Auftragsverarbeitung von Patientendaten

Nationale Spielräume dank DSGVO

Die Regelung von Art. 9 DSGVO (Verarbeitung besonderer Kategorien personenbezogener Daten) erlaubt in ungewöhnlich umfangreicher Weise, die Verarbeitung von Gesundheitsdaten eigenständig zu beschränken. Art. 9 Abs. 4 DSGVO lautet: „Die Mitgliedstaaten können zusätzliche Bedingungen, einschließlich Beschränkungen, einführen oder aufrechterhalten, soweit die Verarbeitung von (…) Gesundheitsdaten betroffen ist.“

Ausgangslage: Verbot der Auftragsverarbeitung

Vor dem 01.06.2022 enthielt das Bayerische Krankenhausgesetz (BayKrG) folgende Regelung: „Zur Verarbeitung oder Mikroverfilmung von Patientendaten, die nicht zur verwaltungsmäßigen Abwicklung der Behandlung der Patienten erforderlich sind, darf sich das Krankenhaus jedoch nur anderer Krankenhäuser bedienen“ (Art. 27 Abs. 4 Satz 6 Bayerisches Krankenhausgesetz – inzwischen aufgehoben). Diese Regelung verbot im Ergebnis die Verarbeitung medizinischer Daten von Krankenhauspatienten durch externe Dienstleister. Einzige Ausnahme hiervon war das Verarbeiten solcher Daten durch andere Krankenhäuser. Diese Ausnahme erlangte in der Praxis keine Bedeutung. Krankenhäuser, die entsprechende Dienstleistungen anbieten, gibt es nämlich so…