Gesundheitsdatenschutz in vernetzten Zeiten

Zusammenfassung

Die Digitalisierung des Gesundheitswesens bringt nicht nur Vorteile mit sich, sondern birgt auch Risiken. Diese bestehen für die Vertraulichkeit der Daten und damit für das Patientengeheimnis. Die Verletzlichkeit der Daten in Bezug auf Integrität und Verfügbarkeit kann zu finanziellen Einbußen und letztlich zur gesundheitlichen Schädigung der Betroffenen führen. Diese Risiken sollen durch das Datenschutzrecht begrenzt werden. Hierfür besteht ein umfassendes Regelwerk, das mit der europäischen Datenschutz-Grundverordnung eine verbindliche vereinheitlichende Klammer gefunden hat.

Dieses Regelwerk besteht aus Normen zur Einwilligung, zur Zweckbindung und Datenübermittlung, zu den Betroffenenrechten, zu technisch-organisatorischen Maßnahmen sowie zu prozeduralen Vorkehrungen. In jüngerer Zeit sind als Instrumente Verhaltensregeln und Zertifizierungen hinzugekommen. Der datenschutzrechtliche Rahmen wird ergänzt durch das Medizinprodukterecht und durch Normen zur Informationssicherheit.

Leider hat der deutsche Gesetzgeber bisher nicht die Gelegenheit genutzt, im Interesse der Rechtssicherheit und der europäischen Harmonisierung das nationale Datenschutzrecht im Gesundheitsbereich zu modernisieren, zu straffen und zu vereinheitlichen. Dies führt zu einem Mangel an Übersichtlichkeit, zumal weiterhin Datenschutznormen und standesrechtliche Normen parallel anwendbar bleiben. In einigen zentralen Punkten, so bei der Transparenz für die Betroffenen, der Datenschutzkontrolle, der Datenanalyse und im Bereich der Forschung, ist die bestehende Regulierung dysfunktional. Der deutsche Gesetzgeber sollte diese Defizite bereinigen. Aber auch Verbände und die Heilberufekammern können und sollten insofern aktiv werden.

Abstract

Digitization in the health sector embodies opportunities and risks. These consist of patient and data confidentiality. Vulnerability of data concerning integrity and availability can lead to financial losses and to damage of the health of data subjects. Those risks must be tackled by privacy or data protection law. For this purpose we have the European Data Protection Regulation as a comprehensive legal framework and a harmonizing bracket.

This framework contains regulations on consent, purpose binding and data transfer, on rights of the data subject, technical and organizational measures and procedural arrangements. Recently, codes of conduct and certification schemes have been added as instruments. The frame of privacy law is completed by the law on medical products and information security regulations.

Unfortunately, German legislation did not grip the opportunity of the European regulation to modernize, tighten and harmonize national privacy law in the health sector. This led to a lack of clarity, particularly because of the parallel applicability of privacy law and professional law. Central issues – for instance concerning transparency for data subjects, official supervision, analytics and processing for research purposes – remain dysfunctional. The German legislation should adjust those deficits. Corporations and the chambers for health professionals could and should also be active for this concern.