Datenschutz im Gesundheitswesen: Leitfaden für Einrichtungen

Einleitung: Warum Datenschutz im Gesundheitswesen besonderes Augenmerk verlangt

Der Datenschutz im Gesundheitswesen ist mehr als nur eine gesetzliche Verpflichtung; er ist die Grundlage des Vertrauensverhältnisses zwischen medizinischem Personal und Patientinnen und Patienten. Gesundheitsdaten gehören zu den sensibelsten Informationen überhaupt. Sie geben Einblick in körperliche und seelische Zustände, Diagnosen, Behandlungen und genetische Veranlagungen. Ein unzureichender Schutz dieser Daten kann gravierende Folgen haben, von der sozialen Stigmatisierung bis hin zu Nachteilen im Berufsleben oder bei Versicherungsabschlüssen. Aus diesem Grund stellt der Gesetzgeber besonders hohe Anforderungen an Arztpraxen, Krankenhäuser, Labore und alle anderen Akteure im Gesundheitssektor.

Dieser Leitfaden richtet sich an Datenschutzbeauftragte, Praxisleitungen, IT-Verantwortliche und Verwaltungspersonal. Er bietet praxisnahe und rechtssichere Handlungsanweisungen, um den komplexen Anforderungen des Datenschutzes gerecht zu werden und die Sicherheit von Patientendaten im Alltag zu gewährleisten. Die korrekte Umsetzung der Vorgaben schützt nicht nur die Betroffenen, sondern bewahrt auch die verantwortliche Stelle vor empfindlichen Bußgeldern und Reputationsschäden.

Rechtliche Rahmenbedingungen: DSGVO, BDSG und §5 DDG

Die rechtliche Landschaft für den Datenschutz im Gesundheitswesen ist vielschichtig. Die zentralen Regelwerke sind die Datenschutz-Grundverordnung (DSGVO), das Bundesdatenschutzgesetz (BDSG) und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (DDG).

Die Datenschutz-Grundverordnung (DSGVO)

Die DSGVO (Datenschutz-Grundverordnung; GDPR auf Englisch, General Data Protection Regulation) bildet seit 2018 den einheitlichen Rechtsrahmen für den Datenschutz in der gesamten Europäischen Union. Sie legt die Grundprinzipien für die Verarbeitung personenbezogener Daten fest, wie etwa Rechtmäßigkeit, Zweckbindung, Datenminimierung und Transparenz. Für das Gesundheitswesen ist insbesondere Artikel 9 DSGVO von entscheidender Bedeutung, da er die Verarbeitung „besonderer Kategorien personenbezogener Daten“, zu denen auch Gesundheitsdaten zählen, unter einen besonderen Schutz stellt.

Das Bundesdatenschutzgesetz (BDSG)

Das BDSG konkretisiert und ergänzt die DSGVO auf nationaler Ebene. Es enthält spezifische Regelungen für Bereiche, in denen die DSGVO den Mitgliedstaaten Öffnungsklauseln überlässt. Im Kontext des Gesundheitswesens sind hier beispielsweise Regelungen zur Verarbeitung von Beschäftigtendaten oder zur Bestellung von Datenschutzbeauftragten relevant. Es arbeitet Hand in Hand mit der DSGVO und muss stets im Zusammenhang mit dieser gelesen werden.

Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (DDG)

Das DDG regelt den Datenschutz in der digitalen Welt und hat das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) abgelöst. Es stammt in seinen Grundzügen aus dem ehemaligen Telemediengesetz (TMG). Für das Gesundheitswesen ist besonders § 5 DDG relevant, der die Vertraulichkeit der Kommunikation bei der Nutzung digitaler Dienste sicherstellt. Dies betrifft beispielsweise die Kommunikation über Praxis-Webseiten, Patientenportale oder Videosprechstunden. Es ist wichtig zu verstehen, dass das DDG nicht das BDSG ersetzt und sich nicht primär mit dem Beschäftigtendatenschutz befasst.

Besondere Kategorien von Daten: Gesundheitsdaten nach Art. 9 DSGVO

Gesundheitsdaten genießen nach Artikel 9 Absatz 1 DSGVO einen besonders hohen Schutzstatus. Die Verarbeitung dieser Daten ist grundsätzlich untersagt, es sei denn, es liegt eine der explizit genannten Ausnahmen vor. Für den medizinischen Alltag sind vor allem zwei Ausnahmen relevant:

• Einwilligung der betroffenen Person (Art. 9 Abs. 2 lit. a DSGVO): Die Patientin oder der Patient willigt ausdrücklich in die Verarbeitung seiner Daten für einen oder mehrere festgelegte Zwecke ein. Diese Einwilligung muss freiwillig, informiert und unmissverständlich sein.
• Notwendigkeit für die Gesundheitsvorsorge oder Behandlung (Art. 9 Abs. 2 lit. h DSGVO): Die Verarbeitung ist für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheitsbereich oder für die Verwaltung von Systemen und Diensten im Gesundheitssektor erforderlich. Dies ist die primäre Rechtsgrundlage für die Datenverarbeitung im Rahmen eines Behandlungsvertrags.

Ein neutraler Hinweis von MUNAS Consulting: Verlassen Sie sich nicht ausschließlich auf die Einwilligung. Die primäre Rechtsgrundlage für die Standard-Datenverarbeitung im Behandlungsverhältnis ist Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit dem Behandlungsvertrag. Die Einwilligung wird vor allem dann relevant, wenn Daten für Zwecke verarbeitet werden, die über die reine Behandlung hinausgehen (z. B. Teilnahme an Studien, Nutzung bestimmter Kommunikationswege).

Elektronische Patientenakte (ePA): Rechtliche Anforderungen und Praxisimplikationen

Die elektronische Patientenakte (ePA) ist ein zentrales Element der Digitalisierung im Gesundheitswesen. Sie ermöglicht einen schnellen und umfassenden Zugriff auf Behandlungsdaten, birgt jedoch auch erhebliche datenschutzrechtliche Herausforderungen. Die Nutzung der ePA durch Praxen und Kliniken muss strengen Vorgaben genügen.

Anforderungen an die Praxis

• Freiwilligkeit und explizite Einwilligung: Die Nutzung der ePA ist für Patientinnen und Patienten freiwillig. Sie müssen aktiv und informiert einwilligen, welche Daten in der ePA gespeichert und wer darauf zugreifen darf.
• Granulares Berechtigungsmanagement: Patientinnen und Patienten müssen die Möglichkeit haben, Zugriffsrechte sehr detailliert zu steuern. Sie können entscheiden, welche Dokumente für welche Ärzte oder Einrichtungen sichtbar sind und für welchen Zeitraum der Zugriff gewährt wird.
• Protokollierungspflicht: Jeder Zugriff auf die ePA muss lückenlos protokolliert werden. Die Protokolle müssen für die Patientinnen und Patienten einsehbar sein, um volle Transparenz zu gewährleisten.
• Sicherheitsmaßnahmen: Praxen müssen sicherstellen, dass der Zugriff auf die Telematikinfrastruktur und die ePA nur durch autorisiertes Personal über sichere Verbindungen (z. B. mittels Heilberufsausweis) erfolgt.

Datenschutzfolgenabschätzung (DSFA): Kriterien, Ablauf und Dokumentation

Eine Datenschutzfolgenabschätzung (DSFA) nach Artikel 35 DSGVO ist immer dann durchzuführen, wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Im Gesundheitswesen ist dies häufig der Fall, insbesondere bei der Einführung neuer Technologien oder Verarbeitungsprozesse.

Wann ist eine DSFA erforderlich?

Eine DSFA ist insbesondere erforderlich bei:

• Der umfangreichen Verarbeitung von Gesundheitsdaten (z. B. Betrieb eines Krankenhausinformationssystems).
• Der Einführung der elektronischen Patientenakte.
• Der Nutzung von KI-basierten Diagnosetools.
• Der systematischen Überwachung öffentlich zugänglicher Bereiche (z. B. Videoüberwachung im Wartezimmer).

Ablauf einer DSFA

1. Systematische Beschreibung der Verarbeitung: Was wird verarbeitet? Zu welchem Zweck? Wer hat Zugriff?
2. Bewertung der Notwendigkeit und Verhältnismäßigkeit: Ist die Verarbeitung zur Zweckerreichung wirklich notwendig?
3. Risikobewertung: Identifikation und Bewertung der Risiken für die Betroffenen (z. B. Datenverlust, unbefugter Zugriff).
4. Geplante Abhilfemaßnahmen: Beschreibung der technischen und organisatorischen Maßnahmen (TOMs), um die identifizierten Risiken zu minimieren.
5. Dokumentation: Alle Schritte und Ergebnisse müssen schriftlich festgehalten werden.

Technische und organisatorische Maßnahmen (TOMs) im Praxisbetrieb

Technische und organisatorische Maßnahmen (TOMs) sind das Herzstück des operativen Datenschutzes. Sie sollen die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme gewährleisten. Der Datenschutz im Gesundheitswesen erfordert hier ein besonders hohes Schutzniveau.

Beispiele für technische Maßnahmen

• Verschlüsselung: Verschlüsselung von Festplatten, Datenbanken, E-Mails und Datenübertragungen.
• Zugangskontrolle: Passwortschutz, Zwei-Faktor-Authentifizierung und physische Sicherung von Serverräumen.
• Zugriffskontrolle: Detaillierte Berechtigungskonzepte, die sicherstellen, dass Mitarbeiter nur auf die Daten zugreifen können, die sie für ihre Aufgaben benötigen („Need-to-know“-Prinzip).
• Pseudonymisierung und Anonymisierung: Wo immer möglich, sollten Daten so verarbeitet werden, dass sie nicht mehr direkt einer Person zugeordnet werden können.
• Regelmäßige Datensicherungen: Erstellung von Backups und Testung der Wiederherstellbarkeit, um die Verfügbarkeit zu sichern.

Beispiele für organisatorische Maßnahmen

• Datenschutzrichtlinien: Erstellung und Kommunikation klarer interner Weisungen zum Umgang mit Patientendaten.
• Mitarbeiterschulungen: Regelmäßige Schulungen und Sensibilisierung des gesamten Personals.
• Verpflichtung auf die Vertraulichkeit: Alle Mitarbeiter müssen eine Vertraulichkeitserklärung unterzeichnen.
• Management von Datenschutzvorfällen: Ein etablierter Prozess zur Meldung und Bearbeitung von Datenpannen.
• Bestellung eines Datenschutzbeauftragten: Sofern gesetzlich vorgeschrieben oder freiwillig, um eine fachkundige Überwachung sicherzustellen.

Auftragsverarbeitung: Auswahlkriterien und Kontrollpflichten bei Dienstleistern

Kaum eine Praxis oder Klinik kommt heute ohne externe Dienstleister aus. Ob es sich um die Praxissoftware, die externe Abrechnungsstelle oder den IT-Support handelt – sobald ein Dritter im Auftrag personenbezogene Daten verarbeitet, liegt eine Auftragsverarbeitung nach Artikel 28 DSGVO vor.

Die Verantwortung für den Datenschutz verbleibt dabei vollständig bei der Praxis als Verantwortlichem. Daher ist die sorgfältige Auswahl und Kontrolle der Dienstleister unerlässlich.

Checkliste für die Auswahl von Dienstleistern

• Abschluss eines Auftragsverarbeitungsvertrags (AVV): Dies ist eine zwingende gesetzliche Anforderung. Der Vertrag muss alle in Art. 28 Abs. 3 DSGVO genannten Punkte enthalten.
• Prüfung der TOMs des Dienstleisters: Lassen Sie sich die technischen und organisatorischen Maßnahmen des Dienstleisters nachweisen. Zertifizierungen (z. B. nach ISO 27001) können ein guter Indikator sein.
• Standort des Dienstleisters: Bevorzugen Sie Dienstleister mit Sitz und Rechenzentren innerhalb der EU/des EWR, um komplexe Drittlandtransfers zu vermeiden.
• Kontrollrechte: Stellen Sie sicher, dass der AVV Ihnen das Recht einräumt, die Einhaltung der Datenschutzpflichten beim Dienstleister zu überprüfen (z. B. durch Audits).

Kommunikation mit Patientinnen und Patienten: E-Mail, SMS und Messenger-Dienste

Die digitale Kommunikation ist aus dem Praxisalltag nicht mehr wegzudenken. Doch gerade hier lauern erhebliche Fallstricke für den Datenschutz im Gesundheitswesen.

E-Mail-Kommunikation

Standard-E-Mails sind unsicher und mit einer Postkarte vergleichbar. Der Versand von Gesundheitsdaten per unverschlüsselter E-Mail ist nur mit der ausdrücklichen, informierten und protokollierten Einwilligung des Patienten zulässig. Patienten müssen dabei über die Risiken (mangelnde Vertraulichkeit und Integrität) aufgeklärt werden. Besser ist die Nutzung von Ende-zu-Ende-verschlüsselten Verfahren oder sicheren Patientenportalen.

SMS und Messenger-Dienste

Für Terminerinnerungen per SMS ist ebenfalls eine Einwilligung erforderlich. Die Nutzung von gängigen Messenger-Diensten wie WhatsApp für die Kommunikation von Gesundheitsdaten ist in der Regel unzulässig. Diese Dienste übermitteln oft Metadaten an Server in Drittländern (z. B. die USA) und erfüllen nicht die hohen Sicherheitsanforderungen der DSGVO für Gesundheitsdaten.

Mitarbeiterrollen und Verantwortlichkeiten: Schulung und Nachweisführung

Der stärkste Schutzwall für Patientendaten sind gut informierte und sensibilisierte Mitarbeiter. Jeder im Team, von der Anmeldung bis zur ärztlichen Leitung, trägt Verantwortung für den Datenschutz.

Schulung und Sensibilisierung

Regelmäßige, mindestens jährliche Datenschutzschulungen sind für alle Mitarbeiter mit Zugriff auf personenbezogene Daten unerlässlich. Inhalte sollten sein:

• Grundlagen der DSGVO und des BDSG.
• Besonderer Schutz von Gesundheitsdaten.
• Umgang mit Patientenauskünften und Betroffenenrechten.
• Verhalten bei Datenschutzvorfällen.
• Sichere Nutzung von IT-Systemen und Kommunikationsmitteln.

Die Teilnahme an den Schulungen muss nachweisbar dokumentiert werden. Dies ist ein wichtiger Baustein der Rechenschaftspflicht nach Artikel 5 Abs. 2 DSGVO.

Praxisnahe Checkliste: Sofortmaßnahmen für Praxen und Kliniken

Diese Checkliste hilft Ihnen, den Status quo des Datenschutzes in Ihrer Einrichtung schnell zu erfassen und erste Maßnahmen für 2025 und darüber hinaus zu ergreifen:

• Verzeichnis von Verarbeitungstätigkeiten (VVT): Ist Ihr VVT vollständig und aktuell?
• Auftragsverarbeitungsverträge (AVV): Sind mit allen externen Dienstleistern gültige AVVs abgeschlossen?
• Technische und organisatorische Maßnahmen (TOMs): Ist Ihre Dokumentation der TOMs auf dem neuesten Stand? Werden die Maßnahmen regelmäßig überprüft?
• Mitarbeiter: Sind alle Mitarbeiter auf die Vertraulichkeit verpflichtet und wurden sie kürzlich geschult?
• Betroffenenrechte: Gibt es einen etablierten Prozess zur Bearbeitung von Anfragen auf Auskunft, Löschung oder Berichtigung?
• Datenschutzvorfälle: Kennt jeder Mitarbeiter das Verfahren zur Meldung eines potenziellen Datenschutzvorfalls?
• Datenschutzerklärung: Ist die Datenschutzerklärung auf Ihrer Webseite aktuell und vollständig?

Musterprozesse: Datenschutzkonforme Abläufe ohne reale Vorfälle

Durch die Definition und Etablierung von Standardprozessen können Sie sicherstellen, dass datenschutzrechtliche Anforderungen im Alltag systematisch umgesetzt werden.

Musterprozess: Auskunftsersuchen eines Patienten (Art. 15 DSGVO)

1. Eingang des Antrags: Der Antrag geht per E-Mail, Post oder persönlich ein.
2. Identitätsprüfung: Die Identität des Antragstellers wird zweifelsfrei geprüft (z. B. durch Vorlage des Personalausweises bei persönlichem Erscheinen), um eine Datenherausgabe an Unbefugte zu verhindern.
3. Datenzusammenstellung: Alle zur Person gespeicherten Daten werden aus den relevanten Systemen (Praxissoftware, Akten, etc.) zusammengetragen.
4. Aufbereitung der Auskunft: Die Informationen werden gemäß den Anforderungen des Art. 15 DSGVO aufbereitet (u. a. Verarbeitungszwecke, Datenkategorien, Empfänger, Speicherdauer).
5. Übermittlung: Die Auskunft wird dem Patienten in einem gängigen Format (elektronisch oder postalisch) innerhalb der gesetzlichen Frist von einem Monat übermittelt.
6. Dokumentation: Der gesamte Vorgang wird intern revisionssicher dokumentiert.

Häufige Irrtümer und Prüfhilfen für interne Audits

Im Bereich Datenschutz im Gesundheitswesen halten sich hartnäckig einige Missverständnisse, die zu schweren Fehlern führen können.

Irrtum	Korrektur und Prüfhilfe
“Wir sind eine kleine Praxis, die DSGVO betrifft uns nicht so stark.”	Die DSGVO gilt für jede Verarbeitung personenbezogener Daten, unabhängig von der Größe der Einrichtung. Die Sensibilität von Gesundheitsdaten macht die Einhaltung gerade hier besonders wichtig. Prüffrage: Werden alle Kernpflichten der DSGVO (VVT, TOMs, AVV) erfüllt?
“Die Schweigepflicht reicht aus, wir brauchen keinen extra Datenschutz.”	Die ärztliche Schweigepflicht (§ 203 StGB) und der Datenschutz (DSGVO/BDSG) sind zwei verschiedene, sich aber ergänzende Regelungsbereiche. Der Datenschutz regelt den umfassenden Schutz der Daten, während die Schweigepflicht den Kern des Arzt-Patienten-Verhältnisses betrifft. Prüffrage: Gibt es neben der Verpflichtung auf das Datengeheimnis auch Schulungen zur DSGVO?
“Patientendaten dürfen nach 10 Jahren immer gelöscht werden.”	Gesetzliche Aufbewahrungspflichten (z. B. aus dem BGB, SGB V oder der Röntgenverordnung) haben Vorrang vor dem Löschanspruch aus der DSGVO. Daten müssen so lange aufbewahrt werden, wie es gesetzlich vorgeschrieben ist, aber nach Ablauf der Frist gelöscht werden. Prüffrage: Gibt es ein dokumentiertes Löschkonzept, das die verschiedenen Aufbewahrungsfristen berücksichtigt?

Glossar wichtiger Begriffe

• Verantwortlicher: Die Praxis, das Krankenhaus oder die Organisation, die über die Zwecke und Mittel der Datenverarbeitung entscheidet.
• Auftragsverarbeiter: Ein externer Dienstleister, der im Auftrag des Verantwortlichen Daten verarbeitet (z. B. IT-Dienstleister, Abrechnungsstelle).
• Personenbezogene Daten: Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (z. B. Name, Geburtsdatum, Krankenversicherungsnummer).
• Gesundheitsdaten: Daten, die sich auf die körperliche oder geistige Gesundheit einer Person beziehen, einschließlich der Erbringung von Gesundheitsdienstleistungen (Art. 4 Nr. 15 DSGVO).
• Datenschutz-Folgenabschätzung (DSFA): Ein Prozess zur Bewertung und Minimierung von Risiken bei Verarbeitungen mit voraussichtlich hohem Risiko für die Betroffenen.
• Verzeichnis von Verarbeitungstätigkeiten (VVT): Ein Dokument, in dem alle Verarbeitungsprozesse personenbezogener Daten in einer Organisation beschrieben sind.

Zusammenfassung und weiterführende Ressourcen

Ein robuster Datenschutz im Gesundheitswesen ist eine Daueraufgabe, die strategische Planung, technische Absicherung und die kontinuierliche Sensibilisierung aller Beteiligten erfordert. Die Einhaltung der rechtlichen Rahmenbedingungen wie DSGVO, BDSG und DDG ist nicht nur eine Pflicht, sondern ein entscheidender Faktor für das Vertrauen der Patientinnen und Patienten und den Schutz ihrer fundamentalen Rechte. Durch die Implementierung klarer Prozesse, die sorgfältige Auswahl von Dienstleistern und regelmäßige interne Überprüfungen können Praxen und Kliniken ein hohes Datenschutzniveau gewährleisten und sich rechtssicher aufstellen.

Für vertiefende Informationen und offizielle Handreichungen empfehlen wir die Webseiten der folgenden Institutionen:

• Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI): https://www.bfdi.bund.de
• Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD): https://www.gdd.de
• Berufsverband der Datenschutzbeauftragten Deutschlands e.V. (BvD): https://www.bvdnet.de/de/home

Wenn Sie Unterstützung bei der Umsetzung oder Überprüfung Ihrer Datenschutzmaßnahmen benötigen, bietet MUNAS Consulting eine fachkundige und neutrale Beratung.