Seit dem 25. Mai 2018 ist die Europäische Datenschutz-Grundverordnung (DS-GVO) verbindlich anzuwenden. Im Zusammenhang mit der Ein- und Durchführung der DS-GVO erreicht den Landesbeauftragten für den Datenschutz Sachsen-Anhalt, Herrn Dr. Harald von Bose, eine Flut an Anfragen und Eingaben, darunter auch zur Datenverarbeitung in Arztpraxen. Immer wiederkehrend ist dabei die Frage, ob die Arztpraxis ihre Datenverarbeitung auf gesetzliche Grundlage stützen kann oder – ggf. inwieweit – sie die Einwilligung der PatientInnen benötigt.

Gesundheitsdaten stehen als besondere Kategorien personenbezogener Daten unter erhöhtem Schutz (Art. 9 Abs. 1 DS-GVO). Sie dürfen nur unter den engen Voraussetzungen des Art. 9 Absätze 2 und 3 DS-GVO sowie ggf. darauf basierendem nationalen Recht verarbeitet werden. Bei der rechtlichen Prüfung der Erlaubnistatbestände sollte allerdings nicht die Einwilligung des Art. 9 Abs. 2 lit. a DS-GVO vorrangig herangezogen werden, denn bei Vorliegen einer gesetzlichen Grundlage ist das Einholen einer Einwilligung für dieselbe Datenverarbeitung nicht nur unnötig, sondern sogar zu unterlassen. Denn dies suggeriert der betroffenen Person unzutreffend, dass sie hinsichtlich der Datenverarbeitung eine freie Wahl treffen könne.

Rechtlicher Hintergrund für die Tätigkeit als Arzt/Ärztin ist der zivilrechtliche Behandlungsvertrag nach § 630a des Bürgerlichen Gesetzbuches (BGB). Dieser kommt zwischen Arzt/Ärztin und Patient/in zustande, unabhängig davon ob der/die jeweilige Patient/in gesetzlich oder privat krankenversichert ist. Die gesetzliche Grundlage für die damit verbundene Datenverarbeitung kann sich aus Art. 6 Abs. 1 Satz 1 lit. b i. V. m. Art. 9 Abs. 2 lit. h DS-GVO ergeben.

Erlaubt ist hiernach die Verarbeitung für Zwecke der Gesundheitsvorsorge, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheitsbereich oder für die Verwaltung von Systemen und Diensten im Gesundheitsbereich auf der Grundlage des Unionsrechts oder des Rechts eines Mitgliedstaats oder aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs. Dabei sind die in Art. 9 Abs. 3 DS-GVO genannten Bedingungen und Garantien zu erfüllen. Art. 9 Abs. 3 DS-GVO i. V. m. § 22 Abs. 1 Nr. 1 Buchst. b BDSG fordert demgemäß, dass die Daten von ärztlichem Personal oder durch sonstige Personen, die einer entsprechenden Geheimhaltungspflicht unterliegen, oder unter deren Verantwortung verarbeitet werden. Die Mitgliedstaaten können zudem zusätzliche Bedingungen, einschließlich Beschränkungen, einführen oder aufrechterhalten, soweit die Verarbeitung von Gesundheitsdaten betroffen ist (Art. 9 Abs. 4 DS-GVO).

Die Datenverarbeitung in Arztpraxen im Rahmen der Verträge mit den betroffenen PatientInnen erfolgt klassischerweise unter diesen Voraussetzungen. Ärzte/Ärztinnen sind Angehörige eines Gesundheitsberufs im Sinne dieser Vorschrift, deren Geheimhaltungspflicht sich berufsrechtlich aus der jeweiligen Berufsordnung, in Sachsen-Anhalt aus § 9 der Berufsordnung der Ärztekammer Sachsen-Anhalt, sowie strafrechtlich aus § 203 Abs. 1 Nr. 1 des Strafgesetzbuches (StGB) ergibt. Dies gilt auch für die in der Praxis tätigen nichtärztlichen Beschäftigten und Auszubildenden sowie sonstige sogenannte mitwirkende Personen (vgl. § 203 Absätze 3 und 4 StGB). Die Datenverarbeitung, die erforderlich ist, um die Behandlungsverträge mit den PatientInnen zu erfüllen, erfolgt somit auf gesetzlicher Grundlage und bedarf keiner Einwilligung.

Erforderlich ist dabei in der Regel die Datenverarbeitung zur

• Diagnostik: Anamnese (Ermittlung der Vorgeschichte, von Vorerkrankungen) und Befunderhebung (Untersuchung, auch von Körpermaterial, auch, falls erforderlich, durch Zuziehung eines Facharztes, Überweisung an Fachärzte oder Einweisung in ein Krankenhaus),
• Information und Aufklärung der PatientInnen,
• Therapie: eigentliche Heilbehandlung, Verordnung von Medikamenten, Heil- und Hilfsmitteln, ggf. Einweisung in ein Krankenhaus, Nachsorge (Nachuntersuchung, Wundkontrolle),
• Organisation und Koordination des Behandlungsablaufs,
• Dokumentation,
• Ausstellen schriftlicher Bescheinigungen (Atteste, Arztbriefe),
• Rechnungslegung.
  
  

Welche Behandlungsschritte und damit Datenverarbeitungen erforderlich sind, entscheidet der Arzt/die Ärztin im Rahmen seiner/ihrer fachlichen Kompetenz und Verantwortung anhand der Besonderheiten des Einzelfalles. Im Rahmen der ärztlichen Informations- und Aufklärungspflicht wird dies mit den jeweiligen PatientInnen besprochen. Bei Datenübermittlungen an Dritte sollte der Empfänger möglichst konkret beschrieben oder bestenfalls benannt werden. Bringen die PatientInnen, z. B. durch Nicken oder aktive Teilnahme, ihr Einverständnis mit der jeweiligen Maßnahme zum Ausdruck, bestehen auch datenschutzrechtlich keine Bedenken, diese Maßnahme als Gegenstand des Behandlungsvertrages und die damit verbundene Datenverarbeitung als zulässig zu betrachten. Aus einer Vielzahl spezialgesetzlicher Vorschriften ergeben sich zusätzlich die Pflicht und damit datenschutzrechtlich auch die Erlaubnis für den Arzt/die Ärztin, Daten der PatientInnen zu übermitteln, z. B.

• zum Zweck der Abrechnung an die Kassenärztliche Vereinigung oder andere Kostenträger (z. B. nach § 295 des Fünften Buches Sozialgesetzbuch – SGB V),
• zum Zweck der Wirtschaftlichkeitsprüfung an die Prüfungsstellen nach § 106c SGB V (vgl. § 296 SGB V),
• zum Zweck der Begutachtung, Prüfung und Beratung an den Medizinischen Dienst der Krankenkassen (vgl. § 276 Abs. 2 SGB V, § 18 Abs. 5 des Elften Buches Sozialgesetzbuch – SGB XI).

Dazu kommen auch Sonderfälle, wie beispielsweise

• die Mitteilung über bestimmte Krankheitsursachen an die Krankenkassen (§ 294a SGB V),
• die namentliche Meldung bei ansteckenden Krankheiten an das Gesundheitsamt (§§ 8, 9 des Infektionsschutzgesetzes),
• die Information über Unfallheilverfahren an den Unfallversicherungsträger (§§ 201 bis 203 des Siebten Buches Sozialgesetzbuch – SGB VII),
• die Übermittlung von Röntgenaufnahmen an die zuständige Stelle, z. B. die Ärztliche Stelle Röntgen bei der Ärztekammer Sachsen-Anhalt (§ 17a Röntgenverordnung – RöV),
• die Information bei Substitutionsbehandlung an das Bundesinstitut für Arzneimittel und Medizinprodukte (§ 5b der Betäubungsmittel-Verschreibungsverordnung – BtMVV),
• die Information über Krebsbehandlungen an die Klinische Krebsregister Sachsen-Anhalt gGmbH (§ 9 des Krebsregistergesetzes Sachsen-Anhalt – KRG LSA).

Für den wohl überwiegenden Teil der Datenverarbeitungen in einer Arztpraxis ist somit eine Einwilligung entbehrlich. Etwas anderes gilt allerdings, wenn gesetzliche Vorgaben eine Einwilligung fordern. So fordert § 73 Abs. 1b SGB V im Rahmen der gesetzlichen Krankenversicherung für das Erheben von Behandlungsdaten und Befunden durch einen Hausarzt bei einem anderen Leistungserbringer und für das Übermitteln von Behandlungsdaten und Befunden von einem Hausarzt an einen anderen Leistungserbringer (weiterhin, wie auch schon vor Geltung der DS-GVO) die (sogar) schriftliche Einwilligung des Patienten. Dies gilt nach § 73 Abs. 1b Satz 2 SGB V auch, wenn ein anderer Leistungserbringer, z. B. ein Facharzt, für die Behandlung erforderliche Daten und Befunde bei einem anderen Leistungserbringer/Facharzt erhebt. Hier ist eine schriftliche Einwilligung durch Spezialnorm vorgeschrieben.

Auch für die Datenübermittlung an eine privatärztliche Verrechnungsstelle zur Abrechnung ärztlicher Leistungen und zum Forderungseinzug oder gar für die Forderungsabtretung an Dritte bedarf es einer Einwilligung der PatientInnen. Unabhängig von der Rechtsgrundlage für die Datenverarbeitung ist es stets erforderlich, dass die Arztpraxis die PatientInnen über die Datenverarbeitungen und die Rechte der PatientInnen in diesem Zusammenhang umfassend informiert. Die maßgeblichen rechtlichen Grundlagen für die Informationspflichten finden sich in den Art. 12 ff. DS-GVO.

Über diese Informationspflichten informieren wir Sie im kommenden Ärzteblatt Sachsen-Anhalt. Sie können diese jedoch bereits hier online abrufen: www.t1p.de/DS-GVO

Auf der Internetseite des Landesbeauftragten für den Datenschutz Sachsen-Anhalt finden Sie weiteres Informationsmaterial zur DS-GVO sowie gemeinsame Kurzpapiere der unabhängigen Datenschutzbehörden des Bundes und der Länder: www.datenschutz.sachsen-anhalt.de/informationen/internationales/datenschutz-grundverordnung/

Für weitergehende Fragen und Hinweise können Sie unter Tel. 0391/ 81803-0 oder Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein! Kontakt zum Landesbeauftragten aufnehmen.

Dr. Harald von Bose
Landesbeauftragter für den Datenschutz Sachsen-Anhalt