32. Jahresbericht der Landesbeauftragten für Datenschutz (pdf ...

schutzfragen gelöst seien. Der Aufsichtsrat werde die Umsetzung dieses Konzeptes
beschließen, mit der sukzessive ab Juli 2009 begonnen werden solle. Für den
Bereich der Auslagerung der Patientenabrechungen werde erst in den kommenden
drei Monaten ein Grobkonzept erarbeitet. Auf unseren Einwand, dass eine Beteiligung
der LfDI entgegen der Zusagen nicht erfolgt sei, sicherte der Geschäftsführer
der GeNo zu, uns das Konzept zur Auslagerung der Informationstechnik, die
datenschutzrechtliche Risikoanalyse, die Unterlagen zur Vorabkontrolle sowie das
Datenschutzkonzept kurzfristig zu übersenden. In Bezug auf die geplante Auslagerung
der Patientenabrechnungen wiesen wir auf die erhebliche datenschutzrechtliche
Relevanz bei der Weitergabe der der ärztlichen Schweigepflicht unterliegenden
Patientendaten hin und baten auch diesbezüglich um rechtzeitige Unterrichtung.
Eine Übersendung der zugesagten Unterlagen erfolgte nicht; später
wurde eingeräumt, dass diese noch gar nicht erstellt worden waren. Es wurde jedoch
versichert, dass daran gearbeitet werde. Im September erhielten wir vom Geschäftsführer
der GeNo die Auskunft, dass sich die Auslagerung der Informationstechnik
zeitlich verzögere und dass vor deren Umsetzung ein Datenschutzkonzept
übersandt und die Datenschutzfragen mit der LfDI abgestimmt würden. Kurz darauf
stellte sich heraus, dass die Personalabteilung bereits zum Oktober 2009 und
die Finanzabteilung, die auch die Patientenabrechnungen betreibe, zum November
2009 in die GeNo übertragen worden sind. Bis zum Jahresende sollten alle Betriebsübergänge
abgeschlossen sein. Im Oktober wurde uns dann ein Konzept übersandt,
das zwar technische Beschreibungen, jedoch keine Erläuterungen zu den
geplanten Datenflüssen enthielt, sodass wir auch dieses Konzept als nicht bewertungsfähig
zurückweisen mussten.
7.8 Weitergabe eines sozialmedizinischen Gutachtens durch den Medizinischen
Dienst der Krankenkassen
Im Januar meldete sich ein Bürger, der beim Medizinischen Dienst der Krankenkassen
(MDK) zwecks Erstellung eines sozialmedizinischen Gutachtens zur Frage der
Arbeitsunfähigkeit untersucht worden war. Das Gutachten des MDK, das Ausführungen
enthielt, deren Richtigkeit vom Betroffenen zum Teil bezweifelt wurden, war
an seinen behandelnden Orthopäden und teilweise – ohne Vorgeschichte und Befund
– an seine Krankenkasse versandt worden. Vonseiten des MDK wurde mitgeteilt,
dass für die Versendung des Gutachtens an den Orthopäden das Einverständnis
des Betroffenen eingeholt worden sei, was vom Betroffenen bestritten wurde.
Zudem berichtete der Betroffene, dass sein Arbeitgeber bestätigt habe, telefonisch
vom MDK über den Inhalt des Gutachtens informiert worden zu sein, was vonseiten
des MDK bestritten wurde. Leider ließ sich der Sachverhalt von uns nicht vollständig
aufklären. Die Weitergabe des Gutachtens ist aus datenschutzrechtlicher Sicht
wie folgt zu beurteilen: § 277 Absatz 1 Sozialgesetzbuch (SGB) V erlaubt lediglich
die Weitergabe des Ergebnisses der Begutachtung und der erforderlichen Angaben
über den Befund an die Krankenkasse. Den Leistungserbringern, über deren Leistungen
der MDK eine gutachtliche Stellungnahme abgegeben hat, darf der MDK
das Ergebnis der Begutachtung und, wenn der Betroffene nicht widerspricht, auch
die erforderlichen Angaben über den Befund mitteilen. Die Weitergabe des vollständigen
Gutachtens erlaubt § 277 Absatz 1 SGB V nicht. An den Arbeitgeber des Versicherten
darf der MDK keine Sozialdaten übermitteln. Deshalb ist festzustellen,
dass es für die Übermittlung des Gutachtens – ohne Vorgeschichte und Befund –
an die Krankenkasse des Betroffenen keine Rechtsgrundlage gab, weshalb diese
unzulässig war. Auch die Einholung einer Einwilligung des Versicherten zur Übermittlung
des vom MDK erstellten sozialmedizinischen Gutachtens an die Krankenkasse
wäre nicht zulässig, weil der Krankenkasse auf diesem Weg weitere Möglichkeiten
der Datengewinnung eröffnet würden, die über die nach dem Willen des
Gesetzgebers vorgesehenen hinausgehen. Das SGB V regelt für die Krankenkassen
abschließend, in welchen Fällen Sozialdaten erhoben werden dürfen (§§ 284 ff
SGB V). Eine darüber hinausgehende Einwilligungslösung sieht das SGB V nicht
vor. In Bezug auf die Übermittlung des vollständigen Gutachtens an den Orthopäden
war es nicht ausreichend, dass die Weitergabe „im Einvernehmen“ mit dem
Betroffenen erfolgte. Im Gegensatz zur Übermittlung an die Krankenkasse könnte
eine Datenübermittlung vom MDK an den behandelnden Arzt zwar grundsätzlich
auf eine Einwilligungserklärung des Betroffenen gestützt werden. Soweit diese vom
MDK eingeholt wird, muss sie aber den Anforderungen des § 67 b Absatz 2 SGB X
entsprechen. Danach ist er auf den Zweck der Datenübermittlung sowie auf die Folgen
der Verweigerung der Einwilligung hinzuweisen. Die Einwilligung muss freiwillig
sein und bedarf grundsätzlich der Schriftform. Da hier eine solche schriftliche
— 43 —