Bundesdatenschutzgesetz (BDSG) Patientenakten richtig aufbewahren und entsorgen

Grundsätzliches zum Datenschutz in medizinischen Einrichtungen

Das Grundrecht auf Datenschutz leitet sich aus dem Grundgesetz ab und bildet das Fundament des deutschen Datenschutzrechtes. Darauf aufbauend definieren das Bundesdatenschutzgesetz (BDSG), die Landesdatenschutzgesetze und vertiefende Regelungen den Umgang mit personenzogenen Angaben. Um Patientenakten oder auch Personalakten von Mitarbeitern umfassend zu schützen, gelten für medizinische Einrichtungen im Wesentlichen folgende Gesetze:

Datenschutz in der Medizin

Darüber hinaus sind je nach Einrichtung weitere bereichsspezifische Gesetze anzuwenden.

Praxen und Krankenhäuser: Für wen gilt welches Gesetz?

Während niedergelassene Ärzte dem Bundesdatenschutzgesetz (BDSG) Folge leisten müssen, ist bei Krankenhäusern zum einen die Trägerschaft und zum anderen die Lage im Bundesgebiet ausschlaggebend für das anzuwendende Datenschutzrecht.

Krankenhäuser in öffentlich-rechtlicher Trägerschaft auf Bundesebene unterliegen ebenso wie Krankenhäuser in privater Trägerschaft und Krankenhäuser der freien Wohlfahrtsverbände dem Bundesdatenschutzgesetz (BDSG). Gleiches gilt für Krankenhäuser von öffentlich-rechtlichen Religionsgesellschaften oder diesen gleichgestellten bzw. zuzuordnenden Trägern, falls nicht eigene kirchliche respektive krankenhausspezifische Datenschutzregelungen angewendet werden.

Krankenhäuser mit öffentlich-rechtlicher Trägerschaft außerhalb des Bundes (Stadt, Gemeinde, Gemeindeverband, Kreis, Land) müssen das jeweilige Landesdatenschutzgesetz anwenden, insofern kein eigenständiges Landeskrankenhausgesetz gilt. Hochschul- und Universitätskliniken unterliegen darüber hinaus den Bestimmungen zur Patientendatenverarbeitung in den Hochschulgesetzen.

Die einzelnen Bundesländer verfügen weiterhin über Sonderregelungen für den Schutz von Patientendaten im Krankenhaus, die so genannten Landeskrankenhausgesetze (z.B. BayKrG, LKG Berlin, HKHG, LKG Rheinland-Pfalz, SKHG). Diese haben unterschiedliche Geltungsbereiche. Auf Krankenhäuser des Bundes, z.B. Bundeswehrkrankenhäuser, sind die bereichsspezifischen Datenschutzbestimmungen nicht anzuwenden.

Bremen verfügt sogar über ein eigenes Krankenhausdatenschutzgesetz (BremKHDSG), das als Verschärfung der Landesdaten- und Krankenhausgesetze angesehen werden kann.

Zentrale Inhalte des Bundesdatenschutzgesetzes (BDSG)

Medizinische Einrichtungen erheben personenbezogene Daten, verarbeiten und nutzen diese. Ihr Handeln muss sich an den grundsätzlichen Regelungen des BDSG ausrichten. Das Gesetz ist in sechs Abschnitte untergliedert:

1. Allgemeine und gemeinsame Bestimmungen (§1 bis §11 BDSG)
2. Datenverarbeitung der öffentlichen Stellen (§12 bis §26 BDSG)
3. Datenverarbeitung nicht-öffentlicher Stellen und öffentlich-rechtlicher Wettbewerbsunternehmen (§27 bis §38 BDSG)
4. Sondervorschriften (§39 bis §42 BDSG)
5. Schlussvorschriften (§43 und §44 BDSG)
6. Übergangsvorschriften (§45 bis §48 BDSG)

Zu den zentralen Inhalten des Gesetzes gehören (Auswahl):

• Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten ist nur dann zulässig, soweit das BDSG oder eine andere Rechtsvorschrift dies erlaubt oder anordnet oder der Betroffene eingewilligt hat (§4 BDSG).
• Ähnlich dem Prinzip der Abfallvermeidung steht im Bundesdatenschutzgesetz die Datenvermeidung und -sparsamkeit an zentraler Stelle: So sollen nach §3a BDSG so wenige personenbezogene Daten wie möglich erhoben, verarbeitet oder genutzt werden (Minimalprinzip). Weiterhin sind die Daten, soweit dies der Verwendungszweck zulässt, zu anonymisieren oder zu pseudonymisieren.
• Praxis- und Krankenhausmitarbeiter sowie andere Personen, die mit personenbezogenen Daten in Berührung kommen, müssen auf das Datengeheimnis (§5 BDSG) verpflichtet sein.
• Zu seinen Daten muss dem Betroffenen auf Antrag Auskunft gegeben werden (§6, §19, §34 BDSG).
• Die Weitergabe von erhobenen Daten ist streng reglementiert (u.a. §15, §16, §28a BDSG).
• Patientenakten müssen geschützt vor unberechtigtem Zugriff aufbewahrt werden. Dafür sind Maßnahmen der Zutritts-, Zugangs- und Zugriffskontrolle sowie der Weitergabe-, Eingabe- und Auftrags- und Verfügbarkeitskontrolle zu treffen. Ferner gilt das Gebot der Datentrennung (Anlage zu § 9 Satz 1 BDSG).
• Öffentliche und nicht-öffentliche Stellen müssen personenbezogene Daten löschen, wenn die Speicherung nicht zulässig ist oder Kenntnis der Daten nicht mehr erforderlich ist (§20, §35 BDSG).

Kontrolle durch Datenschutzbeauftragte

Ein wesentlicher Erfolgsfaktor für den datenschutzkonformen Umgang von Patientenakten ist der Datenschutzbeauftragte. Er stellt die Umsetzung des Bundesdatenschutzgesetzes und anderer gesetzlicher Regelungen über den Datenschutz im Krankenhaus sicher (§ 4g BDSG).

Niedergelassene Ärzte und nicht-öffentliche Stellen im Allgemeinen müssen einen Datenschutzbeauftragten bestellen, wenn sie mehr als neun Personen mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen (§ 4f Abs. 1 BDSG). Krankenhäuser hingegen sind dazu verpflichtet.

Zu den Voraussetzungen für die Position gehören entsprechende Fachkunde und Zuverlässigkeit. Innerhalb der Organisation muss der Datenschutzbeauftragte der (Krankenhaus-)Leitung direkt unterstellt sein. In der Ausübung seiner Fachkunde im Bereich Datenschutz ist er weisungsfrei. Die notwendigen Mittel zur Erfüllung seiner Aufgaben – beispielsweise Hilfspersonal, Räume oder Geräte – sind ihm von der Organisationsleitung zur Verfügung zu stellen (§4f BDSG).

Zur datenschutzgerechten Entsorgung von Patientenunterlagen erhalten die Datenschutzbeauftragten von Praxen und Krankenhäusern fachliche Beratung und Unterstützung von anerkannten Betrieben für Akten- und Datenträgervernichtung gemäß Bundesdatenschutzgesetz (BDSG).

Patientendaten datenschutzkonform entsorgen

Nach Ablauf der gesetzlichen Aufbewahrungsfrist werden Patientendaten – sowohl Akten als auch Datenträger (z.B. Festplatte, CD, DVD und Röntgenfilme) – an zertifizierte Entsorger zur Verwertung nach Kreislaufwirtschaftsgesetz (KrWG) sowie Bundesdatenschutzgesetz (BDSG) übergeben.

Beauftragen Krankenhäuser oder auch Praxen Entsorgungsfachbetriebe mit der Vernichtung ihrer sensiblen Daten, bleiben Sie als Auftraggeber für die Einhaltung des Bundesdatenschutzgesetzes und anderer Vorschriften über den Datenschutz verantwortlich (§11 BDSG). Gesetzesverstöße gehen zulasten des Auftraggebers und werden mit einer Geldstrafe oder bis zu zwei Jahren Freiheitsstrafe geahndet (§43 und 44 BDSG). Daher müssen Dienstleister innerhalb der Entsorgungsbranche besonders sorgfältig ausgewählt sein.

Zertifikate und Gütesiegel über die fachliche Kompetenz und technisch-organisatorischen Voraussetzungen stellen dabei eine wichtige Entscheidungshilfe dar. Entsorgungsfachbetriebe, die nach DIN 66399 zertifiziert sind, verwerten in geschlossenen Entsorgungsprozessen und sind ein verlässlicher Partner bei Vernichtung personenbezogener Daten.

Seit Ende 2012 in Kraft, geben die Ausführungen zur Informationsdatenträgervernichtung der DIN 66399 Teil 1 bis 3 wesentliche Anhaltspunkte für die datenschutzgerechte Entsorgung von Datenträgern in Deutschland. Hiernach fallen Patientenakten als vertrauliche, geheime Gesundheitsdaten in die Schutzklasse 3 und sind besonders schutzbedürftig. Die Entsorgung von sensiblen personenbezogenen Daten sollte eine Vernichtung nach DIN 66399 von mindestens Sicherheitsstufe 4 voraussetzen (vgl. Orientierungshilfe Datenträgerentsorgung 2014, herausgegeben vom Bayerischen Landesbeauftragten für den Datenschutz). Auf die Details der Entsorgung verständigen sich medizinische Einrichtungen und Entsorger in der Regel im Voraus schriftlich.

Grundsätzlich sollten ärztliche Praxen, Kliniken und Krankenhäuser ihre Archive ein Mal im Jahr überprüfen und alte Akten zur Entsorgung aussortieren. Dadurch können unnötige Archiverweiterungen und damit zusätzliche Archivkosten vermieden werden.