R E C H T S A N W Ä L T E. Walter-Benjamin-Platz Berlin Telefon office@db-law.de

Transkript

1 R E C H T S A N W Ä L T E Walter-Benjamin-Platz Berlin Telefon office@db-law.de

2 Outsourcing von Gesundheitsdaten: Datenschutz OK- Strafrecht Oh weh? conhit 2012 Kongress: Session 4 Datenschutz im Krankenhaus Aktuelle Herausforderungen Dienstag, 24. April 2012 Rechtsanwalt Dr. iur. Jan Hensmann, Berlin Stand: April 2012 Seite 2

3 I. Beispiele, Vorteile Beispiele: Betrieb von Rechenzentren Patientenaktenarchivierung Patientenaktenvernichtung Fernwartung technischer Diagnosegeräte Vorteile: Kostenvorteile Qualitätsvorteile Stand: April 2012 Seite 3

4 II. Datenschutzrecht (1) Anwendbares Recht Das anwendbare Datenschutzrecht ist abhängig von der Trägerschaft des Krankenhauses (privat, öffentlich, konfessionell) [Bundesdatenschutzgesetze, Landesdatenschutzgesetze, kirchliche Datenschutzgesetze, gesundheitsrechtliche Spezialgesetze] Stand: April 2012 Seite 4

5 II. Datenschutzrecht (2) Verbotsprinzip Verbotsprinzip: Jedes Erheben, Verarbeiten oder Nutzen personenbezogener Daten ist unzulässig, solange es nicht durch eine datenschutzrechtliche Einwilligung des Betroffenen oder eine gesetzliche Grundlage legitimiert wird. Weitergabe von personenbezogenen Daten ist eine Übermittlung Stand: April 2012 Seite 5

6 II. Datenschutzrecht (3) Legitimation der Übermittlung Gesetzliche Ermächtigungsgrundlagen scheiden im Regelfall aus Es bleibt die Möglichkeit zur Einholung einer datenschutzrechtlichen Einwilligungserklärung gemäß 4a Bundesdatenschutzgesetz - BDSG (grundsätzlich Schriftform) Stand: April 2012 Seite 6

7 II. Datenschutzrecht (4) Auftragsdatenverarbeitung Klassisches (datenschutzrechtliches) Instrument für Outsourcing [Vorteil für die verantwortliche Stelle: Keine datenschutzrechtliche Einwilligung der Betroffenen erforderlich] Auftragsdatenverarbeitung als datenschutzrechtliche Privilegierung Weitergabe von personenbezogenen Daten im Rahmen einer wirksamen Auftragsdatenverarbeitung gilt nicht als Übermittlung Stand: April 2012 Seite 7

8 II. Datenschutzrecht (5) Auftragsdatenverarbeitung 4 Abs. 1 BDSG: Verbot mit Erlaubnisvorbehalt 3 Abs. 4 Satz 2 Nr. 3 BDSG: Im Einzelnen ist [ ] 3. Übermitteln das Bekanntgeben gespeicherter oder durch Datenverarbeitung gewonnener personenbezogener Daten an einen Dritten [ ]. Privilegierung: 3 Abs. 8 S. 3 BDSG Dritte sind nicht der Betroffene sowie Personen und Stellen, die im Inland, in einem anderen Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum personenbezogene Daten im Auftrag erheben, verarbeiten oder nutzen. Stand: April 2012 Seite 8

9 II. Datenschutzrecht (6) Auftragsdatenverarbeitung Voraussetzungen: Keine Funktionsübertragung Einhaltung verbindlicher Vorgaben (z.b. gemäß 11 BDSG) Schriftlicher Auftrag Strenge Kontroll- und Weisungsrechte des Auftraggebers gegenüber dem Auftragnehmer Stand: April 2012 Seite 9

10 III. Strafrecht (1) Ärztliche Schweigepflicht Die ärztliche Schweigepflicht ist in den Berufsordnungen der Ärzte normiert und wird durch 203 Strafgesetzbuch - StGB strafrechtlich flankiert. Sie untersagt unbefugtes Offenbaren von Geheimnissen, die jemandem als Arzt anvertraut oder sonst bekannt geworden sind. Stand: April 2012 Seite 10

11 III. Strafrecht (2) Ärztliche Schweigepflicht Musterberufsordnung für die in Deutschland tätigen Ärztinnen und Ärzte MBO-Ä 1997 (Stand 2011) 9 Schweigepflicht (1) Ärztinnen und Ärzte haben über das, was ihnen in ihrer Eigenschaft als Ärztin oder Arzt anvertraut oder bekannt geworden ist [ ] zu schweigen. [ ] (2) Ärztinnen und Ärzte sind zur Offenbarung befugt, soweit sie von der Schweigepflicht entbunden worden sind oder soweit die Offenbarung zum Schutze eines höherwertigen Rechtsgutes erforderlich ist. Gesetzliche Aussage- und Anzeigepflichten bleiben unberührt. [ ] (3) [ ] (4) Wenn mehrere Ärztinnen und Ärzte gleichzeitig oder nacheinander dieselbe Patientin oder denselben Patienten untersuchen oder behandeln, so sind sie untereinander von der Schweigepflicht insoweit befreit, als das Einverständnis der Patientin oder des Patienten vorliegt oder anzunehmen ist. Stand: April 2012 Seite 11

12 III. Strafrecht (3) Strafrechtliche Flankierung des ärztlichen Berufsgeheimnisses 203 Strafgesetzbuch: Verletzung von Privatgeheimnissen (1) Wer unbefugt ein fremdes Geheimnis, namentlich ein zum persönlichen Lebensbereich gehörendes Geheimnis oder ein Betriebs- oder Geschäftsgeheimnis, offenbart, das ihm als 1. Arzt, [ ], anvertraut worden oder sonst bekanntgeworden ist, wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft. (3) [ ] Den in Absatz 1 und Satz 1 Genannten stehen ihre berufsmäßig tätigen Gehilfen [ ] gleich [ ]. Stand: April 2012 Seite 12

13 III. Strafrecht (4) Befugnis zum Offenbaren Befugtes Offenbaren: Schweigepflichtentbindung (Einwilligung) durch den Betroffenen (formfrei), kann auch als konkludente Einwilligung erfolgen Gesetzliche Offenbarungspflichten Rechtfertigender Notstand 34 Strafgesetzbuch - StGB Stand: April 2012 Seite 13

14 III. Strafrecht (5) Befugnis zum Offenbaren bei der Auftragsdatenverarbeitung? 11 BDSG ermöglicht zwar eine Verarbeitung personenbezogener Daten durch Dritte, enthält aber keine Offenbarungsbefugnis für die vom Berufsgeheimnis geschützten Informationen. [ ] Deshalb lassen sich die Berufsgeheimnisträger im besten Falle regelmäßig von allen Kunden/Patienten/Mandanten u.s.w. von der Schweigepflicht entbinden; im schlechteren Falle findet die Einbindung externer IT-Dienstleister in einer rechtlichen Grauzone mit dem Risiko einer Strafbarkeit nach 203 StGB statt. (Bundesbeauftragter für den Datenschutz und die Informationsfreiheit: 22. Tätigkeitsbericht zum Datenschutz für die Jahre 2007 und 2008, S. 26 f.; vgl. auch Konferenz der Datenschutzbeauftragten des Bundes und der Länder, Eckpunkte vom 18. März 2010, Ein modernes Datenschutzrecht für das 21. Jahrhundert, S. 16 f.) Stand: April 2012 Seite 14

15 III. Strafrecht (6) Befugnis zum Offenbaren bei der Auftragsdatenverarbeitung? Gegenargumente? Weite Auslegung Berufsmäßig tätige Gehilfen i.s.v. 203 Abs. 3 S. 2 Strafgesetzbuch pro: Weisungs- und Kontrollrechte des Auftraggebers contra: Gehilfen müssen in den organisatorischen und weisungsgebundenen internen Bereich der vertrauensbegründenden Sonderbeziehung einbezogen sein Fazit: keine gesicherte Offenbarungsbefugnis durch Auftragsdatenverarbeitung Stand: April 2012 Seite 15

16 III. Strafrecht (7) Lösungen Verschlüsselung Anonymisierung Schweigepflichtentbindung Einbindung der Dienstleister als Mitarbeiter Jedoch: Vorteile des Outsourcings verschwinden Daher: Wünschenswert, aber derzeit noch nicht konkret abzusehen ist eine rechtliche Neuregelung (gesetzliche Offenbarungsbefugnis) Stand: April 2012 Seite 16

17 IV. Conclusio Auftragsdatenverarbeitung bietet datenschutzrechtliche Lösung, aber keine gesicherte strafrechtliche Offenbarungsbefugnis für das Outsourcing von Gesundheitsdaten Zur Absicherung ist daher zusätzlich zur Auftragsdatenverarbeitung eine strafrechtliche Lösung erforderlich: Schweigepflichtentbindung Anonymisieren Verschlüsselung der personenbezogenen Daten Schaffung einer gesetzlichen Offenbarungsbefugnis für eine Auftragsdatenverarbeitung für Berufsgeheimnisträger wünschenswert Stand: April 2012 Seite 17

18 Rechtsanwalt Dr. iur. Jan Hensmann Walter-Benjamin-Platz 6, D Berlin Tel: Fax: hensmann@db-law.de R E C H T S A N W Ä L T E