Wie geht man mit einer Verletzung des Datenschutzes um?

Was ist eine Verletzung des Schutzes von Patientendaten? 

Eine Verletzung des Datenschutzes ist eine der schwerwiegendsten - und stressigsten - Situationen, mit denen ein Praxismanager konfrontiert werden kann. Ganz gleich, ob es sich um eine an den falschen Empfänger gesendete E-Mail, einen unbefugten Zugriff auf Datensätze oder ein verlorenes Gerät handelt - die Art und Weise, wie Sie darauf reagieren, ist ebenso wichtig wie der Verstoß selbst. 

Wenn sie gut gehandhabt wird, kann eine Reaktion auf eine Sicherheitsverletzung Professionalität, Verantwortlichkeit und ein Engagement für die Patientensicherheit demonstrieren. Wird sie schlecht gehandhabt, kann sie zu Geldstrafen, Rufschädigung und einem Vertrauensverlust bei den Patienten führen. Im Jahr 2025, in dem Cyberangriffe zunehmen und das Information Commissioner's Office (ICO) immer genauer hinschaut, reicht es nicht mehr aus, darauf zu hoffen, dass so etwas nicht passiert. Jede Allgemeinpraxis braucht einen klaren, einstudierten Aktionsplan. 

Eine Datenschutzverletzung liegt vor, wenn auf personenbezogene oder sensible Daten unbefugt oder versehentlich zugegriffen wird, sie weitergegeben werden, verloren gehen, verändert oder zerstört werden. Dies schließt ein: 

• Eine E-Mail mit Patienteninformationen wurde an eine falsche Adresse geschickt.

• Ein Mitarbeiter sieht Unterlagen ein, zu denen er keinen Grund hat.

• Ein verlorener oder gestohlener Laptop, Telefon oder Speicherstick mit unverschlüsselten Daten. 

• Dokumente, die an einem öffentlichen Ort zurückgelassen oder weggeworfen werden, ohne vernichtet zu werden. 

Wie geht man mit einer Verletzung des Datenschutzes um?

Es ist wichtig, daran zu denken, dass auch geringfügige Verstöße protokolliert werden müssen. Nicht alle müssen dem ICO gemeldet werden, aber alle müssen untersucht und aufgeklärt werden. Einen klaren Überblick finden Sie im ICO-Leitfaden zu Verstößen gegen den Schutz personenbezogener Daten. 

Schritt 1: Sofortiges Handeln und Eindämmung des Verstoßes 

Sobald eine Sicherheitsverletzung festgestellt wird, gilt es, die Situation einzudämmen. 

• Stoppen Sie den Einbruch, wenn möglich: Rufen Sie die E-Mail zurück, entfernen Sie den gemeinsamen Zugriff, oder stellen Sie das Objekt wieder her. 

• Beweise sichern: Erstellen Sie Screenshots, sichern Sie Protokolle, oder isolieren Sie kompromittierte Systeme. 

• Sprechen Sie mit den Beteiligten: Bestätigen Sie die Fakten, aber vermeiden Sie Spekulationen oder Schuldzuweisungen. 

Wenn IT-Systeme beeinträchtigt wurden - zum Beispiel durch einen Cyberangriff - wenden Sie sich an Ihren IT-Support. 

Schritt 2: Protokollieren Sie den Verstoß und benachrichtigen Sie die richtigen Personen

Jede Verletzung - und sei sie noch so klein - sollte im Protokoll über Datenschutzverletzungen oder im System zur Verwaltung von Vorfällen in Ihrer Praxis festgehalten werden. 

Benachrichtigen Sie umgehend IhrenDatenschutzbeauftragten (DSB). Er wird Sie bei Ihrer Entscheidung unterstützen: 

• Die Schwere des Verstoßes. 

• Ob das ICO informiert werden muss (innerhalb von 72 Stunden). 

• Ob Patienten benachrichtigt werden sollten. 

• Welche Abhilfemaßnahmen und Folgemaßnahmen sind erforderlich. 

Wenn Ihr DSB nicht verfügbar ist, sollte der Praxismanager die Führung übernehmen und alle getroffenen Maßnahmen aufzeichnen. Der "72-Stunden-Leitfaden" der ICO ist hier eine hilfreiche Referenz.  

Schritt 3: Bewertung des Risikos für die Patienten

Nicht jeder Verstoß führt zu einem Schaden - aber das Risiko muss objektiv bewertet werden. Bedenken Sie: 

• Um welche Daten handelte es sich (klinische Informationen, Identifikatoren, Kontaktangaben)? 

• Könnte die Verletzung zu emotionalem Leid, Identitätsbetrug oder Peinlichkeiten führen? 

• Waren die Daten verschlüsselt oder passwortgeschützt? 

• Wie viele Personen sind betroffen? 

Wenn die Verletzung ein hohes Risiko für die Rechte und Freiheiten von Personen darstellt, sind Sie verpflichtet, die betroffenen Personen ohne unnötige Verzögerung zu benachrichtigen. Das ICO bietet praktische Beispiele für Arten von Datenschutzverletzungen und Reaktionen. 

Schritt 4: Meldung an die ICO (falls erforderlich)

Verstöße, die ein Risiko für die betroffenen Personen darstellen, müssen dem ICO innerhalb von72 Stundennach ihrer Entdeckung über sein Online-Tool gemeldet werden. Dies schließt ein: 

• Was geschah und wann. 

• Kategorien und Umfang der betroffenen Daten. 

• Anzahl der betroffenen Personen. 

• Getroffene Abhilfemaßnahmen. 

• Datenschutzbeauftragter oder Kontaktangaben. 

Verwenden Sie das offizielle ICO-Formular für die Meldung von Verstößen. Bewahren Sie eine Kopie für Ihre Unterlagen auf. Verspätete oder versäumte Meldungen können ohne Begründung zu Durchsetzungsmaßnahmen führen.

Schritt 5: Information der Patienten (falls erforderlich) 

Wenn Patienten betroffen sind, sind Ehrlichkeit und Klarheit wichtig. 

• Verwenden Sie eine einfache Sprache. 

• Erklären Sie, was passiert ist und wie es sich auf sie auswirkt. 

• Geben Sie an, was Sie getan haben, um das Problem einzudämmen. 

• Bieten Sie die nächsten Schritte an - zum Beispiel eine Kontaktnummer, Beratung zum Identitätsschutz, Folgemaßnahmen. 

Das Vertrauen der Patienten kann oft durch eine transparente und rechtzeitige Kommunikation erhalten oder sogar gestärkt werden. 

Schritt 6: Lernen und zukünftige Vorfälle verhindern 

Jeder Verstoß sollte zu Überlegungen und Verbesserungen führen. Sobald das unmittelbare Risiko eingedämmt ist: 

• Nachbesprechung mit den beteiligten Teammitgliedern.

• Führen Sie eine Ursachenanalyse oder ein Audit von bedeutenden Ereignissen durch. 

• Aktualisieren Sie bei Bedarf Richtlinien oder Schulungen. 

• Überprüfen Sie Ihre Zugangskontrollen und Gerätesicherheit. 

• Anonymisiertes Lernen auf PCN-Ebene teilen, wo es angebracht ist. 

Letzter Gedanke: Transparenz schafft Vertrauen 

Die Patienten erwarten keine Perfektion. Sie erwarten Ehrlichkeit, Verantwortung und die Bereitschaft, Fehler zu korrigieren. 

Die Art und Weise, wie Sie auf einen Verstoß reagieren, kann entweder den Schaden verschlimmern oder Sorgfalt und Kompetenz demonstrieren. Die beste Verteidigung ist nicht nur Prävention, sondern auch Vorbereitung. 

Weitere Informationen und Hinweise zur Berichterstattung finden Sie auf dem ICO Portal für Verstöße gegen personenbezogene Daten.