Digitale Kommunikation in und durch Arztpraxen: Worauf achten?

Die Kommunikation in der Praxis, also unter den dort tätigen Personen und/oder von den dort tätigen Personen mit anwesenden Patientinnen und Patienten, findet naturgemäß in geschlossenen Räumlichkeiten und gewissermaßen geschützter Atmosphäre statt. Es versteht sich von selbst, dass dabei der Blick auf Monitore, Tablets, Smartphones etc. und erst recht der Zugriff auf Eingabegeräte den dazu Berechtigten – also den Ärztinnen und Ärzten der Praxis sowie dem Praxispersonal – vorbehalten und bestenfalls passwortgeschützt sein sollte. 

Allen an Kommunikationsvorgängen in und mit der Praxis Beteiligten ist vor Augen zu führen, dass der Umgang mit gesundheitsbezogenen Informationen in einem außerordentlich sensiblen Umfeld stattfindet und besonderer Umsicht bedarf. Patientinnen und Patienten sind über die Verwendung und Versendung ihrer Daten, also über Kommunikationsvorgänge und -wege, zu informieren – insbesondere dann, wenn die Daten in der Praxis erhoben und anschließend möglicherweise an Dritte (wie an die KV, Krankenkassen, Abrechnungsstellen oder den Medizinischen Dienst Bund) übermittelt werden. IT-Dienstleister oder andere Personen, die neben dem Praxispersonal in der Praxis tätig werden und mit Patientendaten in Berührung kommen können, sind explizit zur Verschwiegenheit zu verpflichten. 

Kommunikation nach außen

Allgemein sollte sichergestellt sein, dass sämtliche Kommunikationsvorgänge aus der Praxis heraus bewusst und zielgerichtet erfolgen und keinerlei Daten versehentlich oder durch unberechtigten Zugriff von außen die Praxis verlassen. Als Kommunikationspartner außerhalb der Praxis kommen regelmäßig andere Leistungserbringer im Gesundheitswesen (Arztpraxen, Krankenhäuser, Apotheken, Pflegedienste etc.) und die dort tätigen Personen in Betracht, dazu andere externe Dienstleister, also z. B. Labore, Abrechnungsstellen, IT-Berater und deren Mitarbeitende. In diesem Kontext ist noch wichtiger, dass den in der Praxis agierenden Personen bewusst ist, mit wem sie kommunizieren und zu welchem Zweck der Informationsaustausch erfolgt – um für jeden Kommunikationsvorgang aufs Neue entscheiden zu können, ob und inwieweit die Weitergabe von Daten notwendig oder gewünscht ist, in dem festgelegten Rahmen durchgeführt wird und abgesichert erfolgt. 

Auftragsverarbeitung

Im Zusammenhang mit digitaler Kommunikation werden oftmals oder sogar in der Regel Daten durch Dritte (Betreiber von Kommunikationsdiensten und -plattformen, Softwareanbieter, IT-Dienstleister o. Ä.) im Auftrag des Verantwortlichen gespeichert und verwendet. Ist dies der Fall, wird der Abschluss eines Vertrags zur Auftragsverarbeitung erforderlich, der die Einbindung der oder des Dritten sowie deren bzw. dessen konkrete Aufgaben beschreibt und den Vertragspartner zum sorgfältigen weisungsgebundenen Umgang mit den betroffenen Daten verpflichtet. 

Patientenkommunikation 

Auch für die Patientenkommunikation gilt natürlich, dass die Daten versendende Person weiß, mit wem sie es zu tun hat. Denn im Rahmen digitaler Kommunikation ist das Risiko, dass sensible Daten Unberechtigten zur Kenntnis gelangen, um ein Vielfaches höher als bei persönlichen Gesprächen, dem Datenversand per Post oder auch bei Telefonaten. Werden Daten aus der Praxis heraus als digitale Nachricht versandt, ist besonderes Augenmerk darauf zu richten, bei wem sie ankommen und wer auf dem Weg und am Ende der Übermittlung Zugriff darauf nehmen kann. 

Kommunikation per Telefax und E-Mail

In diesem Kontext stellte beispielsweise das in Praxen und Krankenhäusern jahrzehntelang standardmäßig genutzte Telefax nie einen sicheren Weg für die Übersendung patientenbezogener Informationen dar. Häufig war und ist unbekannt, auf welchem Gerät bzw. in welchem Raum ein versendetes Fax ankommt und wer dann darauf Zugriff hat. Zudem kann das versendete Datenpaket bei der Übertragung jederzeit abgefangen, eingesehen und manipuliert werden. Aus diesen Gründen ist die Übermittlung von Gesundheitsdaten per Fax heute als rechtswidrig anzusehen. 

Das gilt ebenfalls für die Verwendung gewöhnlicher E-Mail-Dienste. Nicht zu Unrecht werden E-Mails häufig mit Postkarten verglichen – theoretisch kann jede Person, die mit der Nachricht in Berührung kommt, ihren Inhalt zur Kenntnis nehmen. Beim Versand von Gesundheitsdaten ist eine besondere („Ende-zu-Ende-“)Verschlüsselung erforderlich. Nur die versendende und die empfangende Person dürfen Zugriff auf die Nachricht und ihren Inhalt haben. Eine gewöhnliche SSL-Verschlüsselung, wie sie die meisten Anbieter von E-Mail-Diensten standardmäßig gewährleisten, ist in diesem Kontext nicht ausreichend. Eine Ende-zu-Ende-Verschlüsselung kann durch geeignete Software erzeugt werden, die (ausschließlich) den beteiligten Parteien Schlüssel für die Kommunikationsteilnahme gewährt. So kann ein sicherer Informationsaustausch bereits daran scheitern, dass Sender und Empfänger nicht über die gleiche Software verfügen.

KIM und mehr

Neben der Anwendung von Verschlüsselungssoftware, der persönlichen Informationsübergabe und dem Informationsversand per Postbrief gewährleistet der Kommunikationsdienst KIM (Kommunikation im Medizinwesen) ein hohes Niveau der Datensicherheit. KIM ermöglicht es Praxen, medizinische Dokumente elektronisch und sicher über die Telematikinfrastruktur (TI) zu versenden und zu empfangen. Die Einrichtung und Nutzung dieses Dienstes sind eine Grundvoraussetzung für die Ausstellung der elektronischen Arbeitsunfähigkeitsbescheinigung (eAU) und für die Versendung elektronischer Arztbriefe (eArztbrief).

Exkurs: Der eArztbrief

Mit eArztbriefen erreichen wichtige Informationen zur Patientenbehandlung schnell, sicher und komfortabel andere Praxen. Seit Mitte 2024 sind Ärztinnen und Ärzte gesetzlich verpflichtet, eArztbriefe zumindest empfangen zu können. Der Versand erfolgt aus der Praxissoftware heraus mit einer qualifizierten elektronischen Signatur, dem digitalen Äquivalent zur handschriftlichen Unterzeichnung. Versand und Empfang sind über die GOP 86900 und die GOP 86901 EBM abrechenbar.

Zukunftsmusik: TI-Messenger und ePA

Wie der Dienst KIM ist auch der TI-Messenger (TIM) ein vom Gesetzgeber beschriebenes sicheres Verfahren zur Übermittlung medizinischer Daten über die Telematikinfrastruktur, das künftig einen geschützten Austausch sowohl von Textnachrichten als auch von Bildern und Tonaufnahmen zwischen Heilberuflern über eine App in Einzel- und Gruppenchaträumen gewährleisten soll. Versicherte können den Messenger nutzen, um Anfragen zu administrativen und medizinischen Themen direkt an Gesundheitsdienstleistende zu stellen, Termine zu vereinbaren und wichtige Befunde sowie Unterlagen sicher zu übermitteln. Krankenkassen sollen den TIM nutzen können, um individuelle Hinweise auf adäquate Versorgungsangebote bereitzustellen.
Schließlich bietet die Verwendung gesicherter Umgebungen wie z. B. virtueller privater Netzwerke (VPN) oder der aktuell in Erprobung befindlichen elektronischen Patientenakte (ePA) die Möglichkeit, gesundheitsbezogene Informationen auf 
sicherem Weg an Patientinnen und Patienten zu übermitteln und die Daten indirekt auch anderen Leistungserbringern zur Verfügung zu stellen, sofern die oder der Betroffene dem zustimmt. 

Rechtlicher Hintergrund: Gesetzliche Vorgaben

Bei der Kommunikation im Praxisalltag ist  – unabhängig davon, auf welchem Weg sie erfolgt – grundsätzlich in erster Linie die berufsrechtlich vorgegebene ärztliche Schweigepflicht zu beachten. Diese Vertraulichkeitspflicht betrifft alle Ärztinnen und Ärzte sowie deren Personal und umfasst sämtliche Informationen, die diesen Personen im Praxisbetrieb anvertraut oder anderweitig bekannt geworden sind. Sollen Daten einer Patientin oder eines Patienten Dritten zugeleitet werden, hat vorab eine Entbindung von der Schweigepflicht zu erfolgen  – am besten durch ausdrückliche Erklärung der betroffenen Person in Schrift- oder Textform.

Datenschutz: Oberstes Gebot

Zudem bestimmen die Vorgaben des Datenschutzrechts – vor allem der Datenschutzgrundverordnung (DSGVO) – maßgeblich die Gestaltung und Ausführung kommunikativer Vorgänge in der Arztpraxis. Danach darf eine Weitergabe personenbezogener Daten generell nicht ohne rechtliche Grundlage erfolgen. Jede Verwendung bzw. Versendung von Patientendaten bedarf einer ausdrücklichen Erlaubnis. 

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Eine lediglich mögliche Zuordnung ist dabei ausreichend. 

Gesundheitsdaten sind personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person beziehen (einschließlich der Erbringung von Gesundheitsdienstleistungen) und aus denen sich Informationen über deren Gesundheitszustand ableiten lassen. Solch sensiblen Daten misst der Gesetzgeber besondere Schutzwürdigkeit bei.

Datenschutz ist Datensicherheit

Datenschutz beginnt mit der Sicherstellung der Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit angewendeter Systeme und Dienste. Für Arztpraxen besteht daher – wie dargelegt – die allgemeine Pflicht zur Verschlüsselung elektronisch übermittelter Daten. Wo es möglich und sinnvoll ist, kommt alternativ eine Anonymisierung oder Pseudonymisierung der von Dritten (z. B. Laboren) zur Verfügung gestellten Daten infrage, wenn ein notwendiges Einverständnis fehlt.

Datensicherheit ist vor allem durch die Implementierung sog. „technischer und organisatorischer Maßnahmen“ i. S .v. Art. 32 DSGVO sicherzustellen. Welche Maßnahmen erforderlich und angemessen sind, ist dabei im Einzelfall unter Berücksichtigung technischer Möglichkeiten, entstehender Kosten und einer Risikobeurteilung zu ermitteln. Hinsichtlich der Datenverarbeitung und -versendung in Arztpraxen bestehen aufgrund der besonderen Bedeutung der betroffenen Daten hohe Anforderungen.

Beherrschbare Risiken

Da die Nutzung des Internets zu Kommunikationszwecken immer auch (beherrschbare) Einfallstore für „schwarze Schafe“ öffnet, sollten Praxisinhaberinnen und -inhaber Konzepte zum Schutz vor Datenverlust durch „Cyber-Kriminalität“ entwickeln. Dazu gehören die Inanspruchnahme entsprechender Beratung, die Verwendung schützender Software und deren ständige Aktualisierung genauso wie regelmäßige Datensicherungen und die Sensibilisierung und Schulung der in der Praxis tätigen Personen. Zudem empfiehlt es sich, den Versicherungsschutz der Praxis zu überprüfen und ggf. die Berufshaftpflichtversicherung zu ergänzen oder eine Zusatzversicherung zum Thema Cyber-Kriminalität abzuschließen.

Keine Datenweitergabe ohne Rechtsgrundlage

Die in jedem Fall erforderliche rechtliche Grundlage zur Datenübermittlung kann sich z. B. unmittelbar aus einem Gesetz ergeben. In diesem Kontext sind etwa § 294 SGB V zur Datenübermittlung aus der Praxis heraus an Krankenkassen oder § 201 SGB VII zur Datenübermittlung aus der Praxis heraus an gesetzliche Unfallversicherungen zu nennen.

Darüber hinaus kann die Berechtigung zur Datenverarbeitung aus vertraglichen Vereinbarungen resultieren. Der mit den Patientinnen und Patienten abgeschlossene Behandlungsvertrag betrifft für gewöhnlich jedoch lediglich das Innenverhältnis zwischen der oder dem Behandelnden und der Patientin bzw. dem Patienten. Abgesehen von dem Recht zur Abrechnung erbrachter ärztlicher Leistungen gewährt der Vertrag regelmäßig keine Berechtigung dazu, Patientendaten an Stellen außerhalb der behandelnden Praxis zu übermitteln. 

Daher ist für eine solche Übermittlung in aller Regel eine Einwilligung der oder des Betroffenen erforderlich. Um eine solche Einwilligung abgeben zu können, muss die betroffene Person über die beabsichtigten kommunikativen Vorgänge umfassend informiert worden sein. Die Einwilligungserklärung sollte ausdrücklich eingefordert und in verkörperter Form nachweisbar abgegeben werden. Sie ist jederzeit widerrufbar. 

Verantwortlichkeit, Regelverstöße und Konsequenzen

Verantwortlich für den rechtlich zulässigen und angemessenen Umgang mit allen in der Praxis verarbeiteten und aus ihr heraus versendeten Daten sind am Ende die Praxisinhabenden. Mitarbeitende einer Praxis werden der Sphäre der oder des Verantwortlichen zugerechnet, haben die beschriebenen rechtlichen Vorgaben aber natürlich genauso zu beachten wie die Verantwortlichen selbst. Entsprechend sind sie zur Vertraulichkeit und Geheimhaltung zu verpflichten. 

Anzumerken bleibt, dass die zu gewährleistende Vertraulichkeit der Kommunikation auch strafgesetzlichen Schutz genießt. So schützt beispielsweise § 201 des Strafgesetzbuchs (StGB) die Vertraulichkeit auch des in Arztpraxen gesprochenen bzw. übermittelten Wortes. § 203 StGB erfasst die „Verletzung von Privatgeheimnissen“ und statuiert ein Offenbarungsverbot für Ärztinnen und Ärzte in Bezug auf „fremde Geheimnisse“. Darunter wiederum sind alle Informationen zu verstehen, die ein Arzt-Patienten-Verhältnis hervorbringt – auch die Information darüber, dass sich eine Person bei einer Ärztin oder einem Arzt in medizinischer Behandlung befindet. Offenbart ist ein solches Geheimnis bereits dann, wenn es an eine andere Person gelangt. Ob die „geleakte“ Information tatsächlich zur Kenntnis genommen wird, ist strafrechtlich betrachtet irrelevant.