Praxis: Wieso Datenschutz Chefsache werden muss

Herr Sobau, Sie sagen, viele Praxen schlampern beim Datenschutz, wie kommen Sie darauf?

Markus Sobau: Stellen Sie sich vor, ein scheinbar fürsorglicher Ehemann ruft in der Praxis an, um sich nach den Terminen seiner Frau zu erkundigen. Er sagt, sie selbst habe keine Zeit. Eine Fachangestellte gibt ihm die Termine telefonisch. Ein Szenario, das in vielen Praxen alltäglich ist – aber schwere Konsequenzen mit sich bringen kann.

Inwiefern?

Markus Sobau: In diesem Konkreten Fall ist der Anrufer ein Stalker, der seiner vermeidlichen Frau auf dem Parkplatz auflauert. Die Patientin wird belästigt und verletzt. Sie klagt gegen die Praxis und fordert Schmerzensgeld. Der Fall ruft zudem den Landesbeauftragten für Datenschutz auf den Plan. Vor Gericht geht es schließlich um mehrere 10.000 Euro Strafe und Schmerzensgeld.

Das klingt plausibel, aber wie können sich Ärzte und Zahnärzte gegen Kriminelle schützen?

Markus Sobau: Der Terminkalender an der Rezeption, das ausgedruckte Rezept und ein voller Aktenschrank: All das wird schon sehr bald Geschichte sein. In zwei Jahren soll vom Rezept bis hin zur Krankenakte alles nur noch digital existieren. Das stellt Praxen in ganz Deutschland vor die lange hinausgezögerte und gefürchtete Datenschutzherausforderung. Um Ärzten, Apothekern und Therapeuten den Umstieg leichter zu machen, habe ich einen Datenschutzstandard für Heilberufe erstellt, an dem sich Praxen entlang hangeln können. Der Prüfkatalog umfasst 75 Fragen.

Wenn sich Praxen um ihren Datenschutz kümmern, gibt es Geld vom Staat, ist das richtig?

Markus Sobau: Ja, aufgrund der Wichtigkeit unterstützt das Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) Praxen, die sich bezüglich Anforderungen der DSGVO beraten lassen: Mit bis zu 80 Prozent Kostenbeteiligung können Praxen-Inhaber rechnen. So dass am Ende im Schnitt 800 Euro Selbstkosten übrig bleiben. Die staatlichen Gelder sollen anspornen, den Datenschutz aufzuarbeiten, bevor er durch Sanktionen und Beschlüsse mit Druck und Halbwissen in den Praxen umgesetzt wird. Dass das Thema politische Brisanz hat, verdeutlicht der Baden-Württembergische Landesbeauftragter für Datenschutz, Dr. Stefan Brink. Er sagt: „Gesundheitsdaten sind die sensibelsten Daten, die wir besitzen. Es gilt sie ausnahmslos zu schützen“.

Sie nennen vier Baustellen, die den Digitalisierungsprozess und damit den Datenschutz im Heilwesen aufgehalten haben. Welche sind das?

Markus Sobau: 1.) In Krisenzeiten gilt Funktion vor Schutz. Es ging während der Pandemie darum, den Alltag aufrecht zu erhalten – koste es was es wolle. Datenschutz nimmt da eine zweitrangige Position ein. Im Heilwesen rückten daher Digitalisierungsaufforderung und Datenschutz-Marathon in den Hintergrund.

2.) Als sich die Corona-Situation eingespielt und gelockert hat, kommt das unschöne Erwachen für viele Praxen: Die Zeit rennt, um intern von analog auf digital zu wechseln. Viele haben die Auflagen noch nicht umgesetzt. Aber die Verordnungen sind da, schon seit 2018. Das Thema ist nicht neu oder gar kurzfristig aufgekommen. Die scheinbar lange Zeitspanne von knapp sechs Jahren bis zum Umsetzungszeitpunkt 2024, sowie die unerwartete Krisenlage, haben dazu geführt, dass der Prozess verschleppt wurde.

3.) Während der Pandemie ist der Datenschutz liegen geblieben, der Fokus lag auf der Krisenbewältigung. Jetzt kontrollieren die Behörden aber umso genauer und die Bußgelder sind wieder höher. So etwa bei der Software zur digitalen Sprechstunde. Während in pandemischen Zeiten lediglich zählt, dass Ärzte und Therapeuten Patienten weiterhin betreuen, fordert die Kassenärztliche Bundesvereinigung ein Zertifikat für Online-Beratungstools. Auch den Bestimmungen der DSGVO wird wieder nachgegangen – und Sanktionen sollen zur schnelleren Umsetzung führen.

Und 4.) Das aktuell wohl größte Problem liegt im Engpass an Wissen und Zeit. Durch die Sanktionen sind Praxisinhaber gezwungen, schnell von Papier auf digital umzusteigen. Durch den coronabedingten Personalmangel ist der Prozess noch schwerer umsetzbar. Denn ein Therapeut oder Arzt, der wenig Angestellte hat und Termine selbst abarbeitet, hat weder Zeit noch Kopf für Umstrukturierungen.

Wie haben sie den Prüfkatalog entwickelt?

Markus Sobau: Ich habe mit meiner Stuttgarter Gesellschaft Consularis testweise mehr als 100 Praxen verschiedenster Fachrichtungen bundesweit nach dem neuen Datenschutzstandard begutachtet. Eingeflossen ist dabei die Expertise von weiteren Datenschützern und Juristen. Mit dem 75 Fragen umfassenden Katalog können Praxen nun herausfinden, was sie richtig machen und wo nachzuarbeiten ist. Der Katalog setzt bei gesetzlichen Pflichtunterlagen und Datenschutzdokumenten an. Sind diese Basics nicht vorhanden, lohnt es sich, ein komplettes Datenschutzkonzept für die jeweilige Praxis zuschneiden zu lassen.

Welchen Tipp können Sie Praxen bezüglich des Datenschutzes geben?

Markus Sobau: Eine Praxis, die selbst Abrechnungen schreibt, sollte einen größeren Fokus auf Software-Sicherheit legen als eine Praxis, die für Rechnungen einen Dienstleister beauftragt. Auch die bundesweit 40 Prozent der Praxen, die noch keine digitale Terminbuchung anbieten, haben andere Anforderungen an den Datenschutz als Praxen mit Server- oder Cloud-Nutzung. Zusätzlich zum Fragenkatalog sollte ein Vor-Ort-Termin vereinbart werden. Nur so können Experten sehen, ob etwa Warte- und Behandlungsbereiche im Sinne des Kundenschutzes gestaltet sind. Ist der aktuell an noch vielen Standorten fehlende Datenschutzstandard erreicht, kann er durch jährliche Audits leicht erhalten bleiben. Dafür gibt es einen Service, der zeigt, wo Anpassungen notwendig sind. Im Idealfall liegen weder in der Praxis selbst noch vom Gesetzgeber Änderungen vor und alles bleibt beim Alten. Dann lassen sich auch langfristig Vorfälle, wie der des Stalkers auf dem Praxis-Parkplatz, vermeiden.

Zur Person

Datenschutzexperte Markus Sobau zeigt auf, wie ein sensibler Umgang mit Patientendaten im Zuge der staatlich angeordneten Digitalisierung gelingt – unter Einhaltung der Datenschutz-Grundverordnung (DSGVO).