Kitabı oxu: «Datenschutz im Krankenhaus»

VI Durch die DS-GVO bedingte Änderungen

Die sog. DS-GVO ist seit einiger Zeit in aller Munde. Ihr vollständiger Titel lautet:

»Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27.04.2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG« ( EU -Datenschutz-Grundverordnung – DS-GVO).

Inkrafttreten

Ihre Erarbeitung hat lange gedauert, was bei 88 Seiten Umfang und 173 Erwägungsgründen nicht verwundert.

Am 04.05.2016 wurde sie sodann im Amtsblatt der Europäischen Union verkündet. Die Verkündung bedeutete jedoch nicht, dass alles, was auf diesen 88 Seiten an datenschutzrechtlichen Vorgaben enthalten ist, sofort bei jedem Krankenhausträger bekannt oder gar direkt umgesetzt werden musste. Die DS-GVO ist zwar am 20. Tage nach ihrer Veröffentlichung in Kraft getreten, was sich aus Art. 99 DS-GVO ergibt, beansprucht jedoch erst seit dem 25.05.2018 Geltung, mithin zwei Jahre später. Der europäische Verordnungsgeber hatte eine Übergangsfrist geregelt, damit die notwendigen Anpassungen in den Mitgliedstaaten vorgenommen werden konnten.

Unmittelbare Geltung

Seit Mai 2018 gilt die Verordnung in allen ihren Teilen verbindlich und auch unmittelbar in jedem Mitgliedstaat.

Notwendige Umsetzungen sind von Richtlinien bekannt. Diese überlassen den innerstaatlichen Stellen die Wahl der Form und der Mittel, was sich aus Artikel 288 Abs. 3 des Vertrages über die Arbeitsweise der Europäischen Union (AEUV) ergibt. Eines solchen Umsetzungsaktes bedarf es gem. Art. 288 Abs. 2 AEUV bei Verordnungen nicht. Diese gelten direkt.

Als »Grund«-Verordnung regelt die DS-GVO allerdings – wie der Name sagt – vieles nur dem Grunde nach. Sie beinhaltet eine Vielzahl von Öffnungsklauseln, die wiederum dem nationalen Gesetzgeber einen Spielraum eröffnen. Konsequenz für den deutschen Gesetzgeber ist daher jedoch auch, dass ein erheblicher Anpassungsbedarf besteht. Das gesamte Datenschutzrecht von bundesrechtlichen sowie landesrechtlichen Vorschriften muss/musste auf seine Vereinbarkeit hinsichtlich der DS-GVO überprüft und entsprechend bereinigt werden.¹⁵⁹ An dieser Umsetzung arbeiten die Gesetzgeber sowie entsprechenden Landesbehörden nach wie vor.¹⁶⁰

Hintergründe

Bereits im Jahre 1995 gab es eine europäische Datenschutzrichtlinie.¹⁶¹ Diese hatte die Harmonisierung der Vorschriften zum Schutz der Grundrechte und Grundfreiheiten natürlicher Personen bei der Datenverarbeitung sowie die Gewährleistung des freien Verkehrs personenbezogener Daten zwischen den Mitgliedsstaaten zum Ziel.

Die aktuelle DS-GVO ersetzt diese Richtlinie aus dem Jahre 1995. Durch sie soll nunmehr eine weitere Harmonisierung des Europäischen Datenschutzrechts durchgeführt werden. Vordringlichstes Ziel ist es dabei, das Datenschutzrecht innerhalb Europas stärker zu vereinheitlichen. Als weiteres Ziel der Reform ist die Modernisierung des Datenschutzrechts zu nennen, insbesondere bessere Antworten auf die Globalisierung und datenschutzrechtliche Herausforderungen zu geben, die die zunehmende Digitalisierung und das Internetzeitalter mit sich bringen.¹⁶²

Dass dies eine äußerst schwierige Aufgabe ist, liegt auf der Hand. Eine Fülle von Einzelinteressen sowohl im Europäischen Parlament als auch von den 28 Regierungen der EU-Mitgliedsstaaten sind unter einen Hut zu bringen.¹⁶³

Inhalte

Als Ergebnis dieser Gratwanderung steht nun eine nicht nur langatmige, sondern auch abstrakte und teilweise sehr allgemein gefasste und damit unklare Verordnung.

Ihre Anwendung auf den Krankenhausbereich ist an mancher Stelle schwierig. Zudem sind es die deutschen Krankenhausträger gewohnt, mit sehr genauen datenschutzrechtlichen Vorgaben zu arbeiten, die speziell auf die deutschen Krankenhäuser zugeschnitten sind. Wie sich dieser Wandel auswirken wird, bleibt abzuwarten.

1 Informationspflichten gegenüber Patienten im Krankenhausbereich auf der Grundlage der Art. 12 ff. DS-GVO

Die DS-GVO gilt seit dem 25.05.2018 unmittelbar in Deutschland und bedingt zahlreiche Änderungen in datenschutzrechtlicher Hinsicht. Aus diesem Grunde wird nachfolgend dargestellt, welche Anforderungen seitdem hinsichtlich »Informationspflichten gegenüber betroffenen Personen«, sprich Patienten, im Krankenhausbereich gelten.

Vorab sei erwähnt, dass diese »neuen« Informationspflichten wesentlich detailliertere und umfangreichere Informationspflichten enthalten und insofern deutlich über die bis zum 25.05.2018 geltenden Informationspflichten (gemäß § 4 Abs. 3 BDSG bzw. den entsprechenden Regelungen in den Landeskrankenhausgesetzen) hinausgehen.

Dies bedingt, dass der bislang seitens der Krankenhäuser verwendete sog. »Hinweis auf Datenverarbeitung«¹⁶⁴ nicht mehr Verwendung finden sollte, sondern vielmehr den Informationspflichten in der nachfolgenden Form Rechnung getragen werden sollte.

1.1 Kirchliche Krankenhausträger

Hinsichtlich der Krankenhausträger in kirchlicher Trägerschaft ist zu beachten, dass sowohl die evangelische als auch die katholische Kirche entsprechende Regelungen erlassen haben, um den Einklang mit der DS-GVO herzustellen.

Die 12. Synode der evangelischen Kirche in Deutschland hat auf ihrer 4. Tagung zum 15.11.2017 ein Kirchengesetz beschlossen (Kirchengesetz über den Datenschutz der Evangelischen Kirche in Deutschland (EKD-Datenschutzgesetz – DSG-EKD)), das die durch die DS-GVO bedingten Änderungen weitestgehend umsetzt.

Ebenso sind für den katholischen Bereich in der Fassung des einstimmigen Beschlusses der Vollversammlung des Verbandes der Diözesen Deutschlands vom 20.11.2017 Neuregelungen des kirchlichen Datenschutzgesetzes (Gesetz über den kirchlichen Datenschutz – KDG) erfolgt.

Von der grundsätzlichen Ausrichtung her ist festzustellen, dass die kirchlichen Vorschriften stark an die Regelungen der DS-GVO angelehnt sind, weshalb die Ausführungen für die kirchlichen Träger im Wesentlichen entsprechend gelten. Weitere Einzelheiten bzw. Besonderheiten finden sich nachfolgend im Text bzw. auch in der Musterformulierung.

1.2 Rechtliche Grundlagen

Grundlegend zu den sog. »Betroffenenrechten« – wobei der Begriff des »Betroffenenrechts« in der DS-GVO / dem DSG-EKD / dem KDG nicht definiert wird – führt Art. 12 DS-GVO / § 16 DSG-EKD / § 14 KDG in ein eigenständiges Kapitel »Rechte der betroffenen Person« (DS-GVO / DSG-EKD) / »Informationspflichten des Verantwortlichen und Rechte der betroffenen Person« (KDG) ein. Die Regelung verpflichtet den Verantwortlichen zur Ergreifung geeigneter Maßnahmen für eine transparente Informationspolitik und zur Erleichterung der Rechtsausübung seitens der betroffenen Person.¹⁶⁵

Dabei ergibt sich die grundsätzliche Informationspflicht bei der Erhebung von personenbezogenen Daten bei/von der betroffenen Person aus Art. 13 DS-GVO / § 17 DSG-EKD / § 15 KDG und, sofern die personenbezogenen Daten nicht direkt bei der betroffenen Person erhoben werden, aus Art. 14 DS-GVO / § 18 DSG-EKD / § 16 KDG.

Ergänzend dazu finden sich Ausführungen in den Erwägungsgründen 60, 61 sowie 62.

1.3 Hintergrund

Ausweislich des Erwägungsgrundes 11 gehört die Stärkung und präzise Festlegung der Rechte der betroffenen Personen zu den Kernanliegen der DS-GVO. Insofern bilden die »neuen« Informationspflichten die Grundlage für die Ausübung der sog. Betroffenenrechte, Art. 15 ff. DS-GVO / §§ 19 ff. DSG-EKD / §§ 17 ff. KDG. Nur wenn die Personen (Patienten) wissen, dass personenbezogene Daten über sie verarbeitet werden, können sie ihre Rechte auch ausüben.¹⁶⁶

Gemäß Erwägungsgrund 60 machen es die Grundsätze einer fairen und transparenten Verarbeitung erforderlich, dass die betroffene Person über die Existenz des Verarbeitungsvorgangs und seine Zwecke unterrichtet wird. Der Verantwortliche sollte der betroffenen Person alle weiteren Informationen zur Verfügung stellen, die unter Berücksichtigung der besonderen Umstände und Rahmenbedingungen, unter denen die personenbezogenen Daten verarbeitet werden, notwendig sind, um eine faire und transparente Verarbeitung zu gewährleisten.¹⁶⁷

1.4 Zeitpunkt der Information

Art. 13 Abs. 1, 2 DS-GVO / § 17 Abs. 2 S. 1 DSG-EKD / § 15 Abs. 1, 2 EKD schreibt die entsprechenden Informationen »zum Zeitpunkt der Erhebung dieser Daten« vor.

Aus der Würdigung von Art. 13 Abs. 2 e) DS-GVO / § 17 Abs. 2 Ziff. 4 DSG-EKD / § 15 Abs. 2 e) KDG wird deutlich, dass die Information ergehen muss, bevor der eigentliche Erhebungsvorgang, also der tatsächliche Datenfluss, einsetzt.¹⁶⁸

Dies ergibt sich auch aus einer Literaturmeinung, wonach die Informationspflichten – nach ihrem Zweck – vor Beginn der Datenerhebung erfüllt werden müssen. Dies liege darin begründet, dass die Informationen der betroffenen Person auch ermöglichen sollen, darüber zu entscheiden, ob sie in die Verarbeitung ihrer Daten einwillige bzw. ob sie hiergegen Einwände erhebe. Dieser Zweck würde bei einer Information nach Beginn der Datenerhebung verfehlt oder zumindest beeinträchtigt.¹⁶⁹

Für den Krankenhausbereich dürfte dies eine Information der betroffenen Patienten im Rahmen der Aufnahmesituation bedeuten.

1.5 Form und Darstellung der Information¹⁷⁰

Zunächst lässt sich feststellen, dass Art. 13 DS-GVO / § 15 KDG keine Form- bzw. Darstellungshinweise enthält. Da Art. 12 DS-GVO / § 14 KDG als eine Art »Grundnorm« gewertet werden kann, die das Kapitel III. »Rechte der betroffenen Person« (DS-GVO) / »Informationspflichten des Verantwortlichen und Rechte der betroffenen Person« (KDG) als »Abschnitt 1. Transparenz und Modalitäten« (DS-GVO) / »Informationspflichten des Verantwortlichen« (KDG) eröffnet, ist auf Art. 12 DS-GVO / § 14 KDG Rückgriff zu nehmen.

Konkrete Regelungen diesbezüglich finden sich in Art. 12 Abs. 1, 7 und 8 DS-GVO / 16 Abs. 1, § 17 Abs. 1 DSG-EKD / § 14 Abs. 1 KDG. Danach muss der Verantwortliche geeignete Maßnahmen treffen, um den betroffenen Personen alle Informationen, die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln.

Dabei erfolgt die Übermittlung der Information schriftlich oder in anderer Form, ggf. auch elektronisch, Art. 12 Abs. 1 S. 2 DS-GVO / § 14 Abs. 1 S. 2 KDG. Sofern von der betroffenen Person verlangt, kann die Information auch mündlich erteilt werden, Art. 12 Abs. 1 S. 3 DS-GVO / § 14 Abs. 1 S. 3 KDG. Diesbezügliche Vorgaben finden sich in dem DSG-EKD nicht.

Fraglich ist, wie dies in der Praxis umgesetzt werden könnte. Da der »Zugang« (»leicht zugängliche Form« in Art. 12 Abs. 1 S. 1 DS-GVO / § 16 Abs. 1 DSG-EKD / § 14 Abs. 1 S. 1 KDG) distanzierter zu verstehen ist als die unmittelbare »Bereitstellung« oder »Beifügung«¹⁷¹, dürften auch andere Formen einer »Übermittlung« zulässig sein.

Zulässig sein dürften damit folgende Darstellungsformen, wobei stets auf eine klare und einfache Sprache zu achten ist:

• ein deutlich sichtbarer und gut lesbarer Aushang in angemessener Größe in der Aufnahme bzw. an der Stelle, an der die Aufnahme tatsächlich stattfindet,

• ein Abdruck auf gesonderten Blättern, die in der Aufnahme deutlich sichtbar ausgelegt werden,

• ein Abdruck auf gesonderten Blättern, die zusammen mit anderen Dokumenten ausgehändigt werden,

• ein Anhang zum Behandlungsvertrag,

• ein Abdrucken auf den Rückseiten des Behandlungsvertrages o.ä.

Demgegenüber dürfte ein Verweis auf die Homepage des Krankenhausträgers zu einer Abrufmöglichkeit nicht mehr als ausreichend zu erachten sein. Werden Daten im Rahmen der Aufnahmesituation erhoben und dem Patienten direkt zur Verfügung gestellt, erscheint ein Verweis auf die nach der DS-GVO bestehenden Informationspflichten in Form eines Hinweises auf die Homepage des Krankenhausträgers als nicht angemessen. Der Patient müsste zunächst – mit welchem Medium auch immer – die Homepage aufrufen, um die entsprechenden Informationen einsehen zu können. Damit würde ein zusätzlicher Schritt eingefügt, der als den Patienten einseitig belastend gewertet werden könnte. Außerdem ist zu bedenken, dass etwa ältere Patienten, die sich derartiger Medien gar nicht bedienen / bedienen können, die Informationen nicht erhalten könnten. Ergänzende bzw. vertiefende Hinweise auf der Homepage sind zweifelsfrei zulässig.

Verfahrensablauf/Prozessbeschreibung

Zu welchen Auswüchsen die Unsicherheiten im Zusammenhang mit der rechtskonformen Umsetzung der DS-GVO teilweise geführt haben, verdeutlicht der »Beschluss der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder« (DSK) vom 05.09.2018 zum Thema »Ablehnung der Behandlung durch Ärztinnen und Ärzte bei Weigerung der Patientin oder des Patienten, die Kenntnisnahme der Informationen nach Art. 13 DS-GVO durch Unterschrift zu bestätigen«.¹⁷²

Darin hatten sich die Datenschutzaufsichtsbehörden des Bundes und der Länder vehement dagegen ausgesprochen, dass Ärzte oder andere Angehörige von Gesundheitsberufen die Behandlung ablehnen oder die Verweigerung der Behandlung androhen, wenn Patienten die Informationen nach Art. 13 DS-GVO nicht mit ihrer Unterschrift versehen. Eine solche Praxis sei – so die Datenschützer – nicht mit der DS-GVO vereinbar. Die Informationspflicht nach Art. 13 DSGVO bezwecke lediglich, dass den Patienten die Gelegenheit gegeben werde, die entsprechenden Informationen einfach und ohne Umwege zu erhalten. Sie oder er müsse diese jedoch nicht zur Kenntnis nehmen, wenn sie oder er dies nicht möchte.

Um seinen Nachweispflichten gegenüber der Aufsichtsbehörde nachzukommen, könne der Verantwortliche das Aushändigen der Information vermerken oder einen konkreten Verfahrensablauf betreffend die Umsetzung der Informationspflicht dokumentieren, aus dem hervorgehe, wie die Patientin oder der Patient die Informationen im Regelfall erhalte.

Übertragen auf den Krankenhausbereich bedeutet dies, dass folgende Punkte wichtig sind:

• Den Patienten ist lediglich die Gelegenheit zu geben, die entsprechenden Informationen einfach und ohne Umwege zu erhalten.

• Es steht den Patienten frei, die Informationsblätter liegen zu lassen, nicht mitzunehmen oder bei Übergabe/Aushändigung zurückzugeben.

• Es bedarf keiner Unterschrift/Gegenzeichnung durch den Patienten.

• Im Hinblick auf die Umsetzung der Nachweispflicht kann entweder ein Vermerken des Aushändigens der Information durch die Aufnahmekraft (im KIS) erfolgen oder eine Dokumentation/Beschreibung des konkreten Verfahrensablaufs, wie die Umsetzung der Informationspflicht in der Regel in dem jeweiligen Krankenhaus erfolgt (Prozessbeschreibung).

1.6 Notwendige Informationen im Einzelnen

Nachfolgend werden im Rahmen eines Überblicks die notwendigen Informationen im Einzelnen dargestellt, woran sich die Darstellung eines Musters anschließt, welches für die Umsetzung im Krankenhausbereich in der Praxis verwendet werden kann.

1.6.1 Informationspflichten gem. Art. 13 Abs. 1 DS-GVO / § 17 Abs. 1 DSG-EKD / § 15 Abs. 1 KDG

Als Besonderheit der evangelischen Kirche ist diesbezüglich darzustellen, dass § 17 Abs. 1 (und auch Abs. 2) DSG-EKD darauf abstellt, dass die verantwortliche Stelle der betroffenen Person die Informationen »auf Verlangen« mitteilt. Eine regelhafte Bereitstellung der Informationen wie bei den katholischen und auch weltlichen Krankenhäusern kann selbstverständlich erfolgen.

a) Angabe des Namens und der Kontaktdaten des Verantwortlichen sowie gegebenenfalls des Vertreters, Art. 13 Abs. 1 a) DS-GVO / § 15 Abs. 1 a KDG

Da es sich bei einem Krankenhausträger als dem Verantwortlichen nicht um eine natürliche Person handelt, könnte die Nennung des Firmennamens gem. § 17 Abs. 1 HGB vorliegend ausreichend sein, mithin der übliche Briefkopf des Krankenhausträgers.

Allerdings müssen die Angaben so detailliert sein, dass eine Kontaktaufnahme ohne Schwierigkeiten möglich ist. Insofern ist hierbei ebenfalls eine Nennung der Kontaktdaten notwendig. Kontaktdaten sind unter anderem

• die Postadresse,

• Telefon- und Faxnummer,

• E-Mail-Adresse,

• Social-Media-Präsenz etc.¹⁷³

Da mit dem in Art. 13 Abs. 1 a) DS-GVO (und wohl auch in § 15 Abs. 1 a KDG) genannten »Vertreter« nicht etwa der Prokurist oder der Geschäftsführer gemeint sind, sondern eine in der Union niedergelassene Person im Sinne von Art. 27 DS-GVO (»Vertreter von nicht in der Union niedergelassenen Verantwortlichen oder Auftragsverarbeitern«), dürfte dessen Nennung vorliegend entbehrlich sein.

§ 17 Abs. 1 Ziff. 1 DSG-EKD führt diesbezüglich »den Namen und die Kontaktdaten der verantwortlichen Stelle« an, weshalb die obigen Ausführungen entsprechend gelten.

b) Ggf. Angabe der Kontaktdaten des Datenschutzbeauftragten, Art. 13 Abs. 1 b) DS-GVO / § 17 Abs. 1 Ziff. 2 DSG-EKD / § 15 Abs. 1 b) KDG

Da Krankenhausträger verpflichtet sind, Datenschutzbeauftragte zu benennen/bestellen¹⁷⁴, sind die jeweiligen Kontaktdaten entsprechend in die Informationspflicht aufzunehmen. Dies korrespondiert auch mit der aus Art. 37 Abs. 7 DS-GVO / § 36 Abs. 5 DSG-EKD / § 36 Abs. 4 KDG resultierenden Verpflichtung zur Veröffentlichung.

Eine konkrete Angabe des Namens des Datenschutzbeauftragten ist nicht erforderlich, kann aber – je nach Belieben – erfolgen.

c) Angabe der Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie Angabe der Rechtsgrundlage für die Verarbeitung, Art. 13 Abs. 1 c) DS-GVO / § 17 Abs. 1 Ziff. 3 DSG-EKD / § 15 Abs. 1 c) KDG

Die allgemeine Zweckbindung der Datenverarbeitung ergibt sich aus Art. 5 Abs. 1 b) DS-GVO / § 5 Abs. 1 Ziff. 2 DSG-EKD / § 7 Abs. 1 b) KDG. § 4 Abs. 3 S. 1 Nr. 2 BDSG verpflichtete bereits früher zur Unterrichtung über die Zweckbestimmungen von Erhebung, Verarbeitung und Nutzung. Fraglich ist nunmehr, wie umfangreich diese Angabe der »Zwecke« gestaltet werden sollte.

Einerseits wird die Auffassung vertreten, es seien alle Zwecke anzugeben, die die verantwortliche Stelle im Zeitpunkt der Erhebung verfolge; allerdings solle die Vorschrift nicht dazu missbraucht werden, alle erdenklichen Zwecke »auf Vorrat« mitzuteilen.¹⁷⁵

Ferner wird vertreten, die Angaben müssten vollständig und so detailliert sein, dass die betroffene Person sich ein Bild davon machen könne, mit welchen Datenverarbeitungen sie zu rechnen habe. Mit dieser Information lege der Verantwortliche den Verarbeitungszweck oder die Verarbeitungszwecke gegenüber der betroffenen Person verbindlich fest. Hieran knüpfe die durch Art. 5 Abs. 1 b) DS-GVO begründete und durch Art. 6 Abs. 4 DS-GVO näher ausgestaltete Zweckbindung des Datenverarbeitungsprozesses an.¹⁷⁶

Um die Patienten nicht unnötig zu überfordern, jedoch dem Auftrag der DS-GVO gerecht zu werden, spricht sich die DKG dazu aus, zwar nicht alle erdenklichen Zwecke »auf Vorrat« mitzuteilen, tendiert jedoch dazu, die Angaben möglichst vollständig und detailliert zu erteilen, mithin eine ausführliche Beschreibung derart vorzunehmen, dass Patienten sich ein Bild davon machen können, mit welchen Datenverarbeitungen sie zu rechnen haben. Auf die kirchlichen Regelungen sind diese Ausführungen übertragbar.

Daneben ist die Rechtsgrundlage für die Verarbeitung mitzuteilen. § 4 Abs. 3 S. 3 BDSG sah dies früher auf Antrag oder nach den Umständen des Einzelfalles vor. Nach der DS-GVO / dem KDG (nicht DSG-EKD!) bekommt jede betroffene Person von vornherein diese Information. Rechtsgrundlagen sind dabei sowohl Einwilligungserklärungen als auch Erlaubnistatbestände der DS-GVO bzw. bereichsspezifischer Normen im Rahmen zulässiger Regelungsspielräume.¹⁷⁷

Fraglich ist, wie weitgehend die Informationspflicht bzgl. der Nennung der Rechtsgrundlage zu verstehen ist.

Eine Literaturmeinung führt dazu aus, der Verantwortliche müsse der betroffenen Person zumindest dann, wenn es wegen der Komplexität der Rechtslage oder aufgrund der erkennbaren Eigenschaften und Kenntnisse der betroffenen Person geboten sei, die Rechtslage einzelfallbezogen und vollständig darlegen. Dazu müsse der Verantwortliche die Rechtsgrundlage der Datenverarbeitung so erläutern, dass die betroffene Person deren Anwendung auf ihren Fall nachvollziehen könne. Zumindest aber sei eine solche Erläuterung geboten, wenn die betroffene Person sie verlange. ¹⁷⁸

Ferner wird in diesem Zusammenhang ausgeführt, dass es nach dem Wortlaut der Norm ausreiche, den einschlägigen Erlaubnistatbestand aus Art. 6 Abs. 1 DS-GVO und – in den Fällen der Art. 6 Abs. 1 c) und e) DS-GVO – das hierzu nach Art. 6 Abs. 2 und 3 DS-GVO ergangene mitgliedstaatliche Recht oder Unionsrecht lediglich zu zitieren oder wörtlich zu wiederholen. Da dies der betroffenen Person jedoch in der Regel nicht ermöglichen dürfte, ihre rechtliche Position hinsichtlich der Datenverarbeitung einzuschätzen, reiche eine derartige Informationspflicht wiederum nicht aus.¹⁷⁹

Demgegenüber führt eine andere Literaturmeinung aus, dass sich diese Mitteilung praktisch an der Systematisierung der Rechtfertigungsgründe in Art. 6 Abs. 1 DS-GVO orientieren könne¹⁸⁰ und erachtet dies insofern als ausreichend.

Insofern stellt sich die Frage, wie weitgehend die Patienten über die im Krankenhausbereich existierenden diversen Rechtsgrundlagen zu informieren sind und in welcher Tiefe. Die DKG hat hierzu ein umfangreiches Papier » Listen von datenschutzrechtlich zulässigen Verarbeitungstätigkeiten im Krankenhausbereich unter Maßgabe der DS-GVO«¹⁸¹ erarbeitet, das über 50 Rechtsgrundlagen auflistet und dabei keinen Anspruch auf Vollständigkeit erhebt. Einem Patienten diese zu benennen, dürfte jeglicher Sinnhaftigkeit entbehren. Insofern erscheint eine grundsätzliche Orientierung an der Systematik von Art. 6 Abs. 1 DS-GVO – in etwas ausdifferenzierter Weise – angezeigt. Dies gilt auch für die Umsetzung des DSG-EKD / KDG.

d) Angabe der berechtigten Interessen, die von dem Verantwortlichen verfolgt werden, wenn die Verarbeitung auf Art. 6 Abs. 1 f) DS-GVO / § 6 Abs. 1 g) KDG beruht, Art. 13 Abs. 1 d) DS-GVO / § 15 Abs. 1 d) KDG

Art. 6 Abs. 1 S. 1 f) DS-GVO / § 6 Abs. 1 g) KDG legimitiert die Verarbeitung, sofern sie zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Stützt der Verantwortliche eine Datenverarbeitung also auf Art. 6 Abs. 1 S. 1 f) DS-GVO / § 6 Abs. 1 g) KDG, ist die betroffene Person über die darüber verfolgten berechtigten Interessen zu informieren.¹⁸²

Krankenhäuser könnten insofern unter den Anwendungsbereich von Art. 6 Abs. 1 S. 1 f) DS-GVO / § 6 Abs. 1 g) KDG fallen, als sie Patienten behandeln, die ihre Rechnung nicht begleichen und deren Daten sodann an Dritte zwecks Wahrung der berechtigten Interessen des Krankenhauses übermittelt werden. In Betracht kämen hier im Wesentlichen Rechtsanwälte oder Gerichte. Da die Krankenhäuser kein anderes Mittel haben, um ihre Rechnung beglichen zu bekommen, könnten sie diese wirtschaftlichen Interessen insofern durchsetzen. Da insbesondere eine Übermittlung anonymisierter Daten für die Durchsetzung von Ansprüchen unzureichend ist, erscheint dieses Interesse auch berechtigt.

Wie genau der Begriff der »berechtigten Interessen« zu benennen ist, bleibt dabei fraglich. Die Literatur ist diesbezüglich äußerst uneins. Es werden Ausführungen dahingehend getroffen, dass der Begriff der berechtigten Interessen »schillernd« und »vielfältig« sei.¹⁸³

Die DKG hat hierzu einen entsprechenden Formulierungsvorschlag in die anliegende Musterformulierung unter dem Stichwort »Wahrnehmung berechtigter Interessen des Krankenhausträgers« aufgenommen.

§ 17 DSG-EKD sieht eine entsprechende Angabe der berechtigten Interessen nicht vor.

e) Ggf. Angabe der Empfänger oder Kategorien von Empfängern der personenbezogenen Daten, Art. 13 Abs. 1 e) DS-GVO / § 17 Abs. 1 Ziff. 4 DSG-EKD / § 15 Abs. 1 e) KDG

Gemäß Art. 4 Ziffer 9 DS-GVO / § 4 Ziff. 11 KDG ist »Empfänger« eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, der personenbezogene Daten offengelegt werden, unabhängig davon, ob es sich bei ihr um einen Dritten handelt oder nicht. § 4 Ziff. 14 DSG-EKD enthält eine ähnliche Regelung. Der Empfänger muss also nicht »Dritter« im Sinne von Art. 4 Ziff. 10 DS-GVO / § 4 Ziff. 12 DSG-EKD / § 4 Ziff. 12 KDG sein. Eine Informationspflicht besteht daher auch hinsichtlich von Datenflüssen zwischen verschiedenen Untereinheiten des Verantwortlichen.¹⁸⁴ Ferner ist zu beachten, dass gemäß der Definition auch Auftragsverarbeiter als Empfänger anzusehen sind.¹⁸⁵

Der Begriff »gegebenenfalls« ist dahingehend zu verstehen, dass eine Pflicht zur Information über Datenempfänger nur dann besteht, wenn und soweit eine Datenweitergabe zum Zeitpunkt der Erhebung absehbar ist. Denn diese Informationspflicht setzt nur zu diesem Zeitpunkt an und besteht folgerichtig insofern nur »gegebenenfalls«.¹⁸⁶ Sind also bei einer Datenerhebung bereits konkrete Empfänger absehbar, so hat der Verantwortliche diese der betroffenen Person zu benennen.

Alternativ stellt Art. 13 Abs. 1 e) DS-GVO / § 17 Abs. 1 Ziff. 4 DSG-EKD / § 15 Abs. 1 e) KDG die Empfängerkategorien neben die konkreten Empfängerangaben. Es genügt insofern die Umschreibung in abstrakter Form.¹⁸⁷

Die DKG hat sich dazu entschieden, die Umschreibung in abstrakter Form vorzunehmen und Empfängerkategorien aufzuführen.

f) Ggf. Angabe der Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland zu übermitteln, Art. 13 Abs. 1 f) DS-GVO / § 15 Abs. 1f) KDG

Dieser Tatbestand dürfte im Krankenhausbereich nur in vereinzelten Fällen einschlägig sein. Eine Übermittlung personenbezogener Daten an Drittländer außerhalb der EU bzw. des EWR werden Krankenhäuser unter der Legaldefinition der »Übermittlung« im klassischen Sinne wohl nur selten vornehmen. Sollten sie dies tun, bedarf es einer entsprechenden Angabe. Eine beispielhafte Formulierung – die sich nicht in dem Musterformular findet – könnte wie folgt lauten:

»Übermittlung Ihrer Daten in ein Land außerhalb EU/EWR

In der Regel werden Ihre personenbezogenen Daten innerhalb Deutschlands, der EU oder des Europäischen Wirtschaftsraumes verarbeitet. In allen diesen Ländern besteht aufgrund der EU Datenschutz-Grundverordnung ein hohes einheitliches Datenschutzniveau, wonach Ihre Daten umfangreich geschützt sind. Eine Ausnahme davon bilden in unserem Krankenhaus einzelne Datenübermittlungen in/nach ____________________ [Benennung des Drittlandes, z. B. USA]. Diese sind notwendig, um _________________________ [Angabe des Grundes, z. B. um ganz spezielle Prothesen herstellen zu lassen, die nur dort erhältlich sind]. Wir versichern Ihnen, dass auch bei diesen Übermittlungen alles unternommen wird, um Ihre Daten zu schützen.«

Fraglich ist, welche Auswirkungen es hat, dass sich Krankenhausträger vielfach entsprechender Auftragsverarbeiter bedienen, die zum Teil auch im Nicht-EU-Ausland ihren Sitz haben.

Ein Auftragsverarbeiter ist gemäß der Legaldefinition von Art. 4 Ziff. 8 DS-GVO / § 4 Ziff. 10 KDG eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Früher wurde der Auftragsverarbeiter gem. BDSG insofern privilegiert, als es keiner Rechtsgrundlage für eine »Übermittlung« bedurfte, da davon ausgegangen wurde, dass der Auftragsverarbeiter als »verlängerter Arm« des Krankenhausträgers in dessen Regime tätig wird. Daran dürfte sich auch unter Maßgabe der DS-GVO nichts ändern, weshalb der Schluss zu ziehen ist, dass eine wörtliche »Übermittlung« in ein Drittland gem. Art. 13 Abs. 1 f) DS-GVO / § 15 Abs. 1 f) KDG im Rahmen einer Auftragsverarbeitung nicht stattfindet. In diesen Fällen bedarf es folglich keines gesonderten Hinweises.

§ 17 DSG-EKD enthält keine entsprechende Regelung.

1.6.2 Informationspflichten gem. Art. 13 Abs. 2 DS-GVO / § 17 Abs. 2 DSG-KDG / § 15 Abs. 2 KDG:

Art. 13 Abs. 2 DS-GVO / § 17 Abs. 2 DSG-EKD / § 15 Abs. 2 KDG erfordert zudem weitere Informationen gegenüber den Betroffenen, allerdings unter der Einschränkung, dass diese notwendig sind, »um eine faire und transparente Verarbeitung zu gewährleisten«. Die im letztgenannten Halbsatz geregelte Anforderung findet sich nur in Art. 13 Abs. 2 DS-GVO / § 15 Abs. 2 KDG und nicht in § 17 Abs. 2 DSG-EKD.

Die Literatur ist sich hinsichtlich der Auswirkung dieser Einschränkung bzw. hinsichtlich der Sinnhaftigkeit einer Unterteilung des Art. 13 DS-GVO in die Absätze 1 und 2 uneins. So wird u. a. ausgeführt, dass der Verantwortliche die Informationspflichten aus Abs. 1 und Abs. 2 gleichermaßen vollständig zu erfüllen habe. Aus der Verteilung der Pflichten auf zwei Absätze ergebe sich kein Unterschied in der Sache. Für diese Argumentation spreche auch, dass die in Art. 13 Abs. 2 DS-GVO aufgeführten Informationspflichten für die betroffene Person zumindest nicht durchweg weniger essentiell seien als die Informationen gem. Art. 13 Abs. 1 DS-GVO.¹⁸⁸

Insofern geht die DKG davon aus, dass die Angabe auch der in Art. 13 Abs. 2 DS-GVO genannten Punkte notwendig ist und trägt dem in dem anliegenden Muster entsprechend Rechnung. Entsprechendes gilt für die Regelung von § 17 Abs. 2 DSG-EKD / § 15 Abs. 2 KDG.

a) Angabe der Dauer der Speicherung, Art. 13 Abs. 2 a) DS-GVO / § 17 Abs. 2 Nr. 1 DSG-EKD / § 15 Abs. 2 a) KDG

Fraglich ist, wie die Angabe der Dauer der Speicherung der personenbezogenen Daten umzusetzen ist. Dabei stellt sich insbesondere die Frage hinsichtlich der Ausführlichkeit.

Die DKG hat zu der Thematik »Aufbewahrungspflichten und -fristen von Dokumenten im Krankenhaus« einen 24-seitigen Leitfaden¹⁸⁹ erarbeitet bzw. aktualisiert, der sich detailliert mit einzelnen gesetzlichen Aufbewahrungsfristen auseinandersetzt. Eine derartige Information dürfte den Patienten überfordern, stünde von der Gewichtung her in keiner Relation zu den übrigen Informationspflichten und erscheint insofern nicht angezeigt. Vielmehr dürfte sich eine generelle Beschreibung anbieten, dass unterschiedliche Aufbewahrungsfristen existieren, eine Aufbewahrung aber letztlich – aufgrund der zivilrechtlichen Höchstverjährungsfrist von 30 Jahren – in der Regel 30 Jahre lang erfolgt.

Dies wird auch durch entsprechende Literaturmeinungen gestützt, wonach ausgeführt wird, dass gesetzliche Aufbewahrungspflichten zu berücksichtigen seien und etwa § 157 HGB oder § 147 Abgabenordnung benannt werden.¹⁹⁰ Ebenso wird ausgeführt, dass – sofern die Angabe der Dauer der Speicherung zum Zeitpunkt der Information noch nicht möglich sein sollte – zumindest die Kriterien für die Festlegung der Speicherdauer genannt werden müssten.¹⁹¹

Dementgegen wird jedoch auch vertreten, dass der Verantwortliche der betroffenen Person mitteilen müsse, wie lange er die erhobenen Daten speichern werde. Oftmals lasse sich jedoch zum Zeitpunkt der Datenerhebung eine feste Frist für die Speicherdauer nicht angeben. In einem solchen Fall müsse der Verantwortliche zumindest die Kriterien benennen, anhand derer sich die Speicherdauer bemesse. Die Information müsse vollständig und so präzise sein, dass die betroffene Person die Speicherdauer anhand der angegebenen Kriterien wenigstens annähernd selbst bestimmen könne. Die Information sei für den Verantwortlichen verbindlich. Sei die angegebene Speicherdauer abgelaufen, so sei er grundsätzlich gem. Art. 17 Abs. 1 a) DS-GVO / § 19 Abs. 1 a) KDG (ähnlich: § 21 Abs. 1 Ziff. 2 DSG-EKD) verpflichtet, die Daten zu löschen.¹⁹²

Im Ergebnis erscheint die Angabe einer festen Frist in Form eines konkreten Datums – im Krankenhausbereich insbesondere unter Unkenntnis der Dauer des Behandlungsfalles usw. – nicht umsetzbar, weshalb eine Darstellung erfolgen sollte, wie lange die Daten gespeichert werden. Hierfür wären unter Verweis auf zahlreiche Aufbewahrungsfristen die Kriterien für die Festlegung der Speicherdauer zu benennen, anhand derer sich die Speicherdauer bemisst.

b) Angabe des Bestehens eines Rechts auf Auskunft, Berichtigung, Löschung usw., Artikel 13 Abs. 2 b) DS-GVO / § 17 Abs. 2 Ziff. 2 DSG-EKD / § 15 Abs. 2 b) KDG

Ferner ist die betroffene Person über das Bestehen eines Rechts auf Auskunft sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung oder eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit zu informieren. Diese Vorschrift verpflichtet den Verantwortlichen, die betroffenen Personen über ihre grundlegenden Betroffenenrechte zu informieren. Im Einzelnen handelt es sich um folgende Rechte:

• Recht auf Auskunft über gespeicherte Daten, Art. 15 DS-GVO / § 19 DSG-EKD / § 17 KDG,

• Recht auf Berichtigung unzutreffender Daten, Art. 16 DS-GVO / § 20 DSG-EKD / § 18 KDG,

• Recht auf Löschung von Daten, Art. 17 DS-GVO / § 21 DSG-EKD / § 19 KDG,

• Recht auf Einschränkung der Verarbeitung von Daten, Art. 18 DS-GVO / § 22 DSG-EKD / § 20 KDG,

• Recht auf Widerspruch gegen unzumutbare Datenverarbeitung, Art. 21 DS-GVO / § 25 DSG-EKD / § 23 KDG sowie

• Recht auf Datenübertragbarkeit, Art. 20 DS-GVO / § 24 DSG-EKD / § 22 KDG.

Anders als bei den meisten anderen Informationspflichten dürfte insoweit lediglich eine Mitteilung und Erläuterung der verschiedenen Betroffenenrechte in allgemeiner Form angezeigt sein. Denn der Verantwortliche kann zum Zeitpunkt der Datenerhebung zumindest in der Regel nicht absehen, welche Ansprüche der betroffenen Person wann und aus welchen Gründen entstehen werden.¹⁹³

Zu demselben Ergebnis kommt auch eine andere Literaturmeinung, wonach der Umfang und das vielfach tatbestandlich im Informationszeitraum nicht absehbare Eintreten der Voraussetzungen für die genannten Rechte es ausschlössen, dass die Information über »das Bestehen« dieser Rechte einen konkreten Datenverarbeitungsbezug aufweisen müsse. Vielmehr genüge der Hinweis auf diese unmittelbar im Verordnungstext normierten abstrakten Rechte.¹⁹⁴

Hinsichtlich des letztgenannten Rechts auf Datenübertragbarkeit geht die DKG davon aus, dass dieses in dem Verhältnis des Patienten gegenüber dem Krankenhaus nicht anwendbar ist.¹⁹⁵

c) Angabe der Möglichkeit des Widerrufs einer Einwilligung, Art. 13 Abs. 2 c) DS-GVO / § 15 Abs. 2 c KDG

Sofern eine Verarbeitung gem. Art. 6 Abs. 1 a) DS-GVO / § 6 Abs. 1 b KDG oder Art. 9 Abs. 2 a) DS-GVO / § 11 Abs. 2 a) KDG auf einer Einwilligung beruht, ist die betroffene Person darüber zu informieren, dass sie ihre Einwilligung jederzeit widerrufen kann, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird.

§ 17 Abs. 2 DSG-EKD enthält keine entsprechende Regelung im Rahmen der Informationspflichten, sondern regelt dies unter den an die Einwilligung zu stellenden Anforderungen in § 6 Abs. 3 DSG-EKD. Insofern würde es für die evangelischen Krankenhäuser ausreichen, den Hinweis auf die Möglichkeit des Widerrufs einer Einwilligung »nur« im Rahmen der Einholung der Einwilligung zu erteilen. Gleichwohl kann der Hinweis darauf im Rahmen der Informationspflichten zusätzlich erfolgen.

d) Angabe des Bestehens eines Beschwerderechts, Art. 13 Abs. 2 d) DS-GVO / § 17 Abs. 2 Ziff. 3 DSG-EKD / § 15 Abs. 2 d) KDG

Diesbezüglich muss der Verantwortliche die betroffene Person über ihr Recht aus Art. 77 Abs. 1 DS-GVO / § 46 DSG-EKD / § 48 KDG informieren, sich bei einer Aufsichtsbehörde über rechtswidrige Datenverarbeitungen beschweren zu können.¹⁹⁶ Fraglich ist, ob die entsprechende Aufsichtsbehörde konkret zu benennen ist.

Diesbezüglich sei zu beachten, dass die Information hinsichtlich des Beschwerderechts alleine nicht ohne weiteres ausreiche, damit die betroffene Person ihr Beschwerderecht ohne Schwierigkeiten wahrnehmen könne. Schließlich könne es aus Sicht der betroffenen Person schwierig sein, eine geeignete Aufsichtsbehörde zu bestimmen. Der Verantwortliche müsse daher eine zuständige Aufsichtsbehörde benennen, bei der eine möglichst niedrigschwellige Beschwerdemöglichkeit bestehe.¹⁹⁷

Dem ist nicht zu folgen. Vielmehr ist die Angabe, welche Aufsichtsbehörde genau örtlich und sachlich zuständig ist, nicht Teil der Informationspflicht. Als Argument dafür ist anzuführen, dass in Art. 14 Abs. 1 e) DS-GVO des Kommissionsentwurfs bzw. des Parlamentsentwurfs die Angabe noch insofern anders vorgesehen gewesen ist, als eine bestimmte Aufsichtsbehörde und deren Kontaktdaten angegeben werden mussten.¹⁹⁸ Davon hat der Verordnungsgeber aber bewusst Abstand genommen.

Insofern genügt der Hinweis auf die unmittelbar im Verordnungstext normierten abstrakten Rechte aus, sprich lediglich die Benennung des Bestehens des Beschwerderechts gegenüber der Aufsichtsbehörde, ohne konkrete Nennung der Aufsichtsbehörde sowie deren Kontaktdaten.¹⁹⁹

e) Angabe, ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche mögliche Folgen die Nichtbereitstellung hätte, Art. 13 Abs. 2 e) DS-GVO / § 17 Abs. 2 Ziff. 4 DSG-EKD / § 15 Abs. 2 e) KDG

Fraglich ist, welche Informationspflichten aus dieser Regelung resultieren sollten bzw. könnten. Auch die Literatur führt dazu aus, der teilweise verwirrende und redundante Wortlaut von Art. 13 Abs. 2 e) DS-GVO / § 17 Abs. 2 Ziff. 4 DSG-EKD / § 15 Abs. 2 e) KDG trage nur begrenzt dazu bei, die Norm zu strukturieren und die Informationspflicht inhaltlich zu konturieren.²⁰⁰

In Erwägungsgrund 60 wird hierzu in Satz 4 ausgeführt, dass der betroffenen Person mitgeteilt werden sollte, ob sie verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche Folgen eine Zurückhaltung der Daten nach sich zöge. Diese Verpflichtung wird im Erwägungsgrund 60 unter der Maßgabe statuiert, dass die personenbezogenen Daten bei der betroffenen Person selbst erhoben werden.

In der Literatur wird hierzu ausgeführt, dass durch Art. 13 Abs. 2 e) DS-GVO / § 17 Abs. 2 Ziff. 4 DSG-EKD / § 15 Abs. 2 e) KDG verpflichtend vorgegeben werde, dass über die Ausgangssituation der Datenerhebung zu informieren sei. Dies betreffe zunächst die Rechtfertigung der Datenverarbeitung durch gesetzliche oder vertragliche Verpflichtungen bzw. deren Erforderlichkeit für einen Vertragsabschluss. Explizit sei darzustellen, ob die betroffenen Personen zur Bereitstellung ihrer personenbezogenen Daten verpflichtet seien und welche Folgen eine Zurückhaltung ihrer Daten für die betroffenen Personen hätte. Dies diene – wie bislang – primär dazu, sicherzustellen, dass betroffene Personen nicht in der irrigen Annahme einer Verpflichtung oder aus Angst vor ungünstigen Konsequenzen ihre Daten preisgäben.²⁰¹

Die Sinnhaftigkeit dieser Vorschrift erscheint – bezogen auf den Krankenhausbereich – fraglich. Eine Umsetzung der verpflichtenden Angabe kann insofern erfolgen, als der Patient unter Bezugnahme auf die Behandlung darüber informiert wird, dass eine Behandlung ohne Kenntnis der personenbezogenen Daten in der Regel nicht rechtens ist. Eine entsprechende Formulierung hat die DKG in das Muster aufgenommen.

f) Angabe des Bestehens einer automatisierten Entscheidungsfindung einschließlich Profiling, Art. 13 Abs. 2 f) DS-GVO / § 15 Abs. 2 f) KDG

Gemäß dieser Vorschrift ist auf das Bestehen von automatisierten Entscheidungsfindungen einschließlich Profiling hinzuweisen.

Die DKG geht davon aus, dass automatisierte Entscheidungsfindungen einschließlich Profiling kaum Relevanz im Krankenhausbereich haben dürften und es insofern keiner Angabe gegenüber den Patienten bedarf. Sofern überhaupt eingesetzt, dürften automatisierte Entscheidungsfindungen nur als Entscheidungshilfen eingesetzt werden und stets die Letztentscheidung beim Arzt verbleiben. Sollte dies nicht der Fall sein, bedarf es der Aufnahme eines entsprechenden Hinweises, der in der aktuellen Musterformulierung nicht enthalten ist.

§ 17 DSG-EKD enthält keine entsprechende Regelung.

1.6.3 Informationspflichten gem. Art. 14 DS-GVO / § 18 DSG-EKD / § 16 KDG

Der Verordnungsgeber unterscheidet hinsichtlich der Datenerhebungen und den entsprechenden Informationspflichten zwischen Folgendem:

Art. 13 DS-GVO / § 17 DSG-EKD / § 15 KDG regelt Informationspflichten bei der Erhebung von personenbezogenen Daten bei der betroffenen Person direkt, sog. Direkterhebungen.

Art. 14 DS-GVO / § 18 DSG-EKD / § 16 KDG regelt Informationspflichten, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, sog. Dritterhebungen.

Die Zweiteilung in Informationspflichten bei Direkterhebung gem. Art. 13 DS-GVO / § 17 DSG-EKD / § 15 KDG und außerhalb von Direkterhebungssituationen gem. Art. 14 DS-GVO / § 18 DSG-EKD / § 16 KDG entspricht derjenigen in den Artikeln 10 und 11 Datenschutzrichtlinie 1995, die sich zugleich in den §§ 4 Abs. 3 und 33 BDSG in der bis zum 24.05.2018 geltenden Fassung niedergeschlagen hat.²⁰²

Fraglich ist, ob im Falle der notwendigen Informationspflichten gegenüber Patienten ausschließlich Art. 13 DS-GVO / § 17 DSG-EKD / § 15 KDG oder auch Art. 14 DS-GVO / § 18 DSG-EKD / § 16 KDG greift.

Unter der » Direkterhebung« gem. Art. 13 DS-GVO ist jede Erhebung personenbezogener Daten mit Kenntnis oder unter Mitwirkung der betroffenen Person zu verstehen. Die Daten sollen nicht »hinter dem Rücken« des Betroffenen verarbeitet werden. Daraus erklärt sich, warum die Kategorien zu verarbeitender Daten in Art. 14 Abs. 1 d) DS-GVO enthalten sind, in Art. 13 DS-GVO jedoch nicht, bzw. warum nur Art. 14 Abs. 5 d) DS-GVO die Geheimhaltungspflichten von Berufsgeheimnisträgern berücksichtigt: Bei der Direkterhebung weiß die Person gerade, dass ihre Daten verarbeitet werden, und bedarf lediglich einer Information über die genauen Umstände. Unschädlich ist es, wenn Daten mit Doppelbezug erhoben werden, also Daten, die sich sowohl auf die befragte Person als auch auf Dritte beziehen. Die Frage nach dem Ehepartner in einem Personalfragebogen oder das Verlangen nach Vorlage einer Heiratsurkunde zwecks Gewährung hiervon abhängiger Leistungen an den Betroffenen ist keine Dritterhebung im Hinblick auf die Daten des Ehepartners. Das Gleiche gilt für Gesundheitsdaten, die gegebenenfalls Rückschlüsse auf den Gesundheitszustand von Familienmitgliedern erlauben.²⁰³

Fraglich ist, wie nach diesen Ausführungen der Sachverhalt zu bewerten ist, dass Krankenhäuser beispielsweise auch Daten von einweisenden Ärzten oder im Rahmen von Verlegungen von anderen Krankenhausträgern oder weiteren Dritten erhalten. Da die Direkterhebung als eine Erhebung »mit Kenntnis oder unter Mitwirkung« der betroffenen Person beschrieben wird, dürfte davon auszugehen sein, dass auch dies unter die Direkterhebung gem. Art. 13 DS-GVO und nicht unter Art. 14 DS-GVO zu subsumieren ist. Die Daten werden im Falle der oben skizzierten Sachverhalte nicht »hinter dem Rücken« des Patienten erhoben, sondern der Patient weiß beispielsweise im Rahmen einer Verlegung davon, dass er in einem anderen Krankenhaus neu aufgenommen wird und hier erneut seine Daten erhoben werden ebenso gut wie dass Daten von dem ihn entlassenden Krankenhaus an das nächstbehandelnde Krankenhaus weitergegeben werden. Dies alles geschieht »mit seiner Kenntnis« und auch »unter seiner Mitwirkung«.

Dies folgt auch aus der Kommentierung zu § 33 BDSG in der bis zum 24.05.2018 geltenden Fassung, die der Regelung des Art. 14 DS-GVO vorausgeht. Hierin heißt es etwa, dass der Betroffene zunächst erst einmal wissen müsse, wer Daten über ihn gespeichert habe, um zum Beispiel Auskunftsrechte ausüben zu können.²⁰⁴ Ferner wird ausgeführt, die Benachrichtigungspflicht gem. § 33 BDSG entstehe nach § 33 Abs. 1 S. 1 und 2 BDSG dann, wenn personenbezogene Daten erstmals »ohne Kenntnis des Betroffenen« im Anwendungsbereich des § 27 gespeichert würden.²⁰⁵

Im Ergebnis spricht damit vieles dafür, dass im Krankenhausbereich nur die Informationspflichten im Rahmen der Direkterhebung gem. Art. 13 DS-GVO greifen und nicht die Informationspflichten bei Dritterhebungen gem. Art. 14 DS-GVO.

Die voranstehenden Ausführungen sind auf die kirchlichen Regelungen bzw. auf das Verhältnis von § 17 DSG-EKD zu § 18 DSG-EKD / § 15 KDG zu § 16 KDG übertragbar.

Da jedoch – im Hinblick auf die hohe Abstraktheit der DS-GVO sowie das Bestehen unzähliger offener Rechtsfragen –

• nicht mit Sicherheit ausgeschlossen werden kann, dass sich Fälle ereignen, in denen der Patient ggf. keine Kenntnis über eine Datenerhebung hat, und

• die Informationspflichten von Art. 13 und 14 DS-GVO / § 17 und § 18 DSG-EKD / § 15 und § 16 KDG sich nur in wenigen Punkten unterscheiden und

• es unbedingt zu vermeiden gilt, dass Krankenhäuser zwischen einem »Formular gem. Art. 13 DS-GVO / § 17 DSG-EKD / § 15 KDG« und einem »Formular gem. Art. 14 DS-GVO / § 18 DSG-EKD / § 16 KDG« unterscheiden müssen,

empfiehlt sich folgende Vorgehensweise:

Die wenigen Punkte, in denen sich Art. 14 DS-GVO / § 18 DSG-EKD / § 16 KDG von Art. 13 DS-GVO / § 17 DSG-EKD / § 15 KDG unterscheidet, werden mit in das Muster integriert. Diese Punkte betreffen folgende Informationspflichten:

a) Angabe der Kategorien personenbezogener Daten, die verarbeitet werden, Art. 14 Abs. 1 d) DS-GVO / § 18 Abs. 1 DSG-EKD / § 16 Abs. 1 a) KDG

Die Angabe der Kategorien personenbezogener Daten kann erforderlich sein, weil die betroffene Person, die an der Datenerhebung nicht beteiligt war, ansonsten oftmals nicht wissen kann, welche Daten erhoben wurden. Der Verantwortliche muss demnach der betroffenen Person nicht im Einzelnen mitteilen, welche Daten er erhoben hat, aber hierzu allgemeine Angaben machen. Will die betroffene Person eine detailliertere Aufstellung erhalten, kann sie von ihrem Auskunftsrecht nach Art. 15 DS-GVO / § 19 DSG-EKD / § 17 KDG Gebrauch machen. Die Information über die Datenkategorien muss jedoch so präzise und spezifisch gefasst sein, dass die betroffene Person die Risiken abschätzen kann, die mit der Verarbeitung der erhobenen Daten verbunden sein können.²⁰⁶

Dem trägt das unten abgebildete Muster ohnehin unter dem Stichwort »Welche Daten werden im Einzelnen übermittelt?« Rechnung, da diese Daten auch denknotwendig erhoben werden.

Die in den kirchlichen Regelungen enthaltenen Formulierungen sind zwar einfacher gefasst (§ 18 Abs. 1 DSG-EKD: »die zu ihr gespeicherten Daten« / § 16 Abs. 1 a) KDG: »die zu ihr erhobenen Daten«), bedingen jedoch keine Änderungen.

b) Angabe, aus welcher Quelle die personenbezogenen Daten stammen und ggf. ob sie aus öffentlich zugänglichen Quellen stammen, Art. 14 Abs. 2f) DS-GVO / § 18 Abs. 1 DSG-EKD / § 16 Abs. 1 b) KDG

Zusätzlich muss der Verantwortliche die betroffene Person über die Quelle (gemäß § 18 Abs. 1 DSG-EKD: »Herkunft«) der erhobenen Daten informieren. Diese Information ermöglicht der betroffenen Person, die Rechtmäßigkeit der Datenerhebung zu überprüfen und ggf. – etwa bei inhaltlich unrichtigen Daten – Fehler an der Wurzel anzugehen. Als Quelle kommen insbesondere Personen oder Institutionen in Betracht.²⁰⁷

Auch dem trägt das Muster Rechnung, indem unter dem Stichwort »Von wem erhalten wir Ihre Daten« entsprechende Hinweise erfolgen.

1.7 Mögliche Ausnahmen von der Informationspflicht?

Fraglich ist, ob die Informationspflicht entfallen könnte. Der Verordnungsgeber hat in Art. 13 Abs. 4 DS-GVO lediglich die Regelung getroffen, dass die Informationspflicht entfällt, wenn und soweit die betroffene Person bereits über die Informationen verfügt.

Befindet sich der Patient in ständig wiederkehrender/fortlaufender Behandlung, dürfte eine ständige/erneute Information entbehrlich sein. Fraglich ist allerdings, wie sich dies im Rahmen des Aufnahmeprozederes umsetzen ließe, d. h. ob ggf. auf einzelne Formulare zu verzichten wäre. Dies bliebe dem jeweiligen Krankenhausträger überlassen. Eine erneute Information des informierten Patienten dürfte zumindest entbehrlich, aber auch unschädlich sein. Entsprechende Ausnahmeregelungen finden sich in wortgleicher Fassung in § 17 Abs. 4 DSG-EKD / § 15 Abs. 4 KDG.

Weitere Ausnahmen sieht der Verordnungstext selbst in Art. 13 DS-GVO nicht vor.

Allerdings sind noch bereichsspezifische Ausnahmen im Rahmen der Regelungskompetenz des Art. 23 DS-GVO zu beachten. Nach Art. 23 Abs. 1 DS-GVO können die Pflichten und Rechte der Art. 12–22 DS-GVO im Wege von Gesetzgebungsmaßnahmen beschränkt werden. Von einer entsprechenden Öffnungsklausel hat der deutsche Gesetzgeber auf Bundesebene auch Gebrauch gemacht. Im Rahmen des DSAnpUG-EU²⁰⁸ hat der Gesetzgeber in § 32 BDSG (in der seit dem 25.05.2018 geltenden Fassung) eine weitere Ausnahme für den Fall der Weiterverarbeitung zu einem anderen Zweck gem. Art. 13 Abs. 3 DS-GVO getroffen. Weitere Ausnahmeregelungen hat der deutsche Gesetzgeber jedoch nicht getroffen.

Fraglich ist weiter, wie es zu werten ist, dass der Erwägungsgrund 62 Ausnahmen von der Informationspflicht in Satz 1 benennt. Danach erübrigt sich die Pflicht, Informationen zur Verfügung zu stellen, wenn

• die betroffene Person die Information bereits hat,

• wenn die Speicherung oder Offenlegung der personenbezogenen Daten ausdrücklich durch Rechtsvorschriften geregelt ist oder

• wenn sich die Unterrichtung der betroffenen Person als unmöglich erweist oder mit unverhältnismäßig hohem Aufwand verbunden ist.

Hier könnte der zweite Aufzählungspunkt »Speicherung/Offenlegung der Daten ist ausdrücklich durch Rechtsvorschriften geregelt« zu einer Ausnahme führen. Fraglich ist allerdings, ob alleine auf der Grundlage dieser Formulierung heraus, die sich lediglich in einem Erwägungsgrund findet, eine umfangreiche Bereichsausnahme statuiert werden kann.

Einerseits könnte – auf der Grundlage des Wortlautes des Erwägungsgrundes 62 – die Auffassung vertreten werden, dass sich aus dem BGB, Bundesmeldegesetz, SGB V usw. eindeutig ergibt, dass die Daten gespeichert/offengelegt werden. Speicherung oder Offenlegung könnten also als geregelt angesehen werden. Die Frage der übrigen Verarbeitungstatbestände bleibt allerdings offen.

Zudem ist zu beachten, dass sich dies nicht aus der Verordnung an sich ergibt und dass der deutsche Gesetzgeber im Zuge der Anpassung des BDSG (DSAnpUG-EU) zu § 32 BDSG (in der seit dem 25.05.2018 geltenden Fassung) ausgeführt hat, dass die DS-GVO keine allgemeine Beschränkung der Informationspflicht aus Art. 13 DS-GVO aufgrund des damit verbundenen Aufwandes ermögliche (BR Drs. 110/17, Beschluss vom 10.03.2017, S. 35), obwohl dies ebenfalls in dem Erwägungsgrund 62 ausgeführt wird. Diese Ausführungen ergehen zwar zu einer anderen Bereichsausnahme (»hoher Aufwand«), machen aber die Auslegung durch den deutschen Gesetzgeber deutlich. Der deutsche Gesetzgeber scheint davon auszugehen, dass maßgeblich ist, ob die Verordnung an sich (und nicht ein Erwägungsgrund) eine Beschränkung der Informationspflicht vorsieht oder nicht.

Hinzu kommt, dass im Falle von Verarbeitungen auf der Grundlage von Einwilligungen diese Ausnahme nicht greift. Krankenhäuser müssten also für den Fall der Verarbeitungen legitimiert durch Einwilligungen ohnehin die Informationspflichten erfüllen und mithin differenziert vorgehen, was einen hohen Aufwand bedingen würde.

Im Ergebnis kann – aus Sicht der DKG – aus den dargestellten Gründen eine derart flächendeckende Ausnahme nicht empfohlen werden, weshalb die DKG das im Anhang abgedruckte Muster zu verwenden empfiehlt.

Die kirchlichen Regelungen sehen demgegenüber weitere Ausnahmen vor. § 17 Abs. 4 DSG-EKD regelt eine Ausnahme für den Fall, dass die Informationserteilung einen unverhältnismäßigen Aufwand erfordern würde. Dieselbe Ausnahme regelt auch § 15 Abs. 4 KDG, jedoch unter der zusätzlichen Bedingung, dass das Interesse der betroffenen Person an der Informationserteilung nach den Umständen des Einzelfalls, insbesondere wegen des Zusammenhangs, in dem die Daten erhoben wurden, als gering anzusehen ist. Mit dem »unverhältnismäßigen Aufwand« wird man, insbesondere im Hinblick auf die weltlichen Krankenhäuser, die die Informationspflichten umsetzen, kaum argumentieren können. Daneben enthält § 15 Abs. 5 KDG weitere Ausnahmetatbestände, die im Krankenhausbereich jedoch nicht greifen dürften.

1.8 Verstöße und Sanktionen gegen die Informationspflicht

Verstöße gegen die Art. 12 bis 22 DS-GVO sind in den Geldbuße-Tatbeständen des Art. 83 Abs. 5 b) DS-GVO normiert. Danach werden Verstöße im Einklang mit Art. 83 Abs. 2 DS-GVO mit Geldbußen von bis zu 20.000.000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist.

Die Geldbußen können zusätzlich zu oder anstelle der in Art. 58 Abs. 2 DS-GVO normierten umfangreichen Abhilfebefugnisse der Aufsichtsbehörden verhängt werden, Art. 58 Abs. 2 i) DS-GVO.

Hinsichtlich der kirchlichen Regelungen ist festzustellen, dass die dort geregelten möglichen Höchst-Geldbußen wesentlich moderater ausgefallen sind. Sowohl nach § 45 Abs. 5 DSG-EKD als auch nach § 51 Abs. 5 KDG können hiernach »lediglich« Geldbußen von bis zu 500.000 EUR verhängt werden.

Daneben besteht allerdings auch hier die Möglichkeit der Verhängung aufsichtsrechtlicher Maßnahmen nach § 44 Abs. 3 i. V. m. § 45 Abs. 6 DSG-EKD / § 47 Abs. 6 KDG.

Im Hinblick auf die empfindlichen Sanktionsmechanismen empfiehlt sich sonach eine möglichst genaue Umsetzung der durch die DS-GVO aufgestellten Anforderungen.

1.9 Stationärer Bereich – Musterformulierung

Um die zuvor ausgeführten Punkte, die im Rahmen der Informationspflichten zu benennen sind, insgesamt darzustellen, erfolgt anbei die Darstellung einer Musterformulierung.

Diese erhebt keinen Anspruch auf Vollständigkeit und ist den konkreten Gegebenheiten vor Ort anzupassen.

1.10 Institutsambulanzen/MVZ– Musterformulierung

Auf der Grundlage obiger Ausführung unter VI wird nachfolgend ein gesondertes Muster dargestellt, das für sämtliche Institutsambulanzen von Krankenhäusern bzw. MVZ gilt, sofern Krankenhäuser MVZ betreiben.

Dieses Muster erhebt keinen Anspruch auf Vollständigkeit und ist den konkreten Gegebenheiten vor Ort anzupassen.

2 Auskunftsrecht gemäß Art. 15 DS-GVO

Die DS-GVO regelt in Art. 15 ein Auskunftsrecht im Krankenhausbereich, das dem Betroffenen (Patienten) dazu dienen soll, die Rechtmäßigkeit der Verarbeitung der ihn betreffenden personenbezogenen Daten zu überprüfen. Aus diesem Grunde wird nachfolgend dargestellt, wie dieses im Krankenhausbereich umgesetzt werden kann.

Dabei ist zu beachten, dass dieses Auskunftsrecht gem. Art. 15 DS-GVO im Allgemeinen neben anderen Auskunftsrechten wie dem Anspruch auf Einsichtnahme in die Patientenakte nach § 630g BGB steht.²⁰⁹ Ob Ansprüche im Wege der Spezialität verdrängt werden, kann nicht pauschal festgelegt werden.²¹⁰ Hinsichtlich der Abgrenzung von Art. 15 DS-GVO gegenüber § 630g BGB wird auf die ausführlichen Darstellungen unter VII.15.10 verwiesen.

2.1 Kirchliche Krankenhausträger

Hinsichtlich der Krankenhausträger in kirchlicher Trägerschaft ist zu beachten, dass sowohl die evangelische als auch die katholische Kirche entsprechende Regelungen erlassen haben, um den Einklang mit der DS-GVO herzustellen.

Die 12. Synode der evangelischen Kirche in Deutschland hat auf ihrer 4. Tagung zum 15.11.2017 ein Kirchengesetz beschlossen (Kirchengesetz über den Datenschutz der evangelischen Kirche in Deutschland (EKD-Datenschutzgesetz – DSG-EKD), das die durch die DS-GVO bedingten Änderungen weitestgehend umsetzt. Die Regelungen zum Auskunftsrecht der betroffenen Person befinden sich im Wesentlichen in § 19 DSG-EKD. § 19 DSG-EKD ist kürzer gefasst als Art. 15 DS-GVO, beinhaltet jedoch die wesentlichen das Auskunftsrecht betreffenden Punkte.

Ebenso sind für den katholischen Bereich in der Fassung des einstimmigen Beschlusses der Vollversammlung des Verbandes der Diözesen Deutschlands vom 20.11.2017 Neuregelungen des kirchlichen Datenschutzgesetzes (Gesetz über den kirchlichen Datenschutz – KDG) erfolgt. Auch hier findet sich eine Regelung zum Auskunftsrecht der betroffenen Person und zwar im Wesentlichen in § 17 KDG. § 17 Abs. 1 bis 4 KDG entspricht dem Wortlaut von § 15 DS-GVO. Hinsichtlich dieser Regelungen gelten also die Ausführungen unter Maßgabe der DS-GVO für die staatlichen Krankenhausträger entsprechend. Darüber hinaus enthält § 17 KDG noch weitere Regelungen in den Absätzen 5 bis 9.

Von der grundsätzlichen Ausrichtung her ist festzustellen, dass die kirchlichen Vorschriften stark an die Regelungen der DS-GVO angelehnt sind, weshalb die Ausführungen im Wesentlichen für die kirchlichen Träger entsprechend gelten. Weitere Einzelheiten bzw. Besonderheiten werden entsprechend dargestellt.

2.2 Rechtslage vor Geltungsbeginn der DS-GVO

Bereits vor Geltungsbeginn der DS-GVO hatten Patienten das Recht, von dem Krankenhausträger Auskunft über die im Krankenhaus gespeicherten personenbezogenen Daten zu verlangen. Das Auskunftsrecht aus Art. 15 Abs. 1 und 2 DS-GVO / § 19 DSG-EKD / § 17 KDG tritt an die Stelle von §§ 19 und 34 BDSG sowie den entsprechenden landesrechtlichen bzw. kirchlichen Vorschriften. Im Vergleich errichtet Art. 15 Abs. 1 und 2 DS-GVO / § 19 DSG-EKD / § 17 KDG allerdings grundsätzlich ein inhaltlich weiterreichendes Auskunftsrecht.²¹¹

2.3 Informationspflichten vs. Auskunftsrecht

Das Auskunftsrecht gemäß Art. 15 DS-GVO steht selbständig neben den Informationspflichten aus Art. 13 und 14 DS-GVO.²¹² Dies hat zur Folge, dass Patienten, die bereits vollumfänglich gem. Art 13 bzw. Art. 14 DS-GVO informiert worden sind²¹³, zusätzlich ein Recht auf Auskunft nach Art. 15 DS-GVO zusteht.

Entsprechendes gilt für die kirchlichen Regelungen. § 19 DSG-EKD steht selbständig neben den Informationspflichten gem. §§ 17, 18 DSG-EKD; § 17 KDG steht selbständig neben §§ 15, 16 KDG.

2.4 Stufen des Auskunftsrechts

Den Patienten steht nach Art. 15 DS-GVO / § 17 KDG ein abgestuftes Auskunftsrecht zu.²¹⁴ Dieses gestaltet sich wie folgt:

1. Stufe: »ob überhaupt«

Zunächst hat die betroffene Person / der betroffene Patient das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob überhaupt sie/ihn betreffende personenbezogene Daten verarbeitet werden, Art. 15 Abs. 1 S. 1, 1. Halbsatz DS-GVO / § 17 Abs. 1 S. 1, 1. Halbsatz KDG. Für den Fall, dass dies nicht der Fall sein sollte, bedürfte es einer entsprechenden Negativauskunft.²¹⁵ Im Krankenhausbereich dürfte eine Negativauskunft auf wenige Fälle beschränkt sein.

2. Stufe: »welche personenbezogenen Daten«

Des Weiteren kann die betroffene Person / der betroffene Patient Auskunft darüber verlangen, welche personenbezogenen Daten vom Verantwortlichen verarbeitet werden, z. B. Name, Vorname, Anschrift, Geburtsdatum, Beruf, medizinische Befunde.²¹⁶

3. Stufe: »weitere Informationen, Katalog aus Art. 15 Abs. 1 DS-GVO / § 17 Abs. 1 KDG«

Zusätzlich hat die betroffene Person / der betroffene Patient einen Anspruch auf folgende weitere Informationen, die sich aus dem Katalog aus Art. 15. Abs. 1 DS- GVO / § 17 Abs. 1 KDG ergeben:²¹⁷

a) die Verarbeitungszwecke,

b) die Kategorien personenbezogener Daten, die verarbeitet werden,

c) die Empfänger oder Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, insbesondere bei Empfängern in Drittländern²¹⁸,

d) falls möglich die geplante Dauer, für die die personenbezogenen Daten gespeichert werden, oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer,

e) das Bestehen eines Rechts auf Berichtigung oder Löschung der sie betreffenden personenbezogenen Daten oder auf Einschränkung der Verarbeitung durch den Verantwortlichen oder eines Widerspruchsrechts gegen diese Verarbeitung,

f) das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde,

g) wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben werden, alle verfügbaren Informationen über die Herkunft der Daten,

h) das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gem. Art. 22 Abs. 1 und 4 DS-GVO²¹⁹ und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.

Besonders hervorzuheben sind danach folgende Informationen, da sich diese in der Regel nicht aus der »Patientenakte« an sich ergeben:

Nach Art. 15 Abs. 1 d) DS-GVO / § 17 Abs. 1 d) KDG / § 19 Abs. 1 Ziff. 4 DSG-EKD muss der Verantwortliche die betroffene Person über die Dauer der Datenspeicherung informieren. Diese Informationspflicht entspricht Art. 13 Abs. 2 a) und Art. 14 Abs. 2 a) DS-GVO²²⁰ (bzw. den Informationspflichten in § 15 Abs. 2 a) KDG / § 17 Abs. 2 Ziff. 1 DSG-EKD).

Ferner muss der Verantwortliche die betroffene Person bei der Auskunftserteilung gem. Art. 15 Abs. 1 e) DS-GVO / § 17 Abs. 1 e) KDG / § 19 Abs. 1 Ziff. 5 DSG-EKD über ihre Betroffenenrechte und gemäß Art. 15 Abs. 1 f) DS-GVO / § 17 Abs. 1 f) KDG / § 19 Abs. 1 Ziff. 6 DSG-EKD über ihr Beschwerderecht informieren. Diese Informationspflichten entsprechen prinzipiell Art. 13 Abs. 2 b) und d) DS-GVO bzw. Art. 14 Abs. 2 c) und e) DS-GVO (bzw. den Informationspflichten in § 15 Abs. 2 b) und d) KDG / § 17 Abs. 2 Ziff. 2 und 3 DSG-EKD).

4. Stufe: Sofern einschlägig – »Drittland«, Art. 15 Abs. 2 DS-GVO / § 17 Abs. 2 KDG

Darüber hinaus steht der betroffenen Person gemäß Art. 15 Abs. 2 DS-GVO / § 17 Abs. 2 KDG das Recht zu, über die geeigneten Garantien gemäß Art. 46. DS-GVO / § 40 KDG im Zusammenhang mit der Übermittlung unterrichtet zu werden, sofern personenbezogene Daten an/in ein Drittland oder an eine internationale Organisation übermittelt werden. Hat der Verantwortliche also Daten an ein Drittland übermittelt oder plant er eine solche Übermittlung und greift er dabei – mangels eines Angemessenheitsbeschlusses der Kommission nach Art. 45 Abs. 3 DS-GVO – auf geeignete Garantien im Sinne von Art. 46 DS-GVO zurück²²¹, so muss er die betroffene Person über diese Garantien unterrichten. Diese Informationspflicht entspricht teilweise den – daneben noch weitere Informationen und Fallkonstellationen erfassenden – Regelungen in Art. 13 Abs. 1 f) DS-GVO / § 15 Abs. 1 f) KDG und Art. 14 Abs. 1 f) DS-GVO. Der Verantwortliche muss gewährleisten, dass die betroffene Person die Garantien tatsächlich erlangen kann.²²²

2.5 Antragstellung formlos, ohne Angabe eines Grundes

Sofern eine betroffene Person / ein Patient Auskunft begehrt, kann sie/er dies formlos und ohne Angabe etwaiger Gründe.²²³ Eines speziellen Formulars o.ä. bedarf es nicht.

Eindeutig ist, dass die Auskünfte gem. Art. 15 DS-GVO / § 17 KDG / § 19 DSG-EKD nur auf Aufforderung / auf Antrag zu erteilen sind.²²⁴ Das Krankenhaus muss nicht von sich aus tätig werden, sondern wartet eine aktive Aufforderung / ein aktives Begehren der betroffenen Person / des Patienten ab.

2.6 Frist für die Auskunftserteilung

Auskunftserteilungen müssen gemäß Art. 12 Abs. 3 Satz 1 DS-GVO / § 14 Abs. 3 Satz 1 KDG unverzüglich erfolgen, spätestens jedoch innerhalb eines Monats nach Eingang des Antrags.

Nur in begründeten Ausnahmefällen kann die Monatsfrist um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist. Über die Fristverlängerung ist die betroffene Person, zusammen mit den Gründen für die Verzögerung, innerhalb eines Monats nach Eingang des Antrags zu informieren, Art. 12 Abs. 3 Satz 3 DS-GVO / § 14 Abs. 3 Satz 3 KDG. § 16 DSG-EKD enthält keine entsprechende Fristenregelung.

2.7 Ausnahmen vom Auskunftsrecht

Hinsichtlich der weltlichen Krankenhausträger enthält Art. 15 DS-GVO direkt keine Ausnahmen zu dem in Art. 15 Abs. 1 und 2 DS-GVO geregelten Auskunftsrecht. Ausnahmen können daher allein durch Beschränkungsregelungen der Union oder eines Mitgliedsstaats auf der Grundlage von Art. 23 DS-GVO (sog. Öffnungsklausel) geschaffen werden.²²⁵

Als eine solche Ausnahmeregelung ist § 29 Abs. 1 S. 2 BDSG (in der am 25.05.2018 in Kraft getretenen Fassung) zu nennen. Diese Regelung enthält eine Einschränkung des Auskunftsrechts, die u.U. auch von Bedeutung für Krankenhäuser sein könnte, sofern sie in den Anwendungsbereich des BDSG fallen: Demzufolge besteht das Recht auf Auskunft der betroffenen Person gemäß Art. 15 DS-GVO nicht, soweit durch die Auskunft Informationen offenbart würden, die nach einer Rechtsvorschrift oder ihrem Wesen nach, insbesondere wegen der überwiegenden berechtigten Interessen eines Dritten, geheim gehalten werden müssen (z. B. Angaben zu Befunden oder zur Behandlung von Angehörigen oder sonstigen Dritten). Ob dies tatsächlich der Fall ist, muss in jedem Einzelfall separat geklärt werden. Im Ergebnis darf dies aber jedenfalls nicht dazu führen, jegliche Auskunft zu verweigern.

Demgegenüber scheinen die in § 34 BDSG (in der am 25.05.2018 in Kraft getretenen Fassung) geregelten Ausnahmetatbestände keine Anwendung im Krankenhausbereich zu finden.

Hinsichtlich des kirchlichen Rechts enthält § 17 Abs. 6 KDG für den Krankenhausbereich teilweise relevante Ausnahmeregelungen. Danach besteht das Recht auf Auskunft dann nicht,

• wenn die betroffene Person bereits über die Informationen verfügt (§ 17 Abs. 6 a) i. V. m. § 15 Abs. 4 KDG) oder

• wenn die Informationserteilung an die betroffene Person einen unverhältnismäßigen Aufwand erfordern würde und das Interesse der betroffenen Person an der Informationserteilung nach den Umständen des Einzelfalls, insbesondere wegen des Zusammenhangs, in dem die Daten erhoben wurden, als gering anzusehen ist (§ 17 Abs. 6 a) i. V. m. § 15 Abs. 4 KDG) oder

• wenn und soweit die Daten oder die Tatsache ihrer Speicherung aufgrund einer speziellen Rechtsvorschrift oder wegen überwiegender berechtigter Interessen Dritter geheim gehalten werden müssen und das Interesse der betroffenen Person an der Auskunftserteilung zurücktreten muss (§ 17 Abs. 6 a) i. V. m. § 15 Abs. 5 a) KDG) oder

• wenn die Erteilung der Information die Geltendmachung, Ausübung oder Verteidigung rechtlicher Ansprüche beeinträchtigen würde und die Interessen des Verantwortlichen an der Nichterteilung der Information die Interessen der betroffenen Person überwiegen (§ 17 Abs. 6 a) i. V. m. § 15 Abs. 5 b) KDG) oder

• wenn – im Fall einer kirchlichen Stelle im Sinne des § 3 Absatz 1 c) KDG (worunter Krankenhausträger zu zählen sind) – die Geltendmachung, Ausübung oder Verteidigung zivilrechtlicher Ansprüche beeinträchtigen würde und nicht das Interesse der betroffenen Person an der Informationserteilung überwiegt (§ 17 Abs. 6 a) i. V. m. § 16 Abs. 5 b) KDG) oder

• wenn die Daten (1) nur deshalb gespeichert sind, weil sie aufgrund gesetzlicher oder satzungsmäßiger Aufbewahrungsvorschriften nicht gelöscht werden dürfen oder (2) ausschließlich Zwecken der Datensicherung oder der Datenschutzkontrolle dienen und die Auskunftserteilung einen unverhältnismäßigen Aufwand erfordern würde sowie eine Verarbeitung zu anderen Zwecken durch geeignete technische und organisatorische Maßnahmen ausgeschlossen ist (§ 17 Abs. 6 b) KDG).

§ 19 DSG-EKD enthält ebenfalls Ausnahmeregelungen. So darf nach § 19 Abs. 2, 4 DSG-EKD Auskunft nicht erteilt werden,

• soweit die Daten oder die Tatsache ihrer Speicherung aufgrund einer speziellen Rechtsvorschrift oder wegen überwiegender berechtigter Interessen Dritter geheim gehalten werden müssen und das Interesse der betroffenen Person an der Auskunftserteilung zurücktreten muss, oder wenn durch die Auskunft die Wahrnehmung des Auftrags der Kirche gefährdet wird oder

• soweit die Auskunft einen unverhältnismäßigen Aufwand erfordern würde.

Inwiefern diese Ausnahmetatbestände greifen könnten, wird im jeweiligen Einzelfall zu prüfen sein. Dies gilt insbesondere hinsichtlich möglicher überwiegender berechtigter Interessen Dritter.

2.8 Beachtung Rechte Dritter

Die Auskunftserteilung an die betroffene Person darf nach Art. 15 Abs. 4 DS-GVO sowie Erwägungsgrund 63 Satz 5 die Rechte des Verantwortlichen oder anderer Personen nicht beeinträchtigen, was bei Geschäftsgeheimnissen oder bei Daten mit Bezug auch auf andere Personen der Fall sein kann.²²⁶

Fraglich ist, worauf genau sich diese Beschränkung bezieht, da sich der Wortlaut von Art. 15 Abs. 4 DS-GVO nur auf »das Recht auf Erhalt einer Kopie gemäß Abs. 1b« bezieht. Die Beschränkung dürfte sich allerdings sowohl auf die Erteilung der Auskunft an sich als auch auf das Recht auf Datenkopie beziehen. Der Wortlaut der deutschen Fassung von Art. 15 Abs. 4 DS-GVO, der sich nur auf Art. 15 Abs. 1b DS-GVO bezieht, scheint hier einem Übersetzungsfehler unterlegen zu sein. In der offiziellen englischen Fassung verweist Art. 15 Abs. 4 DS-GVO nämlich auf Art. 15 Abs. 3 DS-GVO. Da jedoch mit der Kopie im Sinne des Art. 15 Abs. 3 DS-GVO die nach Art. 15 Abs. 1 DS-GVO in Bezug auf die personenbezogenen Daten zu erteilende Auskunft gemeint ist, unterliegt auch der Auskunftsanspruch nach Art. 15 Abs. 1 DS-GVO einer möglichen Beschränkung hinsichtlich der Rechte Dritter.²²⁷

Als Beispiel genannt sei hier der Schutz von Angehörigen im Zusammenhang mit einer psychiatrischen Behandlung eines Patienten insofern, als dem Patienten nicht mitgeteilt wird, dass ein Angehöriger eine Mitteilung über ihn gegenüber den behandelnden Ärzten getätigt hat. Ebenso sind weitere Sachverhaltskonstellationen denkbar, in denen personenbezogene Daten/Gesundheitsdaten Dritter betroffen sein können, die Ärzte im Rahmen des geschützten Vertrauensverhältnisses verarbeiten.²²⁸

Im Ergebnis darf die Einschränkung aber nicht dazu führen, dass jegliche Auskunft verweigert wird (Erwägungsgrundes 63).²²⁹

Eine ähnliche Regelung enthält § 19 Abs. 2 DSG-EKD. Diesbezüglich wird auf die voranstehenden Ausführungen unter VII.2.7 »Ausnahmen vom Auskunftsrecht« verwiesen.

2.9 Grenzen des Auskunftsrechts²³⁰

Zunächst ist zu beachten, dass der Antrag auf Auskunft dem Verantwortlichen ermöglichen muss, die Informationen aufzufinden, über die er Auskunft erteilen soll.²³¹

Hierzu führt Erwägungsgrund 63 Satz 7 Folgendes aus:

»Verarbeitet der Verantwortliche eine große Menge von Informationen über die betroffene Person, so sollte er verlangen können, dass die betroffene Person präzisiert, auf welche Information oder welche Verarbeitungsvorgänge sich ihr Auskunftsersuchen bezieht, bevor er ihr Auskunft erteilt.«

Dem Auskunftsersuchen sind bei umfangsreichen Datenverarbeitungen insofern Grenzen gesetzt, als der Verantwortliche von dem Patienten verlangen kann, dass er präzisiert, auf welche Informationen oder welche Verarbeitungsvorgänge sich das Auskunftsersuchen konkret bezieht. Gemäß den Ausführungen der Datenschutzkonferenz (DSK) kann dies z. B. bei Banken oder Versicherungen mit umfangreichen Vertragsbeziehungen zu der betroffenen Person der Fall sein.²³²

Fraglich ist, ob diese Argumentation im Krankenhausbereich ebenfalls greift. Vergegenwärtigt man sich den Umfang mancher Patientenakten, dürften die bei Banken oder Versicherungen angelegten Akten keinen wesentlichen Unterschied zu Patientenakten aufweisen. Ganz im Gegenteil dürfte vielmehr davon auszugehen sein, dass manche Akte im Krankenhausbereich z. B. bei langwierigen bzw. schwerwiegenden Erkrankungen eher einen größeren Umfang aufweisen dürften.

Fazit zu den Grenzen des Auskunftsrechts

Dem Auskunftsersuchen bei umfangsreichen Datenverarbeitungen sind insofern Grenzen gesetzt, als der Verantwortliche verlangen kann, dass der Patient / die betroffene Person präzisiert,

• auf welche konkreten Informationen oder

• welche konkreten Verarbeitungsvorgänge

sich das Auskunftsersuchen in dem Einzelfall bezieht.

Ebenso sind in diesem Zusammenhang die unten unter VI.2.12 erfolgten Ausführungen zu beachten, wonach der Verantwortliche sich bei offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anträgen weigern kann, aufgrund des Antrags tätig zu werden. Allerdings hat der Verantwortliche den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen.

2.10 Form der Auskunftserteilung

Hinsichtlich der Form der Auskunftserteilung besteht grundsätzlich ein Spielraum des Verantwortlichen.²³³

Dies folgt einerseits aus dem Wortlaut von Art. 15 Abs. 1 DS-GVO / § 17 KDG / § 19 DSG-EKD, der lediglich auf das Recht auf »Auskunft« über diese personenbezogenen Daten abstellt. Art. 12 DS-GVO / § 14 KDG als die Grundnorm führt dazu weiter aus, dass »Mitteilungen gemäß den Artikeln […], die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln [sind]. […] Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch.« § 16 DSG-EKD enthält eine ähnliche, jedoch kürze Darstellung.

Maßgeblich ist danach also die Übermittlung bzw. »Mitteilung« in »schriftlicher« oder »anderer Form« oder auch »elektronisch«, was den Gestaltungsspielraum eröffnet, zumal die Begrifflichkeiten »Mitteilung«, »Übermittlung« sowie »in anderer Form« nicht einmal definiert werden.

Art. 12 Abs. 1 DS-GVO / § 14 Abs. 1 KDG geht ferner von der Möglichkeit aus, eine Information mündlich zu erteilen, allerdings nur dann, sofern dies von der betroffenen Person verlangt (und die Identität der betroffenen Person in anderer Form nachgewiesen) wird.

Des Weiteren trifft Art. 15 Abs. 3 DS-GVO / § 17 Abs. 3 KDG die Regelung, dass dem Patienten ein Anspruch auf Datenkopie zusteht. Der Begriff der Kopie setzt eine irgendwie geartete Verkörperung der Information in einheitlicher Darreichungsform voraus.²³⁴ Dies kann mittels der Ausgabe auf einem Datenträger, z. B. einem elektronischen Speichermedium, oder auch in Papierform erreicht werden.²³⁵

Stellt die betroffene Person ihren Antrag in elektronischer Form, so »muss« der Verantwortliche gemäß dem Wortlaut von Art. 15 Abs. 3 S. 3 DS-GVO / § 17 Abs. 3 S. 3 KDG auch die Datenkopie in elektronischer Form bereitstellen, sofern die betroffene Person nicht ausdrücklich eine andere Form begehrt.²³⁶ Diesbezüglich sollte nach Erwägungsgrund 63 ein Fernzugang bereitgestellt werden. Im Hinblick auf die besondere Schutzwürdigkeit der im Krankenhaus verarbeiteten Daten (Gesundheitsdaten) empfiehlt sich Letzteres im Krankenhausbereich nicht, ebenso wenig Versendungen gemäß E-Mail.

Diesbezüglich stellt sich allerdings die Frage, ob dieses Recht auf Datenkopie neben den Auskunftsanspruch aus Art. 15 Abs. 1 DS-GVO / § 17 Abs. 1 KDG tritt, also einen eigenständigen Anspruch darstellt oder diesen ersetzt?

Eine Einzelmeinung in der Literatur geht davon aus, dass die betroffene Person nach Art. 15 Abs. 3 DS-GVO von dem Verantwortlichen eine Kopie der personenbezogenen Daten verlangen könne, die er über sie verarbeitet. Dieses Recht ergänze den Auskunftsanspruch nach Art. 15 Abs. 1 DS-GVO, wobei beide Rechte selbständig nebeneinander stünden. Denn einerseits könne sich die betroffene Person mittels einer Datenkopie einen vollständigen und ungefilterten Eindruck davon verschaffen, über welche personenbezogenen Daten der Verantwortliche verfüge. Andererseits sei eine Datenkopie gerade bei komplexeren Datenverarbeitungen für die betroffene Person nicht ohne weiteres verständlich und könne darum eine aufbereitete und erläuterte Auskunft nicht ersetzen.²³⁷

Demgegenüber scheinen die Landesbeauftragten für den Datenschutz (Datenschutzkonferenz) von der gegenteiligen Auffassung auszugehen, die im Rahmen eines Kurzpapiers unter dem Stichwort »Form der Auskunftserteilung« Folgendes dazu ausführen:²³⁸

»Die Auskunftserteilung an die betroffene Person kann nach Art. 12 Abs. 1 Sätze 2 und 3 DS-GVO je nach Sachverhalt schriftlich, elektronisch oder – auf Wunsch der betroffenen Person – mündlich erfolgen. Der Verantwortliche stellt eine Kopie der Daten zur Verfügung (Art. 15 Abs. 3 Satz 1 DS-GVO).[…]« (Hervorhebungen durch die Verfasser)

Hieraus ergibt sich nicht ansatzweise, dass das Recht auf Datenkopie das Recht auf Auskunftserteilung lediglich ergänzt. Erfüllt wird der Auskunftsanspruch vielmehr mit der Zur-Verfügung-Stellung der Kopie.

Dies lässt sich auch aus dem Gesamtverständnis sowie dem Zweck der Norm herleiten, wonach Art. 15 DS-GVO das zentrale Recht des Betroffenen ist, das ihn erst in die Lage versetzen soll, seine Rechte auf Löschung, Berichtigung und Einschränkung der Bearbeitung und Datenübertragbarkeit gem. Art. 16 ff. DS-GVO sowie Schadensersatzansprüche gem. Art. 82 DS-GVO geltend zu machen.²³⁹ Mit Vorliegen der gesamten Patientenakte wird ihm diese Möglichkeit zweifelsohne eröffnet.

Entsprechendes lässt sich selbst aus den Ausführungen von Bäcker entnehmen: »Nur mit Hilfe des Auskunftsrechts gemäß Art. 15 DS-GVO kann die betroffene Person zuverlässig einen vollständigen und aktuellen Überblick über die Gegenstände und Modalitäten der Datenverarbeitungen des Verantwortlichen erlangen.«²⁴⁰ Durch die Aushändigung der Patientenakte wird der Patient eben in diese Lage versetzt, die ihm einen vollständigen und aktuellen Überblick über die Gegenstände und Modalitäten der Datenverarbeitungen des Verantwortlichen ermöglicht.

Dafür sprechen auch die Ausführungen einer weiteren Literaturmeinung, wonach der Verantwortliche unter dem Stichwort »Form« der Auskunftserteilung eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, gem. Art. 15 Abs. 3 DS-GVO zur Verfügung stellt.²⁴¹ Dabei sei die Kopie keine Sonderform, sondern der Grundtatbestand der Auskunftserteilung.²⁴²

Dass diese Möglichkeit bestehen dürfte, folgt letztlich auch aus der Weiterentwicklung, die das Auskunftsrecht durch Art. 15 DS-GVO erfährt. Während § 34 BDSG lediglich einen Auskunftsanspruch zum Gegenstand hat, der nach herrschender Meinung gerade keinen Herausgabeanspruch beinhaltet, wird nunmehr in Art. 15 DS-GVO ein Herausgabeanspruch explizit normiert.

Zu ergänzen wäre dies – auf explizite Nachfrage des Patienten – um die Aspekte, die sich nicht aus der Kopie der Patientenakte ergeben, etwa

• die Dauer der Datenspeicherung bzw. Kriterien für die Dauer,

• die Information über die Betroffenenrechte,

• die Information über das Beschwerderecht sowie

• ggf. die Information über eine Datenübermittlung an ein Drittland.

Aktuell sei erwähnt, dass mittlerweile auch eine Veröffentlichung des Hessischen Beauftragten für Datenschutz und Informationsfreiheit (HBDI) mit Stand vom 25.11.2019 vorliegt (»Verhältnis des Auskunftsrechts nach Art. 15 DS-GVO zum Recht auf Einsichtnahme in die Patientenakte nach § 630g BGB«)²⁴³, in deren Rahmen sich der HBDI mit dem Recht auf Kopie auseinandersetzt und folgende Feststellungen trifft:

»Einen Anspruch auf Herausgabe einzelner Kopien, z. B. im Sinne einer Fotokopie bestimmter Dokumente, enthält Art. 15 Abs. 3 DS-GVO in aller Regel jedoch nicht. Vielmehr ist der Kopie-Begriff des Art. 15 Abs. 3 DS-GVO im Sinne einer sinnvoll strukturierten Zusammenfassung zu verstehen.

Dem Betroffenen müssen daher nicht sämtliche, ihn betreffenden Dokumente in Kopie zur Verfügung gestellt werden – schließlich spricht auch der Wortlaut von Art. 15 Abs. 3 Satz 1 DS-GVO lediglich von einer Kopie der »personenbezogenen Daten« und gerade nicht von einer Kopie der Unterlagen, Dokumente oder Akten, in denen diese enthalten sind.«

Fazit zur Form der Auskunftserteilung

Im Ergebnis kann das Krankenhaus dem Patienten also Kopien in Form von Ausdrucken/Papierkopien zur Verfügung stellen, übergeben, übermitteln oder als Informationen auf einem Speichermedium speichern, z. B. CD, USB-Stick. Dabei ist die persönliche Übergabe genauso möglich wie eine postalische Versendung.

2.11 Umsetzung im Krankenhausbereich

Fraglich ist, wie dieses Auskunftsrecht im Krankenhausbereich sinnvollerweise umgesetzt werden kann. Hierbei bietet es sich in der praktischen Umsetzung an, dass der Verantwortliche insgesamt wie folgt vorgeht:

1. Schritt: Verifizierung der Identität

Es muss sichergestellt werden, dass die Daten, über die Auskunft erteilt werden soll, nicht unbefugten Dritten zur Verfügung gestellt werden. Hierauf ist insbesondere bei mündlicher Auskunftserteilung zu achten. Hat der Verantwortliche begründete Zweifel an der Identität eines Antragstellers (z. B. »vermeintlicher Patient«), so kann er nach Art. 12 Abs. 6 DS-GVO / § 15 Abs. 6 KDG zusätzliche Informationen zur Bestätigung der Identität nachfordern, z. B. eine Postadresse bei elektronischem Auskunftsantrag²⁴⁴ oder das Vorzeigen des Lichtbildausweises.

2. Schritt: Prüfung, worauf genau sich das Auskunftsersuchen bezieht

Je nachdem in welcher Form – mündlich/schriftlich – das Auskunftsersuchen der betroffenen Person / des Patienten beim Verantwortlichen eingeht, sollte zunächst geprüft werden, ob sich bereits daraus ergibt, worauf genau es sich bezieht, etwa

• auf einen konkreten Verarbeitungsvorgang oder

• auf konkrete Informationen.

3. Schritt: Nachfragen, um das Auskunftsersuchen zu präzisieren

Sollte das Auskunftsersuchen nicht konkret genug sein, empfiehlt sich, gemäß den oben unter VI.2.9 »Grenzen des Auskunftsrechts« dargestellten Ausführungen vorzugehen. Der Verantwortliche sollte – unter Hinweis auf die umfangreichen Verarbeitungen im Krankenhaus – den Patienten dazu auffordern, sein Ersuchen zu präzisieren / genauer darzulegen / einzugrenzen.

In welcher Form dies geschieht, ist nicht vorgegeben. Der Verantwortliche kann etwa

• mündlich,

• telefonisch,

• per Fax,

• auf dem Postwege

nachfragen, auf welche Informationen oder welche konkreten Verarbeitungsvorgänge sich das Auskunftsersuchen bezieht.

In diesem Zusammenhang könnte – sofern es sich anbietet – mit dem Patienten bereits auch direkt die konkrete Form der Erteilung der Auskunft besprochen werden, beispielweise die postalische Versendung einer CD.

4. Schritt/Alternative: Erfüllung durch Datenkopie / Anspruch auf Datenkopie

Sofern es sich bei der Behandlungsdokumentation des anfragenden Patienten um eine »schmale« (nicht umfangreiche) Akte handeln sollte oder der verwaltungsmäßige Aufwand als geringer eingeschätzt wird als ein Nachfragen zur Präzisierung und eine sodann zu erfolgende Reaktion, besteht ferner die Möglichkeit, dem Patienten – als Reaktion auf sein Auskunftsersuchen – eine Kopie seiner Akte zur Verfügung zu stellen. (Diesbezüglich wird auf die Ausführungen unter VI.2.10 »Form der Auskunftserteilung« verwiesen.)

Der Anspruch auf Datenkopie steht dem Patienten / der betroffenen Person ohnehin gemäß Art. 15 Abs. 3 DS-GVO / § 17 Abs. 3 KDG zu.

5. Schritt: Ergänzende Informationen

Daneben mögen einzelne spezielle Auskunftsersuchen bestehen bleiben. Dies gilt insbesondere hinsichtlich derjenigen Fälle, in denen dem Patienten z. B. eine Kopie der Akte zur Verfügung gestellt wird, er aber weitere Auskunft um die Aspekte begehrt, die sich nicht aus der Kopie der Patientenakte ergeben, etwa

• die Dauer der Datenspeicherung bzw. Kriterien der Festlegung der Dauer,

• die Information über die Betroffenenrechte,

• die Information über das Beschwerderecht sowie

• ggf. die Information über eine Datenübermittlung an ein Drittland.

2.12 Kosten

Der Verantwortliche hat die erste Datenkopie gemäß Art. 15 Abs. 3 DS-GVO / § 17 Abs. 3 KDG unentgeltlich zur Verfügung zu stellen. Dies ergibt sich ausdrücklich aus Art. 12 Abs. 5 S. 1 DS-GVO / § 14 Abs. 5 S. 1 KDG.

Für weitere Kopien enthält Art. 15 Abs. 3 S. 2 DS-GVO / § 17 Abs. 3 S. 2 KDG hingegen eine Sonderregelung und erlaubt dem Verantwortlichen, ein angemessenes Entgelt auf der Grundlage der Verwaltungskosten zu verlangen.²⁴⁵

Demgegenüber enthält § 19 Abs. 3 DSG-EKD die Regelung, dass die Auskunft (wohl generell) unentgeltlich erfolgt.

Als Anhaltspunkte hinsichtlich der Frage, was als »Verwaltungskosten« angesetzt werden kann, kann für Papier-Akten in Analogie zu Akten-Einsichtsbegehren der Patienten auf der Grundlage von § 630g BGB auf die dort üblichen Vergütungssätze zurückgegriffen werden. Nach dem Urteil des Landgerichtes München I vom 19.11.2008²⁴⁶ ist eine Erstattung von 50 Cent pro DIN-A4-Seite – unabhängig von der Anzahl der Seiten insgesamt – jedenfalls nicht unangemessen.²⁴⁷

Hinsichtlich digitaler/elektronischer Akten gelten diese Ausführungen entsprechend.²⁴⁸ Unter Maßgabe der Feststellungen des Urteils des Landegerichts München I wird durch die Erstattung der Kopierkosten insbesondere dem beträchtlichen Aufwand für die Vervielfältigung der unterschiedlichen Behandlungsunterlagen Rechnung getragen. Dabei geht es nicht um die Sachkosten eines einzelnen Blattes Papier, sondern vielmehr um den Arbeitsaufwand, der durch die Bearbeitung entsteht. Dabei kann es keinen Unterschied machen, ob eine Seite Papier auf einen Kopierer gelegt und vervielfältigt werden muss, oder ob jede einzelne Datei einer Patientenakte geöffnet und auf ein anderes Medium gespeichert wird. Dies gilt insbesondere vor dem Hintergrund, dass die Einsichtnahme bzw. Herausgabe einer Akte nicht ohne Prüfung der kompletten Akte erfolgen kann, sondern Beschränkungen unterliegt. Dies ergibt sich aus § 630g Abs. 1 Satz 1 BGB, wonach der Patient seine Akte nur einsehen kann, soweit der Einsichtnahme nicht erhebliche therapeutische Gründe oder sonstige erhebliche Rechte Dritter entgegenstehen. Das Argument, eine digitale Akte könne »mit einem Knopfdruck« – sofern überhaupt rein technisch möglich – kopiert werden, ist damit eindeutig widerlegt.²⁴⁹

Außerdem kann der Verantwortliche bei offenkundig unbegründeten oder – insbesondere im Fall von häufiger Wiederholung – exzessiven Anträgen gem. Art. 12 Abs. 5 S. 2, 3 DS-GVO / § 14 Abs. 5 S. 2, 3 KDG entweder ein angemessenes Entgelt verlangen, bei dem die Verwaltungskosten für die Unterrichtung oder die Mitteilung oder die Durchführung der beantragten Maßnahme berücksichtigt werden, oder sich weigern, aufgrund des Antrags tätig zu werden. Allerdings hat der Verantwortliche den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen.

Beachte bzgl. Kopier-/Vervielfältigungs-Kosten für Patientenakten

Zu differenzieren ist grundsätzlich zwischen

a) der »datenschutzrechtlichen Datenkopie« für den Patienten zwecks Überprüfung der rechtmäßigen Verarbeitung der ihn betreffenden personenbezogenen Daten auf der Grundlage von Art. 15 DS-GVO / § 17 KDG / § 19 DSG-EKD (1. Kopie kostenlos!) und

b) der sonstigen Datenkopie auf der Grundlage von § 630g BGB (Erstattung der Kosten durch den Patienten!).

Der Zweck von Art. 15 DS-GVO / § 17 KDG / § 19 DSG-EKD besteht »ausschließlich« darin, dem Patienten die Überprüfung der rechtmäßigen Verarbeitung der ihn betreffenden personenbezogenen Daten zu ermöglichen. Diese Auskunft in Form der ersten Datenkopie ist ihm kostenlos zur Verfügung zu stellen.

Bei davon unabhängigen Einsichtsbegehren der Patienten / Herausgabeverlangen aus welchen Gründen auch immer (Einsicht in Patientenakte ohne Angabe von Gründen, haftungsrechtlicher Hintergrund usw.) müssen die entsprechenden Kosten von den Patienten gem. § 630g BGB erstattet werden. Hinsichtlich der Abgrenzung Art. 15 DS-GVO vs. § 630g BGB im Einzelnen vgl. hierzu VII.15.10.

2.13 Rechtsfolgen bei Verstoß

Unterlassene oder nicht vollständige Auskunftserteilungen an betroffene Personen sind nach Art. 83 Abs. 5 b) DS-GVO mit einer hohen Geldbuße bedroht.²⁵⁰ Diese kann bis zu 20.000.000 EUR oder im Fall eines Unternehmens bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs betragen, je nachdem, welcher der Beträge höher ist.

Daneben oder anstelle von Geldbußen drohen aufsichtsrechtliche Maßnahmen gemäß Art. 58 DS-GVO.

Demgegenüber sind die Rechtsfolgen bei einem Verstoß im Rahmen der DSG-EKD / KDG wesentlich milder geregelt. Bei Verstößen können Geldbußen von bis zu 500.000 EUR verhängt werden. Dies ergibt sich aus § 45 Abs. 5 DSG-EKD / § 51 KDG.

Daneben besteht allerdings auch hier die Möglichkeit der Verhängung aufsichtsrechtlicher Maßnahmen nach § 44 Abs. 3 i. V. m. § 45 Abs. 6 DSG-EKD / § 47 Abs. 6 KDG.

3 Recht auf Löschung / Recht auf »Vergessenwerden« gemäß Art. 17 DS-GVO / § 21 DSG-EKD / § 19 KDG

Gemäß Art. 17 DS-GVO haben betroffene Personen ein Recht auf Löschung ihrer personenbezogenen Daten. Der für die Datenverarbeitung Verantwortliche ist danach unter bestimmten Voraussetzungen verpflichtet, diese Daten zu löschen. Gleichlautende Regelungen finden sich in den datenschutzrechtlichen Regelwerken der evangelischen²⁵¹ und der katholischen²⁵² Kirche.

Auch das Bundesdatenschutzgesetz (BDSG)²⁵³ alter Fassung sowie einige Landeskrankenhausgesetze enthielten bereits die Vorgabe, personenbezogene Daten auf Verlangen der betroffenen Person unter bestimmten Voraussetzungen durch den für die Datenverarbeitung Verantwortlichen zu löschen. Dieses Recht auf Löschung wird in Art. 17 DS-GVO / § 21 DSG-EKD / § 19 KDG umfangreicher und detaillierter geregelt und um ein sogenanntes »Recht auf Vergessenwerden« ergänzt. Gleichzeitig sieht § 35 BDSG neue Fassung²⁵⁴ Einschränkungen für das Recht auf Löschung vor. Darüber hinaus enthalten Art. 19 DS-GVO / § 21 Abs. 2 DSG-EKD / § 19 Abs. 2 KDG Mitteilungspflichten im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten, wonach z. B. vollzogene Löschungen Dritten mitzuteilen sind.

Krankenhäusern wird seit jeher eine Aufbewahrungsdauer für Krankenunterlagen von insgesamt maximal 30 Jahren empfohlen, weil mögliche Schadensersatzansprüche von Patienten, die auf der Verletzung des Lebens, des Körpers oder der Freiheit beruhen, gemäß § 199 Abs. 2 Bürgerliches Gesetzbuch (BGB) in 30 Jahren verjähren. Erst nach Ablauf dieser Verjährungsfrist ist es Patienten nicht mehr möglich, entsprechende Ansprüche geltend zu machen. Für die Krankenhäuser ist daher insbesondere von Bedeutung, ob diese Empfehlung angesichts der Regelungen in der DS-GVO, im DSG-EKD, im KDG und im BDSG neue Fassung weiterhin aufrechterhalten werden kann. Die nachfolgenden Hinweise geben einen Überblick, ob Krankenhäuser Patientendaten ab dem Geltungsbeginn der DS-GVO / des DSG-EKD / des KDG nach wie vor für einen so langen Zeitraum aufbewahren können. Hierbei ist im Einzelnen Folgendes zu beachten:

3.1 Pflicht zur Löschung personenbezogener Daten

Gemäß Art. 17 Abs. 1 DS-GVO hat die betroffene Person das Recht, vom Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, wenn

a) die personenbezogenen Daten für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig sind,

b) die betroffene Person ihre Einwilligung widerrufen hat und es an einer anderweitigen Rechtsgrundlage für die Verarbeitung der Daten fehlt,

c) die betroffene Person gemäß Art. 21 Abs. 1 DS-GVO Widerspruch gegen die Verarbeitung einlegt und keine vorrangigen berechtigten Gründe für die Verarbeitung vorliegen, oder die betroffene Person gemäß Art. 21 Abs. 2 DS-GVO Widerspruch gegen die Verarbeitung einlegt,

d) die personenbezogenen Daten unrechtmäßig verarbeitet wurden,

e) die Löschung der personenbezogenen Daten zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich ist, dem der Verantwortliche unterliegt, oder

a) die personenbezogenen Daten in Bezug auf angebotene Dienste der Informationsgesellschaft gemäß Art. 8 Abs. 1 DS-GVO erhoben wurden. Art. 8 Abs. 1 DS-GVO regelt die Bedingungen für die Einwilligung eines Kindes in Bezug auf Dienste der Informationsgesellschaft (z. B. soziale Netzwerke, Online-Spiele).

§ 19 Abs. 1 KDG enthält dieselben Gründe für das Recht der betroffenen Person auf Löschung der sie betreffenden personenbezogenen Daten und die Verpflichtung des Verantwortlichen zur Löschung wie Art. 17 Abs. 1 DS-GVO. Einzig der in Art. 17 Abs. 1 f DS-GVO aufgelistete Grund für eine Löschung fehlt in § 19 Abs. 1 KDG.

§ 21 Abs. 1 DSG-EKD enthält eine im Wesentlichen gleichlautende Regelung, weist allerdings teilweise eine andere Sortierung und einen in Teilen abweichenden Wortlaut auf. Danach sind personenbezogene Daten zu löschen, wenn

1. ihre Speicherung unzulässig ist oder

2. ihre Kenntnis für die verantwortliche Stelle zur Erfüllung der in ihrer Zuständigkeit liegenden Aufgaben nicht mehr erforderlich ist;

3. die betroffene Person ihre Einwilligung bezüglich der Verarbeitung ihrer Daten widerruft und es an einer anderweitigen Rechtsgrundlage für die Verarbeitung fehlt;

4. die betroffene Person gemäß § 25 Widerspruch gegen die Verarbeitung einlegt und keine vorrangigen berechtigten Gründe für die Verarbeitung vorliegen;

5. die Löschung der personenbezogenen Daten zur Erfüllung rechtlicher Verpflichtungen der verantwortlichen Stelle notwendig ist;

6. die Löschung personenbezogener Daten verlangt wird, die bei elektronischen Angeboten, die Minderjährigen direkt gemacht worden sind, erhoben wurden.

Für den Krankenhausbereich dürften als Grundlage für eine mögliche Löschungsverpflichtung in erster Linie Art. 17 Abs. 1a, b, c, d und ggf. e DS-GVO / § 21 Abs. 1 Nr. 1, 2, 3, 4 und ggf. 5 DSG-EKD / § 19 Abs. 1a, b, c, d und ggf. e KDG von Bedeutung sein: