Big Data – wem gehören die Daten?

Aufgrund der in Einrichtungen des Gesundheitswesens ständig wachsenden Größe der Datenmenge sowie der auch dort zunehmenden Datenanalysen, spielt Big Data auch dort eine immer größere Rolle. Big Data-Analysen könnten im medizinischen Bereich zu vielen Vorteilen, auch für die Patienten, führen, indem sie zu einer Verbesserung der Behandlungsqualität und zu einer Minimierung der Risiken beitragen können sollen. Beispielsweise soll ein entsprechender Datenpool das Finden von kausalen Zusammenhängen zwischen Erkrankung, Diagnostik und Therapie erleichtern.

Allerdings ergeben sich aufgrund der Nutzung personenbezogener Daten Konflikte mit dem geltenden Datenschutzrecht. Hierbei ergeben sich diverse Fragen, von denen einige in diesem Artikel näher betrachtet werden sollen. Es handelt sich um eine Auswahl von Fragen, die an den Verfasser im Rahmen seiner medizinrechtlichen Beratungstätigkeit zu diesem Thema herangetragen wurden.

1. Besteht ein Eigentumsrecht des Patienten an seinen Daten?

In Deutschland sind zivilrechtlich nur bewegliche und unbewegliche Sachen sowie Tiere eigentumsfähig. Unkörperliche Gegenstände können dagegen nicht Gegenstand des Eigentumsrechts nach § 903 BGB sein. Daten als solches fehlt jedoch die Körperlichkeit, sodass ihnen die Sacheigenschaft fehlt und ein Eigentum im Sinne des Zivilrechts, das dem Eigentümer die Befugnisse gibt, mit der Sache nach Belieben verfahren zu können sowie Einwirkungen Dritter auf die Sache auszuschließen, nicht begründet werden kann. Bereits das Bundesverfassungsgericht hat mit seinem Volkszählungsurteil aus dem Jahr 1983 festgestellt, dass der Einzelne kein Recht im Sinne einer absoluten, uneinschränkbaren Herrschaft über „seine“ Daten habe; er sei vielmehr eine sich innerhalb der sozialen Gemeinschaft entfaltende, auf Kommunikation angewiesene Persönlichkeit. Information, auch soweit sie personenbezogen ist, stelle ein Abbild sozialer Realität dar, das nicht ausschließlich dem Betroffenen allein zugeordnet werden könne (vgl. BVerfG, Urteil vom 15.12.1983 – 1 BvR 209/83, NJW 1984, 419 ff.).

Wenn Daten auf einem Datenträger, z. B. einer CD oder Festplatte, gespeichert sind, kann lediglich an dem Datenträger Eigentum entstehen. Das Eigentum an dem Datenträger, das in der Regel dem Praxisinhaber bzw. der Klinik zusteht, kann zwar übertragen werden, allerdings gibt das Eigentumsrecht an dem Datenträger keinesfalls das Recht, die Daten schrankenlos und umfassend zu verarbeiten, also zu nutzen, übermitteln etc.

Folglich haben Patienten kein Eigentum gemäß § 903 BGB an ihren personenbezogenen Daten. Auch aus Art. 14 Grundgesetz oder dem Urheberrecht kann ein Eigentumsrecht und damit ein Ausschließlichkeitsrecht nach Ansicht des Verfassers nicht hergeleitet werden. Die personenbezogenen Daten des Patienten unterfallen jedoch dem Schutz des grundgesetzlich garantierten Rechts auf informationelle Selbstbestimmung gemäß Art. 2 Abs. 1 i. V. m. Art. 1 Abs. 1 GG, sodass sich bereits hieraus die Befugnis einer Person ergibt, grundsätzlich selbst über die Preisgabe und Verwendung ihrer persönlichen Daten zu bestimmen (vgl. BVerfG, a. a. O.). Daneben dienen natürlich die Vorschriften der Datenschutzgrundverordnung dem Schutz der Daten und geben den Patienten detaillierte Rechte.

DEFINITION BIG DATA: RIESIGE DATENMENGEN ODER TECHNOLOGIEN ZUR VERARBEITUNG UND AUSWERTUNG RIESIGER DATENMENGEN

2. Wann liegt aus juristischer Sicht ein Datenmissbrauch vor und welche Folgen können hieraus resultieren?

Eine Legaldefinition des Begriffs Datenmissbrauch existiert nicht. Grundsätzlich versteht man juristisch unter dem Begriff Missbrauch den Fehlgebrauch von Rechtsmacht, also die wirksame Ausnutzung des rechtlichen Könnens im Außenverhältnis unter Überschreiten des rechtlichen Dürfens im Innenverhältnis zu Lasten des Opfers. Folglich liegt ein Missbrauchstatbestand immer dann vor, wenn eine Abweichung von Außenmacht und Innenberechtigung festgestellt wird, was durch einen Vergleich des gesetzlichen oder vertraglichen Befugnisumfangs mit dem Innenrechtsverhältnis zu beurteilen ist (vgl. Fischer T., Strafgesetzbuch, C. H. Beck Verlag, 59. Auflage 2012, § 266 Rn. 24, 25, 28).

Beim Datenmissbrauch bezieht sich der Missbrauch damit aus Sicht des Verfassers allein auf die Befugnis zur Verwendung bzw. Verarbeitung der Daten zu bestimmten Zwecken, sodass es auf die Art und Weise der Datenerlangung nicht ankommt (vgl. Fischer T., a. a. O., § 238 Rn. 15).

Somit kann nach Meinung des Verfassers juristisch zumindest immer dann von einem Datenmissbrauch gesprochen werden, wenn Daten unbefugt verarbeitet werden. Ein Datenmissbrauch kann für den Täter strafrechtliche Konsequenzen nach sich ziehen, wenn hierdurch ein Straftatbestand erfüllt wird.

Ferner können zivilrechtliche Konsequenzen in Form eines Schadensersatzanspruchs bei Eintritt eines materiellen oder immateriellen Schadens beim Betroffenen drohen. Des Weiteren können dem datenschutzrechtlich Verantwortlichen, also dem Praxis-/Klinikinhaber, bei Verstößen gegen die Pflichten aus der DSGVO nicht unerhebliche Geldbußen drohen.

3. Wer haftet im Falle eines Datenmissbrauchs von Gesundheitsdaten?

Für eine zivilrechtliche Haftung auf Schadensersatz, sei es aus Vertrag oder gesetzlich aus Delikt gemäß § 823 BGB, ist zunächst erforderlich, dass ein materieller oder immaterieller Schaden beim Betroffenen eingetreten ist. Sofern dies der Fall ist, haftet gegenüber dem Patienten grundsätzlich der Schadensverursacher, wobei regelmäßig ein Verschulden, d. h. Vorsatz oder Fahrlässigkeit, erforderlich ist. Grundsätzlich kommt damit eine Haftung des Praxis-/Klinikinhabers in Betracht.

Hierbei ist insbesondere wichtig zu wissen, dass die DSGVO ein Schutzgesetz im Sinne des § 823 Abs. 2 BGB darstellt, sodass ein Verstoß des Praxis-/Klinikinhabers gegen die DSGVO auch zu einer zivilrechtlichen Haftung führen kann. Allerdings ist in diesem Fall, selbst wenn der Verstoß gegen die DSGVO kein Verschulden voraussetzt, für einen Schadensersatzanspruch des Patienten trotzdem ein Verschulden des Praxis-/Klinikinhabers erforderlich.

Daneben wurde mit Art. 82 DSGVO eine eigenständige Rechtsgrundlage für eine Haftung auf Schadensersatz geschaffen. Dieser Anspruch lässt somit die vorgenannten Ansprüche unberührt. Art. 82 Abs. 1 DSGVO bestimmt, dass jede Person, der wegen eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter hat. Verantwortlicher für den Schutz der Gesundheitsdaten eines Patienten ist der Praxis-/Klinikinhaber. Die Haftung setzt voraus, dass gegen Vorschriften der DSGVO oder gleichgestellte Bestimmungen bei der Datenverarbeitung verstoßen wurde. Hier kommt jede Vorschrift der DSGVO in Betracht, beispielsweise bezüglich der Zulässigkeit der Datenverarbeitung, aber auch bezüglich der vom Verantwortlichen umzusetzenden Verfahrensvorschriften wie der Führung eines Verzeichnisses von Verarbeitungstätigkeiten. Des Weiteren ist ein Verschulden des Verantwortlichen unmaßgeblich für die Haftung nach Art. 82 DSGVO.

Eine Befreiung von der Haftung dem Grunde nach kommt für den Verantwortlichen damit nur dann in Frage, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist. Hierbei ist derzeit noch umstritten, wie das Merkmal „in keinerlei Hinsicht“ auszulegen ist. Dies wird nach Ansicht des Verfassers somit abschließend wohl nur durch die Gerichte geklärt werden können. Einig sind sich die unterschiedlichen Literaturmeinungen jedoch darin, dass die Haftung des Verantwortlichen gemäß Art. 82 DSGVO dann entfallen soll, wenn ein Dritter unbefugt auf Daten zugegriffen hat, wodurch kausal ein Schaden entstanden ist und der Verantwortliche alle gebotenen Sicherheitsmaßnahmen gegen solche Zugriffe vorher verwirklicht hat (vgl. Däubler W. in Däubler/Wedde/Weichert/Sommer, EU-Datenschutz-Grundverordnung und BDS-neu Kompaktkommentar, Bund-Verlag GmbH, 2018, DSGVO Art. 82 Rn. 25).

Allein hieraus wird ersichtlich, wie wichtig die korrekte Umsetzung und Beachtung der Vorschriften der DSGVO durch Praxis-/Klinikinhaber ist. Insbesondere ist der in Art. 5 Abs. 2 DSGVO geforderten Rechenschaftspflicht, die auch die Dokumentation der Beachtung und Umsetzung der DSGVO-Bestimmungen umfasst, erhebliche Bedeutung im Hinblick auf die Beweisbarkeit der Datenschutzkonformität bzw. eines etwaigen Nichtverschuldens beizumessen.

4. Welche Konsequenzen drohen, wenn elektronische Daten oder eingescannte Daten/Dokumente oder elektronische Patientenakten verloren gehen und nicht mehr wiederhergestellt werden können?

Dies kann zum einen, wie unter Ziffer 3 ausgeführt, zu ggf. nicht unerheblichen Schadensersatzforderungen des Patienten führen. Zum anderen können dem Praxis-/Klinikinhaber erhebliche Geldbußen aufgrund eines Datenschutzverstoßes drohen.

Des Weiteren können sich für den Praxis-/Klinikinhaber negative Folgen ergeben, wenn er von einem Patienten auf Schadensersatz wegen eines Behandlungsfehlers in Anspruch genommen wird. Denn dies kann zu massiven Beweisnachteilen für den Arzt führen.

Zwar muss der Patient grundsätzlich das Vorliegen eines Behandlungsfehlers beweisen. Allerdings sieht § 630h Abs. 3 BGB eine Beweislastumkehr zu Gunsten des Patienten vor, wenn der Arzt eine medizinisch gebotene wesentliche Maßnahme und ihr Ergebnis entgegen § 630f Abs. 1 oder Abs. 2 BGB nicht in der Patientenakte aufgezeichnet oder er die Patientenakte entgegen § 630f Abs. 3 BGB nicht aufbewahrt hat. Denn dann wird vermutet, dass der Arzt eine dokumentationspflichtige Maßnahme bzw. Behandlung nicht vorgenommen hat. Dem Arzt bzw. Krankenhaus steht aber die Widerlegung der Vermutung offen.

Ferner können berufsrechtliche Konsequenzen für einen Arzt drohen, da er auch durch Regelung in der Berufsordnung verpflichtet ist, die Patientenakte mindestens zehn Jahre aufzubewahren.

5. Wer haftet für externe Manipulationen von elektronischen Geräten, die über das Intranet der Einrichtung gesteuert werden?

Kommt es hierdurch zu einem Datenschutzverstoß bzw. einem Datenmissbrauch, so gilt hinsichtlich der Haftung nach Ansicht des Verfassers das unter Ziffer 3 Gesagte. Es haftet damit grundsätzlich nach der DSGVO der jeweilige Verantwortliche sowie zivilrechtlich der Schadensverursacher.

6. Darf ein Unternehmen im Rahmen von Serviceupdates bei elektronischen Geräten anonymisierte Daten von Patienten für eigene Entwicklungen verwenden?

Die Verarbeitung anonymisierter Daten fällt mangels Personenbezugs der Daten nicht unter den Schutzbereich der DSGVO. Dies ergibt sich aus Erwägungsgrund 26 Sätze 5 und 6 zur DSGVO. Folglich ist der Verantwortliche an einer beliebig freien Verarbeitung anonymisierter Daten, also demzufolge auch einer Datenübermittlung an Dritte, nicht gehindert. Ebenso wenig wäre das Unternehmen an einer Nutzung dieser anonymisierten Daten aus Sicht des Verfassers gehindert.

Die Problematik liegt hier aber grundsätzlich darin, dass dies nur gilt, wenn eine absolute Anonymisierung erreicht werden kann. Dies bedeutet, dass ein Personenbezug überhaupt nicht mehr hergestellt werden kann, also eine Re-Identifizierung ausgeschlossen sein muss (Re-Identifizierungsverbot). Sofern ein völliger Ausschluss der Re-Identifizierung nicht gewährleistet werden kann, liegen jedenfalls wieder personenbezogene Daten vor, auf deren Verarbeitung die DSGVO Anwendung findet, sodass die Grundsätze der rechtmäßigen Datenverarbeitung zu beachten sind. Die Beweislast für eine ausreichende Anonymisierung trägt der Verantwortliche, also der Praxis-/Klinikinhaber.

Gerade im Bereich von Big Data-Analysen wird man sich nach Ansicht des Verfassers deshalb nicht auf eine absolute Anonymisierung stützen bzw. verlassen können, da dort üblicherweise gerade Mengen von Datensätzen kombiniert werden, sodass häufig eine Re-Identifizierung möglich wird.

Heberer J: Big Data – wem gehören die Daten? Passion Chirurgie. 2019 November, 9(11): Artikel 04_08.