Rechtliche Rahmenbedingungen der Einwilligung

Einwilligungserklärung des Betroffenen

Ein Eingriff in den Schutzbereich des Grundrechts auf informationelle Selbstbestimmung ist nach dem Prinzip des „Verbot mit Erlaubnisvorbehalt“ grundsätzlich unzulässig, sofern kein Erlaubnistatbestand vorliegt [BDSG_Kmt 2005, S. 136].

Sowohl „Rechtsnormen, aus denen sich die Zulässigkeit der Datenverarbeitung ergibt“, als auch Rechtsnormen, die ein entsprechendes Gebot oder sogar eine Offenbarungspflicht enthalten, stellen einen Erlaubnistatbestand dar [BDSG_Kmt 2005, S. 136]. Der Umgang mit personenbezogenen Daten ist darüber hinaus zulässig, wenn der Betroffene seine Einwilligung für eine Offenbarung von Geheimnissen bzw. die Erhebung, Verarbeitung und Nutzung von personenbezogenen Daten gegeben hat.

Man unterscheidet prinzipiell zwischen drei Formen der Einwilligung:

• Die ausdrückliche Einwilligung setzt die mündliche oder schriftliche Zustimmung des Betroffenen zur Offenbarung einer von ihm selbst als schützenswert erachteten Tatsache gegenüber einem bestimmten Personenkreis voraus.
• Die konkludente Einwilligung bezeichnet die Ableitung einer Willenserklärung aus dem Handeln eines Betroffenen ohne das Vorhandensein einer ausdrücklichen Einwilligung.
• Die mutmaßliche Einwilligung kommt „insbesondere dann in Betracht, wenn der Betroffene unfähig ist, seine Zustimmung zur Offenbarung seiner personenbezogenen Daten positiv oder negativ kundzutun, aber davon auszugehen ist, dass er bei Kenntnis der Sachlage vernünftigerweise einwilligen würde.“ [Hermeler 2000, S.49]

Die Unterrichtung konsiliarisch mitbehandelnder Ärzte wird als „sozialadäquate Unterrichtung“ von einer stillschweigenden Einwilligung abgedeckt [DÄ 2005, S. A292]. Liegt keine ausdrückliche Einwilligung vor oder ist diese in besonderen Situationen (z. B. Notfallsituationen) nicht einholbar, kann über eine mutmaßliche Einwilligung die Offenbarung des Patientengeheimnisses gerechtfertigt werden.

Es bedarf einer vorherigen Einwilligungserklärung des Betroffenen. Das Einholen einer nachträglichen Genehmigung nach erfolgter Offenbarung bzw. Erhebung, Verarbeitung und Nutzung von personenbezogenen Daten ist nicht zulässig [BDSG_Kmt 2005, § 4 Rdnr. 15 + § 4a Rdnr. 15], [Hermeler 2000, S. 48].

Ärztliche Schweigepflicht

Die Schweigepflicht beschreibt die rechtliche Verpflichtung ausgewählter Berufsgruppen, ihnen anvertraute Geheimnisse nicht gegenüber Dritten zu offenbaren. Sie stellt die wesentliche Voraus-setzung für das Vertrauensverhältnis zwischen Arzt und Patient dar.

Kodifizierungen der ärztlichen Schweigepflicht finden sich u. a. in den standesrechtlichen Regelungen der (Muster-) Berufsordnung für die deutschen Ärztinnen und Ärzte [§ 9 Abs.1 MBO-Ä] und den davon abgeleiteten landesspezifischen Standes- und Berufsordnungen sowie im Strafgesetzbuch [§ 203 StGB]. Verstöße hiergegen werden mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe geahndet [§ 203 Abs.1 i.V.m.h Abs.3 StGB.] Darüber hinaus droht Ärzten - nach den Regelungen der Bundesärzteordnung - der Entzug der Approbation [§ 5 Abs.2 i. V. m. § 3 Abs.1 Nr.1 BÄO.] Zusätzlich können sich aus dem Zivilrecht vertragliche und deliktische Schadensersatzansprüche ableiten [§§ 280 Absatz 1, 282, 823 ff. BGB].

Beispiel

Die Offenbarung eines im Zusammenhang mit der medizinischen Behandlung bekannt gewordenen Geheimnisses (z. B. Diagnosen und Befunde eines Patienten) durch einen Arzt der behandelnden Fachabteilung A gegenüber einem Arzt der nicht mit- oder nachbehandelnden Fachabteilung B stellt einen Bruch der ärztlichen Schweigepflicht dar.

Die Bereitstellung medizinischer Daten für eine Akte stellt damit eine Verletzung der ärztlichen Schweigepflicht dar, sofern nicht sichergestellt ist, dass der Nutzer dieser Daten ein Mit- oder Nachbehandler ist. Eine Ausnahme hiervon ist der Austausch verschlüsselter Daten, deren Entschlüsselung die Mitwirkung des Betroffenen erfordert. Die Bereitstellung und der Abruf so geschützter Daten stellen keine Offenbarung dar, weshalb auch keine Schweigepflichtsverletzung vorliegt. Selbiges gilt auch für pseudonymisierte und anonymisierte Daten [ULD 2002].

Bundesdatenschutzgesetz und Spezifische Regelungen

Die Bestimmungen des Datenschutzes definieren im Gegensatz zu § 203 StGB sehr restriktive Anforderungen an die Ausgestaltung von Einwilligungen. Geht die Erhebung, Verarbeitung und Nutzung personenbezogener Daten über die in den Rechtsvorschriften formulierten Erlaubnis-tatbestände hinaus, muss sie immer durch eine schriftliche Einwilligung des Betroffenen autorisiert werden [§ 4a Abs. 1 BDSG].

Das Bundesdatenschutzgesetz beschreibt die Anforderungen an die Einwilligung in § 4a. Durch die Forderung des Bundesverfassungsgerichts nach bereichsspezifischen Regelungen [BVerfGE 65, 1 (46)] existiert heute auch in Bezug auf Form und Inhalt einer Einwilligung eine Regelungsvielfalt auf Bundes- und Länderebene. Generell gilt der Grundsatz des lex specialis: Bereichsspezifische Regelungen gehen allgemeinen Regelungen vor. Die allgemeinen Regelungen dienen lediglich als Auffangtatbestände bei Regelungslücken in den vorrangigen Normierungen. Insbesondere im Rahmen der bereichsspezifischen Datenschutzgesetze werden hingegen zusätzliche bzw. ergänzende Regelungen getroffen [Hermeler 2000, S. 79].

Die schriftliche, informierte Einwilligungserklärung

Es existieren vielfältige konkrete Anforderungen an die Ausgestaltung schriftlicher Einwilligungs-erklärungen. Ein Formverstoß (vgl. §§ 125, 126 BGB) kann die in der Einwilligungserklärung begründete Datenverarbeitung unzulässig machen. Insbesondere die in der nachfolgenden Tabelle aufgeführten Vorgaben an Form, Wirksamkeit und Inhalt einer Einwilligungserklärung sind zu beachten.

Form

„Die Einwilligung bedarf der Schriftform, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist“[§ 4a Abs.1 BDSG]

Eine Abweichung von der vorgesehenen Schriftform wird nur unter besonderen Umständen - beispielsweise bei Eilbedürftigkeit – als angemessen erachtet. Als Alternative dient die ausdrückliche mündliche Erklärung des Patienten. „Eine mündlich erteilte Einwilligung muss schriftlich dokumentiert werden.“ [§ 4 Abs. 1 GDSG NW] Stillschweigende, konkludente Einwilligungen - wie bei der Schweigepflicht - kommen hingegen nicht in Frage. [BDSG_Kmt 2005, § 4a Rdnr. 13] Für den Fall, dass keine Einwilligung beim Patienten eingeholt werden kann (z. B. bei Bewusstlosigkeit des Patienten), sehen die gesetzlichen Vorschriften nach § 4c (1) Nr.5 BDSG konkrete Erlaubnisvorschriften vor.

„Soll die Einwilligung zusammen mit anderen Erklärungen schriftlich erteilt werden, ist sie besonders hervorzuheben.“ [§ 4a Abs.1 BDSG]

Wirksamkeit

„Die Einwilligung ist nur wirksam, wenn sie auf der freien Entscheidung des Betroffenen beruht.“ [§ 4a Abs.1 BDSG]

Inhalte

Um eine freie Entscheidung zu treffen, muss sich der Betroffene ihrer Tragweite bewusst sein. Er muss genau wissen, worin er einwilligt. Dies setzt eine informierte Einwilligung voraus. [BDSG_Kmt 2005, § 4a Rdnr. 10] Wird dies missachtet, ist die Einwilligung nichtig und die auf ihr beruhende Datenverarbeitung unzulässig. [§ 125 BGB]

Der Zweck der Erhebung, Verarbeitung und Nutzung ist innerhalb der Einwilligungserklärung anzugeben. [§ 4a Abs.1 BDSG] Dies beinhaltet auch die Benennung von Empfängern die für eine Übermittlung in Betracht kommen. Darüber hinaus ist der Betroffene über die Folgen einer Verweigerung zu informieren, sofern er nach objektiver Sicht die Sachlage nicht erkennen kann. [BDSG_Kmt, § 4a Rdnr.11 + Art. 2 Buchst. H EU-DatSchRL] Der Patient „…ist darauf hinzuweisen, dass ihm wegen einer Verweigerung der Einwilligung keine Nachteile entstehen.“ [§ 36 Abs. 2 LKHG Rh-Pf]

Werden besondere Arten personenbezogener Daten nach § 3 Abs. 9 BDSG erhoben, verarbeitet oder genutzt, muss innerhalb der Einwilligung ein ausdrücklich Bezug auf diese Daten bestehen.“ [§ 4a Abs.3 BDSG] Dies wird bei patientenbezogenen Daten fast immer der Fall sein.

Der Betroffene ist darauf hinzuweisen, dass er jederzeit das Recht zum Widerruf seiner Einwilligung besitzt.

Einwilligung vs. Autorisierung

Eine nicht für alle Aktentypen gleich zu beantwortende Fragestellung ist, ob eine vom Bürger gegebene Einwilligung in die Nutzung einer Akte als Vorab-Autorisierung verstanden werden kann oder ob zusätzliche Autorisierungen der Einzelzugriffe auf die Akte erforderlich sind. Die nachfolgenden Absätze geben einschlägige Stellungnahmen verschiedener Landesdatenschützer zu dieser Frage wieder.

Elektronische Fallakten

Durch die Bindung an einen Behandlungsfall ist bei der elektronischen Fallakte eine enge Zweckbindung gegeben. Aus dieser heraus erfolgt mit der Einwilligung die Autorisierung der berechtigten Leistungserbringer: „In die gemeinsame Fallakte werden nur für die aktuelle Behandlung erforderliche Informationen eingestellt. Mit seiner Einwilligung autorisiert der Patient den von ihm bestimmten Leistungserbringer, zur Durchführung der Behandlung auf den gesamten Inhalt der gemeinsamen Fallakte zuzugreifen. Er hat nicht das Recht, den Zugriff auf einzelne Dokumente auszuschließen. Der Patient hat jedoch das Recht, seine Einwilligung zu widerrufen.“ (aus der Stellungnahme des Arbeitskreises der Landesbeauftragten für den Datenschutz und die Informationsfreiheit zur EFA-Version 1.2).

Persönliche Patienten- und Gesundheitsakten

Ebenfalls recht eindeutig ist die Sichtweise des Datenschutzes auf persönliche Patienten- und Gesundheitsakten, in denen der Bürger die alleinige Verantwortung und vollständige Kontrolle hat und alle Interaktionen mit der Akte auf explizite Veranlassung des Bürgers erfolgen. Die Bereitstellung von Daten für eine solche Akte erfolgt über das Auskunftsrecht des Betroffenen. Der Bürger ist für die Daten selbst verantwortlich, wodurch der einstellende Arzt nicht der Schweigepflicht unterliegt: „Da die Patientinnen bzw. Patienten [...] ausschließlich selbst über die Verwendung und Preisgabe ihrer personenbezogenen Daten bestimmen, ist ihr Informationelles Selbstbestimmungsrecht unter der Voraussetzung gewährleistet, dass sie im System über Mechanismen verfügen, Einsichtnahmen differenziert zu ermöglichen. Im datenschutzrechtlichen Sinne findet keine Datenverarbeitung durch Dritte statt, sondern nur durch die Patientinnen und Patienten selbst.“ (aus [AK EPA-EFA 2011]). Die Umsetzung dieser Anforderung kann über die Vergabe von Berechtigungen erfolgen, die ad hoc oder vorab vom Bürger an Leistungserbringer gegeben werden.

Einrichtungsübergreifende, vertikale Akten

Einrichtungsübergreifende, vertikale Akten stellen „eine Art Vorratsdatenspeicherung für in der Regel noch nicht eingetretene Behandlungsfälle dar“ (aus der Stellungnahme der LDI zur EFA). Anlage und Nutzung erfordern eine informierte, schriftliche Einwilligung; die Schweigepflichts¬entbindung ist konkludent zur Einwilligung. Aufgrund der fehlenden Zweckbindung stellt jeder Zugriff einen eigenständigen Übermittlungsvorgang dar, der explizit durch den Bürger autorisiert werden muss. Hierdurch wird sichergestellt „dass nur Informationen autorisiert in die eEPA eingestellt werden und ebenso nur ausgelesen werden können und zwar von solchen Ärztinnen und Ärzten, die durch die Patientinnen bzw. Patienten in einer konkreten Behandlungssituation autorisiert wurden. Die Einwilligung in eine asynchrone Datenübermittlung wird dadurch ebenfalls asynchron, zweistufig abgebildet“ (siehe Beitrag des LDI NRW in [AK EPA-EFA 2011]). Dieses spiegelt sich z. B. auch im epSOS-Netzwerk wider, wo neben der grundlegenden Einwilligung zur Nutzung von epSOS auch jeder Zugriff vom Patienten gegenüber dem zugreifenden Arzt autorisiert werden muss. Im Fall der österreichischen ELGA wird die Anforderung der Autorisierung einzelner Datenübermittlungen per ELGA-Gesetz ausgesetzt; stattdessen wird dem Bürger die Möglichkeit zur Definition individueller Zugriffsberechtigungen gegeben (siehe § 20(3) in [ELGA-Gesetz]).

Datenverarbeitung und Organisationshoheit

Bei Krankenhäusern als Nutzern von Akten bzw. Gesundheitsdatendiensten ist zu berücksichtigen, dass der Patient (auch bei vertragsärztlichen Wahlleistungen) keinen gesetzlichen Anspruch auf Behandlung durch einen konkreten Krankenhausarzt hat; vielmehr richtet sich der Anspruch des Patienten auf den aktuell „zuständigen“ bzw. diensthabenden Arzt, dessen Bestimmung in der Personal- und Organisationshoheit des Krankenhausträgers liegt.

Diesen gesetzlichen Vorgaben folgt auch die Gestaltung der Behandlungsverträge und Wahlleistungsvereinbarungen, die eine vertragliche Bindung ausschließlich zwischen Patient und Krankenhausträger vorsehen. Sowohl das Krankenhausentgeltgesetz als auch die Bundespflegesatzverordnung gehen bei der Definition von Krankenhausleistungen von institutionell erbrachten Leistungen aus. Analog ist im Fall der erforderlichen Teilhabe eines Krankenhauses an einer aktengestützten Datenkommunikation oder einem Gesundheitsdatendienst in der entsprechenden Einwilligungs¬erklärung immer die Institution zu benennen. Auch für medizinische Versorgungszentren und Gemeinschaftspraxen, die gegenüber dem Patienten als organisatorische und wirtschaftliche Einheit auftreten, sollte bei einer Einwilligungserklärung immer die Einrichtung als zur Datenverarbeitung berechtigt benannt werden.

In jedem Fall muss jedoch über die Einwilligung hinaus durch die zum Zugang berechtigten Personen/Einrichtungen sichergestellt werden können, dass jede über die elektronische Akte bzw. den Gesundheitsdatendienst ausgelöste Datenverarbeitung zur Versorgung des Patienten erforderlich ist [„Erforderlichkeitsvorbehalt“ gem. § 291a Abs. 4 SGB V; Bales et al. 2007 § 291a Rn. 66]. Hierbei sind auch Zugriffe durch berufsmäßig tätige Gehilfen zulässig, wenn diese „im Rahmen der von ihnen zulässigerweise zu erledigenden Tätigkeiten erforderlich" [§ 291a Abs. 4 Nr. 1d/2d SGB V] sind und unter Aufsicht des zum Zugang berechtigten Heilberuflers erfolgen.

Referenzen

[AK EPA/EFA 2011] 

Arbeitskreis EPA/EFA im Rahmen von eGesundheit NRW: Elektronische Akten im Gesundheitswesen. 2011.

[Bales et al. 2007] 

Bales, Stefan; Dierks Christian; Holland, Jana; Müller, Jürgen H.: Die elektronische Gesundheitskarte - Rechtskommentar, Standpunkte und Erläuterungen für die Praxis. C. F. Müller. 1. Auflage. 2007.

[BDSG] 

Bundesdatenschutzgesetz in der Fassung der Bekanntmachung vom 14. Januar 2003 (BGBl. I S. 66), das zuletzt durch Artikel 1 des Gesetzes vom 14. August 2009 (BGBl. I S. 2814) geändert worden ist. Abgerufen unter http://www.gesetze-im-internet.de/bdsg_1990/

[BDSG_Kmt 2005] 

Gola, Peter; Schomerus, Rudolf: Bundesdatenschutzgesetz Kommentar. Beck C.H. 8. Auflage. 2005.

[DÄ 2005] 

Parzeller, Markus; Wenk, Maren; Rothschild, Markus A.: Die ärztliche Schweigepflicht. In: Deutsches Ärzteblatt 5, 2005, S. 289-297.

[DS 2002] 

Bultmann, Marion; Wellbrock, Rita; et al.: Konferenz der Datenschutzbeauftragten des Bundes und der Länder – Datenschutz und Telemedizin - Anforderungen an Medizinnetze. Abgerufen unter: http://www.datenschutz.rlp.de/downloads/oh/dsb_oh_telemedizin.pdf, Abrufdatum: 09.09.2012.

[DP 2012] 

Keck, Hermann: Die Entbindung von der Schweigepflicht – So geht’s. In: Datenschutz PRAXIS. Ausgabe 07/12. Abgerufen unter: http://www.keck-dsb.de/2012-07-Schweigepflichtentbindung.pdf, Abrufdatum: 26.09.2012

[ELGA] 

Elektronische Gesundheitsakte ELGA (Österreich). Homepage: http://www.elga.gv.at/index.php?id=2

[ePA-291a] 

Elektronische Patientenakte gemäß § 291a SGB V. Homepage: https://www.epa291a.de

[epSOS] 

European Patients Smart Open Services. Homepage: http://www.epSOS.eu

[GTelG 2011] 

Bundesgesetz betreffend Datensicherheitsmaßnahmen bei der Verwendung elektronischer Gesundheitsdaten (Gesundheitstelematikgesetz 2011 – GTelG 2011).

[GMDS 1999] 

GMDS-Arbeitsgruppe „Datenschutz in Gesundheitsinformationssystemen“: Zugriff auf Patientendaten im Krankenhaus. Abgerufen unter: http://www.imsd.uni-mainz.de/AGDatenschutz/Empfehlungen/Zugriff.html, Abrufdatum:09.09.2012.

[Hermler 2000] 

Hermeler, Angelika: Rechtliche Rahmenbedingungen der Telemedizin. Beck C. H., 1. Auflage vom 02.08.2000

[LDI OH-ADV] 

Landesdatenschutz Bayern: Orientierungshilfe Auftragsdatenverarbeitung. Abgerufen unter: http://www.datenschutz-bayern.de/technik/orient/oh_auftragsdatenverarbeitung.html, Abrufdatum: 04.10.2012

[StGB_Kmt 2006] 

Schönke, Adolf; Schröder Horst: Strafgesetzbuch Kommentar. Beck C. H. 27. Auflage. 2006.

[TMF 2006] 

Telematikplattform für medizinische Datennetze (TMF): Checkliste und Leitfaden zur Patienteneinwilligung. 2006.

[ULD 2002] 

Unabhängiges Datenschutzzentrum Schleswig-Holstein: Patientendaten-verarbeitung im Auftrag. Abgerufen unter: https://www.datenschutzzentrum.de/material/themen/gesund/patdvia.htm, Abrufdatum: 26.09.2012