Datenschutz im Gesundheitswesen

Datenschutz im Gesundheitswesen bezeichnet die Regeln, nach denen Krankenhäuser, Arztpraxen, Pflegeeinrichtungen, Krankenkassen und Forschungseinrichtungen Gesundheits- und Sozialdaten erheben, speichern, weitergeben und löschen dürfen. Er setzt sich aus drei Schichten zusammen: dem europäischen Datenschutzrecht, dem deutschen Sozialdatenschutz und der strafbewehrten Schweigepflicht der Heilberufe. Für Einrichtungen ist er damit eine Organisationsaufgabe mit eigenen Rollen, Prozessen und technischen Vorkehrungen.

Rechtsrahmen in drei Schichten

Grundlage ist die Datenschutz-Grundverordnung (DSGVO). Gesundheitsdaten im Sinne von Art. 4 Nr. 15 DSGVO fallen unter die besonderen Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO, deren Verarbeitung nur unter zusätzlichen Voraussetzungen erlaubt ist. Das Bundesdatenschutzgesetz füllt diesen Rahmen aus: Nach § 22 Abs. 1 Nr. 1 Buchst. b BDSG ist die Verarbeitung zulässig, wenn sie für Gesundheitsvorsorge, Diagnostik, Versorgung oder Behandlung oder für die Verwaltung von Systemen im Gesundheits- und Sozialbereich erforderlich ist und ärztliches Personal oder andere zur Geheimhaltung verpflichtete Personen die Daten verarbeiten oder verantworten. Absatz 2 verlangt dafür angemessene und spezifische Schutzmaßnahmen und nennt zehn Beispiele, darunter Protokollierung, Zugangsbeschränkung, Pseudonymisierung, Verschlüsselung und eine regelmäßige Wirksamkeitsprüfung. Das BDSG gilt für öffentliche Stellen des Bundes und für nichtöffentliche Stellen; öffentliche Stellen der Länder, etwa kommunale oder Landeskliniken, unterliegen ihm nur, soweit kein Landesgesetz den Datenschutz regelt (§ 1 Abs. 1 BDSG).

Für Kranken- und Pflegekassen und andere Leistungsträger gilt der Sozialdatenschutz. § 35 SGB I gibt jeder Person einen Anspruch auf Wahrung des Sozialgeheimnisses. Was als Sozialdatum gilt, definiert § 67 Abs. 2 SGB X; das Zweite Kapitel des SGB X und die übrigen Bücher regeln die Verarbeitung abschließend, soweit die DSGVO nicht unmittelbar gilt. Daneben steht die Schweigepflicht: § 203 StGB stellt das unbefugte Offenbaren von Patientengeheimnissen durch Ärztinnen, Ärzte, Apothekerinnen, Apotheker und Angehörige anderer staatlich geregelter Heilberufe unter Strafe.

Konsequenzen für Organisation und Führung

Im Klinik- und Kassenalltag zeigt sich Datenschutz vor allem in Berechtigungskonzepten. § 35 Abs. 1 SGB I verlangt, dass Sozialdaten auch innerhalb des Leistungsträgers nur Befugten zugänglich sind. Sozialdaten der eigenen Beschäftigten und ihrer Angehörigen dürfen Personen, die über Personalfragen entscheiden, überhaupt nicht zugänglich sein. Nichtöffentliche Einrichtungen benennen eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, sobald in der Regel mindestens 20 Personen ständig mit automatisierter Datenverarbeitung befasst sind, bei Verarbeitungen mit Pflicht zur Datenschutz-Folgenabschätzung unabhängig von dieser Zahl (§ 38 Abs. 1 BDSG).

Bei der Auslagerung von IT, Schreibdiensten oder Abrechnung hilft § 203 Abs. 3 StGB: Berufsgeheimnisträger dürfen Geheimnisse gegenüber mitwirkenden Personen offenbaren, soweit deren Tätigkeit das erfordert. Die Mitwirkenden machen sich ihrerseits strafbar, wenn sie Geheimnisse unbefugt weitergeben (Abs. 4). Für die Nutzung von Behandlungsdaten über den Behandlungszweck hinaus gibt das Gesundheitsdatennutzungsgesetz seit dem 26. März 2024 einen eigenen Rahmen: Nach § 6 GDNG dürfen Gesundheitseinrichtungen rechtmäßig gespeicherte Daten für Qualitätssicherung, Patientensicherheit, Forschung und Statistik weiterverarbeiten, wenn sie pseudonymisieren, ein Rechte- und Rollenkonzept führen und die Daten spätestens nach 30 Jahren löschen. Technische Fragen wie Verschlüsselung und Angriffsschutz behandelt der Eintrag IT-Sicherheit im Krankenhaus, die Zugriffsregeln der elektronischen Patientenakte stehen im SGB V.

Abgrenzung der Schutzschichten