Seit Anfang des Jahres sind beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit bereits knapp 1.000 Meldungen über Datenpannen eingegangen. Mit zunehmender Sorge beobachtet der Landesbeauftragte dabei die hohe Anzahl an Datenpannen in Arztpraxen.
Seit dem Wirksamwerden der Europäischen Datenschutz-Grundverordnung (DS-GVO) am 25. Mai 2018 werden dem Landesbeauftragten für den Datenschutz und die Informationsfreiheit (LfDI) wesentlich häufiger Fehler beim Umgang mit Daten gemeldet. Das ist einerseits erfreulich, denn diese Meldepflicht gehört zu den zentralen Vorgaben der DS-GVO. Andererseits steht hinter einer solchen Meldung zumeist eine Nachlässigkeit oder ein Organisationsverschulden. Die Anzahl der Meldungen von solchen Verletzungen des Schutzes personenbezogener Daten nach Art. 33 DS-GVO, umgangssprachlich „Datenpanne“ genannt, haben sich seit Mai 2018 verzehnfacht!
Kaum ein Tag vergeht, an dem der Landesbeauftragte keine Meldungen über Datenpannen erhält. Seit Anfang des Jahres gingen bereits knapp 1.000 solcher Benachrichtigungen ein. Die Themen reichen von Vorfällen mit Verschlüsselungstrojanern (Ransomware) bis zum Fehlversand von Arztberichten. Im Mai 2019 gingen mit 177 Meldungen so viele wie noch nie ein.
Die am häufigsten gemeldeten Datenschutzverletzungen:
- Postfehlversand
- Hackingangriffe/Malware/Trojaner
- E-Mail-Fehlversand
- Diebstahl eines Datenträgers
- Versendung einer E-Mail mit offenem Adressverteiler
- Verlust eines Datenträgers
- Fax-Fehlversand
Mit zunehmender Sorge beobachtet der LfDI dabei die hohe Anzahl an Datenpannen in Arztpraxen. Vor allem Verschlüsselungstrojaner machen den Verantwortlichen hier zu schaffen. Ein häufiges Versehen ist es auch, Patientenberichte, Rezepte oder Röntgenbilder an die falschen Empfänger zu übermitteln.
Hierzu erklärt der Landesbeauftragte, Dr. Stefan Brink: „Gerade im medizinischen Bereich werden extrem sensible und schützenswerte personenbezogene Daten verarbeitet. Daher ist es hier besonders wichtig, dass mit diesen Daten sorgfältig und korrekt umgegangen wird. Technische und organisatorische Maßnahmen wie Datensicherung, Verschlüsselung, Schulung und Sensibilisierung der MitarbeiterInnen sind – wie in allen Bereichen, in denen mit personenbezogenen Daten umgegangen wird – ein unbedingtes Muss!“ Bei einer Datenpanne mit Gesundheitsdaten sind regelmäßig neben der Meldung an den LfDI auch die Betroffenen selbst zu benachrichtigen.
Wann müssen Datenpannen überhaupt gemeldet werden?
Nicht jede Verletzung des Schutzes personenbezogener Daten führt zu einer Meldepflicht nach Art. 33 DS-GVO. Entscheidend ist, ob die Datenschutzverletzung zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Erläuterungen hierzu und allgemein zur Meldepflicht mit anschaulichen Praxisbeispielen können den Leitlinien des Europäischen Datenschutzausschusses entnommen werden.
Bußgelder
Aufgrund fehlerhaften Umgangs mit Daten wurden bislang von der Bußgeldstelle des LfDI Bußgelder in Höhe von 207.140 Euro verhängt. Die höchsten Geldbußen waren zwei Bußgeldbescheide in Höhe von jeweils 80.000,00 Euro – in beiden Fällen handelte es sich um Datenpannen: In einem Fall wurden bei einer digitalen Publikation aufgrund unzureichender interner Kontrollmechanismen versehentlich Gesundheitsdaten veröffentlicht. In einem weiteren Fall hatte ein Unternehmen aus der Finanzwirtschaft personenbezogene Daten unsachgemäß entsorgt.
Landesbeauftragter für den Datenschutz: Häufig gestellte Fragen zum Datenschutz in Arztpraxen
Landesbeauftragter für den Datenschutz: Hinweise zum Umgang mit Passwörtern
Zentrale Ansprechstelle Cybercrime für Unternehmen und Behörden
Tätigkeitsbericht Datenschutz: Beitrag „Diskretion in der Arztpraxis“; Kapitel 7.1, Seite 107 (PDF)
Landesbeauftragter für den Datenschutz und die Informationsfreiheit
Quelle:
Landesbeauftragter für den Datenschutz und die Informationsfreiheit (LfDI)
