Anlage 14 - Verpflichtung zur Beachtung des Datenschutzes.pdf

[Seite 1]

Vertraulichkeitserklärung

zur Beachtung des Datenschutzes, insbesondere zur Wahrung der Vertraulichkeit, und zur

Wahrung des Geschäfts- und Betriebsgeheimnisses

 Anlage zum Vertrag:

 Einmaliger Auftrag am:

Firma / Organisation

Adresse

Name, Vorname, Geburtsdatum des Vertretungsberechtigten bzw. des Einzelverpflichteten (Vertragspartei)

Hiermit bestätigt die Vertragspartei, dass sie selbst oder alle Mitarbeiter und sonstigen von ihm beauftragten Personen zur Einhaltung der nachfolgenden Regelungen verpflichtet sind.

Nach Art. 5 DS-GVO sowie gem. § 203 StGB i.V.m. § 1 VerpflG in der jeweils geltenden Fassung wird die Vertragspartei wie folgt auf die Wahrung der Vertraulichkeit sowie die sonstigen bei seiner Tätigkeit zu beachtenden Vorschriften über den Datenschutz, wie beispielsweise das Sächsische Krankenhausgesetz (SächsKHG) und das Sächsische Datenschutzdurchführungsgesetz (SächsDSDG) und das Geschäfts-, Betriebsgeheimnis sowie den Umgang mit Software verpflichtet:

Aufgrund Ihrer arbeitsvertraglichen bzw. sonstigen vertraglichen Bindung zur zeitweiligen Aufgabenerfüllung (bspw. als Dienstleister, oder Gastarzt, Hospitant, Praktikant, Schüler u. ä.) am/für das Universitätsklinikum Leipzig AöR (UKL), der Medizinischen Fakultät der Universität Leipzig (MF) bzw. der Medizinischen Berufsfachschule (MBFS) sind Sie zur Wahrung

1. des Geschäfts- und Betriebsgeheimnisses
2. der Vertraulichkeit beim Umgang mit personenbezogenen Daten (Datenschutz)
3. dem ordnungsgemäßen Umgang mit Software

verpflichtet.

1. Geschäfts- oder Betriebsgeheimnis

Die Vertragspartei ist zur Geheimhaltung aller Informationen verpflichtet, die ihr im Zusammenhang mit der übernommenen Aufgabe bekannt werden und die nicht offenkundig sind. Dies gilt sowohl für Informationen über das UKL, die MF und die MBFS sowie auch über deren Geschäftspartner. Diese Geheimhaltungsvorschrift besteht auch nach Beendigung Ihrer Tätigkeit fort.

2. Vertraulichkeit beim Umgang mit personenbezogenen Daten (Datenschutz)

Es ist der Vertragspartei untersagt, personenbezogene Daten ohne entsprechende Befugnis, die sich nach Art. 6 und Art. 9 DS-GVO, §§ 33 Abs. 2, 34 SächsKHG sowie §§ 3, 4 SächsDSDG nur aus einer Rechtsvorschrift (u. a. Gesetz, Rechtsverordnung, Satzung) oder der Einwilligung des Betroffenen ergeben kann, zu verarbeiten.

"Verarbeitung" bezeichnet jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung. Dies ist unabhängig davon, ob diese Daten in Erfüllung Ihrer Dienstaufgaben oder rein zufällig zu Ihrer Kenntnis gelangt sind.

"Personenbezogene Daten" sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; in Dateiform oder als Akte (z.B. Aufzeichnungen auf maschinell lesbaren Datenträgern, Angaben auf Formularen und Karteikarten, allg. Arbeitsunterlagen, Röntgenbilder, Ultraschall-Aufnahmen, CT/MRT-Schnittbilder, Mikrofilme, Bild- und Tonträger u. a.) Unter personenbezogenen Daten sind nicht nur Daten von Mitarbeitern zu verstehen, sondern vor allem auch Patientendaten, einschließlich von deren Angehörigen, anderer Bezugspersonen oder sonstiger Dritter. Gesundheitsdaten unterliegen als Kategorie besonderer personenbezogener Daten einem ausgesprochen hohen Schutz.

Eine Verletzung der standesrechtlichen "Ärztlichen Schweigepflicht" (Muster-Berufsordnung für Ärzte, Apotheker) ist nach Strafgesetzbuch auch für die „berufsmäßig tätigen Gehilfen“ unter Strafe gestellt, d.h. auch für Gesundheits- und Krankenpfleger/-innen, Hebammen/Entbindungspfleger, Med.-technische Assistenten/Assistentinnen, Diätassistenten/-assistentinnen, Arzthelfer/-innen, Praktikanten/Praktikantinnen, Verwaltungspersonal usw.

3. Ordnungsgemäßer Umgang mit Software

Der nicht ordnungsgemäße Erwerb, die Nutzung und das Inverkehrbringen von Computer-Software stellen Verstöße gegen das Urheberrecht, Strafrecht sowie einschlägige andere Rechtsnormen dar und kann sowohl gegenüber dem UKL / der MF als auch gegenüber

Revisionsnummer: 005/03.2020 S e i t e | 1 ID: 58825

[Seite 2]

der Vertragspartei straf- und zivilrechtlich geahndet werden. Weiterhin besteht eine Gefahr hinsichtlich des Einsatzes von schadenstiftender Software (illegale Software-Kopien, Viren u. a.).

Deshalb ist festgelegt:

a) Software muss grundsätzlich ordnungsgemäß erworben und installiert werden (auch Demonstrations- und Test-Software). Der Erwerb erfolgt über den Bereich 1 – Informationssysteme des UKL, ebenso die Installation bzw. diese in Absprache. Analog für die Software- Deinstallation und die Verschrottung von Computern, inkl. der zuverlässigen Löschung von Daten. b) Die Benutzung von Software, die nicht der direkten Aufgabenerfüllung dient, ist grundsätzlich untersagt. c) Installierte Viren-Scanner dürfen nicht abgeschaltet bzw. deinstalliert werden.

Rechtsfolgen

1. Verstöße gegen das Geschäfts- oder Betriebsgeheimnis können auf der Grundlage des Gesetzes zum Schutz von Geschäftsgeheimnissen und anderer Rechtsgrundlagen zivilrechtlich sowie strafrechtlich geahndet werden.
2. Aus der Verletzung der Vertraulichkeit ergeben sich arbeits-, straf- oder ordnungswidrigkeitsrechtliche Konsequenzen (gem. § 22 SächsDSDG Geldbuße bis zu 25 T€, als Straftat bis zu 2 Jahren Freiheitsstrafe). Der Versuch ist strafbar.
3. Die Verbreitung / Benutzung illegal kopierter Software kann nach dem Urheberrechtsgesetz geahndet werden.
4. Die Verbreitung / Benutzung von schadensstiftender Software kann strafrechtlich verfolgt werden.
5. Verstöße lösen auch zivilrechtliche Schadenersatzansprüche aus. Ein Merkblatt mit Erläuterungen und den relevanten Rechtsvorschriften sowie eine Kopie der Verpflichtungserklärung werden ausgehändigt. Weitere Informationen mit datenschutzrelevanten Regelungen ergeben sich aus den Dienstvereinbarungen und Dienstanweisungen sowie weiteren innerbetrieblichen Regelungen.

Verpflichtung nach § 203 StGB

Des Weiteren erklärt die Vertragspartei, die Anforderungen des § 203 StGB und die strafrechtlichen Folgen einer Verletzung zu kennen.

Soweit die Vertragspartei hierzu nicht gesetzlich bereits verpflichtet ist, erklärt sie Folgendes:

1. Ich verpflichte mich zur gewissenhaften Einhaltung und Erfüllung der gesetzlichen Anforderungen. Insbesondere ist mir bekannt, dass meine Verschwiegenheit auch nach Beendigung des Vertragsverhältnisses, gleich welcher Art dieses ist, uneingeschränkt und zeitlich unbefristet fortbesteht.
2. Ich verpflichte mich darüber hinaus alle meine Mitarbeiter (Bestandsmitarbeiter und zukünftige neue Mitarbeiter), die im Rahmen des gegenständlichen Auftrages bzw. Vertragsverhältnisses mit den der besonderen Verschwiegenheitspflicht unterliegenden Daten in Berührung kommen, ebenso wirksam nach § 203 StGB zu verpflichten.
3. Ich sichere zu, soweit in Erfüllung des Auftrages durch mich / unser Unternehmen Dritte (Subunternehmer) oder Geschäftspartner (im Rahmen eines mehrstufigen Vertragsverhältnisses) zum Einsatz kommen, für eine gleiche Verpflichtung Sorge zu tragen. Über die strafrechtlichen Konsequenzen einer fehlerhaften oder mangelnden Verpflichtung bin ich informiert. In allen Zweifelsfragen werde ich entsprechenden Rechtsrat vor einer Offenbarung von Geheimnissen, welche § 203 StGB unterliegen einholen.

Ort, Datum Unterschrift, Firmenstempel

Revisionsnummer: 005/03.2020 S e i t e | 2 ID: 58825

[Seite 3]

Merkblatt zur Verpflichtung zur Vertraulichkeit

Dienstspezifische Datenschutzhinweise

Stand: Oktober 2019

1a. Inwieweit und welche Art von Auskünften bei Nachfragen von 13. Das Laufwerk W:\ besitzt für jede Klinik einen eigenen Ordner und außerhalb am Telefon gegeben werden dürfen, bestimmt der jeweils dient zum Speichern klinikbezogener Daten, der Zugriff ist auf die behandelnde Arzt. Die Auskünfte sind unter Beachtung des jeweiligen Klinikmitarbeiter beschränkt. Als besondere Patientenwillens und unter Berücksichtigung der Einzelfallsituation zu Vorsichtsmaßnahme können (versehentlich) gelöschte oder erteilen und immer restriktiv zu handhaben (nach der Art des Anrufes, geänderte Dateien innerhalb von 4 Wochen auf Antrag des jeweiligen nur Terminauskunft, ob Notfall, ggf. nur allgemeine Auskunft, Verweis Ordnerverantwortlichen durch den Bereich 1 wiederhergestellt an den behandelnden Arzt oder an einen vom Patienten benannten werden Angehörigen, separate Einbestellung, usw.). 14. Das Laufwerk V:\ ist das persönlich-dienstliche Laufwerk eines jeden Mitarbeiters, auf welches ausschließlich dieser Zugriff hat. LW V:\ ist 1b. Über die Identität des Anrufenden ist sich zu vergewissern, bspw. durch von jedem PC im Medizinnetz aus zugreifbar und wird zentral durch Erfragen von Geburts-datum, Anschrift oder letztem Aufenthalt im UKL den Bereich 1 gesichert. Ggf. lokal auf dem PC gespeicherte Daten und/oder Vergleich der auf dem Display gezeigten Telefonnummer mit sollen deshalb regelmäßig nach LW V:\ gesichert oder gleich dort der „Nächste Angehörige“ - Telefonnummer des Patienten im SAP. gespeichert werden. 1c. Anfragen von juristischen Personen (bspw. Vereine, Unternehmen, 15. Es dürfen nur solche Fälle/Patientendaten aufgerufen und bearbeitet Arbeitgeber oder Behörden) sollen immer schriftlich (auch als Fax) an das werden, welche sich aus der aktuellen Arbeitsaufgabe ergeben, in der UKL gerichtet werden. Sofern telefonische Anfragen erfolgen, sind diese Regel also nur die Fälle aktueller oder noch zu bearbeitender darauf hinzuweisen. Patienten (etwa zur Befund- oder Terminsuche bzw. 1d. Im Zweifelsfall ist keine Auskunft zu erteilen. Dokumentation). Insbesondere ist es Ihnen gem. DS-GVO, SächsKHG, SächDSDG, § 85 SGB X, § 203 StGB (Verletzung von 1e. Sofern im SAP auf der Stations- oder Ambulanzübersicht für einen Privatgeheimnissen) sowie im Rahmen Ihres Arbeitsvertrags Patienten die „Pförtnersperre“ eingetragen ist, bedeutet dies ein striktes untersagt, aus nicht dienstlichen Gründen Fälle/Daten Dritter (z.B. Auskunftsverbot gegenüber allen (auch telefonisch)nachfragenden von Arbeitskollegen, Verwandten oder Bekannten) aufzurufen, Privatpersonen oder unbefugten juristischen einzusehen oder weiterzugeben. Personen, sogar darüber, ob sich der Patient überhaupt im Klinikum aufhält. 16. Bildschirme, welche durch Patienten/Besucher eingesehen werden könnten, sind durch einen Bildschirmschoner zu schützen (mit 2. Die ärztliche Schweigepflicht gilt grundsätzlich auch gegenüber nahen automatischer Aktivierung nach 5 Minuten). Angehörigen des Patienten. 17. Häufig genutzte Faxnummern sind einzuspeichern, um die Gefahr 3. Sensible Patientengespräche dürfen von anderen Patienten nicht eines Verwählens zu vermeiden. Bei wichtigen Faxen soll eine mitgehört werden können, ggf. ist dafür z. B. ein separater Raum zu telefonische Ankündigung beim Empfänger bzw. Rückfrage erfolgen, nutzen. ob das Fax angekommen ist. Sendeberichte können bei Erfordernis 4. Patientenunterlagen dürfen niemals am Stationsstützpunkt dem Dokument beigeheftet werden. Das Fax - Journal ist als unbeaufsichtigt liegen gelassen werden und dürfen, ebenso wie genereller Nachweis am Fax einzustellen und 1 Jahr aufzuheben. Bildschirme, von anderen Patienten und Besuchern nicht einsehbar sein. 18. In Soziale Medien, wie Facebook oder Twitter, gehören keine UKL- 5. Patienten und ggf. begleitende Dritte dürfen in Untersuchungs- oder internen Informationen oder diesbezügliche Problemdiskussionen. Behandlungsräumen nicht unbeaufsichtigt sein. 19. Bild-, Video- oder Tonaufnahmen von Patienten bzw. deren 6. Sofern keine Kontrolle gewährleistet ist, sind Türen bei Verlassen des Verletzungen mit privaten mobilen Endgeräten, wie etwa Stützpunktes oder des Dienstzimmers zu verschließen. Smartphones, und deren Weitergabe sind strengstens untersagt! 7. Rezepte und Arzt-Stempel sind für Patienten nicht sichtbar zu lagern und 20. Gesonderte Regelungen des UKL, wie Verfahrens- und nach Dienstende in einem Schrank sicher vor dem Zugriff Dritter Dienstanweisungen, sind zu beachten. einzuschließen (dies gilt immer -auch während der Dienstzeit- für BTM- 21. Stellen Sie selbst Datenschutzverletzungen fest, teilen Sie dies Ihrem Rezepte und das BTM-Bestellbuch). Vorgesetzten und auch direkt dem Datenschutzbeauftragten mit. 8. Vom Postdienst entgegengenommene Patientenpost und Pakete sind zu Solche Probleme könnten u. U. zu schwerwiegenden Folgen für das quittieren und dem Patienten unmittelbar zu übergeben. UKL führen. Das UKL hat eine gesetzlich vorgeschriebene 9. Zu entsorgende patienten- und personalbezogene Dokumente gehören Benachrichtigungspflicht gegenüber Patienten und Meldepflicht IMMER in die abgeschlossene Daten-Mülltonne, welche in der Regel im gegenüber Aufsichtsbehörden, sollten Informationen in falsche AWT-Raum steht, keinesfalls in die normalen Papierkörbe! Hände gelangt sein. Zwischenzeitlich können solche Unterlagen in einer gekennzeichneten, Bei Rückfragen wenden Sie sich direkt an: für Patienten nicht einsehbaren und nicht zugänglichen Ablage Universitätsklinikum Leipzig AöR, Stabsstelle Datenschutz gesammelt werden. E-Mail: dsb@uniklinik-leipzig.de 10. Spam-verdächtige E-Mails sind dem Bereich 1 – Informationsmanagement per E-Mail an spamverdacht@medizin.uni- leipzig.de zu melden – und zwar nur als Anlage in dieser E-Mail- Meldung. Anhänge solcher verdächtigen E-Mails dürfen keinesfalls geöffnet werden! 11. Logins für Windows und Anwendungssoftware (z. B. SAP) dürfen ausschließlich persönlich genutzt werden und sind geheim zu halten. Die Weitergabe personengebundener Passwörter ist untersagt (darunter fällt auch z. B. das Anbringen eines „Merkzettels“ am Bildschirm). Sobald kein unmittelbarer Programmzugriff mehr erforderlich ist, hat eine Systemabmeldung zu erfolgen („ausloggen“). 12. Für Windows und SAP erfolgt nach 6 Monaten automatisch ein erzwungener Passwortwechsel.1

1 Die letzten fünf genutzten Passwörter dürfen sich nicht wiederholen, das jeweilige 1. Hinweise zum Generieren und Merken von Passwörtern finden Sie unter Anwendungssystem gibt Hinweise zu den Mindestanforderungen an das neue Passwort, eine Anleitung finden Sie außerdem im Intranet auf der Seite von Bereich Revisionsnummer: 005/03.2020 S e i t e | 3 ID: 58825

[Seite 4]

Merkblatt zur Verpflichtung zur Vertra ulichkeit

„Mitarbeiterbezogener Datenschutz“ auf der „Datenschutz“-Intranet-Seite.

Revisionsnummer: 005/03.2020 S e i t e | 4 ID: 58825

[Seite 5]

Merkblatt zur Verpflichtung zur Vertraulichkeit

Dienstspezifische Datenschutzhinweise

Stand: Oktober 2019

Datenschutz-Grundverordnung DS-GVO Bezugspersonen des Patienten sowie sonstiger Dritter, die dem Art. 5 Rechenschaftspflichten Krankenhaus im Zusammenhang mit der Behandlung bekannt (1) Personenbezogene Daten müssen werden. a. auf rechtmäßige Weise, nach Treu und Glauben und in einer für (2) Patientendaten dürfen unbeschadet anderer Rechtsvorschriften die betroffene Person nachvollziehbaren Weise verarbeitet verarbeitet werden, soweit werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, 1. dies im Rahmen des Behandlungsverhältnisses auf vertraglicher Transparenz“); Grundlage mit einem Angehörigen eines Gesundheitsberufs, der b. für festgelegte, eindeutige und legitime Zwecke erhoben werden dem Berufsgeheimnis unterliegt, oder durch andere Personen, die und dürfen nicht in einer mit diesen Zwecken nicht zu einer entsprechenden Geheimhaltungspflicht unterliegen, vereinbarenden Weise weiterverarbeitet werden; eine erforderlich ist; die Verarbeitung von Daten zu diesen Zwecken Weiterverarbeitung für im öffentlichen Interesse liegende richtet sich nach den für die genannten Personen geltenden Archivzwecke, für wissenschaftliche oder historische Geheimhaltungspflichten, oder, Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 2. dies zur Ausbildung oder Fortbildung erforderlich ist und dieser 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken Zweck nicht in vertretbarer Weise mit anonymisierten Daten („Zweckbindung“); erreichbar ist. c. dem Zweck angemessen und erheblich sowie auf das für die Beruht die Verarbeitung auf einer Einwilligung des Patienten, Zwecke der Verarbeitung notwendige Maß beschränkt sein bedarf diese einer schriftlichen Erklärung, die auch elektronisch („Datenminimierung“); erfolgen kann, soweit nicht wegen besonderer Umstände eine d. sachlich richtig und erforderlichenfalls auf dem neuesten Stand andere Form angemessen ist. sein; es sind alle angemessenen Maßnahmen zu treffen, damit (3) Eine Übermittlung von Patientendaten an Personen und Stellen personenbezogene Daten, die im Hinblick auf die Zwecke ihrer außerhalb des Krankenhauses ist nur zulässig, soweit sie Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt erforderlich ist werden („Richtigkeit“); 1. zur Erfüllung einer gesetzlich vorgeschriebenen Behandlungs- e. in einer Form gespeichert werden, die die Identifizierung der oder Mitteilungspflicht, betroffenen Personen nur so lange ermöglicht, wie es für die 2. Zwecke, für die sie verarbeitet werden, erforderlich ist; a. zur Entscheidungsfindung der Krankenkassen, ob und personenbezogene Daten dürfen länger gespeichert werden, inwieweit Präventions-, Rehabilitations- oder andere soweit die personenbezogenen Daten vorbehaltlich der komplementäre Maßnahmen angezeigt sind, Durchführung geeigneter technischer und organisatorischer b. zur Durchführung des Behandlungsvertrages einschließlich der Maßnahmen, die von dieser Verordnung zum Schutz der Rechte Nachbehandlung, soweit der Patient nach Hinweis auf die und Freiheiten der betroffenen Person gefordert werden, beabsichtigte Übermittlung nicht etwas anderes bestimmt ausschließlich für im öffentlichen Interesse liegende hat, Archivzwecke oder für wissenschaftliche und historische 3. zur Abwehr von gegenwärtigen Gefahren für das Leben, die Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Gesundheit oder die persönliche Freiheit des Patienten oder eines Absatz 1 verarbeitet werden („Speicherbegrenzung“); Dritten, sofern diese Rechtsgüter das Geheimhaltungsinteresse f. in einer Weise verarbeitet werden, die eine angemessene des Patienten deutlich überwiegen, Sicherheit der personenbezogenen Daten gewährleistet, 4. zur Durchführung qualitätssichernder Maßnahmen in der einschließlich Schutz vor unbefugter oder unrechtmäßiger Krankenversorgung, wenn das Interesse der Allgemeinheit an der Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Durchführung der beabsichtigten Maßnahme die schutzwürdigen Zerstörung oder unbeabsichtigter Schädigung durch geeignete Belange des Patienten erheblich überwiegt, technische und organisatorische Maßnahmen („Integrität und 5. zur Durchführung eines mit der Behandlung Vertraulichkeit“); zusammenhängenden gerichtlichen Verfahrens, (2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 6. zur Feststellung der Leistungspflicht, Abrechnung und verantwortlich und muss dessen Einhaltung nachweisen können Überprüfung der Wirtschaftlichkeit durch die ("Rechenschaftspflicht“). Sozialleistungsträger, Art. 32 Sicherheit der Verarbeitung 7. zur Unterrichtung der Angehörigen, soweit der Patient nicht (4) Der Verantwortliche und der Auftragsverarbeiter unternehmen seinen gegenteiligen Willen kundgetan, hat oder sonstige Schritte, um sicherzustellen, dass ihnen unterstellte natürliche Anhaltspunkte bestehen, dass eine Übermittlung nicht Personen, die Zugang zu personenbezogenen Daten haben, diese angebracht ist. nur auf Anweisung des Verantwortlichen verarbeiten, es sei denn, 8. oder sie in einer anderen Rechtsvorschrift geregelt ist. sie sind nach dem Recht der Union oder der Mitgliedstaaten zur In anderen Fällen ist eine Übermittlung von Daten nur mit Verarbeitung verpflichtet. Einwilligung des Patienten zulässig. Absatz 2 Satz 2 und 3 gilt entsprechend. Sächsisches Krankenhausgesetz SächsKHG (4) Stellen oder Personen, denen nach dieser Vorschrift § 33 Datenschutz personenbezogene Daten befugt übermittelt worden sind, dürfen (1) Soweit in diesem Gesetz nichts anderes bestimmt ist, sind die diese nur zu dem Zweck verwenden, der die Befugnis begründet. jeweils geltenden Vorschriften über den Schutz Im Übrigen haben sie diese Daten unbeschadet sonstiger personenbezogener Daten anzuwenden. Patientendaten sind alle Datenschutzbestimmungen in demselben Umfang geheim zu Einzelangaben über persönliche oder sachliche Verhältnisse halten wie das Krankenhaus selbst. bestimmter oder bestimmbarer Patienten aus dem Bereich der (5) Dem Patienten ist auf Antrag kostenfrei Einsicht, insbesondere in Krankenhäuser. Patientendaten sind auch die seine Krankendaten zu gewährleisten. Soweit Auskunfts- und personenbezogenen Daten von Angehörigen, anderen Einsichtsansprüche medizinische Daten des Patienten betreffen, Revisionsnummer: 005/03.2020 S e i t e | 5 ID: 58825

[Seite 6]

darf sie nur der behandelnde Arzt erfüllen. Die Auskunfts- und (1) Ordnungswidrig handelt, wer entgegen den Vorschriften dieses Einsichtsansprüche können im Interesse der Gesundheit des Gesetzes oder einer anderen Rechtsvorschrift über den Schutz Patienten begrenzt werden; durch berechtigte personenbezogener Daten, die nicht offenkundig sind, verarbeitet Geheimhaltungsinteressen Dritter werden sie eingeschränkt. oder die Übermittlung durch unrichtige Angaben erschleicht. (6) Nach Abschluss der Behandlung unterliegen personenbezogene (2) Die Ordnungswidrigkeit kann mit einer Geldbuße bis zu Daten, die in automatisierten Verfahren gespeichert und direkt fünfundzwanzigtausend Euro geahndet werden. abrufbar sind, dem alleinigen Zugriff der jeweiligen (4) Wer eine der in Absatz 1 bezeichneten Handlungen gegen Entgelt Fachabteilung. Dies gilt nicht für diejenigen Daten, die für das oder in der Absicht begeht, sich oder einen anderen zu bereichern Auffinden der sonstigen Patientendaten erforderlich sind. Die oder einen anderen zu schädigen, wird mit Freiheitsstrafe bis zu Eröffnung des Direktzugriffs auf den Gesamtdatenbestand für zwei Jahren oder mit Geldstrafe bestraft. Der Versuch ist strafbar. andere Stellen im Krankenhaus ist unter den Voraussetzungen des Absatzes 2 nur mit Zustimmung der Fachabteilung zulässig. Urheberrechtsgesetz UrhG (7) Der Krankenhausträger hat einen Datenschutzbeauftragten zu § 106 Unerlaubte Verwertung urheberrechtlich gesicherter Werke benennen. (1) Wer in anderen als den gesetzlich zugelassenen Fällen ohne (8) Soweit sich das Krankenhaus bei der Verarbeitung von Einwilligung des Berechtigten ein Werk oder eine Bearbeitung Patientendaten eines Auftragsverarbeiters bedient, ist oder Umgestaltung eines Werkes vervielfältigt, verbreitet oder insbesondere sicherzustellen, dass dieser die § 203 des öffentlich wiedergibt, wird mit Freiheitsstrafe bis zu drei Jahren Strafgesetzbuches entsprechende Schweigepflicht einhält. oder mit Geldstrafe bestraft. (2) Der Versuch ist strafbar. § 34 Datenschutz bei Forschungsvorhaben (1) Ärzte dürfen Patientendaten, die innerhalb ihrer Fachabteilung § 3 MantelTVÄ UKL, Verschwiegenheit oder bei Hochschulen innerhalb ihrer medizinischen (2) Ärzte haben über interne Angelegenheiten, insbesondere Einrichtungen, in den Universitätsklinika oder in sonstigen Angelegenheiten, deren Geheimhaltung durch gesetzliche medizinischen Einrichtungen gespeichert sind, für eigene Vorschriften vorgesehen oder vom Arbeitgeber angeordnet ist, wissenschaftliche Forschungsvorhaben verarbeiten. Satz 1 gilt Verschwiegenheit zu wahren; dies gilt auch über die Beendigung entsprechend für sonstiges wissenschaftliches Personal dieser des Arbeitsverhältnisses hinaus. Die Regelung betrifft auch Einrichtungen, soweit es der Geheimhaltungspflicht des § 203 des Schriftstücke, Aufzeichnungen und bildliche Darstellungen. Strafgesetzbuches unterliegt. (2) Zu Zwecken der wissenschaftlichen Forschung ist die § 3 HTV UKL, Verschwiegenheit Übermittlung von Patientendaten an Dritte und die Verarbeitung (2) Die Beschäftigten haben über Angelegenheiten, deren durch sie zulässig, soweit der Patient eingewilligt hat. § 33 Abs. 2 Geheimhaltung durch gesetzliche Vorschriften vorgesehen oder Satz 2 und 3 gilt entsprechend. vom Arbeitgeber angeordnet ist, Verschwiegenheit zu wahren; (3) Der Einwilligung des Patienten bedarf es nicht, wenn der Zweck dies gilt auch über die Beendigung des Arbeitsverhältnisses eines bestimmten Forschungsvorhabens nicht auf andere Weise hinaus. erfüllt werden kann und

1. das berechtigte Interesse der Allgemeinheit an der Durchführung § 3 TVöD Länder des Forschungsvorhabens das (2) Die Beschäftigten haben über Angelegenheiten, deren Geheimhaltungsinteresse des Patienten erheblich überwiegt oder Geheimhaltung durch gesetzliche Vorschriften vorgesehen oder
2. es nicht zumutbar ist, die Einwilligung einzuholen und vom Arbeitgeber angeordnet ist, Verschwiegenheit zu wahren; schutzwürdige Belange des Patienten nicht beeinträchtigt dies gilt auch über die Beendigung des Arbeitsverhältnisses werden. Die übermittelnde Stelle hat den Empfänger, die Art der hinaus. zu übermittelnden Daten, die betroffenen Patienten und das Forschungsvorhaben aufzuzeichnen. § 3 TV-Ä (4) Sobald es der Forschungszweck erlaubt, sind die (2) Die Ärzte haben über Angelegenheiten, deren Geheimhaltung personenbezogenen Daten derart zu verändern, dass sie keine durch gesetzliche Vorschriften vorgesehen oder vom Arbeitgeber Einzelangaben über persönliche oder sachliche Verhältnisse einer angeordnet ist, Verschwiegenheit zu wahren; dies gilt auch über bestimmten oder bestimmbaren natürlichen Person mehr sind. die Beendigung des Arbeitsverhältnisses hinaus. Bei Unterlagen, Soweit dies nicht möglich ist, sind die Merkmale, mit deren Hilfe die ihrem Inhalt nach von der ärztlichen Schweigepflicht erfasst ein Personenbezug hergestellt werden kann, gesondert zu werden, darf der Arbeitgeber nur die Herausgabe an den speichern, sobald es der Forschungszweck erlaubt; die Merkmale ärztlichen Vorgesetzten verlangen. sind zu löschen, sobald der Forschungszweck erreicht ist. (5) Soweit die Bestimmungen dieses Gesetzes auf den Empfänger von Gesetz zum Schutz von Geschäftsgeheimnissen GeschGehG Patientendaten keine Anwendung finden, dürfen sie nur § 23 Verletzung von Geschäftsgeheimnissen übermittelt werden, (1) Mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe wird
3. wenn sich der Empfänger verpflichtet, bestraft, wer zur Förderung des eigenen oder fremden a. die Daten nur für das von ihm genannte Forschungsvorhaben Wettbewerbs, aus Eigennutz, zugunsten eines Dritten oder in der zu verwenden, Absicht, dem Inhaber eines Unternehmens Schaden zuzufügen, b. die Bestimmungen des Absatzes 4 einzuhalten und 1. entgegen § 4 Absatz 1 Nummer 1 ein Geschäftsgeheimnis c. dem Sächsischen Datenschutzbeauftragten auf Verlangen erlangt, Einsicht und Auskunft zu gewähren, und 2. entgegen § 4 Absatz 2 Nummer 1 Buchstabe a ein
4. wenn der Empfänger nachweist, dass bei ihm die technischen und Geschäftsgeheimnis nutzt oder offenlegt oder organisatorischen Voraussetzungen vorliegen, um der 3. entgegen § 4 Absatz 2 Nummer 3 als eine bei einem Verpflichtung nach Nummer 1 Buchst. b zu entsprechen. Unternehmen beschäftigte Person ein Geschäftsgeheimnis, das ihr im Rahmen des Beschäftigungsverhältnisses anvertraut Sächsisches Datenschutzdurchführungsgesetz SächsDSDG § 22 Ordnungswidrigkeiten

Revisionsnummer: 005/03.2020 S e i t e | 5 ID: 58825

[Seite 7]

worden oder zugänglich geworden ist, während der (1) Wer unbefugt sich oder einem anderen unter Anwendung von Geltungsdauer des Beschäftigungsverhältnisses offenlegt. technischen Mitteln nicht für ihn bestimmte Daten (§ 202a Abs. (2) Ebenso wird bestraft, wer zur Förderung des eigenen oder 2) aus einer nichtöffentlichen Datenübermittlung oder aus der fremden Wettbewerbs, aus Eigennutz, zugunsten eines Dritten elektromagnetischen Abstrahlung einer oder in der Absicht, dem Inhaber eines Unternehmens Schaden Datenverarbeitungsanlage verschafft, wird mit Freiheitsstrafe bis zuzufügen, ein Geschäftsgeheimnis nutzt oder offenlegt, das er zu zwei Jahren oder mit Geldstrafe bestraft, wenn die Tat nicht in durch eine fremde Handlung nach Absatz 1 Nummer 2 oder anderen Vorschriften mit schwererer Strafe bedroht ist. Nummer 3 erlangt hat. (3) Mit Freiheitsstrafe bis zu zwei Jahren oder mit Geldstrafe wird § 202c StGB, Vorbereiten des Ausspähens und Abfangens von Daten bestraft, wer zur Förderung des eigenen oder fremden (1) Wer eine Straftat nach § 202a oder § 202b vorbereitet, indem er Wettbewerbs oder aus Eigennutz entgegen § 4 Absatz 2 Nummer 1. Passwörter oder sonstige Sicherungscodes, die den Zugang zu 2 oder Nummer 3 ein Geschäftsgeheimnis, das eine ihm im Daten (§ 202a Abs. 2) ermöglichen, oder geschäftlichen Verkehr anvertraute geheime Vorlage oder 2. Computerprogramme, deren Zweck die Begehung einer Vorschrift technischer Art ist, nutzt oder offenlegt. solchen Tat ist, herstellt, sich oder einem anderen verschafft, (4) Mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe wird verkauft, einem anderen überlässt, verbreitet oder sonst bestraft, wer zugänglich macht, wird mit Freiheitsstrafe bis zu zwei Jahren

1. in den Fällen des Absatzes 1 oder des Absatzes 2 gewerbsmäßig oder mit Geldstrafe bestraft. handelt,
2. in den Fällen des Absatzes 1 Nummer 2 oder Nummer 3 oder des § 202 d, Datenhehlerei Absatzes 2 bei der Offenlegung weiß, dass das (1) Wer Daten (§ 202a Absatz 2), die nicht allgemein zugänglich sind Geschäftsgeheimnis im Ausland genutzt werden soll, oder und die ein anderer durch eine rechtswidrige Tat erlangt hat, sich
3. in den Fällen des Absatzes 1 Nummer 2 oder des Absatzes 2 das oder einem anderen verschafft, einem anderen überlässt, Geschäftsgeheimnis im Ausland nutzt. verbreitet oder sonst zugänglich macht, um sich oder einen (5) Der Versuch ist strafbar. Dritten zu bereichern oder einen anderen zu schädigen, wird mit (6) Beihilfehandlungen einer in § 53 Absatz 1 Satz 1 Nummer 5 der Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe bestraft. Strafprozessordnung genannten Person sind nicht rechtswidrig, (2) Die Strafe darf nicht schwerer sein als die für die Vortat wenn sie sich auf die Entgegennahme, Auswertung oder angedrohte Strafe. Veröffentlichung des Geschäftsgeheimnisses beschränken. (3) Absatz 1 gilt nicht für Handlungen, die ausschließlich der Erfüllung (7) § 5 Nummer 7 des Strafgesetzbuches gilt entsprechend. Die §§ 30 rechtmäßiger dienstlicher oder beruflicher Pflichten dienen. ... und 31 des Strafgesetzbuches gelten entsprechend, wenn der Täter zur Förderung des eigenen oder fremden Wettbewerbs Auszug aus dem Strafgesetzbuch (StGB) oder aus Eigennutz handelt. § 203 StGB, Verletzung von Privatgeheimnissen (8) Die Tat wird nur auf Antrag verfolgt, es sei denn, dass die (1) Wer unbefugt ein fremdes Geheimnis, namentlich ein zum Strafverfolgungsbehörde wegen des besonderen öffentlichen persönlichen Lebensbereich gehörendes Geheimnis oder ein Interesses an der Strafverfolgung ein Einschreiten von Amts Betriebs- oder Geschäftsgeheimnis, offenbart, das ihm als wegen für geboten hält. 1. Arzt, Zahnarzt, Tierarzt, Apotheker oder Angehörigen eines anderen Heilberufs, der für die Berufsausübung oder die Strafgesetzbuch StGB Führung der Berufsbezeichnung eine staatlich geregelte § 202 StGB, Verletzung des Briefgeheimnisses Ausbildung erfordert, (1) Wer unbefugt 2. Berufspsychologen mit staatlich anerkannter
4. einen verschlossenen Brief oder ein anderes verschlossenes wissenschaftlicher Abschlussprüfung, Schriftstück, die nicht zu seiner Kenntnis bestimmt sind, öffnet …. oder anvertraut worden oder sonst bekanntgeworden ist, wird mit
5. sich vom Inhalt eines solchen Schriftstücks ohne Öffnung des Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft. Verschlusses unter Anwendung technischer Mittel Kenntnis (2) Ebenso wird bestraft, wer unbefugt ein fremdes Geheimnis, verschafft, wird mit Freiheitsstrafe bis zu einem Jahr oder mit namentlich ein zum persönlichen Lebensbereich gehörendes Geldstrafe bestraft, wenn die Tat nicht in § 206 (Post- und Geheimnis oder ein Betriebs- oder Geschäftsgeheimnis, Fernmeldegeheimnis) mit Strafe bedroht ist. offenbart, das ihm als (2) Ebenso wird bestraft, wer sich unbefugt vom Inhalt eines 1. Amtsträger, Schriftstücks, das nicht zu seiner Kenntnis bestimmt und durch ein 2. für den öffentlichen Dienst besonders Verpflichteten, verschlossenes Behältnis gegen Kenntnisnahme besonders 3.Person, die Aufgaben oder Befugnisse nach dem gesichert ist, Kenntnis verschafft, nachdem er dazu das Behältnis Personalvertretungsrecht wahrnimmt, geöffnet hat. 4…. (3) Einem Schriftstück im Sinne der Absätze 1 und 2 steht eine 5. öffentlich bestelltem Sachverständigen, der auf die Abbildung gleich. gewissenhafte Erfüllung seiner Obliegenheiten auf Grund eines Gesetzes förmlich verpflichtet worden ist, oder § 202 a StGB, Ausspähen von Daten 6. Person, die auf die gewissenhafte Erfüllung ihrer (1) Wer unbefugt sich oder einem anderen Zugang zu Daten, die nicht Geheimhaltungspflicht bei der Durchführung für ihn bestimmt und die gegen unberechtigten Zugang besonders wissenschaftlicher Forschungsvorhaben auf Grund eines gesichert sind, unter Überwindung der Zugangssicherung Gesetzes förmlich verpflichtet worden ist, anvertraut worden verschafft, wird mit Freiheitsstrafe bis zu drei Jahren oder mit oder sonst bekanntgeworden ist. Geldstrafe bestraft.. Einem Geheimnis im Sinne des Satzes 1 stehen Einzelangaben (2) Daten im Sinne des Absatzes 1 sind nur solche, die elektronisch, über persönliche oder sachliche Verhältnisse eines anderen magnetisch oder sonst nicht unmittelbar wahrnehmbar gleich, die für Aufgaben der öffentlichen Verwaltung erfasst gespeichert sind oder übermittelt werden. worden sind; Satz 1 ist jedoch nicht anzuwenden, soweit solche Einzelangaben anderen Behörden oder sonstigen § 202b StGB, Abfangen von Daten

Revisionsnummer: 005/03.2020 S e i t e | 6 ID: 58825

[Seite 8]

Stellen für Aufgaben der öffentlichen Verwaltung (1) Wer zur Täuschung im Rechtsverkehr beweiserhebliche Daten so bekanntgegeben werden und das Gesetz dies nicht untersagt. speichert oder verändert, dass bei ihrer Wahrnehmung eine (2a) (weggefallen) unechte oder verfälschte Urkunde vorliegen würde, oder derart (3) Kein Offenbaren im Sinne dieser Vorschrift liegt vor, wenn die in gespeicherte oder veränderte Daten gebraucht, wird mit den Absätzen 1 und 2 genannten Personen Geheimnisse den bei Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe bestraft. ihnen berufsmäßig tätigen Gehilfen oder den bei ihnen zur (2) Der Versuch ist strafbar. Vorbereitung auf den Beruf tätigen Personen zugänglich machen. (3) § 267 Abs. 3 und 4 gilt entsprechend. Die in den Absätzen 1 und 2 Genannten dürfen fremde Geheimnisse gegenüber sonstigen Personen offenbaren, die an § 270 StGB, Täuschung im Rechtsverkehr bei Datenverarbeitung ihrer beruflichen oder dienstlichen Tätigkeit mitwirken, soweit Der Täuschung im Rechtsverkehr steht die fälschliche dies für die Inanspruchnahme der Tätigkeit der sonstigen Beeinflussung einer Datenverarbeitung im Rechtsverkehr gleich. mitwirkenden Personen erforderlich ist; das Gleiche gilt für sonstige mitwirkende Personen, wenn diese sich weiterer § 303 a StGB, Datenveränderung Personen bedienen, die an der beruflichen oder dienstlichen (1) Wer rechtswidrig Daten (§ 202a Abs. 2) löscht, unterdrückt, Tätigkeit der in den Absätzen 1 und 2 Genannten mitwirken. unbrauchbar macht oder verändert, wird mit Freiheitsstrafe bis zu (4) Mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe wird zwei Jahren oder mit Geldstrafe bestraft. bestraft, wer unbefugt ein fremdes Geheimnis offenbart, das ihm (2) Der Versuch ist strafbar bei der Ausübung oder bei Gelegenheit seiner Tätigkeit als mitwirkende Person oder als bei den in den Absätzen 1 und 2 § 303b Computersabotage genannten Personen tätiger Beauftragter für den Datenschutz (1) Wer eine Datenverarbeitung, die für einen anderen von bekannt geworden ist. Ebenso wird bestraft, wer wesentlicher Bedeutung ist, dadurch erheblich stört, dass er

1. als in den Absätzen 1 und 2 genannte Person nicht dafür Sorge 1. eine Tat nach § 303a Abs. 1 begeht, getragen hat, dass eine sonstige mitwirkende Person, die 2. Daten (§ 202a Abs. 2) in der Absicht, einem anderen Nachteil unbefugt ein fremdes, ihr bei der Ausübung oder bei zuzufügen, eingibt oder übermittelt oder Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis 3. eine Datenverarbeitungsanlage oder einen Datenträger offenbart, zur Geheimhaltung verpflichtet wurde; dies gilt nicht zerstört, beschädigt, unbrauchbar macht, beseitigt oder für sonstige mitwirkende Personen, die selbst eine in den verändert, wird mit Freiheitsstrafe bis zu drei Jahren oder mit Absätzen 1 oder 2 genannte Person sind, Geldstrafe bestraft.
2. als im Absatz 3 genannte mitwirkende Person sich einer (2) Handelt es sich um eine Datenverarbeitung, die für einen fremden weiteren mitwirkenden Person, die unbefugt ein fremdes, ihr Betrieb, ein fremdes Unternehmen oder eine Behörde von bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt wesentlicher Bedeutung ist, ist die Strafe Freiheitsstrafe bis zu gewordenes Geheimnis offenbart, bedient und nicht dafür fünf Jahren oder Geldstrafe. Sorge getragen hat, dass diese zur Geheimhaltung verpflichtet (3) Der Versuch ist strafbar. wurde; dies gilt nicht für sonstige mitwirkende Personen, die (4) In besonders schweren Fällen des Absatzes 2 ist die Strafe selbst eine in den Absätzen 1 oder 2 genannte Person sind, oder Freiheitsstrafe von sechs Monaten bis zu zehn Jahren. Ein
3. nach dem Tod der nach Satz 1 oder nach den Absätzen 1 oder besonders schwerer Fall liegt in der Regel vor, wenn der Täter 2 verpflichteten Person ein fremdes Geheimnis unbefugt 1. einen Vermögensverlust großen Ausmaßes herbeiführt, offenbart, das er von dem Verstorbenen erfahren oder aus 2. gewerbsmäßig oder als Mitglied einer Bande handelt, die sich dessen Nachlass erlangt hat. zur fortgesetzten Begehung von Computersabotage verbunden (5) Die Absätze 1 bis 4 sind auch anzuwenden, wenn der Täter das hat, fremde Geheimnis nach dem Tod des Betroffenen unbefugt 3. durch die Tat die Versorgung der Bevölkerung mit offenbart. lebenswichtigen Gütern oder Dienstleistungen oder die (6) Handelt der Täter gegen Entgelt oder in der Absicht, sich oder Sicherheit der Bundesrepublik Deutschland beeinträchtigt. einen anderen zu bereichern oder einen anderen zu schädigen, so (5) Für die Vorbereitung einer Straftat nach Absatz 1 gilt § 202c ist die Strafe Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe. entsprechend.

§ 204 StGB, Verwertung fremder Geheimnisse Telekommunikationsgesetz TKG (1) Wer unbefugt ein fremdes Geheimnis, namentlich ein Betriebs- § 88 Fernmeldegeheimnis oder Geschäftsgeheimnis, zu dessen Geheimhaltung er nach § (1) Dem Fernmeldegeheimnis unterliegen der Inhalt der 203 verpflichtet ist, verwertet, wird mit Freiheitsstrafe bis zu zwei Telekommunikation und ihre näheren Umstände, insbesondere Jahren oder mit Geldstrafe bestraft. die Tatsache, ob jemand an einem Telekommunikationsvorgang (2) § 203 Abs. 4 gilt entsprechend beteiligt ist oder war. Das Fernmeldegeheimnis erstreckt sich auch auf die näheren Umstände erfolgloser § 263 a StGB, Computerbetrug Verbindungsversuche. (1) Wer in der Absicht, sich oder einem Dritten einen rechtswidrigen (2) Zur Wahrung des Fernmeldegeheimnisses ist jeder Vermögensvorteil zu verschaffen, das Vermögen eines anderen Diensteanbieter verpflichtet. Die Pflicht zur Geheimhaltung dadurch beschädigt, dass er das Ergebnis eines besteht auch nach dem Ende der Tätigkeit fort, durch die sie Datenverarbeitungsvorgangs durch unrichtige Gestaltung des begründet worden ist. Programms, durch Verwendung unrichtiger oder unvollständiger (3) Den nach Absatz 2 Verpflichteten ist es untersagt, sich oder Daten, durch unbefugte Verwendung von Daten oder sonst durch anderen über das für die geschäftsmäßige Erbringung der unbefugte Einwirkung auf den Ablauf beeinflusst, wird mit Telekommunikationsdienste einschließlich des Schutzes ihrer Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe bestraft. technischen Systeme erforderliche Maß hinaus Kenntnis vom (2) § 263 (Betrug) Abs. 2 bis 7 gilt entsprechend. Inhalt oder den näheren Umständen der Telekommunikation zu verschaffen. Sie dürfen Kenntnisse über Tatsachen, die dem § 269 StGB, Fälschung beweiserheblicher Daten Fernmeldegeheimnis unterliegen, nur für den in Satz 1 genannten Zweck verwenden. Eine Verwendung dieser Kenntnisse für andere Zwecke, insbesondere die Weitergabe an

Revisionsnummer: 005/03.2020 S e i t e | 7 ID: 58825

[Seite 9]

andere, ist nur zulässig, soweit dieses Gesetz oder eine andere auf Telekommunikationsvorgänge bezieht. Die Anzeigepflicht gesetzliche Vorschrift dies vorsieht und sich dabei ausdrücklich nach § 138 des Strafgesetzbuches hat Vorrang.

Revisionsnummer: 005/03.2020 S e i t e | 8 ID: 58825