Datenschutzkonformes Vorgehen im Gesundheitswesen

Einwilligung in ein niedrigeres Schutzniveau

Häufig stellt sich die Frage, ob es auch möglich ist, den Rechnungsempfänger zu einer Einwilligung zu bewegen, in der er dem Verzicht auf zusätzliche Schutzmaßnahmen zustimmt. Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat zu dieser Fragestellung am 24.11.2021 einen Beschluss gefasst. Darin kommt die DSK zu dem Ergebnis, dass ein Absenken des Schutzniveau allenfalls auf ausdrücklichen Wunsch der betroffenen Person hin möglich ist.

So ist der Verantwortliche gesetzlich dazu verpflichtet, bestimmte technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten umzusetzen. Diese Sicherheitsvorgaben sind verpflichtend und können nicht von den Beteiligten ausgehandelt oder verändert werden. 

In Ausnahmefällen kann der Verantwortliche jedoch auf ausdrücklichen und eigeninitiativen Wunsch einer gut informierten betroffenen Person auf bestimmte Sicherheitsmaßnahmen verzichten. Dies ist nur möglich, wenn die Rechte der betroffenen Person und anderer Personen dabei gewahrt bleiben und der Verzicht gut dokumentiert wird.

Nach dem DSK-Beschluss vom 24.11.2021 bleibt daher kein Raum dafür, dass Verantwortliche standardmäßig auf Basis einer Einwilligung Patienten darum bitten, dem Verzicht auf Schutzmaßnahmen zuzustimmen. Nur in Einzelfällen, wenn die betroffene Person dies wünscht, ist ein solcher Verzicht möglich. Verantwortlichen ist in diesen Fällen anzuraten, diesen Wunsch zu dokumentieren und die betroffene Person über die mit dem Wunsch verbundenen Risiken aufzuklären.

Vorsicht auch bei eingehenden E-Rechnungen

Über die Risiken, die für personenbezogene Daten von Patienten bestehen, können sich auch Gefahren für Einrichtungen ergeben, die E-Rechnungen auf digitalem Wege empfangen. Der Gesetzgeber verpflichtet alle Rechnungsempfänger ab 2025 dazu, E-Rechnungen empfangen zu können. Dies werden viele Einrichtungen durch die Bereitstellung eines elektronischen E-Mail-Postfachs für den Erhalt von E-Rechnungen umsetzen. Die Digitalisierung wird dadurch vorangetrieben, doch entstehen auch zusätzliche Risiken.

Einrichtungen im Gesundheitswesen sollten daher bei eingehenden E-Rechnungen aufmerksam sein. Gefälschte Rechnungen oder E-Mails können Malware wie Trojaner oder Ransomware enthalten.

Neben der Gefahr von Schadsoftware ergibt sich zudem das Risiko, dass E-Rechnungen manipuliert werden. Entweder, weil sich ein Krimineller in die Kommunikation zwischen Rechnungsabsender und -empfänger zwischenschaltet oder weil er sich von Anfang an als vermeintlich vertrauensvoller Rechnungsabsender ausgibt. Die dazu benötigten Hintergrundinformationen lassen sich zum Teil mit Leichtigkeit beschaffen. Ein Blick auf die Webseite der jeweiligen Einrichtung kann dabei durchaus ausreichen.

Um Risiken zu minimieren, sollten E-Rechnungen daher sehr sorgfältig auf Plausibilität geprüft werden. Mit besonderer Aufmerksamkeit sollten dabei geänderte Bankverbindungen betrachtet werden. Weiterhin sollten Sicherheitstools wie Spamfilter und Anti-Malware-Programme eingesetzt und Beschäftigte entsprechend sensibilisiert werden.

Fazit

Der elektronische Rechnungsversand und -empfang bietet im Gesundheitswesen viele Vorteile, birgt jedoch auch datenschutzrechtliche und sicherheitstechnische Risiken. Besonders bei sensiblen Gesundheitsdaten sind sichere Übermittlungswege unverzichtbar.

Einrichtungen im Gesundheitswesen sollten zudem bei eingehenden E-Rechnungen wachsam sein, um Risiken wie Schadsoftware oder Manipulation zu minimieren. Durch sorgfältige Prüfungen, den Einsatz moderner Sicherheitstools und die Schulung von Beschäftigten können diese Herausforderungen gemeistert werden, ohne den Fortschritt der Digitalisierung zu gefährden.