Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit hat um das Jahr 2010 herum mit dem Hamburger Universitätsklinikum Eppendorf (UKE) in langwieriger Kleinarbeit ein Berechtigungskonzept für differenzierte Zugriffe auf Akten von Patient*innen erarbeitet.
Anlass war der Fall der Fernsehmoderatorin Monika Lierhaus, die sich nach einer Operation am Gehirn im UKE wochenlang zwischen Leben und Tod befand, und deren Krankenakte nach wenigen Tagen in der Boulevardpresse abgedruckt wurde.
Nachdem das Berechtigungskonzept stand und umgesetzt war, zeigte sich wenige Jahre später, dass offenbar die sogenannten Notfall- bzw. Sonderzugriffe zur Umgehung der festgelegten Rechte genutzt wurden. Diese Zugriffe ermöglichen Ärzt*innen die Einsicht in die jeweilige elektronische Patientenakte, unabhängig davon, ob sie die jeweilige Patient*in bis dahin behandelt hatten.
Es liegt auf der Hand, dass so ein Notfallzugriff unbedingt erforderlich ist, weil der Austausch fach- und abteilungsübergreifender Informationen zu einer behandlungsbedürftigen Person im Krankenhausalltag aus medizinischen Gründen erforderlich sein können – und in solchen Fällen unbedingt auch im Interesse der Person sind. Schlecht organisiert und kontrolliert, ermöglichen die Notfallzugriffe aber wiederum Möglichkeiten des Missbrauchs.
Nach einer formellen Beanstandung des Hamburgischen Datenschutzbeauftragten gegenüber dem UKE wurde in diesem Punkt noch einmal nachgebessert.
Die Anzahl der Zugriffe über die Notfallfunktion verringerte sich danach deutlich. Der Vorgang zeigt, dass nach der Einrichtung und Umsetzung eines Berechtigungskonzepts dieses kontinuierlich überprüft und ggfls. nachgebessert werden muss.
Erschwerend hinzu kommt, dass auch die Anbieter der Krankenhausinformationssysteme (KIS) Datenschutzmaßnahmen technisch unterstützen müssen – was sie aber nicht immer tun. Ich vermute, dass dort auch die Ursache für den Vorfall liegt, den meine Mandantin erlebte. Möglicherweise ist die Software veraltet und ermöglicht nur in Teilen eine datenschutzkonforme Umsetzung eines richtig abgesicherten Berechtigungskonzepts.
Es ist mir unverständlich, warum technische Voraussetzungen, die in anderen Ländern problemlos funktionieren, in Deutschland jahrzehntelang schlecht oder gar nicht gelöst auf der Stelle treten - in einem Land, das die Wichtigkeit von Datenschutz immer groß vor sich herträgt. Die Anforderungen an die technische und organisatorische Absicherung von KIS-Systemen in Krankenhäusern sind von den Datenschutz- Aufsichtsbehörden seit 2011 formuliert, im Mai 2014 gab es eine Aktualisierung. Dabei waren auch Hinweise für die Hersteller der KIS-Systeme. Jetzt, 2026, sind sie wie das Beispiel Asklepios zeigt, immer noch nicht vollständig umgesetzt.
Egal, ob es eine prominente Patientin trifft oder eine, die seit Jahren um ihr mentales Gleichgewicht kämpft, die unfreiwillige (Teil-) öffentlichkeit der eigenen Patientengeschichte, die die Öffentlichkeit nichts angeht, ist immer ein Einschnitt, den wir Menschen ersparen sollten.
Schon gar dort, wo wir am verletzlichsten sind, in einem Krankenhaus. Vermutlich ist dies in Zeiten, in denen Krankenhäuser nur noch dazu da sind, wirtschaftliche Gewinne zu machen, zu idealistisch gedacht. Dann allerdings müssen die bestehenden Regeln von denjenigen konsequent durchgesetzt werden, die mit der Durchsetzung beauftragt sind, und das sind die Datenschutzbehörden der Länder.
Datum
07.05.2026