Daten­schutz beim Arzt: In geheimer Mission

Wann die Behörde aktiv wird

Im ersten Moment war der Schreck groß. In einem Schreiben an das Schmerzzentrum Berlin kündigte sich die Landes­daten­schutz­behörde zur Prüfung an. Jan-Peter Jansen, Arzt und Geschäfts­führer des Zentrums: „Auslöser war eine unzufriedene Patientin, die sich dort gemeldet hatte.“ Ihre Beschwerde warf die Frage auf, wer im Versorgungs­zentrum über­haupt Einblick in ihre Patienten­akte hatte. Die Behörde wird aktiv, wenn Bürger den Eindruck haben, dass öffent­liche Ämter oder private Unternehmen nicht sorg­sam genug mit ihren persönlichen Daten umgehen. Auch in Arzt­praxen und in medizi­nischen Versorgungs­zentren, in denen häufig viele Ärzte verschiedener Fach­richtungen angestellt sind, prüft sie zum Beispiel, was mit den Daten der Patienten geschieht.

Herz­stück Patienten­akte

Patienten, die ins Schmerzzentrum kommen, haben oft starke chro­nische Schmerzen wie Rücken­schmerzen oder Migräne. „Für eine umfassende Behand­lung müssen Ärzte die Kranken- und Vorgeschichte genau kennen“, sagt Jansen. Sie finden die Informationen in einer zentral gespeicherten digitalen Patienten­akte. Die Mediziner und das an der Behand­lung beteiligte Praxis­personal können darauf zugreifen. Die Akte ist das Herz­stück. Sie enthält alles, was den Patienten betrifft: Adress­daten, Diagnosen, Behand­lungs­abläufe, Medikamente, Röntgen­bilder und Unter­suchungs­ergeb­nisse anderer Ärzte. Es darf nur drin­stehen, was notwendig für die Diagnose und Behand­lung von Erkrankungen ist.

Das Patienten­geheimnis

Damit der Arzt den Patienten über­haupt richtig behandeln kann, muss er dem Arzt vertrauen können. Das garan­tiert die ärzt­liche Schwei­gepflicht. Sie ist die Basis für die Beziehung zwischen Arzt und Patient. Der Patient offen­bart dem Arzt intimste Geheim­nisse und er muss sich darauf verlassen können, dass sie geheim bleiben. Kann er ihm nicht vertrauen und gibt er ihm nicht genügend Informationen, bleiben Krankheiten vielleicht unent­deckt. Geregelt ist die Schwei­gepflicht in den Berufs­ordnungen für Ärzte und im Strafgesetz­buch. Auch schließt sie die Praxis­angestellten wie die Sprech­stunden­hilfe und Laborkräfte mit ein. Gibt der Arzt Patienten­informationen unerlaubt weiter, drohen ihm Geld­strafe oder Gefäng­nis.

Einsichts­recht für Patienten

Zudem garan­tieren das Patientenrechte- und das Bundes­daten­schutz­gesetz dem Patienten Verschwiegenheit, vor allem wenn es um das Sammeln und Verarbeiten von Daten geht. So darf beispiels­weise nicht jeder beliebige Mitarbeiter in einer Arzt­praxis Patienten­akten lesen oder Informationen eintragen. Spezielle Zugriffs­rechte müssen regeln, wer einen Zugang hat. Der Versicherte selbst allerdings kann seine Befunde und Berichte, die seine Behand­lung betreffen, jeder­zeit einsehen. Einen Anlass muss er dafür nicht haben.

Aufruf mit Pseudonym

Neben der Patienten­akte gibt es noch weitere Bereiche in einer Arzt­praxis, die für den Daten­schutz wichtig sind. Andrea Fabris von der Unabhängigen Patientenberatung kennt sie aus ihrer alltäglichen Arbeit. Kritisch sei schon das Aufrufen des Namens im Wart­zimmer, sodass andere Patienten es hören können. Fabris sagt: „Patienten können, wenn sie es wünschen, mit einem Pseudonym aufgerufen werden.“ Jan-Peter Jansen ruft seine Patienten mittels Zahlen auf – ähnlich den Aufrufsystemen in Behörden und Ämtern. Auch können die Besitzer eines Smartphones in der Praxis einen Kode scannen und diese für eine Zeit verlassen. Ihr Handy informiert sie dann, wenn die Person vor ihnen dran ist.

Die Einwilligungs­erklärung

Der schnelle Austausch von Patienten­daten etwa mit anderen Ärzten oder einem externen Labor bei Gewebe­unter­suchungen ist sinn­voll. Patienten müssen dem jedoch schriftlich zustimmen, außer die Praxis über­mittelt die Daten nur mit einer Auftrags­nummer, ohne dass Rück­schlüsse auf den Patienten möglich sind. Eine Zustimmung ist auch notwendig, wenn die Praxis die Abrechnung von privat erbrachten ärzt­lichen Leistungen für Privatpatienten und für Kassenpatienten nicht selbst über­nimmt. Hier schickt sie die Daten des Patienten und die Info über die erbrachten Leistungen an eine Verrechnungs­stelle. Zu den Leistungen, die der Arzt privat abrechnet, gehören zum Beispiel der Ultra­schall beim Gynäkologen und die professionelle Zahn­reinigung beim Zahn­arzt. Die gesetzliche Kasse bezahlt hier meistens nichts.

Tipp: Ausführ­liche Informationen rund um diese individuellen Gesund­heits­leistungen bietet das Special Was tun, wenn der Arzt zur Kasse bittet.

Manchmal aber bleibt es nicht nur bei einem Zettel, den der Patient am Anfang einer Behand­lung unter­schreiben muss. Oft sind noch weitere Einverständnis­erklärungen etwa für eine Operation nötig. Andrea Fabris: „Um den Über­blick zu behalten, sollten Patienten sich immer auch eine Kopie von dem geben lassen, was sie unter­schrieben haben.“ So können sie auch später noch nach­voll­ziehen, was der Arzt gemacht hat.

Zehn Jahre Dokumentations­pflicht

Der Patient bestimmt, was mit seinen Daten passiert, mit einer Ausnahme: Will er, dass ein Arzt all seine Daten nach einer Behand­lung löscht, geht das nicht. Denn er ist gesetzlich dazu verpflichtet, die gespeicherten Daten mindestens zehn Jahre aufzubewahren. Dazu gehören die Aufzeichnungen über den Krank­heits­verlauf und Arzt­briefe von mitbehandelnden Ärzten. Unterlagen zu Strahlenbe­hand­lungen müssen sogar bis 30 Jahre aufgehoben werden. Ist die Zeit abge­laufen, werden alle Daten vernichtet.

Hilfe vom Daten­schutz­beauftragen

In Sachen Daten­sicherheit ist Jansen weiter dran­geblieben: „Direkt nach dem ersten Besuch der Landes­daten­schutz­behörde haben wir den externen Daten­schutz­beauftragten gewechselt und mit ihm gemein­sam nach Schwach­stellen im System gesucht.“ Der Neue ist Dietmar Gätcke, er berät Firmen zum Daten­schutz vor allem im medizi­nischen Bereich: „Bei meiner Arbeit bin ich unabhängig und habe die Interessen der Patienten genauso im Blick wie die der Mitarbeiter und Ärzte.“ Im Arbeits­alltag mit dem Schmerzzentrum heißt das beispiels­weise, dass er mithilfe von Check­listen auf das Einhalten von Daten­schutz­vorschriften beim Zugriff auf Patienten­daten achtet.