PDFs im Gesundheitswesen: klinische Akten und Patientendatenschutz

Ein Patient mailt einer Praxis das gescannte PDF eines alten Entlassungsberichts. Die Empfangskraft muss es mit zwei weiteren Befunden zusammenführen, bevor der Arzt sie sieht. Also öffnet sie das erste kostenlose PDF-Tool, das auftaucht, zieht drei Dateien voller Diagnosen, Medikamentenlisten und einer Krankenversicherungsnummer hinein und klickt auf Zusammenführen.

Nichts wirkt verkehrt. Die zusammengeführte Datei lädt herunter, der Arzt liest sie, der Tag geht weiter. Aber diese drei Dokumente haben gerade die Praxis verlassen und sind auf dem Server eines Fremden gelandet, und es waren keine gewöhnlichen Dokumente.

Das ist keine rechtliche oder medizinische Beratung. Ich bin nicht Ihr Datenschutzbeauftragter, und jede Praxis hat ihre eigenen Regeln zu befolgen. Aber Gesundheitsdaten liegen unter der DSGVO in einer eigenen, strengeren Schublade, und das ändert, wie Sie jedes PDF behandeln sollten, das sie trägt.

Warum Gesundheitsdaten anders behandelt werden

Die meisten personenbezogenen Daten sind unter der DSGVO bereits geschützt. Gesundheitsdaten bekommen eine zusätzliche Schicht. Die Verordnung nennt sie eine besondere Kategorie, und sie steht neben Dingen wie religiöser Überzeugung, sexueller Orientierung und biometrischen Daten. Die Grundregel für Daten besonderer Kategorien lautet, dass ihre Verarbeitung untersagt ist, es sei denn, Sie erfüllen eine aus einer kurzen Liste bestimmter Bedingungen, etwa die ausdrückliche Einwilligung des Patienten oder die Versorgung durch eine medizinische Fachkraft.

Dieses Wort “Verarbeitung” ist weit gefasst. Es umfasst das Lesen der Datei, das Speichern, das Ändern und das Teilen. Zwei Befunde zusammenzuführen zählt. Eine Akte zu teilen, um eine Seite zu verschicken, zählt. Einen Scan zu komprimieren, um ihn zu mailen, zählt. In dem Moment also, in dem ein Gesundheits-PDF im Spiel ist, handhaben Sie die sensibelste Datenklasse, die das Gesetz kennt, und die Schwelle, um sorglos damit umzugehen, ist viel höher.

Eine klinische Akte trägt zudem meist mehr als die Diagnose. Da steht in der Regel ein Name, ein Geburtsdatum, eine Adresse, eine Patienten-ID, manchmal eine Versicherungsnummer. Jedes davon identifiziert für sich allein. Gebündelt mit einer medizinischen Diagnose zeichnen sie ein vollständiges Bild eines Menschen in einem seiner privatesten Momente.

Was eine Upload-Seite tatsächlich mit der Datei macht

Wenn Sie dieses PDF an ein Online-Tool senden, verlässt die Datei Ihre Kontrolle. Sie reist zu einem Server, den Sie nicht betreiben, wird dort verarbeitet und kann zwischengespeichert, in eine Warteschlange gelegt oder kopiert werden, bevor irgendetwas zurückkommt. Unter der DSGVO wird dieses Unternehmen zum Auftragsverarbeiter, der in Ihrem Auftrag handelt, und Sie, die Praxis oder die behandelnde Person, bleiben der Verantwortliche für die Daten.

Der Verantwortliche übernimmt echte Pflichten in der Sekunde, in der ein Auftragsverarbeiter ins Spiel kommt. Sie brauchen einen schriftlichen Vertrag mit diesem Unternehmen, der festlegt, was es mit den Daten tun darf und wann es sie löscht. Für Gesundheitsdaten besonderer Kategorien müssen Sie sich zudem sicher sein, dass das gesamte Setup die richtigen Schutzmaßnahmen hat. Ein kostenloses Tool, das Sie über eine Suche gefunden haben, gibt Ihnen davon selten etwas. Sie haben keinen Vertrag mit ihnen, Sie wissen nicht, wo ihre Server stehen, und Sie können nicht sagen, wer sonst noch die Datei anfasst.

Bei Gesundheitsdaten gibt es noch eine schärfere Kante. Wenn der Server außerhalb der EU steht, haben Sie eine internationale Übermittlung von Daten besonderer Kategorien vorgenommen, also genau die Art von Sache, um die die DSGVO die meiste Reibung legt. Für ein Urlaubsfoto wäre das egal. Für den Onkologiebefund eines Patienten haben Sie still und leise ein Problem geschaffen, das Sie nicht dokumentieren können.

Das Datenleck, das Sie melden müssten

Gesundheitsdaten sind genau das, was Angreifer und Datenhändler wollen. Eine geleakte Krankengeschichte lässt sich nicht zurücksetzen wie ein Passwort. Wenn sensible Patientendaten über einen Dienst offengelegt werden, für den Sie nicht bürgen konnten, kann das eine Verletzung des Schutzes personenbezogener Daten sein, und Datenpannen mit Gesundheitsdaten sind die, die Aufsichtsbehörden am ernstesten nehmen. Meldepflichten, Patientenbenachrichtigungen und der Reputationsschaden für eine Praxis folgen alle aus einem einzigen sorglosen Upload.

Das Frustrierende daran ist, dass die Aufgabe selbst, ein paar Dateien zusammenzuführen oder zu komprimieren, das Haus nie hätte verlassen müssen.

Behalten Sie die Datei auf dem eigenen Rechner

Hier ist die Lösung, und sie ist leichter als das Problem. Wenn das PDF Ihr Gerät nie verlässt, fasst kein externer Auftragsverarbeiter es an. Kein Vertrag, dem man hinterherjagen muss, keine Übermittlung, die zu rechtfertigen ist, kein Dritter, der es leaken könnte. Sie sind immer noch der Verantwortliche und schulden dem Patienten weiterhin die übliche Sorgfalt, aber eine ganze Risikoschicht existiert schlicht nicht, weil die Daten dort geblieben sind, wo sie waren.

Das ist die Idee hinter Tools, die vollständig in Ihrem Browser laufen. Der Code erledigt die Arbeit lokal, im Arbeitsspeicher Ihres Computers, und die Datei bleibt, wo sie ist. So haben wir reader.me gebaut. Wenn Sie ein klinisches PDF zusammenführen, teilen oder komprimieren, wird es in Ihrem Browser verarbeitet und erreicht nie einen Server von uns. Wenn Sie einen Beweis wollen, öffnen Sie die DevTools des Browsers, beobachten Sie den Tab “Network”, während Sie arbeiten, und Sie werden sehen, dass nichts mit Ihrem Dokument hinausgeht.

Zwei alltägliche Aufgaben sind für Gesundheitsdateien am wichtigsten:

• Wenn eine Akte mit einem Passwort ankommt und Sie es kennen, können Sie dieses Passwort entfernen lokal, sodass sich die Datei leichter bearbeiten lässt, ohne sie irgendwohin zu senden.
• Wenn Sie eine Akte weiterschicken müssen und sie vorher abgesichert haben wollen, können Sie das PDF verschlüsseln mit einem Passwort direkt auf Ihrer Maschine und es dann über einen Kanal teilen, den der Patient erwartet.

Gewohnheiten für Praxen, Ärzte und Patienten

Ein paar einfache Regeln halten Gesundheits-PDFs aus Schwierigkeiten heraus:

• Behandeln Sie jedes klinische Dokument als Daten einer besonderen Kategorie. Entlassungsberichte, Laborergebnisse, Rezepte, Überweisungen und Einwilligungsformulare zählen alle, auch eine einzelne gescannte Seite.
• Ziehen Sie niemals eine Patientenakte in ein beliebiges Online-Tool. Kein Vertrag und kein klarer Serverstandort heißt, dass es die Daten Ihrer Patienten nicht bekommt, Punkt.
• Greifen Sie standardmäßig zu Tools, die in Ihrem Browser laufen, für Routineaufgaben wie Zusammenführen, Teilen oder Komprimieren. Wenn es lokal funktioniert, gibt es keinen Auftragsverarbeiter zu prüfen und nichts überquert eine Grenze.
• Sperren Sie Dateien, bevor Sie sie senden. Ein Passwort auf dem PDF und ein vernünftiger Zustellweg schlagen einen offenen Anhang.
• Wenn Sie der Patient sind, fragen Sie, wie Ihre Praxis Ihre Dateien handhabt. Das dürfen Sie.

Die Regeln rund um Gesundheitsdaten klingen schwer, und das sind sie auch, weil die Daten es sind. Aber die tägliche Lösung ist klein. Behalten Sie die Datei auf Ihrer Maschine, nutzen Sie Tools, die nicht hochladen, und der schwerste Teil des Problems erreicht Sie nie. Wenn Sie die längere Version davon wollen, wie das Hochladen diese Pflichten auslöst, habe ich über DSGVO und das Hochladen von PDFs gesondert geschrieben.