Ärzte Zeitung, 30.04.2013

Patientendaten in die Wolke

Was erlaubt der Datenschutz?

Für Arztpraxen gelten beim Cloud-Computing strenge Datenschutzregeln. Doch die Praxen können sich zum Teil mit ganz praktikablen Lösungen behelfen.

Von Rebekka Höhl

Was erlaubt der Datenschutz?

Wenn Ärzte Daten erst verschlüsseln, bevor sie in die Cloud gehen, sind sie auf der sicheren Seite.

© momius / Fotolia.com

WIESBADEN. Cloud Computing wird immer beliebter und hat gerade auch im Gesundheitswesen seinen Reiz.

Denn die Anbieter versprechen nicht nur kostengünstige Online-Backups, Datensynchronisation oder Plattformen für den Datenaustausch, auch die gängigen und vor allem aktuellen Programme sind schnell und günstig verfügbar.

Davon profitieren längst nicht nur Kliniken, sondern auch Arztpraxen. Doch was sagt der Datenschutz dazu?

"Alles, was sich in der Cloud befindet, ist quasi eine Auftragsdatenverarbeitung", sagte Dr. Peter Münch auf der Fachtagung "Datenschutz in der Medizin - Update 2013" in Wiesbaden. Und damit greife Paragraf 11 des Bundesdatenschutzgesetzes (BDSG).

Münch war nicht nur selbst mehrfach als Datenschutzbeauftragter unterwegs, das Ehrenmitglied der Gesellschaft für Datenschutz und Datensicherheit (GDD e.V.) bildet auch Datenschutzbeauftragte mit aus.

Das Tückische am Paragrafen 11 ist: Der Auftraggeber, also etwa der Praxisinhaber muss sich nicht nur davon überzeugen, dass sich der Cloud-Anbieter technisch und organisatorisch für das Speichern oder Verarbeiten der sensiblen Patientendaten eignet. Er müsste auch regelmäßig überprüfen, ob der Anbieter dieser Aufgabe noch gerecht wird.

Sind Server im Ausland ein Problem?

Ärzte haben kaum die Zeit und technische Kenntnis, um Anbieter zu prüfen, deren Server in Deutschland stehen. Cloud Computing ist oft aber gerade deshalb so kostengünstig, weil die Datenserver weltweit verteilt werden.

Münch: "Wenn die Datenserver in den USA stehen, greift zusätzlich noch der Datenübermittlungsparagraf 4b." Damit bleibt die Verantwortung, wenn Daten in falsche Hände geraten, erst einmal beim Übermittler, also der Arztpraxis.

Per se tabu sind Cloud-Lösungen für Arztpraxen deshalb nicht. Ärzte müssen aber viel genauer ihren Anbieter prüfen, als dies vielleicht Industrieunternehmen tun. Die meisten Cloud-Provider versprechen laut Münch, die Daten durchaus nach den aktuellen Standards zu verschlüsseln - das wäre derzeit die 256-Bit AES-Verschlüsselung. Doch das allein hilft Praxen nicht.

Denn solange sich die kryptografischen Schlüssel in den Händen des Anbieters befinden, ist der technisch-organisatorische Datenschutz laut Münch fraglich - und auf diesen kommt es im Bundesdatenschutzgesetz an.

Knackpunkt ist die Verschlüsselung

Die Lösung: ein Cloud-System, bei dem der Arzt die Verschlüsselung selbst anstößt - und zwar noch in der Praxis, also bevor die Daten in die Cloud einlaufen. Außerdem muss die Praxis einziger Inhaber des kryptografischen Schlüssels sein. Dann kann der Cloud-Anbieter die Daten nämlich nicht einfach auslesen.

Es gibt aber noch ein Problem: Die Auftragsdatenverarbeitung von Patientendaten, die hier greife, sei bislang gesetzlich nicht hinreichend geklärt, so Münch. "Würden die Auftragnehmer als ärztliche Gehilfen im Sinne der Musterberufsordnung eingestuft, dann wäre auch eine gesetzliche Klarstellung notwendig."

Doch solange dies nicht gegeben ist, müssen Ärzte einen wasserdichten Vertrag mit ihrem Anbieter schließen. Darin sollte, wie Münch erklärte, eindeutig stehen: dass der Auftraggeber rechtlich Herr der Daten bleibt, der Auftragnehmer die Daten nur zum - ebenfalls im Vertrag - festgelegten Zweck verwahren darf, und dass der Auftragsnehmer keine Entscheidungsbefugnis hat.

Schwierig wird es, wenn der Cloud-Anbieter weitere Subunternehmer mit ins Boot holt. Deshalb sollten Ärzte im Vertrag festschreiben, dass der Anbieter seine vertraglichen Pflichten - insbesondere die Datenschutzpflichten - an die Kette, die hinten dranhängt, weitergibt.

Einwilligung nötig

Um nach dem Datenschutzgesetz Cloud-Dienste für das Speichern und Verarbeiten von Patientendaten nutzen zu können, brauchen Ärzte laut Münch aber noch etwas: die Einwilligung des Patienten. Dass Patientendaten gemäß der Sozialgesetzgebung für die Abrechnung der Leistungen mit den Krankenkassen erhoben und weitergeleitet werden dürfen, spielt dabei keine Rolle.

Denn dafür ist weder eine Auslagerung in eine Daten-Cloud, noch auf eine Austausch-Plattform notwendig (für die Kommunikation mit anderen Leistungserbringern). Der Patient müsste also, am besten schriftlich, einwilligen, dass seine Daten erfasst und weiterverarbeitet werden bzw. über eine Plattform ein Austausch mit anderen Fachkollegen stattfindet.

In vielen Verträgen zur Integrierten oder hausarztzentrierten Versorgung wird das Problem gleich über das Einschreibeformular gelöst.Für Münch stellt sich aber insbesondere im Klinikbereich die Frage: "Inwieweit kann der Patient unter dem Druck, dass er behandelt werden will, überhaupt eine freie Entscheidung treffen?"

Er hält es auch für fraglich, ob Patienten überhaupt überschauen können, was es heißt, wenn "ihre Daten weitergeleitet werden". In der Arztpraxis gibt es da eher die Möglichkeit, bei der Medizinischen Fachangestellten oder direkt beim Arzt nachzufragen.

[30.04.2013, 13:36:35]
Dr. Johannes Gäbler 
Kaum Vorteile für Cloud-Computing im Praxisbereich
Sinnvolle Anwendungen für den Datenaustausch erkenne ich noch nicht.
Was mache ich mit den 20 Patienten, die nicht zustimmen?
Alleinige Datensicherung in der Cloud ist Leichtsinn. Auf eine Datensicherung auf einer (am besten mobilen) lokalen Festplatte sollte keiner verzichten.
Insgesamt dürfte sich wohl auch eine weitere Verlangsamung des Praxisprogramms ergeben.
Die Risiken für die Datensicherheit überwiegen nicht die eher geringen Vorteile des Cloud-Computing.
Bei Vernetzung der Kliniken und Praxen in größerem Stil könnte es einen Sinn machen. zum Beitrag »

Schreiben Sie einen Kommentar

Überschrift

Text

Die Newsletter der Ärzte Zeitung

Lesen Sie alles wichtige aus den Bereichen Medizin, Gesundheitspolitik und Praxis und Wirtschaft.

Weitere Beiträge aus diesem Themenbereich

Dicker Hals = dickes Risiko fürs Herz

Nicht nur ein dicker Bauch spricht Bände – der Halsumfang eignet sich ebenfalls, um das kardiovaskuläre Risiko abzuschätzen. mehr »

Junge Ärzte müssen etwas zur Versorgung auf dem Land beitragen!

Politik und Verbände mühen sich ab, um junge Ärzte für die Versorgung auf dem Land zu begeistern. Blogger Dr. Jonas Hofmann-Eifler sieht die Verantwortung ein Stück weit auch bei sich und seinen Kollegen. mehr »

Konsequente Strategie gegen Diabetes

Angesichts der epidemischen Zunahme von Diabetes-Patienten in Deutschland, muss die nächste Bundesregierung unbedingt den Nationalen Diabetesplan umsetzen. mehr »