Gesundheits­daten in der Cloud

Oft herrscht Unsicherheit, welche Vor­­schrif­ten mit Blick auf die verarbeiteten Daten überhaupt zu beachten sind. Es gelten für personenbezogene Daten andere Regeln als für nicht personen­bezogene Daten. Krankenhäuser, Kranken­kassen und DiGA-Hersteller müssen unterschiedliche Anforderungen beachten und erfüllen.

Zu den zentralen Berufspflichten von Ärzten gehört die Schweigepflicht. § 203 StGB stellt das Patientengeheimnis unter straf­rechtlichen Schutz. Die Offenbarung von Geheimnissen ist den Angehörigen medizinischer Berufe daher nur unter besonderen Voraussetzungen gestattet.

Mit wem muss ein Auftrags­­­verarbeitungs­­vertrag gemäß DSGVO geschlossen werden? Daten­übermittlungen in Dritt­länder ohne Angemessenheits­­­beschluss sind zudem nur bei Vorliegen geeigneter Garantien zulässig.

Gesundheits- und Sozialdaten sind auf­grund ihrer gesetzlichen Bewertung Daten mit einem hohen Schutzniveau. Die bei der Verarbeitung dieser Daten getroffenen technischen und organisa­torischen Maßnahmen müssen dieses Schutzniveau widerspiegeln.

Viele Landes­krankenhaus­gesetze schrän­ken die Weitergabe von im Kranken­haus erhobenen Daten der Patienten ein. Diese Einschränkungen gelten vielerorts auch für den Einsatz von Auftrags­verarbeitern.

Für Sozialdaten gelten besondere Vor­schrif­ten. Eine davon ist § 80 SGB X. Der besagt u.a., dass keine Auftrags­verarbeitung in einem Drittstaat erfolgen darf, für den kein Angemessenheits­beschluss gem. Art. 45 DGSVO vorliegt.

Auch für digitale Gesundheits­­an­wen­dungen (DiGA) gelten mit Blick auf die Verarbeitung personen­bezogener Daten besondere Anforderungen, die in der DiGAV geregelt werden. Die strenge Auslegung der gesetzlichen Vorschriften durch das BfArM führt bei Herstellern zur Verunsicherung.

Kritische Infrastrukturen i.S.d. BSIG müssen besondere Anforderungen an die Sicher­heit in der Informationstechnik erfüllen.

Aufsichtsbehörden äußern sich häufig skeptisch und restriktiv im Zusammenhang mit Dienstleistern, die Konzern­­verbin­dun­gen in ein Drittland haben. Mit dieser Verunsicherung gilt es zu umzugehen.