Herausgabe von Patientendaten: Wie weit geht der Anspruch aus Art. 15 Abs. 1 DSGVO?
Ein Patient kann seinen Anspruch auf die Herausgabe von Behandlungsunterlagen sowohl auf § 630g Bürgerliches Gesetzbuch (BGB) als auch auf Art. 15 der Datenschutzgrundverordnung (DSGVO) stützen. Beide Ansprüche stehen gleichberechtigt nebeneinander. Zur Erfüllung des Datenschutz-Auskunftsanspruchs muss die erstmalige Herausgabe kostenlos erfolgen. Dies hat das Landgericht Dresden bestätigt. Doch wie weit reicht der DSGVO-Anspruch? Sind wirklich alle Patientendaten kostenfrei zu übermitteln?
Der entschiedene Fall
Vor dem LG Dresden forderte eine Patientin von einem Krankenhaus, in dem sie behandelt worden war, die unentgeltliche Übermittlung der Behandlungsunterlagen auf elektronischem Weg im PDF-Format. Da Behandlungsfehler zu einer Beeinträchtigung ihrer Sehfähigkeit geführt hätten, gehe sie von einem Schmerzensgeldanspruch aus. Die Klinik zog sich auf den Standpunkt zurück, eine Übersendung der Unterlagen auf einem Datenträger sei lediglich gegen ein Entgelt von 5,90 Euro zuzüglich Versandkosten möglich.
Das Gericht verurteilte die Klinik, der ehemaligen Patientin unentgeltliche Auskunft über die bei ihr gespeicherten personenbezogenen Daten durch Übermittlung der vollständigen Behandlungsdokumentation im PDF-Format zu erteilen. Damit „vermischte“ das LG offenbar die von der Patientin geltend gemachten „Auskunftsansprüche“. Denn einerseits konstatierte es, ihrem Auskunftsverlangen sei vollumfänglich zu entsprechen. Andererseits ließ es ausdrücklich offen, ob der datenschutzrechtliche Anspruch tatsächlich so weit reicht wie der aus § 630g Abs. 1 S. 1 BGB oder der aus § 10 Abs. 2 Musterberufsordnung für die in Deutschland tätigen Ärztinnen und Ärzte, wonach jeweils unbestritten grundsätzlich die gesamte Patientenakte zur Einsicht bereitzustellen bzw. zu kopieren ist. Seine Zurückhaltung in dieser Frage begründete das Gericht damit, dass der Patientin bis zum Urteilsspruch noch keinerlei Auskunft erteilt worden war.
Hintergrund: Der Zwei-Stufen-Anspruch aus Art. 15 DSGVO
Nach Art. 15 Abs. 1 DSGVO kann ein Patient Auskunft darüber verlangen, ob der Verantwortliche (i. d. R. der Krankenhausträger bzw. der Chefarzt als Leiter der Chefarztambulanz) personenbezogene Daten über ihn verarbeitet. Ist dies der Fall, hat der Betroffene das Recht zu erfahren, welche personenbezogenen Daten das sind. Im Übrigen muss der Verantwortliche über Verarbeitungszwecke, die Kategorien der personenbezogenen Daten, die Empfänger und Empfängerkategorien, die Speicherdauer, das Beschwerderecht und andere Betroffenenrechte, die Herkunft der Daten sowie eine eventuelle automatisierte Entscheidungsfindung oder Profiling Auskunft erteilen. Darüber hinaus gewährt Art. 15 Abs. 3 DSGVO dem Patienten ein Recht auf Aushändigung einer Kopie seiner verarbeiteten personenbezogenen Daten.
Umsetzung des Art. 15 DSGVO in der Praxis
• Eine eingegangene Anfrage ist binnen eines Monats zu beantworten.
• Die Ansprüche sind in der Form zu erfüllen, die der Betroffene wünscht (also z. B. schriftlich oder auf elektronischem Wege).
• Die erste angeforderte Datenkopie ist unentgeltlich zur Verfügung zu stellen.
• Eventuell ersichtliche Daten Dritter in den Unterlagen sind im Vorfeld der Herausgabe unkenntlich zu machen.
Kernfrage bleibt ungeklärt
Angesichts der Pflicht zur kostenlosen Auskunft stützen Patienten ihre Herausgabeverlangen zunehmend häufig (auch) auf Art. 15 DSGVO. Fraglich ist, ob dieser Anspruch seinem Umfang nach tatsächlich genauso weit reicht wie die bisher bekannten Ansprüche. Bei der Beantwortung dieser Frage war das LG Dresden keine große Hilfe. Und so bleibt die rechtliche Beurteilung des Verlangens schwierig, wenn sich in der Behandlungsakte eines (Chef-)Arztes nicht ausschließlich sog. personenbezogene Daten befinden, die dem Patienten ohne weitere Informationen zugeordnet werden oder irgendwie zugeordnet werden können. Dann stellt sich die Frage, ob der Verantwortliche Teile der Patientenakte zurückhalten darf.
Greift Art. 15 DSGVO kürzer als § 630g BGB?
Nachvollziehbar wird in diesem Zusammenhang etwa von behördlicher Seite vertreten, der Begriff der Kopie in Art. 15 DSGVO sei lediglich als „sinnvoll strukturierte Zusammenstellung“ der ärztlich verarbeiteten personenbezogenen Daten zu verstehen. Denn in Art. 15 Abs. 3 S. 1 DSGVO sei lediglich von einer Kopie der „personenbezogenen Daten“ und gerade nicht von einer Kopie der Unterlagen, Dokumente oder Akten, in denen diese enthalten sind, die Rede. Zudem zielt der Zweck des Auskunftsanspruchs der DSGVO primär auf datenschutzrechtliche Belange ab. Hiernach greift der DSGVO-Anspruch kürzer als der aus § 630g Abs. 1 BGB.
Bei teilweiser Herausgabe trägt der Arzt ein Risiko
Angesichts dieses bekannten umfassenden Einsichtnahmeanspruchs dürfte sich die Frage des zulässigen Zurückhaltens von Informationen aus der Patientenakte in der Praxis darauf reduzieren, inwieweit der Verantwortliche darauf bestehen darf, Teile der Akte nur gegen die Zahlung eines angemessenen Entgelts herauszugeben. Zu hinterfragen ist auch, ob der (Chef-)Arzt im Einzelfall unter erheblichem Zeitaufwand prüfen möchte, welche in der Patientenakte vorhandenen Daten personenbezogene Daten i. S. d. DSGVO darstellen ‒ um womöglich zu dem Ergebnis zu gelangen, dass dies auf alle wesentlichen gespeicherten Daten zutrifft. Bei einem Streit mit dem Patienten drohen dem Arzt eine Auskunftsklage sowie Anzeigen bei der Datenschutzbehörde und der Ärztekammer. Ob es sich lohnt, all dies zu riskieren, ist fraglich.
RA Tim Hesse, Kanzlei am Ärztehaus, Münster/Dortmund