Datenpanne in der Arztpraxis – und jetzt?

Datenpannen treten häufiger auf als gedacht. Arztpraxen müssen schnell auf Datenpannen reagieren, um den Schaden für Betroffene möglichst gering zu halten und die Notwendigkeit einer Meldung an die Aufsichtsbehörde zu verringern.

Was ist eine Datenpanne im Sinne der DSGVO?

Eine Datenpanne liegt vor, wenn der Schutz personenbezogener Daten verletzt wurde. Gem. Art. 4 Nr. 12 DSGVO bedeutet dies eine Verletzung der Sicherheit, die sowohl unbeabsichtigt als auch beabsichtigt, unrechtmäßig als auch rechtmäßig sein kann. Jedenfalls muss die Sicherheitsverletzung zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von personenbezogenen Daten führen bzw. einen unbefugten Zugang zu den personenbezogenen Daten verschaffen. 

Beispiele für Datenpannen:

• Patientenakten oder Dokumente mit sensiblen Daten wurden nicht ordnungsgemäß entsorgt (z.B. in der Datentonne)
• Cyberangriff durch Hacker
• Einsehbarkeit des PC-Bildschirms mit personenbezogenen Daten (insbesondere Gesundheitsdaten) für unbefugte Personen
• Freies Herumliegen von sensiblen Daten (wie z.B. Gesundheitsdaten, Patientenakte)
• Unmöglichkeit der Wiederherstellung eines Backups
• (Versehentliche) Versendung von personenbezogenen Daten (z.B. Name, E-Mail-Adresse etc.) an falsche Adressaten (die Anzahl der Adressaten ist irrelevant, ein Adressat reicht schon aus)
• Versendung einer E-Mail an einen E-Mail-Verteiler mit Sichtbarkeit aller Empfänger (Empfänger wurden nicht in bcc gesetzt)
• Versendung eines Briefs mit falscher Anlage, sofern der Brief bzw. die Anlage von vollständigen Anschriften der betroffenen Personen enthält
• Vertauschte Rechnungen
• Verlust eines mobilen, unverschlüsselten Datenträgers 
• Verlust eines USB-Sticks

Ohne eine Sicherheitsbeeinträchtigung liegt auch keine Datenpanne vor. Es kommt vielmehr maßgeblich darauf an, ob der Schutz der personenbezogenen Daten trotz „Panne“ nach wie vor gegeben ist. Ob dabei gegen datenschutzrechtliche Vorgaben verstoßen wurde, ist nicht maßgebliches Kriterium für die Bewertung einer Datenpanne. Deshalb liegt keine Datenpanne vor, wenn:

• E-Mails unverschlüsselt versendet wurden
• Ein fehlversandter Brief ungeöffnet zurückkam
• Ein wirksam verschlüsselter USB-Stick verloren gegangen ist

Welche Konsequenzen hat eine Datenpanne für eine Arztpraxis?

Den Mitarbeitenden sollte deutlich gemacht werden, dass eine Datenpanne nicht gleich heißt, dass weitreichende Konsequenzen drohen. Wichtig ist vor allem, dass sie erkannt und schnell darauf reagiert wird, damit die richtigen Maßnahmen ergriffen werden können. 

Gesetzliche Konsequenzen ergeben sich in erster Linie aus Art. 33 und Art. 34 DSGVO und beinhalten die Meldepflicht an die zuständige Aufsichtsbehörde bzw. an die betroffene Person, sofern durch die Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten vorliegt. 

Zwar ist eine Meldung an eine Aufsichtsbehörde oder an die betroffene Person unangenehm, weil ein Fehler eingestanden werden muss und eine Meldung auch ggf. Nachfragen der Aufsichtsbehörden nach sich ziehen kann. Im härtesten Fall kann eine Aufsichtsbehörde auch Bußgelder verhängen, wenn festgestellt wird, dass gegen datenschutzrechtliche Vorgaben der DSGVO verstoßen wurde. Der Aufsichtsbehörde stehen aber gem. Art. 58 DSGVO auch mildere Mittel zur Verfügung. Die Aufsichtsbehörde kann u.a. auch Verwarnungen aussprechen und die Arztpraxis anweisen, Verarbeitungsvorgänge auf bestimmte Weise und innerhalb einer bestimmten Zeit in Einklang mit der DSGVO zu bringen.

Die Praxis sollte für sich die Konsequenz ziehen, bestehende Prozesse zu überprüfen und zu evaluieren, ob weitere datenschutzrechtliche Maßnahmen eingeführt werden müssen, um das Sicherheitsniveau in der Arztpraxis zu erhöhen. 

Was ist zu tun?

Wird eine Datenpanne festgestellt oder besteht auch nur ein Verdacht, dass eine Datenpanne vorliegt, sollten die Mitarbeitenden unverzüglich die Praxisinhabenden informieren. Diese sind nach der DSGVO grundsätzlich für sämtliche Verarbeitungstätigkeiten in der Arztpraxis verantwortlich.  Gibt es einen Datenschutzbeauftragten in der Praxis, muss dieser über den Vorfall ebenfalls in Kenntnis gesetzt werden. 

Als nächstes muss der Sachverhalt ermittelt werden. Bei der Sachverhaltsermittlung sollten die zuständigen Personen einbezogen werden. Im Fall eines Hackings ist in jedem Fall ein IT-Experte hinzuzuziehen. Ziel der Analyse sollte es unter anderem sein, herauszufinden, wie genau die Datenpanne abgelaufen ist, welche Kategorien von Patientendaten in welchem Umfang von der Datenpanne betroffen sind, seit wann die Datenpanne besteht, welche Systeme und Prozesse betroffen sind und wie sich ähnlich gelagerte Fälle organisatorisch für die Zukunft ausschließen lassen. 

Wurde der Sachverhalt analysiert, sind Sofortmaßnahmen zu ergreifen, die geeignet sind, die eingetretenen Verletzungen zu beseitigen bzw. ihre Auswirkungen einzudämmen und abzumildern. 

Beispiele für Sofortmaßnahmen:

• Zu weitreichende Zugriffsberechtigungen Dritter werden eingeschränkt.
• Sensible Bereiche werden passwortgeschützt.
• Unzulässig zusammengeführte Patienteninformationen werden wieder getrennt.
• Unbefugte Empfänger einer E-Mail werden ersucht, diese dauerhaft zu löschen und eine Verpflichtungserklärung zu unterzeichnen.