Source: https://gesundheitsdatenschutz.org/doku.php/beispiel-datenschutzkonzept
Timestamp: 2019-06-26 06:08:50
Document Index: 352834768

Matched Legal Cases: ['§ 29', '§135', '§137', '§ 137', '§ 135', '§ 108', '§4', '§78', '§ 78']

Beispiel für ein Datenschutzkonzept - Gesundheitsdatenschutz
Beispiel für ein Datenschutzkonzept
2. Datenschutzrechtliche Rahmenbedingungen
3. Inhalt und Zweck des Konzeptes
4. Beteiligte, speichernde Stelle im Sinne des Datenschutzes
6. Beschreibung der personenbezogenen Daten und Angabe der jeweiligen Zweckbindung (Nutzungszweck)
6.1 Kundendaten / Patientendaten
6.2 Lieferantendaten
6.3 Mitarbeiterdaten
6.4 Aktionärsdaten
6.5 Mitgliederdaten
6.6 Personenbezogene Daten für Geschäftszwecke entsprechend § 29 BDSG
7. Verfahrensbeschreibung
8. Beschreibung der Gewährleistung von Betroffenenrechten
9. Verfahren zur Pseudonymisierung und Anonymisierung inklusive Risikoabschätzung
10. Beschreibung der technischen und organisatorischen Maßnahmen zum Datenschutz
10.2 Integrität
10.3 Verfügbarkeit
10.4 Authentizität
10.5 Revisionsfähigkeit
10.6 Transparenz
10.7 Trennungsgebot
Der Schutz der personenbezogenen Daten der Patienten des Krankenhauses …….. unterliegt der höchste Priorität. Das vorliegende Konzept beschreibt, wie Datenschutz im Krankenhaus …….. berücksichtigt und umgesetzt, gelebt wird. Bei …….. wird für die Datenverarbeitung nach folgendem Datenschutzkonzept verfahren:
der Integrität (z. B. Schutz vor vorsätzlicher oder fahrlässiger Verfälschung von Programmen oder der Manipulation von Daten),
gegliedert und geben mithin ein hohes Sicherheitsniveau vor. Die festgelegten Sicherheitsmaßnahmen gelten als Mindestanforderungen für …….. .
Das Erheben und Verarbeiten personenbezogener Daten ist im Bundesdatenschutzgesetz (BDSG) und im neueren Telemediengesetz (TMG) geregelt. Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (so genannter Betroffener).
Im Bereich des Krankenhauses gelten zusätzlich landesrechtliche Regelungen wie das Landesdatenschutzgesetz sowie bereichsspezifische Regelungen, die speziell für im Krankenhaus erhobenen Gesundheitsdaten konzipiert wurden.
Generell gilt, dass personenbezogene Daten nur verarbeitet werden dürfen, wenn gesetzliche Vorschriften dies ausdrücklich zulassen oder der Betroffene ausdrücklich eingewilligt hat. Die Einwilligung ist nur wirksam, wenn der Nutzer über die Tragweite des Verfahrens informiert wurde, dies heißt, welche Daten zu welchem Zweck in welcher Form gespeichert und verarbeitet werden und die Einwilligung nicht in anderen Erklärungen versteckt worden ist.
Im Sinne unserer Patienten ist es häufig sinnvoll, die Möglichkeit der Re-Pseudonymisierung für den Fall, dass sich in einer Studie für den Patienten relevante Erkenntnis zu seiner Erkrankung und/oder Therapie ergeben, zu ermöglichen. In diesen Fällen wird der Pseudonymisierung gegenüber der Anonymisierung der Vorzug gegeben.
Die beteiligte speichernde Stelle im Sinne des Datenschutzes ist …….. . Dieses wird durch den jeweiligen Vorstand vertreten, der die Geschäftsleitung darstellt. Zum Zeitpunkt der Erstellung dieses Konzeptes (……..) gehören dem Vorstand an:
…….., Ärztlicher Direktor
…….., Kaufmännischer Direktor
…….., Pflegedirektor
…….., Dekan der Medizinischen Fakultät
…….., Stellvertretender Ärztlicher Direktor.
Die Verantwortung für die Sicherheit und Ordnungsmäßigkeit der Datenverarbeitung liegt daher bei der Geschäftsführung.
Die …….., eingeschlossen ihrer Mitarbeiter /-innen und Subunternehmer, verpflichten sich zur Einhaltung von datenschutzrechtlichen Vorschriften. Die betroffenen Personen haben eine entsprechende Datenschutzerklärung zur Geheimhaltungspflicht unterzeichnet.
Bei den betroffenen Personenkreis handelt es sich um Patienten des …….. .
Bei den Daten handelt es sich einerseits um Daten des Patienten selbst (z.B. Geburtsdatum bzw. Alter zum Zeitpunkt der Aufnahme), andererseits um bei deren Diagnostik und Behandlung anfallende Daten als auch - überwiegend bei epidemiologischen Studien - um Ortsdaten (z.B. Geburtsort, -land, Wohnort, -land) der im Universitätsklinikum Düsseldorf betreuten Patienten. Die Daten werden zu Zwecken der
und der Qualitätssicherung
eingesetzt, entsprechend den Aufgaben, welche unser Krankenhaus zu erfüllen hat.
Die Rechtsgrundlage zur Nutzung der erhobenen Patientendaten zu Patientenversorgung, Lehre, Forschung und Qualitätssicherung bilden die nachfolgend genannten Gesetze.
§135a SGB V
§137 SGB V
Richtlinie gemäß § 137 Abs. 1 SGB V i. V. m. § 135 a SGB V über Maßnahmen der Qualitätssicherung für nach § 108 SGB V zugelassene Krankenhäuser
QM-System / Organigramm
Für automatisierte Verfahren sind nach §4 BDSG unter anderem
der wesentliche Inhalt,
die Ergebnisse der Vorabkontrolle.
die Technik mit Hard- und Software und
die Angaben zur Art der Verarbeitung sowie den Schutzmaßnahmen
in einer Verfahrensbeschreibung festzulegen und auf dem neuesten Stand zu halten.
Das Verfahrensverzeichnis wird vom Datenschutzbeauftragten geführt, per Dienstanweisung ist geregelt, dass alle Führungskräfte den Datenschutzbeauftragten bei der Führung des Verfahrensverzeichnisses größtmögliche Unterstützung geben.
Die Verfahren zur Pseudonymisierung und Anonymisierung werden nach dem jeweils nach dem aktuellen Stand der Technik durchgeführt.
Pseudonymisierung und Anonymisierung sind in der Regel immer dann notwendig, wenn Daten aus dem klinischen Informationssystemen extrahiert und weitergegeben werden, es sei denn, es existiert eine gesetzliche Grundlage, die dies anders regelt oder der Patient willigte in der Weitergabe seiner Daten ein.
Entsprechend den datenschutzrechtlichen Bestimmungen (z.B. §78a SGB X in Verbindung mit der Anlage zu § 78a) sind Maßnahmen zu treffen, die geeignet sind zu gewährleisten, dass
10.1.1 Zutrittskontrolle
Der Zugang zu den Räumlichkeiten ist nur autorisierten Personen möglich. Berechtigt sind alle Mitarbeiter/-innen …….. .
10.1.2 Zugangskontrolle
Der elektronische Zugang zu den Systemen …….. ist durch Firewall-Technologien geschützt. Der Zugang ist nach heutigen technischen Standards mittels VPN-Technologie und SSL-Verschlüsselung gesichert.
Zugangsdaten zur Administration und Wartung der Firewall-Dienste sind Administratoren und verantwortlichen Mitarbeitern des Vertragspartners UKD bekannt. Die Passwörter werden regelmäßig geändert.
10.1.3 Zugriffskontrolle
10.1.4 Weitergabekontrolle
10.2.1 Eingabekontrolle
10.2.2 Auftragskontrolle
10.3.1 Verfügbarkeitskontrolle
Die Daten werden vom Auftragnehmer, dem …….., entsprechend dem dort vorliegenden Backup-Konzept gesichert. Eine Kontrolle des Backups seitens …….. erfolgt nicht.
Die Authentizität der Daten ergibt sich aus den in den verschiedenen Informationssystemen implementierten Verfahren, die eine Authentizität gewährleisten, zusammen mit den Organisationskonzepten unseres Krankenhauses:
und das hier vorliegende Datenschutzkonzept.
Die Revisionssicherheit der erhobenen Daten wird gewährleistet durch:
Die Ordnungsmäßigkeit der Datenerhebung und –verarbeitung.
Die Vollständigkeit der administrativen und medizinischen Dokumentation.
Die Sicherheit des Gesamtverfahrens, gewährleistet durch die organisatorischen Maßnahmen sowie die entsprechenden Umsetzungen (Sicherheitskonzept).
Die Sicherung vor Verlust der Daten durch ein Backup-Konzept sowie dessen Umsetzung.
Die Gewährleistung, dass eine Nutzung der Daten nur durch Berechtigte erfolgt (Berechtigungskonzept).
Die Einhaltung der gesetzlich geforderten Aufbewahrungsfristen (Archivordnung).
Dokumentation der einzelnen Verfahren in entsprechenden Konzepten.
Die Nachvollziehbarkeit der Datenerhebung und –verarbeitung durch ein Protokollierungskonzept.
Dem Transparenzgebot wird durch dieses Datenschutzkonzept genügt, in dem die Methoden der Erhebung und Nutzung der Daten beschrieben wird. Einzelheiten zu den jeweiligen Studien werden in der jeweiligen Studiendokumentation festgehalten.
Zuletzt angesehen: • Beispiel für ein Datenschutzkonzept
beispiel-datenschutzkonzept.txt · Zuletzt geändert: 2014/09/25 17:48 (Externe Bearbeitung)