Source: https://www.ds-law.eu/homeoffice-arztpraxis-corona-krise/
Timestamp: 2020-08-04 08:35:31
Document Index: 323362920

Matched Legal Cases: ['§ 9', '§ 203', 'Art. 29', '§ 203', 'Art. 32', '§ 22', 'Art. 28', 'Art. 32', 'Art. 33', 'Art. 83', '§ 43', 'Art. 30', 'Art. 13', '§ 3', '§ 3']

Homeoffice, Arztpraxis und Corona-Krise - DS Law
Startseite/Arbeitsrecht, Datenschutzrecht, IT-Recht, Strafrecht/Homeoffice, Arztpraxis und Corona-Krise
Updates des Artikels mit weiteren Hinweisen von Aufsichtsbehörden und weiteren arzt(datenschutz)rechtlichen Besonderheiten finden Sie online auf meiner Blog-Seite.
Aus aktuellem Anlass – Corona Pandemie und Covid 19 Bekämpfung – hat die Arbeit im Homeoffice bei den Arbeitsplätzen, bei denen es überhaupt möglich ist, sie in die privaten vier Wände zu verlagern, eine enorme Bedeutung erlangt. Im Gesundheitsbereich ist dies z.B. bei Begutachtung, Befundung, Arztbriefen, Abrechnungen, Terminvereinbarungen-/Absagen, Videosprechstunden etc. vorstellbar, also dort, wo kein unmittelbarer Patientenkontakt erforderlich ist.
Trotz aller Eile und wirtschaftlicher Notwendigkeit, statt in der Praxis im Homeoffice zu arbeiten, sind jedoch einige Dinge vertraglich zu regeln, Gesetze zu befolgen und Folgen eventueller Regelverstöße oder Datenschutzpannen zu bedenken.
Nachfolgend erhalten Sie einen Überblick über einige wichtige Punkte, die Sie bei der Einrichtung und dem Betrieb von Arbeiten im Homeoffice beachten sollten.
Sofern Gesundheitsdaten von Ärzten und deren Mitarbeitern oder sonstigen mitwirkenden Dritten (z.B. IT-Dienstleistern) verarbeitet werden, unterliegen diese Daten dem Berufsgeheimnisschutz (Arztgeheimnis), welches sowohl im ärztlichen Berufsrecht (Standesrecht, § 9 MBOÄ) als auch im Strafgesetzbuch, § 203 StGB, geregelt ist. Berufsgeheimnisträger, also der Arzt, der IT-Dienstleistungen derart in Anspruch nimmt, dass die Kenntnisnahme von Patientendaten durch den IT-Dienstleister nicht ausgeschlossen ist, macht sich potentiell strafbar, wenn er den IT-Dienstleister nicht auf dessen gesetzlich neu geregelte Strafbarkeit im Falle der Verletzung des Arztgeheimnisses belehrt und entsprechend – zu Beweiszwecken schriftlich – verpflichtet. Die BITKOM hat hierzu zusammen mit einigen ärztlichen Berufsverbänden Informationen zusammengestellt und ein Muster entwickelt, welches ggf. auf den konkreten Fall anzupassen ist.
Es ist wichtig zu verstehen, dass beide rechtlichen Aspekte parallel betrachtet und geregelt werden müssen. Sofern nach der Art der Datenverarbeitung (im wesentlichen streng weisungsabhängig) eine Auftragsverarbeitung vorliegt, muss diese um datenschutzkonform zu sein, vor der ersten Datenverarbeitung in einem Vertrag zur Auftragsverarbeitung nach Art. 29 DSGVO geregelt werden. Wenn dabei Gesundheitsdaten für einen Berufsgeheimnisträger (z.B. Arzt, Apotheker, Psychologe) verarbeitet werden, muss parallel der Dienstleister durch den Berufsgeheimnisträger zur Wahrung des Berufsgeheimnisses nach § 203 Abs. 4 Satz 2 Nr. 1 StGB verpflichtet werden, um sich nicht strafbar zu machen. Leider ist der Aspekt in vielen Standardverträgen (zur Auftragsverarbeitung, AVV) von IT-Dienstleistern, auch solchen, die auf Leistungen für die Gesundheitsbranche spezialisiert sind, nicht enthalten. Dann muss vor Inanspruchnahme der IT-Leistung nicht nur der Vertrag zur Auftragsverarbeitung geschlossen werden, sondern eine Zusatzvereinbarung zur Verpflichtung auf das Arztgeheimnis getroffen werden. Diese muss der IT-Dienstleister auch durch entsprechende Verpflichtung seiner Mitarbeiter in die Praxis umsetzen.
Die technischen und organisatorischen Anforderungen, Art. 32 DSGVO, § 22 Abs. 2 BDSG, an die Arbeit und den Arbeitsplatz im Homeoffice sollten generell in einer Homeoffice-Richtlinie und sofern ein Betriebs- oder Personalrat besteht einer Betriebsvereinbarung festgelegt werden.
Da Homeoffice arbeitsvertraglich nicht zwingend angeordnet werden kann, bedarf es einer Vereinbarung mit den Mitarbeitern, die Fragen von Arbeitszeit, Datenschutz, IT-Sicherheit, IT-Ausstattung, Kostenerstattung etc. regelt.
VPN-Verbindungen auf Grundlage der BSI-Empfehlungen mit Zwei-Faktoren-Authentifizierungen sollten Standard sein (IT-Grundschutz NET.3.3 VPN – vgl. ISi-Reihe des BSI). Telefon- und Videokonferenzen sollten ohne unberechtigte Zuhörer erfolgen. Die eingesetzten Messenger, Telefon- und Videokonferenzsysteme sind vom Arbeitgeber vorzugeben, wobei entsprechende Verträge zur Auftragsverarbeitung, Art. 28 DSGVO, mit der Vereinbarung von technisch-organisatorischen Maßnahmen, Art. 32 DSGVO, abzuschließen sind. (vgl. Empfehlungender LDA Baden-Württemberg zur datenschutzfreundlichen Kommunikationsmöglichkeit)
Informationen zur Telearbeit im Homeoffice stellen die Datenschutzaufsichtsbehörden bereit, z.B. für Rheinland-Pfalzund Schleswig-Holstein.
Sofern die Nutzung von US-Dienstleistern nicht zu vermeiden ist, müssen diese zumindest dem EU-US-Privacy-Shieldunterliegen. Generell ist bei Dienstleistern aus Drittstaaten ein der EU vergleichbares Sicherheitsniveau vertraglich durch den Abschluss von EU-Standardvertragsklausel (EU-Model-Clauses oder auch DPA – Data Processing Addendum genannt) geboten.
Sofern entgegen der gesetzlichen oder vertraglichen Vorgaben gehandelt wurde, sind die Verstöße schnellstmöglich zu heilen und die erforderliche Dokumentation „nachzuziehen“. Sofern sich bei der Aufarbeitung herausstellt, dass dabei Daten unrechtmäßig in der Weise verarbeitet wurde, dass unberechtigte Dritte Zugriff darauf hatten, sollte die Meldung einer Datenpanne, nach Art. 33 DSGVO, geprüft werden. Das Unterlassen der Meldung kann nach Art. 83 Abs. 4a DSGVO zu einem Bußgeld von bis zu 10 Mio. Euro oder 2 % des Jahresgesamtumsatzes führen. Nach § 43 Abs. 4 BDSG dürften die bei der Meldung einer Datenpanne übermittelten Informationen nicht in einem Bußgeldverfahren genutzt werden.
Nicht vergessen werden sollte das intern zu erstellende Verarbeitungsverzeichnis, Art. 30 DSGVO, „Homeoffice“ und die Erfüllung der Informationspflicht nach Art. 13 DSGVO gegenüber den Mitarbeitern (und sonstigen Kommunikationspartnern – z. B. durch Verlinken von Datenschutzhinweisen bei Einladungsmails zu Telefon-/Videokonferenzen).
Der Mustervertrag zur Auftragsverarbeitung des Bundesdatenschutzbeauftragten sieht in § 3 Abs. 9 vor, dass der Auftragsverarbeiter die übernommenen Tätigkeiten nur mit vorherigen ausdrücklicher schriftlicher Zustimmung des Verantwortlichen in Homeoffice erledigen lassen darf, was die Festlegung angemessener technischer und organisatorischer Maßnahmen voraussetzt. Ähnliche Regelungen dürften sich in vielen Outsourcingverträgen mit IT-Dienstleistern finden. (vgl. Ziff. 6.5 aktuelles Muster zur AVV in EU/EWR der LDA Baden-Württemberg)
Entsprechendes gilt für die örtliche Beschränkung der Verarbeitung in der EU (vgl. § 3 Abs. 8 des Mustervertrages zur AVV). (vgl. Ziff. 9.1 aktuelles Muster zur AVV in EU/EWR der LDA Baden-Württemberg)
Rechtsanwalt David Seiler, 09.04.2020 (aktualisiert 15.04.2020)
Von David Seiler| 2020-04-16T15:48:25+02:00 15. April 2020|Arbeitsrecht, Datenschutzrecht, IT-Recht, Strafrecht|