Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

PRESSEMITTEILUNG  
der Konferenz der unabhängigen Datenschutzaufsichtsbehörden
des Bundes und der Länder vom 5. April 2023

Die Konferenz der Datenschutzaufsichtsbehörden des Bundes und der Länder (Datenschutzkonferenz) fordert Nachbesserungen des Entwurfs einer Verordnung für den Europäischen Gesundheitsdatenraum, damit das Datenschutzniveau der Datenschutz-Grundverordnung und der Artikel 7 und 8 der Charta der Grundrechte der Europäischen Union nicht ausgehöhlt wird. In ihrer nun veröffentlichten Stellungnahme vom 27. März 2023 kritisiert die Datenschutzkonferenz den Verordnungsentwurf der Europäischen Kommission zur Schaffung und Regulierung eines Europäischen Gesundheitsdatenraums (European Health Data Space – EHDS) . Damit ergänzt die Datenschutzkonferenz die Kritik des Europäischen Datenschutzausschusses.

Stand: September 2022

• Hat das ULD das Verfahren „E-Rezept“ geprüft? Ist es gescheitert?
• Hat das ULD das Verfahren „E-Rezept“ in Schleswig-Holstein untersagt?
• Ändert sich beim Verfahren „E-Rezept“ etwas an den Pflichten der Arztpraxen in Bezug auf das sichere Aushändigen?
• Welche Möglichkeiten sieht der Gesetzgeber vor, damit Patientinnen und Patienten von ihren Ärztinnen bzw. Ärzten ihre Verordnungen erhalten?
• Welche Risiken sieht das ULD bei der Übertragung von DataMatrix-Codes?
• Welche Risiken sieht das ULD bei der Übertragung von DataMatrix-Codes per E-Mail?
• Wer trägt die datenschutzrechtliche Verantwortung bei der Übertragung eines DataMatrix-Codes?
• Ist es Apotheken untersagt, per (unverschlüsselter) E-Mail zugesandte E-Rezepte oder DataMatrix-Codes anzunehmen und die Arzneimittel zu liefern?
• Ist eine Weitergabe des DataMatrix-Codes durch die Patientin oder den Patienten an Versand- bzw. Onlineapotheken zulässig?
• Können Ärztinnen und Ärzte verlangen, dass Patientinnen oder Patienten in eine unsichere Übermittlung von Verordnungen einwilligen?
• Gehört es zu den Aufgaben des ULD, in einer Beratung auf Risiken hinzuweisen?
• Ist die Einschätzung des ULD in Bezug auf die Rechtslage eine Überraschung?
• Sind denn datenschutzrechtlich zulässige Lösungen für eine Aushändigung oder Übertragung auch für den digitalen Bereich überhaupt denkbar?

• 06.09.2022: Fragen und Antworten zur Versendung von DataMatrix-Codes im E-Rezept-Verfahren

Am 22. August 2022 wurde anlässlich einer Pressemitteilung der Kassenärztlichen Vereinigung Schleswig-Holstein (KVSH) berichtet, das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) habe das „E-Rezept“ in Schleswig-Holstein untersagt. Stimmt das? Verhindert der Datenschutz sogar gute Lösungen im Medizinbereich? Nein!

Schreiben des ULD an die Kassenärztliche Vereinigung Schleswig-Holstein (KVSH).

Die KVSH hatte angefragt, ob es datenschutzrechtlich zulässig sei, wenn die Arztpraxen statt der bundesweit vorgesehenen E-Rezept-App den Weg per E-Mail oder SMS nutzten, um das E-Rezept an die Patientinnen und Patienten auszuhändigen.

• Schreiben im PDF-Format

Bei den sich derzeit überschlagenden Ereignissen in der Corona-Pandemie treten Viren für die IT-Infrastruktur (Trojaner, Schadcode, Malware) schnell in den Hintergrund.

Dennoch ist es wichtig, auf die praktischen Aspekte der IT-Sicherheit zu achten – nichts könnten beispielsweise Krankenhäuser und Arztpraxis weniger gebrauchten als eine Infektion der Computer mit Schadsoftware, die den IT-Betrieb für Tage lahmlegt.

Ein praktisches Problem besteht darin, dass viele Dokumente schnell per E-Mail ausgetauscht werden. Dabei gibt es unkritische Dateiformate, aber auch solche, die Schadcode beinhalten können. Daher wurden im Rahmen der Emotet-Welle verstärkt gefährlichen Dateiformate herausgefiltert (etwa Dateien mit Makros), von Hand nachbearbeitet (kontrolliert, ggf. weitergegeben) oder sogar vollständig blockiert. Dies erfolgt meist pauschal am zentralen E-Mail-Eingang – unabhängig von Absenderadressen.

Weil Dokumente häufig zeitkritisch sind, werden sie jetzt teilweise wieder ungeprüft zugestellt oder wichtige Dokumente kommen wegen der notwendigen Prüfung verspätet an. Beides ist zu vermeiden.

Ein Beitrag zur Lösung des Problems ist, Dateien im richtigen Datenformat zu versenden. Dabei ist es zunächst wichtig zu verstehen, welche Unterschiede die Formate mit sich bringen. Sogenannte offene Formate wie .docx, .xlsx oder .odt enthalten bearbeitbare Dokumente. Wer eine solche Datei empfängt, kann sie zumeist problemlos bearbeiten. Häufig ist dies erwünscht oder sogar notwendig. Offene Dateien können jedoch oftmals auch problematische Inhalte wie Makros oder Scripte enthalten, also kleine Programme, die mitunter schadhafter Natur sein können. Daher werden sie teilweise automatisiert herausgefiltert.

Geschlossene Dateiformate wie .pdf bieten stark eingeschränkte Bearbeitungsmöglichkeiten und sind als Papier-Ersatz gedacht. Hier können sich auch weniger Schadfunktionen verbergen.

Vor diesem Hintergrund gibt es – je nach Anwendungszweck – mehr oder weniger geeignete Dateiformate.

• Wenn Dateien nur Informationen (wie etwa Pressemitteilungen) transportieren, aber nicht weiterverarbeitet werden sollen, sind Dateiformate wie .pdf geeignet. Sie können mit typischer Bürokommunikationssoftware (z. B. MS Office, LibreOffice) direkt erzeugt werden (beim Speichern das Datenformat "pdf" wählen, oder als "pdf exportieren") – dies sind nur wenige Mausklicks.
  [Hinweis: Ebenso wie in Word-Dokumenten können in solchen PDF-Dateien weiterhin Metadaten enthalten sein, etwa Autorennamen, Überarbeitungen, Uhrzeiten, Versionsverläufe etc. Sie sind daher unter Umständen nicht für eine unmittelbare Veröffentlichung, etwa auf Webseiten, geeignet, sondern müssen entsprechend nachbearbeitet werden.]
• Auch aus pdf-Dateien lässt sich Text wieder extrahieren – wer wenige Zeilen Text aus empfangenen Dokumenten kopieren muss, benötigt dafür keine Word/Writer-Datei.
• Sollen die Empfangenden Dateien weiterverarbeiten und zurücksenden (etwa Ergänzungen vornehmen, Einträge hinzufügen, etc.), kann ebenfalls das PDF-Format geeignet sein. Anmerkungen lassen sich mit entsprechenden PDF-Betrachtern bereits in normalen PDF-Dokumenten hinterlassen. Sollen größere Datenmengen abgefragt werden, sind PDF-Formulare sinnvoll.
• E-Mails als solche sind auch "bearbeitbar", etwa wenn es sich um Ergänzungen im Text handelt, die in eine Antwort eingefügt werden können. Angänge sind dann nicht erforderlich.
• Vermieden werden sollten Dateien mit Makros, da solche Dateien aus gutem Grund herausgefiltert werden oder die Nutzung von Makros schlicht technisch unterbunden wird. Auch Tabellen lassen sich, wenn es nicht um automatische Auswertungen geht, in unkritischen Dateiformaten wie .csv abspeichern.
• Sollte der Einsatz von Makros oder Scripten aus funktionalen Gründen notwendig sein, sollten der Einsatz und die zu treffenden Schutzmaßnahmen zwischen Absender und Empfänger abgesprochen werden (etwa Speicherung und Ausführung empfangener Dateien in bestimmten Unterordnern, Software-Signaturen, Passwortschutz von Dateien).
• Alternativ zur E-Mail können auch gesicherte Datenaustauschportale (der Absendenden, der Empfangenden oder von ihnen beauftragter vertrauenswürdiger Dienstleister) genutzt werden, bei denen Dateien nach Nutzerüberprüfung per Upload/Download übertragen werden, etwa über Webportale: In diesem Fällen ist es unwahrscheinlich, dass es einem Angreifer gelingt, Dateien mit Schadcode dort abzulegen.

Die Landkreise und kreisfreien Städte des Landes haben auf Grundlage eines Erlasses der Landesregierung zur weiteren Eindämmung der Ausbreitung des Coronavirus (SARS-CoV-2) Allgemeinverfügungen zu diesem Zweck erlassen. So hat beispielsweise die Stadt Kiel am 16.03.2020 eine Allgemeinverfügung zum Verbot und zur Beschränkung von Kontakten in besonderen öffentlichen Bereichen der Landeshauptstadt Kiel veröffentlicht (Änderung der Allgemeinverfügung vom 14.03.2020).

Am 25. Mai 2018 tritt die im Jahr 2016 verabschiedete EU-Datenschutz-Grundverordnung (DSGVO) vollständig in Kraft. Sie wird dann die wesentlichen in Deutschland und den anderen EU-Mitgliedstaaten anzuwendenden Vorschriften über den Datenschutz enthalten. Ergänzend finden sich für Heilberufler einzelne Konkretisierungen im neuen Teil 2 des Bundesdatenschutzgesetzes (BDSG), das am gleichen Tag in Kraft tritt.

Gemeinsam mit der Ärzte- und der Zahnärztekammer Schleswig-Holstein hat das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) einen „Datenschutz-Selbst-Check“ für Arzt- und Zahnarztpraxen erarbeitet.

Zwischen Krankenhausärzten bzw. Krankenhausverwaltungen und der Polizei kommt es immer wieder zu Konflikten bzgl. der Frage, unter welchen Voraussetzungen Patienteninformationen über Beteiligte an Verkehrsunfällen an die Polizei offenbart werden dürfen oder gar müssen. Der Beitrag zeigt die Möglichkeiten der Information, aber auch deren Grenzen auf.

Wie ist die zeitgleiche Behandlung mehrerer Patienten in einem Behandlungsraum datenschutzrechtlich zu bewerten? Welche Anforderungen werden an eine wirksame Einwilligungserklärung der Patienten in diese Behandlungsform gestellt? Welche Daten dürfen keinesfalls an Dritte übermittelt werden? Dieser Bericht soll aufzeigen, was bei einer Behandlung von mehreren Patienten in einem Behandlungsraum beachtet werden muss.