Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

Werden Patientendaten von Krankenhäusern an externe Dienstleister übermittelt, stellt dies eine Offenbarung im Sinne der ärztlichen Schweigepflicht dar und bedarf daher einer wirksamen Einwilligung. Dieser Beitrag befasst sich mit der Frage, wie ein Einwilligungstext sowohl kurz und verständlich, als auch vollständig und rechtswirksam gestaltet werden kann.

Der Vortrag des ULD-Leiters auf einem IuK-Wirtschaftsforum in Hannover befasst sich mit Chancen und Risiken von Big-Data-Anwendungen. Dabei werden insbesondere aus Datenschutzsicht die rechtlichen Rahmenbedingungen beleuchtet und die Voraussetzungen herausgearbeitet, die für einen rechtmäßigen Einsatz dieser Technik erfüllt sein müssen.

Bei Kleinstgemeinden mit bis zu 70 Einwohnern tritt in Schleswig-Holstein nach § 54 der Gemeindeordnung Schleswig-Holstein (GO) an die Stelle einer gewählten Gemeindevertretung eine aus allen Bürgern bestehende Gemeindeversammlung. Für den Informationsanspruch der Mitglieder der Gemeindeversammlung gelten die Maßgaben der GO für die Auskunftspflicht der Verwaltung in angepasster Form (unten I.) neben denen des Informationszugangs- und Datenschutzrechts nach dem IZG und LDSG (unten II.). Hinsichtlich eines Auskunfts-, Akteneinsichts- oder sonstigen Begehrens auf Bereitstellung von Informationen sind die möglichen Anspruchsgrundlagen jeweils parallel anwendbar. Es kommt die Regelung zur Geltung, die den jeweils weitesten Informationsanspruch bei den gegebenen Voraussetzungen gewährt (Bracker/Borchet et al. in PdK^{EL. 2014} § 30 GO Rn. 1). Die resultierenden datenschutzrechtlichen Folgerungen werden als Fazit dargestellt (unten III.). Von einer Betrachtung des gleichsam parallel neben der GO und dem IZG bestehenden Akteneinsichtsrechts für Beteiligte eines Verwaltungsverfahrens nach § 88 LVwG wird abgesehen.

Zusammenfassung:

IT-Sicherheit ist eine Grundvoraussetzung für die Sicherung der Grundrechte auf informationeller Selbstbestimmung und auf Gewährleistung der Integrität und Vertraulichkeit informationstechnischer Systeme. Angesichts der modernen Risiken für informationstechnische Strukturen sind vorgesehene Maßnahmen wie der Ausbau des Bundesamtes für die Informationssicherheit (BSI) zu einer nationalen Zentrale für IT-Sicherheit, die Festlegung von Sicherheitsstandards, die Pflicht zur Sicherheitsvorsorge in Unternehmen, Melde- und Benachrichtigungspflichten bei sicherheitsrelevanten Vorfällen wichtige Bausteine einer nationalen Strategie für mehr IT-Sicherheit. IT-Sicherheitsmaßnahmen setzen in vielen Fällen die Verarbeitung personenbeziehbarer Daten voraus. Die damit verbundenen Eingriffe in das Recht auf informationelle Selbstbestimmung sowie in das Telekommunikationsgeheimnis bedürfen einer normenklaren, spezifischen, auf das Erforderliche und Verhältnismäßige sich beschränkenden gesetzlichen Grundlage, die für die Betroffenen normenklar erkennen lässt, wie welche Maßnahmen durchgeführt werden. Diesen Anforderungen genügt der vorliegende Entwurf noch nicht. Verarbeitungsregeln für die verpflichteten Unternehmen fehlen vollständig. Zweckbindungsregeln sind nur für das BSI vorgesehen. Vorgaben zur Wahrung der Datensparsamkeit, etwa durch Anonymisierung, Pseudonymisierung, frühzeitige Löschung und Abschottung, bei Maßnahmen der IT-Sicherheit sind bisher nicht geplant. Vorkehrungen für die IT-Sicherheit sollten in gleicher Weise für Telekommunikations- wie für Telemedienbetreiber gültig sein. Die Datenschutzaufsichtsbehörden müssen als auch für IT-Sicherheit zuständige Behörden bei der Festlegung von Sicherheitsstandards, bei den Meldewegen und bei der Beratung der Beteiligten rechtlich eingebunden werden. IT-Sicherheit darf nicht alleine Behörden im Direktionsbereich des Bundesministeriums des Innern überlassen bleiben, die bei einer Abwägung zwischen IT-Sicherheit und klassischer Gefahrenabwehr und Strafverfolgung sich im Zweifelsfall möglicherweise einseitig zugunsten Letzterer entscheiden. Die Bestrebungen nach mehr IT-Sicherheit können sich nicht auf die Verabschiedung eines IT-Sicherheitsgesetzes beschränken. Der tatsächliche Aufbau vertrauenswürdiger und sicherer IT-Infrastrukturen und die Förderung solcher Techniken ist Aufgabe des Staates. Dabei kommt der Weiterentwicklung und Implementierung von Verschlüsselungsverfahren eine zentrale Funktion zu.

 

In der Stellungnahme des ULD wird die Diskussion um die elektronische Gesundheitskarte und die Telematik-Infrastruktur aufgegriffen und im Grundsatz begrüßt, dass das Bundesministerium für Gesundheit mit dem E-Health-Gesetz versucht, dieses Projekt voranzubringen und eine sichere informationstechnische Infrastruktur im deutschen Gesundheitswesen zu etablieren. Die Stellungnahme kritisiert jedoch, dass sich dieser Entwurf ausschließlich auf die Regelungen im Sozialgesetzbuch V beschränkt und nicht weitere gesetzlich dringend nötige Regelungen vorsieht, damit Informationstechnik im Gesundheitswesen funktional eingesetzt werden kann und zugleich auch durch die Wahrung der Vertraulichkeit zwischen Leistungserbringer und Patienten die öffentliche Akzeptanz findet.

Mit dem Mindestlohngesetz sind Unternehmer gehalten, ihren Beschäftigten den gesetzlichen Mindestlohn zu zahlen. Für die Einhaltung dieser Verpflichtung haften verschuldensunabhängig auch Auftraggeber, die andere Unternehmen mit der Erbringung von Dienst- oder Werkleistungen betrauen. Zur Begrenzung des Haftungsrisikos ist der Auftraggeber gehalten, geeignete Maßnahmen zu ergreifen. Hierfür ist es weder nötig noch datenschutzrechtlich zulässig, sensible Beschäftigtendaten pauschal an Auftraggeber weiterzugeben. Darauf weist das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) in einer Stellungnahme mit dem Titel „Auftraggeberhaftung für den ´Mindestlohn` aus Datenschutzsicht“ hin.

In dem Informationstext des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein (ULD) wird dargelegt, dass es zur Vermeidung von Haftungsrisiken nach dem "Mindestlohngesetz" in der Regel weder erforderlich noch zulässig ist, Beschäftigtendaten von einem beauftragten Unternehmen an den Auftraggeber zu übermitteln.

 

Vortrag von Thilo Weichert, Leiter des ULD, bei der Fraktion Die Partei Piraten Lübeck

Dem Unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein (ULD-SH) liegt der Entwurf eines Gesetzes zur Stärkung der Gesundheitsförderung und der Prävention vor. Dieser sieht umfangreiche Ausweitungen der Befugnisse von gesetzlichen Krankenkassen vor, die nach unserer Einschätzung aus datenschutzrechtlicher Sicht nicht akzeptiert werden können.