Datenschutz im Krankenhaus

In Krankenhäuser werden verschiedene personenbezogenen Daten verarbeitet.  

Dies geschieht bei der Aufnahme in das Krankenhaus, bei der Untersuchung und der Stellung der Diagnose sowie während der Pflege der betroffenen Person.  

In allen Fällen ist eine Datenerhebung und -verarbeitung unumgänglich. 

Die erhobenen Daten müssen aufgrund ihrer hohen Sensibilität umfangreich geschützt werden. Dies geschieht zum einen durch das den Mitarbeitern des Krankenhauses auf-erlegte Berufsgeheimnis nach § 203 StGB und zum anderen mit Hilfe allgemeiner und besonderer datenschutzrechtlicher Vorschriften.  

Das Wichtigste auf einen Blick

1. Datenerhebung und -verarbeitung im Krankenhaus 

Krankenhäuser erheben und verarbeiten unter anderem besondere Kategorien personen-bezogener Daten. Diese sind in Art. 9 DS-GVO geregelt.  

Hierbei handelt es sich z. B. um Gesundheitsdaten, genetische und biometrische Daten.  

Aufgrund ihrer Sensibilität und dem damit verbundenen Risiko für die Rechte und Freiheiten der betroffenen Person, sind an den Umgang mit diesen Daten hohe Schutzanforderungen gestellt: 

Es besteht ein grundsätzliches Verarbeitungsverbot, von dem nur in den Fällen des Art. 9 Abs. 2 DS-GVO abgewichen werden darf.  

Die Erlaubnistatbestände des Art. 9 Abs. 2 umfassen unter anderem die Einwilligung des Betroffenen, den Schutz lebenswichtiger Interessen sowie die Verarbeitung aus Gründen der Gesundheitsvorsorge und des öffentlichen Interesses im Bereich der öffentlichen Gesundheit.  

2. Schutz der personenbezogenen Daten  

Als Patient müssen Sie alle Daten, die das Krankenhaus für Ihre Behandlung benötigt, angeben. Das sind Ihr Name, Ihre Adresse und Ihr Geburtsdatum sowie die erforderlichen Angaben über Ihren Gesundheitszustand. 

Vor oder während den Untersuchungen werden weitere Gesundheitsdaten oder biometrische und genetische Daten erhoben und gespeichert.  

Um diese personenbezogenen Daten zu schützen, hat das Krankenhaus, neben der Ein-haltung der Vorschriften der DS-GVO, technisch-organisatorische Maßnahmen (TOM’s) zu treffen und umzusetzen.  

Die Maßnahmen sind an die Arbeitsweise des jeweiligen Krankenhauses, die Art und den Umfang der personenbezogenen Daten, das Risiko der Datenverarbeitung und die Anzahl der datenverarbeitenden Personen anzupassen.  

Mögliche TOM’s des Krankenhauses sind Zutritts- und Zugriffsbeschränkungen, die Errichtung passwortgeschützter Bereiche und Richtlinien für die Anmeldung von Besuchern. 

3. Rechte des Betroffenen  

Dem Betroffenen stehen bei der Verarbeitung seiner Daten verschiedene Betroffenenrechte zu. Daneben gibt es allgemeine Regelungen, die das Krankenhaus einzuhalten hat:

3.1 Aufrufung früherer Aufenthalte  

Bei Ihrer Behandlung darf der Krankenhausmitarbeiter nur einsehen, ob Sie schon mal als Patient in dem jeweiligen Krankenhaus waren. Hierdurch werden Doppelregistrierungen vermieden.  

Ihre Patientenakte mit den Inhalten vorheriger Diagnosen und Behandlungen darf nicht vom behandelnden Arzt ohne Ihre Zustimmung eingesehen werden.  

3.2 Sichere Aufbewahrung Ihrer Patientenakte  

Ihre Patientenakte ist von den Krankenhausmitarbeitern sicher aufzubewahren, d. h., dass sich Unbefugte keinen Zugriff auf diese verschaffen können. 

Unbefugte sind nicht nur fremde Dritte, sondern auch Krankenhausmitarbeiter, die nicht mit Ihrem Fall betraut sind. 

Grundsätzlich gilt also, dass nicht jeder Mitarbeiter auf alle personenbezogenen Daten im Krankenhaus zugreifen kann und darf. Hierfür müssen Maßnahmen getroffen werden. 

Elektronische Akten sollten nur mit den zugriffsberechtigten Benutzerkonten eingesehen werden können. Zugriffsberechtigt sind nur die Mitarbeiter, welche die entsprechenden Daten für die Ausführung ihrer Tätigkeiten benötigen. Das können Ärzte, Krankenpfleger, aber auch Verwaltungsmitarbeiter sein. 

Verwaltungsmitarbeiter dürfen nur soweit Akteneinsicht erhalten, wie es für die Abwicklung der Verwaltungsaufgaben notwendig ist.  

Außerdem dürfen Papierakten weder unbeaufsichtigt in Krankenhausgängen noch im Schwesternzimmer liegen.  

Die Umsetzung der sicheren Aufbewahrung kann in Form von abgeschlossenen Aktenschränken, Passwörtern und Zutrittskarten erfolgen.  

3.3 Das Auskunftsrecht, Art. 15 DS-GVO  

Die betroffene Person kann nach Art. 15 DS-GVO Auskunft über die vom Krankenhaus über ihn gespeicherten Daten verlangen. Hierunter fällt auch die Einsicht in die Patientenakte.  

In seltenen Fällen kann das Recht nach Art. 9 Abs. 4 DS-GVO i. V. m. § 630g BGB beschränkt werden. Die Beschränkung wird vorgenommen, wenn gegen die Auskunft über den Gesundheitsstand des Betroffenen erhebliche therapeutische Gründe sprechen, die gefahrenbehaftet sind oder eine Gesundheitsschädigung mit sich bringen könnte.  

3.4 Recht auf Privatsphäre vor Besuchern  

Selbstverständlich dürfen die Mitarbeiter der Pforte Ihren Krankenhausaufenthalt nicht auf Anfrage von Besuchern preisgeben.  

Ihren Besuchern ist am Eingang nur dann Ihre Zimmernummer mitzuteilen, wenn sie hierzu eine schriftliche Einwilligung erteilt haben.  

Die Besucher dürfen nicht ohne Ihre Zustimmung in ihr Zimmer kommen. 

3.5 Das Recht auf Berichtigung und Löschung, Art. 16 und Art. 17 DS-GVO  

Wurden Ihre Daten falsch aufgenommen oder haben sich diese geändert, sind sie umgehend zu löschen bzw. zu berichtigen.  

4. Datenübermittlung und Auskunft an Dritte  

Durch die Vernetzung des Gesundheitssystems müssen Patientendaten des Öfteren an externe Dritte weitergeleitet werden. 

Diese Stellen können Forschungsstellen, Haus- oder Fachärzte sowie Krankenversicherungen sein. Zudem verlangen Angehörige oftmals auch Auskunft über den Gesundheitszustand des Betroffenen.  

In allen Fällen muss herausgefunden werden, ob die Weitergabe der Daten einwilli-gungspflichtig ist und wenn ja, ob eine Einwilligung vorliegt. 

4.1 Die Verwendung Ihrer Daten für Forschungsstellen und Studien  

Bei der Verwendung Ihrer Daten für Studien ist zwischen internen und externen Stellen zu unterscheiden.  

Ihre Behandlungsdaten dürfen für interne Forschungen, also innerhalb des Krankenhauses, verwendet werden, da diese vom Krankenhaus selbst erhoben worden sind.  

Hierfür sollte trotzdem Ihre Einwilligung eingeholt werden, um datenschutzrechtlich auf der sicheren Seite zu sein.  

Die Nutzung von Daten für deutschlandweite Studien ist nur mit Ihrer ausdrücklichen und schriftlichen Einwilligung möglich.  

Vor der Einwilligung müssen Sie sehr genau über die Studien informiert werden. Der Zweck, die Verantwortlichen der Studien sowie die Herkunft und Aufbewahrung der Daten sind dabei zwingend anzugeben.  

Haben Sie eine Einwilligung für die Nutzung Ihrer personenbezogenen Daten für Forschungszwecke erteilt, ist diese jederzeit widerrufbar.  

4.2 Die Datenweitergabe an Ärzte und Krankenkassen 

Bei der Datenweitergabe an Ärzte im Fall einer Weiter- oder Mitbehandlung können Ärzte von der Schweigepflicht befreit werden und die Daten an den anderen Arzt übermitteln, wenn das Einverständnis des Patienten erklärt worden oder anzunehmen ist. 

Der Patient muss über die Datenweitergabe ausdrücklich informiert worden sein.  

Bei einer Überweisung oder Krankenhauseinweisung ist eine konkludente Einwilligung anzunehmen.  

Krankenkassen benötigen zur Abrechnung der Behandlungsleistung gewisse personen-bezogene Daten des Patienten.  

Es dürfen nur die Daten übermittelt werden, welche die Versicherung unbedingt benötigt, um die Abrechnung vorzunehmen. Hierbei gilt ein strenger Zweckbindungsgrundsatz. Außerdem hat die Krankenkasse TOM’s umzusetzen, um die erhaltenen Daten zu schützen und wenn möglich, zu pseudo- oder anonymisieren.  

Für alle anderen Daten ist eine Einwilligung des Patienten erforderlich. 

4.3 Die Auskunft gegenüber Ihrer Familie  

Die Auskunft über den Gesundheitszustand des Betroffenen gegenüber Familienmitgliedern ist ein sensibles und emotionales Thema.  

Auch, wenn die Verwandten oft der Ansicht sind, dass ihnen die Informationen preisgegeben werden müssen, ist dies in der Regel zu verneinen. Ein Verwandtschaftsverhältnis entbindet Ärzte nicht von der gesetzlichen und beruflichen Schweigepflicht.  

Wie bei jeder Weitergabe seiner personenbezogenen Daten hat der Betroffene in diese einzuwilligen.  

Etwas anders gilt, wenn der Betroffene nicht in der Lage ist, eine Einwilligung zu erteilen, beispielsweise weil er nicht bei Bewusstsein ist. In diesen Fällen ist nach dem mutmaßlichen Willen der betroffenen Person oder, wenn vorhanden, im Sinne der Patientenverfügung zu entscheiden.  

5. Speicherung der personenbezogenen Daten im Krankenhaus  

Die personenbezogenen Daten sind nach der gesetzlichen Aufbewahrungsfrist bis zu der Verjährung von zivilrechtlichen Ansprüchen 30 Jahre lang zu speichern.  

Während dieser Zeit sind die Daten jedoch nicht für Krankenhausmitarbeiter zugänglich. In der Regel werden elektronische Akten gesperrt und Papierakten in das gesicherte Kranken-blattarchiv abgelegt. Nach Ablauf der Aufbewahrungsfrist sind die Daten zu löschen. 

6. Digitalisierung des Gesundheitswesens  

Wie so viele Bereiche, erfährt auch das Gesundheitswesen einige Änderungen durch die Digitalisierung. 

Patientenakten werden immer häufiger digital geführt. Gesundheits- und Versicherungsapps ermöglichen eine genaue Aufzeichnung oder schnellen Zugriff auf personenbezogene Daten.  

Das E-Health-Gesetz sorgt dafür, dass die Digitalisierung im Gesundheitswesen voran-getrieben wird und sich viele Bereiche daran beteiligen und davon profitieren können.  

Die Auswirkungen der Digitalisierung des Gesundheitswesens auf den Bereich des Datenschutzes sind noch nicht vollständig absehbar. In den nächsten Jahren sind weitere, umfangreiche Entwicklungen zu erwarten, auf die entsprechend reagiert werden muss.  

7. Fazit  

Personenbezogene Daten werden im Krankenhaus erhoben, verarbeitet und oftmals auch übermittelt.  

Sie sind durch die Vorschriften der DS-GVO, wie beispielsweise Art. 9 DS-GVO, sowie das Berufsgeheimnis geschützt.  

Jedes Krankenhaus hat sich an diese Regeln zu halten und sie umfassend umzusetzen.  

Es bleibt abzuwarten, ob dieser Schutz auch im Rahmen der Digitalisierung des Gesundheitswesens fortbestehen kann oder ob zusätzliche Maßnahmen getroffen werden müssen.