Datenschutz krankenhaus patientenakte forschung

Datenschutz Krankenhaus Patientenakte Forschung

Arbeitsweg

• Rolle, Ziel und gewünschtes Arbeitsprodukt klären: Wer handelt, welche Entscheidung steht an, welche Frist läuft und welcher Output wird gebraucht?
• Fristen und Eilrisiken zuerst markieren: nur die Fristen des konkreten Rechtsgebiets und der Akte verwenden; Widerspruch, Klage, Einspruch, Rechtsmittel, Verjährung, Verwirkung, Rüge-, Anzeige-, Anmelde- und Ausschlussfristen strikt trennen und nie aus einem anderen Fachgebiet übernehmen.
• Tragende Normen verifizieren: die im Plugin-Kontext einschlägigen Normen über gesetze-im-internet.de, dejure.org, eur-lex.europa.eu und die amtlichen Bundes-/Landesportale live prüfen — Fundstellen über gesetze-im-internet.de, dejure.org, openJur, BVerfG-/BGH-/EuGH-Datenbank live prüfen; keine Modellwissen-Zitate.
• Zuständige Stelle bestimmen und Adressaten richtig wählen: Mandant, Gegner, zuständige Behörde oder Gericht, Sachverständige, ggf. EU-/internationale Stelle (siehe Skill-Detail).
• Dokumente und Beweismittel sammeln und auf Lücken prüfen: Verwaltungsakte, Vertragsurkunden, Schriftsätze, Bescheide, Protokolle, Sachverständigengutachten und externe Beweismittel des Fachgebiets — fehlende Belege durch Akteneinsicht oder Rückfrage beim Mandanten beschaffen, Live-Check für tagesaktuelle Normänderungen und Verwaltungspraxis.

Fachkern: Datenschutz Krankenhaus Patientenakte Forschung

• Normen-/Quellenanker: KHG/KHEntgG, SGB V, Krankenhausplanung der Länder, Qualitätsvorgaben, Vergütung, MD-Prüfung, Haftung, Datenschutz und Arbeits-/Medizinprodukterecht.
• Entscheidende Weiche: Planung/Zulassung, Vergütung, Behandlungspflicht, Organisation, Qualität, Datenschutz, Haftung und Behördenkommunikation trennen.
• Arbeitsprodukt: Erzeuge eine konkrete Prüf- oder Entscheidungsmatrix mit Norm, Tatbestand, Beleg, Einwand, Risikoampel und nächstem Schritt; Anschluss-Skills nur bei echter Vertiefung nennen.

Worum geht es konkret

Patientendaten sind besonders schutzwuerdig (Art. 9 DSGVO Gesundheitsdaten). Im Krankenhaus uberlagern sich DSGVO, BDSG, Landeskrankenhausgesetze, § 203 StGB, SGB X, MBO-Aerzte. Sekundaerthemen: ePA-Anbindung, Forschung, KI-Tools, Cloud-Auftragsverarbeitung, Datenpannen-Meldepflicht.

Wann dieses Modul hilft / Kaltstart-Fragen

• Welcher Verarbeitungszweck: Behandlung, Abrechnung, Forschung, Qualitaetssicherung, ePA?
• Liegt Auftragsverarbeitungsvertrag (AVV, Art. 28 DSGVO) vor?
• Wird KI eingesetzt (Diagnoseunterstuetzung, OCR, Spracherkennung)?
• Auskunfts-/Loeschungsbegehren eines Patienten?
• Datenpanne (Verlust, Diebstahl, Fehlversand)?

Rechtlicher Rahmen

• DSGVO Art. 5, 6, 9, 12-22, 32, 33, 34 Grundprinzipien, Gesundheitsdaten, Betroffenenrechte, TOM, Meldepflicht.
• BDSG §§ 22, 23 Verarbeitung Gesundheitsdaten.
• Landeskrankenhausgesetze patientendatenschutz (z. B. § 9 KHG NRW).
• SGB X §§ 67, 76 ff. Sozialdatenschutz, Datenweitergabe.
• § 203 StGB strafrechtliche Schweigepflicht.
• MBO-Aerzte § 9 aerztliche Schweigepflicht.
• PatientendatenSchutzG (PDSG) ePA-Anbindung.

/ Schritt für Schritt

1. Rechtsgrundlage je Verarbeitung: Art. 6/9 DSGVO; Behandlung Art. 9 Abs. 2 lit. h; Forschung Art. 9 Abs. 2 lit. j + § 27 BDSG; Abrechnung gesetzliche Pflicht.
2. Patienteninformation Art. 13/14 DSGVO: Verstaendlich, schriftlich, für jeden Hauptzweck.
3. Einwilligungen separat: Behandlung (gesetzlich nicht erforderlich), Forschung (i. d. R. erforderlich), Werbung/Sekundaerzweck.
4. AVV bei Auftragsverarbeitung (Cloud, IT, KI-Anbieter): Inhalt § 28 DSGVO; technische und organisatorische Maßnahmen.
5. Patientenakte/Einsichtsrecht: §§ 630g BGB, Art. 15 DSGVO; unverzueglich, ggf. Gebuehr für Kopien.
6. Forschungsprojekt: Konzept, Ethikkommission, DSGVO-Prüfung, Pseudonymisierung/Anonymisierung.
7. Datenpanne: Innerhalb 72h Meldung Aufsicht (Art. 33), bei hohem Risiko Betroffene informieren (Art. 34).

Trade-off-Matrix

Vorhaben	Rechtsgrundlage	Risiko
Behandlung	Art. 9 Abs. 2 lit. h DSGVO	niedrig, Information noetig
Abrechnung	gesetzliche Pflicht	Sozialdatenschutz prüfen
Qualitaetssicherung	Art. 9 Abs. 2 lit. h/i	Pseudonymisierung empfohlen
Forschung	Einwilligung / § 27 BDSG	Ethikkommission, DSFA
KI-Diagnose	Art. 6/9, ggf. DSFA	sektorale Risiken
Cloud	AVV + Art. 44 ff. DSGVO	Drittlandsthematik

Praxistipps

• Patientendatenschutz hat zwei Schutzebenen: DSGVO/BDSG zivil-/oeffentlichrechtlich; § 203 StGB strafrechtlich.
• AVV im Cloud-Kontext muss Subunternehmer, Loeschpflichten, Audit-Rechte enthalten.
• ePA-Anbindung verlangt PDSG-konforme Schnittstellen.
• KI-Anwendungen mit Patientendaten: Datenschutz-Folgenabschaetzung (DSFA, Art. 35).
• Forschungsdaten meist pseudonymisiert; vollanonymisierte Daten fallen aus DSGVO heraus.
• Datenpanne-Meldung 72h ist Frist, kein Soll.

Mustertexte

Patienteninformation Art. 13 DSGVO (Auszug):

Verantwortlich: [Klinik]. Zwecke: Behandlung, Abrechnung, Qualitaetssicherung. Rechtsgrundlagen: Art. 9 Abs. 2 lit. h DSGVO; gesetzliche Pflichten. Empfaenger: Kassen, MD, Aufsichtsbehoerden. Rechte: Auskunft, Berichtigung, Loeschung (eingeschraenkt), Beschwerde. Datenschutzbeauftragter: …

Datenpanne-Meldung (Skizze):

An Landesdatenschutzbeauftragten. Wir melden gemäß Art. 33 DSGVO eine Datenpanne. Ereignis: [Datum/Zeit]. Betroffene: [Anzahl]. Daten: [Kategorien]. Ursache: …. Maßnahmen: …. Ansprechpartner: …

Typische Fehler

• AVV fehlt oder ist unvollstaendig.
• Patientendaten in unverschluesselten E-Mails an Externe.
• Forschung ohne Ethik-/Datenschutzfreigabe.
• Datenpannen-Frist 72h versaeumt.
• KI-Tools ohne DSFA und ohne Pseudonymisierungspruefung.

Quellen Stand 06/2026

• DSGVO.
• BDSG §§ 22, 23, 27.
• Landeskrankenhausgesetze 16 Länder (Live-Check Landesministerien).
• SGB X §§ 67, 76.
• StGB § 203.
• PatientendatenSchutzG (PDSG) zur ePA.
• BfDI- und Landesdatenschutzaufsicht-Hinweise (Live-Check bfdi.bund.de).
• BGH, staend. Rspr. zur aerztlichen Schweigepflicht.