F+A: Datenschutz mit dem Krankenhausinformationssystem (KIS)

Frage:

Ein Oberarzt fragt an, ob es rechtens ist, dass der wechselseitige Zugriff auf Daten von Patienten, die zunächst stationär im Krankenhaus und dann weiter ambulant im MVZ des Krankenhauses behandelt werden oder auch umgekehrt, im Rahmen eines gemeinsamen KIS für die jeweils im Krankenhaus als auch im MVZ tätigen Ärzte nicht ohne weiteres möglich ist.

Antwort:

Die Patienten des Krankenhauses sind zunächst ausschließlich Patienten des Krankenhauses – umgekehrt gilt dies auch für das MVZ. Daher dürfen aus datenschutz- und schweigepflichtrechtlicher Sicht die Patienten nur in den Patientenbestand des jeweiligen Krankenhauses bzw. MVZs aufgenommen werden. Ein gemeinsames KIS ist rechtlich unter diesem Aspekt überhaupt nur dann möglich, wenn die Trennung der Datenbestände in verschiedene Mandanten (MVZ einerseits und Krankenhaus andererseits) möglich ist. Es muss deshalb datenschutzrechtlich zunächst sichergestellt sein, dass Mitarbeiter der einen Einrichtung nicht ohne Weiteres auf die Patientendaten der anderen Einrichtung zugreifen können. Dies ist somit aus juristischer Sicht des Verfassers nicht zu beanstanden, zumal es sich bei Gesundheitsdaten um sensible Daten handelt, die nach der DS-GVO einem besonderen Schutz unterliegen. Für solche einrichtungs- und insbesondere mandantenübergreifende Zugriffe, die eine Datenverarbeitung in Form einer datenschutzrechtlichen Übermittlung darstellen, bedarf es deshalb einer Legitimation.

Eine solche Legitimation kann beispielsweise die Einwilligung des Patienten sein oder eine diese Übermittlung gestattende Rechtsgrundlage.

Als Rechtsgrundlage für die Weitergabe der hochsensiblen Gesundheitsdaten bzw. die Gewährung des Zugriffs auf die Akte im KIS kommt im Falle einer Mit-, Nach- oder Weiterbehandlung ein und desselben Patienten Art. 9 Abs. 2 lit. h i. V. m. Art. 9 Abs. 3 DS-GVO in Betracht. Wird also beispielsweise ein Patient nach dem stationären Krankenhausaufenthalt im MVZ nach- bzw. weiterbehandelt und sind die Gesundheitsdaten des Krankenhausaufenthalts hierfür erforderlich, so wäre die Übermittlung der Daten bzw. die Erteilung eines Zugriffsrechts für diesen Zweck an die Ärzte des MVZ durch das Krankenhaus nach Auffassung des Verfassers aufgrund der Rechtsgrundlage in Art. 9 Abs. 2 lit h i. V. m. Art. 9 Abs. 3 DS-GVO zulässig und hiervon gedeckt.

Ist die Datenübermittlung aufgrund einer Rechtsgrundlage gerechtfertigt, so bedarf es hierfür auch keiner gesonderten Einwilligung des Patienten.

Eine Datenübermittlung bzw. ein wechselseitiger Zugriff ohne Anlass und ohne Legitimation ist hingegen nach Meinung des Verfassers schlichtweg rechtlich unzulässig. Dies stellt einen Datenschutzverstoß dar, der mit einer erheblichen Geldbuße geahndet werden kann. Auch können hier Schadensersatzansprüche des Patienten drohen. Insofern gilt es diese negativen Konsequenzen zu vermeiden und die rechtlichen Vorgaben zum Datenschutz sind zwingend zu beachten.

Heberer J. F+A: Datenschutz mit dem Krankenhausinformationssystem (KIS). 2021 Mai; 11(05): Artikel 04_07.