Wie werden Patientendaten rechtssicher verarbeitet?

Die doppelte Rechtslage

Bei Gesundheitsdaten gelten zwei Regelwerke nebeneinander:

DSGVO. Art. 9 verbietet die Verarbeitung besonderer Kategorien grundsätzlich und lässt sie nur in Ausnahmefällen zu – für die Behandlung etwa nach Art. 9 Abs. 2 lit. h.

§ 203 StGB. Die Verletzung der Schweigepflicht ist eine Straftat. Seit 2017 dürfen Berufsgeheimnisträger Dienstleister einbinden, müssen diese aber ausdrücklich zur Geheimhaltung verpflichten. Ein Datenschutzvertrag allein genügt dafür nicht.

Was technisch Pflicht ist

• Verschlüsselung bei Übertragung und Speicherung
• Rollen und Rechte – die Medizinische Fachangestellte am Empfang braucht nicht denselben Zugriff wie die behandelnde Ärztin
• Protokollierung jedes Zugriffs auf Patientendaten, revisionssicher
• Löschkonzept unter Beachtung der Aufbewahrungsfristen
• Backups, die ebenso geschützt sind wie das Hauptsystem

Was in der Praxis am häufigsten fehlt

Die Zugriffsprotokollierung. Ohne sie lässt sich im Verdachtsfall nicht klären, wer eine Akte geöffnet hat – und das ist genau der Fall, in dem sie gebraucht wird.

Die Verpflichtung der Dienstleister nach § 203 StGB. Viele Praxen haben einen Auftragsverarbeitungsvertrag, aber keine gesonderte Geheimhaltungsverpflichtung.

Aufbewahrung

Für die Patientenakte gilt nach § 630f BGB grundsätzlich eine Frist von zehn Jahren nach Abschluss der Behandlung. Andere Vorschriften können längere Fristen vorsehen. Das ist eine Pflicht zum Aufbewahren – kein Recht zur weiteren Nutzung.

Dieser Text ersetzt keine Rechtsberatung.