CSO
Alternatives Drucklayout:
› reiner Text
Link: https://www.csoonline.com/de/a/datenschutz-als-hemmnis-oder-als-chance,3671960

Digitalisierung in Krankenhäusern

Datenschutz als Hemmnis oder als Chance?

Datum:01.12.2021
Autor(en):Mareike Gehrmann, Carolin Monsees
Die Bundesregierung treibt die Digitalisierung im Gesundheiswesen voran. Allerdings gleicht der deutsche Rechtsrahmen für Krankenhäuser dafür einem Dschungel. Hier der Durchblick.

Patientenbezogene MRT-Bilder sind nur ein Teil der Daten, die manchmal von einem Krankenhaus an ein anderes geleitet werden müssen. Die rechtlichen Vorgaben für den Patienten-Datenschutz sind allerdings bereits innerhalb der deutschen Grenzen nur schwer nachzuvollziehen.
Foto: Gorodenkoff - shutterstock.com

Die Digitalisierung erfreute sich nicht nur als Thema im Bundestagswahlkampf 2021 großer Beliebtheit, sondern ist vom Bund für den Krankenhausbereich bereits im Jahr 2020 zum Anlass genommen worden, den Krankenhauszukunftsfond1 mit einem Fördervolumen von bis zu 4,3 Milliarden Euro aufzusetzen. Das Ziel dieser Milliardenförderung ist die Vernetzung des Gesundheitssektors und damit die Verbesserung der Patientenversorgung, beispielsweise mittels digitaler Aufnahme- und Entlassprozesse oder sprachbasierter Patientendokumentation. Die Datenschutzkonformität eines solchen Vorhabens ist Voraussetzung für dessen Förderungsfähigkeit (§ 19 Abs. 2 Nr. 5 KHSFV2). Und damit kommen wir zum Kern des Problems: Wie lassen sich digitale - zum Großteil cloudbasierte - Vorhaben im Krankenhausbereich überhaupt mit dem derzeitigen Rechtsrahmen datenschutzkonform umsetzen?

Fragmentierte (landesrechtliche) Regelungen

Es stellt sich zunächst die Frage, welche datenschutzrechtlichen Regelungen überhaupt Anwendung finden. Insoweit kommt es nämlich nicht auf das konkrete Vorhaben an, sondern darauf, wer Träger des jeweiligen Krankenhauses ist. Abhängig davon, ob das Krankenhaus in

  • staatlicher,

  • privater oder

  • kirchlicher Trägerschaft

ist, müssen neben Bundesgesetzen wie der Datenschutzgrundverordnung und dem Bundesdatenschutzgesetz die jeweiligen Landesdatenschutz- oder Landeskrankenhausgesetze sowie weiteres spezielles Landesgesetz beachtet werden.

Je nach Einrichtung kommen weitere datenschutzrechtliche Vorgaben hinzu, beispielsweise Landesgesetze für psychiatrische Einrichtungen, für den Maßregelvollzug, die Berufsordnungen der Ärzte.

Weiter kommen auf Bundesebene spezielle Vorgaben aus dem

  • Sozialgesetzbuch V3 (SGB V),

  • dem Strafgesetzbuch4 und

  • eher die IT-Sicherheit als den Datenschutz betreffend: dem BSI-Gesetz5,

  • der BSI-KritisV6 und

  • (neu) dem Patientendaten-Schutz-Gesetz7

hinzu. Der Umstand, dass die Hierarchien und Anwendungsvorränge zwischen den Bundesgesetzen und den zum Teil stark fragmentierten landesrechtlichen Vorgaben nicht aufeinander abgestimmt sind, führt in diesem Bereich nicht wirklich zu einer Rechtssicherheit. Bereits mit dieser stark vereinfachten Darstellung wird deutlich, dass der datenschutzrechtliche Rechtsrahmen für Krankenhäuser höchst komplex und in sich nicht abgestimmt ist.

Beispiel: Internationale Cloud trifft auf deutsches Landesrecht

Der zersplitterte Rechtsrahmen ist allerdings nur die erste Hürde, die Krankenhäuser bei der Umsetzung datenschutzkonformer Digitalisierungsvorhaben zu bewältigen haben. Die zweite Schwierigkeit liegt in den konkreten landesrechtlichen Vorgaben, die den Stand der heutigen Digitalisierung schlichtweg nicht mehr abbilden.

Als Beispiel für diese Problematik sei eine cloudbasierte Krankenhausanwendung eines Anbieters angeführt, mittels der ein Krankenhaus in privater Trägerschaft Patientendaten verarbeiten möchte. Ausgehend von den Vorgaben der Datenschutzgrundverordnung (DSGVO) würde der geneigte Datenschützer an Themen wie Auftragsverarbeitung, Drittlandtransfer und Standardvertragsklauseln denken. Allesamt datenschutzrechtliche Themen, die an sich schon recht komplex sind und sich zudem in stetiger Entwicklung befinden.

Das Krankenhaus wird sich in diesem Beispiel zusätzlich noch mit landesrechtlichen Vorgaben beschäftigen müssen. Konkrete Vorgaben für Cloud-Services existieren zwar in keinem Bundesland. Dafür finden sich divergierende Regelungen zum Einsatz von Auftragsverarbeitern. Dabei handelt es sich um Anbieter, die - wie bei cloudbasierten Services üblich - personenbezogene Daten auf Weisung des Krankenhauses verarbeiten.

In Berlin existiert beispielsweise überhaupt kein Landeskrankenhausgesetz. Die Konsequenz daraus: die obigen skizzierte Vorgaben nach DSGVO und Bundesdatenschutzgesetz gelten.

In Sachsen dagegen bedarf es zur Auftragserteilung der Zustimmung der zuständigen Behörde (§ 33 Abs. 8 S. 2 Sächsisches Krankenhausgesetz8)

In Bayern darf wiederum nur ein anderes Krankenhaus als Auftragsverarbeiter eingesetzt werden (Art. 27 Abs. 4 S. 5 bis 6 Bayerisches Krankenhausgesetz9).

Hier stellt sich die Frage, ob eine Klinik-Gruppe mit Krankenhäusern in Berlin, Sachsen und Bayern mit diesem Rechtsrahmen überhaupt eine datenschutzkonforme sichere Lösung finden kann. Das Ergebnis ist derzeit wohl eher das Folgende: Die größten rechtlichen Risiken versuchen zu umschiffen und dann mit beiden Augen zugedrückt Kurs in Richtung Digitalisierung nehmen.

Ein Arzt schaut die digitale Akte eines Patienten an. Mit dem Patientendaten-Schutz-Gesetz wurden die Anforderungen an Krankenhäuser, was den Schutz der Patientendaten betrifft, nochmals erhöht.
Foto: insta_photos - shutterstock.com

Und genau in dieser Konsequenz liegt ein erhebliches Risiko. Ohne einen datenschutzrechtlich verständlichen und auf die heutige Zeit angepassten Rechtsrahmen werden die Kliniken ihre eigenen -ebenfalls voneinander divergierenden - Datenschutzstandards entwickeln. Hier ist der Gesetzgeber gefragt, durch klare Vorgaben sicherzustellen, dass der politisch intendierten und mit Milliarden Euro geförderten digitalen Vernetzung des Gesundheitswesens auch das gleiche Datenschutzniveau zu Grunde liegt.

Positive Entwicklungen

Dass sich der datenschutzrechtliche Rechtsrahmen vereinfachen lässt, hat der Gesetzgeber zuletzt während der COVID-19-Pandemie gezeigt: So gelten für die länderübergreifende Versorgungs- und Gesundheitsforschung "nur" noch die Regelungen des Bundesdatenschutzgesetzes10 statt der zahlreichen Landesregelungen (vgl. § 287a SGB V11). Das Ziel des Gesetzgebers war hierbei die Verzögerungen bei Forschungsprojekten aufgrund der bis dato fragmentarischen Datenschutzregelugen zu vermeiden. Auch wenn sich an der konkreten Umsetzung Kritik üben lässt (z.B. Standort der Regelung im SGB V) ist dieser Ansatz grundsätzlich als positiv zu bewerten. Die Erkenntnis, dass zersplitterte Datenschutzregelungen aufgrund ihrer Komplexität und teilweisen Widersprüchlichkeit Innovationen hemmen können, sollte der Gesetzgeber auch für die Digitalisierung des Krankenhausbereichs zu Grunde legen.

Übergreifender Datenschutz

Um die Digitalisierung der Krankenhäuser voranzutreiben, bedarf es eines einheitlichen Rechtsrahmens. Dieser sollte klare Vorgaben enthalten, unter welchen Voraussetzungen Krankenhäuser und Auftragsverarbeiter Patientendaten auch unter Einsatz cloudbasierter Anwendungen verarbeiten dürfen. Der Datenschutz kann so vom vermeintlichen Hemmnis, zum Motor der Digitalisierung werden. Mit strengen aber einheitlichen Datenschutzstandards lässt sich nicht nur der Schutz von Gesundheitsdaten krankenhausübergreifend erhöhen. Es würde auch eine Anreizfunktion für (internationale) Anbieter digitaler Gesundheitsprodukte gesetzt, diese für den deutschen Gesundheitsmarkt nach vorgegebenen einheitlich hohen Standards aufzusetzen. (bw)

Links im Artikel:

1 https://www.bundesamtsozialesicherung.de/de/themen/krankenhauszukunftsfonds-1/
2 https://www.gesetze-im-internet.de/khsfv/__19.html
3 https://www.gesetze-im-internet.de/sgb_5/
4 https://www.gesetze-im-internet.de/stgb/
5 https://www.gesetze-im-internet.de/bsig_2009/
6 https://www.gesetze-im-internet.de/bsi-kritisv/
7 https://www.bundesgesundheitsministerium.de/fileadmin/Dateien/3_Downloads/Gesetze_und_Verordnungen/GuV/P/PDSG_bgbl.pdf
8 https://www.revosax.sachsen.de/vorschrift/1051-Saechsisches-Krankenhausgesetz
9 https://www.gesetze-bayern.de/Content/Document/BayKrG
10 https://www.gesetze-im-internet.de/bdsg_2018/
11 https://www.gesetze-im-internet.de/sgb_5/

IDG Tech Media GmbH
Alle Rechte vorbehalten. Jegliche Vervielfältigung oder Weiterverbreitung in jedem Medium in Teilen oder als Ganzes bedarf der schriftlichen Zustimmung der IDG Tech Media GmbH. dpa-Texte und Bilder sind urheberrechtlich geschützt und dürfen weder reproduziert noch wiederverwendet oder für gewerbliche Zwecke verwendet werden. Für den Fall, dass auf dieser Webseite unzutreffende Informationen veröffentlicht oder in Programmen oder Datenbanken Fehler enthalten sein sollten, kommt eine Haftung nur bei grober Fahrlässigkeit des Verlages oder seiner Mitarbeiter in Betracht. Die Redaktion übernimmt keine Haftung für unverlangt eingesandte Manuskripte, Fotos und Illustrationen. Für Inhalte externer Seiten, auf die von dieser Webseite aus gelinkt wird, übernimmt die IDG Tech Media GmbH keine Verantwortung.