Source: https://staufer.de/blog/2018/06/e-mail-verschluesselung-fuer-aerzte/
Timestamp: 2018-07-21 21:17:18+00:00

Document:
E-Mail-Verschlüsselung für Arzt, Zahnarzt, Apotheker und Klinik Pflicht?
Posted on 25. Juni 2018 by Dr. Andreas Staufer	Veröffentlicht in Datenschutzrecht, IT-Recht
Short summery: Do professional secret holders such as medical doctors, pharmacists, lawyers and tax consultants have to encrypt their e-mails? What are the requirements of the GDPR for companies?
Ich hatte noch nicht vor allzu langer Zeit über die E-Mail-Verschlüsselung berichtet. Damals hatte sich der Landesdatenschutzbeauftragte in Sachen hierzu geäußert. Im Frühjahr 2018 folgte eine weitere Stellungnahme des Landesdatenschutzbeauftragten in Hamburg. Im Internet werden diese teils qualifiziert teils undifferenziert diskutiert. Mit dem Inkrafttreten des neuen Datenschutzrechts, der DSGVO, sind jetzt auch die Fragen unserer Mandanten sprunghaft gestiegen. Was gilt nun?
Es gibt keine gesetzliche Vorgabe zur Verschlüsselung. Sicherzustellen sind die technischen und organisatorischen Maßnahmen, damit die Daten der Betroffenen geschützt bleiben. Zum Schutz vor unbefugter Kenntnisnahme zählen auch die Transportverschlüsselung und das Sicherstellen des richtigen Empfängers. Dies erfolgt unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen, Art. 32 Abs. 1 DSGVO.
Alternativ versuchen manche durch Einwilligung auf die Verschlüsselung zu verzichten. Was an dem Vorschlag unberücksichtigt bleibt: Sicherzustellen ist auch der Schutz der Daten weiterer Betroffener (Dritter), also auch derjenigen, über die wir uns mit unseren Patienten/Mandanten austauschen. Dritte werden kaum in das Unterlassen der Verschlüsselung eingewilligt haben.
E-Mail-Verschlüsselung in Sachsen
Der Sächsiche Landesdatenschutzbeauftragte führte hierzu 2017 in seinem Tätigkeitsbericht auf Seite 138 aus:
Ich betrachte den unverschlüsselten E-Mail-Versand von Schriftsätzen vor dem Hintergrund des § 203 StGB insbesondere bei Rechtsanwälten als eine absolut ungeeignete Kommunikationsform. § 203 StGB schützt die Individualinteressen Betroffener in besonderer Weise dadurch, dass er Geheimnisträgern (…) für den Fall der Verletzung ihrer Geheimhaltungs- und Verschwiegenheitspflichten entsprechende Strafen androht. Soweit und solange sich also Rechtsanwälte nicht nur mit allgemeinen Fragestellungen oder Anliegen an die Aufsichtsbehörde wenden, sondern die Aufsichtsbehörde in Ausübung eines konkreten Mandats eines Betroffenen kontaktieren und dabei mandatenbezogene bzw. mandantenbeziehbare Äußerungen und Stellungnahmen tätigen, ist wegen des hohen Schutzbedarfes der Kommunikationsinhalte in jedem Fall eine Verschlüsselung des E-Mail-Verkehrs erforderlich. (…) Ich gehe daher davon aus bzw. fordere dies gegebenenfalls, dass Rechtsanwälte ihre E- Mails zukünftig verschlüsseln oder aber ihre Schriftsätze per Fax und/oder Briefpost versenden. (…)
E-Mail-Verschlüsselung in Hamburg
Ähnlich tendiert auch der Hamburger Datenschutzbeauftragte (Stellungnahme vom 08.01.2018):
Die Gewährleistung von Datensicherheit ist dann [Anmerkung: Mit Inkrafttreten der DSGVO] nicht nur gesetzlich verankert, sie stellt zudem die Bedeutung des technischen und organisatorischen Datenschutzes heraus (vgl. Art. 5 Abs. 1f und Art. 32 DSGVO). Dies wird insbesondere dadurch deutlich, dass zukünftig ein Verstoß gegen technisch-organisatorische Maßnahmen mit Geldbußen geahndet werden kann (vgl. Art. 83 DSGVO). Die Versendung von unverschlüsselten E-Mails, die personenbezogene Daten enthalten, insbesondere für Angehörige von Berufsgruppen, die auch einer strafrechtlich sanktionierten Schweigepflicht nach § 203 StGB unterliegen, ist nach alledem nicht nur bedenklich, sondern stellt auch ein ungeeignetes Kommunikationsmittel dar.
Beide Aussagen treffen natürlich auch auf Ärzte, Zahnärzte, Krankenhäuser und andere Heilberufe ebenso wie die erwähnten Rechtsanwälte oder Steuerberater zu. Das Thema ist heftig umstritten. Ein lesenswerter Beitrag von Härting findet sich hierzu im CR Online Blog, dem ich rechtlich zustimme. Persönlich habe ich auch keine Probleme mit einer Einwilligung des Patienten/Mandanten in die unverschlüsselte Kommunikation, sofern er hinreichend informiert ist und keine personenbezogenen Daten Dritter betroffen sind. Das bleibt jedem selbst überlassen. Sobald aber Daten Dritter betroffen sind – beispielsweise bei Lohnbuchhaltung, Gesundheitsgutachten, vertraulichen Informationen – gilt es äußerst sorgfältig abzuwägen. Zumal diese als Betroffene reagieren können.
Smarte Verschlüsselung?
Leider gibt es noch keine smarte E-Mail-Verschlüsselung. Allen Lösungen wie PGP oder S/MIME ist gemein, dass Patienten und Mandanten die Technik selten vorhalten – und dann gibt es noch technische Probleme. Verschlüsselte PDF machen – wenn sie überhaupt geöffnet werden können – spätestens in unternehmensweitenDokumenten-Management-System (DMS) ihre Probleme. Bevor Berufsgeheimnisträger sich nun der E-Mail-Verschlüsselung gänzlich verweigern, sollten wir smarte Alternative (You have Mail!) suchen. Ideen gibt es viele: IDGuard Cloud Anwälte, NextCloud, WebAkte, Wollschläger, TeamDrive, MandantenPortal, zukünftig vielleicht die DATEV Cloud für Anwälte. Ich bin übrigens gerne bereit zu testen und an dieser Stelle über Mandanten-Cloud und Patienten-Cloud-Lösungen zu informieren. Vorneweg: Es sollte aber smart (!) funktionieren – und das beginnt bei Absprache/Installation.
Outlook ist übrigens kein Dokumenten-Management-System. Bestenfalls entwickeln wir daher sinnvolle und einheitliche, digitale Prozesse für die Kommunikation mit Patienten und Mandanten. Vorteile einer Cloud-Lösung könnten übrigens sein:
Einfacher Export aus der Praxissoftware/Anwaltssoftware
Automatische Benachrichtigung des Patienten/Mandanten (Push)
Sichere Empfangsbestätigung
Arbeiten an einem Dokument (Collaboration)
Kommunikation in einer Kartei/Akte (Vertreterregelung)
Und dann gäbe es ja noch ergänzende Schnittstellen für Kontaktanfragen einschließlich Stammdatenimport, Onlinechat und Videokommunikation, Video-Identifikation (VideoIDent) aufgrund Vorgaben des Geldwäschegesetzes sowie Online-Zahlungsdiensten, Online-Terminplanung bis hin zu intelligenten Abfrageformularen, die uns sämtlich den beruflichen Alltag erleichtern könnten.
Falls ein Anwalt weiterhin über Opt-Out und mutmaßliche Einwilligung sinniert, möge er über die nachfolgende Klausel nachdenken. Ohne Baurechtler zu sein, würde mich als Bauherr diese Klausel nicht überzeugen: „Dieser Bauabschnitt ist nicht abgesichert. Auch bei zukünftigen Baumaßnahmen verzichten wir auf die nötige Bauabsicherung. Falls Sie als Bauherr wünschen, dass wir Ihnen aus Gründen der Arbeitssicherheit oder aus sonstigen Gründen zukünftig den Bauabschnitt absichern, teilen Sie uns dies bitte ausdrücklich mit.“ Aber mit der E-Mail, da kann man es ja machen.
Arzt-Impressum auf der Homepage - 25. Juni 2018
‹ Facebook abschalten?
Arzt-Impressum auf der Homepage ›
Archiv Monat auswählen Juli 2018 (2) Juni 2018 (3) Mai 2018 (3) April 2018 (4) März 2018 (4) Februar 2018 (2) Januar 2018 (5) Dezember 2017 (6) November 2017 (2) Oktober 2017 (8) September 2017 (3) August 2017 (2) Juni 2017 (2) Mai 2017 (1) April 2017 (6) März 2017 (6) Februar 2017 (9) Januar 2017 (8) November 2016 (1) Oktober 2016 (2) September 2016 (4) August 2016 (5) Juli 2016 (1) Juni 2016 (2) Mai 2016 (4) April 2016 (4) März 2016 (10) Februar 2016 (5) Januar 2016 (6) Dezember 2015 (5) November 2015 (9) Oktober 2015 (4) September 2015 (16) August 2015 (5) Juli 2015 (6) Juni 2015 (5) Mai 2015 (5) April 2015 (2) März 2015 (7) Februar 2015 (15) Januar 2015 (13) Dezember 2014 (8) November 2014 (5) Oktober 2014 (5) September 2014 (13) August 2014 (4) Juli 2014 (9) Juni 2014 (9) Mai 2014 (11) April 2014 (11) März 2014 (17) Februar 2014 (11) Januar 2014 (11) Dezember 2013 (5) November 2013 (1) Oktober 2013 (4) September 2013 (3) August 2013 (2) September 2012 (1) April 2012 (1) Januar 2012 (1) November 2011 (3) September 2011 (3)

References: Art. 32
 § 203
 § 203
 Art. 5
 Art. 32
 Art. 83
 § 203