Datenschutzrecht: „Privacy Shield“ zerbrochen, und nun?! Auswirkungen für Praxen und Anbieter digitaler Gesundheitsanwendungen

Nach dem „Safe-Harbour“-Abkommen erklären die Luxemburger Richter des EuGH mit Urteil vom 16.07.20 auch das Privacy-Shield-Abkommen zwischen der EU und den USA für unwirksam.
Wie sich das auf Leistungserbringer und Anbieter von digitalen Gesundheitsanwendungen (DiGA) in Deutschland auswirkt und wer nun handeln sollte, fassen wir nachfolgend in Kürze zusammen.

Was war der Vorteil des Privacy-Shield-Abkommens?

Nicht erst seit der EU-DSGVO ist klar: Das datenschutzrechtliche Niveau der EU-Staaten übersteigt das der USA. Problematisch kann das u.a. sein, wenn man Dritte (z.B. Auftragsverarbeiter) aus den USA in einen Datenverarbeitungsprozess einbindet. Als Verantwortlicher haftet man nämlich grundsätzlich auch für Datenschutzverstöße von z.B. (Sub)Auftragsverarbeitern. Bevor man sich für ein solch drittes Unternehmen entscheidet, sollte man daher sicherstellten, dass dieses seinerseits den Anforderungen der DSGVO gerecht wird. Dies gilt erst recht, wenn der Dritte selbst gar nicht der z.B. der DSGVO unterliegt. Für dritte Unternehmen aus den USA gab es hierfür eine Lösung: Das Privacy-Shield-Zertifikat. Bei Einsatz eines solch zertifizierten Unternehmens konnte man grundsätzlich davon ausgehen, dass dieses die Daten nach EU-Niveau verarbeitet. Eine eigene – praktisch kaum durchführbare Prüfung – der datenschutzrechtlichen Maßnahmen des Dritten war nicht erforderlich. Mit dem Wegfall des Privacy-Shield-Abkommens gibt es diese „Erleichterung“ in der Form ab sofort nicht mehr.

Inwieweit betrifft die Entscheidung auch mich als Leistungserbringer oder Anbieter von DiGA´s in Deutschland?

Relevant wird die Entscheidung insbesondere im Hinblick auf Auftragsverarbeitungsverhältnisse. Wer z.B. Cloud-Dienste, für die Terminvergabe, Software-Wartung, telemedizinische Dienste im Bereich der PKV oder die eigene Homepage Drittunternehmen einbindet, sollte einmal genauer hinschauen. Die meisten dieser Auftragsverarbeiter setzen ihrerseits Subunternehmen ein. Werden dabei Daten auf Servern in den USA gespeichert, gibt es den Schutz des „Privacy-Shields“ nicht mehr. Das wird auf kurz oder lang die Aufsichtsbehörden auf den Plan rufen.

Auch die Anbieter von digitalen Gesundheitsanwendungen müssen dann reagieren, wenn sie mit US-Unternehmen zusammenarbeiten. Gemäß § 4 Abs. 3 DiGAV ist eine Verarbeitung von personenbezogenen Daten durch die digitale Gesundheitsanwendung selbst sowie die Verarbeitung im Auftrag in einem Drittstaat außerhalb der EU, des EWR und der Schweiz nur zulässig, sofern ein Angemessenheitsbeschluss der EU-Kommission gemäß Artikel 45 der Verordnung (EU) 2016/679 vorliegt.

Muss ich jetzt handeln?

Wer bislang z.B. Auftragsverarbeiter einsetzte, die ihrerseits Daten auf Servern in den USA speicherten, sollte achtsam sein und ggf. umdisponieren – und das sofort. Einen Ausweg könnten insoweit die sog. „Standardvertragsklauseln“ der EU-Kommission bieten. Diese wurden seitens des EuGH ausdrücklich nicht beanstandet. Doch auch diese sind kein Allheilmittel, da es bei der Verwendung solcher Klauseln auf den Einzelfall ankommt. Auch hier sollte also eine genauere Prüfung erfolgen. Wer sich unsicher ist, ob ihn der Wegfall des Privacy-Shield-Abkommens überhaupt betrifft, sollte im Zweifel einfach bei seinen Auftragsverarbeitern nachfragen oder selbst einen Blick in den Auftragsverarbeitungsvertrag werfen. Als letzter Ausweg bleibt stets der Wechsel zu einem Anbieter, welcher sich ohnehin an die europarechtlichen Vorgaben halten muss.

Vergleichbares gilt für Anbieter digitaler Gesundheitsanwendungen.

Datenschutzrechtlicher Durchbruch im Bereich der klinischen Forschung: DSK erkennt „broad consent“ an

Ende April teilte die Medizininformatik-Initiative (MII) mit, sie habe seitens der Konferenz der unabhängigen Datenschutzbeauftragten (DSK) „grünes Licht“ für eine Muster-Einwilligung zur (Weiter)Verarbeitung von Patientendaten zu wissenschaftlichen Forschungszwecken erhalten (hier geht es zur offiziellen Pressemitteilung).

Diese Mitteilung dürften viele (internationale) Forschungsinitiativen mit deutschem Einschlag freudig aufgenommen haben. Endlich wird der datenschutzrechtliche Nebel bei klinischen Forschungsvorhaben etwas gelichtet. Insbesondere die Vielzahl an neben der DSGVO zu beachtenden nationalen Regelungen (z.B. BDSG, LDSG, LKhG) führte zu einem nahezu undurchschaubaren Potpourri von Anforderungen.

Um diese unsichere Lage zu umgehen, wurde die Einwilligung allerdings nicht als geeignetes Mittel angesehen. Lange ging man  davon aus, dass eine wirksame Einwilligung des einzelnen Patienten im Rahmen von Forschungsvorhaben für jeden einzelnen konkreten Forschungszweck einzuholen war. Viele medizinische Fragestellungen stehen zu Beginn eines Forschungsvorhabens allerdings noch gar nicht fest. Damit war die Einwilligung als Rechtsgrundlage für die Forschung praktisch nahezu nicht umsetzbar. Eine „breite Einwilligung“ („broad consent“), um als Patient seine Daten pauschal der Forschung „spenden“ zu können, wurde als nicht wirksam angesehen.

Bis jetzt. Die DSK positionierte sich nunmehr erstmals pro „broad consent“. Damit kann der Patient – unter weiteren Voraussetzungen wie z.B. der Pseudonymisierung seiner Daten – eine breite Einwilligung abgeben. Dies dürfte in der Praxis für erheblich mehr Rechtssicherheit sorgen. Zumindest im Verhältnis zu den Landesdatenschutzbehörden ist mit einer Sanktionierung nicht zu rechnen, sofern sich an die entsprechenden Vorgaben gehalten wird. Ob sich die Rechtsprechung der Meinung der DSK anschließen wird, bleibt allerdings abzuwarten.

Welches KIM hätten’s denn gern?

Zum Juli 2020 gewinnt die elektronische Kommunikation über die Telematikinfrastruktur (TI) weiter an Relevanz für den Praxisalltag.

Bisher war lediglich das. „Versichertenstammdatenmanagement“ (VDSM), also der Echt-Zeit-Abgleich der Versichertendaten des Patienten, verpflichtend über die TI durchzuführen. Zu Juli 2020 werden nun – finanzielle – Anreize gesetzt, die TI auch darüber hinaus einzusetzen.

Namentlich soll dies mit KIM geschehen. KIM – ehemals KOM-LE – ist ein E-Mail und Datenaustausch-Service der gematik. Über KIM soll der Austausch von sensiblen Daten wie Befunden, Bescheiden, Abrechnungen oder Röntgenbildern über die TI ermöglicht werden. Ziel ist es, sämtliche dieser Unterlagen künftig sicherer und schneller über KIM via E-Mail zu versenden. Die Kommunikation erfolgt dabei über Einrichtungs-, System- und Sektorgrenzen hinweg. Mit anderen Worten kann über KIM digital sowohl zwischen niedergelassenen Ärzten, Zahnärzten, Psychotherapeuten sowie Apothekern als auch mit behördlichen Einrichtungen wie K(Z)Ven und Krankenkassen kommuniziert werden. KIM stellt dabei lediglich das Transportmedium dar. Um KIM nutzen zu können, muss man sich für einen entsprechenden Dienstanbieter entscheiden.

Praktischer Vorreiter von KIM soll der Arztbrief sein.

Dieser wird am dem 01. Juli 2020 nur noch dann vergütet, sofern er als eArztbrief über KIM versendet wird. Für eine gewisse Übergangszeit bleibt die Vergütung für die Übermittlung via KV-Connect allerdings erhalten. Zugleich wird die Vergütung des „analogen“ Arztbriefes unattraktiver. Abrechnungsfähig wird nur noch die Portokostenpauschale sein. Die übrigen – dann ehemals – ansatzfähigen Pauschalen werden gestrichen.

Entscheidend kommt hinzu, dass Arztpraxen die AU-Bescheinigung ab Januar 2021 ausschließlich in digitaler Form an die Krankenkassen übersenden müssen. Hierzu soll ausschließlich KIM als Transportmedium zulässig sein.

Spätestens zu diesem Zeitpunkt sind die Praxen in der Pflicht, einen KIM-Anbieter auszuwählen. Es ist davon auszugehen, dass eine Riege von verschiedenen Anbietern um den Zuschlag der Nutzer kämpfen wird. Viele der Produkte befinden sich aktuell noch in der Zertifizierungsphase. Die KBV ist da etwas schneller. Sie ist bereits mit ihrem KIM-Dienst „kv.dox“ als Anbieter in den Ring gestiegen.

Nicht nur für Praxen heißt es daher, sich lieber zu früh als zu spät mit KIM-Anbietern auseinanderzusetzen. Im Zweifel dürfte man sich wohl an den jeweiligen PVS-Anbieter wenden können.

(Zahn)Ärzte mit Ausbildung im Ausland als Lösung des Fachkräftemangels?

Das gesellschaftliche Problem ist allseits bekannt und betrifft auch die (Zahn)Ärzteschaft: Es fehlt an geeignetem Fachpersonal! So erleben auch wir im Beratungsalltag häufiger, dass bestimmte Projekte (Praxisvergrößerung, Gründung MVZ, Nachbesetzung von (Zahn)Arztstellen, etc.) ins Stocken geraten, da es an der erforderlichen „Manpower“ fehlt.

Doch woher geeignetes Personal nehmen, wenn nicht stehlen? Sofern der deutsche Arbeitsmarkt keine Lösung bietet, geht der Blick automatisch über den Tellerrand hinaus ins Ausland.

Auf der Suche nach (Zahn)Ärzten mit Abschluss im Ausland wird man auch vergleichsweise schnell fündig. Es sind bereits viele qualifizierte und motivierte (Zahn)Ärzte nach Deutschland verzogen. Ein „Problem“ teilen die ausländischen Fachkräfte jedenfalls zu Beginn fast alle: Die Erteilung der Approbation.

Dabei müssen (Zahn)Ärzte insbesondere aus sog. „Drittstaaten“ (also insb. außerhalb der EU und des EWR) mehrere Klippen umschiffen, um in den Zielhafen „Approbation“ einlaufen zu können.

Nur um einige der Herausforderungen zu benennen, ist insbesondere auf die Dauer des Verfahrens, die „Eigenarten“ der verschiedenen Behörden sowie die Vorbereitung eines anhand der gesetzlichen Grundlagen sowie der einschlägigen Rechtsprechung vorbereiteten Antrags zu achten.

So sind die Anträge auf Erteilung der Berufserlaubnis und Approbation bestenfalls zeitgleich zu stellen. Ziel muss es sein, das Approbationsverfahren während der (grundsätzlich nur zwei Jahre gültigen) Berufserlaubnis zu erhalten. Abhängig von dem Bundesland sowie dem Erfordernis eines Gutachtens dauert ein Approbationsverfahren nicht selten 1 ½ bis 2 Jahre. Eine entsprechend gute (tatsächliche und rechtliche) Vorbereitung des Antrags ist daher essentiell.

Hat sich z.B. ein Entlastungsassistent mit Berufserlaubnis im Praxisalltag erwiesen, kann dessen Approbationsantrag auch seitens des Arbeitgebers unterstützt werden. So helfen dem Angestellten insbesondere qualifizierte Arbeitszeugnisse.

Zwar ist der Weg zur Approbation alles andere als ein „Selbstläufer“. Doch stellt die Unterstützung junger Fachkräfte mit Ausbildung im Ausland auf dem Weg zur Approbation allemal eine Alternative auf der Suche nach geeignetem Fachkräftenachwuchs dar.

Keine Prozentangabe bei Risikoaufklärung

Bleibt der gewünschte Behandlungserfolg aus, ist die Haftungsklage durch den Patienten oftmals nicht mehr weit.

Beliebter Einwand des Patienten ist dann häufig die angeblich fehlerhafte oder gar unterlassene Aufklärung. Triebfeder dieses Einwands ist in vielen Fällen sicherlich die für den Patienten günstige Beweislastverteilung, denn:

Bei entsprechendem Einwand muss der Arzt die ordnungsgemäße Aufklärung nachweisen.

Gelingt ihm das nicht, sieht sich der Arzt auch bei Behandlungen de lege artis dem Grunde nach zumindest einem Schmerzensgeldanspruch ausgesetzt.

In dem durch das OLG Frankfurt am Main (Urt. v. 26.03.2019, Az. 8 U 219/16) entschiedenen Fall traten ohne ein Verschulden des operierenden Arztes postoperative Komplikationen auf. Der Patient wandte daraufhin ein, er sei über die Wahrscheinlichkeit bestimmter postoperativer Komplikationen nur unzureichend aufgeklärt worden. Die Formulierung, derartige Komplikationen würden „vereinzelt“ auftreten, sei jedenfalls verharmlosend.

Das Gericht hingegen sah die Aufklärung als ausreichend an. Bei einer (durch Sachverständigen) festgestellten Eintrittswahrscheinlichkeit der postoperativen Komplikationen in Höhe von ca. 20% könne nach dem allgemeinen Sprachgebrauch noch von „vereinzelt“gesprochen werden. Eine Verharmlosung liege nicht vor. Genaue Prozentzahlen seien hinsichtlich des Behandlungsrisikos nicht mitzuteilen.

Prozentangaben müssen also im Rahmen der Risikoaufklärung nicht angegeben werden. Dennoch sei anhand dieses Beispiels erneut daran erinnert, dass eine gute Dokumentation Gold wert sein kann.

Wirtschaftliche Aufklärungspflicht: Reicht pauschaler Hinweis aus?

Eine kürzlich ergangene Entscheidung des Amtsgerichts Mitte in Berlin stellt ein weiteres Beispiel dafür dar, dass wirtschaftliche Informationen während der privatärztlichen Behandlung zunehmend an Bedeutung gewinnen und nicht stiefmütterlich behandelt werden sollten. Insoweit berichteten wir vor Kurzem in unserem Blog bereits über eine Entscheidung des OLG Celle über das „Wie“ der Aufklärung. Das Amtsgericht Mitte überraschte nunmehr mit seiner Entscheidung (15 C 161/17) betreffend die Frage, in welchen Fällen („Ob“) der (Zahn)Arzt zur wirtschaftlichen Information verpflichtet ist.

Der Entscheidung lag ein Sachverhalt zugrunde, in welchem Krampfadern mittels eines neuen Verfahrens („VenaSeal Closure System“) erfolgreich behandelt wurden. Nach dem Ausgleich der Rechnung durch den Patienten verweigerte die PKV die Erstattung der Kosten mit dem Hinweis, das Verfahren sei wissenschaftlich noch nicht anerkannt. Daraufhin wandte sich der Patient an den behandelnden Arzt und machte von diesem Schadensersatz in Höhe der nicht übernommenen Kosten wegen Verletzung der wirtschaftlichen Informationspflicht geltend. Die schriftlich eingeholte Einwilligungserklärung enthielt dabei unter anderem den Hinweis, dass eine Kostenerstattung durch die PKV – insbesondere bei analoger GOÄ-Abrechnung – nicht garantiert werden könne. Eine Information in Textform über die voraussichtlichen Kosten lag nicht vor. Etwaige konkrete Anhaltspunkte, die PKV würde die Kosten nicht erstatten, hatte der Arzt nicht. Vielmehr erstatteten bis dato sämtliche PKVen die Kosten für dieses Therapieverfahren beanstandungslos.

Die Pflicht des Arztes, über die voraussichtlichen Kosten der Behandlung eines privatversicherten Patienten zu informieren, besteht dabei nicht ohne Weiteres. Nach § 630c Abs. 3 S. 1 BGB hat der Arzt den Patienten dann in Textform über die voraussichtlichen Kosten zu informieren, sofern er weiß oder sich nach den Umständen hierfür hinreichende Anhaltspunkte ergeben, dass eine vollständige Kostenübernahme nicht gesichert ist.

Dies sah das Amtsgericht als gegeben an. Zur Begründung führte es aus, durch den pauschalen Hinweis innerhalb des Formulars zur Einwilligung, die Kostenerstattung könne nicht garantiert werden, habe der Arzt gewusst, dass die vollständige Kostenübernahme nicht gesichert sei. Die Pflicht zur wirtschaftlichen Information über die voraussichtlichen Kosten in Textform sei damit ausgelöst und nicht erfüllt worden. Auch half der Vortrag des Arztes nicht weiter, der Patient hätte sich auch in Kenntnis der verweigerten Kostenübernahme für die erheblich weniger belastende durchgeführte Therapie entschieden. Das Gericht sah – ebenfalls überraschend – insoweit den Arzt als beweisbelastet an.

Das letzte Wort ist in der Sache hingegen noch nicht gesprochen. Die Entscheidung ist noch nicht rechtskräftig und es ist davon auszugehen, dass Berufung eingelegt werden wird.

Für die Praxis bleibt damit die Erkenntnis, dass neben den übrigen Aufklärungspflichten der Blick für eine etwaig notwendige wirtschaftliche Information des Patienten nicht verloren gehen sollte. Aus einer vermeintlich überobligatorischen Hilfestellung für den Patienten kann dem Arzt gern einmal ein Strick gedreht werden. Bei Unsicherheiten sollte lieber professionelle Rechtsberatung in Anspruch genommen werden, um nach erfolgreicher Behandlung nicht mit dem Vorwurf mangelhafter wirtschaftlicher Information konfrontiert zu werden.

Stärkung der Rechte des Zahnarztes bei Mängelregressansprüchen durch die KZV

In einem aktuellen Urteil des SG Berlin vom 22.02.2017 – Az. S 83 KA 2203/15 – stärkte dieses jüngst die Rechte des Zahnarztes für den Fall, dass die KZV den gezahlten Festzuschuss für eine prothetische Behandlung aufgrund eines Behandlungsfehlers erstattet verlangt.

So interessant die Entscheidung für den Alltag eines Zahnarztes ist, so einfach war auch der zugrunde liegende Sachverhalt gelagert. Die Patientin wurde von dem von uns vertretenen Zahnarzt mit einer Brücke versorgt. Die Brücke wurde dabei von dem Labor mangelhaft angefertigt, sodass die Kronenränder überstanden. Die Beschwerden traten dabei – wenig überraschend – erst direkt im Anschluss an die definitive Eingliederung auf. Obwohl sich der Zahnarzt jederzeit zu einer Nachbehandlung bereit erklärte, wechselte die Patientin ohne Ankündigung ihren Behandler und ließ ein Mängelgutachten erstellen. Die Gutachterin kam zu dem Ergebnis, dass die angefertigten Kronen mangelhaft waren und allein eine Neuanfertigung in Betracht kommen solle. Ein Obergutachten wurde nicht eingeholt und so verlangte die KZV den übernommenen Festzuschuss wieder zurück. Dies geschah letztlich zu Unrecht.

Kernfrage des Verfahrens war dabei, ob die KZV gegen den Zahnarzt einen Schadensersatzanspruch in Höhe des gezahlten Festzuschusses hatte. Dieser setzt neben einem festgestellten Behandlungsfehler voraus, dass „eine Nachbesserung wegen Unbrauchbarkeit des Arbeitsergebnisses nicht möglich und/oder dem (Patienten) eine Nachbesserung beziehungsweise Neuanfertigung durch den bisher behandelnden Vertragszahnarzt nicht zumutbar ist“ (BSG, Urt. v. 27.06.2012, Az. B 6 KA 35/11 R). Die Frage war also, ob allein aufgrund der Tatsache, dass eine Nachbesserung (durch Beschleifen der Kronenränder) nicht möglich war, auch die mögliche und zumutbare Neuanfertigung unbeachtlich sein sollte. So argumentierte zumindest die KZV.

Richtigerweise folgte das Gericht hingegen unserer Auffassung. Danach stehen Nachbesserung und Neuanfertigung auch im Sozialrecht gleichwertig nebeneinander. Dies vor allem deshalb, da unter Umständen allein Zufälle darüber entscheiden, ob nachzubessern oder neu anzufertigen ist. Es käme schlicht zu willkürlichen Ergebnissen.

Ist also eine Nachbesserung nicht möglich und eine Neuanfertigung (sofern diese für den Patienten zumutbar ist) angezeigt, so muss dem Zahnarzt dies gewährt werden, bevor die KZV Mängelregressansprüche geltend machen kann.

In naher Zukunft wird jedoch abzuwarten sein, ob diese Ansicht auch auf höchstrichterlicher Ebene Bestand hat, wenn das BSG in einem ähnlich gelagerten Fall entscheiden wird. Es lohnt sich also, die Entwicklung weiter zu verfolgen.

Wichtig ist zudem zu erwähnen, dass bei einem Streit um die behauptete Mangelhaftigkeit einer prothetischen Behandlung immer ein Obergutachten eingefordert werden sollte. Anderenfalls läuft man Gefahr, dass die Mangelhaftigkeit allein aufgrund der Nichteinholung des Obergutachtens unterstellt wird.