Zahnärztliche Mitteilungen Nr. 20

zm 111, Nr. 20, 16.10.2021, (1932) aber diese konfigurieren muss. Auch hier beschäftigt die Berliner Daten- schutzbeauftragte ein Sachverhalt, bei dem Aussage gegen Aussage steht. ZEIT online berichtete im Juni 2021 neben dem Datenleck darüber, dass bei einem Test mit Experten nachvoll- ziehbar gewesen sei, dass IP-Adressen, angeklickte Arztprofile und gegebe- nenfalls erteilte Terminbestätigungen als Datenschnipsel an Google oder Google-Dienste geschickt wurden. Waren der Nutzer oder die Nutzerin zudem in ein Google-Konto einge- loggt, schreibt die mehrfach prämierte IT- und Wissenschaftsjournalistin Eva Wolfangel, „schickt Doctolib ein Cookie von Google mit, das diese eindeutig mit ihrem Google-Konto verbindet“. Fazit des Berichts: Dank Doctolib wusste Google zum Prüfzeit- punkt explizit, welcher Nutzer einen Termin bei welchem Mediziner ge- bucht hat. Und all das geschah laut Beitrag „trotz abgelehnter Cookies“. Doctolib bestreitet dies gegenüber den zm und kommentiert lediglich, „nach deutschen und europäischen Vor- schriften (e-Privacy, DSGVO) dürften Marketing-Cookies nur gesetzt wer- den, wenn Nutzer:innen zugestimmt haben“. Diese juristische Bewertung bestätigt auch Tschirsich – der sich jedoch seinerzeit persönlich davon überzeugen konnte, dass wie von Wolfangel beschrieben Cookies über- tragen wurden. Sein Urteil: „Doctolib hat zum Testzeitpunkt dieses Recht gebrochen.“ Wie es aussieht, kann nur die Berliner Datenschutzbeauftragte eine Auflösung der Frage leisten, ob Doctolib gegen Vorgaben der DSGVO verstoßen hat oder nicht. Doch zum voraussichtlichen Endpunkt der Prü- fung kann die Behörde nach gut 16 Monaten Dauer noch „leider keine Angaben machen“. Mögliche Sanktionsmaßnahmen im Fall einer DSGVO-Verletzung sind Verwarnungen, Anordnungen oder Bußgelder. Letztere bemessen sich nach dem Jahresumsatz eines Unter- nehmens. Doctolib veröffentlicht hierzu keine Zahlen, dürfte aber sicher in die höchste Kategorie eingeordnet werden: Seinen nach eigenen Anga- ben 150.000 Kunden in Frankreich und Deutschland berechnet es 19,35 Millionen Euro – pro Monat. MÜSSEN ALTTERMINDATEN GELÖSCHT WERDEN? Die Diskussion um die über das Da- tenleck zugänglichen Daten offenbart noch ein weiteres juristisches Problem: Es gibt trotz der DSGVO offensichtlich einen Bewertungsspielraum, was den Import von Alttermindaten in die Systeme von Dienstleistern betrifft. Nach gleichlautenden Angaben des CCC und von ZEIT-Autorin Wolfangel enthielt der unverschlüsselt verfüg- bare Doctolib-Datensatz auch Termine aus den 1990er-Jahren – eine Darstel- lung, der Doctolib widerspricht. Sollte dies jedoch der Fall gewesen sein und damit belegen, dass der Dienstleister regelhaft ganze Terminhistorien ge- speichert hat – wie auch Weichert un- terstellt – hätte Doctolib wohl gegen das Datensparsamkeitsgebot verstoßen (siehe Interview Dr. Breyer). Denn da – anders als bei Patienten- akten – für Termindaten keine Aufbe- wahrungsfristen vorgeschrieben sind, gilt „aus datenschutzrechtlicher Sicht, dass eine Speicherung personen- bezogener Daten grundsätzlich nur so lange zulässig ist, wie sie für den vorher festgelegten, eindeutigen und legitimen Zweck erforderlich ist“, lautet die Bewertung der Berliner Datenschutzbeauftragten. Entfällt der Zweck, besteht die Verpflichtung des datenschutzrechtlich Verantwort- lichen (also des Arztes) zur Löschung der personenbezogenen Daten. „Das dürfte mit dem Ablauf des Termins in einer reinen Terminverwaltungssoft- ware regelmäßig der Fall sein“, so die Behörde weiter. Weichert geht in seiner Bewertung noch weiter: Zwar sei es seit 2017 Ärzten explizit erlaubt, technische Dienstleister in Anspruch zu neh- men. Voraussetzung für eine Daten- weitergabe sei allerdings, dass die Patientengeheimnisse für den Dienst erforderlich sind. Um abzuklären, ob in einem Zeitfenster ein Termin verfügbar ist, sei das aber „definitiv nicht der Fall“, so der Datenschützer. Tschirsich unterstützt diese Argumen- tation. Seinem Verständnis nach trifft Weicherts Gutachten den Kern der Sache sehr gut – denn die nötige und von der DSGVO vorgeschriebene Zweckgebundenheit sieht der IT- Experte ebenfalls nicht gegeben. Der komplette Patientenstammdatensatz sei für die Information, wann ein Ter- min frei und buchbar ist, schlicht „technisch nicht notwendig“. „DIE VERANTWORTUNG LIEGT BEI DEN ÄRZTEN“ Das Unternehmen widerspricht frei- lich und erklärt die Notwendigkeit für den Import kompletter Stamm- datensätze damit, dass seine Kalender- lösung die der Praxisverwaltungssoft- ware (PVS) komplett ersetzt. Oben- drein sieht es die Verantwortung für den zeitlichen Umfang des Termin- imports bei den Ärzten. Diese könn- ten und müssten festlegen, welche Daten für sie relevant sind. Damit ist das Thema für Doctolib erledigt. Ab- schließend heißt es noch: „Es werden also keineswegs automatisch die Da- ten aus der Praxissoftware des Arztes ,abgezogen‘, sondern der Grundsatz der Datenminimierung umgesetzt.“ Wolfangel, die zur Verifizierung sei- TRANSPARENZGEBOT FÜR ÄRZTE PATIENTEN MÜSSEN INFORMIERT WERDEN Nach der DSGVO dürfen von einer Arztpraxis die Daten der Patientinnen und Patienten verarbeitet werden, die zur Erfüllung des jeweiligen Behandlungs- vertrags erforderlich sind – „für die über die Terminverwaltung hinausgehende Terminerinnerung bedarf es allerdings einer Einwilligung durch die Patientinnen und Patienten“, stellte die Berliner Beauf- tragte für Datenschutz und Informations- freiheit (BlnBDI) bereits in ihrem Jahres- bericht 2019 klar. Verantwortlich für das Einholen dieser Einwilligung ist dabei die Stelle, bei der der Termin vereinbart wird. Ebenfalls wichtig: „Wenn Ärztinnen und Ärzte einen Dienstleister mit der Termin- verwaltung für ihre Praxis beauftragen, müssen sie dies ihren Patientinnen und Patienten gegenüber transparent machen“, so die BlnBDI. „Gerade wenn es um Gesundheitsdaten geht, ist es besonders wichtig, dass den Betroffenen bewusst ist, durch welche Stellen ihre Daten verarbeitet werden.“ 38 | PRAXIS