Source: https://www.datenschutz-recht-medizin.de/laborauftrag-arzt-datenschutzrecht/
Timestamp: 2019-02-18 08:37:07
Document Index: 321753045

Matched Legal Cases: ['§ 203', '§ 203', 'Art. 28', 'Art. 9', '§ 22', '§ 32', '§ 1', '§ 2', '§ 11', 'Art. 28', '§ 4', 'Art. 13', 'Art. 14', 'Art. 13', 'Art. 14', 'Art. 11', '§ 73', 'BGH', '§ 295', '§ 291', '§ 8', '§ 203', '§ 203', '§ 203', 'Art. 9', '§ 3', 'Art. 5', 'Art. 25', '§ 295', '§ 291', 'Art. 9', '§ 22', '§ 6', '§ 7', '§ 8']

Laborauftrag durch behandelnden Arzt, Datenschutzrecht und Kostenschuldner | Datenschutzrecht Seiler
Medizinischen Laboruntersuchungen und rechtliche Herausforderungen beim Laborauftrag
Es gehört zum Praxisalltag, dass behandelnde Ärzte Laborleistungen in Auftrag geben (Laborauftrag). Dabei sind Bestimmungen des Bundesdatenschutzgesetzes und des Bürgerlichen Gesetzbuches, aber auch der Berufsordnung (MBO-Ä) und der Gebührenordnung für Ärzte (GOÄ) aber auch des Strafrechts (StGB, ärztliche Schweigepflicht, § 203 StGB) zu beachten, um nicht erhebliche finanzielle Schäden zu erleiden. Bei der Auslegung und Anwendung dieser Bestimmungen helfen die Interpretationen durch die Rechtsprechung des Bundesgerichtshofes und durch die Datenschutzaufsichtsbehörden der einzelnen Bundesländer. Da es sich um die Interpretation von Bundesrecht handelt, kann das Verständnis einer Landesdatenschutzaufsichtsbehörde auch als Orientierungshilfe in anderen Bundesländern dienen.
Die DSK (Datenschutzkonferenz – Gremium der Datenschutzaufsichtsbehörden) hat in ihrem Kurzpapier 13 in Anhang B festgehalten, dass die Inanspruchnahme fremder Fachleistungen, z.B. von Berufsgheimnisträgern, § 203 StGB, wie Anwälte, Steuerberater oder Ärzte keine Auftragsverarbeitung nach Art. 28 DSGVO darstellt.
Die Landesdatenschutzaufsicht Bayern hat in einem FAQ-Papier zur DSGVO bestätigt, dass die Einschaltung eines Labors durch einen Arzt keine Auftragsverarbeitung ist. Rechtsgrundlage ist der Behandlungsvertrag, Art. 9 Abs. 2 h) DSGVO, § 22 Abs. 1 b) BDSG. Wenn das Labor von einem Berufsgeheimnisträger (z.B. Laborarzt, Transfusionsmediziner) geführt ist, benötigt der Einsender auch keine gesonderte datenschutzrechtliche Einwilligung für die Datenübermittlung an das Labor (wobei anzumerken ist, dass nach anderer, zutreffender Auffassung keine Datenübermittlung durch den Arzt vorliegt, sondern diese als Bote des Patienten tätig wird.) Siehe auch die FAQ zur Abgrenzung bei Auftragsverarbeitung.
Die Landesdatenschutzaufsicht Niedersachsen besteht ebenfalls in einem FAQ-Papier DS-GVO im Gesundheitsbereich zur Ziff. 11, dass medizinische Labore eine (im datenschutzrechtlichen Sinne) weisungsfreie Tätigkeit durchführen und daher kein Vertrag zur Auftragsverarbeitung erforderlich ist.
(Update 01.12.2018) Die der Auftragsverarbeitung immanente Weisungsgebundenheit ist der ärztlichen Tätigkeit wesensfremd, wie sich auch den nachstehenden rechtlichen Bestimmungen entnehmen lässt:
“Der ärztliche Leiter muss in dem medizinischen Versorgungszentrum selbst als angestellter Arzt oder als Vertragsarzt tätig sein; er ist in medizinischen Fragen weisungsfrei.“
§ 32 Ärztliche Zulassungsverordnung
(1) Der Vertragsarzt hat die vertragsärztliche Tätigkeit persönlich in freier Praxis auszuüben.
§ 1 MBOÄ Musterberufsordnung für die in Deutschland tätigen Ärztinnen und Ärzte i.d.F. 2018
Der ärztliche Beruf … ist seiner Natur nach ein freier Beruf.
§ 2 MBOÄ Allgemeine ärztliche Berufspflichten
Laborauftrag und Datenschutzrecht bei Laboruntersuchung
Der behandelnde Arzt kann den Laborarzt mit stillschweigender Vollmacht (sogenannte Innenvollmacht) des Patienten mit Laboruntersuchungen beauftragen. Der Vertrag über die Laboruntersuchung kommt also unmittelbar zwischen Patient und Laborarzt zustande, d.h. nicht der behandelnde Arzt schließt den Vertrag mit dem Labor sondern der Patient vertreten durch den behandelnden Arzt. Der behandelnde Arzt übermittelt die Patientendaten daher nicht selbst als verantwortliche Stelle, sondern als Vertreter des Patienten. Da es nicht zu einer Datenübermittlung durch den behandelnden Arzt im rechtlichen Sinne kommt, bedarf der behandelnde Arzt auch keiner datenschutzrechtlichen Einwilligung des Patienten. Es bedarf daher auch keines Vertrags zur Auftragsdatenverarbeitung nach § 11 BDSG bzw. zur Auftragsverarbeitung nach Art. 28 DSGVO. Bei der Erteilung von Laboraufträgen handelt es sich nicht um eine Auftrags(daten)verarbeitung weil es sich bei der laborärztlichen Tätigkeit um eine Tätigkeit „höherer Art“ eines Berufsgeheimnisträger handelt, die der strengen Weisungsgebundenheit der Auftragsdatenverarbeitung fremd ist.
Hinzu kommt die Informationspflicht nach § 4 Abs. 5 GOÄ, wenn die Abrechnung durch das Labor gegenüber dem Patienten erfolgen soll. Handelt es sich nicht um objektiv medizinisch notwendige Laboruntersuchungen, etwa weil die Untersuchungen bereits vom vorbehandelnden Arzt vorgenommen wurden, sich aus dem Ergebnis keine Behandlung ableiten lässt oder sie für die weitere Behandlung nicht notwendig sind, so handelt der das Labor beauftragende Arzt ohne Vollmacht. Die Folge ist, dass zwischen dem Patienten und dem Labor kein Vertrag zustande gekommen ist und das Labor keinen Kostenerstattungsanspruch gegen den Patienten hat. Unerheblich ist dabei, ob das Labor bzw. der Laborarzt die Notwendigkeit erkennen konnte, denn das ist Sache des behandelnden Arztes. Der Laborarzt hat in dem Fall dann einen Anspruch auf Schadensersatz gegen den behandelnden und ihn als Vertreter ohne „Vertretungsmacht“ beauftragenden Arzt. Ob er diesen Anspruch durchsetzen mag, ist dann eine Frage der Geschäftspolitik.
Empfehlung zum Datenschutz bei Laboraufträgen – Erfüllung der Informationspflichten nach DSGVO
Der behandelnde Arzt (Einsender) kann sich und auch die von ihm – im Namen des Patienten – beauftragten Labore in datenschutzrechtlicher Hinsicht absichern, in dem er den Empfehlungen der Datenschutzaufsicht folgend die Patienten über Folgendes informiert:
Welches konkrete Labor beauftragt wird, musste nach altem Recht erst auf Nachfragen mitgeteilt werden. Dies hat sich nach Art. 13 DSGVO geändert. Danach ist der konkrete Empfänger (sofern bekannt und absehbar, was bei Laboren typischerweise der Fall ist) zu bekennen, sonst die Kategorie von Empfängern (z.B. bei Speziallaboren). Wenn der Einsender von einem Labor im Rahmen der Dritterhebung Datenschutzinformationen zur Laboruntersuchung nach Art. 14 DSGVO erhält, kann der Einsender damit neben seinen eigenen Datenschutzinformationen nach Art. 13 DSGVO zugleich seine Informationspflichten erfüllen. Damit entfällt dann zugleich nach Art. 14 Abs. 5a) DSGVO die Pflicht des Labors zur nochmaligen Datenschutzinformation der Patienten, zu denen das Labor im Regelfall (außer bei Selbstveranlassern) keinen unmittelbaren Kontakt (und auch nicht die Postanschrift) hat. Zusätzlich kann man daran denken, dass auch nach Art. 11 Abs. 1 DSGVO keine Informationspflicht seitens der Labor gegenüber den Patienten besteht, deren Postanschrift ihnen fehlt. (Musterpatienteninfo, die an den jeweiligen Fall, die jeweilige med. Fachgruppe anzupassen sind: KBV-Muster: Patienteninformation Datenschutz; Landesdatenschutzaufsicht Niedersachen: Muster-Patienteninformationen, Landesärztekammer Hessen: Muster-Infoflyer
Um die allgemeine Information nicht ständig wiederholen zu müssen, bietet sich die Übergabe eines Datenschutzinfoblattes bei der Patientenaufnahme an (siehe FAQ unter Ziff 4), dessen Empfang z.B. im Zusammenhang mit der Einhaltung der Einwilligung nach § 73 SGB V abgefragt wird (auch wenn diese nicht speziell bei Laboraufträgen als nötig angesehen wird). Welche konkreten Laboruntersuchungen gemacht werden sollen, sollte dann im Patientengespräch erläutert werden.
Der BGH hat sich in den beiden Urteilen vom 14.01.2010 zu den Aktenzeichen III ZR 188/09 und III ZR 173/09 für die Auffassung entscheiden, dass der Patient seinen Arzt bevollmächtigt, stellvertretend für ihn ein Labor mit der Durchführung der Untersuchungen zu beauftragen, es also zu zwei parallelen Verträgen kommt und nicht zu einer Auftragskette. Dieses zivilrechtliche Ergebnis hat bei der datenschutzrechtlichen Bewertung die Konsequenz, dass rechtlich gesehen der Patient die Daten für die Laboruntersuchung an das Labor gibt (wenn auch faktisch vertreten durch den Arzt). Dann benötigt der einsendende Arzt aber auch keine datenschutzrechtliche Einwilligung des Patienten, um die Patientendaten an das Labor geben zu dürfen. Damit erübrigt sich auch die von der Datenschutzaufsicht in Schleswig-Holstein geforderte schriftlich (= handschriftliche Unterschrift auf Papier) Einwilligungserklärung des Patienten nach genauer vorangehender Aufklärung durch seinen Arzt über die genauen Umstände der Datenverarbeitung. Die aus Schleswig-Holstein vorgeschlagene pseudonyme Erteilung von Laboraufträgen, z.B. durch eine Patientennummer, die nur der Einsender einem Patienten zuordnen kann, ist schon aufgrund der sozialrechtlichen Vorschriften zur Abrechnung von ärztlichen Leistungen unzulässig, die u.a. die Aufzeichnung von Familienname und Vorname der Versicherten fordern, § 295 Abs. 1 Nr. 3 SGB V i.V.m. § 291 Abs. 2 Nr. 2 SGB V. Zudem ist das Labor nach §§ 8, 9 Infektionsschutzgesetz zur namentlichen Meldung bei bestimmten Infektionskrankheiten verpflichtet.
Update: Nach der Neuregelung des § 203 StGB vom 09.11.2017 bedarf es auch keiner Belehrung über die Strafbarkeit nach § 203 StGB, weil die Laborärzte und deren Mitarbeiter als berufsmäßig tätige Gehilfen sowie weiter mitwirkende Personen selbst der Strafbarkeit nach § 203 StGB unterliegen, vgl. Art. 9 Abs. 3 DSGVO.
Ob der Laborauftrag per physischem Auftragsschein erteilt wird oder (zusätzlich) elektronisch über ein Order/Entry-System per LDT (LDT 3.0, Labor Daten Transfer nach dem Datensatzstandard 2016 der Kassenärztlichen Bundesvereinigung) übermittelt wird, spielt für die datenschutzrechtliche Beurteilung aus Sicht des Einsenders keine Rolle. Welche Daten die Untersuchungsanforderung des Einsenders enthalten muss, ergibt sich grundsätzlich aus 6.1.3 der “Richtlinie der Bundesärztekammer zur Qualitätssicherung laboratoriumsmedizinischer Untersuchungen” (Fassung vom 20.06.2014, Dt. Ärztbl. Heft 38 19.09.2014, A1583ff) und wird in der Datensatzbeschreibung LDT 3.0 präzisiert.
Laborauftrag und pseudonyme Einsendung
(Update 20.08.2018)
Es gab die Idee einer Datenschutzaufsichtsbehörde aus 2003, dass bei Laboraufträgen das Probenmaterial (Blut, Stuhl, Urin, Gewebe) nur mit einer Auftragsnummer pseudonym an das medizinische Labor geschickt werden sollte, um dem Grundsatz der Datensparsamkeit und Datenvermeidung, § 3a BDSG a.F., genüge zu tun – jetzt Datenminimierung, vgl. Art. 5 Abs. 1c DSGVO, Art. 25 DSGVO. Hiergegen sprechen jedoch mehrere Gründe.
Medizinische Gründe: Zum Einen werden nähere Angaben zur Medikation, zum Alter, zum Geschlecht etc. benötigt, um die richtigen Referenzwerte anzusetzen und beurteilen zu können, ob ein bestimmtes Analysenergebnis im Normbereich liegt oder ein pathologischer Wert vorliegt.
Abrechnungsgründe: Zum Anderen sind die abrechnenden Ärzte des Labors nach § 295 Abs. 1 S. 1 Nr. 2. und Nr. 3 SGB V i.V.m. § 291 Abs. 2 Nr. 1 – bis 10 SGB V verpflichtet, in den Abrechnungsunterlagen die erbrachten Leistungen, die Diagnosen, sowie insbesondere
aufzuzeichnen und zu übermitteln. Damit liegt eine gesetzliche Pflicht zur Datenverarbeitung vor, die im Zusammenhang mit einem Vertrag mit einem Angehörigen eines Heilberufes steht und letztlich der Gesundheitsversorgung und Diagnostik dient, Art. 9 Abs. 2h) DSGVO, § 22 Abs. 1 b) BDSG.
Nach § 6 und § 7 Infektionsschutzgesetz (IfSG) besteht auch für das Labor, § 8 Abs. 1 Nr. 2 IfSG, eine Pflicht, bei bestimmten, vom Robert Koch Institut (RKI) festgelegten, hochansteckenden Infektionserkrankungen den zuständigen Gesundheitsämtern namentliche Meldungen zu senden. Auch hierin liegt eine gesetzliche Pflicht zur personenbezogenen Datenerhebung und Datenübermittlung, die gegen eine pseudonyme Probeneinsendung an die humanmedizinischen Labore spricht.
(aktualisiert am 31.07.2017, update am 20.08.2018, 01.12.2018)