Sie sind hier: Home » Recht » Datenschutz und Compliance

Verstoß gegen die DSGVO

"Abruf der E-Rezepte in der Apotheke nach Autorisierung": Geplante Schnittstelle nicht nach dem Stand der Technik abgesichert
Der BfDI ist enttäuscht über den Ausstieg der Kassenärztlichen Vereinigungen aus den Pilotprojekten zur Einführung des E-Rezeptes

Der Bundesbeauftragter für den Datenschutz (BfDI), Prof. Ulrich Kelber, erteilt der unsicheren Feature-Spezifikationsvariante "Abruf der E-Rezepte in der Apotheke nach Autorisierung" kein Einvernehmen. Die geplante Schnittstelle ist nicht nach dem Stand der Technik abgesichert und verstößt damit gegen die DSGVO. Er schlägt eine sichere, für die Versicherten, Ärzte und Apotheker vollkommen funktionsgleiche Alternative vor, bei der im Hintergrund andere Verfahren genutzt werden.

Der BfDI ist enttäuscht über den Ausstieg der Kassenärztlichen Vereinigungen aus den Pilotprojekten zur Einführung des E-Rezeptes sowie der Meinungsäußerungen der beiden kassenärztlichen Vereinigungen und des Apothekerverbands zum Thema: "Das E-Rezept als solches und die drei ursprünglich vorgesehen Einlösungswege sind konsentiert und funktionsfähig. Auch die nun zusätzliche geplante Funktionalität der Einlösung durch Stecken der elektronischen Gesundheitskarte (eGK) ohne Eingabe einer PIN ist umsetzbar.

Die geplante Datenverarbeitung mit der zunächst von der gematik vorgelegten Umsetzung verursacht allerdings ein großes Risiko für die Rechte und Freiheiten aller Nutzerinnen und Nutzer des E-Rezepts, bundesweit und bei allen Arztpraxen und Apotheken. Uns gegenüber gemachte Vorschläge zur Minderung des Problems abseits einer anderen Umsetzung verringern die Gefahren für die Versicherten nicht ausreichend. Unverständlich ist, dass Kassenärztliche Vereinigungen und Apothekerverband dieses Problem, dass ihnen seit Monaten und damit länger als dem BfDI selbst bekannt ist, nicht wahrnehmen wollen und stattdessen schon Basisabsicherungen von IT-Lösungen als überzogen diffamieren. Leidtragende sind die Patientinnen und Patienten, die gerne das E-Rezept auf einem der bereits funktionierenden Wege nutzen möchten."

Falls es zu einem – wohl leicht umsetzbaren – Hack bei der unzureichend gesicherten, vom BfDI und auch dem Bundesamt für die Sicherheit in der Informationstechnik (BSI) nicht freigegebenen Umsetzungsvariante gekommen wäre, hätte das Vertrauen in das E-Rezept und andere Digitalisierungen des Gesundheitssystems enorm gelitten: "Ich erwarte von allen Beteiligten, dass bis zum Sommer 2023 eine sichere Lösung für das Abholen von E-Rezepten durch Stecken der eGK zur Verfügung steht. Die kassenärztlichen Vereinigungen sollten ihren Ausstieg aus dem Pilotprojekt überdenken und nicht angeblich überzogene IT-Sicherheits- und Datenschutzanforderungen vorschieben. Schließlich stehen alle Möglichkeiten der Einreichung von E-Rezepten, die auch zum Start des Pilotprojektes vorhanden waren, weiter uneingeschränkt zur Verfügung. Neue Funktionalitäten müssen aber Standardanforderungen an IT-Sicherheit erfüllen und dürfen nicht dem unberechtigten Zugriff auf den gesamten Bestand der E-Rezepte Tür und Tor öffnen. Eine Umsetzungszeit von sechs Monaten ist dabei in der Softwareentwicklung durchaus üblich und notwendig. Unzureichend gesicherte Schnellschüsse kann der BfDI bei seinem gesetzlichen Auftrag nicht mittragen. Ich bedanke mich bei dem Teil der Berufsverbände im Gesundheitssektor, die uns in dieser Haltung klar und eindeutig unterstützen."

Der BfDI fordert außerdem, dass das Bundesministerium für Gesundheit und der Deutsche Bundestag durchsetzen, dass vorhandene sichere und bequeme Authentisierungsmittel zum Standard werden, wie beispielsweise eine PIN für die Gesundheitskarte oder den elektronischen Personalausweis: "Es ist alles da, überprüft und könnte sofort eingesetzt werden, wenn beispielsweise die Krankenkassen endlich ihre Versicherten mit der PIN zur eGK versorgen würden. Digitalisierung im Gesundheitssektor muss richtig umgesetzt werden: Sicher, datenschutzkonform und bequem zu nutzen. Unzureichend gesicherten Lösungen werden wir auch weiter eine datenschutzrechtliche Absage erteilen." (BfDI: ra)

eingetragen: 15.11.22
Newsletterlauf: 07.02.23

Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>

Meldungen: Datenschutz und Compliance

Datenschutzbericht für das Jahr 2022
Dr. h. c. Marit Hansen, die Landesbeauftragte für Datenschutz und Landesbeauftragte für Informationszugang Schleswig-Holstein, hat ihren Tätigkeitsbericht für das Jahr 2022 vorgelegt. Der Bericht gibt einen Überblick über die vielfältigen Themen des Datenschutzes und der Informationsfreiheit, die von Hansen und ihren Mitarbeitenden im Unabhängigen Landeszentrum für Datenschutz (ULD) im vergangenen Jahr bearbeitet wurden. Zum täglichen Geschäft gehören leider auch zahlreiche Datenpannen, die vermieden hätten werden müssen - und dies selbst im sensiblen Gesundheitsbereich.
Schutzniveau personenbezogener Daten
Der Europäische Datenschutzausschuss (EDSA) hat auf der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder vom 1. März 2023 eine Stellungnahme zum Entwurf des Angemessenheitsbeschlusses der Europäischen Kommission zum EU-US-Datenschutzrahmen (EU-U.S. Data Privacy Framework) verabschiedet. Darin begrüßt er wesentliche Verbesserungen wie die Einführung von Anforderungen an Notwendigkeit und Verhältnismäßigkeit für die nachrichtendienstliche Datenerhebung in den USA und den neuen Rechtsbehelfsmechanismus für betroffene Personen aus der EU.
Authentifizierung an der Hotline
Nach Beratung durch den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) ändern erste Telekommunikationsdienstleister ihre Authentifizierung bei der telefonischen Kundenbetreuung. Eine sichere Authentifizierung von Anrufern durch die Kundenbetreuung ist wichtig, da möglicherweise personenbezogene Daten preisgegeben werden oder Verträge geändert werden können.
Facebook-Fanpage nicht datenschutzkonform
Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI, Professor Ulrich Kelber, hat das Bundespresseamt (BPA) angewiesen, den Betrieb der Facebook Fanpage der Bundesregierung einzustellen. Ein entsprechendes Schreiben hat der BfDI versendet. Das BPA hatte ab Erhalt des Bescheids vier Wochen Zeit diesen umzusetzen.
BfDI begrüßt Urteil zu polizeilichen Datenanalysen
Das Bundesverfassungsgericht hat eine grundlegende Entscheidung zu Datenanalysen in polizeilichen Dateien getroffen. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Professor Ulrich Kelber, sieht die Grundrechte der Bürgerinnen und Bürger gestärkt.

Maßnahme zu Cloud-Diensten Einigung der G7-Digitalministerien