Source: https://www.datenschutzzentrum.de/artikel/779-Datenschutzrechte-der-Patienten.html
Timestamp: 2019-11-20 06:28:19+00:00

Document:
Datenschutzrechte der Patienten - ULD
Das Patientengeheimnis ist eine Grundbedingung für den Heilerfolg: Wer befürchten muss, dass seine im Rahmen einer medizinischen Untersuchung oder Behandlung dem Arzt bekannt gewordenen personenbezogenen Daten an Dritte weitergegeben werden, wird sich überlegen, ob er diesem Arzt alle für die Behandlung nötigen Informationen offen legt. Dies gilt insbesondere in sensiblen Bereichen, etwa wenn es um Krankheiten im Zusammenhang mit dem Sexualleben, um Diagnosen aus dem Psychiatriebereich oder um Ergebnisse genetischer Analysen geht.
Viele Stellen sind dazu aufgerufen, sich um die Einhaltung des medizinischen Datenschutzes zu kümmern. Dennoch besteht oft ein Vollzugsdefizit, da Patienten sich wegen der von ihnen so empfundenen Abhängigkeit vom Arzt bei Verletzungen der Vertraulichkeit weder den Arzt anzusprechen geschweige denn eine dritte Stelle (z.B. Datenschutzbeauftragte, Ombudsmann, Ärztekammer, Staatsanwaltschaft) anzurufen getrauen. Dies ist Grund genug, sich mit den (informationellen) Patientenrechten zu beschäftigen. Damit befasste sich erstmals global und umfassend der Weltärztebund im Oktober 1981, als er die "Deklaration von Lissabon zu den Rechten des Patienten" verabschiedete, in der u.a. das Recht auf Selbstbestimmung, das Recht auf Information und das Recht auf Vertraulichkeit festgeschrieben wurden. Dies war auch das Anliegen der 72. Gesundheitsministerkonferenz vom 09./10.06.1999, die einstimmig das Dokument "Patientenrechte in Deutschland heute" der Öffentlichkeit vorlegte. Dieser Initiative folgte die "Charta der Patientenrechte" des Bremer Diskussionsforums , an dem sich Vertreter aus allen medizinrelevanten gesellschaftlichen Gruppen beteiligt haben. Am 16.10.2002 wurde der Bundesjustizministerin und der Bundesgesundheitsministerin die Charta "Patientenrechte in Deutschland" übergeben, an deren Zustandekommen Ärzteverbände, Krankenkassen, Landesbehörden, Wohlfahrtsverbände und Patienten-, Selbsthilfe- und Verbraucherorganisationen beteiligt waren.
Patient und Arzt stehen sich i.d.R. nicht als Gegner gegenüber, sondern sind ein Team, das gemeinsam einen optimalen Heilungserfolg anstrebt. Vertraulichkeit und die Gewährleistung informationeller Patientenrechte liegen nicht nur im Patienteninteresse, sondern auch im Interesse des engagierten Arztes. Wer als Arzt den Patienten als Partner beim gemeinsamen Heilungsbestreben behandelt, der wird diesen Partner nicht von den notwendigen Informationen ausschließen; er wird außerdem darauf achten, dass niemand ohne Not in die Vertrauensbeziehung eindringt, indem ihm unnötig und ohne Wissen des Patienten Daten aus der Behandlung offenbart werden.
Das Datenschutzrecht, insbesondere im Medizinbereich, ist sehr komplex. Verschiedene Gesetze und eine Vielzahl teilweise konkurrierender Regelungen finden Anwendung. Auch wenn die Ergebnisse zumeist wenig von einander abweichen und die Prinzipien übereinstimmen, die Gesetzeslandschaft ist äußerst unübersichtlich:
Für ambulante Arztpraxen und private Krankenhäuser gilt das Bundesdatenschutzgesetz (BDSG), und zwar v.a. der erste (allgemeine Regelungen) und der dritte (Datenverarbeitung privater Stellen)Abschnitt des BDSG. Für die wenigen Einrichtungen des Bundes (z.B. Bundeswehrkrankenhäuser) gilt auch das BDSG, aber dort vor allem statt des dritten der zweite Abschnitt (Datenverarbeitung öffentlicher Stellen). Für kommunale Krankenhäuser und solche eines Landes (z.B. Universitätskliniken) ist dagegen weitgehend (teilweise nur subsidiär) das jeweiligeLandesdatenschutzgesetz (LDSG) anwendbar. Die Regelungen der LDSG entsprechen weitgehend, aber nicht vollständig denen des BDSG. Hinsichtlich der materiellen Regelungen ist im Krankenhausbereich regelmäßig auch bei öffentlichen Stellen der dritte Abschnitt des BDSG (Datenverarbeitung privater Stellen) anzuwenden, wenn damit eine Teilnahme "am Wettbewerb" zu privaten Konkurrenten (Kliniken) verbunden ist (vgl. z.B. § 3 Abs. 2 Landesdatenschutzgesetz Schleswig-Holstein - LDSG SH).
Neben dem allgemeinen Datenschutzrecht gibt es sowohl auf Bundes- wie auf Landesebenespezifische gesetzliche Regelungen, die für die Wahrnehmung von Patientenrechten von Bedeutung sein können. Als Beispiele können hier genannt werden:
Transfusionsgesetz, Transplantationsgesetz,
Röngtenverordnung (RöntgVO),
für gesetzlich Krankenversicherte das Sozialgesetzbuch V (SGB V).
Gesundheitsdienstgesetze,
evtl. gar Gesundheitsdatenschutzgesetz (NRW),
Psychisch-Kranken-Gesetze und Maßregelvollzugsgesetze,
Krankenhausgesetze (KHG).
Daneben gilt generell § 203 Strafgesetzbuch (StGB), der die berufliche Schweigepflicht von Ärzten sowie sonstigen Angehörigen von Heilberufen festlegt, also das "Patientengeheimnis". Dieses Patientengeheimnis ist weiterhin auch in den ärztlichen Berufsordnungen der (Landes-) Ärztekammern geregelt. Dort finden sich weitere Aussagen zum Arzt-Patientenverhältnis. Die Berufsordnungen auf Landesebene orientieren sich weitgehend an einer Musterberufsordnung der Bundesärztekammer (MBO-Ä). Schließlich besteht zwischen Arzt und Patient oft ein einfacher privatrechtlicher Behandlungsvertrag, aus dem die Patienten Rechte geltend machen können.
Im Folgenden sollen die Datenschutzrechte der Patienten dargestellt werden (eine Kurzdarstellung der "Patientenrechte" findet sich hier). Dabei werden die wichtigsten Differenzierungen möglicher Fallgestaltungen dargestellt. In Konflikt- und Zweifelsfällen kann es sinnvoll sein, Unterstützung zu suchen, die es bei unterschiedlichsten Stellen gibt (s.u. XII.). Sollte dies nicht genügen und ist z.B. ein Gerichtsverfahren nicht vermeidbar, so mag im Einzelfall die Inanspruchnahme eines anwaltlichen Beistandes sinnvoll sein.
In § 6 Abs. 1 BDSG ist geregelt, dass die Rechte der betroffenen Patienten auf Auskunft und auf Berichtigung, Löschung und Sperrung unabdingbar sind. Das heißt: diese Patientenrechte können nicht durch Rechtsgeschäft ausgeschlossen oder beschränkt werden.
Folgende Rechte bietet das Datenschutzrecht dem Patienten:
Recht auf Auskunft (IV.)
Recht auf Akteneinsicht (V.)
Recht auf Benachrichtigung (VI.)
Anspruch auf Datenkorrektur (Berichtigung, Gegendarstellung) (VII.)
Anspruch auf Datensperrung (VIII.)
Anspruch auf Datenlöschung bzw. Aktenvernichtung (IX.)
Recht auf Widerspruch/Einwand (X.)
Schadensersatzanspruch (XI.)
Recht zur Inanspruchnahme fremder Hilfe (betrieblicher/behördlicher Datenschutzbeauftragter, staatliche Datenschutzkontrollinstanz, Kammer, Ombudsmann, Verbraucherzentrale) (XII.)
Recht auf Strafanzeige (XIII.).
Die Ansprüche richten sich gegen die jeweils verantwortliche Stelle, d.h. die die Patientendaten verarbeitende Einrichtung (§ 3 Abs. 7 BDSG). Dies ist der ambulant behandelnde Arzt (auch bei Praxisgemeinschaft); im Fall einer Gemeinschaftspraxis richten sich die Ansprüche gegen diese Gemeinschaft, die in einer besonderen Rechtsform betrieben wird, z.B. als BGB-Gesellschaft oder GmbH. Bei Kliniken ist Adressat der Patientenrechte die Klinik; falls die Klinik keine eigene Rechtspersönlichkeit hat, der rechtliche Träger der Klinik. Eine Besonderheit besteht bei einer Chefarzt- oder Belegarztbehandlung in einer Klinik: Bezüglich der Behandlung besteht hier ein Vertrag nicht mit der Klinik, sondern mit dem jeweiligen behandelnden Arzt. Gegen diesen richten sich daher auch geltend zu machende Datenschutzansprüche. Die Patientenunterbringung ("Hotelbetrieb") erfolgt dagegen im Verhältnis zur Klinik, die insofern Vertragspartner ist. Richtet sich ein Patientenanspruch gegen eine öffentliche Stelle, z.B. ein Gesundheitsamt, so ist Adressat von Patientenrechten die die Einrichtung tragende Körperschaft, also z.B. der jeweilige Landkreis oder die Stadtverwaltung.
Da die Datenschutzrechte der Patienten im direkten Kontext zur ärztlichen Behandlung stehen, ist innerhalb der verantwortlichen Stelle i.d.R. der ärztliche Leiter der Einrichtung die richtige Ansprechsperson für die Entscheidung hierüber. Dieser kann sich dabei der Unterstützung weiterer Personen aus dem Behandlungsteam, aber auch aus der Verwaltung (Justiziar, interner Datenschutzbeauftragter) bedienen, die insofern als Hilfsperson des Arztes tätig werden (§ 203 Abs. 3 StGB).
Die Datenschutzrechte sollten vom Patienten grds. unter Benennung einer angemessenen Fristgeltend gemacht werden. Lässt der Arzt bzw. die verantwortliche Stelle bei Begründetheit des Anspruchs diese Frist fruchtlos verstreichen, befindet er bzw. sie sich im Verzug mit der Folge, dass die Kosten eines vom Patienten mit der Durchsetzung seines Anspruchs beauftragten Rechtsanwaltes und evtl. die Gerichtskosten zu tragen sind. Außerdem kann durch eine Verzögerung der Rechtsgewährung beim Patienten ein Schaden entstehen, der diesen zur Geltendmachung von Schadensersatzansprüchen berechtigt.
Hier dargestellt werden die außer- bzw. vorprozessualen Rechte des Patienten. Zweifellos sind die informationellen Patientenrechte auch bei gerichtlichen Auseinandersetzungen mit dem Arzt bzw. der ärztlichen Einrichtung von zentraler Bedeutung. So ist die Vorlage von Krankenunterlagen zur Prüfung und Durchsetzung von zivilrechtlichen Forderungen oft unabdingbare Voraussetzung, weshalb ein solcher Anspruch hierauf aus § 422 Zivilprozessordnung (ZPO) abgeleitet wird (vgl. § 427 ZPO). Doch bestehen die datenschutzrechtlichen Ansprüche unabhängig von der Möglichkeit bzw. der Absicht, gegenüber dem Arzt gerichtlich vorzugehen.
Bei der Behandlung von ausländischen Patienten, die keine oder nur begrenzte deutsche Sprachkenntnisse haben, bestehen für den Arzt bestimmte Verhaltensanforderungen. Grundsätzlich muss der Arzt sicherstellen, dass die Patientenrechte wahrgenommen werden können und die Aufklärung von dem Patienten verstanden wird. Notfalls ist ein sprachkundiger Kollege, ein Verwandter oder eine sonstige Person hinzuzuziehen.
Datenschutzrechte sind höchstpersönliche Rechte, doch kann deren Wahrnehmung Dritten übertragen werden. In Betracht für eine Bevollmächtigung kommen in erster Linie Rechtsanwälte, aber auch Verbraucherschutz- oder Patientenschutzorganisationen. Die auf den Vertreter ausgestellte Vollmacht (§§ 164 Bürgerliches Gesetzbuch - BGB) muss grds. schriftlich erteilt und inhaltlich eindeutig sein (vgl. § 4a Abs. 1 S. 3 BDSG). Sie muss im Zweifel dem Arzt bzw. dem Krankenhaus vorgelegt werden. Der Anspruch des Bevollmächtigten kann wegen des höchstpersönlichen Charakters der Datenschutzrechte nicht weiter gehen als der Anspruch des Patienten (zur Wahrnehmung des Akteneinsichtsrechts durch Dritte siehe aber unten unter V. 1. ganz am Ende).
Bei minderjährigen oder eingeschränkt rechtsfähigen Patienten kommt es für die Wahrnehmung des Rechts auf informationelle Selbstbestimmung nicht auf die Geschäftsfähigkeit nach dem Bürgerlichen Gesetzbuch (§§ 104 ff. BGB) an, sondern auf die Einsichtsfähigkeit, da das informationelle wie das medizinische Selbstbestimmungsrecht unabhängig von einer (gesetzlichen) Vertretung bestehen. Eine feste Altersgrenze für die Fähigkeit zur Wahrnehmung dieser Selbstbestimmungsrechte gibt es nicht. Jedoch ist bei Minderjährigen über 14 Jahren eine eigenständige Bestimmungsmöglichkeit in zunehmendem Maße zu respektieren. Spätestens ab dem 18. Lebensjahr ist generell von der eigenen Bestimmungsmöglichkeit auszugehen. Soweit noch keine Selbstbestimmungsmöglichkeit besteht, tritt an die Stelle des Patienten die gesetzliche Vertretung, i.d.R. sind dies die Eltern (vgl. §§ 107 ff., 1626 Abs. 2 BGB), wobei ein Zusammenwirken zwischen dem Vertreter und dem Vertretenen anzustreben ist.
Die Datenschutzrechte des Patienten sind Rechte, die diesem als lebende natürliche Person zustehen. Dessen ungeachtet wirkt das allgemeine Persönlichkeitsrecht über den Tod des Betroffenen hinaus. Dies gilt sowohl für persönlichkeitsrechtliche Abwehrrechte (Datenkorrektur, Löschung) wie auch für Leistungsansprüche (Auskunft, Akteneinsicht) und diesen evtl. folgend für vermögensrechtliche Ansprüche. Zumindest im letztgenannten Fall (bei einer vermögensrechtlichen Komponente) ist unbestritten, dass die Patientenansprüche auf die Erben bzw. auf die nächsten Angehörigen übergehen. Die Geltendmachung der datenschutzrechtlichen Ansprüche darf aber nicht dem ausdrücklich geäußerten oder mutmaßlichen Willen des Verstorbenen widersprechen. Im Zweifel ist davon auszugehen, dass ein Geheimhaltungsinteresse des Patienten sich auf die Lebzeiten beschränkt.
Fühlt sich ein Patient in seinen Datenschtzrechten verletzt, so kann er sich u. a. an die zuständige Datenschutzaufsichtsbehörde wenden, die unentgeltlich tätig wird und die von sich aus umfassend Akteneinsicht nehmen kann. In Schleswig-Holstein ist das Unabhängige Landeszentrum für Datenschutz zuständig (weitere Infos hierzu s. u. XII).
Jeder Mensch und damit auch jeder Patient hat einen Anspruch auf Auskunft über die zu seiner Person gespeicherten Daten (auch soweit er sich auf seine Herkunft bezieht), über die Empfänger der Daten sowie den Zweck der Speicherung (§§ 19 Abs. 1, 34 Abs. 1 BDSG, § 27 LDSG SH). Der Auskunftsanspruch erstreckt sich auf alle beim Arzt bzw. bei der Klinik zur eigenen Person gespeicherten Daten, unabhängig, ob diese auf einem elektronischen (Festplatte, Diskette, Datenband, CR-ROM) oder einem konventionellen (Patientenakte, Liste, Tagebuch, Kartei) Datenträger gespeichert sind. Davon erfasst sind auch solche Daten, die in Sachakten oder in unter einem anderen Namen geführten Patientenakten enthalten sind. Im privaten Bereich kann im Einzelfall streitig sein, ob konventionell geführte Patientendaten dateimäßig verarbeitet werden, was Voraussetzung für die Anwendung des BDSG ist (§§ 3 Abs. 2, 27 BDSG). In jedem Fall werden über den Namen oder eine Nummer erschlossene Patientenakten vom BDSG erfasst, da diese gleichartig aufgebaut sind und nach bestimmten Merkmalen zugänglich sind und ausgewertet werden können.
Wird im Rahmen der Behandlung ein elektronisches Gerät eingesetzt, das sowohl Mess- (= Untersuchung) wie auch Wirkfunktionen (= Behandlung) hat, so hat der Patient nach § 6a Abs. 3 BDSG (vgl. § 27 Abs. 1 Nr. 6 LDSG SH, Art. 12 a. EU-DSRL) Anspruch auf "Auskunft über den logischen Aufbau der automatisierten Verarbeitung" der ihn betreffenden Daten, da es sich insoweit um ein "automatisiertes Verfahren" handelt.
Insbesondere bei elektronischer Datenspeicherung kann das Auskunftsrecht dadurch leerlaufen, dass Daten nicht mehr auf Anhieb lokalisierbar sind. Daher gehört es zu den Pflichten einer verantwortlichen Stelle, durch eine entsprechende Datenorganisation die personenbezogenen Daten eines Patienten ohne größeren Aufwand abrufen zu können.
Es besteht auch ein Anspruch gegenüber einem Krankenhaus oder einem Ärztekollektiv auf Angabe der behandelnden Ärzte, deren Privatanschriften und evtl. deren Dienstzeiten (BGH NJW 1983, 2075; BGHZ 85, 327). Dieser Grundsatz gilt auch hinsichtlich des Hilfspersonals, etwa einer Krankenschwester, derer sich der behandelnde Arzt bedient. Ein Auskunftsanspruch über den Namen eines Mitpatienten besteht nicht, da dieser für sich das Patientengeheimnis in Anspruch nehmen kann. I.d.R. ist es aber einem Krankenhaus zumutbar, zum Zweck einer Zeugenbenennung in einem Zivilrechtsstreit den anderen Patienten anzuschreiben und um Zustimmung zur Weitergabe von Namen und Anschrift zu bitten.
Der Auskunftsanspruch als Wahrnehmung des Selbstbestimmungsrechtes des Patienten besteht,ohne dassein besonderes Interesse erklärt oder nachgewiesen werden müsste. Unabhängig von der datenschutzrechtlichen Ableitung hat die Rechtsprechung das Auskunftsrecht über den Grundsatz von Treu und Glauben (§§ 157, 242 BGB) begründet, "wenn sich auf der Grundlage besonderer rechtlicher Beziehungen vertraglicher oder außervertraglicher Art die Situation ergibt, dass der Auskunftsbegehrende in entschuldbarer Weise über das Bestehen oder den Umfang seines Rechts im Ungewissen ist, während der Verpflichtete unschwer in der Lage ist, die Auskunft zu erteilen" (OLG Düsseldorf DuD 1991, 542; BGH NJW 1986, 424). Diese Konstellation ist geradezu typisch für das Verhältnis zwischen dem Arzt und dem Patienten.
Insbesondere im Rahmen der Gentechnikdebatte wurde auch ein "negatorisches Recht" in Bezug auf personenbezogene Daten entwickelt. Das Recht auf Nichtwissen als Recht, keine Informationen aufgedrängt zu erhalten und damit einhergehend die Ablehnung einer Pflicht zum Wissen sind die zwangsläufige Konsequenz der Patientenselbstbestimmung. Dieses Recht auf Nichtwissen gilt nicht nur im genetischen, sondern generell im medizinischen Bereich. Es basiert auf der Überlegung, dass das Wissen über gesundheitliche Verhältnisse das eigene Verhalten, Denken und Fühlen massiv beeinflussen kann und der Mensch die Wahlfreiheit haben muss, von einer solchen Beeinflussung frei leben zu können. Praktisch relevant ist dieses Recht insbesondere bei der Feststellung von Dispositionen zu nicht heilbaren Krankheiten.
Die verantwortliche Stelle bestimmt nach pflichtgemäßem Ermessen die Form der Auskunftserteilung. Dies ändert nichts an dem Umstand, dass die Auskunft eine Bringschuld der verantwortlichen Stelle darstellt. Die Auskunft wird i.d.R. schriftlich, bei entsprechender Bitte mündlich oder fernmündlich erteilt. Möglich sind auch sonstige Kommunikationsformen. Dabei werden die vorhandenen Daten zusammenfassend dargestellt in Bezug auf die Auskunftsfragestellung. Dem Auskunftsanspruch kann auch in der Form genügt werden, dass Einblick in die Patientenakte oder in den Datensatz gewährt wird oder dass eine Datenträgerkopie für den Betroffenen angefertigt wird (dazu unten V.). Voraussetzung für eine wirksame Auskunft ist, dass der Dateninhalt auf eine für den Patienten verständliche Weise dargestellt wird.
Eine Auskunft kann verweigert werden, soweit diese die ordnungsgemäße Aufgabenerfüllung der verantwortlichen Stelle gefährden würde oder die Daten, insbesondere wegen überwiegender berechtigter Interessen Dritter, geheim gehalten werden müssen (§§ 19 Abs. 4, 34 Abs. 4 BDSG;§ 27 Abs. 3 LDSG SH). Wenn sich in Patientenunterlagen Berichte oder Auskünfte von Dritten oder über Dritte befinden, gilt diesen Dritten gegenüber auch die ärztliche Schweigepflicht. Im Fall eines Auskunftsersuchens des Patienten sind diese Drittbetroffenen um eine schriftliche Einwilligung in die Einsichtnahme zu bitten, soweit die Angaben ein Geheimnis i.S.d. § 203 StGB darstellen. Erfolgt keine Entbindung von der Schweigepflicht, so darf insofern keine Auskunft gegeben werden.
Bestehen Gründe zur Auskunftsverweigerung zu einem bestimmten Zeitpunkt der Antragstellung, so können diese zu einem späteren Zeitpunkt weggefallen sein. Daher ist bei einem neuen Antrag bzw. bei einem zeitlich nicht bestimmten Antrag neu zu prüfen, ob die Gründe der Auskunftsverweigerung fortbestehen.
Die Auskunftsverweigerung muss grds. begründet werden, wobei sich aus der Begründung nicht die Inhalte der verweigerten Informationen ergeben dürfen (vgl. §§ 19 Abs. 5, 6 BDSG; § 27 Abs. 4 LDSG SH). Die Gründe müssen nach Art und Richtung gekennzeichnet werden, ohne dass dabei ins Detail gegangen werden müsste. Im Fall einer Auskunftsverweigerung kann der Patient sich an die zuständige Datenschutzaufsichtsbehörde wenden und deren Zulässigkeit prüfen lassen (s.u. XII.).
Die Auskunft ist in jedem Fall unentgeltlich zu erteilen (§§ 19 Abs. 7, 34 Abs. 5 S. 1 BDSG).
Eine besondere Form des Auskunftserteilung ist in § 28 Abs. 3 RöntgVO geregelt. Danach ist der untersuchten oder behandelten Person auf deren Wunsch eine Abschrift oder Ablichtung der Aufzeichnungen über die Anwendung von Röntgenstrahlen auszuhändigen. Wird ein Röntgennachweisheft vorgelegt, so sind die darin vorgesehenen Eintragungen vorzunehmen. Der Arzt ist verpflichtet, einen Röntgenpass bereit zu halten und dem Patienten diesen ausdrücklich anzubieten.
Die Akteneinsicht verfehlt ihre Informationsfunktion, wenn die Patientendaten auf eine Art und Weise festgehalten sind, die der Patient nicht versteht. Dies ist schon bei handschriftlichen Aufzeichnungen in Arztbriefen oder auf Karteikarten oft der Fall, z.B. wenn eine nicht verständliche Terminologie oder eine nicht bzw. nur für ein Eingeweihte lesbare Schrift verwendet wird. Dies gilt nicht nur bei konventioneller, sondern auch bei elektronischer Speicherung, wenn Abkürzungen oder Codes genutzt werden, deren Entschlüsselung dem Patienten nicht möglich ist. Dem Arzt obliegt im Rahmen von Treu und Glauben für den Patienten Lesbarkeit und Nachvollziehbarkeitherzustellen. Die inhaltliche Vermittlung kann auch in einem Arztgespräch hergestellt werden.
Einschränkungen des Einsichtsrechtes können sich aus speziellen Gesetzen ergeben. So erlaubt§ 9 Abs. 3 Gesundheitsdatenschutzgesetz Nordrhein-Westfalen das Zurückhalten subjektiver Daten nach ärztlichem Ermessen. Art. 27 Abs. 3 S. 4 Bayerisches Krankenhausgesetz (KHG) und § 27 Abs. 8 S. 3 Thüringer KHG enthalten die Möglichkeit einer Einschränkung hinsichtlich ärztlicher Beurteilungen oder Wertungen. § 36 Abs. 5 KHG Rheinland-Pfalz, § 29 Abs. 7 S. 4 Saarländisches KHG (SKHG) und § 33 Abs. 4 S. 2 Sächsisches KHG sehen vor, dass die Einsichtsgewährung in Krankenakten nur durch den behandelnden Arzt erfüllt werden dürfen. § 29 Abs. 7 S. 5 SKHG negiert ein Recht auf Auskunft und Akteneinsicht bei berechtigten Geheimhaltungsinteressen des Arztes oder Dritter. Soweit keine solche Regelungen bestehen, gelten die unten stehenden allgemeinen Erwägungen.
Auch dem psychisch Kranken steht ohne ein besonderes Interesse geltend machen zu müssen das Recht auf Akteneinsicht zu (BVerfG NJW 1999, 1777). Es gibt hier aber außerhalb des strengen Anwendungsbereiches der Datenschutzgesetze spezifische Ausnahmen. Hinsichtlich Unterlagen auspsychiatrischer Behandlung kommt der ärztlichen Entscheidung, ob eine Aushändigung an den Patienten medizinisch verantwortbar ist, besonderes Gewicht zu. Allerdings darf der Arzt die Einsicht nicht pauschal unter Hinweis auf ärztliche Bedenken verweigern. Er hat vielmehr die entgegen stehenden therapeutischen Gründe im Einzelfall nach Art und Richtung näher zu kennzeichnen, ohne dabei ins Detail gehen zu müssen. Es muss eine Abwägung zwischen dem aus dem Persönlichkeitsrecht abgeleiteten Anspruch des Patienten auf Wissen über Diagnose und Behandlung einerseits und medizinisch begründeten Patientenschutzinteressen andererseits erfolgen. Solche Schutzinteressen sind insbesondere gegeben, wenn infolge der Einsicht in die gesamte Akte eine Selbstgefährdung des Patienten droht. Darüber hinaus sind Interessen Dritter zu berücksichtigen, die in die Behandlung einbezogen worden sind. Der Arzt kann auch eigene Interessen an der Erhaltung der therapeutischen Handlungsfähigkeit oder des Eigenschutzes berücksichtigen. Bei noch nicht abgeschlossener Behandlung kann eine Verweigerung eher begründet werden als bei Befund-, Prognose- und Planungsdaten vor einer Behandlung und als in den Fällen einer u.U. seit Jahren abgeschlossenen bzw. abgebrochenen Behandlung. Wegen des "objektiven Charakters" von Arztbriefen, Befunden und Epikrisen können diese auch im Bereich der Psychiatrie nicht vom Einsichtsrecht ausgeschlossen werden. Bestehen die medizinischen Verweigerungsgründe bei Anwesenheit des behandelnden oder eines anderen Arztes bei der Akteneinsicht nicht, so muss vor der Verweigerung von dieser Möglichkeit Gebrauch gemacht werden.
In jedem Fall, auch bei psychiatrischen Unterlagen, muss bei der Einblicksverweigerung einInformationsparadox verhindert werden. Da das Einsichtsrecht auch ein Kontrollrecht ist, muss ausgeschlossen werden, dass der kontrollierte Arzt den Umfang seiner Kontrolle selbst bestimmen kann. Dies führt dazu, dass in jedem Fall eine unabhängige Instanz oder ein Arzt oder eine Person des Vertrauens durch Einsicht in relevante Arztakten eine Kontrolle durchführen darf.
Wenn ein Arzt Daten an Dritte übermittelt, ist er gehalten, den Patienten hierüber zu informieren. § 9 Abs. 2 S. 2 MBO-Ä sieht als Sollvorschrift eine Unterrichtung vor, wenn gesetzliche Vorschriften die ärztliche Schweigepflicht einschränken (z.B. Infektionsschutzgesetz, besondere Prüfungen nach SGB V). Eine Benachrichtigung ist dann nicht erforderlich, wenn der Patient auf andere Weise von der Speicherung oder Übermittlung Kenntnis erlangt hat (§ 33 Abs. 2 Nr. 1 BDSG). Da Patienten Kenntnis davon haben, dass bei gesetzlicher Krankenversicherung die Abrechnung gemäß dengesetzlichen Regelungen (§§ 295, 301 SGB V) erfolgt, ist eine Benachrichtigung in diesen Fällen nicht nötig. Erfolgt die Übermittlung auf Grund einer gesetzlichen Befugnis oder gar Verpflichtung, ohne dass der Patient damit rechnen kann, so muss eine Benachrichtigung nach § 33 BDSG bei einer Weitergabe an Private erfolgen. Erfolgt die Übermittlung an eine öffentliche Stelle, z.B. im Fall einer meldepflichtigen Krankheit nach dem Infektionsschutzgesetz oder im Fall einer Prüfung des Medizinischen Dienstes der Krankenkasse (§ 275 SGB V), so richtet sich die Benachrichtigungspflicht nach dem jeweils anwendbaren Recht. Insbesondere im allgemeinen Datenschutzrecht der Länder gibt es dem § 33 BDSG entsprechende Benachrichtigungspflichten (z.B. § 26 Abs. 3 LDSG SH).
Sperren ist "das Kennzeichnen personenbezogener Daten, um ihre weitere Verarbeitung oderNutzung einzuschränken" (§ 3 Abs. 4 S. 2 Nr. 4 BDSG, § 2 Abs. 2 Nr. 4 LDSG SH). Die Kennzeichnung kann bei elektronischer Datenverarbeitung technisch z.B. durch Ausblendung erfolgen oder durch eine inhaltliche Ergänzung des Datenfeldes. Bei konventioneller Datenspeicherung ist eine eindeutig erkennbare Markierung notwendig, aus der hervorgeht, dass die Daten grds. nicht genutzt werden dürfen. Die Nutzung der gesperrten Daten ist ohne Einwilligung des Patienten nur zulässig zu wissenschaftlichen Zwecken, zur Behebung einer bestehenden Beweisnot oder bei Unerlässlichkeit aus sonstigen im überwiegenden Interesse liegenden Gründen (§ 35 Abs. 8 BDSG, vgl. § 20 Abs. 7 BDSG, § 28 Abs. 4 LDSG SH).
Sind Daten sowohl elektronisch wie auch konventionell gespeichert, so besteht eineAufbewahrungsnotwendigkeit nur bzgl. des Mediums, mit dem der medizinischen Dokumentationspflicht genügt werden soll. Dies dürfte heute noch weitgehend die konventionelle (Papier-) Akte sein. Elektronische Speicherungen können und sollten früher gelöscht werden, zumal sich durch redundante Speicherungen die Missbrauchsrisiken erhöhen; dies gilt wegen des leichten Zugriffs- und Auswertungsmöglichkeiten insbesondere bei elektronischen Datenspeicherungen.
Wird einem Patienten durch eine unzulässige Verarbeitung seiner Daten ein Schaden zugefügt, so ist der Arzt bzw. die ärztliche Stelle dem Patienten gegenüber zum Schadensersatz verpflichtet. Eine Ersatzpflicht entfällt, wenn der Arzt nachweisen kann, dass er die nach den Umständen des Falles gebotene Sorgfalt beachtet hat (§ 7 BDSG). Während im privaten Bereich ein Anspruch mit einer ArtBeweislastumkehr besteht, gilt im öffentlichen Bereich weitergehend eine verschuldensunabhängige Ersatzpflicht (vgl. § 8 BDSG, § 30 LDSG SH). Ist ein Verschulden der Mitarbeiter der verantwortlichen Stelle nachweisbar, so kommt zusätzlich ein Anspruch nach § 823 BGB in Betracht.
Patienten stehen in einem gewissen Abhängigkeitsverhältnis zum Arzt. Daher ist es notwendig, dem Patienten zur Wahrnehmung seiner Datenschutzrechte unabhängige bzw. neutrale Unterstützungdurch Stellen zukommen zu lassen, die eine Prüfung des Anliegens und eine Beratung des Patienten vornehmen und Einwirkungsmöglichkeiten auf den Arzt haben, ohne dass sich dies im Rahmen der weiteren Behandlung nachteilig auswirkt. Es gibt insofern verschiedene Möglichkeiten, die parallel nebeneinander wahrgenommen werden können, wobei jedoch regelmäßig ein abgestuftes Vorgehen zu empfehlen ist.
Zunächst sollte sich ein Patient, soweit es einen betrieblichen bzw. behördlichen Datenschutzbeauftragten bei der ärztlichen Stelle gibt, an diesen wenden (§§ 4f, 4g BDSG, insbes.§ 4f Abs. 5 S. 2 BDSG, vgl. § 10 LDSG SH). Dieser ist wegen seiner Nähe zur ärztlichen Leitung am ehesten in der Lage, kostenfrei und unbürokratisch eine einvernehmliche Lösung bzw. Klärung herbeizuführen. Der Datenschutzbeauftragte ist zur Verschwiegenheit über die Identität des Betroffenen sowie über Umstände, die Rückschlüsse auf den Betroffenen zulassen, verpflichtet, soweit er nicht davon durch den Betroffenen befreit wird (§ 4f Abs. 4 BDSG).
Gelingt eine Klärung durch die verantwortliche Stelle selbst nicht, so kann ebenso unentgeltlich dieDatenschutzkontrollbehörde angerufen werden. Dies sind im nicht-öffentlichen Bereich die Aufsichtsbehörden der Länder nach § 38 BDSG; während diese Aufgabe in Süddeutschland vorrangig von den Innenverwaltungen wahrgenommen wird (Innenministerium, Bezirksverwaltungen), sind dies in den norddeutschen Staaten zumeist die Landesbeauftragten für den Datenschutz (vgl. § 39 Abs. 2 LDSG SH: Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein). Im öffentlichen Bereich erfolgt die Datenschutzkontrolle durchgängig durch die staatlichen Datenschutzbeauftragten (§§ 21, 24 BDSG; vgl. §§ 39 Abs. 1, 40 LDSG SH). Die ärztlichen Stellen sind verpflichtet, den Kontrollbehörden Auskunft und Akteneinsicht zu geben. Das Patientengeheimnis steht dem nicht entgegen. Wird ein Verstoß festgestellt, so kann eine Beanstandung ausgesprochen werden; im nicht-öffentlichen Bereich sind sogar weitergehende Sanktionen möglich. Der Patient hat gegenüber der Kontrollbehörde einen Rechtsanspruch auf Tätigwerden und auf Information über das Ergebnis. Welches Ergebnis festgestellt wird, liegt im gesetzmäßigen Ermessen der Kontrollinstanz.
Keine eigenen Ermittlungsmöglichkeiten, jedoch eine Vielzahl von rechtlichen Handlungsmöglichkeiten bis hin zur Befugnis als Verband zu klagen, haben dieVerbraucherzentralen. Diese sind seit kurzem bundesweit im Verbraucherzentrale Bundesverband e.V. (vzbv) zusammengeschlossen.

References: § 3
 § 203
 § 6
 § 422
 § 427
 § 4
 § 27
 § 6
 § 27
 Art. 12
 BGH 
 § 203
 § 27
 § 28
 Art. 27
 § 27
 § 36
 § 29
 § 33
 § 29
 § 9
 § 33
 § 33
 § 26
 § 2
 § 20
 § 28
 § 8
 § 30
 § 823
 § 10
 § 38
 § 39