Patientendaten-Sicherheit in der Klinik: DSGVO-Leitfaden

Patientendatensicherheit in der Klinik bedeutet, die Gesundheitsinformationen in Patientenakten als besondere Kategorie personenbezogener Daten nach Art. 9 DSGVO zu behandeln — Daten, die nur mit ausdrücklicher Einwilligung oder in engen gesetzlichen Ausnahmefällen verarbeitet werden dürfen und einen deutlich strengeren Umgang erfordern als eine gewöhnliche Kundenangabe. Auf Papier geführt, sind diese Informationen dem Risiko von Verlust, Diebstahl und unbefugter Einsicht ausgesetzt; in einem softwaregestützten System senken Rollenrechte und Protokollierung dieses Risiko erheblich.

Fast jede Praxis-, Klinik-, Physiotherapie- oder Kosmetikstudio-Inhaberin stößt irgendwann auf dieselben Fragen: Wie speichern wir Patientendaten, wer kann sie einsehen, wie lange bewahren wir sie auf, und was können wir bei einer Prüfung oder Patientenbeschwerde vorweisen? Dieser Beitrag betrachtet das Thema weniger als Rechtstheorie, sondern so, wie es sich im klinischen Alltag zeigt.

Welche Informationen gelten in der Klinik als besondere Kategorie personenbezogener Daten?

Alles, was den Gesundheitszustand, die Behandlung, die Medikation oder die Krankengeschichte eines Patienten betrifft, fällt unter Art. 9 DSGVO und muss mit einer anderen Sensibilität behandelt werden als Name oder Telefonnummer. Konkret zählen dazu in der Klinik:

• Diagnose- und Behandlungsnotizen: was der Behandler während der Untersuchung notiert, die gestellte Diagnose, der empfohlene Behandlungsplan.
• Rezept- und Medikationsdaten: welches Medikament, in welcher Dosis, über welchen Zeitraum.
• Bildgebung und Laborergebnisse: Röntgen, Tomographie, Blutwerte und ähnliche Befunde.
• Behandlungsverlauf in Ästhetik- und Kosmetikstudios: welche Sitzung an welcher Stelle und an welchem Datum durchgeführt wurde, gilt ebenfalls als gesundheitsnah und wird mit derselben Sensibilität behandelt.
• Termin- und Besuchshistorie: Schon die Information, dass jemand regelmäßig eine bestimmte Art von Praxis besucht — etwa eine psychiatrische Praxis —, kann für sich genommen als sensible Angabe gelten.

Im Gegensatz dazu gelten Telefonnummer, Adresse oder Rechnungsdaten als gewöhnliche personenbezogene Daten; auch sie sind schützenswert, doch die gesetzliche Schwelle liegt niedriger als bei Gesundheitsdaten.

Wie holen Sie die Einwilligung des Patienten ein?

Eine wirksame Einwilligung bedeutet, dass der Patient versteht, welche Daten zu welchem Zweck von wem verarbeitet werden, und aus freiem Willen zustimmt — ein pauschales 'Ich stimme zu' reicht dafür nicht aus. In der Praxis lösen Kliniken das in zwei Schritten:

1. Datenschutzhinweis: Bei der Erstaufnahme wird dem Patienten schriftlich mitgeteilt, welche Daten erhoben werden, zu welchem Zweck, mit wem sie geteilt werden könnten (Labor, Versicherung) und wie lange sie aufbewahrt werden.
2. Gesonderte Einwilligungserklärung: getrennt vom Datenschutzhinweis, unterschrieben oder digital bestätigt. Bei Online-Terminbuchungen wird diese Einwilligung meist schon im ersten Buchungsschritt elektronisch eingeholt.

Für eine kleine Klinik wird die Verwaltung dieser beiden Dokumente auf Papier für jeden Patienten mit der Zeit unübersichtlich; wer eingewilligt hat und wer nicht, lässt sich kaum noch nachvollziehen. In einem digitalen Patientenaktensystem ist der Einwilligungsstatus ein fester Bestandteil der Patientenkarte, und diese Unklarheit entfällt.

Ist eine Datenverarbeitung ohne Einwilligung überhaupt möglich?

Ja, das Gesetz erlaubt in bestimmten engen Fällen eine Verarbeitung ohne Einwilligung; in der klinischen Praxis beschränkt sich das im Wesentlichen auf die Erbringung von medizinischer Diagnose, Behandlung und Versorgung. Greift ein Arzt bei einem Notfall auf die Behandlungshistorie eines Patienten zu, braucht er dafür keine aktuelle Einwilligung, weil Art. 9 DSGVO hierfür eine Ausnahme zum Schutz der öffentlichen Gesundheit sowie für Zwecke der Gesundheitsversorgung vorsieht. Diese Ausnahme deckt jedoch keine Marketingnachrichten oder den Verkauf von Daten an Dritte ab; dafür ist eine gesonderte, ausdrückliche Einwilligung erforderlich.

Welche konkreten Risiken birgt die Papierakte?

Das größte Risiko einer Papierakte ist, dass sich der Zugriff physisch nicht begrenzen lässt und sich nie beweisen lässt, wer eine Akte tatsächlich eingesehen hat. In kleinen und mittleren Praxen tauchen immer wieder dieselben konkreten Probleme auf:

• Akten im Gemeinschaftsbereich: Eine offen am Empfang oder auf dem Schreibtisch liegende Patientenakte kann von einem anderen Patienten im Wartebereich ohne Weiteres eingesehen werden.
• Zugriff durch Reinigungs- und Wartungspersonal: Ein außerhalb der Öffnungszeiten anwesendes Reinigungsteam kann auf Akten in einem unverschlossenen Schrank zugreifen; wer dafür verantwortlich ist, bleibt danach unklar.
• Brand, Wasserschaden, Diebstahl: Ein physisches Aktenarchiv kann durch ein einziges Ereignis vollständig verloren gehen; ohne Sicherung erleiden Klinik und Patient einen nicht wiedergutzumachenden Verlust.
• Übergabeprobleme bei Personalwechsel: Verlässt die einzige Person, die das Ablagesystem kennt, die Klinik, findet das übrige Team nur schwer heraus, wo welche Akte liegt.

Diese Risiken sind nicht nur aus DSGVO-Sicht teuer, sondern auch operativ: Ein verlorenes Laborergebnis verursacht Kosten für eine erneute Untersuchung, eine vertauschte Akte kann sogar zu einer falschen Behandlung führen.

Warum sind Rollenrechte und Protokollierung in der Software so wichtig?

In einem digitalen Patientenaktensystem bedeuten Rollenrechte, dass jede Mitarbeiterin nur auf die Informationen zugreifen kann, die ihre Aufgabe tatsächlich erfordert; Protokollierung bedeutet, dass automatisch festgehalten wird, wer welche Akte wann eingesehen oder geändert hat. Zusammen schaffen diese beiden Mechanismen eine Transparenz, die auf Papier unmöglich ist.

Wie richtet man rollenbasierte Zugriffsrechte ein?

In der Praxis reichen drei bis vier Berechtigungsstufen für eine Klinik: Das Empfangspersonal sieht Termine und Kontaktdaten, aber keine medizinischen Notizen; der Behandler hat vollen Zugriff auf die Akten der eigenen Patienten; die Praxisleitung sieht finanzielle und operative Berichte; die Systemadministration verwaltet technische Einstellungen, ohne in die tägliche Patientenakte einzugreifen. Diese Trennung lässt sich in der Software in wenigen Minuten einrichten und funktioniert danach auch bei Personalwechsel unverändert weiter.

Warum sind Protokolle unverzichtbar?

Sagt ein Patient 'meine Akte wurde verändert' oder 'meine Daten wurden ohne Erlaubnis weitergegeben', ist das auf Papier so gut wie unmöglich zu belegen; in einem protokollierenden System dagegen ist sofort ersichtlich, welcher Nutzer welches Feld wann geändert hat. Dieser Nachweis schützt das Vertrauen der Patienten und liefert der Klinik bei einer Prüfung oder Beschwerde ein konkretes Beweismittel.

Wie lange sollten Patientendaten aufbewahrt werden?

Die Aufbewahrungsdauer lässt sich nicht mit einer einzigen Zahl beziffern; sie richtet sich nach der Art der Daten und den einschlägigen Vorschriften (etwa berufsrechtliche Vorgaben für medizinische Unterlagen, steuerliche Vorgaben für Abrechnungsbelege), und jede Klinik sollte diese Fristen in einem eigenen Datenverzeichnis festlegen. Ein praktischer Ansatz sieht so aus:

• Löschen, sobald der Zweck entfällt: Für eine einmalige Anfrage hinterlassene Kontaktdaten sollten nach Erledigung der Anfrage nicht unbegrenzt aufbewahrt werden.
• Gesetzliche Mindestfristen einhalten: Für medizinische Unterlagen und Abrechnungsbelege gelten in den einschlägigen Vorschriften festgelegte Mindestaufbewahrungsfristen; die genaue Frist für Ihren Fall klärt am besten eine Rechtsberatung.
• Aufbewahrungsrichtlinie schriftlich festhalten: Welche Daten wie lange aufbewahrt und wie sie nach Fristablauf gelöscht werden, gehört in ein schriftliches Richtliniendokument — nützlich sowohl bei einer Prüfung als auch für die Mitarbeiterschulung.

Der Vorteil eines digitalen Systems ist, dass Akten mit abgelaufener Aufbewahrungsfrist systematisch nach der festgelegten Richtlinie verwaltet werden können, statt manuell aus dem Archiv geholt und vernichtet zu werden; im Papierarchiv unterbleibt dieser Schritt meist ganz, und die Akten häufen sich unbegrenzt an.

Was ist in den ersten 48 Stunden nach einer Datenpanne zu tun?

Wird eine Datenpanne bemerkt — ein gestohlener Laptop, eine an die falsche Person gesendete E-Mail, ein gehacktes Terminsystem —, muss zuerst der Vorfall dokumentiert und klar festgestellt werden, welche Daten und wie viele Patienten betroffen sind; in Panik Daten zu löschen oder den Vorfall zu vertuschen, verschlimmert die Lage nur. Die DSGVO schreibt vor, dass eine Verletzung des Schutzes personenbezogener Daten in bestimmten Fällen der zuständigen Aufsichtsbehörde und den betroffenen Personen innerhalb einer angemessenen Frist gemeldet werden muss; deshalb sollte auch eine kleine Klinik vorab geklärt haben, wer im Ernstfall zuerst angerufen wird und welche Schritte folgen.

• Vorfall dokumentieren: Wann wurde er bemerkt, welches System oder welche Akte war betroffen, wie viele Personen sind gefährdet.
• Zugriff unterbinden: Passwort des betroffenen Kontos ändern, bei einem verlorenen Gerät den Fernzugriff sperren.
• Rechtsberatung einbeziehen: Ob eine Meldepflicht besteht, mit welcher Frist und welchem Inhalt, sollte gemeinsam mit einer Rechtsberatung geklärt werden.

Mit Protokollierung in einem digitalen System dauert diese Feststellung Minuten statt Stunden, weil bereits erfasst ist, wer welche Akte wann eingesehen hat; in der Papierakte lässt sich die Frage 'wie viele Patienten waren betroffen' oft gar nicht zuverlässig beantworten.

Warum ist Mitarbeiterschulung genauso wichtig wie die Software?

Selbst das stärkste Rollenrechte-System nützt nichts, wenn das Personal die Grundregeln nicht kennt; Patientendatensicherheit ist deshalb nicht nur eine Software-, sondern auch eine Gewohnheitsfrage. Gibt eine Empfangsmitarbeiterin am Telefon einer Person, die behauptet 'ich bin der Ehepartner', ungeprüft die Termindaten eines Patienten weiter, ist das ein menschlicher Fehler, den kein System vollständig verhindern kann.

Für eine kleine Klinik kann eine praxistaugliche Schulung drei Regeln umfassen: Patientendaten werden am Telefon nie ohne Verifizierung an Dritte weitergegeben, die Bildschirmsperre wird beim Verlassen jedes Arbeitsplatzes aktiviert, Patientenakte oder Bildschirm werden nie so liegen gelassen, dass sie vom Wartebereich aus sichtbar sind. Werden diese drei einfachen Regeln Teil der Klinikkultur, bleiben sie auch bei Personalwechsel bestehen.

Wo sollte eine kleine Klinik mit der DSGVO-Konformität beginnen?

Der praktischste Ausgangspunkt ist ein kurzes Verzeichnis, wo welche Daten tatsächlich liegen: Papierformulare am Empfang, eine Excel-Datei auf dem Computer des Behandlers, Nachrichten über WhatsApp, ein Terminbuch. Dieses Verzeichnis zeigt meist, dass dieselbe Information an drei oder vier verschiedenen Stellen, in unterschiedlichen Formaten, geführt wird — und genau diese Streuung ist bereits das größte Risiko. Werden Daten in einem einzigen, berechtigungsgesteuerten System zusammengeführt, erleichtert das die DSGVO-Konformität und beschleunigt den Alltag, weil das Personal nicht mehr suchen muss, in welcher Akte eine Information zuletzt stand.

Ein Beispiel dazu: Bei einer Durchsicht in einem mittelgroßen Physiotherapiezentrum zeigte sich, dass die Kontaktdaten eines Patienten gleichzeitig im Empfangsbuch, im Telefonbuch des Behandlers und in einer alten Excel-Datei geführt wurden; änderte sich die Telefonnummer, wurde nur eine der drei Stellen aktualisiert, die übrigen blieben veraltet. Ein in einem einzigen System geführter Datensatz beseitigt diese Widersprüchlichkeit unmittelbar.

Worauf ist bei der Datenweitergabe an Dritte zu achten?

Kliniken teilen Patientendaten regelmäßig mit Dritten — Labor, Bildgebungszentrum, Buchhaltungsbüro, SMS- oder WhatsApp-Dienstleister —, und auch diese Weitergabe muss klar auf einen bestimmten Zweck und einen bestimmten Datenumfang begrenzt sein. An ein Labor sollten beispielsweise nur die für den Test nötigen Identifikations- und Probendaten übermittelt werden; die gesamte Behandlungshistorie mitzusenden, wäre unnötig und unverhältnismäßig.

Eine Liste, mit welchen Unternehmen welche Daten zu welchem Zweck geteilt werden, sollte geführt werden; diese Liste muss mit den Angaben im Datenschutzhinweis übereinstimmen und liefert bei einer Prüfung eine vorbereitete Antwort auf die Frage 'mit wem teilen wir unsere Daten'.

Wie unterstützt Welda Clinic die Patientendatensicherheit?

Welda Clinic führt Patientenakten in einem einzigen, berechtigungsgesteuerten System zusammen: Rollenbasierte Zugriffsrechte trennen Empfang, Behandler und Praxisleitung in unterschiedliche Berechtigungsstufen, und jede Aktion wird automatisch protokolliert. Sind Patientenverwaltung und Terminverwaltung im selben Datensatz zusammengeführt, entfallen verstreute Papierformulare oder mehrere Excel-Dateien. Um die Datensicherheit Ihrer Klinik zu besprechen, kontaktieren Sie uns.

Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung; für auf Ihre Klinik zugeschnittene DSGVO-Maßnahmen wenden Sie sich unbedingt an eine Rechtsberatung.