Rechtliche Probleme bei der Nutzung digitaler Hilfen in

Rechtliche Probleme bei der Nutzung digitaler Hilfen in der Medizin - Datenschutz und Schweigepflicht Symposium Oktober 2018 ©Prof. Dr. Hans-Hermann Dirksen 2

LIEBENSTEIN LAW – Kanzlei für Wirtschaftsrecht Prof. Dr. Hans-Hermann Dirksen Rechtsanwalt | Hochschullehrer LIEBENSTEIN LAW Kanzlei für Wirtschafts- und Gesundheitsrecht Aystettstr. 3 - Holzhausenviertel 60322 Frankfurt/M. mail@liebenstein-law. de www. liebenstein-law. de 2 +49 1573 -1979 -280

DSGVO Was müssen Arztpraxen angesichts der neuen Vorschriften zum Datenschutz tun? Die DSGVO gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten, sowie für die nicht automatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen. 3

DSGVO Personenbezogene Daten Der Begriff der „personenbezogenen Daten“ wird im Artikel 4 DSGVO weit gefasst: „personenbezogene Daten“ [sind] alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann. 4

DSGVO Anonymität 5

DSGVO Definition Art. 4 Abs. 5 DSGVO „Pseudonymisierung“ die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden; 6

DSGVO Pseudonym - Anonym Die Verarbeitung anonymer Daten unterfällt dem Datenschutzrecht hingegen nicht. Daten gelten als anonym, wenn eine Zuordnung der Daten zu einer Person nicht ohne Weiteres möglich ist. Pseudonyme Daten (z. B. Ersetzung des Namens durch einen Identifikations-code) dagegen sind personenbezogene Daten und unterfallen dem Datenschutzrecht. 7

DSGVO Alte Datenschutzregelung: Absolute Anonymität (alt): Die Zuordnung einer Einzelangabe zu einer konkreten Person ist unmöglich. Faktische Anonymität (alt): Die Zuordnung einer Einzelangabe zu einer konkreten Person ist zwar nicht ausgeschlossen, erfordert jedoch einen unverhältnismäßig großen Aufwand Neue Datenschutzregelung: Die Unterscheidung zwischen „absoluter“ und „faktischer“ Anonymität wird aufgegeben und der Begriff der Anonymität findet sich nur noch in Erwägungsgrund 26 Satz 5 und 6 DSGVO. 8

DSGVO Erwägungsgrund 26 Bei der Feststellung, ob Mittel nach allgemeinem Ermessen wahrscheinlich zur Identifizierung der natürlichen Person genutzt werden, sollten alle objektiven Faktoren, wie die Kosten der Identifizierung und der dafür erforderliche Zeitaufwand, herangezogen werden, wobei die zum Zeitpunkt der Verarbeitung verfügbare Technologie und technologische Entwicklungen zu berücksichtigen sind. Die Grundsätze des Datenschutzes sollten daher nicht für anonyme Informationen gelten, d. h. für Informationen, die sich nicht auf eine identifizierte oder identifizierbare natürliche Person beziehen, oder personenbezogene Daten, die in einer Weise anonymisiert worden sind, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann. Diese Verordnung betrifft somit nicht die Verarbeitung solcher anonymer Daten, auch für statistische oder für Forschungszwecke. 9

DSGVO Wann sind Informationen anonym? Werden anonyme bzw. anonymisierte Daten zu statistischen Zwecken oder zu Forschungszwecken verarbeitet, lässt Erwägungsgrund 26 Satz 6 DSGVO den Einwand zu, dass diese Daten einer Anwendung der DSGVO entzogen sind. Erwägungsgrund 26 Satz 5 DSGVO lässt dagen sich schwer mit einem „absoluten“ Verständnis des Personenbezugs vereinbaren, da sich unter den heutigen Bedingungen der Datentechnik eine Identifizierung nie sicher ausschließen lässt. Eine absolute Anonymisierung ist schwer zu realisieren und im Praxisalltag ungeeignet, weil alle den Patienten identifizierenden Merkmale gelöscht werden müssten. 10

DSGVO Quellen der Identifizierbarkeit von Informationen: Krankheitsregister, Genetischer Fingerabdruck, Röntgenbilder, DNATests, Externe Qualitätssicherung (Pseudonymisierung, da ansonsten keine notwendige Zuordnung möglich), Klinische Forschung (bisher Verarbeitung ohne Einwilligung bei faktischer Anonymität ausreichend, nun absolute Anonymität erforderlich), Fehlerbehebung bei medizinischen IT-Systemen (teilweise nur anhand individueller Daten nachvollziehbar), Produktoptimierung (Log-Dateien, Anwenderprotokolle), Weiterentwicklung (Algorithmen) Eine absolute Anonymisierung ist schwer zu realisieren und im Praxisalltag ungeeignet, weil alle den Patienten identifizierenden Merkmale gelöscht werden müssten. 11

12

DSGVO Datenverarbeitung ist erlaubt, wenn eine dieser Voraussetzungen erfüllt ist (Art. 6 DSGVO): • Es liegt die Einwilligung der betroffenen Person vor • Es liegt ein berechtigtes Interesse an der Datenverarbeitung vor und schutzwürdige Interessen des Betroffenen stehen dem nicht entgegen • Die Datenverarbeitung ist erforderlich: 1. zur Erfüllung eines Vertrags 2. für vorvertragliche Maßnahmen auf eine Anfrage hin; 3. zur Erfüllung einer rechtlichen Verpflichtung des Verantwortlichen; 4. zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person; 5. im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt 13

DSGVO Besondere Vorschriften für Ärzte bei der Verarbeitung von Gesundheitsdaten gem. Art. 9 Abs. 1 DSGVO sind eine „besondere Kategorie personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person (Patienten), einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen. 14

DSGVO bei der ärztlichen Behandlung Die bedeutsamste Vorschrift für eine Verarbeitung von Gesundheitsdaten in der Arztpraxis ist Art. 9 Abs. 2 Buchst. h DSGVO i. V. m. § 22 Abs. 1 Nr. 1 Buchst. b BDSG-neu. Im Rahmen der ärztlichen Behandlung ist die Verarbeitung von Gesundheitsdaten in den meisten Fällen aufgrund dieser Gesetzesvorschrift erlaubt. Der zusätzlichen Einholung einer Einwilligung bedarf es nicht. Etwas anderes gilt nur, wenn ein Gesetz die Einwilligung ausdrücklich vorschreibt. 15

DSGVO zur Erfüllung spezieller Pflichten aus dem Sozialrecht Die Verarbeitung von Gesundheitsdaten ist darüber hinaus erlaubt, wenn sie zur Erfüllung vertragsärztlicher Pflichten oder Rechte gemäß sozialrechtlicher Vorschriften erforderlich ist. Das betrifft sämtliche Pflichten und Rechte aus den SGB im Zusammenhang mit der gesetzlichen Krankenversicherung, der Pflegeversicherung, Unfallversicherung und der Rentenversicherung. Mitteilungspflichten bestehen für Vertragsärzte gegenüber den Kassenärztlichen Vereinigungen, Krankenkassen oder gegenüber dem Medizinischen Dienst der Krankenversicherung sowie zu Zwecken der Qualitätssicherung. 16

DSGVO zur Wahrung von Rechtsansprüchen Gesundheitsdaten dürfen ferner verarbeitet werden, wenn dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Das betrifft zum Beispiel die Durchsetzung von Honorarforderungen gegenüber dem Patienten aufgrund eines Behandlungsverhältnisses oder die Verteidigung im Fall von Behandlungsfehlervorwürfen und Aufklärungsrügen. 17

DSGVO Einwilligung Die Verarbeitung ist unter anderem rechtmäßig, wenn die betroffene Person ihre Einwilligung erteilt hat (Art. 6 Abs. 1 lit. a) DSVO). Eine wirksame Einwilligung muss zunächst hinreichend bestimmt und eindeutig sein, sich also auf konkrete Fälle und alle Zwecke der Verarbeitung beziehen. Des Weiteren muss der Betroffene ausreichend informiert worden sein und die Einwilligung ohne Zwang abgegeben haben. 18

Schweigepflicht Ärztliche Schweigepflicht 19

Schweigepflicht Eine zusätzliche, wichtige Voraussetzung des Datenschutzes nach der DSGVO ist jeweils, dass Gesundheitsdaten von ärztlichem Personal oder durch sonstige Personen, die einer entsprechenden „Geheimhaltungspflicht“ unterliegen, oder unter deren Verantwortung verarbeitet werden. Die Wahrung der Geheimhaltungspflicht ist eine angemessene und besondere Garantie zum Schutz der Rechte und Freiheiten des Patienten, welche von der DSGVO gefordert wird. Ärzten ist die Verarbeitung von Gesundheitsdaten zweifelsfrei erlaubt, da sie dem Berufsgeheimnis unterliegen. 20

Schweigepflicht Ärztliche Schweigepflicht Ärzte haben über das, was ihnen in ihrer Eigenschaft als Arzt anvertraut oder bekannt geworden ist, zu schweigen. Die ärztliche Schweigepflicht zählt zum Kernbereich der ärztlichen Berufsethik. Die berufsrechtliche Ausgestaltung der Schweigepflicht erfolgt durch die Bestimmungen des § 9 der (Muster-)Berufsordnung für die in Deutschland tätigen Ärztinnen und Ärzte (MBO-Ä) sowie die entsprechenden Regelungen der Berufsordnungen der Landesärztekammern. 21

Schweigepflicht Die Schweigepflicht ergibt sich zudem als Nebenpflicht aus dem zwischen Arzt und Patient geschlossenen Behandlungsvertrag, der seit dem Inkrafttreten des Patientenrechtegesetzes in den §§ 630 a ff. Bürgerliches Gesetzbuch (BGB) geregelt ist. Mit der ärztlichen Schweigepflicht korrespondiert das durch § 203 des Strafgesetzbuches (St. GB) geschützte Patientengeheimnis, das entsprechende Verstöße des Arztes gegen die Verschwiegenheitspflicht strafrechtlich sanktioniert 22

Schweigepflicht Ihren Praxismitarbeitern dürfen Ärzte uneingeschränkten Zugang zu den im Praxisbetrieb anfallenden Informationen über Patienten einräumen. Nach der Neufassung des § 203 St. GB ist es nicht mehr strafbar, ein geschütztes Geheimnis gegenüber Personen zu offenbaren, „die an ihrer beruflichen oder dienstlichen Tätigkeit mitwirken, soweit dies für die Inanspruchnahme der Tätigkeit […] erforderlich ist. “ Dafür werden andererseits die "mitwirkenden Personen" in die Strafbarkeit mit einbezogen, sofern sie selber geschützte Geheimnisse unbefugt offenbaren. Den "Berufsgeheimnisträgern" (Arzt, Zahnarzt etc. ) sind wiederum Sorgfaltspflichten auferlegt, welche die Verschwiegenheit der mitwirkenden Personen sicherstellen sollen; insbesondere müssen diese zur Geheimhaltung verpflichtet werden. 23

Forschungsprivileg 24

Forschungsprivileg Art. 89 DSGVO - Garantien und Ausnahmen in Bezug auf die Verarbeitung zu im öffentlichen Interesse liegenden Archivzwecken, zu wissenschaftlichen oder historischen Forschungszwecken und zu statistischen Zwecken 25

Forschungsprivileg Art. 5 DSGVO - Grundsätze für die Verarbeitung personenbezogener Daten - möglicherweise keine Zweckbindung Personenbezogene Daten müssen für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“); 26

Forschung Art. 14 DSGVO - Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden – möglicherweise keine Informationspflicht Die Absätze 1 bis 4 finden keine Anwendung, wenn und soweit die Erteilung dieser Informationen sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde; dies gilt insbesondere für die Verarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke vorbehaltlich der in Artikel 89 Absatz 1 genannten Bedingungen und Garantien oder soweit die in Absatz 1 des vorliegenden Artikels genannte Pflicht voraussichtlich die Verwirklichung der Ziele dieser Verarbeitung unmöglich macht oder ernsthaft beeinträchtigt 27

Forschung Art. 17 DSGVO - Recht auf Löschung ("Recht auf Vergessenwerden") – möglicherweise kein Recht auf Löschung Die Absätze 1 und 2 gelten nicht, soweit die Verarbeitung erforderlich ist für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 28

Forschung Art. 21 DSGVO – Widerspruchsrecht - möglicherweise kein Widerspruchsrecht Die betroffene Person hat das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, gegen die sie betreffende Verarbeitung sie betreffender personenbezogener Daten, die zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken gemäß Artikel 89 Absatz 1 erfolgt, Widerspruch einzulegen, es sei denn, die Verarbeitung ist zur Erfüllung einer im öffentlichen Interesse liegenden Aufgabe erforderlich. 29

Forschung § 27 BDSG - Datenverarbeitung zu wissenschaftlichen oder historischen Forschungszwecken und zu statistischen Zwecken - möglicherweise Verarbeitung von Gesundheitsdaten ohne Einwilligung Abweichend von Artikel 9 Absatz 1 der Verordnung (EU) 2016/679 ist die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Artikels 9 Absatz 1 der Verordnung (EU) 2016/679 auch ohne Einwilligung für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke zulässig, wenn die Verarbeitung zu diesen Zwecken erforderlich ist und die Interessen des Verantwortlichen an der Verarbeitung die Interessen der betroffenen Person an einem Ausschluss der Verarbeitung erheblich überwiegen. Der Verantwortliche sieht angemessene und spezifische Maßnahmen zur Wahrung der Interessen der betroffenen Person gemäß § 22 Absatz 2 Satz 2 vor. 30

Forschung Sozialdaten § 75 SGB X - Übermittlung von Sozialdaten für die Forschung und Planung (3) Soweit nach Absatz 1 oder 2 besondere Kategorien von Daten im Sinne von Artikel 9 Absatz 1 […] an einen Dritten übermittelt oder nach Absatz 4 a von einem Dritten verwendet werden, sieht dieser bei der Verarbeitung angemessene und spezifische Maßnahmen zur Wahrung der Interessen der betroffenen Person gemäß § 22 Absatz 2 Satz 2 des Bundesdatenschutzgesetzes vor. Ergänzend zu den dort genannten Maßnahmen sind die besonderen Kategorien von Daten im Sinne des Artikels 9 Absatz 1 […] zu anonymisieren, sobald dies nach dem Forschungszweck möglich ist. § 299 SGB V - Datenerhebung, -verarbeitung und -nutzung für Zwecke der Qualitätssicherung § 300 SGB V - Abrechnung der Apotheken und weiterer Stellen 31

DSGVO Datenschutzbeauftragter 32

Datenschutzbeauftragter Die DSGVO nennt drei Fälle, in denen ein Datenschutzbeauftragter ernannt werden muss (Art. 37 Abs. 1). Dazu gehört jede Datenverarbeitung durch eine öffentliche Stelle (Abs. 1 lit. a), weswegen diese Pflicht auch die Hochschulen treffen wird. Zudem muss ein Datenschutzbeauftragter ernannt werden, wenn die zentralen Tätigkeiten des Verantwortlichen oder des Datenverarbeiters aus Handlungen bestehen, die aufgrund ihrer Art, ihres Umfangs oder Zwecks eine regelmäßige und systematische Überwachung von Betroffenen erfordern (Abs. 1 lit. b). Schließlich besteht die gleiche Pflicht, wenn die Kerntätigkeit in der umfangreichen Verarbeitung besondere Kategorien von Daten im Sinne des Art. 9 DSGVO oder Daten über strafrechtliche Verurteilungen und Straftaten gem. Art. 10 DSGVO verarbeitet werden (Abs. 1 lit. c DSGVO). 33

Datenschutzbeauftragter § 38 BDSG - Datenschutzbeauftragte nichtöffentlicher Stellen Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Nehmen der Verantwortliche oder Auftragsverarbeiter Verarbeitungen vor, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 unterliegen, oder verarbeiten sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung, haben sie unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen. 34

Datenschutzbeauftragter Der Beauftragte ist aufgrund seiner Fähigkeiten und Kenntnisse im Bereich des Datenschutzrechtes zu ernennen (Art. 37 Abs. 5 DSGVO). Er ist über alle Aktivitäten im Bereich der Datenverarbeitung frühzeitig und ordnungsgemäß zu informieren und arbeitet unabhängig. Der Datenschutzbeauftragte darf darüber hinaus wegen der Erfüllung seiner Aufgaben nicht benachteiligt oder abberufen werden und muss durch den Verantwortlichen oder Auftragsdatenverarbeiter über alle erforderlichen Ressourcen verfügen können (Art. 38 DSGVO). Seine Aufgaben bestehen unter anderem darin, auf die Einhaltung der Datenschutzvorschriften durch Überwachung, Beratung und Unterrichtung hinzuwirken und mit den Aufsichtsbehörden zu kooperieren (Art. 39 Abs. 1 DSGVO). Bei einem Verstoß gegen Regelungen der DSGVO haftet jedoch weiterhin allein die verarbeitende Stelle und nicht der Datenschutzbeauftragte. 35

Ich bedanke mich sehr herzlich für Ihre Aufmerksamkeit! Prof. Dr. Hans-Hermann Dirksen Rechtsanwalt | Hochschullehrer LIEBENSTEIN LAW Kanzlei für Wirtschafts- und Gesundheitsrecht Aystettstr. 3 - Holzhausenviertel 60322 Frankfurt/M. mail@liebenstein-law. de www. liebenstein-law. de +49 69 9592 – 8027 © lee miller/unsplash. com 35