Warum ist Datenschutz im Krankenhaus besonders kritisch?
Gesundheitsdaten gehören zu den sensibelsten Daten, die die Datenschutzgrundverordnung („DSGVO“) definiert.
Art. 9 der DSGVO gewährt dieser sog. „besonderen Kategorie“ von personenbezogenen Daten ein sehr hohes Schutzniveau. Generell ist die Verarbeitung sogar untersagt – und nur im Ausnahmefall erlaubt.
Diese, recht restriktive Gesetzeslage, trifft auf die modernen Anforderungen an ein Krankenhaus und dessen budgetäre Herausforderungen:
- Datenmengen & Aufbewahrungspflichten: Eine enorme Menge an Daten muss gespeichert, dokumentiert und somit auch verarbeitet werden. Krankenhaus-Informations- („KIS“) und Archivierungssysteme helfen dort. Aber zu Befunden, Dokumentationen und Werten sind nun auch oft hochauflösendes Bildmaterial oder Videos im Alltag integriert und müssen teils 30 Jahre verwahrt werden.
- IT-Services: IT-Dienstleistungen im Krankenhaus wachsen seit Jahren. Sei es die Schnittstellen zwischen medizinischem Fachpersonal (z.B. Labore, Ärzte, Forschung), Anbindung ans Telematik System aber auch im Austausch mit dem Patienten (Videosprechstunde, ePA): Fast überall werden sensible Daten ausgetauscht und verarbeitet.
- Angebundene medizinische Geräte: Auch hier gilt es sorgfältig zu betrachten: Welche Hersteller werden verwendet? Wie sind diese Geräte angebunden? Welche Daten werden dort gespeichert? Was wird nach außen, z.B. zum Hersteller, übermittelt? Wie findet die Wartung statt und welcher Zugriff ist gestattet?
Schnell werden hier Daten, oft unwissentlich, mit Dritten geteilt, ohne ein ausreichendes Schutzniveau zu erreichen. Daraus einstehende Datenlecks können zu einem Bußgeld führen, aber auch zu Entschädigungen für Betroffene. Patienten vertrauen hier professionelle und diskrete Handhabung – wenn diese nicht gewährleistet ist, kann es schnell zu einem Reputationsverlust kommen.
Rechtliche Grundlagen für den Datenschutz im Krankenhaus
Die rechtlichen Grundlagen für den Datenschutz werden in der DSGVO und im Bundesdatenschutzgesetz („BDSG“) definiert. Zusätzlich zu diesen Texten trifft für den Anwendungsfall Krankenhaus das Sozialgesetzbuch V („SGB V“) sowie die zutreffenden Gesetze je Bundesland zu. Seit 2020 ist, mit Hinblick auf Einführung der ePA, noch das „PDSG, als Novelle des SGB V, in Kraft getreten – das Patientendaten-Schutz-Gesetz.
Datenschutz & Informationsschutz gehen Hand in Hand. Deswegen sollte bei diesen Grundlagen auch die Thematik Kritis-Verordnung, ISO27001, IT-Sicherheitsgesetzt 2.0 und in Zukunft NIS2 betrachtet werden. Viele Maßnahmen ergänzen sich gegenseitig und erhöhen das Schutzniveau.
Datenschutzbeauftragter im Krankenhaus – Aufgaben und Bedeutung
Das Datenschutzrecht definiert die Pflicht ab 20 Mitarbeitern, die mit der Datenverarbeitung beschäftigt sind (§38 BDSG) oder bei der Verarbeitung von „besonderen Kategorien“ (DSGVO, Art. 9 & 37), in diesem Fall Gesundheitsdaten, einen Datenschutzbeauftragten („DSB“) zu bestellen. Somit sind alle Krankenhäuser zur Stellung eines Datenschutzbeauftragten verpflichtet.
Neben der Überwachung und Einhaltung des Datenschutzes hilft der Datenschutzbeauftragte bei Beratung und Schulung des Personals, ist Ansprechpartner für Betroffene (Patienten), übernimmt die Kommunikation bei Vorfällen und prüft externe Datenverarbeiter (z.B. IT-Dienstleister, Abrechnungsunternehmen, angebundene Labore).
Gut abzuwägen gilt es, ob man den Datenschutzbeauftragten intern stellt oder extern beauftragt.
Interner DSB:
+ kennt interne Abläufe
+ vor Ort und direkt ansprechbar
- hohe Kosten für Schulung, Bereitstellung, fast unkündbar
- oft Interessenskonflikt mit anderen Aufgaben
- restriktive Entscheidungen da persönlich verantwortlich
Externer DSB:
+ niedrigere Kosten & flexibel einsetzbar
+ breite Erfahrung, unabhängig
+ Auslagerung des Risikos
- kennt interne Prozesse weniger
Typische Datenschutzrisiken in Krankenhäusern
Das generelle Ziel eines Krankenhauses ist und bleibt die Behandlung von Patienten. Dies geschieht in den meisten Fällen zwischen Menschen. Ärzte, Pfleger, Patienten, Besucher, Reinigungspersonal – um nur einige Beispiele zu nennen, wie komplex der Faktor Mensch hier zutrifft. Diese menschlichen Aspekte treffen auf Betriebsmittel: IT, Medizingeräte oder auch einfaches Papier. Hier gibt es viele Gefahrenquellen die einen Datenschutzverstoß zur Folge haben können:
- Faktor Mensch: Sei es ein gut gemeinter Blick oder Neugierde – ein Zugriffskonzept und auch ein dementsprechendes Monitoring muss hier protokollieren
- Papier: Patientenakten, Notizen oder Ausdrucke – Zimmernachbar, Besuch oder Personal können so sensible Informationen erfahren
- IT & Technik: Verschlüsselung, Aktualität und Sicherheit: Auf die IT-Abteilung kommen große Aufgaben zu für einen sicheren Betrieb im Alltag
- Cybersicherheit & Resilienz: IT-Ausfall, Hackerangriff, Backup – auch jetzt werden Krankenhäuser angegriffen und mit Lösegeldforderungen bedroht. Prävention und Notfallpläne müssen sitzen
Technische und organisatorische Maßnahmen (TOMs) im Klinikbetrieb
Die DSGVO verpflichtet die Verantwortlichen durch „TOMs, also Maßnahmen, Datenschutzrisiken abzuwenden oder zu mildern (Art. 32 DSGVO). Besonders im Bereich der sensiblen Daten eines Krankenhauses ist hier auch die Thematik Datenschutz-Folgenabschätzung („DSFA“) zu betrachten. Der Datenschutzbeauftragte muss, angepasst an jeden Betrieb, passende TOMs fordern und kann bei der Implementierung helfen. Typische Maßnahmen sind z.B.:
- Dokumentation und Protokollierung: Jeder Zugriff, sei er noch so gering, muss protokolliert werden. Die Stichwörter hier sind Revisionssicherheit und proaktives Monitoring. Wer greift auf welche Informationen zu, fließen diese ab und wie kann dies proaktiv und reaktiv verhindert werden?
- Rollendefinition & restriktive Rechtevergabe: Wer darf welche Informationen wann einsehen? Jeder (egal ob Mitarbeiter, Patienten oder Dienstleister) sollten nur auf die Informationen Zugriff haben die sie gerade jetzt benötigen.
- IT-Infrastruktur & IT-Sicherheit: Hier gibt es eine große Bandbreite von Sicherheitslösungen und relevanten Geräten. Zum Basisbetrieb gehören mindestens: Firewalls und Intrusion Detection/Prevention Systeme, Cybersicherheitschecks, Audits und natürlich auch ein regelmäßiges Patch/Update Management.
- Notfallplan & Katastrophen-Fall-Prozesse: Was passiert, wenn wir angegriffen werden? Funktionieren die Backups? Wurde der Katastrophen-Fall geprobt? Wie lange dauert ein Wiederanlauf – und wie lange können wir ohne IT überleben? Der Krisenfall muss besprochen, geplant und geprobt werden. Was nützt ein Plan in der Schublade der nicht funktioniert?
- Sicherheit beginnt beim Türschloss: Wer kann an den Medikamentenschrank, wer kann das Stationszimmer öffnen, wer kommt an den Unterverteiler im Stockwerk? Das Thema physischer Zugriff wird in der Medizin gut gelebt, aber besonders bei IT, oft übersehen. Ein offener Verteilerschrank reicht, um sich „anzustöpseln“ und bei fehlender Verschlüsselung quasi mitzuhören.
- Verschlüsselung & richtige Kommunikation: Die Blutwerte kurz per E-Mail geschickt? Im Chat eine Diagnose ausgetauscht? Die DSGVO verpflichtet zur sicheren Datenübertragung. Besonders bei sensiblen Daten, wie Gesundheitsdaten, ist eine angemessene Verschlüsselung bei der Übertragung Pflicht. Auch die richtige Software & Tools muss genutzt werden. Patientendaten, Diagnosen und Co. gehören nur in zugelassene Software und auch nicht in eine unverschlüsselte E-Mail.
Informationspflichten und Patientenrechte im Krankenhaus
Einer der Hauptgründe für den Erlass der DSGVO war und ist: Transparenz. Wer bekommt meine Daten, wie werden diese verarbeitet, durch welche Maßnahmen sind diese geschützt und wie kann ich, als Betroffener/Patient, mich darüber informieren?
Die DSGVO schreibt hier klar vor welche Rechte hier dem Betroffenen/Patient zugeteilt werden und teilt dem „Verantwortlichen“, also somit dem Krankenhaus und der Klinikleitung, Pflichten zu. Es muss sichergestellt werden, dass verständlich Auskunft gegeben wird, über:
- Art der verarbeiteten Daten (z.B. Diagnose-, Versicherungs-, Medikationsdaten).
- Zwecke der Verarbeitung (z.B. Behandlung, Forschung, Abrechnung).
- Rechtsgrundlagen (z.B. gesetzlich wie SGB V, Einwilligung, Behandlungsvertrag).
- Dauer der Speicherung (rechtliche Fristen vs. Datenschutzfristen)
- Empfänger (z.B. Krankenkassen, Hausärzte, forschende Institute).
Weiterhin haben Betroffene/Patienten die Grundrechte der DSGVO die sie jederzeit ausüben können. Deswegen ist es auch so wichtig sie über diese Rechte zu informieren:
- Auskunft
- Berichtigung
- Löschung
- Datenübertragbarkeit
Auch hier ist die Zusammenarbeit mit dem Datenschutzbeauftragten der Schlüsselfaktor. Es muss klar dokumentiert werden wie das Krankenhaus den oben genannten Pflichten nachkommt und wie die Patienten, einfach und verständlich, über Ihre Rechte informiert werden. Hier ist der Datenschutzbeauftragte auch oft erster Ansprechpartner.
Datenschutz in Forschung und Lehre – Sonderfall Universitätskliniken
Da in Forschung und Lehre die medizinischen Daten nicht nur für den ursprünglichen Zweck (Genesung bzw. Behandlung des Patienten) genutzt werden, gibt es zusätzliche Anforderungen an den Datenschutz.
Wichtig ist hier vorab den Unterschied zwischen Pseudonymisierung und Anonymisierung zu verstehen.
- Pseudonymisierung: Bei einer Pseudonymisierung werden zwar die sensiblen Daten (wie z.B. Name, Geburtstag/ort, Adresse) mit einem Pseudonym versehen, sie können aber durch andere Mittel wieder zur Person zurückverfolgt werden.
Beispiel: Der Name und Adresse eines Patienten, im Krankenhaus, wird mit einem Pseudonym versehen und an ein Labor weitegeleitet. Jedoch existiert weiterhin eine Liste im Krankenhaus die das Pseudonym zur realen Person zuordnet. Es besteht also eine „Reidentifizierbarkeit“. Dies kann auch der Fall sein, wenn die Daten nur auf eine Person, oder einen sehr kleinen Kreis, zuordenbar sind. Beispiel: 80-jährige Frau auf Station B mit Diagnose Hypertonie. Oft kann dies einer Person direkt zugeordnet werden da die Pseudonymisierung spezifisch ist. Hierbei handelt es sich weiterhin um personenbezogene Daten.
- Anonymisierung: Die Anonymisierung erfolgt, wie die Pseudonymisierung, mit einer Änderung der sensiblen Daten. Jedoch werden diese so verändert, dass sie, in keiner Weise, mehr auf die Person rückverfolgbar sind. Hierbei sind die Daten, nach DSGVO, nicht mehr als personenbezogene Daten definiert. Ein Beispiel die Meldung der Anzahl an Herzinfarkten zu einer statistischen Behörde oder die Weiterleitung eines Prozentsatzes von Nebenwirkungen bei Einsatz eines bestimmten Medikaments.
Empfehlungen für eine datenschutzkonforme Krankenhausorganisation
Datenschutz auf dem Papier ist nutzlos. Eine Krankenhausorganisation muss die vereinbarten Regeln leben. Hierzu ist es unabdingbar, mit dem Datenschutzbeauftragten, Lösungen und Konzepte zu finden die der DSGVO entsprechen UND im Klinikalltag umsetzbar sind. Hierbei gibt es oft Interessenskonflikte – besonders zwischen IT und Datenschutz. Ein runder Tisch ist hier die Lösung – unter Einbindung aller Entscheider. Zusammenarbeit ist das Stichwort und ein Kompromiss oft der gangbarste Weg. Hierzu empfiehlt sich:
- Das Rad nicht immer neu zu erfinden: Holen sie sich externe Expertise und Eindrücke. Datenschutzfachfirmen, Partnerkliniken, Leitfäden oder auch ähnliche Unternehmen. Wie lösen diese die Herausforderungen und welche Richtlinien und Prozesse wurden dort erfolgreich implementiert?
- Schulung & Werbung: Jedes Datenschutzkonzept ist nur so gut wie die Mitarbeiter, die es ausführen – oder eben nicht . Was nützt eine komplexe Richtlinie mit umständlichem IT-Tool, wenn die Mitarbeiter dann privat eine WhatsApp-Gruppe gründen oder auf Chattools zurückgreifen? Werben und schulen Sie zum Thema – und zeigen Sie auch die Risiken auf. Die Daten der Patienten sind ein hohes Gut und dies muss auch allen die daran arbeiten bewusst sein. Dazu gehört Software, die im Arbeitsalltag unterstützt und den Datenschutzprozess fördert – ohne die Abläufe zu komplex und zeitaufwändig zu gestalten
- Datenschutzbeauftragter und Managementsyste: Investieren Sie in Datenschutz – im Bereich eines kompetenten Beauftragten (Intern mit Schulungen oder Extern bei qualifizierter Firma) und bei einem Datenschutzmanagementsystem (DSMS) welches Ihnen die Arbeit erleichtert. Der Datenschutz darf keine Abschiebeposition sein. Augenhöhe ist hier das Stichwort
- Führung geht voran: Die Führungsebene muss den Datenschutz tragen. Es ist keine reine IT-Aufgabe, sondern ein gelebter Prozess. Der Datenschutzbeauftragte muss einen direkten Draht zur Leitung haben und früh in Veränderungen und neue Prozesse mit einbezogen werden. Die Information „im Nachhinein“ erzeugt oft Frust und führt zu langen Abstimmungsprozessen.
- Kultur: Wie immer definiert die Kultur die Ausführung. Wird Datenschutz ernst genommen und vorgelebt – oder ist es nur ein Papiertiger? Jeder Mitarbeiter muss daran beteiligt sein, ein Versehen oder Leck reicht aus, um Reputation zu zerstören. Vertrauen zurück bekommen ist ein langer Prozess. Auch muss im Krankenhaus ein Verfahren zur Meldung von Verstößen (oder potenziellen Probleme) vorhanden sein. Dieses muss den auch den Melder vor Sanktionen schützen (Whistleblower-Schutz)
Datenschutz ist eine Einstellung. Oft wird er als bürokratisch und verhindernd gesehen, viele Unternehmen gehen allerdings dazu über damit zu werben und Ihn als Wettbewerbsvorteil zu nutzen. Wer möchte schon, dass seine Gesundheitsdaten veröffentlicht werden – oder man gar damit erpresst wird? Dies sind keine Horrorszenarios, sondern Realität. Cyberkriminalität ist weiter auf dem Vormarsch und die Zusammenarbeit zwischen Informations- und Datenschutz kritisch.
Ein Datenschutz welcher sauber implementiert und gangbar für alle Beteiligten ist, ist ein großer Mehrwert für das Krankenhaus. Im Vordergrund steht die Zusammenarbeit der verschiedenen Beteiligten (Führung, Datenschutz, IT, Behandlung) und derer Interessen. Allen muss die Kritikalität bewusst sein und keiner darf aber mit seinen Interessen ausgenommen werden. So kann ein konformer und gelebter Datenschutz entstehen und erhalten werden.
5 FAQ Fragen
1. Welche Anforderungen stellt die DSGVO speziell an Krankenhäuser?
- Verarbeitung von „besonderen Kategorien“ (Gesundheitsdaten) von personenbezogenen Daten – dadurch erhöhtes Schutzniveau und strenge technische wie organisatorische Maßnahmen
- Benennung eines Datenschutzbeauftragten
- Gesetzliche Grundlage (z.B. durch medizinische Versorgung nach Art. 9 Abs. 2 lith.h oder über lit.a als Einwilligung)
- Alle anderen generellen Pflichten: Transparenzpflicht, Betroffenenrechte, Meldung von Datenschutzverletzung usw.
2. Wie wird der Zugriff auf digitale Patientenakten kontrolliert?
- Berechtigungskonzept: Wer hat wann, wie und auf welche Daten Zugriff
- Dokumentation: Jeder Zugriff muss protokolliert werden
- IT: Verschlüsselung, Sperrung, Authentifizierung – starke Maßnahmen sind nötig
- Organisatorisch: Regelmäßige Überprüfung der Rechte & Rollen
3. Was tun bei einem Datenschutzverstoß im Krankenhaus?
- Dokumentation ab Start: Alle Maßnahmen dokumentieren (Art. 33 DSGVO)
- Eindämmen des Vorfalls: Systeme vom Netz nehmen, Konten sperren
- Meldung innerhalb 72 bei der zuständigen Behörde (Datenschutzbeauftragter)
- Benachrichtigen der Betroffenen/Patienten bei hohem Risiko
Wichtig: IT-Komponenten vom Netzwerk nehmen (isolieren), nicht vom Strom. Protokolle und Beweise könnten sonst gelöscht werden.
4. Welche Dokumente benötigt ein Krankenhaus zur Datenschutzkonformität?
- Für ein Krankenhaus, wie auch für jedes andere Unternehmen, sind die von der DSGVO vorgeschriebenen Dokumente nötig
- Verzeichnis von Verarbeitungstätigkeiten (VVT)
- Auftragsverarbeitungsverträge mit „Dritten“ bzw. externen Dienstleistern
- Richtlinien (Datenschutz, IT-Sicherheit, IT-Nutzung, weitere interne Regelungen)
- Dokumentation der technischen und organisatorischen Maßnahmen (TOMs)
- Nachweise über Schulungen, Protokolle und Vorfälle
5. Wie kann man Datenschutz mit medizinischer Forschung vereinbaren?
- Rechtlich absichern: Entweder durch Art 9. j) DSGVO oder dementsprechende ausdrückliche Einwilligungen.
- Anonymisierung & Minimierung: So wenig wie möglich personenbezogene Daten verarbeiten und diese anonymisieren.
- Transparenz: Klare Aussagen welche Daten wann, wie, wo und von wem verarbeitet werden. Information über die Rechte der Betroffenen/Patienten.
- Datenschutz einhalten: Klare Regelungen anhand der DSGVO für die Verarbeitung.
Aktuelle Krankenhaus Jobs, die Sie interessieren könnten:
Oberarzt oder Facharzt für Innere Medizin und Angiologie (m/w/d)
Facharzt für Allgemeinmedizin / Innere Medizin (m/w/d)
Facharzt für Neurologie oder Facharzt für Psychiatrie
Betriebsarzt / Facharzt Arbeitsmedizin (m/w/d) – auch Weiterbildung – Ingolstadt
Facharzt Anästhesiologie
ÄRZTLICHE GUTACHTER M/W/D
Facharzt (m/w/d) für Orthopädie/Unfallchirurgie oder Allgemeinmedizin in der Tätigkeit als Fachgutachterarzt (m/w/d)
Fachärztin/-arzt für Kinder- und Jugendmedizin (m/w/d) oder für Allgemeinmedizin (m/w/d) mit pädiatrischer Erfahrung
Facharzt (m/w/d) für Innere Medizin oder Allgemeinmedizin
Ärzt:in in der Arbeitsmedizin
Facharzt (m/w/d) mit Schwerpunkt Schulter- und Fußchirurgie
Facharzt für Allgemeinmedizin oder Innere Medizin (m/w/d) – Hausärztliche Versorgung
Chefärztin/Chefarzt für Innere Medizin/ Gastroenterologie (d/m/w)
Fachärzt:in (m/w/d) als ärztliche:r Gutachter:in
Facharzt Innere Medizin und Kardiologie (w/m/d)
FA/FÄ für Pädiatrie im Südosten von München gesucht
Etablierte Allgemeinarztpraxis sucht Ärztin / Arzt (m/w/d)
FÄ/FA Neurologie
Facharzt Chirurgie mir Schwerpunkt Phlebologie (m/w/d)
FÄ/FA HNO f. PRIVATPRAXIS in NÜRNBERG in TZ/VZ