selbst ein Recht auf Einsicht in seine Patientenakte, es sei denn, der Betroffene hat ausdrücklich eingewilligt, dass z.B. auch ein Angehöriger Einsicht nehmen darf. - Geeignete Maßnahmen
Krankenhäuser und Arztpraxen sind für die Umsetzung geeigneter technischer und organisatorischer Maßnahmen verantwortlich. Darüber hinaus wird empfohlen, regelmäßig Datenschutz-Folgenabschätzungen durchzuführen.
Die Datenschutzverantwortung im Krankenhaus
Nach Art. 37 DSGVO i.V.m. §4f BDSG ist ein Krankenhaus verpflichtet, einen Datenschutzbeauftragten einzustellen, unabhängig davon, ob es sich um eine interne oder externe Beauftragung handelt. Zentrale Anforderung ist, dass der Datenschutzbeauftragte über fundierte Kenntnisse im Datenschutz verfügt und zuverlässig handelt. Darüber hinaus sollte jeder Mitarbeiter des Krankenhauses die Datenschutzbestimmungen verstehen und sicher im Umgang mit Gesundheitsdaten sein.
Die Notwendigkeit eines Datenschutzbeauftragten in Arztpraxen
Für Praxen ist gem. Art. 37 DSGVO ein Datenschutzbeauftragter verpflichtend einzustellen, wenn:
- Die Praxis ein Teil einer Behörde oder öffentlichen Stelle ist
- Die Kerntätigkeit der Arztpraxis aus der Durchführung von Verarbeitungsvorgängen besteht
- Oder die Kerntätigkeit der Arztpraxis in der umfangreichen Verarbeitung besonderer Kategorien von Daten besteht
Sie sind jedoch nicht verpflichtet, einen Datenschutzbeauftragten zu benennen, wenn Ihre Praxis weniger als 20 Mitarbeiter beschäftigt.