Kontrolle eines Krankenhauses

Zu lfd. Nr. 6 „Kontrolle eines Krankenhauses der Vivantes GmbH" (4.4.2, Drs. S. 107 ff) „Nach Feststellung besonders erheblicher Mängel bei der Sicherheit der informationstechnischen Infrastrukturen und Systeme, mit denen personenbezogene Daten der Patienten verarbeitet werden, sowie bei Schutz der patientenbezogenen Bild- und Textunterlagen gegen Zerstörung, Manipulation und unbefugten Datenzugriff in einem Klinikum des Krankenhausunternehmens Vivantes Netzwerk für Gesundheit GmbH wird der Senat aufgefordert, dafür zu sorgen, dass bis Mitte 2004 ein konzernweit geltendes Sicherheitskonzept für den Umgang mit patientenbezogenen Daten entwickelt und umgesetzt wird."

In der Mitteilung ­ zur Kenntnisnahme ­ vom 18.05. (Drs.15/2864) hatte ich im letzten Absatz dazu berichtet, dass die Geschäftsführung der Vivantes GmbH gebeten wurde, einen diesbezüglichen Bericht zum Sicherheitskonzept zuzuleiten.

Hierzu wird ergänzend berichtet:

Der Datenschutzbeauftragte der Vivantes Netzwerk für Gesundheit GmbH hat um Weiterleitung folgender Information an das Abgeordnetenhaus von Berlin gebeten:

Ein unabdingbarer Bestandteil des Rahmenkonzepts ist die Schwachstellenanalyse, die insbesondere an den Sachverhalten, die den Sicherheitsanforderungen nicht genügen, im Rahmen einer Risikobewertung die Handlungserfordernisse feststellt. „Ausgangssituation

Nach Gründung der Vivantes/NET-GE GmbH verfügten die einzelnen Klinika noch Anfang 2001 über jeweils gewachsene Datenschutzorganisationen mit spezifischen Anweisungen und Richtlinien. Diese wurden im Rahmen der Neuorganisation mangels vereinheitlichter Regelungen häufig bis heute weiter angewendet.

Das Rahmenkonzept ist modular aufgebaut, um Erweiterungen und Ergänzungen einfach einarbeiten zu können. Die Ausarbeitung in Form von konkreten Arbeitsanweisungen und Richtlinien für bestimmte Verfahren und Gruppen von IT-Anwendern ist eine ständige Aufgabe, die in enger Abstimmung zwischen dem Direktorat Informationstechnik & Telekommunikation und dem betrieblichen Datenschutzbeauftragten wahrgenommen sowie vom Berliner Beauftragten für Datenschutz und Informationsfreiheit beratend begleitet wird.

Die Position des zentralen betrieblichen Datenschutzbeauftragten wurde erstmals in 2002 besetzt, eine Kontinuität im Aufbau einer neuen Datenschutzorganisation konnte erst nach einem Wechsel des Stelleninhabers in 2003 einsetzen.

Am 14. April 2004 hat die Geschäftsführung die erste Fassung des Vivantes-Datenschutzhandbuchs verabschiedet, das eine Reihe grundlegender Regelungen zum Datenschutz und zur Datensicherheit im Unternehmen beinhaltet und sich schwerpunktmäßig mit Patientendatenschutz beschäftigt. Wesentlicher Bestandteil des Datenschutzhandbuchs ist das mit dem Berliner Beauftragten für Datenschutz und Informationsfreiheit abgestimmte IT-Sicherheitsrahmenkonzept.

Weitere Regelungen des Datenschutzhandbuchs zum Umgang mit Patientendaten

In Form einer tabellarischen Übersicht sind die rechtlichen Voraussetzungen für die Weitergabe patientenbezogener Daten an Dritte zusammengefasst, an der sich die Mitarbeiter insbesondere im klinischen Bereich leicht orientieren können.IT-Sicherheitsrahmenkonzept

Es ist eine Fernwartungsrichtlinie in Form eines Mustervertrages verabschiedet worden, um den Zugriff von Dienstleistungen auf IT-Systeme und Medizingeräte, die Patientendaten enthalten, zu regeln und einzuschränken.

Dieses Konzept definiert die unternehmensweiten Sicherheits-Mindestanforderungen an den Einsatz und Betrieb von IT-Systemen. Es ist eine Sollvorgabe, die in allen Teilbereichen, in denen der definierte Standard bisher nicht vorhanden ist, mittelfristig erreicht werden soll. Im Rahmen der wirtschaftlichen Machbarkeit ist für die organisatorischen, technischen oder personellen Anpassungen eine Umsetzungsfrist von einem Jahr vorgegeben.

Für die Zulassung von Praktikumseinsätzen in patientennahen Bereichen ist eine Zustimmungspflicht des Datenschutzbeauftragten eingerichtet worden, um insbesondere die unzulässige Verwendung von patientenbezogenen Daten in schriftlichen Arbeiten für externe Bildungsträger zu verhindern.

Über die Absicherung des Umgangs mit patientenbezogenen Daten hinaus steht das Sicherheitsrahmenkonzept für die grundlegende Integrität der betrieblichen Informationssysteme ein und umfasst sämtliche personenbezogenen oder sonstigen betriebsrelevanten Datenverarbeitungen.

Der Versand von patientenbezogenen Daten per E-Mail ist ausdrücklich verboten worden. Hier wird auf die erst künftig zur Verfügung stehenden technischen Maßnahmen der Verschlüsselung und Signatur verwiesen.Inhaltlich enthält das Sicherheitsrahmenkonzept eine Vielzahl von Einzelvorgaben, gegliedert nach unterschiedlichen Ebenen der IT-Organisation wie z. B. sicherheitstechnische Anforderungen an Rechenzentren und Netzwerkeinrichtungen, Grundlagen der Systemadministration, Pflichten von Verfahrensverantwortlichen, Vorgaben zur Einrichtung von IT-Arbeitsplätzen und allgemeinen Verhaltensrichtlinien für Endanwender. Ein wesentliches Element ist an vielen Stellen die ausdrückliche Verpflichtung der Verantwortlichen, den Datenschutzbeauftragten konsultativ hinzuzuziehen.

Bezüglich der Entsorgung von Unterlagen mit personenbezogenen Inhalten wird auf die Benutzung der in den Standorten vorgehaltenen, gesonderten Sammel- und Entsorgungssysteme hingewiesen.

Es ist ein Merkblatt zum Datenschutz bei Einsatz und Nutzung von Faxgeräten erarbeitet worden, das den Versand von Patientendaten nur bei ausdrücklicher Eilbedürftigkeit und unter besonderen Sicherheitsvorkehrungen vorsieht.

Weitere Einzelregelungen werden, auch in Abhängigkeit von der Entwicklung der Vivantes-ITLandschaft, sukzessive folgen.

Umsetzung der Regelungen zum Patientenschutz

Das Datenschutzhandbuch ist mit Rundschreiben der Geschäftsführung bekannt gemacht und für verbindlich erklärt worden. Veröffentlicht wurde es im Intranet, zu dem bereits ein Großteil der Beschäftigten Zugang hat. Es wird im Rahmen der regelmäßigen Aktualisierung des in allen Bereichen vorliegenden Organisationshandbuches in Kürze auch in Papierform veröffentlicht. Die Einführung wird durch den Datenschutzbeauftragten in Form von Präsentationen für Führungskräfte und Mitarbeiterschulungen begleitet.

Für die Umsetzung und Überwachung der Einhaltung der Bestimmungen zum Datenschutz sind die Führungskräfte, in der Regel auf der Ebene der Direktoren, verantwortlich. Der betriebliche Datenschutzbeauftragte prüft die Funktionsfähigkeit der Datenschutzorganisation wiederum im Rahmen seiner gesetzlichen Kontrollfunktion. Darüber hinaus gehört die Wahrung insbesondere der ärztlichen Schweigepflicht zu den Pflichten eines jeden Mitarbeiters und zu den Berufsbildern der meisten im klinischen Bereich eingesetzten Professionen.

Weitere Entwicklung

Das Datenschutzhandbuch ist ­ wie das darin enthaltene IT-Sicherheitsrahmenkonzept ­ modular aufgebaut und wird laufend weiter entwickelt und ergänzt. Eine wichtige Ergänzung werden das Sicherheitskonzept und die damit zusammenhängenden Arbeitsanweisungen für das zentrale Krankenhausinformationssystem sein, dessen Einführung noch in diesem Jahr beginnen wird.

Insgesamt steht die Datenschutzorganisation von Vivantes damit auf einem soliden und zukunftsgerichteten Fundament. Durch die inzwischen zentrale Koordination aller IT-Aktivitäten ist sichergestellt, dass alle Veränderungen und Neuerungen im Sinne des Sicherheitsrahmenkonzeptes ausgestaltet werden. Die Anpassung bestehender Verfahren und Systeme wird im Rahmen der Erforderlichkeit und Machbarkeit nach und nach durchgeführt."

Ich bitte, den Beschluss damit als erledigt anzusehen.