Source: http://mit-sicherheit-gut-behandelt.de/digitale-arztpraxis/einsatz-von-dienstleistern.html
Timestamp: 2017-07-25 20:35:05
Document Index: 273680744

Matched Legal Cases: ['§ 203', '§ 11', '§ 11', '§ 9', '§ 203', '§ 203', '§ 203', '§ 203', '§ 203', '§ 11']

PraxisorganisationDigitale ArztpraxisSicherer und datenschutzgerechter IT-EinsatzIT-Nutzung bei gemeinschaftlicher BerufsausübungArzt im InternetE-MailElektronische GesundheitskarteElektronische DokumentationEinsatz von DienstleisternSelbstcheckNutzung Sozialer NetzwerkeBehandlungsdokumentationÜbermittlung an DritteÄnderungen im PraxisbetriebMusterWeitere Informationen
Die in den Praxen eingesetzte Hard- und Software bedarf, um sie technisch und funktional auf einem aktuellen Stand zu halten, der Betreuung und Systempflege. Häufig wird dabei auf entsprechende Dienstleister zurückgegriffen, die vor Ort oder im Rahmen einer Fernwartung notwendige Arbeiten ausführen. Bei diesen handelt es sich nicht um berufsmäßig tätige Gehilfen. Werden Patientendaten im Rahmen der Fernwartung außerhalb der Einrichtung des medizinischen Leistungserbringers, beispielsweise bei einer EDV-Firma, gespeichert, unterliegen sie dort zudem nicht mehr dem besonderen Schutz der ärztlichen Schweigepflicht und des § 203 StGB.
Ein reibungsloses Funktionieren der eingesetzten IT-Systeme erfordert jedoch eine fachkundige Betreuung und Wartung, um deren Funktionsfähigkeit zu erhalten und eine sichere und vertrauenswürdige Informationstechnik zu gewährleisten. Dies liegt mit Blick auf die Behandlungssicherheit und -qualität auch im Interesse der Patienten.
Die zunehmende Komplexität von IT-Lösungen führt dazu, dass dies im Regelfall nicht durch die Praxisinhaber selbst geleistet werden kann. Für eine datenschutzkonforme Beauftragung externer Stellen mit der Systembetreuung und Wartung ist diese über eine vertragliche Vereinbarung, die den Anforderungen nach § 11 Abs. 5 BDSG Rechnung trägt, abzubilden. Die datenschutzrechtliche Verantwortung verbleibt hierbei beim Auftraggeber, d.h. dem Arzt oder Psychotherapeuten. Art und Umfang der übertragenen Tätigkeiten sowie die übrigen in § 11 Abs. 2 BDSG angesprochenen Punkte sind in einer schriftlichen Vereinbarung festzulegen. Besonderes Augenmerk gilt dabei der Sicherung von Praxisdaten beim Auftragnehmer und beim Zugriff auf die IT-Systeme der Praxis (vgl. die Maßnahmen nach § 9 BDSG).
Externe Zugriffe auf die Praxissysteme, wie sie im Rahmen einer Fernwartung erfolgen, dürfen nur mit Wissen und Billigung des Arztes/Psychotherapeuten vorgenommen werden. Ein Zugriff ohne Kenntnis des Praxisinhabers ist auszuschließen, z.B. dadurch, dass ein Zugang erst nach Freischaltung durch die Praxis eröffnet wird. Technisch ist sicherzustellen, dass externe Zugriff erst nach einer verlässlichen Authentifizierung der zugreifenden Stelle (z.B. Benutzerkennung/Passwort) und über eine geschützte (verschlüsselte Verbindung) erfolgen.
Zeitpunkt und Umfang der im Rahmen einer Fernwartung durchgeführten Arbeiten müssen hinreichend nachvollzogen werden können. Dabei muss insbesondere erkennbar sein, von wem zu welchem Zeitpunkt auf welche Daten zugegriffen wurde bzw. welche Arbeiten vorgenommen wurden.
Für die im Rahmen einer KV-SafeNet-Anbindung eingesetzten Anschlusskomponenten (Router)besteht regelmäßig die Möglichkeit, einen Zugriff von Außen – z.B. durch den jeweiligen IT-Dienstleister für Wartungszwecke – zuzulassen oder zu verbieten. Je nach eingesetztem Produkt werden entsprechende Zugriffe aufgezeichnet. Den Umfang der bei der von Ihnen eingesetzten Lösung dazu vorhandenen Funktionen und deren Einstellungsmöglichkeiten können Sie über Ihren KV-SafeNet-Anbieter erfahren.
Mit Blick auf die dem Arztgeheimnis nach § 203 StGB unterliegenden Daten sollte bei der Einbindung von Dienstleistern nach der Art der Wartungsarbeiten unterschieden werden:
Arbeiten, die keinen Zugriff auf personenbezogene Daten erfordern (z.B. Installations- und Konfigurationsarbeiten, die Überwachung von Systemzuständen, das Auslesen von Fehlerprotokollen oder die Aktualisierung von System- oder Anwendungsprogrammen). Hier ist eine Wartungsvereinbarung im Allgemeinen unproblematisch.
Arbeiten, die mit einem Zugriff auf personenbezogene Daten verbunden sind, bei denen es sich jedoch nicht um Patientendaten, bzw. durch § 203 StGB geschützte Daten handelt (z.B. die Einrichtung und Verwaltung der Benutzer des Praxissystems, die Vergabe von Zugriffsrechten oder das Auslesen von Zugriffsprotokollen). Hier sollten in der Wartungsvereinbarung Regelungen zum Umgang des Dienstleisters mit den Daten getroffen werden (Verschwiegenheitspflicht, Löschung).
Arbeiten, die einen Zugriff auf durch § 203 StGB geschützte Daten erfordern. Diese sind datenschutzrechtlich nur zulässig, wenn der Arzt über eine Offenbarungsbefugnis verfügt. Ohne eine solche stellen Zugriffe von Dienstleistern auf Patientendaten einen Verstoß gegen § 203 StGB dar.Eine sichere und vertrauenswürdige Informationstechnik und der Erhalt der Funktionsfähigkeit der in der Praxis eingesetzten IT-Systeme liegt auch im Interesse der Patienten. Unter der Voraussetzung einer ausreichenden Information kann davon ausgegangen werden, dass die Patienten mit dem Abschluss des Behandlungsvertrags konkludent in eine fachkundige Betreuung und Wartung durch eine externe Stelle eingewilligt haben.
Angesichts der schwierigen Situation und der bestehenden Rechtsunsicherheit vieler Praxisinhaber hat die Konferenz der Datenschutzbeauftragten des Bundes und der Ländern in einer Entschließung vom Oktober 2013 gefordert, dass für die zunehmende Einschaltung technischer Dienstleister durch Leistungserbringer, insbesondere niedergelassene Ärztinnen und Ärzte, angemessene datenschutzgerechte gesetzliche Regelungen verabschiedet werden müssen. Die Dringlichkeit dieser Forderung wird mittlerweile durch eine Entscheidung des Landgerichts Flensburg vom 05.07.2013 (Az. 4 O 54/11) belegt. In dem Urteil wird die Beauftragung eines externen Dienstleisters mit der Betreuung und Wartung eines Praxisverwaltungssystems durch einen niedergelassenen Arzt als Verstoß gegen die ärztliche Schweigepflicht und zugleich als nicht behebbarer Sachmangel der Arztpraxis gewertet, sofern die Möglichkeit des Zugriffs auf Patientendaten für den Dienstleister nicht ausgeschlossen ist. Damit wird erstmals gerichtlich bestätigt, dass eine nicht mit der Schweigepflicht vereinbare Hinzuziehung externer Dienstleister konkrete Auswirkungen für den Praxisbetreiber haben kann. Es ist zu erwarten, dass diese zunächst nur zivilgerichtlich getroffene Bewertung auch von den Strafgerichten übernommen wird, sofern betroffene Patienten in einem derartigen Fall eine Strafanzeige nach § 203 StGB stellen. Aufgrund dessen besteht ein akuter gesetzgeberischer Handlungsbedarf.“
Wurde ein schriftlicher Vertrag zur Datenverarbeitung im Auftrag abgeschlossen ?
Erfüllt dieser die Vorgaben des § 11 BDSG?
Bedürfen Fernwartungszugriffe einer vorherigen Freigabe/Freischaltung?
Ist der im Rahmen der Wartung genutzte Online-Zugang hinreichend abgesichert (z.B. Benutzerkennung/Passwort, Token-Lösung etc.)?
Wird die Kommunikationsverbindung verschlüsselt?
Sind die durchgeführten Wartungsarbeiten bzw. die erfolgten Zugriffe nachvollziehbar?
Werden erfolgte Online-Zugriffe nachträglich auf Plausibilität geprüft?
Deutsches Ärzteblatt: Fernwartung medizinischer EDV-Systeme
Vertragsmuster zur Fernwartung
Informationsblatt zur Beauftragung Externer für Systembetreuung und Wartung
Materialien: Sicherheit und Datenschutz in der Medizin
Entschließung der 86. Datenschutzkonferenz "Stärkung des Datenschutzes im Sozial- und Gesundheitswesen"
Artikel ÄrzteZeitung "Datenhüter fordern Schutzprogramm für Gesundheitsdaten"