Das Recht auf Privatsphäre ist in der Allgemeinen Erklärung der Menschenrechte (Artikel 12), der Europäischen Menschenrechtskonvention (Artikel 8) und der Europäischen Charta der Grundrechte (Artikel 7) verankert. Wegen dieser klaren und deutlichen Priorität der Rechte von Betroffenen ist es eine vorherrschende Meinung, dass man immer eine Einwilligung des Betroffenen braucht, wenn man seine Daten verarbeitet. Das kann aber auch entbehrlich sein.
Ich habe mir das mal näher angesehen – und dies sogar mit einem besonderen Blick auf Patientendaten. Es gibt mehrere rechtliche Grundlagen, die eine Datenverarbeitung ohne ausdrückliche Einwilligung der Patienten erlauben. Diese basieren auf der Datenschutz-Grundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG). Nachfolgend sind die wichtigsten Rechtsgrundlagen zusammengefasst:
1. Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)
Beschreibung: Patientendaten dürfen durch die Verantwortliche Stelle verarbeitet werden, wenn dies für die Erfüllung eines Vertrages erforderlich ist, dessen Vertragspartei der Patient ist. Dies gilt insbesondere für medizinische Behandlungen, die auf Anfrage des Patienten erfolgen.
Beispiel: Verarbeitung der Patientendaten zur Terminvereinbarung, Erstellung von Behandlungsplänen sowie zur Abrechnung der erbrachten Leistungen gegenüber dem Patienten oder der Krankenkasse.
2. Erfüllung rechtlicher Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO)
Beschreibung: Die Verantwortliche Stelle darf Patientendaten verarbeiten, wenn dies zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der die Verantwortliche Stelle unterliegt.
Beispiel: Aufbewahrungspflichten nach der Abgabenordnung (AO) oder dem Handelsgesetzbuch (HGB), sowie die Meldung bestimmter Infektionskrankheiten an Gesundheitsbehörden gemäß dem Infektionsschutzgesetz (IfSG).
3. Wahrnehmung einer Aufgabe im öffentlichen Interesse (Art. 6 Abs. 1 lit. e DSGVO)
Beschreibung: Die Verarbeitung von Patientendaten durch die Verantwortliche Stelle ist zulässig, wenn dies zur Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt.
Beispiel: Durchführung von Gesundheitsvorsorgemaßnahmen, wie die Dokumentation und Weitergabe von Daten im Rahmen von öffentlichen Gesundheitsprogrammen.
4. Wahrung berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO)
Beschreibung: Die Verantwortliche Stelle kann Patientendaten auch ohne Einwilligung verarbeiten, wenn dies zur Wahrung der berechtigten Interessen der Verantwortlichen Stelle oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte des Patienten überwiegen.
Beispiel: Maßnahmen zur IT-Sicherheit, etwa die Speicherung von Patientendaten in einem gesicherten digitalen Archivsystem, um den Betrieb der Einrichtung zu schützen und sicherzustellen, dass Patientendaten nicht verloren gehen.
5. Behandlung von Gesundheitsdaten (Art. 9 Abs. 2 lit. h DSGVO)
Beschreibung: Für Gesundheitsdaten gelten besondere Schutzmaßnahmen. Die Verantwortliche Stelle darf diese Daten ohne Einwilligung verarbeiten, wenn dies für die Zwecke der medizinischen Versorgung oder die Verwaltung von Gesundheitseinrichtungen erforderlich ist.
Beispiel: Diagnose und Behandlung von Krankheiten, Dokumentation des Behandlungsverlaufs sowie die Übermittlung von Daten an Labore oder andere Fachärzte im Rahmen der Weiterbehandlung.
6. Erfüllung gesetzlicher Vorgaben im medizinischen Kontext (Art. 9 Abs. 2 lit. i DSGVO)
Beschreibung: Die Verantwortliche Stelle darf Daten ohne Einwilligung verarbeiten, wenn dies aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit erforderlich ist.
Beispiel: Meldung von Nebenwirkungen bestimmter Medikamente an Gesundheitsbehörden oder die Übermittlung von Informationen an das Gesundheitsamt im Rahmen der Pandemie-Bekämpfung.
7. Berufliche Geheimhaltungspflichten (Art. 9 Abs. 2 lit. f DSGVO in Verbindung mit § 203 StGB)
Beschreibung: Die Verantwortliche Stelle unterliegt der ärztlichen Schweigepflicht, die die Verarbeitung sensibler Patientendaten im Rahmen der beruflichen Tätigkeit erlaubt, um die Behandlung sicherzustellen.
Beispiel: Speicherung und Verarbeitung von Gesundheitsdaten zur Wahrung der Geheimhaltung, etwa die Übergabe von Patientendaten an einen anderen Arzt im Falle einer Überweisung.
8. Verarbeitung zur Abrechnung medizinischer Leistungen (Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 22 BDSG)
Beschreibung: Die Verantwortliche Stelle darf Patientendaten für die Abrechnung medizinischer Leistungen verarbeiten, z.B. gegenüber gesetzlichen und privaten Krankenkassen.
Beispiel: Übermittlung von Abrechnungsdaten an Krankenkassen oder Abrechnungsstellen.
Zusammenfassung und Integration in das Datenschutzhandbuch
Im Datenschutzhandbuch der Verantwortlichen Stelle sollten diese Rechtsgrundlagen klar beschrieben und mit praktischen Beispielen erläutert werden, um Transparenz für den Betrieb und den Schutz der Patientendaten zu gewährleisten. Dabei ist es wichtig, dass die Verarbeitung von Patientendaten stets auf einer klar definierten rechtlichen Grundlage erfolgt, sodass die Einwilligung des Patienten nur in spezifischen Fällen erforderlich ist (z.B. für die Weitergabe von Daten zu Marketingzwecken).
Dies erleichtert der Verantwortlichen Stelle den rechtssicheren Umgang mit Patientendaten und stellt sicher, dass alle Beteiligten, einschließlich des Personals, die gesetzlichen Anforderungen und Grenzen der Datenverarbeitung kennen.