Ein Datenschutzbeauftragter extern oder intern aber auch Datenschützer würden zustimmen, wenn es darum geht, dass für Pflegedienste Datenschutz eine große Rolle spielen sollte. Der Grund für die große Bedeutung ist die Vielzahl personenbezogener Daten und die besonderen Arten personenbezogener Daten, die Pflegekräfte erheben, verarbeiteten und nutzen.
Nichtsdestotrotz zeigen sich in der Praxis immer wieder Datenschutz-Verletzungen und hohe Datenschutz-Risiken in dieser Branche, unter anderem durch die Nutzung von WhatsApp. Eine neue „Masche“ der Pflegedienste sorgt allerdings ebenfalls für Aufsehen. Hinter dem „Deckmantel Datenschutz“ versuchen sich Pflegedienste vor Qualitätskontrollen durch die Medizinischen Dienste der Krankversicherung (MDK) zu schützen.
Wieso Datenschutz kein Hindernis darstellen sollte und was hinter der neuen „Masche“ steckt, erklärt Ihr externer Datenschutzbeauftragter.
„Pflegedienste Datenschutz“ die hohe Bedeutung hinter der Begriffskombination
Jede Stelle, die personenbezogene Daten erhebt, verarbeitet oder nutzt, sollte sich an das Datenschutzrecht halten, wodurch jegliche Erhebung, Verarbeitung und Nutzung personenbezogener Daten auf einer Rechtgrundlage oder einer informierten Einwilligung des Betroffenen basieren sollte. Zudem sieht das Datenschutzrecht einen besonderen Schutz für sogenannte besondere Arten personenbezogener Daten (hier insbesonere Gesundheitsdaten) vor. Der besondere Schutz spiegelt sich unter anderem in den Anforderungen an informierte Einwilligungen sowie in umfassenderen Prüfungen durch den Datenschutzbeauftragten (sogenannte Vorabkontrolle) wieder.
Die Übermittlung personenbezogener Daten fällt unter die Verarbeitung, wodurch diese ebenfalls vom Datenschutzrecht erfasst wird. Folglich darf eine Datenübermittlung ebenfalls ausschließlich auf Basis einer Rechtsgrundlage oder einer informierten Einwilligung erfolgen.
Im Datenschutzrecht gibt es allerdings eine Ausnahme. Werden personenbezogene Daten an einen Dienstleister übermittelt, der diese Daten ausschließlich nach Weisung der „verantwortlichen Stelle“ verarbeitet, so spricht man von einer Auftragsdatenverarbeitung (§ 11 Bundesdatenschutzgesetz). Die Auftragsdatenverarbeitung, kurz ADV, wird als „Nicht-Übermittlung“ eingestuft, wodurch das Einholen von informierten Einwilligungen nicht notwendig ist. Klassische ADV-Dienstleister der Pflegedienste (gleich ob ambulant, teil- oder stationär) sind z. B. IT-Dienstleister. Das Gegenstück zur Auftragsdatenverarbeitung ist die Funktionsübertragung, wobei die Unterscheidung in der Praxis häufig zu Problemen führt.
Unter einer Funktionsübertragung versteht man das Auslagern ganzer Funktionen an einen Dienstleister, der die Aufgaben weisungsfrei erfüllt. Der Auftragsnehmer trifft bei der Durchführung des Auftrags eigenverantwortlich Entscheidungen, wodurch er mehr als nur Hilfstätigkeiten ausführen kann. Klassische Beispiele sind Steuerberater bei der Steuerberatung oder Rechtsanwälte bei der rechtlichen Vertretung, wobei auch der MDK unter die Funktionsübertragung fällt. Das Bundesdatenschutz (BDSG) sieht für Funktionsübertragungen allerdings keine Ausnahmeregelungen vor, wodurch die Datenübermittlung tatsächlich auch als solche eingestuft wird. Eine Übermittlung an einen Medizinischen Dienst der Krankenversicherung darf also nur erfolgen, wenn eine Rechtsgrundlage oder eine informierte Einwilligung dies erlauben.
Wie Pflegedienste Datenschutz – Vorschriften ausnutzen?
„Hiermit widerspreche ich der Weitergabe meiner personenbezogenen Daten an den Medizinischen Dienst der Krankenversicherung zur Verwendung bei ihrer Qualitätsprüfung.“ Mit diesem oder vergleichbaren kurzen Sätzen fängt die „Masche“ der Pflegedienste an, was die Patienten oder die Bevollmächtigten bei der Unterzeichnung allerdings nicht wissen, dass Pflegedienste Datenschutzvorschriften ausnutzen, um sich selbst zu schützen und möglicherweise ihre mangelnde Qualität den Kontrollen durch den MDK zu entziehen.
Grundsätzlich soll der MDK, gemäß § 114 des Sozialgesetzbuches elftes Buch (SGB XI), Prüfungen durchführen, zu denen der MDK das Einverständnis der Patienten bzw. der Bevollmächtigten benötigt, wenn diese betroffen sind. Widersprechen die Patienten bzw. der Bevollmächtigte der Kontrolle oder ggf. sogar der Kontaktaufnahme, so darf der MDK, basierend auf dem Grundrecht der Unversehrtheit der Wohnung sowie auf Basis von Persönlichkeits- und Datenschutzrechten, keinen Kontakt zu den Betroffenen aufnehmen und folglich keine Kontrollen bei den Patienten durchführen.
Bei einem Widerspruch könnten sich Patienten allerdings selbst schaden. Der Grund ist, dass der MDK nicht nur die Pflegebedürftigkeit der Patienten und die Qualität der Pflege kontrolliert, sondern eine Art Instanz, neben den Aufsichtsbehörden und dem Datenschutzbeauftragten, für den Datenschutz darstellt.
Die große Bedeutung der Kontrollen und die Empörung über die „Masche“ der Pflegedienste hat auch die Bundesregierung hellhörig gemacht, da insbesondere Pflegebedürftige die Leidtragenden sind. Aus diesem Grund wird derzeit eine Gesetzesänderung geprüft.
Exkurs: Datenschutz sollte kein Hindernis sein
Als neuer externer Datenschutzbeauftragter stellt man häufig fest, dass Datenschutz bei „verantwortlichen Stellen“ zunächst als eine Last, Mehraufwand oder eben als Hindernis angesehen wird. Diese Auffassung ist allerdings falsch, denn die Anforderungen aus dem Bundesdatenschutzgesetz und die damit verbundenen Maßnahmen, unterstützen „verantwortliche Stellen“ beim gewollten Schutz von sensiblen Informationen, wobei nicht nur personenbezogene Daten geschützt werden, sondern auch Betriebsgeheimnisse. Nach einer gewissen Zeit der Zusammenarbeit zwischen Verantwortlicher Stelle (Pflegedienst) und Datenschutzbeauftragten wird dieser Mehrwert gewöhnlich erkannt.
Datenschutz verhilft sowohl Geschäftsführern, Mitarbeitern, Patienten (Kunden) und vielen mehr zu mehr Sicherheit und erhöht parallel die Transparenz. Geschäftsführer können ruhiger schlafen, weil sie wissen, dass Mitarbeiter auf das Datengeheimnis gemäß § 5 BDSG verpflichtet wurden und durch diese und weitere Maßnahmen (wie Datenschutzschulungen) bestens darüber informiert sind, dass sie Daten, die sie im Rahmen des Beschäftigungsverhältnisses erhalten, nicht unbefugt weitergeben dürfen. Mitarbeiter des Pflegedienstes lernen hierdurch die klaren Grenzen des Datenschutzes kennen und können sich durch den Ansprechpartner „externer Datenschutzbeauftragter“ auf ihre Kernaufgaben konzerntrieren. Des Weiteren erhöht es das Vertrauen der Kunden (Imagegewinn durch professionellen Datenschutz anstatt Imageverlust durch vorprogrammierte Datenpannen). Dies wirkt sich sicherlich nicht nachteilig auf die „verantwortliche Stelle Pflegedienst“ aus. Der Datenschutz, so auch der § 32 BDSG, schützt die Daten der beschäftigten Mitarbeiter. Rechte für Mitarbeiter lassen sich allerdings nicht nur in § 32 BDSG finden, denn neben vielen Regelungen im BDSG, wie die erforderliche Vorabkontrolle durch den Datenschutzbeauftragten, können auch bereichsspezifische Vorschriften zum Arbeitnehmerdatenschutz beitragen. Kunden, Ansprechpartner und weitere Betroffene profitieren ebenfalls vom Datenschutzrecht und der damit verbundenen Transparenz.
Alles in allem sollte Datenschutz nicht als Hindernis, sondern als „helfende Hand“, die zum Schutz unserer Daten und zur Wahrung unserer Grundrechte dient, angesehen werden.
