Datenschutzaudit im Zusammenhang mit der Einführung einer Elektronischen Patientenakte Treffen der Justitiare der Universitätskliniken am Universitätsklinikum Eppendorf 14. April bis 15. April 2011 Bild einfügen (Cover Small) Jörg Wimmers / Dr. Carsten Schulz

Bild einfügen (Right Hand Banner Small) Agenda Bild einfügen (Right Hand Banner Small) 01 > Einführung: Die elektronische Patientenakte 02 > Betroffene Daten (Überblick) 03 > Patientendaten 04 > Mitarbeiterdaten 05 > Datenschutzkonforme Organisation 06 > Die elektronische Patientenakte im Gesundheitskonzern 07 > Projektplanung 08 > Ausblick © 2011 Taylor Wessing Deutschland

01 > Einführung: Die elektronische Patientenakte (1/3) Die elektronische Patientenakte stellt eine zentrale elektronische Sammlung und Verwaltung aller den Krankheits- und Behandlungsverlauf eines Patienten betreffenden Daten (Befunddaten, Diagnosen, Behandlungsverlauf, Behandlungsergebnis, zugehörige Korrespondenz) dar. Es werden dabei die Informationen aller beteiligten medizinischen Bereiche mit deren jeweiligen geeigneten Formaten bzw. Medien (Text, Grafik, Bild, Film, Ton) für die problem-, fall- oder prozessorientierte Dokumentation zusammengefasst und verfügbar gemacht. © 2011 Taylor Wessing Deutschland

01 > Einführung: Die elektronische Patientenakte (2/3) Patientengeführte Patientenakte Arztgeführte Patientenakte, z.B. Krankenhausinformationssysteme Einrichtungsübergreifende elektronische Patientenakten © 2011 Taylor Wessing Deutschland

01 > Einführung: Die elektronische Patientenakte (3/3) Hochsensible Daten Interessenabwägung: Effektive medizinische Versorgung Effektiver Daten- und Persönlichkeitsschutz Selbstbestimmung Großes Interesse der Datenschutzbehörden, z.B. Beschluss der 81. Konferenz der Datenschutzbeauftragten des Bundes und der Länder am 16./17. März 2011 in Würzburg: Datenschutzkonforme Gestaltung und Nutzung von Krankenhausinformationssystemen © 2011 Taylor Wessing Deutschland

02 > Betroffene Daten (Überblick) Patientendaten Informationen zur Person Informationen zum Befund und zur Krankengeschichte Abrechnungsinformationen Mitarbeiterdaten Behandlungsdokumentation (Was, wann, wie, …) Abrechnungsdaten Informationen für Krankenkassen, … © 2011 Taylor Wessing Deutschland

03 > Patientendaten (1/2) Was ist zu berücksichtigen? Welche Daten dürfen überhaupt erhoben, gespeichert, verarbeitet werden? Wer hat Zugang zu welchen Patientendaten (Berechtigungskonzepte, Berechtigungsvergabe)? Welche Daten dürfen an Dritte (z.B. Hausarzt) weitergegeben werden? Wie ist Speicherung und Archivierung von Patientendaten geregelt? Können Patientendaten für Forschung und Lehre zur Verfügung gestellt werden? Relevante gesetzliche Bestimmungen Landeskrankenhausgesetze (z.B. §§ 7 ff. HmbKHG) Landesdatenschutzgesetze / Bundesdatenschutzgesetz § 203 StGB (ärztliche Schweigepflicht) © 2011 Taylor Wessing Deutschland

03 > Patientendaten (2/2) Beispiel: § 8 HmbKHG (1) Patientendaten darf das Krankenhaus erheben und speichern, soweit dies 1. im Zusammenhang mit der Behandlung der Patientin bzw. des Patienten einschließlich der Erfüllung der ärztlichen Dokumentationspflicht, 2. zur sozialen Betreuung und Beratung der Patientin bzw. des Patienten nach § 6 durch den krankenhausinternen Sozialdienst, oder 3. zur Abwicklung von Ansprüchen, die mit der Behandlung im Zusammenhang stehen, erforderlich ist. Außerdem können mit Einverständnis der Patientin bzw. des Patienten Daten für ihre bzw. seine seelsorgerische Betreuung erhoben und gespeichert werden. (2) Patientendaten sind so zu speichern, dass nur solche Mitarbeiterinnen und Mitarbeiter Kenntnis nehmen können, die die Patientendaten zur rechtmäßigen Erfüllung der ihnen obliegenden Aufgaben benötigen. © 2011 Taylor Wessing Deutschland

04 > Mitarbeiterdaten Nur eine lückenlose Dokumentation der durchgeführten Maßnahmen ermöglicht eine optimale und lückenlose Versorgung der Patienten => mit den Patientendaten werden stets auch Mitarbeiterdaten erhoben, z.B.: Wer hat wann welche Maßnahmen angeordnet / durchgeführt? Wer hat wann was verschrieben? Je nach Funktionalität des jeweiligen KIS können Auswertungen der Maßnahmen / Verschreibungen durchgeführt werden. Relevante gesetzliche Bestimmungen: Landesdatenschutzgesetze / Bundesdatenschutzgesetz Gesetzliche Regelungen zur Mitbestimmung © 2011 Taylor Wessing Deutschland

05 > Datenschutzkonforme Organisation Die Landesdatenschutzgesetze / das Bundesdatenschutzgesetz stellen eine Reihe unterschiedlicher Vorgaben für eine datenschutzkonforme Organisation und Durchführung auf, u.a.: Vorabkontrolle Erstellung eines Verfahrensverzeichnisses Kooperation mit dem Landesdatenschutzbeauftragten Einführung / Durchführung technisch-organisatorischer Maßnahmen © 2011 Taylor Wessing Deutschland

06 > Die elektronische Patientenakte im Gesundheitskonzern Zahlreiche Kliniken sind inzwischen nach Art eines Konzerns organisiert, also z.B. Muttergesellschaft / zentrale Körperschaft Privatrechtliche Tochtergesellschaften (Kliniken, Fachbereiche) Servicegesellschaften Das Datenschutzrecht kennt kein Konzernprivileg! Gestaltungsmöglichkeiten im Falle zentraler Einführung / Verwaltung: Auftragsdatenverarbeitung Funktionsübertragung © 2011 Taylor Wessing Deutschland

07 > Projektplanung Bei Einführung / Nutzung einer (arztgeführten) elektronischen Patientenakte sind insbesondere folgende datenschutzrelevante Punkte zu berücksichtigen: Funktionsanalyse / Funktionsplanung / Vorabkontrolle Datenfluss- und Schnittstellenanalyse (technische Systeme; Drittübermittlung) Entwicklung sachgerechter Berechtigungskonzepte für die Einführungsphase für den Betrieb für Sondersituationen / Notfallzugriffe für besondere Patientengruppen (VIPs; Mitarbeiter) Zugriffsprotokollierung Planung und Einführung technisch organisatorischer Maßnahmen Verfahrensverzeichnis [Berücksichtigung von Mitbestimmungsrechten] Wartungsplanung / Fernwartung durch Dritte © 2011 Taylor Wessing Deutschland

08 > Ausblick Aktuelle und angekündigte Entwicklungen im Krankenhausdatenschutz Insb. Ergebnisse der 81. Konferenz der Datenschutzbeauftragten des Bundes und der Länder am 16./17. März 2011 in Würzburg Öffentliche Relevanz des Krankenhausdatenschutzes © 2011 Taylor Wessing Deutschland

Ihr Taylor Wessing Team Jörg Wimmers, LL.M. (NYU) Partner, Hamburg Kontaktdetails T: +49 (0)40 368 03 225 E: j.wimmers@taylorwessing.com Dr. Carsten Schulz Partner, Hamburg Kontaktdetails T: +49 (0)40 368 03 132 E: c.schulz@taylorwessing.com © 2011 Taylor Wessing Deutschland

Unsere Standorte Representative offices Associated office Berlin Ebertstraße 15 10117 Berlin T. +49 (0)30 88 56 36 0 F. +49 (0)30 88 56 36 100 Brüssel Trône House 4 Rue du Trône 1000 Brüssel T. +32 (0)2 289 6060 F. +32 (0)2 289 6070 Cambridge 24 Hills Road Cambridge, CB2 1JP T. +44 (0)1223 446400 F. +44 (0)1223 446401 Dubai 26th Floor, Rolex Tower, Sheikh Zayed Road, P.O. Box 33675 Dubai, United Arab Emirates T. +971 (0)4 332 3324 F. +971 (0)4 332 3325 Düsseldorf Benrather Straße 15 40213 Düsseldorf T. +49 (0)211 83 87 0 F. +49 (0)211 83 87 100 Frankfurt Senckenberganlage 20-22 60325 Frankfurt a.M. T. +49 (0)69 971 30 0 F. +49 (0)69 971 30 100 Hamburg Hanseatic Trade Center Am Sandtorkai 41 20457 Hamburg T. +49 (0)4 0 36 80 30 F. +49 (0)4 0 36 80 3280 London 5 New Street Square London EC4A 3TW T. +44 (0)20 7300 7000 F. +44 (0)20 7300 7100 München Isartorplatz 8 80331 München T. +49 (0)89 2 10 38 0 F. +49 (0)89 2 10 38 300 Paris 42 avenue Montaigne 75008 Paris T. +33 (0)1 72 74 03 33 F. +33 (0)1 72 74 03 34 Representative offices Associated office Beijing Unit 1503, Tower 2, Prosper Center No. 5, Guanghua Road Chaoyang District Beijing 100020 T. +86 10 8587 5886 F. +86 10 8587 5885 Shanghai Unit 1509, United Plaza No. 1468, Nanjing West Road Shanghai 200040 T. +86 21 6247 7247 F. +86 21 6247 6248 Warschau BSJP Legal Al Armii Ludowej 26 PL-00-609 Warsaw T. +48 (0) 22 579 89 00 F. +48 (0) 22 579 89 01 © Taylor Wessing 2011 This publication is intended for general public guidance and to highlight issues. It is not intended to apply to specific circumstances or to constitute legal advice. Taylor Wessing’s international offices operate as one firm but are established as distinct legal entities. For further information about our offices and the regulatory regimes that apply to them, please refer to www.taylorwessing.com/regulatory © 2011 Taylor Wessing Deutschland