Gesetzlich geregelte Teleradiologie: Umsetzung der datenschutzrechlichen Anforderungen

Zusammenfassung

Mit Wirksamwerden des Strahlenschutzgesetzes (StrlSchG) und der Strahlenschutzverordnung (StrlSchV), welche die Röntgenverordnung (RöV) zum 31.12.2018 „ablöste“, änderte sich wenig an den teleradiologiespezifischen Anforderungen. Allerdings gelten auch für die Teleradiologie die datenschutzrechtlichen Anforderungen der Datenschutz-Grundverordnung (DS-GVO). Zunächst ist jede Verarbeitung von Gesundheitsdaten verboten, wenn kein Erlaubnistatbestand vorhanden ist. Sodann müssen die in Art. 5 DS-GVO festgelegten Grundsätze nachweislich eingehalten werden, Patienten müssen informiert werden, die Sicherheit der Daten gewährleistet werden usw. Grundlegend muss geklärt werden, auf welcher Rechtsgrundlage die Zusammenarbeit zwischen dem versorgenden Krankenhaus und dem Teleradiologen erfolgt: Ist es eine eigenständige Behandlung durch den Teleradiologen selbst? Oder ist es eher eine gemeinsame Verarbeitung im Sinne der DS-GVO? Werden neue Technologien z. B. zur Datenübertragung über eine Cloud-Anwendung genutzt, muss ggf. eine Datenschutz-Folgenabschätzung erfolgen. Wenngleich viele Anforderungen der DS-GVO allein schon durch die teleradiologischen Anforderungen adressiert werden, d. h. bei einer genehmigten Teleradiologie viele Anforderungen der DS-GVO schon umgesetzt sind, bleiben noch einige Punkte, die man sich genauer ansehen sollte.

Abstract

With the introduction of the Radiation Protection Act (StrlSchG) and the Radiation Protection Regulations (StrlSchV), which “replaced” the Roentgen Regulations (RöV) on 31 December 2018, there has been little change regarding teleradiology-specific requirements. Nevertheless, the data protection requirements of the General Data Protection Regulations (GDPR) also apply to teleradiology. Primarily, any processing of healthcare data is prohibited if there is no legal basis for permission. Thereafter, the established principles laid down in Art. 5 GDPR must be demonstrably fulfilled, patients must be informed and the security of the data must be guaranteed, etc.

It is fundamentally necessary to clarify on what legal basis the cooperation between the treating hospital and the teleradiologist takes place: is it an independent treatment by the teleradiologist alone or is it more a joint processing in the sense of Art. 26 GDPR? If teleradiology is using new technologies, e.g. the distribution via a cloud solution, a data protection impact assessment may have to be carried out.

Even though many requirements of the GDPR are already addressed by the teleradiological requirements alone and they are already implemented in an approved teleradiology, there are still some points that should be looked at more closely.