von RAin, FAin für MedR Taisija Taksijan, LL.M., legal-point.de

Ein Datenleck in der Radiologie – Patientendaten aus PACS-Servern im Netz. Ein solches Horrorszenario kann die in der DS-GVO vorgesehenen Geldbußen für die betroffenen Praxen real werden lassen. Nach fast zwei Jahren DS-GVO folgt ein Überblick über die zehn häufigsten Datenschutz-Fehlerquellen, die Sie unbedingt vermeiden sollten.

1. Fehlerquelle: Praxisalltag

Ihre Pflicht zum Schutz sensibler Patientendaten beginnt aus Sicht Ihrer Patienten spätestens mit dem Betreten Ihrer Praxis. Grobe Datenschutzverstöße können durch einfache Maßnahmen vermieden werden:

• Sorgen Sie für Vertraulichkeit in Ihren Praxisräumen – keine Videoaufnahmen, keine Versicherungskarten auf dem Empfangstresen, keine Gespräche über die Behandlung auf dem Flur.

• Achten Sie darauf, dass Ihre Bildschirme zügig gesperrt werden, wenn Sie diese nicht brauchen und verwenden Sie sichere Passwörter.

• Stellen Sie sicher, dass Ihre Patienten beim Betreten des Behandlungszimmers keine Informationen über Ihre vorherigen Patienten sehen können.

• Überprüfen Sie jedenfalls bei häufigen Patientennamen weitere Identifikationsmerkmale wie Geburtsdatum und Adresse, um Verwechslungen zu vermeiden.

• Hinterlassen Sie keine sensiblen Informationen auf einem Anrufbeantworter, bitten Sie lieber nur um Rückruf.

2. Fehlerquelle: PACS-Server

Wegen des erheblichen Volumens der Bilddaten, mit denen Sie täglich arbeiten, sind Sie als Radiologe regelmäßig auf die Verwendung der PACS-Server angewiesen. Gerade nach dem Bekanntwerden technischer Fehlerquellen im Zusammenhang mit PACS-Servern sind Sie in der Pflicht, Ihre IT-Infrastruktur kritisch zu prüfen. Nach Einschätzung des Bundesamts für Sicherheit in der Informationstechnik ergab sich die neueste Datenpanne, weil einfachste IT-Sicherheitsmaßnahmen wie ein Zugriffsschutz durch Nutzername und Passwort oder Verschlüsselung nicht umgesetzt wurden.

 

3. Fehlerquelle: Outsourcing der Datenverarbeitung

Wenn Sie etwa zur Datenaufbewahrung, Vernichtung von Patientenakten oder Abrechnung Ihres Honorars externe Dienstleister beauftragen, gewähren Sie Dritten Zugang zu sensiblen Patientendaten. I. d. R. benötigen Sie dann einen Vertrag über die Auftragsverarbeitung nach den Vorgaben der DS-GVO, der den externen Dienstleister streng weisungsgebunden einbindet.

Schließen Sie schriftliche Verträge ab, mit denen Sie zugleich dokumentieren, dass Sie Ihren Pflichten als Datenverarbeiter nachkommen.

Zur Vermeidung von Strafbarkeitsrisiken sollten Sie außerdem darauf achten, dass

• Ihre Dienstleister jeweils nur die Informationen erhalten, die sie auch wirklich brauchen,

• die von Ihnen eingesetzten Personen zur Geheimhaltung verpflichtet sind und

• ein Hinweis auf die Strafbarkeit der eingesetzten Personen bei Offenlegung enthalten ist.

 

4. Fehlerquelle: Patienteninformation

Mittlerweile gibt es zahlreiche Muster datenschutzkonformer Informationsschreiben für Patienten, die nach geringfügiger Anpassung für die eigene Praxis verwendet werden können. Wichtig ist, diese auch nachweisbar in der Praxis einzusetzen.

Die Information kann an der Rezeption oder im Wartezimmer der Praxis gut sicht- und lesbar ausgehangen werden. Erforderlich ist zudem eine aktive Unterrichtung des Patienten. Die Informationsschreiben sollten den Patienten ausgehändigt werden. Eine Unterschrift der Patienten ist nicht nötig. Sie müssen jedoch nachweisen können, den Patienten informiert zu haben. Auf eine belastbare Dokumentation – etwa ein Vermerk über die Aushändigung der Informationen in der Patientenakte – sollte daher auf keinen Fall verzichtet werden.

5. Fehlerquelle: E-Mail-Verkehr

Zur Gewährleistung eines angemessenen Schutzniveaus müssen Gesundheitsdaten wie Röntgenbilder bei der elektronischen Übermittlung verschlüsselt werden. Die Übermittlung dieser Daten durch Versenden einer einfachen, unverschlüsselten E-Mail kommt nur ausnahmsweise – etwa bei medizinischen Notfällen – in Betracht.

 

6. Fehlerquelle: Datenschutzbeauftragter

Sie benötigen einen Datenschutzbeauftragten (DSB) und müssen diesen der Aufsichtsbehörde anzeigen, wenn

• in Ihrer Praxis 20 Mitarbeiter oder mehr ständig mit automatisierter Datenverarbeitung beschäftigt sind oder

• Sie zur Durchführung einer Datenschutz-Folgeabschätzung verpflichtet sind.

Letzteres ist regelmäßig bei einer umfangreichen Datenverarbeitung oder bei hohem Risiko der Datenverarbeitung der Fall. Nicht auszuschließen ist es, dass gerade die radiologischen Praxen nach dem Bekanntwerden der Datenlecks eher als Einheiten mit hohem Risiko eingestuft werden. Dann müssen Sie die Datenschutz-Folgeabschätzung durchführen und in der Folge einen DSB bestellen.

 

7. Fehlerquelle: Verarbeitungsverzeichnis

Das Verarbeitungsverzeichnis sollte alle Datenverarbeitungsprozesse in Ihrer Praxis detailliert beschreiben. Auch wenn die erstmalige Erstellung des Verzeichnisses mit zeitintensiver Arbeit verbunden ist, sollte Ihre Praxis darüber verfügen. Das Verarbeitungsverzeichnis muss auf Anfrage der Aufsichtsbehörde zur Verfügung gestellt werden.

 

8. Fehlerquelle: Arztportale

Es ist Ihr gutes Recht, eine schlechte Bewertung in einem Arztportal entfernen zu lassen, wenn sie beleidigend ist oder unzutreffende Tatsachen enthält. Hierfür müssen Sie durch eine eigene (Gegen-)Darstellung des Sachverhalts den Portalbetreiber über die unzulässige Bewertung informieren. Sie dürfen aber zunächst keine identifizierenden Patientendaten gegenüber dem Portalbetreiber preisgeben.

 

9. Fehlerquelle: Dokumentation

Als Praxisinhaber trifft Sie eine umfassende Dokumentations- und Rechenschaftspflicht, durch die die Einhaltung aller Vorgaben der DS-GVO nachgewiesen werden soll.

Das Verarbeitungsverzeichnis, das dem Nachweis der Einhaltung der Datenschutz-Vorgaben dient, bietet Ihnen eine gute Grundlage für eine strukturierte Dokumentation.

10. Fehlerquelle: Aktualisierung

Bei den datenschutzrechtlichen Verpflichtungen handelt es sich um fortwährende Pflichten. Achten Sie insbesondere bei Veränderungen Ihrer Praxisprozesse darauf, ob die datenschutzrechtlichen Anforderungen weiterhin eingehalten werden.