Auch wenn ich ausschließlich Unternehmen berate, wie sie Datenschutz und technische Sicherheit verbessern können, mache ich gelegentlich Ausnahmen für Privatpersonen mit einem Datenschutzproblem. Eine dieser Personen dockte Mitte Februar bei mir an.
Meine neue Mandantin war Anfang des Jahres zu einem geplanten operativen Eingriff in der Asklepios Klinik Nord in Hamburg. Nach einem kurzen stationären Aufenthalt hatte sie vor ihrer Entlassung noch einen Abschlusstermin mit einer Ärztin, die sie zuvor noch nicht gesehen oder gesprochen hatte. In diesem Abschlussgespräch sagte die Ärztin zu ihr:
„Ich habe einmal Ihre Ochsenzoll Akte eingesehen, da stehen Medikamente, die Sie uns gar nicht genannt haben! Vielleicht liegt die Ursache Ihrer schlechten Leberwerte ja dort“. Meine Mandantin dachte, sie hätte sich verhört.
„Ochsenzoll“ ist die umgangssprachliche Bezeichnung für die psychiatrische Abteilung des Asklepios Klinikums Nord, das einen eigenen Standort bildet, inklusive des Maßregelvollzugs. Meine Mandantin war dort vor fast zwei Jahren in stationärer Behandlung. Und nun wurden diese Informationen einfach so von einer Ärztin der chirurgischen Abteilung eingesehen, die ihren Fuß operiert hatte?
Ich dachte zunächst auch, ich hätte mich verhört, als sie mir davon erzählte. Gehört es doch zu den minimalen Selbstverständlichkeiten des Datenschutzes in einem Krankenhaus, dass psychiatrische Akten auch krankenhausintern unter Verschluss sind. Es sei denn, es liegt die ausdrückliche Erlaubnis der Patientin vor oder es handelt sich um einen Notfall. Aber weder das eine noch das andere war hier gegeben. Davon abgesehen ist meine Mandantin eine erfahrene und gut informierte Patientin. Sie hatte den behandelnden Ärzt*innen vor dem Eingriff eine umfassende Medikamentenliste vorgelegt, auf der jedes Medikament verzeichnet war, das sie aktuell einnimmt. Genauso war sie offen mit ihren psychischen Belastungen umgegangen und hatte vor der Operation um einige Maßnahmen gebeten, die ihr die Situation leichter machen würden. Von der formal-rechtlichen Seite einmal abgesehen, gab es also noch nicht mal einen medizinischen Grund, warum die Ärztin in die Psychiatrieakte hätte Einsicht nehmen müssen.
Im Nachgang zu dieser Episode stellte sich weiter heraus, dass die Einsicht in psychiatrische Akten offenbar nicht nur innerhalb des Krankenhauses Nord mit seinen unterschiedlichen Standorten möglich ist, sondern auch zwischen verschiedenen Krankenhäusern.
Meine Mandantin erinnerte sich an eine Freundin, die in Asklepios Nord als Ärztin beschäftigt ist, und die im letzten Jahr im Asklepios Krankenhaus in Hamburg-Harburg zu einer psychiatrisch-neurologischen Untersuchung gewesen war. Sie sprach sie an und diese stellte zusammen mit einem Kollegen fest, dass sowohl sie selbst als auch der Kollege auf die Akte mit den Ergebnissen ihrer Untersuchung in Harburg zugreifen konnte.
Solche mangelhaft vergebenen und abgesicherten Berechtigungen sind ein Verstoß gegen so gut wie alle Vorgaben des Datenschutzes und der Informationssicherheit in Krankenhäusern. Ich hätte offen gesagt nicht gedacht, dass so etwas im Jahr 2026 in einem großen Krankenhauskonzern wie Asklepios noch möglich sein könnte.
Schon Anfang der 2000er Jahre wurde ein Krankenhaus in Finnland zu Schadensersatzzahlungen an eine Krankenpflegerin verurteilt, weil es die Krankenakte der Pflegerin nicht ausreichend vor unerlaubter Einsicht durch andere Mitarbeitende geschützt hatte. In dem finnischen Krankenhaus konnten alle Mitarbeitenden alle Patientenakten einsehen, inklusive der ihrer Kolleg*innen. Es war noch nicht mal im Nachhinein eine Kontrolle möglich, wer Einsicht genommen hatte. Der befristete Arbeitsvertrag der Pflegerin wurde daraufhin nicht verlängert, weil auf diese Weise bekannt geworden war, dass sie wegen einer HIV-Infektion behandelt wurde. Der Europäische Gerichtshof wertete den Vorgang seinerzeit als einen Verstoß gegen das in der europäischen Grundrechtecharta verankerte Recht auf Privatheit. Diese Entscheidung erging noch vor Geltung der Datenschutz-Grundverordnung (DSGVO) – und die DSGVO bietet heute noch ganz andere Möglichkeiten für Bußgelder und Schadensersatzzahlungen an betroffene Personen.
Aber das scheint ein großes Krankenhaus nicht zu beeindrucken. Wie es aussieht, muss es auch nicht beeindrucken, weil die Kontrolle der Einhaltung der Vorschriften der DSGVO unzureichend funktioniert.
Ich schrieb im Auftrag der Mandantin eine Beschwerde an den Datenschutzbeauftragten von Asklepios Nord. Es brauchte schon eine Weile, um überhaupt herauszufinden, an wen man sich in solchen Fällen wenden muss. Wer in Person für den Datenschutz im Klinikum Nord zuständig ist, ging aus der generischen datenschutz@krankenhaus … Adresse und einem Kontaktformular, über das man eine Beschwerde einreichen kann, nicht hervor.
Zeitgleich schrieb ich eine Beschwerde an den Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit als zuständige Aufsichtsbehörde. Der wiederum brauchte zwei Wochen, um einen Textbaustein mit einer Eingangsbestätigung zu senden und bat um „etwas Geduld“. Man werde „schnellstmöglich und unaufgefordert“ wieder auf mich zukommen.
Nun ist mir bewusst, dass die Aufsichtsbehörden mit Beschwerden überflutet werden und personell mangelhaft ausgestattet sind. Aber ein solch krasser Datenschutzverstoß wie die unzulässige Einsicht in psychiatrische Patientenakten - sowohl innerhalb eines Krankenhauses als auch über mehrere Krankenhäuser derselben Kette hinweg - wäre ja vielleicht schon ein Grund, einmal schneller als vor Ablauf von sechs Monaten Ermittlungen einzuleiten und dafür andere Vorgänge zurück zu stellen. Hätte ich jedenfalls angenommen.
Etwas schneller meldete sich eine externe Datenschutzbeauftragte, die „als Teil des Datenschutzteams von Asklepios“ tätig ist. Sie habe sich intern „erkundigt wie ein Zugriff auf eine Patientenakte möglich ist“ und schrieb allgemeine Abhandlungen über die elektronische Patientenakte der Krankenkasse und Zugriffsrechte. Verbunden mit der Frage, ob sie in dem von mir geschilderten Fall „nachforschen“ solle. Natürlich sollte sie. Deshalb habe ich ja Kontakt aufgenommen. Ich bat um Angabe eines Weges außerhalb von E-Mail, um eine Schweigepflichtentbindung meiner Mandantin zu übersenden. Auch das dauerte, aber dann erhielt ich die Anschrift des internen Datenschutzverantwortlichen.
Das war der Status mehr als vier Wochen nach dem Vorfall, Ende offen.
Data
23/04/2026