Datenhüterin nimmt Kliniken ins Visier

BERLIN. Über gestohlene oder abhanden gekommene Patientendaten steht im Jahresbericht 2015 der Berliner Datenschutzbeauftragten Maja Smoltczyk zwar nichts.

Doch sie hat einige Lücken in der Archivierung und den Sicherheitskonzepten Berliner Kliniken ausgemacht. Vor allem mit Deutschlands größtem Universitätsklinikum, der Charité geht sie hart ins Gericht.

So müssten vor der Einführung neuer IT-Verfahren Risiken benannt und ein Sicherheitskonzept erarbeitet werden, das entsprechende Schutzmaßnahmen bündelt, erklärt Smoltczyk in ihrem Bericht. Dies sei eine gesetzliche Vorgabe.

Bei der Charité habe das entsprechende Verfahrensverzeichnis aber "gravierende Lücken" aufgewiesen. Die Datenhüterin hatte einige Verfahren mit besonderen Risiken ausgewählt. Bei der Prüfung sei unklar geblieben, seit wann welche Daten wie verarbeitet wurden und ob überhaupt Maßnahmen zu ihrem Schutz ergriffen worden seien.

Zum Teil hätten auch Dokumente, auf die im Verfahrensbericht verwiesen wurde, schlicht gefehlt. Andere Einträge seien veraltet gewesen, "sodass erhebliche Zweifel bestehen, dass die gesetzlich vorgeschriebenen regelmäßigen Kontrollen durchgeführt wurden", heißt es.

Smoltczyk warnt davor, dass durch das fehlende systematische Vorgehen Löcher im Schutzwall unbemerkt bleiben.

Vor allem ans Klinik-Netz angeschlossene Medizingeräte sieht sie als Risiko, denn in der jüngsten Vergangenheit seien bei diesen Geräten "erhebliche Sicherheitsdefizite" bekannt geworden. Die Charité habe aber bereits zugesagt, dass sie die beanstandeten Mängel aufarbeiten werde.

Aber auch in Sachen Archivierung sollten Kliniken sensibel sein. Ein anderer Klinikverbund hatte die Archivierung seiner Patientenakten ausgelagert.

In unverschlossenen Behältnissen aufbewahrt

Die Akten wurden von dem Dienstleister aber in unverschlossenen Behältnissen aufbewahrt. Wurde eine Akte vom Krankenhaus benötigt, suchte sie der Dienstleister anhand der patientenidentifizierenden Daten heraus, berichtet die Berliner Datenhüterin. Dabei sei es ihm möglich gewesen, Einsicht in die Akte zu nehmen.

"Dies stellt eine Verletzung der ärztlichen Schweigepflicht und einen Verstoß gegen die datenschutzrechtlichen Bestimmungen dar", schreibt Smoltczyk.

Kliniken müssten bei der Auslagerung von aufbewahrungspflichtigen Altakten dafür sorgen, dass der Dienstleister die Inhalte der Akten nicht zur Kenntnis nehmen könne.

Hierfür stünden durchaus praktikable Lösungen bereit.Ebenfalls in Augenschein genommen hat die Datenhüterin die Kommunikation zwischen Arzt und Patient über moderne Medien wie Smartphone, Video-Chat, aber auch E-Mails. Hierbei sei eine End-zu-End-Verschlüssellung unabdingbar.

Da in der Regel weitere Dienstleister einbezogen würden und dieser zumindest Kenntnis von dem Behandlungsverhältnis erhalte, sei zudem eine vorherige Einverständniserklärung beim Patienten einzuholen.

Außerdem muss die Praxis die Datenwege transparent machen und angeben, dass sie mit einem Dienstleister arbeitet.

IP-basierte Telefonanschlüsse sieht die Berliner Datenschutzbeauftragte übrigens nicht als kritisch an: Die Anbieter solcher Telefonanschlüsse seien nämlich zu demselben Schutz "des gesprochenen Wortes" wie beim herkömmlichen analogen Anschluss verpflichtet. (reh)