Schlagwort-Archive: Patientendaten

Oberlandesgericht Düsseldorf: Gesundheitsdaten unverschlüsselt an falsche E-Mail-Adresse versandt – 2.000 € Schadenersatz

Was war passiert? Eine Frau (gesetzlich versichert) will zu einer privaten Krankenversicherung wechseln. Dazu benötigt sie Unterlagen, die ihre bisherige Krankenkasse über sie hat. Sie bittet diese, ihr alle vorhandenen Daten an ihre private E-Mailadresse zu senden. Dies tut die bisherige Krankenkasse – aber erstens unverschlüsselt und zweitens an eine falsche Mailadresse. Als die Krankenkasse nach diversen Anrufen und anderen Kontakten ihren Fehler feststellte, sandte sie die gesammelten Daten per Post an ihr (Noch)-Mitglied. Als Ausgleich für die „seelische Belastung angesichts des unsicheren Verbleibs seiner Daten“ forderte die Versicherte 15.000 Schadensersatz  Die Kasse wies diese Forderung zurück. Sie bot – ohne Anerkennung einer Rechtspflicht – als Ausgleich 500 € an. Der Versicherte reichte auf der Grundlage des Art. 82 DSGVO Klage ein.

In zweiter Instanz, vor dem Oberlandesgericht Düsseldorf (Aktenzeichen: 16 U 275/20) erzielte die Klägerin einen Teilerfolg:

  • Das Gericht bestätigte zunächst, dass die Kasse durch den Versand der Akte an die falsche Adresse einen Datenschutzverstoß begangen habe und daher Schadensersatz zahlen müsse.
  • Unbeanstandet ließ das Gericht aber den unverschlüsselten Versand der Daten. Denn durch ihre Anfrage habe sie der Kasse signalisiert, dass sie die Übersendung ihrer Daten in E-Mail-Form wünsche. Da sie keine besonderen Sicherheitsvorkehrungen angemahnt habe, habe sie damit rechnen müssen, dass die Kasse ihrem Wunsch entsprechend agiere. Damit habe sie faktisch eine Einwilligung in die unverschlüsselte Übersendung der Krankenakte erteilt.
  • Für ihre seelischen Belastungen infolge der Ungewissheit gestand ihr das Gericht einen Schadenersatzanspruch von 2.000 € zu.

Krankenkassen haben mehr kritische Daten über ihre Versicherten als jede andere Institution: Krankheiten, Behandlungen, Einkommen, Arbeitsplätze, Anschriften.

Sie können Ihre Krankenkasse fragen, welche Daten sie über Sie gespeichert hat. Die Krankenkasse ist verpflichtet, Ihre Anfrage innerhalb von vier Wochen kostenlos zu beantworten. Der Anfrage-Generator des Vereins Patientenrechte und Datenschutz e. V. hilft Ihnen dabei, eine entsprechende Anfrage zu erstellen. Nahezu 1.400 Menschen haben bisher davon Gebrauch gemacht.

 

Die EU-Kommission möchte ab 2025 den Handel mit Gesundheitsdaten für mehr Wirtschaftswachstum nutzen

Das stellt der Kölner Arzt Dr. Stefan Streit in einer Stellungnahme zu der Mitteilung der EU-Kommission an das Europaparlament und den Rat der EU fest, die unter dem Titel Ein europäischer Raum für Gesundheitsdaten: Das Potenzial von Gesundheitsdaten für die Allgemeinheit, für Patientinnen und Patienten und für Innovation erschließen am 03.05.2022 veröffentlicht wurde (Langfassung = 141 Seiten / Kurzfassung = 24 Seiten).

Dr. Streit macht in seiner Stellungnahme auf zwei wesentliche Ziele dieser Initiative der EU-Kommission aufmerksam:

„Der Gesundheitsdatenraum soll aus zwei getrennten Infrastruktruren bestehen.

  • Primardatennutzung = Krankenbehandlung Die derzeitige Telematikinfrastruktur entspricht in etwa dem, was sich die EU-Kommission, unter MyHealth@eu, für die Primärdatennutzung von Gesundheitsdaten ausgedacht hat. Das betrifft die Datennutzung von Gesundheitsdaten zur Krankenbehandlung in Krankenhaus und Arztpraxis, die natürlich nicht anonym vorliegen. Personenbezogene Daten in der primären Arztakte sind von der DSGVO geschützt. Es wird davon ausgegangen, dass eine Vielzahl von (kommerziellen und institutionellen) Anbietern von Elektronic Health Records (EHR), also elektronische Patientenakten, die der Patient selbst verwaltet, entstehen werden. Bemerkenswerterweise reicht für kommerziellen EHR-Betreiber eine Selbstzertifizierung und das aus dem Konsumerbereich bekannte CE-Zeichen als Qualitätsmerkmal. Wollte man EHR-Daten für die Patientenversorgung nutzbar machen, dann bedarf es Instrumente zum Umgang mit der Unvollständigkeit der EHR einerseits und Strategien um die gesuchten Daten in den vielen verschiedenen EHR zu finden und nutzbar zu machen.
  • Sekundardatennutzung = Datenhandel Die Pläne für die zweite Infrastrukur HealthData@eu betreffen die Sekundärdatennutzung im Gesundheitsdatenraum zum Handel mit Gesundheitsdaten.

Die Datenökonomie im Gesundheitsdatenraum beruht auf folgenden Annahmen:

Nach der Entfernung des Namens unterliegt die – nun als anonymisiert geltende Patientenakte – nicht mehr dem Schutz der DSGVO. Den politischen Akteuren dürfte seit der Plagiatsaffären bekannt geworden sein, mit wie wenig Textmaterial man nicht gekennzeichnete Textstellen automatisiert reidentifizieren kann. Krankenakten enthalten viele hundert bis tausend Datenpunkte, die mit der aktuellen Rechnerkraft problemlos einer Person zugeordnet werden können.

Obwohl der Kryptograph Prof. Dominique Schröder das Problem der Anonymisierung laienverständlich und fundiert dargestellt hat, basiert die Legitimation von HealthData@eu allein auf der Anonymisierung…“

Dr. Streit macht auf den vier Seiten seiner Stellungname auf die großen Probleme aufmerksam, die für die sensiblen Gesundheits- und Behandlungsdaten aller Menschen in den 27 EU-Staaten drohen, wenn die Pläne der EU-Kommission wie von ihr geplant nahtlos und ohne Widerstand umgesetzt würden. Lesenswert!

Am Ende seiner Stellungnahme schließt Dr. Streit mit: „Ich lade Sie ein darüber nachzudenken, wie wir als Deutsche und als Europäer die anstehenden sozialen Entwicklungsaufgaben bewältigen können und freue mich über jede Rückmeldung.“

Hessischer Datenschutzbeauftragter: Digitale Medizin findet nur mit wirksamem Datenschutz ausreichendes Vertrauen

In einer Pressemitteilung zu ihrem 128. Kongress prangert die Deutsche Gesellschaft für Innere Medizin (DGIM) in einer unseriösen und reißerischen Form den Schutz von Gesundheits- und Behandlungsdaten an. Der übertriebene Datenschutz sei ein Risiko für die Gesundheit vieler Menschen und gefährde sogar Menschenleben. Damit macht sich dieser Verband von Ärzt*innen, die dem hippokratischen Eid verpflichtet sein müsste, zum Sprachrohr von Interessengruppen, die an der unbegrenzten Nutzung von Gesundheits- und Behandlungsdaten interessiert sind. DGIM-Kongress-Präsident Professor Dr. med. Markus M. Lerch, versteigt sich zu der Aussage: „Auf der rechtlichen Ebene ist eine der dringlichsten Baustellen unser Umgang mit Daten und mit der Datenschutz-Grundverordnung (DSGVO) im Gesundheitswesen – eine Verordnung, die zwar europaweit gilt, jedoch vor allem in Deutschland in einer Art und Weise ausgelegt wird, die mitunter Leib und Leben von Patientinnen und Patienten gefährdet“.

Für den Hessischen Beauftragten für Datenschutz und Informationsfreiheit, Prof. Dr. Alexander Roßnagel, war dies Anlass, in einer umfangreichen Stellungnahme dieses Datenschutz-Bashing detailliert zurückzuweisen. Hessischer Datenschutzbeauftragter: Digitale Medizin findet nur mit wirksamem Datenschutz ausreichendes Vertrauen weiterlesen

Stellungnahme des Bundesdatenschutzbeauftragten zu einem Datenschutzverstoß der Telematik-Infrastruktur

Dem Bundesdatenschutzbeauftragten (BfDI) wurde von Hinweisgebern gemeldet, dass es im Zusammenspiel von elektronischen Gesundheitskarten und den Konnektoren der Telematik-Infrastruktur zu Datenschutzverstößen gekommen sein soll. Dazu haben den BfDI viele Fragen erreicht, von denen die häufigsten auf der Homepage des BfDI beantwortet werden.

Zu folgenden Problembereichen wird vom BfDI Stellung genommen:

Zu der Frage Liegt ein Datenschutzverstoß vor? stellt der BfDI fest: Bei den gespeicherten Seriennummern der eGK-Zertifikate von gesperrten elektronischen Gesundheitskarten handelt es sich um personenbezogene Daten. Die Speicherung dieser Daten erfolgte ohne Rechtsgrund und ist somit unzulässig. Zudem ermöglicht allein die Speicherung im Konnektor einen (unbefugten) Zugang der Nutzenden beziehungsweise der von ihnen beauftragten Administratoren zu den gespeicherten Seriennummern der eGK-Zertifikate gesperrter Gesundheitskarten. Auf diese Weise wird die Möglichkeit eröffnet, dass diese Daten an Dritte weitergegeben werden können. Somit liegt eine Datenschutzverletzung im Sinne des Art. 4 Nr. 12 DSGVO vor.“

Oberlandesgericht Düsseldorf: Anspruch eines Versicherten auf ein Schmerzensgeld in Höhe von 2.000 € wegen des unverschlüsselten Fehlversands medizinischer Unterlagen

Einer gesetzlich krankenversicherte Klägerin wurde vom Oberlandesgericht (OLG) Düsseldorf ein Schmerzensgeld i. H. v. 2.000 € zuerkannt, da ihre Krankenkasse die von ihr erbetenen Unterlagen – ohne die E-Mail oder den Dateianhang zu verschlüsseln oder zu pseudonymisieren – versehentlich an die E-Mail-Adresse eines unbeteiligten Dritten gesandt hatte. Oberlandesgericht Düsseldorf: Anspruch eines Versicherten auf ein Schmerzensgeld in Höhe von 2.000 € wegen des unverschlüsselten Fehlversands medizinischer Unterlagen weiterlesen

Datenschutzrechtliche Pflichten aus einem ärztlichen Behandlungsvertrag – oder: Wie in Kliniken rechtswidrige Zugriffe auf Patient*Innen- und Behandlungsdaten stattfinden

Mit dieser Thematik musste sich das Landgericht Flensburg auseinander setzen. Kläger war der Chefarzt der Inneren Abteilung eines Krankenhauses. Wegen eines Herzinfarkts wurde er im Jahr 2015 in der kardiologischen Abteilung des gleichen Krankenhauses behandelt. Im Zeitraum seiner Behandlung griffen Mitarbeiter*innen der Krankenhauses etwa 150-mal auf seine Patienten- und Behandlungsdaten zu. Nach Wiederaufnahme seiner Tätigkeit erhielt der Kläger Kennnis davon. In einem Gespräch mit dem betrieblichen Datenschutzbeauftragten des Krankenhauses analysierte der Kläger die erfolgten Zugriffe und identifizierte einige der Zugriffe als datenschutzrechtlich fragwürdig bzw. illegal. Der Kläger forderte das Krankenhaus auf, ihm Auskunft über unberechtigte Zugriffe und den zukünftigen Schutz seiner Daten zu erteilen. Er wandte sich zudem mit einer Beschwerde an das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD).

Bei seinen Recherchen stellte der Kläger auch fest, dass es bis Mai 2019 an mehreren Computern des Krankenhauses möglich war, ohne Zugriffsdokumentation auf das installierte Radiologie-Programm PACS zuzugreifen und dort durch einfache Eingabe eines Patient*innen-Namens den Koronarfilm und die bei diesem durchgeführte Dilatation der Herzkranzgefäße einzusehen, ohne dass Zugriff und Berechtigung hätten nachvollzogen werden können.

Die (zwischenzeitlich gewechselte) Geschäftsführung des Krankenhauses erklärte im Nachhinein: Das Ergebnis der Prüfung der Zugriffe hat ergeben, dass die vier genannten Zugriffe zum Zwecke der Behandlung von Dr. S. nicht erforderlich waren. Aus datenschutzrechtlicher Sicht wurden alle vier Zugriffe von unserem Datenschutzbeauftragten als nicht zulässig bewertet. Dieser Sachverhalt wurde jedoch von der zum Zeitpunkt des aufgenommenen Verstoßes verantwortlichen Geschäftsführung z.T. anders bewertet. … Die Zugriffe waren aus meiner heutigen Sicht nicht zulässig.“

Der Kläger begehrte Schadensersatz und Schmerzensgeld wegen unberechtigter Zugriffe auf seine Patientendaten. Diesem Anspruch lehnte das Landgericht Flensburg mit Urteil vom 19.11.2021 (Aktenzeichen: 3 O 227/19) zwar u. a. wg. Verjährung der Ansprüche ab. In den Leitsätzen seines Urteils stellt das Gericht aber unmissverständlich fest: Ein Behandlungsvertrag begründet u.a. die selbständige Nebenpflicht (§ 241 Abs. 1 BGB) des Behandelnden dafür Sorge zu tragen, dass die zur Behandlung und ihrer Dokumentation erhobenen personenbezogenen Daten des Patienten nur zu erlaubten Zwecken verarbeitet werden, sei es durch den Behandelnden selbst oder durch seine Erfüllungsgehilfen…“


Dass der sorglose bzw. fahrlässige Umgang mit Zugriffrechten von Krankenhaus-Beschäftigten auf Patient*Innen- und Behandlungsdaten kein Einzelfall sind, machen Beispiele aus Thüringen, Frankfurt und Offenbach deutlich.

Finnland: Bussgeld von 608.000 € verhängt wg. gravierender Mängel bei der Verarbeitung von Gesundheits- und Behandlungsdaten

Cyberkriminelle erpressen eine finnische Psychotherapie-Firma mit gestohlenen Patientendaten. Als diese nicht zahlt, erpressen die Angreifer einfach die Patienten selbst. Diese Meldung der Süddeutschen Zeitung vom 29.10.2020 machte drastisch aufmerksam auf ein Problem, das für die Betroffenen existenzbedrohend werden kann: Der Diebstahl von Gesundheits- und Behandlungsdaten.

Was war passiert? Die Frankfurter Allgemeine Zeitung fasst in einem Beitrag vom 28.10.2020 zusammen: Am 21. Oktober interließ ein anonymer Hacker auf einem finnischen Internetforum eine englischsprachige Nachricht, wonach die Krankenakten von etwa vierzigtausend Patienten des großen Psychotherapiezentrums Vastaamo in seinem Besitz seien. Dieses Material enthalte sowohl die Adressdateien als auch die Personenkennzeichen – in Finnland ein wichtiges Dokument, das die Nutzer zu gravierenden finanziellen und behördlichen Transaktionen berechtigt – sowie die gesamten Protokolle der Therapiesitzungen, die von den Therapeuten über mehrere Jahre hinweg geführt worden waren…“ Finnland: Bussgeld von 608.000 € verhängt wg. gravierender Mängel bei der Verarbeitung von Gesundheits- und Behandlungsdaten weiterlesen

Umfrage der Siemens-Betriebskrankenkasse zur elektronischen Patientenakte: Ein Musterbeispiel manipulativer Fragen und Bewertungen

Unter dem Titel Je mehr Kontakt mit dem Gesundheitssystem, umso offener für Digitalisierung“ veröffentlichte die Siemens-Betriebskrankenkasse (SBK) am 20.12.2021 in einer Pressemitteilung Ergebnisse einer von ihr in Auftrag gegebenen und bezahlten Umfrage zur Nutzung der elektronischen Patientenakte (ePA). Danach sollen „rund drei Viertel der chronisch beziehungsweise langfristig Erkrankten (74 Prozent) und älteren Menschen ab 55 Jahren (72 Prozent)… der Auffassung“ sein, „dass der Schutz von gesundheitsbezogenen Daten so gestaltet sein muss, dass ein digitaler Austausch von Daten zwischen Ärzt*innen und weiteren Akteur*innen des Gesundheitswesens unkompliziert möglich ist.“

Tatsächlich bewegt sich auch zu Beginn des Jahres 2022 nicht nur bei der SBK die Zahl der Inhaber*innen von ePA‘s im Promillebereich: Umfrage der Siemens-Betriebskrankenkasse zur elektronischen Patientenakte: Ein Musterbeispiel manipulativer Fragen und Bewertungen weiterlesen

Unbefriedigende Antwort des BSI auf eine Anfrage zur Sicherheit der Telematik-Infrastruktur nach der Ransomware-Attacke auf das Unternehmen medatixx

Am 09.11.2021 meldete die gematik auf ihrer Homepage: „Wie die medatixx GmbH auf ihrer Webseite erklärt, ist das Unternehmen Opfer eines Cyberangriffs geworden, bei dem wichtige Teile der internen IT-Systeme verschlüsselt wurden. Die medatixx GmbH ist ein Anbieter von Praxissoftware für Ärzte und betreut in diesem Kontext viele Kunden…“ Offensichtlich sind bei Medatixx durch den Hackerangriff größere und schwer zu lösende Probleme entstanden. Unbefriedigende Antwort des BSI auf eine Anfrage zur Sicherheit der Telematik-Infrastruktur nach der Ransomware-Attacke auf das Unternehmen medatixx weiterlesen

Wenn in einem Krankenhaus der Zugriff auf Patientendaten ungenügend geregelt ist…

dann werden unzulässige Zugriffe erleichtert. Darauf macht der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit (TLfDI) in seinem 3. Tätigkeitsbericht zum Datenschutz nach der DS-GVO 2020 (dort Abschnitt 4.11 – ab S. 146) aufmerksam. Unter der Überschrift „Wenn der Expartner die Patientenakte ‚filzt‘“ wird über einen illegalen Zugriff von Krankenhauspersonal auf Patient*innen-Akten informiert. Wenn in einem Krankenhaus der Zugriff auf Patientendaten ungenügend geregelt ist… weiterlesen