Viele Praxen verwenden Formulare, die mehr abfragen als nötig oder pauschale Einwilligungen enthalten. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat in einem Merkblatt erklärt, was er erwartet. Dieser Ratgeber fasst es zusammen, mit Hinweisen der FMH zur Krankengeschichte und zum Berufsgeheimnis.
Viele Verbände von Ärztinnen, Ärzten und Therapeuten stellen ihren Mitgliedern Vorlagen für Patientenformulare und Einwilligungen zur Verfügung, und viele Praxen schreiben eigene. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat in einem Merkblatt festgehalten, dass solche Formulare eine Reihe von Fragen zum Datenschutz aufwerfen, und erwartet, dass sie wo nötig angepasst werden.
Das Merkblatt behandelt vier Themen: die Informationspflicht, die Einwilligung, die sichere elektronische Übermittlung und den Grundsatz der Verhältnismässigkeit. Es ist aus Sicht der Arzt-Patienten-Beziehung geschrieben, gilt aber grösstenteils auch für andere privat ausgeübte therapeutische Berufe. Öffentliche Einrichtungen wie Kantonsspitäler sind nicht direkt betroffen, für sie gelten die kantonalen Datenschutzgesetze. Dieser Ratgeber fasst das Merkblatt zusammen und ergänzt Hinweise der FMH und des Kantons Thurgau.
Der wichtigste Punkt des Merkblatts ist eine Unterscheidung: Die Praxis muss ihre Patientinnen und Patienten informieren, aber sie braucht dafür keine Unterschrift. Seit dem neuen Datenschutzgesetz gilt die Informationspflicht für alle Personendaten, nicht nur für Gesundheitsdaten. Mindestens mitzuteilen sind die Elemente nach Art. 19 Abs. 2 DSG:
Die Information kann mündlich oder schriftlich erfolgen, ein Informationsblatt oder Präzisierungen im Formular genügen. Sie muss präzis, verständlich und leicht zugänglich sein, und die Praxis muss aktiv informieren. Eine Bestätigung der Kenntnisnahme ist laut EDÖB keine Gültigkeitsvoraussetzung. Er empfiehlt sogar, keine Unterschrift zu verlangen, um keine unnötigen Probleme zu schaffen. Es kann sich aber lohnen, die Information zu dokumentieren, etwa im Konsultationsbericht.
Für die Behandlung selbst braucht die Praxis nach dem EDÖB keine Einwilligung: Daten, die im Rahmen einer medizinischen Leistung bearbeitet werden, fallen unter den Behandlungsvertrag, und kantonale Gesundheitsgesetze verpflichten zum Führen eines Patientendossiers. Wichtig wird die Einwilligung bei der Bekanntgabe an Dritte, etwa an eine Kollegin, einen Kollegen oder ein Abrechnungsunternehmen. Manche Bekanntgaben beruhen direkt auf einem Gesetz, zum Beispiel Meldungen nach dem Epidemiengesetz, und brauchen keine Einwilligung.
Wo eine Einwilligung nötig ist, muss sie vor oder mit dem Beginn der Behandlung erteilt werden und drei Bedingungen erfüllen:
Das Merkblatt nennt Beispiele für ungültige Klauseln: eine vorgängige Einwilligung, dass das Dossier an eine Fachärztin oder einen Facharzt weitergegeben werden darf; eine vorgängige Einwilligung in die Weitergabe eines allfälligen Inkassoverfahrens an ein Drittunternehmen; eine Klausel, nach der Partnerunternehmen Patientendaten für die Entwicklung digitaler Lösungen verwenden dürfen. Grundsätzlich denkbar ist dagegen, Rechnungen von einem Drittunternehmen ausstellen zu lassen, wenn die Patientin oder der Patient weiss, welche Daten übermittelt werden.
Für die Abrechnung im System Tiers payant, bei dem die Rechnung direkt an den Versicherer geht, braucht es nach dem FMH-Leitfaden eine Vereinbarung und das Einverständnis der Patientin oder des Patienten; die Regel nach dem KVG ist Tiers garant. Eine Einwilligung muss in der Regel nicht schriftlich sein, aus Beweisgründen ist eine dokumentierte Einwilligung aber vorzuziehen.
Ein Punkt überrascht viele Praxen: Der EDÖB stuft schon den rein administrativen Austausch als besonders schützenswert ein. Bereits das Bestehen einer Beziehung zu einer Fachperson kann Rückschlüsse auf die Gesundheit erlauben, besonders bei Fachärztinnen und Fachärzten. Ein Termin bei einer Onkologin lässt eine onkologische Erkrankung vermuten. Auch Terminvereinbarungen brauchen deshalb eine sichere Übermittlung, zum Beispiel verschlüsselt.
Will eine Patientin trotzdem ungesichert per E-Mail kommunizieren, ist das laut EDÖB nur möglich, wenn sie vorher über die Risiken informiert wurde und freiwillig zustimmt, mit einer echten Wahl, etwa einem Kästchen zum Ankreuzen. Eine vorgedruckte Klausel, die pauschal in die ungesicherte Übermittlung einwilligt, sieht der EDÖB als problematisch. Die FMH beschreibt in ihren Minimalanforderungen zum IT-Grundschutz den unverschlüsselten Austausch per E-Mail als Risiko. Empfehlungen, die HIN veröffentlicht hat, raten unter anderem, E-Mail nicht für Notfälle zu verwenden und eine Einverständniserklärung für die E-Mail-Korrespondenz unterschreiben zu lassen.
Nach dem Grundsatz der Verhältnismässigkeit darf die Praxis nur die Daten beschaffen und verwenden, die für den Zweck nötig sind, und der Zweck ist grundsätzlich die Behandlung. Der EDÖB nennt Felder, die in Fragebögen oft zu weit gehen: Mädchenname, Zivilstand, Staatsangehörigkeit, Geschäftstelefon, Beruf und Name des Arbeitgebers. Sie systematisch abzufragen, ist grundsätzlich nicht notwendig.
Das heisst nicht, dass solche Fragen nie erlaubt sind. Der Beruf kann relevant sein, wenn er mit den Beschwerden zusammenhängt, etwa bei Rückenschmerzen. Problematisch ist die systematische Abfrage. Die Praxis muss jede Bearbeitung begründen können, und das gilt besonders dort, wo sie eine Einwilligung verlangt.
Was im Formular steht, wird Teil der Krankengeschichte. Für die Aufbewahrung nennt der rechtliche Leitfaden der FMH 20 Jahre und weist darauf hin, dass Kantone längere Fristen vorsehen können. Der Kanton Thurgau zum Beispiel verlangt, die Patientendokumentation mindestens zwanzig Jahre nach Abschluss der letzten Behandlung aufzubewahren (§ 20 Abs. 3 Gesundheitsgesetz TG). Die Regeln anderer Kantone haben wir für diesen Ratgeber nicht geprüft.
Für das Formular selbst heisst das: Jedes Feld, das die Praxis abfragt, bewahrt sie über viele Jahre auf. Ein schlankes Formular ist also nicht nur datenschutzrechtlich geboten, es verkleinert auch das, was über Jahrzehnte geschützt werden muss.
Neben dem Datenschutz gilt das Berufsgeheimnis nach Art. 321 StGB, und zwar auch für die Hilfspersonen der Ärztin oder des Arztes, wie der FMH-Leitfaden festhält. Wer ein Online-Formular, eine Cloud oder eine Software eines Dritten einsetzt, muss deshalb klären, wie dieser Dienstleister eingebunden ist. Der Kanton Zürich beschreibt auf seiner Seite zu Berufsgeheimnis und Cloud, dass IT-Dienstleister als Hilfspersonen gelten können, wenn eine Geheimhaltungsvereinbarung besteht und die Bearbeitung vertraglich geregelt ist. Wie externe Dienstleister im Einzelnen einzuordnen sind, beantwortet der FMH-Leitfaden nicht ausdrücklich; das bleibt im Einzelfall zu prüfen.
Meyssens ist ein Einzelunternehmen in Lausen (BL) und hat noch keine Kunden. Für Arztpraxen planen wir zuerst eine Online-Terminanfrage ohne Feld für Beschwerden, mit verschlüsselter Übermittlung und einer echten Wahl für die Antwort per E-Mail. Ein Patientenformular nach den Grundsätzen dieses Ratgebers steht auf unserer Liste, aber erst in einer späteren Stufe: Es enthält Gesundheitsdaten, und das Hosting in der Schweiz sowie die Regelung zur Bearbeitung durch Dritte sind vorher zu klären.
Die Angaben in diesem Ratgeber stammen vor allem aus dem Merkblatt des EDÖB zu Patientenformularen, dem rechtlichen Leitfaden der FMH, dem Merkblatt des Kantons Thurgau und den Seiten des Kantons Zürich. Gesetzestexte haben wir nicht im Original gelesen.
Nein. Laut EDÖB ist die Bestätigung der Kenntnisnahme keine Gültigkeitsvoraussetzung. Er empfiehlt, keine Unterschrift zu verlangen, die Information aber zu dokumentieren.
Nein. Daten, die im Rahmen der Behandlung bearbeitet werden, fallen unter den Behandlungsvertrag. Eine Einwilligung braucht es vor allem bei einer Bekanntgabe an Dritte, die nicht auf einem Gesetz beruht.
Nein. Der EDÖB nennt eine vorgängige Einwilligung in die Weitergabe des Dossiers an eine Fachärztin oder einen Facharzt ausdrücklich als ungültig. Die Einwilligung ist einzuholen, wenn sich die Frage konkret stellt.
Der EDÖB stuft auch Terminvereinbarungen als besonders schützenswert ein und verlangt eine sichere Übermittlung. Ungesichert geht es nur, wenn die Person über die Risiken informiert wurde und frei gewählt hat.
Zehn geplante Bausteine und drei Abläufe, zuerst ohne Krankengeschichte.
WeiterlesenTerminwünsche ohne Beschwerdefeld, verschlüsselt übermittelt.
WeiterlesenBerufsgeheimnis, Cloud und Patientenkommunikation in der Zahnarztpraxis.
WeiterlesenInformationspflicht, Auftragsbearbeitung und Datensicherheit.
WeiterlesenMeyssens ist ein Einzelunternehmen in Lausen (BL). Wir haben noch keine Kunden und keine Referenzen. Stand der hier genannten Produkte: Online-Terminanfrage für Arztpraxen und Mahnentwurf für Arztpraxen in Planung. Ein Werkzeug ersetzt keine rechtliche Prüfung, und am Ende entscheidet immer ein Mensch.
Patientinnen und Patienten fragen einen Termin über ein kurzes Formular an, ohne Feld für Beschwerden. Die Anfrage landet in einer geordneten Liste mit einem Entwurf für die Antwort. Das Praxisteam wählt den Termin und gibt die Antwort frei.
Der Baustein erkennt überfällige Rechnungen im System Tiers garant und schreibt sachliche Mahnentwürfe ohne Angaben zur Behandlung. Die Praxis entscheidet, ob gemahnt wird. Wir empfehlen ihn erst, wenn die Rechtslage zum Berufsgeheimnis für die Praxis geklärt ist.
Allgemeine Fragen beantworten und das Praxisteam entlasten, ohne Patientendaten preiszugeben.
Mehr zu Arztpraxen BausteinDer Baustein schlägt Dienstpläne für das Praxisteam nach Pensum und Abwesenheiten vor und erstellt Bestelllisten, sobald Verbrauchsmaterial den Mindestbestand erreicht.
Mehr zu Dienstplan und Materialbestellung für Arztpraxen RatgeberWas KMU nach dem Schweizer Datenschutzgesetz tun müssen: Datenschutzerklärung, Verzeichnis, Auftragsbearbeiter, Pannen.
Mehr zu nDSG für KMU: ChecklisteHinterlassen Sie uns Ihre Angaben. Die Anfrage ist unverbindlich und kostenlos.
← Alle Ratgeber