IT für Praxis und Klinik:
Was sich ändert

Weil die DSGVO sie einer anderen Kategorie zuordnet. Art. 9 Abs. 1 verbietet grundsätzlich die Verarbeitung bestimmter besonderer Kategorien von Daten, darunter Gesundheitsdaten, außer in den Fällen, die der Artikel selbst aufzählt – und die Gesundheitsversorgung ist einer davon. Art. 4 Nr. 15 definiert diese Daten weit: alle Daten über die körperliche oder geistige Gesundheit, ob vergangen, gegenwärtig oder künftig, aus denen Informationen über den Gesundheitszustand einer Person hervorgehen. In der Praxis umfasst das weit mehr als die Patientenakte: den Terminanlass im Kalender, einen Heil- und Kostenplan, ein Röntgenbild auf dem Desktop oder eine E-Mail, in der ein Patient schildert, was ihm fehlt. All das läuft über dieselben Geräte wie in jedem Büro, aber das erwartete Schutzniveau ist höher.

Die DSGVO schreibt keine abschließende Liste von Maßnahmen vor, sondern Maßnahmen, die dem Risiko angemessen sind, und zu den Beispielen in Art. 32 Abs. 1 gehören die Verschlüsselung personenbezogener Daten und die Fähigkeit, die Verfügbarkeit der Daten und den Zugang zu ihnen nach einem Zwischenfall rasch wiederherzustellen. Bei Gesundheitsdaten ist das Risiko per Definition hoch. Vernünftig ist daher, dass jedes Backup, das die Praxis verlässt, verschlüsselt ist, dass der Schlüssel nicht mit dem Backup reist und dass jemand ab und zu prüft, ob es sich wiederherstellen lässt. Ein unverschlüsseltes Backup auf einer Festplatte, die jemand mit nach Hause nimmt, macht aus einem Autodiebstahl eine Datenpanne mit Gesundheitsdaten. Ein Backup, das nie getestet wurde, hilft am Tag X womöglich nicht.

Das spanische Patientenrechtegesetz (Gesetz 41/2002) bestimmt in Art. 16 Abs. 4, dass Verwaltungspersonal in Gesundheitseinrichtungen nur auf die Daten der Patientenakte zugreifen darf, die mit seinen eigenen Aufgaben zusammenhängen. Übersetzt in IT heißt das: Der Empfang braucht den Terminkalender, die Kontaktdaten und die Abrechnung, nicht die klinischen Notizen. Fast alle Praxisverwaltungsprogramme erlauben Benutzerprofile mit unterschiedlichen Rechten, und häufig sind diese nicht eingerichtet, sodass sich alle als Administrator anmelden. Die Profile richtig einzurichten ist wenig Aufwand und verändert die Antwort auf die Frage, wer eine bestimmte Information gesehen haben kann, grundlegend.

Das gesamtspanische Gesetz 41/2002 legt in Art. 17 Abs. 1 eine Mindestfrist von fünf Jahren ab dem Entlassungsdatum jedes Behandlungsfalls fest. In Katalonien gilt zusätzlich das Gesetz 21/2000, dessen Art. 12 in der Fassung des Gesetzes 16/2010 verlangt, bestimmte Unterlagen fünfzehn Jahre ab der Entlassung aus jedem Behandlungsfall aufzubewahren – etwa Einwilligungserklärungen, Entlassberichte, OP-Berichte, Befunde ergänzender Untersuchungen oder pathologische Befunde – und erlaubt, den Rest nach fünf Jahren zu vernichten. Es gibt Feinheiten, etwa für Unterlagen, die aus medizinischen, epidemiologischen oder rechtlichen Gründen als besonders relevant gelten. Den konkreten Fristenplan Ihrer Praxis muss daher Ihre Rechtsberatung festlegen. Unsere Aufgabe ist, dass das System ihn umsetzen kann.

In den Gemeinschaftsbereichen wie Eingang, Wartezimmer oder Flur ja, mit gut sichtbarem Hinweisschild und einem verhältnismäßigen Bildausschnitt. In den Räumen, in denen Patienten behandelt werden, etwa im Sprechzimmer oder im Behandlungsraum, installieren wir keine: Das ist der intimste Bereich der ganzen Praxis, und was dort aufgezeichnet würde, sind Gesundheitsdaten. Das spanische Organgesetz 3/2018 verlangt in Art. 22 Abs. 3, Videoaufnahmen spätestens einen Monat nach ihrer Aufzeichnung zu löschen, es sei denn, sie müssen aufbewahrt werden, um konkrete Vorfälle zu belegen. Erfasst die Kamera außerdem das Personal, gelten die besonderen Regeln für die Videoüberwachung von Beschäftigten, und die sind streng.

Ja. Wer Ihre Geräte oder Server wartet, greift auf Patientendaten zu oder kann darauf zugreifen, und Art. 28 DSGVO verlangt, dass diese Verarbeitung durch einen Vertrag oder ein anderes Rechtsinstrument geregelt ist, der Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten und die Pflichten beider Seiten festlegt. Zudem darf der Verantwortliche nur Auftragsverarbeiter wählen, die hinreichende Garantien bieten. Das gilt ebenso für den Anbieter der cloudbasierten Praxissoftware, für den E-Mail-Anbieter und für den Anbieter, bei dem die Backups liegen. Hat Ihr IT-Dienstleister Ihnen diesen Vertrag nie angeboten, fordern Sie ihn an: Seine Reaktion sagt viel aus.

Keine Vorschrift nennt die Zwei-Faktor-Authentifizierung beim Namen, aber bei Gesundheitsdaten gehört sie zu den Maßnahmen, die mit dem geringsten Aufwand das meiste Risiko beseitigen. Die meisten unbefugten Zugriffe stammen nicht von einem ausgeklügelten Angriff, sondern von einem wiederverwendeten, notierten oder per Phishing-Mail gestohlenen Passwort. Mit einem zweiten Faktor reicht dieses Passwort allein nicht mehr aus, um hineinzukommen. Vorrangig ist die Aktivierung beim E-Mail-Konto der Praxis, in der Praxissoftware, sofern sie es erlaubt, bei jedem Fernzugriff und bei den Administratorkonten. Und immer mit persönlichen Konten: Ein zweiter Faktor auf einem gemeinsam genutzten Konto schützt wenig und hinterlässt keine Spur, wer sich angemeldet hat.