Sicherheitsbausteine für den Arzt

Eine gute Praxisorganisation ist nur ein Baustein zur Einhaltung der ärztlichen Schweigepflicht, denn mit der zunehmenden Digitalisierung in Arztpraxen und Krankenhäusern sowie der Internetnutzung geht ein erhöhtes Risiko für die Geheimhaltung der Patienteninformationen einher. So ist die elek­tro­nische Akten­führung, der Einsatz von Chip­karten und die Konsul­tation online nicht un­ge­wöhnlich.
Daher müssen auch die Instrumente zum Schutz von Gesundheitsdaten weiterentwickelt werden. Denn personenbezogene Daten im Gesundheitswesen werden vom Gesetzgeber in § 3 Abs. 9 Bundesdatenschutzgesetz (BDSG) besonders geschützt. Datenschutzaufsichtsbehörden der jewei­ligen Bundesländer richten darauf zunehmend ihre Aufmerksamkeit. Im Fokus stehen derzeit Arztpraxen.

Das sollten Praxen beachten

Die überwiegende Mehrheit der Arztpraxen benötigt zwar keinen Daten­schutz­beauf­tragten, da er erst dann zu bestellen ist, sobald mehr als neun Personen ständig mit der Ver­ar­beitung per­son­en­be­zogener Daten beschäf­tigt sind (§ 4f Abs. 1 Satz 3 BDSG), aber auch ohne die Bestell­pflicht gilt auch für kleinere Arzt­praxen oder Unter­nehmen, dass der Datenschutz eingehalten werden muss.
Die Strafen können bei nachlässigem Umgang mit Patientendaten empfindlich sein. Verstöße gegen den Datenschutz werden nicht nur gemäß den Strafvorschriften des BDSG (§§ 43 Abs. 3, 44 Abs. 1 BDSG) mit einem Bußgeld bis zu 300.000 Euro oder einer Freiheitsstrafe von bis zu zwei Jahren geahndet, sondern werden zusätzlich auch nach § 203 Abs. 1 Strafgesetzbuch (StGB) – auch für Angehörige der Heilberufe – mit einer Freiheitsstrafe bis zu einem Jahr bestraft.

Die Prüfungs­schwer­punkte der Auf­sichts­behörden liegen vor allem in der Ge­staltung der Praxis­räum­lich­keiten. Dazu zählen daten­schutz­konforme Trennungen der Eingangs-, Warte- und Be­hand­lungs­bereiche. Patienten­unter­lagen dürfen grund­sätz­lich nicht einseh­bar sein und müssen vor unbe­fugtem Zugriff geschützt sein. Auch von Bild­schirm­sperren sollte regel­mäßig Gebrauch gemacht werden.
Steuerberater sollten ihre Mandanten aus dem Gesundheitswesen bei Bedarf für den Umgang mit Patientendaten sensibilisieren, etwa in welcher Form diese weitergeleitet werden, gerade wenn externe Dienstleister oder IT-Unternehmen be­auf­tragt sind. Auch Entsorgungsunternehmen für Patientendaten stellen ein Sicherheitsrisiko dar. Ebenso sollten die Verträge zur Auf­trags­daten­ver­arbeitung und den Über­wachungs- und Kontroll­pflichten genau unter die Lupe genommen werden.
Auch die Umsetzung der technischen und organi­sa­torischen Maßnahmen, zum Beispiel die Benutzer­ver­waltung und das Rechte­konzept, eingesetzte Anti­viren­programme sowie Firewall, ein Daten­sicherungs­konzept, Regelungen zur Internet- und ­E-Mail-Nutzung, ver­schlüsselte Daten­über­tragung, oder Passwort­regeln sollten regelmäßig überprüft werden.
Steuerberater können diese Punkte als Anlass nehmen, mit weiteren Beratungsangeboten zu unterstützen.