Datenschutz in medizinischen Einrichtungen

Transkript

1 Datenschutz in medizinischen Einrichtungen Was muss Praxissoftware leisten? Telemedizin und Arzthaftung Oktober 2010 Andrea Pfundstein Rechtsanwältin und Fachanwältin für Arbeitsrecht Fachanwältin für Medizinrecht Dr. Elmar Killinger Rechtsanwalt Paluka Sobola Loibl & Partner Neupfarrplatz Regensburg Tel Fax

2 Verantwortlicher für den Datenschutz in medizinischen Einrichtungen In Einzelpraxen trifft die Verantwortung für die erforderlichen datenschutzrechtlichen Maßnahmen klar den Praxisinhaber. Bei Gesellschaften des Bürgerlichen Rechts, Partnerschaftsgesellschaften, GmbHs und Aktiengesellschaften sind die Geschäftsführung bzw. der Vorstand verantwortlich. Diese haben eine ordnungsmäßige Organisation in ihrer Einrichtung sicherzustellen (vgl. 93 Abs. 1 AktG: Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters ; oder 43 I GmbHG: Sorgfalt eines ordentlichen Geschäftsmannes ), wozu auch die Einhaltung datenschutzrechtlicher Vorgaben und IT- Sicherheitsstandards gehört. Gemäß 91 Abs. 2 AktG besteht für den Vorstand mittlerweile sogar ausdrücklich die Pflicht zur Einrichtung eines Risikomanagements, wozu auch eine IT-Compliance, die gesetzliche Archivierungs- und Datenschutzpflichten durchsetzt, gezählt werden kann. Der hinter 91 Abs. 2 AktG stehende Grundgedanke kann auf die anderen Gesellschaftsformen übertragen werden. Intern wird die Geschäftsleitung bzw. der Vorstand die Einhaltung datenschutzrechtlicher Vorschriften und sonstiger IT-Sicherheitsstandards in aller Regel auf einen angestellten Mitarbeiter (IT-Verantwortlichen) delegieren, so dass sich die Pflicht zum Datenschutz für diesen aus der arbeitsrechtlichen Weisung ergibt. Hat die Geschäftsführung bzw. der Vorstand diese Pflichten auf einen Mitarbeiter übertragen, so treffen diesen aber immer noch Überwachungs- und Kontrollpflichten. IT-Sicherheit bei der elektronischen Patientenakte - Einzelaspekte Die Berufsordnungen der Ärzte enthalten eine partielle Regelung zur elektronischen Patientenakte. Im Rahmen der Dokumentationspflicht sieht 10 Abs. 5 der jeweiligen landesrechtlichen Berufsordnung (vgl. 10 Abs. 5 Berufsordnung für die Ärzte Bayerns) insoweit vor: Aufzeichnungen auf elektronischen Datenträgern oder anderen Speichermedien bedürfen besonderer Sicherungs- und Schutzmaßnahmen, um deren Veränderung, Vernichtung oder unrechtmäßige Verwendung zu verhindern. Von IT-sicherheitsrechtlicher Bedeutung sind des Weiteren natürlich auch die besondere ärztliche Schweigepflicht, wie sie in 203 Abs. 1 Nr. 1 StGB Ausdruck findet, sowie die allgemeinen Regelungen des Bundesdatenschutzgesetzes. Nach diesen Vorgaben muss die elektronische Patientenakte den folgenden und nur exemplarisch ohne Anspruch auf Vollständigkeit dargestellten Anforderungen genügen: Schutz vor unberechtigtem Zugriff Gleichsam wie eine herkömmliche Patientenakte muss auch die elektronische Akte grundlegend vor der Einsichtnahme und dem Zugriff unbefugter Dritter geschützt wer-

3 den. Durch Passwörter und Benutzerprofile ist sicherzustellen, dass nur befugtes Personal den Arbeitsplatz bzw. bestimmte sensible Bereiche nutzen können. Dies gilt auch physisch, indem bei der Einrichtung von EDV-Arbeitsplätzen beispielsweise darauf zu achten ist, dass der Patientenverkehr keine Einsicht auf die Bildschirme nehmen kann. Um jede unerlaubte ferntechnische Zugriffnahme auszuschließen, sind für die Rechner, auf denen Patientendaten gespeichert werden, sogenannte stand alone Lösungen zu befürworten, d. h. diese Rechner sind von den Rechnern, die über eine Verbindung zum Internet verfügen, getrennt zu halten. Da die Internet-Telefonie (sog. voice over IP) zwar kostengünstig aber immer noch nicht sicher ist, sollte sie grundsätzlich nicht in Arztpraxen oder sonstigen medizinischen Einrichtungen genutzt werden. Ausschließlich elektronische Dokumentation Für die eigene ärztliche Dokumentation (interne Dokumente) schreibt 10 Abs. 5 der ärztlichen Berufsordnungen, wie oben angesprochen, vor, dass Aufzeichnungen auf elektronischen Datenträgern besonderer Sicherungs- und Schutzmaßnahmen bedürfen, um eine Veränderung, Vernichtung oder unrechtmäßige Verwendung zu verhindern. Die interne Dokumentation ist daher mit einer qualifizierten elektronischen Signatur und mit qualifizierten Zeitstempeln im Sinne des Signaturgesetzes zu versehen, wenn die elektronische Patientenakte eine schriftliche Dokumentation ersetzen soll. Die Vorschriften des Signaturengesetzes sind insoweit zwar keine zwingenden Vorgaben, sondern es sind grundsätzlich auch andere Verfahren geeignet, solange mit ihnen die ärztliche Dokumentation ausreichend vor nachträglicher Änderung geschützt ist. Rechtlich ist aber zu beachten, dass nur die qualifizierte elektronische Signatur nach dem Signaturgesetz auch der Schriftform gleichgestellt ist ( 126 Abs. 3 i.v.m. 126 a BGB) und dieselbe Beweiskraft wie eine schriftliche Privaturkunde hat ( 371a ZPO). Insbesondere letzteres ist praxisrelevant, da nicht selten erst anhand der ärztlichen Dokumentation der Nachweis einer ordnungsgemäßen Behandlung und Aufklärung geführt werden kann. Nachlässigkeiten in diesem Punkt können bei der Abwehr von Behandlungsfehlervorwürfen zu Beweisproblemen für den Arzt führen. Für bestimmte ärztliche Dokumentationen bestehen zudem ergänzend spezielle Vorschriften, wie z. B. 28 Abs. 4 bis 7 Röntgenverordnung (mit Bestimmungen zur Authentizität, Lesbar- /Verfügbarkeit, Datenschutz und Komprimierungsmöglichkeit der Daten) und 14 Abs. 3 Transfusionsgesetz. Bei Arztbriefen, die der Arzt von Kollegen erhält, und sonstigen externen Dokumenten, die zur (elektronischen) Patientenakte genommen werden müssen, besteht das Problem der rechtssicheren Umwandlung der Dokumente in die elektronische Form. Soll das elektronische Dokument das schriftliche Dokument ersetzen, so sollte darauf geachtet werden, dass im System ein Vermerk darüber angelegt wird, wer wann das Originaldokument in die elektronische Form umgewandelt (gescannt) hat, und dass das elektronische Dokument inhaltlich mit dem Original übereinstimmt und vollständig ist. Zur Absicherung der vollständigen Erfassung der Originale sollte das System grundsätzlich so eingestellt sein, dass standardmäßig Vor- und Rückseite eines Dokuments gescannt werden. Trotz alledem kann der Nachweis, dass das elektronische Dokument dem schriftlichen Original entspricht, aber wohl nur durch einen Vergleich mit dem Original verlässlich geführt werden. Solange hierfür keine ausdrücklichen gesetzlichen Regelungen bestehen, muss daher die ausschließlich elektronische Erfassung externer Doku-

4 mente im Vergleich zur Aufbewahrung der schriftlichen Originale als weniger beweissicher angesehen werden. In Fällen, in denen größere Schäden entstehen können, sollte daher nach wie vor nicht auf eine (zusätzliche) Aufbewahrung der Originaldokumente verzichtet werden. Archivierung Die Archivierung sowohl der schriftlichen als auch der elektronischen Dokumente hat im Wesentlichen folgende Vorschriften zu beachten. Nach den Berufsordnungen (vgl. 10 Abs. 3 Berufsordnung für die Ärzte Bayerns) sind ärztliche Aufzeichnungen grundsätzlich für die Dauer von zehn Jahren nach Abschluss der Behandlung aufzubewahren, soweit nicht nach gesetzlichen Vorschriften eine längere Aufbewahrungspflicht besteht. Solche längeren Aufbewahrungspflichten können für Aufzeichnungen aus Röntgenbehandlungen gelten (vgl. 28 Abs. 3 Röntgenverordnung: grds. 30 Jahre lang nach der letzten Behandlung; Röntgenbilder und Aufzeichnungen über Röntgenuntersuchungen zehn Jahre nach der letzten Untersuchung, bei Personen unter 18 Jahren jedoch nicht vor Vollendung des 28. Lebensjahres) und auch bei der Verwendung von Blutprodukten (vgl. 14 Abs. 3 Transfusionsgesetz: 15 bzw. 30 Jahre). Zudem sollten die zivilrechtlichen Verjährungsfristen für mögliche Behandlungsfehleransprüche beachtet werden. Zwar geben diese Vorschriften keine unmittelbar zwingenden Archivierungspflichten vor, sie sollten aber im eigenen Interesse beachtet werden, um bei einem möglichen Behandlungsfehlerprozess nicht in Beweisnot zu geraten. Die Verjährung beträgt zwar nach 195 BGB grundsätzlich nur 3 Jahre, da der Fristbeginn aber an die Kenntnis des Gläubigers über den Anspruch und den Anspruchsgegner anknüpft, kann sich die Verjährungsfrist auf bis zu 30 Jahre ab der ärztlichen Behandlung erstrecken (vgl. 199 BGB). Bei jeder elektronischen Archivierung ist darauf zu achten, dass die Dokumente während der Dauer der zwingenden Aufbewahrungsfristen ständig verfügbar sind und jederzeit innerhalb angemessener Frist lesbar gemacht werden können. Dies muss insbesondere bei einem späteren Wechsel des EDV-Systems sichergestellt sein; ggf. sind zu diesem Zweck alte Hard- und Software in funktionstüchtigem Zustand aufzubewahren. Zusammenfassung Neben den allgemeinen Datenschutzvorschriften personenbezogener Daten des Bundesdatenschutzgesetzes sind im Gesundheitswesen einige spezielle Vorschriften zu beachten, soll die elektronische Patientenakte die herkömmliche Patientendokumentation ersetzen. Diese Vorschriften zum Datenschutz und zur IT-Sicherheit sind quasi ein Pflichtenkatalog für eine entsprechende Praxissoftware die Unternehmen Ärzten und medizinischen Einrichtungen anbieten, da jeder Kunde rechtlich erwarten darf, dass eine Software, die eine elektronische Patientenakte bietet, diese rechtlichen Vorgaben einhält. Dr. Elmar Killinger Rechtsanwalt

5 Telemedizin und Arzthaftung Die Telemedizin, d.h. die Erbringung von medizinischen Diensten über größere Entfernungen hinweg und zwischen räumlich getrennten Teilnehmern, wird ein zunehmend wichtiger Bestandteil in der Patientenversorgung. Verschiedene Bereiche zählen zur Telemedizin wie z.b. das Telekonsil, d.h. die Diagnose und/oder Therapiewahl im Austausch zwischen mehreren Ärzten ohne physische Anwesenheit des Patienten und auf Grundlage der in der Patientenakte vorhandenen Daten oder die intraoperative Telepräsenz, bei der ein entfernt ansässiger Fachkollege der sog. Tele-Arzt - online konsultiert und zeitecht in eine Behandlung integriert wird. Noch einen Schritt weiter geht die Telechirurgie, bei der der Telearzt nicht nur online berät, sondern den Operationsverlauf eigenhändig beeinflusst, wie z.b. durch aktives Steuern eines Endoskops am Patienten. Mit der Weiterentwicklung der medizinischen Behandlungsmöglichkeiten erweitert sich auch der Haftungsbereich für die Leistungserbringer. Eine Haftung des Arztes oder der Klinik können sich grundsätzlich aus Verletzung des Behandlungsvertrages oder deliktisch aus unerlaubte Handlung ergeben, infolge dessen der Patient eine Körperverletzung oder Gesundheitsbeeinträchtigung erleidet. Die Fehlleistung von leitenden Ärzten sowie nachgeordnetem ärztlichem Personal wird den Klinikträgern über 31, 278 BGB bzw. 831, 278 BGB zugerechnet. Ausgangspunkt ist stets ein tatsächliches ärztliches Handeln oder Unterlassen. Einzelne Aspekte in Bezug auf telemedizinische Besonderheiten sollen hier herausgegriffen werden. Haftungsrechtliche Problemfelder Die ärztlichen Sorgfaltspflichten Das Maß der ärztlichen Sorgfaltspflicht bei der Behandlung des Patienten entspricht dem sog. Facharztstandard. Dieser verändert sich naturgemäß, analog dazu besteht eine fachliche Fortbildungs- und Unterrichtungspflicht des Arztes. Die Rechtsprechung besagt, dass eine neue, mehr Erfolg versprechende oder risikoärmere Methode dann anzuwenden ist, wenn diese in der Wissenschaft weitgehend anerkannt ist. Daraus folgt eine größere Verpflichtung des Arztes, sich über neue Erkenntnisse der Wissenschaft zu informieren, auch in ausländischen Fachzeitschriften. Die schnelle und umfassende Zugriffsmöglichkeit auf digitalisierte medizinische Datenbanken, Vorträge und Fachbücher erhöht jedoch das Risiko, sich dem Vorwurf des sog. Übernahmeverschuldens auszusetzen: Wer über das notwendige Fachwissen nach (zum Zeitpunkt der Behandlung) aktuellem Facharztstandard nicht verfügt und gleichwohl die Behandlung des Patienten übernimmt, kann für daraus folgende Behandlungsfehler, wie z.b. Diagnosefehler, und zurechenbare Gesundheitsschäden haftbar gemacht werden. Wäre der notwendige Facharztstandard durch ein Telekonsil ohne großen Zeitverlust zu erreichen gewesen, und hat der Arzt davon abgesehen, kann ihm auch dieses im Haftungsprozess vorgehalten werden.

6 Haftungsverteilung zwischen den Ärzten Der behandelnde Arzt vor Ort sowie das Krankenhaus, mit dem der Vertrag für die stationäre Behandlung abgeschlossen ist, haften unmittelbar bzw. über die dargestellten Regelungen des BGB. Bei Einsatz eines Telearztes haften die Ärzte vor Ort bzw. das Krankenhaus ebenso unmittelbar über 823 Abs. 1 BGB wegen Organisations- oder Übernahmeverschulden, wenn sie nachweislich einen fachlich nicht oder nicht ausreichend qualifizierten Telearzt zur Operation hinzuziehen oder aber einen Eingriff vornehmen, der ohne telemedizinische Unterstützung von ihnen gar nicht ordnungsgemäß zu erbringen ist. Eine direkte vertragliche Haftung des Telearztes gegenüber dem Patienten besteht nur im Falle eines gesonderten Vertrages zwischen den Beteiligten. Da das SGB V bis auf wenige gesetzlich geregelte Ausnahmen - die persönliche Leistungserbringung des Arztes verlangt, stehen dem bislang nicht nur gebührenrechtliche Fragen im Wege. Denkbar wäre im stationären Bereich eine direkte vertragliche Verbindung über eine sog. Wahlleistungsvereinbarung und Abrechnung gleich einer Chefarztbehandlung nach GOÄ. Der Telearzt haftet jedoch selbst aus unerlaubter Handlung, wenn seine Fehldiagnose oder eine mangelhafte virtuelle Operationsweisung einem Therapiefehler des unmittelbar am Patienten handelnden Arztes und einem daraus folgenden gesundheitlichen Schaden zuzurechnen ist. Organisationsverschulden Grundsätzlich haftet das Krankenhaus für die ordnungsgemäße Personalorganisation und die Funktionsfähigkeit und Sicherheit der eingesetzten medizinischen Geräte. Inwieweit Urlaubs- oder Krankheitsvertretungen, Wochenendbereitschaften oder Hintergrunddienste durch den Einsatz von Teleärzten bewerkstelligt werden können, dazu ist die Rechtsprechung noch im Fluss. Bislang kommt es auf die zeitnahe physische Eingriffsmöglichkeit in das Geschehen und am Patienten an, die Überwachungsmöglichkeit durch einen Telearzt reicht selbstverständlich nicht aus. Zur Haftung für die Gerätesicherheit spielt das Medizinproduktegesetz (MPG) eine wichtige Rolle. Während der Anästhesist vor Ort die Kontrolle über die von ihm eingesetzten Narkoseapparatur innehat und entsprechend haftet, verlagert sich die Verantwortung für die Hard-und Software, die im Dienste der Telemedizin im Einsatz ist, auch hin zu Informations- bzw. Technikexperten im Krankenhaus. Diese wiederum zu überwachen und zu kontrollieren obliegt dem Krankenhausträger selbst. In Zukunft muss also nicht nur ein Nachweis über technisch einwandfrei funktionierende Geräte geführt werden, sondern auch der Nachweis über ein entsprechend (regelmäßig) geschultes IT- bzw, Technikpersonal.

7 Behandlungsdokumentation Die ärztliche Behandlungsdokumentation sprich die sog. Patientenakte hat die gesamte Behandlung von A bis Z widerzuspiegeln, einschließlich technischer Daten, Konsile und Berichte von Vor- und Nachbehandlern. Ein Arzthaftungsprozess zeigt auch in diesem Punkt die bisherigen Schwächen auf: Die Patientenakte liegt in weiten Zügen bislang nur in Papierform vor, abgesehen von MRT s oder Röntgenaufnahmen und muss mit viel Aufwand kopiert und versandt werden. Nicht selten fehlen Unterlagen oder sind unvollständig. Bestandteil der Telemedizin ist die Führung einer elektronischen Patientenakte (dazu Teil I dieses Newsletters), die dazu beiträgt, dass einmal erhobene und gespeicherte Befunde auch in der Akte bleiben und für den schnelle Zugriff, den Informationsaustausch mit Nachbehandlern oder die Vervielfältigung für die Parteien eines Prozesses geeignet sind. Eine etwaige Beweiserleichterung für die Patientenseite aufgrund mangelhafter weil unvollständiger Dokumentation kann damit vermieden werden. Fazit Die Telemedizin gewinnt immer mehr an Bedeutung, ob in der Einzelpraxis, im Kreiskrankenhaus mit ländlichem Einzugsgebiet oder am Universitätsklinikum. Auf EU-Ebene sieht man den großen Nutzen: Eine Verbesserung der Patientenversorgung und eine höhere Effizienz im Gesundheitswesen. Ärzte und Kliniken auf der Ebene der Leistungserbringer müssen jedoch über den positiven Tellerrand hinaus auch die erweiterten Haftungsrisiken beachten und Standards entwickeln. Andrea Pfundstein Rechtsanwältin Fachanwältin für Arbeitsrecht Fachanwältin für Medizinrecht Anmerkung: Unsere Newsletter stehen auch zum Download auf unserer Homepage unter der Rubrik Aktuelles bereit. Aktuelle Tagesmeldungen finden Sie zudem unter der Rubrik Blog.

8