Versicherung

Aufgrund der Anfrage einer Fraktion im Landtag hatte sich der LfD mit der datenschutzrechtlichen Problematik im Zusammenhang mit der Bestellung von Transplantationsbeauftragten zu befassen. In seiner Stellungnahme wies der LfD darauf hin, dass das Landesgesetz vor dem Hintergrund des Transplantationsgesetzes des Bundes vom 5. November 1997 (BGBl. I S. 2631) zu sehen ist.

Diese bundesrechtliche Vorgabe enthält in § 11 Abs. 4 TPG insoweit eine für die datenschutzrechtliche Beurteilung maßgebliche Regelung, als die Krankenhäuser hierin verpflichtet werden, dem zuständigen Transplantationszentrum potentielle Organspender einschließlich der hierfür erforderlichen personenbezogenen Daten mitzuteilen. Das AGTPG überträgt diese Mitteilungspflicht dem Transplantationsbeauftragten, schreibt ihm weitere Aufgaben zu und verpflichtet das Krankenhaus, ihm die hierfür erforderlichen Informationen zur Verfügung zu stellen. Die o. g. Vorschriften beinhalten somit eine auch von Datenschutzseite geforderte normenklare Regelung zur Durchbrechung der ärztlichen Schweigepflicht (vgl. § 203 Abs. 1 StGB).

Es stellt sich allerdings die Frage, ob durch die Datenerhebungsbefugnisse des Transplantationsbeauftragten im AGTPG zusätzlich in unverhältnismäßiger Weise in das informationelle Selbstbestimmungsrecht der Patienten oder Angehörigen eingegriffen wird.

Dies ist nach Auffassung des LfD nicht der Fall: § 11 Abs. 4 TPG verpflichtet „die Krankenhäuser" insgesamt, nicht aber eine bestimmte Person innerhalb des Krankenhauses zu den o. g. Mitteilungen. Dass diese ausschließlich vom behandelnden Arzt vorgenommen werden dürfen, lässt sich aus § 11 Abs. 4 TPG nicht ableiten. Dem Landesgesetzgeber steht daher bei der Frage, wie die Mitteilungspflichten umzusetzen sind, ein Gestaltungsspielraum zu. Richtig ist, dass durch die Bestellung von Transplantationsbeauftragten der Kreis der Personen, die Zugang zu personenbezogenen medizinischen Daten haben, erweitert wird, was wiederum mit Informationseingriffen zu Lasten von Patienten und Angehörigen verbunden ist. Andererseits erscheint die klare Festlegung von Aufgaben und Befugnissen des zum Transplantationsbeauftragten bestellten Arztes gerade auch in Abgrenzung zum Aufgabenbereich des behandelnden Arztes durchaus als sachgerecht, die bundesrechtlich vorgegebene Verpflichtung zur Mitwirkung bei der Organtransplantation effektiv umzusetzen.

Datenschutzrechtlich ist es nicht zu beanstanden, wenn der Gesetzgeber den ihm zustehenden Gestaltungsspielraum in der erfolgten Art ausfüllt und insoweit das informationelle Selbstbestimmungsrecht von Patienten und Angehörigen in geringem Maße beschränkt.

Chipkarten im Gesundheitswesen

Die Datenschutzbeauftragten des Bundes und der Länder haben bereits auf ihrer 47. Konferenz im März 1994 und auf ihrer 50. Konferenz im November 1995 (s. Anlage 28) zum Einsatz von Chipkarten im Gesundheitswesen Stellung genommen. Die hier formulierten datenschutzrechtlichen Anforderungen haben auch in Bezug auf aktuelle Chipkartenprojekte auf Bundes- und Landesebene nach wie vor Geltung. Zu erwähnen sind hier in erster Linie die vom Bundesgesundheitsministerium angekündigte Einführung eines elektronischen Arzneimittelpasses (s. hierzu Tz. 10.8.1), die Erweiterung der gesetzlichen Krankenversicherungskarte um ein Lichtbild (s. Tz. 10.8.2) oder das Bemühen des Gesundheitsministeriums, einmal mehr eine Patientenchipkarte modellhaft zu erproben (zum Modellversuch Neuwied/Rhein s. 15. Tb., Tz. 10.8; 16. Tb., Tz. 10.6.2 und 17. Tb., Tz. 10.9).

Einführung eines Arzneimittelpasses Ausgelöst durch die Lipobay-Affaire plante das Bundesgesundheitsministerium die grundsätzlich „verpflichtende" Verwendung eines elektronischen Arzneimittelpasses. Dieser sollte einen möglichst lückenlosen Überblick über die Medikamententherapie eines Patienten bieten und so das Risiko unerwünschter Wechselwirkungen mit anderen Mitteln mindern.

Die Datenschutzbeauftragten des Bundes und der Länder haben hiergegen Bedenken erhoben. Aufgrund der verordneten Medikamente kann nämlich ohne weiteres auf die Erkrankung geschlossen werden. Wenn ein Patient gezwungen sei, bei jedem Arztbesuch seine Chipkarte vorzulegen, kann er damit nicht mehr selbst bestimmen, welche Informationen er dem Arzt mitteilen möchte, um etwa eine unvoreingenommene zweite Fachmeinung einzuholen.

Die Einführung eines Arzneimittelpasses kommt aus datenschutzrechtlicher Sicht daher nur auf freiwilliger Basis in Betracht. Die freie Entscheidung des Patienten darf in Bezug auf die Haftung nicht durch eine sachwidrige Risikoverlagerung auf den Patienten beeinflusst werden. Denn auch beim Einsatz eines Arzneimittelpasses bleibt es im Hinblick auf die Arzneimittelsicherheit bei der grundsätzlichen Verantwortung der Ärzte und Apotheker. Darüber hinaus ist im Vorfeld zu klären, ob das mit der Einführung der Medikamentenchipkarte verfolgte Ziel, nämlich unerwünschte Wechselwirkungen zu vermeiden, überhaupt erreicht werden kann. Angesichts der zahlreichen nicht verschreibungspflichtigen Medikamente, von denen ebenfalls Wechselwirkungen ausgehen können, sowie der Möglichkeit, Medikamente aus dem Ausland oder über das Internet zu beziehen, sind Zweifel im Hinblick auf die Geeignetheit angebracht.

Das Bundesgesundheitsministerium hat in der Zwischenzeit signalisiert, das weitere Verfahren mit dem BfD abzustimmen. Neben der freiwilligen Verwendung der Karte soll auch das rechtswidrige Auslesen der dort gespeicherten Daten unter Strafe gestellt werden.

Die Krankenversichertenkarte mit Lichtbild

Aus Marketing-Gründen, aber auch um eine missbräuchliche Verwendung der gesetzlichen Krankenversichertenkarte zu vermeiden, gehen einige Krankenkassen dazu über, ihren Versicherten auf freiwilliger Basis die gesetzliche Krankenversichertenkarte mit Lichtbild anzubieten.

Der LfD vertritt hierzu die Auffassung, dass aufgrund des abschließenden Datenkatalogs in §§ 15 Abs. 4 S. 2, 291 Abs. 2 SGB V Krankenkassen ­ auch mit einer Einwilligungserklärung des Versicherten ­ grundsätzlich gehindert sind, die gesetzlich zugelassenen Informationen auf der Krankenversichertenkarte um ein Lichtbild zu ergänzen (s. hierzu auch Entschließung der 47. DSB-Konferenz, Anlage 28). Auch nach Meinung des mit der Sache befassten Gesundheitsministeriums bestehen angesichts der gegenwärtigen Gesetzeslage rechtliche Bedenken, die Krankenversichertenkarte um ein Lichtbild zu ergänzen.

Bis zum Vorliegen einer gesetzlichen Änderung, für die sich die Krankenkassen und ihre Spitzenverbände einzusetzen haben, kommt der Einsatz der erweiterten Chipkarte auf freiwilliger Basis daher lediglich innerhalb eines Modellversuchs in Betracht.

Innerhalb solcher Modellprojekte, bei denen in erster Linie die Akzeptanz der Lichtbild-Chipkarte bei den Versicherten getestet werden soll, muss allerdings die modellhafte Erprobung der Chipkarte im Vordergrund stehen, eine flächendeckende Vollversorgung aller Versicherten ausgeschlossen sein und den Anforderungen an eine informierte Einwilligungserklärung gem. § 67 b Abs. 2 SGB X Rechnung getragen werden. Bei Vorliegen dieser Mindestvoraussetzungen ist angesichts der als gering zu bewertenden Persönlichkeitsbeeinträchtigung der Betroffenen die Erweiterung der gesetzlichen Krankenversichertenkarte um ein Lichtbild datenschutzrechtlich hinnehmbar.

Studie „Risikofaktoren für sporadische EHEC-Infektionen"

Das Robert-Koch-Institut plante eine Studie über bestimmte Bakterien unter den Lebensmittelinfektionserregern (enterohämorrhagische Escherichia coli ­ EHEC). Erklärtes Ziel dieser Studie war es, Risikofaktoren für sporadische EHEC-Infektionen zu identifizieren, um nachfolgend geeignete Interventionsstrategien entwickeln zu können. Da diese Erkrankungen bei den Gesundheitsämtern meldepflichtig sind, sollten die dort vorliegenden Adressen für die Kontaktaufnahme mit den Betroffenen genutzt werden. Die Gesundheitsämter sollten sowohl Erkrankte als auch gesunde Kontrollpersonen telefonisch interviewen, nachdem diese ihr Einverständnis erklärt hatten. Nach Vorlage der Unterlagen konnte bestätigt werden, dass das Verfahren keinen datenschutzrechtlichen Bedenken begegnete.

10.10 Datenschutz in Kindertagesstätten

Ein Gesundheitsamt bot in den Kindergärten für 5- bis 6-Jährige Seh- bzw. Hörtests an, die auf freiwilliger Basis durchgeführt wurden.

Die Kindergärten wurden telefonisch benachrichtigt, wann solche Tests stattfinden sollten. Es oblag dann den Kindergärten, die Eltern zu informieren und die Kinder zu dem Test zu schicken, deren Eltern in die Teilnahme eingewilligt hatten. Das Gesundheitsamt selbst überprüfte nicht, ob die vorgestellten Kinder tatsächlich mit Einwilligung der Eltern teilnahmen. Der Befund wurde üblicherweise in einem verschlossenen, mit dem Namen der Eltern versehenen Umschlag der Kindergärtnerin übergeben, die diesen dann an die Eltern weiterleiten sollte. Dazu erbat das Gesundheitsamt vom Kindergarten die Anschriften der Eltern der untersuchten Kinder. Dieser Wunsch nach Datenübermittlung stieß in den Kindergärten auf Bedenken.

Um das aus datenschutzrechtlicher Sicht beste Verfahren sicherzustellen, hat der LfD angeregt, dass die Gesundheitsämter selbst die Einholung der Einwilligung der Eltern übernehmen sollten. Dies konnte in Form eines kurzen Informationsschreibens an die Eltern geschehen, das über die Kindergärten an diese weitergeleitet wird. Darauf hätten die Eltern ihre schriftliche Einwilligung erklären können. Das Kind konnte diese Erklärung zur Untersuchung mitbringen, sodass aus dem Formular auch der Name der Eltern für die Mitteilung des Befundes entnommen werden konnte. Dadurch wäre sichergestellt gewesen, dass tatsächlich nur die Kinder an der Untersuchung teilnehmen, deren Eltern ihre Einwilligung erklärt haben.

Bei Beibehaltung des praktizierten Verfahrens hielt der LfD es für erforderlich, den Kindergärten eine Information über die Untersuchungen zur Verfügung zu stellen, in der Zweck und Inhalt der geplanten Datenerhebung sowie die weitere Datenverwendung erklärt wurden. Mit dieser Information hätten die Kindergärten die Eltern ausreichend im Sinne des Gesundheitsamtes über die beabsichtige Untersuchung informieren können.

Das Gesundheitsamt hat das Verfahren entsprechend den Empfehlungen des LfD geändert.

11. Sozialdatenschutz

Krankenkassen, Kassenärztliche Vereinigungen

Anforderung medizinischer Unterlagen durch Krankenkassen bei Krankenhäusern

Die Anforderung medizinischer Krankenunterlagen durch Krankenkassen gelangt immer wieder in die datenschutzrechtliche Diskussion (s. auch 14. Tb, Tz. 11.2.8). Und dabei ist die Rechtslage im Krankenhausbereich erfreulich normenklar geregelt: § 301 SGB V beinhaltet einen Katalog von Daten, die eine Krankenkasse für Abrechnungszwecke zulässigerweise anfordern darf. Die Krankenhäuser sind verpflichtet, den Krankenkassen diese Informationen zu übermitteln.

Obwohl der Katalog des § 301 SGB V umfangreich ist und auch sensible medizinische Informationen erfasst (Bsp: sämtliche Diagnosen, durchgeführte Operationen und sonstige Prozeduren, medizinische Begründung bei Überschreitung der voraussichtlichen Krankenhausverweildauer), wird er von einigen Krankenkassen offenbar als nicht ausreichend empfunden. Selbst angesichts der spezialgesetzlichen und damit im Grundsatz abschließenden Regelung sehen sie sich nicht gehindert, im Zusammenhang mit der Abrechnung der Krankenhausleistung ­ auch ohne Beteiligung des Patienten ­ medizinische Informationen anzufordern, die in § 301 SGB V nicht genannt sind (z. B. Arzt-, Operations- und Krankenhausentlassungsberichte).

Es wäre datenschutzrechtlich nicht zu beanstanden, wenn die Krankenhäuser entsprechende Anfragen der Krankenkassen unbeantwortet ließen, wenn nicht in der sozialgerichtlichen Rechtsprechung die Tendenz erkennbar wäre, den Krankenkassen in verstärktem Umfang medizinische Informationen zukommen zu lassen. Und dies, obwohl das Zusammenspiel der Regelungen im SGB V nicht nur eine andere Sichtweise ermöglicht, sondern ­ aus Sicht des LfD ­ sogar zwingend erfordert:

Dem Medizinischen Dienst der Krankenversicherung (MDK) ist nach den Vorschriften des SGB V im Zusammenhang mit der Krankenhausabrechnung die Rolle zugedacht, mit seinen gegenüber den Krankenkassen weiter gehenden Datenerhebungsbefugnissen Streitfälle zwischen diesen und den Krankenhäusern zu klären. Die Befugnis der Krankenkassen zur Datenübermittlung an den MDK (§ 276 Abs. 1 SGB V) bezieht sich nur auf solche Daten, die der Krankenkasse zulässigerweise (z. B. nach § 301 SGB V) übermittelt worden sind. Alle Informationen, die der MDK zusätzlich benötigt, kann er im Rahmen seiner ihm zustehenden Befugnisse (§§ 275 ff. SGB V) nach Maßgabe des § 276 Abs. 2 SGB V selbst erheben. Nur so ist verständlich, dass der MDK gegenüber den Krankenkassen wiederum nur über eingeschränkte Übermittlungsbefugnisse verfügt.

Daraus folgt: MDK und Krankenkasse nehmen innerhalb des Systems der gesetzlichen Krankenversicherung unterschiedliche Aufgaben wahr und bilden keinesfalls eine „speichernde Stelle" i. S. d. § 67 Abs. 9 SGB X. Vielmehr haben beide die für sie jeweils geltenden Datenschutzbestimmungen bei der Datenerhebung und -verarbeitung zu beachten. Die rechtliche Zulässigkeit der Anforderung von Patientendaten gegenüber Krankenhäusern hängt somit maßgeblich davon ab, ob diese durch den MDK (nach Maßgabe des § 276 Abs. 2 SGB V) oder durch die Krankenkasse (nach Maßgabe des § 301 SGB V) erfolgt ­ ein Umstand, der in der sozialgerichtlichen Rechtsprechung häufig keine hinreichende Berücksichtigung findet.

Gleiches gilt für die datenschutzrechtlich zwingend erforderliche Differenzierung zwischen der Befugnis zur Datenerhebung und der Befugnis zur Datenübermittlung. Selbst wenn Krankenkassen gem. § 284 SGB V Sozialdaten erheben dürfen, bedeutet dies nicht, dass die Stelle, bei der die Daten angefordert werden, ihrerseits zur Übermittlung befugt oder gar verpflichtet wäre (s. hierzu auch

17. Tb., Tz. 11.5.2). Hat ein Krankenhaus als übermittelnde Stelle die ärztliche Schweigepflicht zu beachten, bedarf eine i. S. d.

§ 203 Abs. 1 StGB „befugte" und damit straffreie Weitergabe von Patientendaten entweder der Einwilligungserklärung des Patienten oder einer normenklaren gesetzlichen Grundlage (Bsp.: § 301 SGB V). Das „allgemeine System der Ausgestaltung der Beziehungen zwischen den Krankenkassen und den Krankenhäusern" vermag ­ wie das Sozialgericht Speyer meint, eine Durchbrechung der ärztlichen Schweigepflicht jedenfalls nicht zu legitimieren. Auch ein Rückgriff auf das Landeskrankenhausgesetz führt ­ unabhängig von der Frage, ob dieses im Hinblick auf die bundes- und spezialgesetzlichen Übermittlungsbestimmungen des SGB V überhaupt zur Anwendung kommen kann ­ nicht weiter, da § 36 Abs. 3 Ziff. 6 LKG die Übermittlung von Patientendaten an Sozialleistungsträger nur im erforderlichen Umfang zulässt. Welche Daten bei der Krankenhausabrechnung für Krankenkassen erforderlich sind, hat der Bundesgesetzgeber in § 301 SGB V konkretisiert. Aus diesem Grunde vermag auch die ­ noch nicht rechtskräftige ­ Entscheidung des Landessozialgerichts Rheinland-Pfalz (Urteil vom 1. März 2001; Az.: L 5 KR 55/00; DUD 2001, 489 f.) in zweiter Instanz, in der § 36 Abs. 3 Ziff. 6 LKG als einschlägige Rechtsgrundlage für die Weitergabe von Arzt-, Operations- und Krankenhausentlassungsberichten angesehen wurde, nicht zu überzeugen.

§ 301 SGB V stellt daher die grundsätzlich abschließende Regelung zulässiger Datenübermittlungen zu Abrechnungszwecken dar.

Auf der Basis dieser Informationen ist die Krankenkasse in der Regel auch in der Lage zu prüfen, ob der MDK gem. §§ 275 Abs. 1 i. V. m. 284 Abs. 1 Ziff. 7 SGB V einzuschalten ist. Anhaltspunkte für eine Prüfung können sich beispielsweise aus unklaren oder mehreren sich widersprechenden Diagnosen oder mit der Diagnose nicht zu vereinbarenden Behandlungsmaßnahmen ergeben. Begehrt die Krankenkasse in begründeten Einzelfällen zur Vorprüfung, ob der MDK einzuschalten ist, über den Katalog des § 301 SGB V hinausgehende medizinische Angaben, dürfen diese an die Krankenkasse nur auf der Basis einer informierten Einwilligungserklärung des Patienten vom Krankenhaus herausgegeben werden.