Datenschutz im Krankenhaus. Andrea Hauser

⁴⁶ selbst in Konstellationen, in denen zwischen den Beteiligten zunächst einmal ein Ungleichgewicht anzunehmen sei, nicht unbedingt von einer Unwirksamkeit der Einwilligung ausgegangen werden. Maßgeblich sei vielmehr auch, ob und inwieweit sich dieses Ungleichgewicht an einer missbräuchlichen Instrumentalisierung der Einwilligung niederschlage, insbesondere dahingehend, dass diese zu pauschal ausfalle und eine Datenverarbeitung über das im konkreten (Vertrags-)Verhältnis erforderliche Maß hinaus erlauben solle.⁴⁷

      »Kriterium der Erforderlichkeit«

Das Kriterium der Erforderlichkeit einer Datenverarbeitung sei gem. Art. 7 Abs. 4 DS-GVO für die Frage der Freiwilligkeit von ganz zentraler Bedeutung. Nach Art. 7 Abs. 4 DS-GVO sei bei der Beurteilung, ob eine Einwilligung freiwillig erteilt werde, insbesondere auch zu berücksichtigen, ob die Erfüllung eines Vertrags von der Einwilligung in eine Verarbeitung von personenbezogenen Daten abhängig gemacht werde, »die für die Erfüllung des Vertrags nicht erforderlich sei«. Untersagt sei damit also nicht generell, dass Anbieter ihre Leistung im Sinne eines »take it or leave it« davon abhängig machten, dass die betroffene Person auch in die Verarbeitung ihrer personenbezogenen Daten einwillige. Als unfreiwillig und damit unwirksam sei eine solchermaßen eingeholte Einwilligung vielmehr tendenziell nur dann einzuordnen, wenn sie eine Datenverarbeitung legitimieren solle, die über das hinausgehe, was für eine Vertragserfüllung erforderlich sei. Zwingend sei allerdings auch dies keinesfalls, da dieser Erforderlichkeitszusammenhang lediglich maßgeblich zu berücksichtigen sei, nicht aber – wie noch im Entwurf des Parlaments – zwingend zum Ausschluss der Freiwilligkeit führe. Zulässig sei es daher insbesondere, die Leistungserbringung von der Erteilung einer Einwilligung in die Datenverarbeitung abhängig zu machen, wenn erst diese Datenverarbeitung die notwendige Entscheidungs- und Kalkulationsgrundlage für das konkrete Rechtsgeschäft biete. Daher dürften etwa Versicherer das »Ob« und »Wie« einer Kranken- oder Lebensversicherung von der Preisgabe entsprechender Daten über das Risikoprofil eines Versicherungsinteressenten abhängig machen – ebenso wie Arbeitgeber dies hinsichtlich der Qualifikationen eines Bewerbers dürften oder vorleistungspflichtige Unternehmen hinsichtlich der Bonität ihrer Kunden.⁴⁸

      »Kriterium einer zumutbaren Alternative«

Ferner sei zu berücksichtigen, dass die früher nach deutschem Datenschutzrecht geltenden Kopplungsverbote des § 28 Abs. 3b BDSG sowie § 95 Abs. 5 TKG eine Verknüpfung von Leistungserbringung und Einwilligung nur dann verböten, wenn den Betroffenen ein anderer Zugang zu gleichwertigen vertraglichen Leistungen nicht oder nicht in zumutbarer Weise möglich sei. Zwar finde sich eine solche Einschränkung in der DS-GVO nicht ausdrücklich normiert, jedoch könne und sollte auch dieser Aspekt in die – stets vorzunehmende – Gesamtbetrachtung der konkreten Umstände des Einzelfalls einfließen. Sinn und Zweck des Freiwilligkeitsgebots sei es, den Einzelnen davor zu schützen, dass er allein deshalb in eine Datenverarbeitung einwilligen müsse, weil er ansonsten ein bestimmtes Leistungsangebot nicht in Anspruch nehmen könne. Damit greife der Schutzzweck des Freiwilligkeitsgebotes aber gerade nicht, wenn der Einzelne auch auf andere gleichwertige Angebote am Markt zurückgreifen könne und sich unter diesen Angeboten auch solche fänden, die eine Einwilligung in die Datenverarbeitung nicht zur Bedingung einer Leistungserbringung machten. Als »gleichwertig« seien dabei all diejenigen Angebote einzuordnen, die zumindest in ihrem Kern dieselbe Leistung umfassten; eine absolute Identität der verschiedenen Angebote sei demgegenüber nicht erforderlich – weder was Qualität oder Ausstattung noch was Preis oder sonstige Zahlungsmodalitäten angehe.⁴⁹

Die frühere Regelung von § 28 Abs. 3b BDSG wurde als »begrenztes Kopplungsverbot für marktbeherrschende Unternehmen« durch das »Gesetz zur Regelung des Datenschutzaudits und zur Änderung datenschutzrechtlicher Vorschriften« 2009 eingeführt. Gemäß der Gesetzesbegründung⁵⁰ darf die verantwortliche Stelle sich die Einwilligung des Betroffenen in eine Verwendung seiner personenbezogenen Daten nicht auf dem Wege verschaffen, dass sie hiervon den Abschluss eines Vertrages abhängig macht. Dieses Kopplungsverbot von Vertragsabschluss und Einwilligung ist aufgrund seiner Einschränkung der Vertragsgestaltungfreiheit auf die Fälle begrenzt, in denen dem Betroffenen ein anderer Zugang zu gleichwertigen vertraglichen Gegenleistungen ohne die Einwilligung nicht oder nicht in zumutbarer Weise möglich ist.

      Würdigung und Fazit

Unter Würdigung der vorgenannten Kriterien dürfte zunächst feststehen, dass ein Patient nicht auf die Erbringung wahlärztlicher Leistungen angewiesen ist, dass diesbezüglich kein Kontrahierungszwang besteht, sondern vielmehr das Prinzip der Vertragsfreiheit gilt und dass das einzelne Krankenhaus diesbezüglich auch keine Monopolstellung am Markt innehat. Davon eindeutig zu unterscheiden sind Fälle, in denen ein akut die Behandlung des Krankenhauses benötigender Patient zunächst einmal Einwilligungserklärungen vorgelegt bekommt.⁵¹

Hinzu kommt, dass sogar in Arbeitsverhältnissen mit einer strukturellen Unterlegenheit des Arbeitnehmers Konstellationen anzuerkennen sind, in denen die Freiwilligkeit einer Einwilligung nicht in Zweifel gezogen werden kann, wie im Falle der Gewährung eines Firmenrabattes oder bei Zugangskontrollen für einen Mitarbeiterparkplatz.⁵²

Ferner ist in diesem Zusammenhang zu bedenken, dass dem Patienten hinsichtlich der wahlärztlichen Leistungen sehr wohl ein anderer Zugang zu gleichwertigen vertraglichen Leistungen in zumutbarer Weise möglich ist. Auch hier gilt, dass der Krankenhausträger gegenüber dem Patienten sämtliche medizinisch notwendigen Leistungen in Form allgemeiner Krankenhausleistungen erbringt/anbietet. Damit greift ein Kopplungsverbot jedenfalls nicht, wenn der Verarbeitungsverantwortliche selbst gleichwertige Leistungen auch – gegebenenfalls im Alternativangebot dann kostenpflichtig – ohne Einwilligung zur Verfügung stellet.⁵³

      Als Fazit ist damit im Krankenhausbereich hinsichtlich der Einschaltung einer externen Stelle zur Abrechnung wahlärztlichen Leistungen die Möglichkeit gegeben, dem Patienten in dem Falle der Verweigerung der Einwilligung das Angebot wahlärztlicher Leistungen zu versagen.

      12. Eine vom Verantwortlichen vorformulierte Einwilligungserklärung sollte in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zur Verfügung gestellt werden und darf keine missbräuchlichen Klauseln beinhalten (Erwägungsgrund 42; Richtlinie 93/13/EWG des Rates vom 05.04.1993 über missbräuchliche Klauseln in Verbraucherverträgen).

      13. Es muss die jederzeitige Möglichkeit eines Widerrufs bestehen.

      Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Die betroffene Person ist vor Abgabe der Einwilligung hiervon in Kenntnis zu setzen. Ferner muss der Widerruf der Einwilligung so einfach wie die Erteilung der Einwilligung sein (Art. 7 Abs. 3 DS-GVO / § 11 Abs. 3 DSG-EKD / § 8 Abs. 6 KDG). Beispielhaft könnte folgende Formulierung verwendet werden:

      »Sie haben jederzeit die Möglichkeit, Ihre Einwilligung ohne Angabe von Gründen zu widerrufen. Diese Widerrufserklärung ist an den Krankenhausträger zu richten. Ihr Widerruf gilt allerdings erst ab dem Zeitpunkt, zu dem dieser dem Krankenhausträger zugeht. Er hat keine Rückwirkung. Die Verarbeitung Ihrer Daten bis zu diesem Zeitpunkt bleibt rechtmäßig.«

      14. Der Verantwortliche sollte nachweisen können, dass die betroffene Person ihre Einwilligung zu dem Verarbeitungsvorgang gegeben hat (Art. 7 Abs. 1 DS-GVO / § 11 Abs. 1 DSG-EKD / § 8 Abs. 5 KDG; Erwägungsgrund 42; dies folgt auch aus der allgemeinen Rechenschaftspflicht, die Art. 5 Abs. 2 DS-GVO / § 5 Abs. 2 DSG-EKD / § 7 Abs. 2 KDG statuiert).

      15.