30.03.2022 · Fachbeitrag · Datenschutz

Chefarzt als Patient im eigenen Klinikum: Wie weit geht der Datenschutz im Behandlungsvertrag?

von RAin Bita Foroghi LL.M. oec, zertifizierte Datenschutzbeauftragte, lennmed.de Rechtsanwälte, Bonn, Berlin, Baden-Baden

| Nach § 241 Bürgerliches Gesetzbuch (BGB) begründet ein Behandlungsvertrag die Nebenpflicht des Behandelnden, dafür zu sorgen, dass die erhobenen Patientendaten nur zu erlaubten Zwecken verarbeitet werden. Die Anrufung des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein (ULD) wegen vermuteter Datenschutzverstöße hemmt die Verjährung nicht. Das Landgericht [LG] Flensburg wies die Klage eines Chefarztes ab, der sich im Krankenhaus seines Arbeitgebers hatte behandeln lassen (Urteil vom 19.11.2021, Az. 3 O 227/19; Volltext online unter dejure.org ). |

Sachverhalt

Ein Chefarzt und leitender Angestellter eines Krankenhauses wurde im Mai 2015 wegen eines Herzinfarkts in der kardiologischen Abteilung der Klinik seines Arbeitgebers behandelt. Während des Behandlungsverhältnisses griffen Beschäftigte der Klinik etwa 150-mal auf die Patientendaten des Chefarztes zu.

Nachdem der Chefarzt hiervon erfuhr, analysierte er die erfolgten Zugriffe und ordnete zumindest vier davon als fraglich ein. In der nachfolgenden Auseinandersetzung machte er ‒ u. a. anwaltlich vertreten ‒ einen Auskunftsanspruch über unberechtigte Zugriffe und den zukünftigen Schutz seiner Daten und schließlich Schadenersatz gegenüber dem Krankenhausträger geltend. Er wandte sich darüber hinaus im März 2018 mit einer Beschwerde an das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD). Im Rahmen dieses Beschwerdeverfahrens räumte die zwischenzeitlich gewechselte Geschäftsführung ein, dass die vier genannten Zugriffe vom Datenschutzbeauftragten als unzulässig bewertet worden seien und auch aus heutiger Sicht der Geschäftsführung als unzulässig eingeordnet würden. Das ULD stellte anschließend fest, dass die Zugriffe gegen Vorschriften der Datenschutzgrundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG) verstießen.