Mein Name ist David Koeppe, ich bin Datenschutzbeauftragter in einem großen Krankenhaus, bei Vivantes in Berlin,
und habe natürlich oft Kontakt zu Situationen, in denen es schwierig wird, sie rein rechtlich oder rein technisch zu bewerten, weil der Faktor „Mensch“ dazukommt.
In diesem Kontext bewege ich mich natürlich; dadurch habe ich auch den Kontakt zum Projekt gefunden und es ergeben sich spannende Fragen.
Patienten haben ja seit jeher das Recht auf eine Aktenkopie, d.h. wenn sie ihre Behandlungsakte haben möchten, also nicht nur einsehen möchten, sondern auch haben möchten, dann dürfen sie die bekommen.
Es ist auch gesetzlich festgelegt, dass sie die auch in elektronischer Form erhalten dürfen.
D.h. wir sind dann verpflichtet, bei so einem Einsehen eine elektronische Kopie herauszurücken.
Das ist im Prinzip erst einmal simpel, die Frage ist: Auf welchem Weg macht man das? Klassischerweise ist das ja eine PDF-Sammlung.
Viele Patienten haben das natürlich gerne, weil sie im Zweifelsfall in diesem Moment gerade nicht im Raum stehen und einen Datenträger entgegen- nehmen können, dass es ihnen elektronisch zugesandt wird.
Das verbreitetste Mittel in diesem Bereich, auch im Consumer-Bereich, ist letztendlich die E-Mail.
D.h. Patienten möchten sich gerne ihre Behandlungsunterlagen, ob es Akten sind oder Auszüge daraus, per E-Mail zuschicken lassen.
E-Mail, das wissen wir ja, ist ein unsicherer Übertragungsweg,
d.h. man kann nicht einfach vertrauliche Daten in einer offenen E-Mail übers Internet verschicken, sondern muss die Daten schützen.
Da treten zwei Sachen in Konflikt miteinander: Einerseits der Wunsch des Patienten und das Recht des Patienten, diese Akte zu erhalten,
und auf der anderen Seite sind wir verpflichtet, auch vom Gesetz her,
Sicherheitsmaßnahmen bei unserer Verarbeitung, d.h. auch bei der Übermittlung der Daten, zu ergreifen.
D.h. wenn wir einem Patienten eine E-Mail mit vertraulichen Daten schicken wollen, müssen wir diese E-Mail verschlüsseln.
Das ist ein Punkt, der uns vom Gesetzgeber praktisch auferzwungen ist,
und das ist auch nichts, wo uns der Patient durch Einwilligung oder durch Betteln davon entlasten könnte.
D.h. wenn der Patient kommt und sagt:
„Ich möchte keine verschlüsselte E-Mail, ich mache alles nur noch über mein Smartphone, da kann ich nichts entschlüsseln,
ich will mit dem Blödsinn auch nichts zu tun haben, schickt mir das gefälligst einfach so“,
dann steht der Beschäftigte da und fragt sich „wie mache ich das jetzt?“. Und das ist der große Konflikt, der dabei entsteht:
Wir müssen dem Recht des Patienten nachkommen, müssen unserer Pflicht einer Verschlüsselung einer E-Mail – wenn wir E-Mail wählen würden – nachkommen.
Gegen was verstoßen wir jetzt? Das Informationsrecht des Patienten oder unsere Pflicht zu einer sicheren Datenübermittlung?
In dieser Situation nicht, nein. Das ist ja genau das Problem. Die Frage ist:
bekommen wir jetzt den Patienten dazu durch Überzeugungsarbeit doch bitte mit einer verschlüsselten Nachricht umzugehen
– welche Technologie man da jetzt auch immer einsetzt, da gibt es ja verschiedene Möglichkeiten –
oder sagt man dem Patienten: „Kommen Sie her, damit sie einen Datenträger in Empfang nehmen können“?
Das geht vielleicht, wenn er um die Ecke wohnt, das kann man vielleicht noch zumuten, aber wenn er woanders wohnt, geht das schon nicht mehr.
Es gibt keinen klassischen Ausweg daraus, jedenfalls in diesem engen Szenario nicht, es sei denn man überschreitet die Grenzen des Szenarios und sucht nach anderen Lösungen.
Die naheliegendste Lösung wäre – aber die muss man als Krankenhaus dann natürlich in petto haben, sonst funktioniert das ja auch nicht zeitnah –
dass man eine Datenaustauschplattform vorhält, die einen verschlüsselten, sicheren Datenaustausch ermöglicht,
indem man dem Patienten z.B. einen Link zukommen lässt, über den er dann auf seine Daten zugreifen kann und auf separatem Weg,
vielleicht per SMS oder Ähnlichem, dann ein Passwort zukommen lässt, wie er dann seine Daten zum Herunterladen freischalten kann.
Da muss man sehen, was sich in den nächsten Jahren noch an Kommunikationswegen entwickelt;
ob wir irgendwann mal zu einer flächendeckenden, sicheren E-Mail kommen, ob es eine allgemeine,
flächendeckende Infrastruktur für E-Mail-Verschlüsselung geben wird, wo man dann sagen kann „okay, das ist jetzt sicher“
oder ob sich sichere Messenger am Markt durchsetzen, die auch akzeptabel sind in jeglicher Hinsicht,
die nicht nur eine Ende-zu-Ende-Verschlüsselung bieten,
sondern auch, dass dahinterstehende Geschäftsmodell nicht unbotmäßig Konflikte verursacht.
Ansonsten könnten wir auch ganz platt Datenträger verschicken, bloß wenn man jemandem eine gebrannte CD-ROM schickt,
haben viele Leute zu Hause keinen PC mehr, wo sie diesen Datenträger reinschieben könnten, d.h. da wird’s dann auch schon schwierig.
Ich wage jetzt mal nicht, vorauszudenken, was es da für Lösungen geben wird, sei es so etwas wie eine Telematik-Infrastruktur,
an der jeder dranhängt und die auch für die Übermittlung solcher Daten geeignet ist.
Darauf kann man nicht nur hoffen und sagen „okay, dann warten Sie noch ein halbes Jahr, dann können wir es Ihnen schicken“ –
das ist natürlich keine Lösung für die Konflikte, die jetzt die Beschäftigen, die Sekretariate, heute ausstehen müssen
und im Streit dann einfach mal doch die unverschlüsselte E-Mail verschicken, um ihre Ruhe zu haben.
Das ist natürlich ein schwieriges Feld, wenn die Beschäftigten, die diesen Konflikt schon nicht verstehen oder nachempfinden können,
wie soll man den dann erst den Patienten nahebringen?
Wenn sie sagen „das sind doch meine Daten, ich darf sie haben, ich will sie haben, und zwar jetzt, warum schickt ihr sie mir denn nicht? Ist doch nur ein Mausklick“.
Und dafür das Verständnis zu wecken, weil da ein Rechtskonstrukt im Hintergrund steht, ein mehr oder weniger abstraktes Recht,
was natürlich seine Berechtigung hat, das ist natürlich schwierig.
Das im Einzelfall immer neu zu vermitteln, das gelingt häufig nicht. Dann bleibt es beim Streit.
Was zählt mehr? Das Betroffenenrecht auf Information über die eigenen Daten
oder der Anspruch des Gesetzgebers auf eine sichere Kommunikation?
Es ging um Qualitätssicherung. Viele medizinische Fachgesellschaften betreiben ja Register zu vornehmlich Qualitätssicherungszwecken,
manchmal hängen auch andere Zwecke mit dran, z.B. Forschung.
Die Ärzte, die zu der Fachrichtung gehören, die auch die entsprechenden Kliniken repräsentieren in den Krankenhäusern
– was immer das auch ist, ob Kardiologie, Radiologie – zwingen mehr oder weniger ihre Mitglieder an diesen Registern teilzunehmen,
weil sie ohne diese Teilnahme an den Qualitätssicherungsmaßnahmen und den daraus entstehenden Zertifikaten
unter Umständen nicht dazu befugt sind, bestimmte Leistungen zu erbringen.
Diese Registerteilnahme, auch die Übermittlung von anonymisierten Patientendaten, ist die Voraussetzung dafür,
dass bestimmte Leistungen erbracht und abgerechnet werden dürfen.
Ich bin in den letzten Monaten öfter darüber gestolpert, dass es verschiedene Register gibt,
die frei von datenschutzrechtlichen Bedenken vor sich hinarbeiten, und das teilweise offensichtlich schon seit vielen Jahren.
Das ist halt ein Konfliktfeld. Der Chefarzt muss sich überlegen:
„Nehme ich nach den vorgegebenen Prozessen an diesem Register teil
und übermittle unrechtmäßig Daten eines Großteils meiner Patienten an dieses Register,
nur um dann das schöne Zertifikat zu haben und weiterarbeiten zu dürfen und meinen Ruf nicht zu ruinieren
oder achte ich die Buchstaben des Gesetzes und nehme entweder nicht teil, was keine gute Idee ist,
oder gehe dann tatsächlich dahin und sage:
Liebe Patienten, es ist vielleicht unüblich, dass Sie zu so etwas gefragt werden, aber bei uns werden Sie dazu gefragt,
sind Sie damit einverstanden, dass wir die Daten dort melden?“,
mit entsprechenden Erklärungen, Informationen, Artikel 13 DSGVO, mit dem Risiko, dass nicht alle Patienten „ja“ sagen.
Das Problem ist nämlich, dass häufig an diesen Qualitätssicherungs- maßnahmen gewisse Mindestmengen dranhängen
und wenn die von der Klinik bei der Komplettmeldung nur knapp erreicht werden, oder aufgrund der Lage einer Einwilligungslösung,
die nach Datenschutzrecht gemacht werden müsste, diese Fallzahlen nicht mehr zustande kommen, weil vielleicht nur 80 oder 60 Prozent
der Patienten einwilligen, und die Zertifikate ebenfalls nicht anerkannt werden, hat man einen ähnlichen Effekt.
Da ist der Chefarzt dann rechtmäßig unterwegs, meldet auch Daten ein, kriegt dann aber sein Zertifikat und seine Berechtigung,
diese Leistung zu erbringen, trotzdem nicht.
In diesem Konflikt bewegt man sich und diesen Konflikt können letzten Endes nur die Fachgesellschaften,
die Register-betreibenden Institutionen auflösen, indem sie selbst rechtmäßig arbeiten.
Da ist das Bewusstsein in der Medizin, gerade in den ärztlichen Köpfen, häufig noch nicht so wirklich weit.
Die denken nämlich immer den Dimensionen ihres Berufsgeheimnisses und wenn sie Daten pseudonymisieren,
dann ist ja die Identität des Patienten nicht offenbart,
aber das Datenschutzrecht geht da natürlich wesentlich, wesentlich weiter bei der Abschätzung der Folgen, die damit zusammenhängen.
Insofern ist das nicht miteinander kompatibel, der einfache ärztliche Ansatz und der datenschutzrechtliche.
Bei der Qualitätssicherung hat man den Effekt, dass es ja nicht unmittelbar für die Patienten relevant ist,
sondern das ist einfach ein nachlaufender, mehr oder weniger administrativer Vorgang,
wovon der einzelne Patient erst mal gar nichts hat.
Möglicherweise werden auf Dauer dadurch die Prozesse verbessert, aber der Patient, der schon durch ist,
und dessen Daten gemeldet werden, für den spielt es keine Rolle mehr.
Insofern greift dieses Argument des Behandlungsvorrangs an der Stelle gar nicht mehr.