Bereich

Datenschutz in Kliniken und bei ihren Anbietern

Neben Art. 9 DSGVO steht mit § 203 StGB eine eigenständige, strafbewehrte Pflicht. Sie trifft nach Absatz 4 Satz 1 auch den Dienstleister selbst und die oder den Datenschutzbeauftragten. Nach Absatz 4 Satz 2 Nummer 1 trifft sie die Klinik, wenn diese den Dienstleister nicht zur Geheimhaltung verpflichtet hat. Ob eine Auslagerung überhaupt zulässig ist, entscheidet daneben das Landesrecht. Es geht von Land zu Land auseinander.

Ein Träger in zwei Bundesländern

Ein Träger mit Häusern in Nordrhein-Westfalen und Bayern schreibt ein Dokumentenmanagement aus. Der Anbieter legt seinen Auftragsverarbeitungsvertrag bei, das Datenschutzteam prüft ihn. Die Einführung ist für beide Standorte gleich geplant. Zwei Dinge sind dabei bisher nicht geprüft worden.

Die Schweigepflicht begründet eine eigene Strafbarkeit

Was in einer Klinik neben der Verordnung gilt, wird bei der Vertragsprüfung regelmäßig übersehen, weil es nicht im Datenschutzrecht steht. § 203 Abs. 1 Nr. 1 StGB stellt das unbefugte Offenbaren eines Patientengeheimnisses unter Strafe. Diese Pflicht besteht neben Art. 9 DSGVO und nicht in ihr.

Drei Sätze des § 203 StGB, die eine Auslagerung betreffen

Wann das Offenbaren gegenüber einem Anbieter erlaubt ist

Nach Absatz 3 Satz 2 dürfen Geheimnisse gegenüber mitwirkenden Personen offenbart werden, soweit dies für die Inanspruchnahme ihrer Tätigkeit erforderlich ist. Die Erforderlichkeit ist damit auch hier der Maßstab. Sie ist je Zugriff und nicht je Vertrag zu bestimmen.

Wann der Anbieter selbst strafbar ist

Nach Absatz 4 Satz 1 macht sich strafbar, wer als mitwirkende Person ein ihr bekannt gewordenes Geheimnis unbefugt offenbart. Dieselbe Vorschrift nennt ausdrücklich auch die oder den bei der Klinik tätigen Datenschutzbeauftragten.

Wann die Klinik strafbar ist

Nach Absatz 4 Satz 2 Nummer 1 macht sich die Klinik strafbar, wenn eine mitwirkende Person offenbart und die Klinik zuvor nicht dafür gesorgt hat, dass diese zur Geheimhaltung verpflichtet wurde. Die Verpflichtung ist etwas anderes als der Vertrag nach Art. 28 Abs. 3 DSGVO.

Damit gehören zu jeder Einbindung eines Anbieters zwei Papiere und nicht eines. Liegt nur das erste vor, besteht eine datenschutzrechtliche Grundlage und daneben eine offene Strafbarkeit.

Dasselbe Vorhaben, zwei Länder, zwei Ergebnisse

Warum ein Vorhaben in zwei Ländern verschieden ausgeht, liegt an einer Ebene, die neben Verordnung und Strafrecht steht. Die Länder haben eigene Vorschriften über Patientendaten erlassen. Diese unterscheiden sich gerade bei der Auslagerung.

Auslagerung von Patientendaten in zwei Ländern

Nordrhein-Westfalen	Merkmal	Bayern
Verarbeitung in der Einrichtung§ 7 Abs. 1 GDSG NW stellt die Verarbeitung in der Einrichtung als Regel auf und die Auftragsverarbeitung als Ausnahme.	Grundsatz	ZulässigArt. 27 Abs. 4 S. 5 BayKrG erlaubt sie, wenn die besonderen Schutzmaßnahmen eingehalten werden.
Störung oder KostenNach § 7 Abs. 2 GDSG NW nur, wenn sonst Betriebsstörungen nicht vermeidbar wären oder Teilvorgänge erheblich kostengünstiger würden.	Voraussetzung	Keine AnhaltspunkteSolange nichts dafür spricht, dass schutzwürdige Belange von Patienten beeinträchtigt werden.
Physisch getrenntNach § 7 Abs. 3 S. 2 GDSG NW sind ärztliche Patientendaten auf physisch getrennten Dateien zu verarbeiten.	Trennung beim Anbieter	Nicht vorgeschrieben
Von 1994Der Wortlaut ist nicht an die Verordnung angepasst und verweist auf aufgehobene Vorschriften.	Stand der Vorschrift	AngepasstAbsatz 6 nimmt ausdrücklich auf Art. 28 und Art. 32 DSGVO Bezug.

Für einen Träger mit Häusern in beiden Ländern folgt daraus, dass eine einheitliche Auslagerung nicht ohne Weiteres möglich ist. Geprüft wird je Land. Das Ergebnis kann eine getrennte Ablage oder ein zweiter Anbieter sein.

Ein Anbieter wird zur mitwirkenden Person und damit selbst strafbar

Was das für einen Anbieter bedeutet, zeigt sich meistens erst im Vergabeverfahren. Wer in eine Klinik liefert, wird zur mitwirkenden Person im Sinne des § 203 Abs. 3 S. 2 StGB und unterliegt damit nach Absatz 4 Satz 1 einer eigenen, strafbewehrten Pflicht. Der Auftragsverarbeitungsvertrag bildet das nicht ab.

Was ein Anbieter vor der ersten Ausschreibung klären sollte

Wer im eigenen Betrieb tatsächlich Zugriff auf Patientendaten erhält und ob jede dieser Personen verpflichtet ist
Ob Unterauftragnehmer eingesetzt werden, denn nach § 203 Abs. 4 S. 2 Nr. 2 StGB trifft die Verpflichtungspflicht dann auch den Anbieter
Ob der Betrieb eine Trennung nach Mandanten und, für Nordrhein-Westfalen, eine physische Trennung ärztlicher Daten leisten kann
In welchen Ländern die Häuser des Kunden liegen, weil davon die Zulässigkeit abhängt
Ob Fernwartung und Auswertung von Protokolldaten vertraglich abgebildet sind, denn beides ist ein Zugriff

So unterstützen wir Sie im Gesundheitswesen

Der Prüfumfang ist kleiner, als er wirkt, wenn er in der richtigen Reihenfolge abgearbeitet wird. Zuerst wird festgestellt, welche Landesvorschriften für welches Haus gelten. Dann wird je Anbieter geklärt, ob er mitwirkende Person ist und wer bei ihm zu verpflichten ist. Erst danach lohnt die Arbeit am Vertrag, denn der Vertrag bildet das Ergebnis ab und erzeugt es nicht.

Häufige Fragen

Reicht die Einwilligung als Rechtsgrundlage aus?

Für die Behandlung selbst dürfte sie der schwächere Weg sein. Art. 9 Abs. 2 Buchst. h DSGVO erlaubt die Verarbeitung zu Zwecken der Versorgung und Behandlung, ohne dass eine Einwilligung nötig wäre. Eine Einwilligung ist widerruflich. Ein Widerruf mitten in der Behandlung schafft ein Problem, das ohne sie nicht bestünde.

Genügt ein Auftragsverarbeitungsvertrag für § 203 StGB?

Nein. Der Vertrag nach Art. 28 Abs. 3 DSGVO und die Verpflichtung zur Geheimhaltung nach § 203 Abs. 4 S. 2 Nr. 1 StGB sind zwei verschiedene Dinge mit zwei verschiedenen Folgen. Fehlt die Verpflichtung und offenbart der Dienstleister, ist neben ihm auch die Klinik strafbar.

Unterliegt die oder der Datenschutzbeauftragte selbst der Schweigepflicht?

Ja, und zwar strafbewehrt. § 203 Abs. 4 S. 1 StGB nennt ausdrücklich die oder den bei einer der in den Absätzen 1 und 2 genannten Personen tätigen Datenschutzbeauftragten. Das gilt für interne wie für externe Benennungen.

Dürfen Behandlungsdaten für Forschung weiterverwendet werden?

Unter Voraussetzungen. In Betracht kommen Art. 9 Abs. 2 Buchst. j DSGVO in Verbindung mit § 27 BDSG oder dem Landesrecht sowie das Gesundheitsdatennutzungsgesetz. Die landesrechtlichen Forschungsklauseln stammen teils aus der Zeit vor der Verordnung und sind je Land gesondert zu prüfen.

Weitere Fragen aus diesem Bereich

Kontaktieren Sie uns!

Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!

Kontakt aufnehmen

Alternativ können Sie um einen Rückruf bitten.