Schutz von Patientendaten: Im Praxisalltag oft gravierende Fehler – Rechtsexperte gibt Tipps zur Datensicherheit

Patientendaten sind sensible Daten. Doch immer wieder unterlaufen im Umgang damit erhebliche Fehler, bestätigt der Berliner Rechtsanwalt Mathis Ruff, der für den Berufsverband der Rechtsjournalisten auf den Datenschutz von Patientendaten spezialisiert ist:„Patientendaten unterliegen nicht nur dem besonderen Datenschutz, sondern auch der Schweigepflicht. Ärzte und deren Mitarbeiter müssten eigentlich besonders sensibel mit solchen Informationen umgehen.“ Tun sie aber oftmals nicht, weshalb im Praxisalltag zum Teil gravierende Datenschutzlücken auftreten, berichtet Ruff und zählt einige klassische Fehler auf:

• Am Empfang unterhalten sich die Angestellten über Testergebnisse von Patienten oder reden laut mit den Patienten über sensible Informationen – gut hörbar für andere Patienten.

• Nicht selten bleibt der Empfang – auch aus Personalmangel – längere Zeit unbeaufsichtigt, schlimmstenfalls mit auf den Bildschirmen ablesbaren Informationen, frei herumliegenden Dokumenten oder Karteien.

• Patienten werden im Arztzimmer längere Zeit allein gelassen, weil sich der Arzt parallel noch um andere Patienten kümmern muss. Auch hier liegen häufig Patientenakten oder Laborbefunde herum, die leicht einsehbar sind.

• Es werden ohne explizite Einwilligung per E-Mail oder am Telefon Auskünfte über Untersuchungsergebnisse oder Arzneimittel erteilt – zum Teil auch an vermeintlich vom Patienten beauftragte Personen.

• Der Krankenkasse werden mehr Informationen übermittelt, als dies eigentlich zulässig, erforderlich oder notwendig wäre.

Diese „Lockerheit“ im Umgang mit sensiblen Daten werde auch dann zum Problem, wenn etwa der Arbeitgeber die Kontaktdaten des Arztes auf der Arbeitsunfähigkeitsbescheinigung ablesen könne, dann beim Arzt anrufe und um telefonische Auskunft ersuche – vermeintlich im Namen des Patienten, betont Ruff.

Verstöße gegen das Verbot der Preisgabe von Patientendaten

„Am offensichtlichsten werden Verstöße, wenn Patientendaten an Dritte herausgegeben werden, ohne dass der Patient eingewilligt hat“, erklärt Ruff. In den meisten Fällen aber bedarf es eben genau einer solchen Einwilligungserklärung. Nur in Ausnahmefällen dürfen Daten ohne diese weitergereicht werden. Dabei bestätigen Ausnahmen die Regel: Etwa bei meldepflichtigen Erkrankungen.

„Darüber hinaus werden Patienten über die Folgen und den Umfang von Einwilligungserklärungen nur unzureichend aufgeklärt – das ist häufig der fehlenden Zeit der Ärzte geschuldet“, sagt Ruff. Die Einwilligung setze stets umfassendes Wissen, Freiwilligkeit und Widerrufbarkeit aufseiten des Patienten voraus. Erfolgt die Aufklärung des Patienten über die Folgen seiner Einwilligung unvollständig und werden seine Daten dann an Dritte weitergegeben, könnte schon ein Verstoß gegen den Datenschutz vorliegen.

Auch MTAs unterliegen der Schweigepflicht

Grundsätzlich dürfen Ärzte und deren Mitarbeiter, die in die Behandlung eines Patienten eingebunden sind, auch sämtliche dafür notwendigen und vom Patienten für die Weitergabe freigegebenen Informationen einsehen, stellt Ruff klar. Dies gelte etwa auch dann, wenn unterschiedliche Krankheitsbilder von unterschiedlichen Ärzten betrachtet werden, die jedoch in engem Zusammenhang stehen – sich etwa gegenseitig bedingen.

Über die notwendigen Patientendaten hinaus ist jedoch die Einsicht nur nach Einwilligung des Patienten zulässig. Das gilt dann, wenn die Behandlungen oder Diagnosen nicht in engem Zusammenhang stehen, sondern gesondert zu betrachten sind.

So muss ein Zahnarzt für eine Behandlung nicht wissen, was dem Urologen oder Gynäkologen bei der Untersuchung des Patienten aufgefallen ist. Nun werden diese Fachärzte selten eine Gemeinschaftspraxis führen, doch das Extrembeispiel verdeutlicht die Abgrenzung zu Krankheitsbildern, die in engem Zusammenhang stehen.

Medizinisch Technische Assistenten (MTA) sind nur in einen Teilbereich der Diagnose eingebunden. Ob nun im Labor, in der Radiologie oder in der Funktionsdiagnostik: In der Regel benötigen sie nicht sämtliche Informationen, die in der Patientenakte zu finden sind, um Untersuchungsergebnisse bereitzustellen oder den Patienten die Angst vor einer Untersuchung, z.B. einem MRT zu nehmen.

Und natürlich unterliegen auch die MTAs als Angestellte der Ärzte oder in Laboren der beruflichen Schweigepflicht. Das bedeutet auch, dass sie darauf achten müssen, welchem Arzt sie die Untersuchungsergebnisse schicken dürfen.

Auch anonymisierte Patientendaten dürfen nicht weitergegeben werden

Auch für Pharmaunternehmen und Krankenkassenverbände sind Patientendaten von großem Interesse. Doch auch wenn die Daten anonymisiert sind – die Weitergabe ist unzulässig. „Wir wissen nicht erst seit Google um den finanziellen Wert von personenbezogenen und personenbeziehbaren Daten“, so Ruff. Gerade weil die Gesundheitsdaten eines Patienten besonders wertvoll und schützenswert sind, sei der Handel mit entsprechenden Informationen sehr lukrativ – auch für Ärzte, Rentenversicherer, Apothekerverbände, Marktforscher oder Datendiebe.

„In den letzten Jahren wurden immer wieder Fälle bekannt, in denen Ärzte und Apotheker aktiv Daten an Drittfirmen verkauften oder freimütig übermittelten. Ein zusätzliches Problem sind mangelnde technische Vorsichtsmaßnahmen vor Datenklau in den Arztpraxen. PCs und Computersysteme sind häufig veraltet und öffnen Hackern Tür und Tor“, berichtet Ruff.

Wie oft sich solche „Datenpannen“ in deutschen Arztpraxen und Krankenhäusern tatsächlich ereignen, lässt sich kaum ermitteln. „Meist kommen Hackergruppen entsprechenden Vorgängen eher zufällig auf die Spur, und diese arbeiten selbst häufig außerhalb der Legalität. Die Dunkelziffer wird hier recht hoch sein“, so Ruff.

Hinzu komme: Die Rückverfolgung von Datenklau und illegaler Datenweitergabe sei aufgrund der Anonymisierung meist schwierig. „Es besteht noch immer erheblicher Nachholbedarf in den staatlichen und privatwirtschaftlichen Datenschutzstrukturen“, betont Ruff abschließend.

Medscape Nachrichten © 2017  WebMD, LLC

Diesen Artikel so zitieren: Schutz von Patientendaten: Im Praxisalltag oft gravierende Fehler – Rechtsexperte gibt Tipps zur Datensicherheit - Medscape - 13. Sep 2017.