OTK2 – DSGVO und Schweigepflicht - personenbezogene Daten per E-Mail

Question

Sehr geehrte Damen und Herren,
wenn ein Patient via OTK2 einen Termin bucht, erhält er eine unverschlüsselte E-Mail mit der Terminbestätigung von noreply@arzt-direkt.de. In dieser E-Mail steht auch der Name des Patienten, Name der Praxis sowie Datum und Uhrzeit des Termins.
Falls der Patient in einem Freitextfeld zusätzliche Informationen, beispielsweise zu den Themen eingibt, die er beim Termin besprechen möchte, so erhält unsere Praxis noch zusätzlich diese Details per unverschlüsselter E-Mail. Möglicherweise mit konkreten Beschwerden oder Diagnosen.
Sein Einverständnis muss der Patient nicht explizit geben. Ein Ankreuzfeld ist jedenfalls nicht verpflichtend.
Klickt der interessierte Patient auf das kleine Fragezeichen, dann auf Datenschutz > Verschlüsselung der Übertragung, so heißt es
„Alle personenbezogenen Patientendaten werden ausschließlich für die Teilnehmer bereitgestellt und dabei Ende-zu-Ende verschlüsselt (TLS 1.3). Auch die Datenübertragung während der Durchführung der Videosprechstunde bzw. bei der Rezeptübetragung an Kooperationsapotheken wird nach aktuellem Stand der Technik verschlüsselt. Diese Verschlüsselung verhindert, dass Unbefugte Zugriff auf die übermittelten Daten erlangen.
Bitte beachten Sie, dass bei der Datenübertragung, die über dieses Angebot hinausgeht (z.B. E-Mail), die Verbindung unter Umständen nur nach vorheriger Absicherung Ihrerseits abhörsicher ist.“

Ist dieses Procedere ausreichend DSGVO- bzw. schweigepflichtkonform?

Answer 1

Sehr geehrter Herr Dr. Schaider,

die Vorgehensweise ist DS-GVO konform, da es der Patient in der Hand hat, diese Daten zu übermitteln oder nicht = faktische Einwilligung. Der Prozess der Termin- und Inhaltsübermittlung ist verschlüsselt, ansonsten hätte der Anbieter Zollsoft ein Problem.

Das Procedere ist auch schweigepflichtkonform, da nur der Arzt nicht aber der Patient der Schweigepflicht unterliegt. Solange der Patient Ihnen per E-Mail schreibt, ist alles im grünen Bereich. Wenn Sie ihm antworten, sollte er vorher eine Einwilligung in die Kommunikation per Mail (und SMS) erteilt haben. Wenn Sie auch bei vorliegender Einwilligung Gesundheitsdaten (zB. Befunde, eRezept-Token) übermitteln, müssen diese verschlüsselt sein. Die Terminbestätigung enthält keine Gesundheitsdaten, und in den Erhalt der Bestätigung hat der anfragende Patient auch faktisch eingewilligt.
Vielfach verwenden Praxen auch Kontaktformulare auf ihren Webseiten. Hier ist allergrößte Vorsicht geboten, wenn der Provider wie zB 1&1/ IONOS ihre Dienste im den USA hosten, oder wenn über ein Google-ReCaptcha die Versendung des Mails von menschlicher Hand geprüft wird. Hier wird dann mal fix die IP-Adresse ohne Einwilligung übermittelt, was Schadenersatzansprüche auslösen kann. Für Google-Maps gilt dies auch.

Herzliche Grüße aus Lippstadt vom Arztgatten, Rechtsanwalt Jörg Frotscher

Comments

Vielen Dank für Ihre Einschätzung Herr Frotscher!