Vernetzte Autos - ein Gastbeitrag von Hans-Christian Schellhase

Premiere im PrivCom-Blog - unser Kollege Hans-Christian Schellhase hat sich mit den datenschutzrechtlichen Implikationen der vernetzten Autos ("Connected Cars") beschäftigt und die Ergebnisse für uns in einem mehrteiligen Gastbeitrag aufbereitet.

Lesen Sie hier:

Das Internet der Dinge und die fortschreitende allumfassende Vernetzung treiben Produkte und Geschäftsmodelle in allen Wirtschaftszweigen voran. Dieser Trend zeigt sich momentan besonders in der Automobilindustrie durch die sog. „Connected Cars“, über die wir Sie in dieser mehrteiligen Serie informieren möchten. Natürlich können auch wir bei diesem spannenden Thema nicht ganz aus unserer Haut heraus und betrachten die Connected Cars daher vor allem mit dem eher kritischen Blick eines Datenschutzbeauftragten bzw. Datensicherheitsexperten.

Einführung

Autos werden immer mehr zu rollenden Allround-Computersystemen, die mit der Umwelt, der Infrastruktur sowie dem Internet vernetzt sind und in alle Richtungen ohne Zutun des Fahrers kommunizieren. Wer heute Auto fährt, gibt daher auch eine Vielzahl persönlicher Daten preis.
Sicherheits-, Navigations- und Multimediasysteme sammeln Kilometer für Kilometer Informationen über den Fahrstil, den Standort und die Gewohnheiten der Autofahrer. Dies macht das Fahren durchaus sicherer, entspannter und umweltfreundlicher aber gleichzeitig gehen damit gravierende Gefahren für das Grundrecht auf informationelle Selbstbestimmung einher – der Grundlage des deutschen und europäischen Datenschutzes.

Moderne Autos wissen alles

Moderne Autos wissen fast alles über ihre Fahrer und auch deren Mitfahrer. Bis zu 80 Steuergeräte erheben, speichern und verarbeiten mit Hilfe von Sensoren alle relevanten Fahr- und Fahrzeugdaten. Diese Daten sind dabei besonders für Automobilhersteller, Zulieferer, Werkstätten, Autobanken, Versicherungen, Arbeitgeber, Krankenkassen und Mobilitätsdienstleister, aber auch für Gerichte, Finanz- und Strafverfolgungsbehörden höchst interessant.

Im vernetzten Auto werden diese Daten dann über Schnittstellen unmerklich nach außen transportiert. Dies schafft eine vollkommen neue Lebenswirklichkeit, da sich der Betroffene dieser Form der Kommunikation nicht entziehen kann. Im schlimmsten Falle weiß er gar nicht, dass sein Fahrzeug kommuniziert.

Man könnte auch sagen: Das Grundrecht auf informationelle Selbstbestimmung wird mit jedem gefahrenen Kilometer ein Stück weiter ausgehöhlt. Manche sagen auch: „abgeschafft“.

Spätestens mit der Einführung des automatischen Notrufsystems eCall im April 2018 ist jedes Neufahrzeug in der EU - etwa über das Mobilfunknetz - kommunikationsfähig. Die Zeiten also, in denen das Auto in gewisser Weise der digitale Rückzugsort gewesen ist, sind dann endgültig vorbei. Schon bald hinterlässt jedes Fahrzeug eine markante digitale Spur, aus der sich hochdetaillierte Bewegungs-, Verhaltens- und Persönlichkeitsprofile von Fahrer, Halter und anderen Personen ableiten lassen.

Technik

Dreh- und Angelpunkt des vernetzten Fahrzeugs ist die Sensor- und Steuerungstechnik. Moderne Fahrzeuge verfügen - wie bereits erwähnt - über bis zu 80 Steuergeräte. Diese regeln die aktiven und passiven Sicherheitssysteme sowie das reibungslose Zusammenspiel der technischen Fahrzeugkomponenten. Die hierfür notwendigen Daten erhalten die Steuergeräte von Sensoren. Diese erfassen u.a. Achslast, Beschleunigung, Bremsverhalten, Motordrehzahl, Lenkradeinschlag, Reifendrehzahl, Reifendruck, Temperatur, Querbeschleunigung, Geschwindigkeit und Verformungen. Andere Sensoren ermitteln, wie viele Personen wo im Fahrzeug sitzen, ob sie angeschnallt sind und wie laut die Musik im Innenraum ist.

Nichts entgeht den Sensoren

Auch gesundheitsrelevante fahrkritische Daten wie Pulsfrequenz, Handfeuchtigkeit, Körperhaltung, Allergenbelastung sowie der Atemalkoholgehalt werden von Sensoren erhoben und an die Steuergeräte weitergeleitet. Allein anhand der Augenbewegungen können die jeweilig verbauten Sensoren darüber hinaus die Fahrtauglichkeit erkennen.

Neben zahlreichen Sensoren, die für sich genommen schon eine Unmenge an Daten erheben, sind in einem modernen Auto aber auch Kameras und Radarsysteme verbaut, die das Fahrzeugumfeld überwachen. Videokameras - sog. Dash-Cams - werden jedoch nicht nur im Außen- sondern auch im Innenbereich von Fahrzeugen eingesetzt.

Die von den Sensoren und Kameras erhobenen Daten werden anschließend an die Steuergeräte übermittelt. Dort werden die erhobenen Ist-Daten mit den in den Steuergeräten hinterlegten bzw. errechneten Soll-Daten verglichen. Bei Abweichungen ergehen regulierende Steuerbefehle an die Bordelektronik, so wird etwa durch das Auto der Lenkradeinschlag des Fahrers korrigiert oder die Geschwindigkeit automatisch verringert.

Um Sensoren zu sparen, tauschen Steuergeräte Informationen auch untereinander aus. So werden etwa die für das elektronische Stabilitätsprogramm (ESP) erhobenen Daten auch für die Alarmanlage und das Kurvenlicht genutzt.

Ausblick auf Teil 2 - ausgewählte „Smart Services“

Weil Speicherplatz fast nichts mehr kostet und Computer immer schneller werden, lassen sich im sowie rund um das Auto gewaltige Mengen unterschiedlicher Daten verknüpfen und korrelieren. Dadurch sind vielfältige intelligente automobile Dienstleistungen, sog. „Smart Services“, möglich. Im zweiten Teil dieser Serie werden wir Ihnen eine kleine Auswahl dieser vielfältigen Angebote vorstellen.

Nachlese: it sa in Nürnberg

Letzte Woche fand in Nürnberg die große IT-Messe it sa statt, bei der wir zum zweiten Mal vertreten waren. Am Anfang stand eine lange Fahrt mit dem ICE: Hamburg-Nürnberg, das macht 4,5 Stunden. Zeit, die wir gut zur letzten Vorbereitung und einer Arbeitsbesprechung nutzen konnten.

Am nächsten Tag haben wir unsere „Workstation“ am Stand von Infinigate bezogen, die wir mit den Kollegen von antago teilten.

Mittags folgte der Auftakt der von Infinigate und Sophos organisierten „Roadshow“ zum IT-Sicherheitsgesetz, bei der Anna Cardillo (hauptsächlich) und ich (zu einem kleineren Teil) als Referentinnen gebucht sind. Der Vortrag von Anna traf auf große Resonanz bei den zahlreich vertretenen Teilnehmern der ersten Veranstaltung und folgte unserem bewährten Prinzip „Dialog mit dem Publikum statt Paragrafen von Folien ablesen“. Sehr interessant war auch der anschließende Vortrag von Alexander Dörsam von antago zu Sicherheitsthemen.

Im weiteren Verlauf gab es unzählige interessante Gespräche über Datenschutz, Informationssicherheit, technische Lösungen und Möglichkeiten ... und viel Spaß bei der Sophos Standparty.

Abends schmerzten die Füße und der Kopf rauchte, aber es hat sich gelohnt. Wir sind wieder mal um interessante Einblicke und Erkenntnisse reicher geworden.
Unser Dank gilt den Kolleginnen und Kollegen von Infinigate und Sophos für die hervorragende Organisation, an der wir teilhaben durften!

Messe zur IT-Sicherheit

Am 10. und 11.November 2015 findet in Fürstenfeldbruck bei München die PROsecurITyEXPO statt. Der Name der Messe ist Programm - die PROsecurITy ist eine neu entstehende IT-Sicherheitsmesse, die mit einem Kongress über IT-Sicherheit verbunden wird und in diesem Jahr erstmalig stattfindet. Das vielfältige, interessante Programm ist inzwischen hier abrufbar. Unsere Geschäftsführerin Anna Cardillo ist bei dieser Veranstaltung die Frauenquote aus dem Norden und steuert einen Vortrag zum neuen IT-Sicherheitsgesetz und der Haftung für Unternehmer bei.

Unternehmenskauf und Datenschutz

Auch das kann teuer werden: In einer Pressemitteilung von Ende Juli teilt das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) mit, es habe Verkäufer und Käufer eines Unternehmens wegen eines Verstoßes gegen das Datenschutzrecht ein Bußgeld in fünfstelliger Höhe auferlegt. Der Umgang mit den Kundendaten des eingekauften Unternehmens erfolgte nicht datenschutzkonform. Offenbar will das Bayerische Landesamt für Datenschutzaufsicht nicht nur in Sachen Auftragsdatenverarbeitung ein Exempel statuieren, sondern auch hinsichtlich des Umgangs mit Kundendaten im Rahmen eines Unternehmenskaufs und verband die Verhängung dieses Bußgeldes gleich mit der Ankündigung, in weiteren Fällen ebenso zu verfahren.

Was war geschehen?

Kundendaten haben für Unternehmen einen erheblichen wirtschaftlichen Wert, insbesondere auch wegen der Möglichkeit, die gesammelten Daten zu Werbezwecken zu nutzen. Stellt ein Unternehmen seinen Betrieb ein, versucht es häufig, alle noch vorhandenen Unternehmenswerte an ein anderes Unternehmen zu verkaufen. Ähnlich versuchen auch Insolvenzverwalter eines insolventen Unternehmens, die Kundendaten, die oft noch den einzigen Wert darstellen, zu den höchstmöglichen Preisen zu verkaufen. In dem vom BayLDA beanstandeten Fall hatten die betroffenen Parteien des Unternehmenskaufs nach Ansicht der Aufsichtsbehörde die datenschutzrechtlichen Vorschriften für den Übergang der Kundendaten von einem Unternehmen auf das andere missachtet.

Datenschutz beim Unternehmenskauf

Bei Unternehmenstransaktionen wird den Interessenten üblicherweise schon im Vorfeld des Kaufs eine Vielzahl von Informationen über das Unternehmen zur Verfügung gestellt, um eine Einschätzung der wirtschaftlichen Lage des Unternehmens zu ermöglichen. Dabei spielen auch alle im Unternehmen vorhandenen personenbezogener Daten eine entscheidende Rolle, wie etwa Mitarbeiter-, Lieferanten- und Kundendaten. Gerade die Kunden- und Mitarbeiterdaten sind für den Wert eines Unternehmens entscheidend.

Datenschutzrechtlich betrachtet stellt die Weitergabe beispielsweise von Mitarbeiterdaten an potentielle Käufer eine Übermittlung von personenbezogenen Daten an Dritte dar, die nur auf der Grundlage der Einwilligung der Mitarbeiter zulässig ist (§ 4 Abs. 1 BDSG). Daher ist schon in der Vorphase des Verkaufs zu prüfen, wie eine Übermittlung der Daten unter Beachtung der Datenschutzgesetze umgesetzt werden kann.

In Bezug auf die Kundendaten ist deren Übertragung vom Käufer auf den Verkäufer und die Nutzung durch diesen auch nicht ohne weiteres datenschutzrechtlich erlaubt. Hier kommt es wie so oft auf den Einzelfall an: es muss genau geprüft werden, welche Daten zu welchem Zweck übertragen und weitergenutzt werden sollen und auf dieser Grundlage ist die Rechtmäßigkeit zu prüfen. Dies gilt jedenfalls in den Fällen, in denen ein ganzes Unternehmen verkauft wird und nicht nur ein Teil eines Unternehmens bzw. eine bloße Umwandlung eines Unternehmens oder Unternehmensteils stattfinden soll.

In dem in Bayern sanktionierten Fall wurden im Zuge eines Unternehmenskaufs E-Mail Adressen der Kunden vom „alten“ auf das „neue“ Unternehmen übertragen und vom „neuen“ für Werbezwecke genutzt. Die Übertragung ist allerdings nur zulässig, wenn die betreffenden Kunden in die Übermittlung solcher Daten eingewilligt haben oder zumindest auf die geplante Übermittlung hingewiesen worden sind, ihnen ein Widerspruchsrecht eingeräumt wurde und sie nicht widersprochen haben. Anderes gilt jedoch, und auch das stellt die bayerische Behörde klar, im Fall der Übermittlung von Namen und Postanschriften von Kunden (sog. Listendaten). Diese dürfen grundsätzlich auch ohne vorherige Einwilligung des Kunden übermittelt und genutzt werden, wenn das veräußernde Unternehmen die Übermittlung dokumentiert hat.

Praxisferne Regelungen

Sicher hat die Behörde recht, wenn sie feststellt,

„Unternehmen (...) müssen sich bewusst machen, dass personenbezogene Kundendaten nicht wie eine beliebige Ware veräußert werden dürfen. Vielmehr ist dies nur unter Beachtung der datenschutzrechtlichen Voraussetzungen erlaubt.“

Leider nur sind die bestehenden Vorschriften zum Umgang mit personenbezogenen Daten zu Werbezwecken so schlecht und praxisfern geregelt, dass kaum jemand sie versteht. Hinzu kommen neben den Datenschutzvorschriften auch noch die Vorgaben des Gesetzes gegen den unlauteren Wettbewerb (UWG), nach dem E-Mail-Adressen und Telefonnummern von Kunden auch nicht ohne ausdrückliche Werbeeinwilligung des jeweiligen Kunden genutzt werden dürfen (§ 7 Abs. 2 Nr. 2 und Nr. 3 UWG).

Betrieblichen Datenschutzbeauftragten frühzeitig beteiligen

Was also können Unternehmen tun, um Bußgelder zu vermeiden? Wie in allen Szenarien, die datenschutzrechtlich heikel sein könnten, ist es wichtig bereits im Vorfeld den betrieblichen Datenschutzbeauftragten zu beteiligen. Ist kein betrieblicher Datenschutzbeauftragter vorhanden, sollte frühzeitig anderer Sachverstand zum Datenschutz eingeholt werden. In aller Regel lassen sich auch auf der Grundlage der schlechten Gesetze Wege finden, wie das geplante Vorhaben ohne datenschutzrechtliche Risiken verwirklicht werden kann. Ein Problem entsteht nur dann, wenn die Risiken zu spät erkannt und/oder ignoriert werden.

Vorträge zum IT-Sicherheitsgesetz

Wir sind mit neuem Schwung aus der Sommerpause zurück und haben eine Reihe von Terminen mit Vorträgen zum neuen IT-Sicherheitsgesetz für Sie.

Die Nachfrage nach Informationen zu den Anforderungen des neuen IT-Sicherheitsgesetzes ist riesig. Wer unsere erste Übersicht in dem Webcast von Sophos verpasst hat, kann hier noch mal nachhören. Außerdem stehen schon eine ganze Reihe Termine mit Vorträgen zum Thema IT-Sicherheitsgesetz von Anna Cardillo fest (Beginn ab September). Eine Auswahl finden Sie nachfolgend:

Wirtschaftsschutzfachtagung am 01. Oktober 2015 in Laatzen bei Hannover. Veranstaltet vom Niedersächsischen Verfassungsschutz in Kooperation mit dem Niedersächsischen Ministerium für Wirtschaft, Arbeit und Verkehr. Nähere Informationen sind unter diesem Link erhältlich.

Vom 06. bis 08. Oktober sind wir in Nürnberg auf der it-sa Messe vertreten und im November auf der PROsecurITy EXPO in Fürstenfeldbruck. Der Name der Messe lässt bereits auf den Inhalt schließen - die PROsecurITy ist eine neu entstehende IT-Sicherheitsmesse, die mit einem Kongress über IT-Sicherheit verbunden wird und erstmalig am 10. und 11. November stattfindet. In diesem ersten Jahr werden bereits etwa 40 Aussteller und 1.000 Fachbesucher erwartet. Auch hier steuern wir einen Vortrag zum neuen IT-Sicherheitsgesetz bei.

Weitere Veranstaltungen mit Anna Cardillo als Vortragsrednerin sind in Planung. Die genauen Termine geben wir rechtzeitig hier und bei Xing bekannt.

Darüberhinaus sind verschiedene Webcasts zum Thema IT-Sicherheitsgesetz mit Dr. Bettina Kähler als Referentin geplant. Wir werden auch diese Termine hier und bei Xing ankündigen, sobald sie feststehen.

Webinar zum IT-Sicherheitsgesetz

Das neue IT-Sicherheitsgesetz ist zurzeit in aller Munde. Wenn Sie mehr erfahren wollen melden Sie sich zum Webinar an, das wir am 10. Juli 2015 vormittags in Zusammenarbeit mit der Sophos GmbH zum Thema gestalten. Wir freuen uns über zahlreiche Beteiligung! Anmelden können Sie sich hier: https://attendee.gotowebinar.com/register/6863091474662214145.

Die unendliche Geschichte der Vorratsdatenspeicherung. Ein Kommentar

Gestern stellte Bundesjustizminister Heiko Maas Leitlinien für die neue Vorratsdatenspeicherung vor. Der Kompromiss in der Großen Koalition sieht die zehnwöchige Speicherung aller Verkehrsdaten und die vierwöchige aller Standortdaten vor. Das heißt, alle an einem Telefonat beteiligten Telefonnummern, das Datum und die Uhrzeit des Gesprächs und bei Mobilgesprächen auch die Funkzelle, sollen über diese Zeiträume gespeichert werden. Bei Internet-Telefongesprächen soll zusätzlich die IP-Adresse aufgezeichnet werden. Nicht gespeichert werden sollen hingegen die Daten, die bei der E-Mail Kommunikation anfallen. Auch ansonsten sind ein paar Beruhigungspillen vorgesehen, wohl in der Hoffnung, Kritiker zu besänftigen und eine erneute Niederlage vor dem Bundesverfassungsgericht nach 2010 zu vermeiden: Vorgesehen ist u.a., den Zugriff auf die Daten nur nach Genehmigung durch einen Richter zu erlauben und nur zu eng definierten Strafverfolgungszwecken. Geplant sind offenbar auch bußgeldbewehrte Löschauflagen nach Ablauf der maximalen Speicherfrist und der Einsatz besonders sicherer Verschlüsselungsverfahren. Die Daten von Berufsgeheimnisträgern wie Anwälten, Ärzten, Geistlichen oder Journalisten sollen von der Überwachung ausgenommen sein - jedoch nur in der Form, dass die einmal erfassten Daten einem Verwertungsverbot unterliegen. "Oberste Richtschnur aller Regelungen sind die strengen Vorgaben des Bundesverfassungsgerichts und des Europäischen Gerichtshofes", heißt es gleich auf der ersten Seite des Leitlinienpapiers.

Und ewig grüßt das Murmeltier

Heribert Prantl fühlt sich angesichts dieser Entwicklung in Sachen Vorratsdatenspeicherung in einem Kommentar in der Süddeutschen Zeitung an eine Filmkomödie von Anfang der 90iger Jahre erinnert, in der ein Wettermoderator in einer Zeitschleife festhängt. Aber eine Komödie sei das nicht, so Prantl weiter, sondern ein rechtsstaatliches Trauerspiel, das in seiner steten Wiederholung nicht besser werde. Wir als Praktiker fügen hinzu: es gäbe soviele Datenschutzthemen über die nachgedacht und die dringend (besser) geregelt werden müssten - die Ausstattung der Aufsichtsbehörden, der Datenschutz in Arbeitsverhältnissen, um nur zwei zu nennen. Statt desssen wird versucht, Grundrechtsverstöße zu legalieren, die nicht zu legalisieren sind und deren Nutzen nicht einmal erwiesen ist, nirgendwo in Europa. In der Tat ein Trauerspiel.

Datenschutz on Tour

Für mich gab es letzte Woche einen Auftrag der etwas anderen Art: Ich begleitete unsere Geschäftsführerin Dr. Bettina Kähler nach Bad Bevensen, um sie im Rahmen einer Schulung bei einem langjährigen Kunden zu filmen.

Bad Bevensen - wo ist das denn? fragen Sie sich jetzt vielleicht. Genau das habe ich mich auch gefragt. Google antwortete spontan und zuverlässig: „Bad Bevensen ist eine Kleinstadt und ein Kurort nördlich von Uelzen in Niedersachsen." Super, dachte ich. Dann kann es ja losgehen.

Die Schulung richtete sich an Führungskräfte und umfasste sämtliche vorstellbare Fragen aus dem Arbeitsalltag einer großen, dezentral organisierten Firma.
Das Wichtigste beim Datenschutz ist zunächst, eine vernünftige Bestandsaufnahme zu machen. Womit haben wir es eigentlich auf der technischen Seite zu tun, wie sieht es beim Mitarbeiterverhalten aus? Nachdem die „Hardware" – zumindest an den wichtigsten Standorten – bereits einem Audit unterzogen worden war, wandte sich Bettina Kähler also in dieser Schulung dem „softeren" Aspekt des Datenschutzes zu: den Menschen.

Die anschaulichsten Beispiele kommen aus der Praxis und so erzählte unsere Geschäftsführerin von einer jungen Frau, die es einmal ganz unumwunden auf den Punkt gebracht hatte, als sie wissen wollte: „Wenn etwas schief läuft im Datenschutz, wer wird dann gehängt?" Seitdem veranschaulicht Bettina Kähler den Aspekt der Haftung mit einem kleinen Galgenmännchen (siehe Foto). Und wie so oft im Leben ist die Antwort ist komplex. Neben dem Firmenvorstand kann nämlich auch der externe Datenschutzbeauftragte in Regress genommen werden. Das Publikum war gut gelaunt am Mittwochvormittag. Um die Frage zu beantworten, die dann kam: Ja, wir sind gut versichert.

Als Grundlage für datenschutzkonformes Verhalten wurde neben dem Arbeitsalltag mit seinen kleinen und großen Tücken im Umgang mit personenbezogenen Daten auch noch einmal die Technik betrachtet. Dabei sorgte ein Foto aus dem Chaos-Server-Raum der Firma für allgemeine Belustigung. Kabel hingen wild durcheinander, eine Pflanze stand mitten im Raum und auch allerhand andere Dinge versperrten den Weg. Frei nach dem Motto "Hier ist doch noch Platz!" Darüber hinaus war der Serverraum nicht abschließbar und praktisch jedem frei zugänglich. Die Teilnehmer der Schulung identifizierten aber zielsicher die größte Gefahr des überfüllten, desorganisierten Serverraums: Die Brandgefahr!

Es folgte die Frage aus dem Publikum: Handelt es sich denn dabei überhaupt um Datenschutz?" Das ist doch "nur technische Sicherheit". Aber was auf den ersten Blick „nur" die Sicherheit betrifft, ist bei näherem Hinsehen tatsächlich ein Datenschutz-Faktor. Wir berichten ja selbst gerade über das Thema Datenauskunft(srecht). Hat eine Firma ihre Daten nicht hinreichend gesichert, wird sie also auch bei Datenverlust einer solchen Anfrage nicht nachkommen können – und hat damit im Datenschutz versagt. Die Verknüpfung zwischen dem einen und dem anderen findet sich im Übrigen in § 9 BDSG und auch in § 11 BDSG.

Am Ende blieb nur noch eine Frage offen: Was geschieht denn mit unserem Videomaterial? Nun, unser Ziel ist es, irgendwann einen kleinen Grundlagenfilm zum Datenschutz zu veröffentlichen. Erste potentielle Abnehmer meldeten sich gleich nach der Schulung ... aber soweit ist es leider noch nicht. Wir befinden uns noch in der Versuchsphase und sind selbst gespannt, was dabei am Ende herauskommt.

Das Recht auf Einsicht in die eigene Patientenakte (Teil 1)

Manchmal braucht es jemanden, der einen sachte anschubst – und man setzt ein Vorhaben fort, das man irgendwann einmal aufgegeben hat. So ging es mir nach der Veranstaltung mit Malte Spitz und Prof. Caspar Anfang Februar. Hatte ich doch vor Jahren aus einer professionellen Neugier heraus auch schon mal einen Anlauf genommen, bei verschiedenen Unternehmen das Recht auf Auskunft über die über mich gespeicherten Daten in Anspruch zu nehmen. Doch in dem ganzen alltäglichen Trubel einer berufstätigen Alleinerziehenden mit noch recht kleinen Kindern fehlte mir das Durchhaltevermögen, das es für eine ernsthafte Verfolgung des Rechts auf Einsicht in die eigenen Daten braucht.

Aufgeben zählt nicht

„Aufgeben ist keine Option", sagte Malte Spitz sinngemäß und dass man ja Schritt für Schritt verfahren könne – nicht gleich 50 Unternehmen auf einmal anschreiben und um Auskunft bitten, sondern nach und nach, immer eins nach dem anderen. Ein zweiter „Anschubser" kreuzte in Gestalt einer langjährigen, chronisch kranken Mandantin meine Wege, die Einsicht in ihre Patientenakten nehmen wollte und mich für dieses Vorhaben um Hilfe bat. Inzwischen bei ganz stabiler Gesundheit wollte sie sich ein vollständiges Bild über ihre Krankengeschichte der letzten Jahre verschaffen. Auf diese Weise war dann auch meiner Faulheit eine Grenze gesetzt ... konnte ich doch das Vorhaben im Auftrag meiner Mandantin nicht einfach aufgeben.

Ein besonderer Fall von § 38 BDSG

Das Recht auf Einsicht in die eigene Krankenakte ist eine besondere Form der datenschutzrechtlichen Auskunftserteilung, wie sie in § 38 Bundesdatenschutzgesetz (BDSG) niedergelegt ist.

"Das Recht auf Akteneinsicht zählt zu den zentralen Datenschutzrechten der Patienten",

schreibt der Berliner Beauftragte für Datenschutz und Informationsfreiheit auf seinen Webseiten. Und weiter:

"Es ist Grundlage für die Kenntnis des eigenen Gesundheitszustandes und für die Bewertung der Behandlung und damit Voraussetzung für die Wahrnehmung der medizinischen Selbstbestimmung und des medizinischen Rechtsschutzes".

So hat jede Patientin, jeder Patient grundsätzlich das Recht, Einsicht in die sie oder ihn betreffende ärztliche Akte zu nehmen und sich selber ein Bild über die dort erfassten Details zu Anamnese, Diagnose und Therapie zu machen.

Ganz grundsätzlich betrachtet ergibt sich dieser Anspruch aus dem Recht auf Selbstbestimmung und dem allgemeinen Persönlichkeitsrecht des Patienten. Darüber hinaus regelt aber auch § 630g des Bürgerlichen Gesetzbuchs (BGB) einen Anspruch auf Einsicht in die eigene Patientenakte und ggfls. die Herausgabe einer Kopie, der nur für den Fall versagt werden kann, dass „erhebliche therapeutische Gründe" oder „sonstige erhebliche Rechte Dritter" der Einsichtnahme entgegenstehen. Unter bestimmten Umständen gilt dieses Einsichtsrecht sogar über den Tod des betroffenen Patienten hinaus für die Angehörigen (§ 603g Abs. 3 BGB). Ebenso ist in den Berufsordnungen der Ärztekammern und Zahnärztekammern das Recht der Patienten auf Einsicht in ihre Akte und das Zur-Verfügung-Stellen einer Kopie derselben festgeschrieben (vgl. z.B. § 10 Abs. 2 der Berufsordnung der Hamburger Ärztinnen und Ärzte).

Keine Begründung erforderlich

Schon der Wortlaut dieser Vorschriften macht deutlich, dass das Recht auf Einsicht in die Patientenakte besteht, ohne dass dafür ein besonderes Interesse erklärt, nachgewiesen oder sonst eine Begründung für den Wunsch geliefert werden müsste.

Zusammen mit der Mandantin wählte ich für einen ersten Versuch drei verschiedene Abteilungen im Hamburger Universitätsklinikum-Eppendorf (UKE) aus, in denen sie jeweils in Behandlung bzw. zu Untersuchungen gewesen war. Diese Ereignisse lagen zum Teil schon ein paar Jahre zurück; wir rekonstruierten die Monate und Jahre, sie unterschrieb eine Vollmacht und ich schickte drei Schreiben raus, mit denen ich Namens und im Auftrag meiner Mandantin um die Übersendung von Kopien ihrer Patientenakte bat.

Für eine bessere Abwicklung eines solchen Akteneinsichtsgesuchs ist es wichtig, den Wunsch nach Auskunft direkt an die jeweilige Abteilung zu richten, in der die Behandlung stattgefunden hat. Dies jedenfalls dann, sofern es sich um ein Krankenhaus oder eine größere Praxis handelt. Ebenso ist es wichtig, die näheren Umstände der Behandlung zu beschreiben, wenn dies für eine vollständige Antwort auch keine zwingende Voraussetzung ist. Je größer die Klinik oder Arztpraxis ist, desto schwieriger oder gar unmöglich wird es, die Krankengeschichte einer „Frau Doris Schröder" zu finden, wenn außer dem Namen keine weiteren Angaben zur Person gemacht werden.

Auch Kopien

Die Art und Weise, wie die Einsicht in die Patientenakte genau geschieht (Ort und Zeit), kann das Krankenhaus oder die Ärztin / der Arzt vorgeben. Wir haben statt der Einsicht in die Originalakte um die Zusendung von Kopien oder Ausdrucken gebeten, was nach den gesetzlichen Vorgaben grundsätzlich möglich ist. Zwar besteht kein Anspruch auf Zusendung solcher Kopien, aber es besteht der Anspruch, dass diese im Krankenhaus oder in der Arztpraxis bereitgehalten werden und von der Patientin oder einem Bevollmächtigten abgeholt werden können. Eventuell entstehende Kosten hat der anfragende Patient zu übernehmen.

Die Briefe mit den Auskunftsersuchen waren abgeschickt und wir warteten einigermaßen gespannt, ob und welche Antworten eintreffen würden. Den Fortgang sowie weitere Hintergründe zum Recht auf Einsicht in die eigene Patientenakte erfahren Sie demnächst an dieser Stelle.

"Weniger Tatort, mehr kleine Taten"

Diskussion mit Malte Spitz und Prof. Dr. Johannes Caspar

Dr. Bettina Kähler moderierte den informativen Abend zum Thema:

„Was macht ihr mit meinen Daten?"

Malte Spitz stellte diese Frage viele Jahre lang diversen öffentlichen Stellen und Unternehmen. Was vor 15 Jahren als exzentrisches Hobby begann, wurde irgendwann zu einem Auftrag von öffentlichem Interesse – so dass im letzten Herbst ein ganzes Buch mit den teils erhellenden, teils erschreckenden Ergebnissen erschien.

„Das größte Aha-Erlebnis hatte ich ihn Bezug auf meine Gesundheitsdaten. Jede einzelne, eigentlich vertrauliche Diagnose ist abgespeichert und liegt somit meiner Krankenkasse vor", berichtete Malte Spitz. Genau so hatte ihn die Detailliertheit seiner Fluggastdaten überrascht.

Den größten Widerstand bei seiner Anfrage leistete die Telekom, so dass Malte Spitz erst durch einen Gerichtsbeschluss an die ihm zustehende Auskunft gelangte. Nicht nur hatte der Dienstleister Aufenthaltsdaten über mehrere Monate gespeichert, so dass sich ein (Straßenzug-)genaues Bewegungsprofil ergab. Auch die Inhalte der Gespräche und Kontaktdaten ermöglichen es den Datenauslesern, ein scharfes Bild vom Telefonierenden und seinen Gesprächspartnern zu erlangen.

Aber nicht jeder müsse gleich vor Gericht ziehen, um den Widerstand bei der Offenlegung der eigenen Daten zu durchbrechen, so der Hamburgische Datenschutzbeauftragte Prof. Dr. Caspar. Schließlich sei sein Büro eigens dafür installiert worden, die Auskunftsrechte der Bürgerinnen und Bürger zu sichern. Prof. Dr. Caspar rief explizit dazu auf, den kostenlosen Service der Landes- oder Bundesbeauftragten für Datenschutz zu nutzen.

„Was können wir tun, um die Kontrolle über unsere persönlichen Daten zumindest zum Teil zurückzuerlangen?"

fragte unsere Geschäftsführerin die beiden Herren aus der Politik. Malte Spitz: „Jeder von uns sollte bloß fünfmal im Jahr eine öffentliche Stelle oder ein Unternehmen nach seinen persönlichen Daten fragen. Statt einen schlechten Tatort zu schauen, könnten wir doch Sonntagabends einfach mal eine E-Mail rausschicken."
Prof. Dr. Caspar ergänzte: „Nach § 34 BDSG haben wir alle das Recht auf diese Auskunft." Es käme nicht einmal darauf an, dass die Frage gleich im ersten Schritt zufriedenstellend beantwortet werde.

Mit dem vermehrten Aufkommen solcher Fragen würde man bei den datenverarbeitenden Stellen allein schon dafür sorgen, dass sie ihre Verwaltung effizienter gestalten. Wer mehr Transparenz fordert, bringt die Datensammler auch dazu, sich selbst zu hinterfragen. Am Ende würden im besten Fall dann nur noch die wirklich notwendigen Daten gespeichert.

Unsere Geschichte zum Europäischen Datenschutz Tag

Nach Aufruf der GDD

Vor einiger Zeit haben Sie wir an dieser Stelle dazu aufgerufen, Ihre ganz persönliche Datenschutzgeschichte zu erzählen. Anlässlich des vorgestrigen Europäischen Datenschutz Tages sammelte die Gesellschaft für Datenschutz und Datensicherheit e.V. lustige, interessante oder einfach irrwitzige Geschichten aus dem bunten Alltag des Datenschutzes.

Auch wir haben eine Geschichte eingereicht – die hier neben vielen anderen interessanten und witzigen Erzählungen veröffentlicht wurde. Dr. Bettina Kähler erzählt darin von einem Vorfall, der ihr zwar in ihrer Funktion als Datenschützerin widerfuhr, sich aber auf schicksalhafte Weise mit ihrem eigenen Privatleben vermischte. Aber lesen Sie selbst:

Zum Diktat!

Wir schrieben das Jahr 2011/2012: Unser Datenschutz-Beratungsunternehmen stand kurz vor seinem zehnjährigen Jubiläum und einer unserer neuen Kunden war ein kleines Unternehmen, das Dienstleistungen für Krankenhäuser und Arztpraxen anbot, „Diktatservice"* genannt.

Dem Firmennamen entsprechend diktierten Ärztinnen und Ärzte ihre Berichte zu Operationen und Behandlungen mittels Telefon als Audiodatei direkt auf den Server des Unternehmens. Dort holten die Schreibkräfte die Dateien, schrieben die Berichte und legten sie zur Abholung durch die auftraggebenden Kliniken wieder ab. Eine erste Analyse der Prozesse beim Diktatservice durch uns ergab ein ziemlich ausgeprägtes datenschutzrechtliches Wildwest. Auf den Servern waren tausende von Jahren alte Berichte gespeichert, deren Löschung nie ein Krankenhaus verlangt hatte.

Der Diktatservice war der Meinung, nicht einfach löschen zu dürfen. Man könnte damit ja gegen gesetzliche Vorschriften verstoßen. Verträge zur Auftragsdatenverarbeitung waren ebenso Fehlanzeige wie eine Dokumentation technischer Sicherheitsmaßnahmen. Wir begannen, das alles in geordnete Bahnen zu lenken. Ironischerweise erkundigten sich auch immer wieder die Verantwortlichen in den Krankenhäusern, die den Diktatservice beauftragen wollten, bei uns nach der datenschutzrechtlichen Zulässigkeit der Ausgliederung dieser Dienstleistung. Zur selben Zeit erkrankte meine Tochter einigermaßen schwerwiegend und ich war viele Monate damit beschäftigt, sie zu verschiedenen Untersuchungen und Therapien zu begleiten. Ich erhielt aus einer ganz anderen Perspektive zahlreiche interessante Einblicke in Abläufe unterschiedlicher medizinischer Einrichtungen, die jede Menge Potential zur Verbesserung ihrer Datenschutzkonformität bargen. Jedes Mal wieder fand ich mich in dem Konflikt, einerseits reflexartig die Unzulässigkeit bestimmter Verfahren anmahnen zu wollen, aber andererseits zusätzlich zu der ohnehin großen Belastung durch die Krankheit meiner Tochter nicht auch noch mit den Ärzten über Datenschutz streiten zu wollen. (Zumal diese auch nicht diejenigen sind, die für die Organisation des Datenschutzmanagements in einem Krankenhaus zuständig sind).

Eines Tages war ich wieder bei unserem Diktatservice-Kunden zu Besuch, wo der Aufbau einer Datenschutzorganisation mittlerweile Fortschritte machte. Unvermittelt platzte ein Mitarbeiter in unsere Besprechung und bat seinen Kollegen um Rat: „Ich komme mit der Frau Dr. Schattschneider-Böhle nicht weiter, die Frau kann einfach nicht diktieren! Nuschelt vor sich hin und dann motzt sie ohne Ende, dass die Berichte so viele Fehler haben!"

Ich horchte auf. Schattschneider-Böhle? So einen sperrigen Doppelnamen hätte ich bis dahin eher bei Lehrerinnen Mitte fünfzig vermutet; er identifizierte aber eine noch recht junge Ärztin, die wenige Wochen zuvor eine Untersuchung meiner Tochter geleitet hatte. Meine Gesprächspartner bejahten meine Frage, ob die Klinik von Dr. Schattschneider-Böhle ein Auftraggeber von ihnen sei und schimpften gleich weiter.

Ich bat darum, einen Blick in die Datenbank werfen zu können, um zu sehen, ob der Bericht über die Untersuchung meiner Tochter dort gespeichert wäre. „Julie Kähler?", fragte der zuständige Mitarbeiter – es dauerte keine fünf Sekunden, dann hatte er den Bericht aufgerufen, inklusive ihres vollen Namens, Geburtsdatums und der medizinischen Historie der letzten zwei Jahre. Nun war ich diejenige, die schimpfte. Eine Einwilligungserklärung oder wenigstens eine Information, dass die Daten meiner Tochter an externe Dienstleister des Krankenhauses übermittelt würden, hatte ich nie gesehen. Zusätzlich stellte sich bei dieser Gelegenheit heraus, dass es mit dem zügigen Löschen der abgeschlossenen Aufträge im Diktatservice noch nicht so klappte, wie ich mir das vorgestellt hatte.

„Willst du jetzt das Krankenhaus verklagen?", fragte meine Tochter, als ich ihr davon erzählte, und in der Tat war dies mein erster Reflex gewesen. Wenn nie jemand diese Dinge beanstandet, werden sie immer so weitergehen, dachte ich verärgert. Und wer sollte denn anfangen, wenn nicht diejenigen, die sich auskennen. Die kühlköpfige Beraterin in mir gewann aber doch schnell die Oberhand und ich einigte mich stattdessen mit meinen Ansprechpartnern im Diktatservice auf eine bessere Umsetzung und Kontrolle der Löschung alter Berichte. Sie sagten außerdem zu, das betreffende Krankenhaus wie auch alle anderen Auftraggeber bei nächster Gelegenheit nochmals nachdrücklich auf die Möglichkeit des Diktierens ohne Nennung des Patientennamens hinzuweisen. Die einzige Vorteilsannahme, die ich mir erlaubte, bestand darin, dass der Bericht über meine Tochter vorzeitig aus der Datenbank meiner Kunden gelöscht wurde.

*Die Namen aller beteiligten Personen und Unternehmen wurden geändert.

Datenschutzseminare für den PARITÄTISCHEN Wohlfahrtsverband Hamburg

Kurz vor Jahresende können wir uns noch über einen neuen Kooperationspartner freuen: Beginnend im nächsten Frühjahr gestalten wir für den PARITÄTISCHEN Wohlfahrtsverband Hamburg e.V. Datenschutzseminare für die dem Verband angeschlossenen sozialen Dienste und Einrichtungen. Nachdem wir schon viele Jahre für gemeinnützige und soziale Einrichtungen als externe betriebliche Datenschutzbeauftragte tätig sind, können wir auf diese Weise unsere Erfahrungen einem breiten Publikum zugänglich machen.

Fortbildung Datenschutz

Im Angebot sind nunmehr Grundlagenschulungen für Datenschutzbeauftragte und Mitarbeiter der sozialen Dienste und Einrichtungen sowie ein zweitägiges Seminar für Datenschutzbeauftragte, die ihre Kenntnisse vertiefen wollen. Hinzu kommen soll möglicherweise noch ein weiteres Seminar mit dem vorläufigen Arbeitstitel „Was Betriebsräte über Datenschutz wissen sollten". Die genaue Beschreibung der Inhalte und Termine finden Sie in diesem PDF, das uns der PARITÄTISCHE Wohlfahrtsverband zur Verfügung gestellt hat.

Der PARITÄTISCHE Wohlfahrtsverband

Der PARITÄTISCHE Wohlfahrtsverband Hamburg ist einer der sechs anerkannten Spitzenverbände der freien Wohlfahrtspflege. Er ist konfessionell, weltanschaulich und parteipolitisch unabhängig. In Hamburg verbindet er über 350 selbständige Mitgliedsorganisationen mit weit über 1.000 sozialen Diensten und Einrichtungen. Zu den Hamburger Mitgliedern gehören große überregionale Vereinigungen, aber auch kleine lokale Selbsthilfeorganisationen, Schuldnerberatungen, ambulante Pflegedienste und ähnliche Einrichtungen in den Stadtteilen.

Bitte anmelden!

Wir sind gespannt und hoffen auf massenhafte Anmeldungen. Diese richten Sie bitte direkt an den PARITÄTISCHEN Wohlfahrtsverband Hamburg.
Weitere Fragen zu den geplanten Seminaren können Sie auch gerne an uns richten.