So unsicher ist der Versand von E-Mails. Das sollten Sie im Praxisalltag beachten!
Bei der ärztlichen Schweigepflicht und dem Datenschutz sind die Vorgaben des Gesetzgebers sehr restriktiv. Die Gesundheitsinformationen einer Person gehören zu den besonderen Arten personenbezogener Daten und sind als solche besonders schützenswert. Darüber hinaus kommt bei Patientendaten noch ein weiterer wichtiger Aspekt hinzu: Ärzte und deren Mitarbeiter unterliegen einer Schweigepflicht, die sich aus dem besonderen Berufsgeheimnis ergibt.
Im Praxisalltag mit E-Mail arbeiten – was Sie wissen müssen
E-Mails sind aus der Kommunikation mit Patienten im Praxisalltag kaum noch wegzudenken. Ohne besondere Vorkehrungen sind E-Mails jedoch sehr unsicher. Denn ohne spezielle Vorkehrungen kann während des Transports der Nachricht an jeder beliebigen Stelle auf die Inhalte zugegriffen werden.
Welche Wege eine E-Mail-Nachricht nimmt und wer diese Mitteilungen dabei auslesen kann, ist weder vom Absender noch vom Empfänger zu beeinflussen. Deshalb dürfen vertrauliche Informationen (z.B. Arztbriefe, Befunde ect.) per E-Mail nur versandt werden, wenn besondere Maßnahmen zum Schutz vor unbefugter Kenntnisnahme ergriffen werden, z.B. durch eine End-zu-End Verschlüsselung. Dazu muss die Praxis, als auch der Patient, für eine Verschlüsslung der Inhalte sorgen.
Pflicht zur Verschlüsselung nach DS-GVO
Praxisinhaber sind als datenschutzrechtlich Verantwortliche nach Art. 24 Abs. 1 und Art. 32 DS-GVO verpflichtet, geeignete technische und organisatorische Maßnahmen für eine verordnungskonforme Verarbeitung der Patientendaten zu treffen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) sieht zum Schutz vertraulicher Inhalte bei der E-Mail-Kommunikation eine Verschlüsselung vor. Es ist Konsens, dass bei besonderen Kategorien personenbezogener Daten wie z.B. Gesundheitsdaten eine Verschlüsselung als geeignet, erforderlich und angemessen i.S.d. Art. 32 DS-GVO anzusehen ist.
Doch nicht nur hochsensible Patienteninformationen sind besonders schützenswert. Bereits beim Versand von Serviceleistungen per E-Mail ist der Schutz personenbezogener Daten zu beachten. Wie weitreichend die Datenschutzvorgaben sind, lässt sich beispielsweise am Versand von Postkarten für Vorsorgeuntersuchungen ersehen, selbst diese sind datenschutzrechtlich nicht mehr zulässig.
Ist eine unverschlüsselte E-Mail-Kommunikation zulässig?
Eine unverschlüsselte E-Mail-Kommunikation von Praxen mit Patientendaten entspricht nicht den Vorgaben der Datenschutz-Grundverordnung und ist als Verstoß gegen die Vorgaben des Datenschutzrechts stets sanktionsbewehrt. Rechtlich umstritten ist der Sachverhalt, wenn Patienten gegenüber Praxen auf Verschlüsselungslösungen bei der E-Mail-Kommunikation verzichten. Der Grund hierfür ist, dass die DS-GVO diesen Sachverhalt in Art. 32 nicht vorsieht.
Serviceangeboten der Praxis nur mit Zustimmung
Die gängige Praxis lässt derzeit allerdings zu, dass sich Patienten mit der Versendung unverschlüsselter E-Mails einverstanden erklären können, nachdem die Praxis über die damit verbundenen Risiken informiert und alternative und sichere Kommunikationsmöglichkeiten angeboten hat (z.B. Verschlüsselung der E-Mail, postalisch, telefonisch). Dies muss seitens der Praxen allerdings nachgewiesen werden. (LfDI Rheinland-Pfalz)
Insofern können im Praxisalltag besondere Serviceangebote wie Praxismailings oder Terminerinnerungen den Patienten angeboten werden. Geht dies über die erlaubte Datenverarbeitung hinaus, ist eine gesonderte Zustimmung des Patienten erforderlich.
Das „Recht auf Vergessenwerden“ – ein Löschkonzept ist erforderlich
Patienten haben ein Recht darauf, dass ihre Daten datenschutzkonform vernichtet werden, wenn diese nicht mehr gebraucht werden oder der Patient dies einfordert. Das Recht auf Vergessenwerden soll sicherstellen, dass digitale Informationen mit einem Personenbezug nicht dauerhaft zur Verfügung stehen. Die Arztpraxis muss folglich sicherstellen, dass ein Löschkonzept vorliegt und die Datenschutzvorgaben regelkonform umgesetzt werden.
Das Recht auf Vergessenwerden
Das Recht auf Vergessenwerden regelt primär die Löschpflichten. Demnach sind personenbezogene Daten unverzüglich zu löschen, sobald die Daten zum ursprünglichen Verarbeitungszweck nicht mehr notwendig sind, bzw. die betroffene Person ihre Einwilligung widerrufen hat und kein sonstiger Rechtfertigungsgrund einschlägig ist, die betroffene Person Widerspruch einlegt und keine vorrangigen berechtigten Gründe für die Verarbeitung vorliegen oder die Löschung zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich ist.
Warum ist Patientenkommunikation mit Meet your Doc sicher?
Die Kommunikationslösung Meet your Doc ist im Gegensatz zu vielen E-Maillösungen durchgängig verschlüsselt. Bereits mit dem Login befindet man sich auf einem Server von Meet your Doc (Standort des Servers ist Deutschland). Von diesem Server werden die Mitteilungen verschlüsselt auf die Meet your Doc App und von den Patienten werden die Anfragen von der App verschlüsselt zurück auf den Server transferiert. So wird sichergestellt, dass alle versendeten Mitteilungen von niemanden einsehbar oder lesbar sind.
Mit Meet your Doc starten Sie in eine sichere Patientenkommunikation!
Datenschutzkonforme Einwilligung zur Patientenkommunikation
Die Besonderheit des Serviceportals Meet your Doc besteht darin, dass vor dem Start der „Kommunikationsbeziehung“ eine datenschutzkonforme Einwilligung beim Patienten eingeholt wird. Der Patient muss explizit einwilligen, dass es der Klinik / Arztpraxis gestattet wird Mitteilungen zu senden.
Löschkonzept konsequent umgesetzt
Das Recht auf Vergessenwerden wird in Meet your Doc konsequent umgesetzt. Der Patient kann jederzeit die Verbindung wieder löschen und so von seinem Recht auf Vergessenwerden Gebrauch machen. Nimmt der Patient dieses Recht in Anspruch, werden alle Informationen verschlüsselt und sind für die Klinik / Praxis nicht mehr einsehbar. Mit dem Löschen des App-Accounts werden alle Informationen für diesen Account gelöscht.