Schattenblick → INFOPOOL → MEDIZIN → GESUNDHEITSWESEN


ARTIKEL/1531: YouTuber deckt auf - Tausende Krankenhausakten frei zugänglich (Dr. Datenschutz)


Datenschutzbeauftragter INFO - Informationen zum Datenschutz - 4.6.2020

YouTuber deckt auf: Tausende Krankenhausakten frei zugänglich

von Bianca Pettinger


Verlassene, heruntergekommene Krankenhäuser sorgen regelmäßig für Gänsehaut und Popcornkino. In einem kürzlich veröffentlichten YouTube-Video zeigt sich nun der wahre (Datenschutz-)Horror: Patientenakten liegen offen herum - und zehn Jahre lang hat es keinen interessiert.

Investigativ unterwegs vor gruseliger Kulisse

Als YouTuber ItsMarvin die unverschlossene Tür zum ehemaligen St. Nikolaus Hospital der Stadt Büren bei Paderborn öffnete, hat er wohl noch nicht ahnen können, welche Folgen dies für ihn haben würde. Doch von Anfang an:

Marvin W. ist leidenschaftlicher YouTuber, besonders faszinierend findet er Lost Places [1] - verlassene Orte, an denen die Zeit still gestanden scheint. Am 10. Mai besuchte er zusammen mit mehreren Begleitern das alte, schon lange nicht mehr genutzte Krankenhaus, um seinen Abonnenten und Fans auf YouTube ein neues gruseliges Stück Geschichte zeigen zu können. Das 23-minütige Video dazu ging letzten Freitag, am 29. Mai, online - mittlerweile hat es bereits über 300.000 Aufrufe. Nicht ohne Grund!

Keine 30 Sekunden nach Betreten des problemlos zugänglichen Gebäudes erreichten die Filmer einen im Dunkeln liegenden Raum. Das Taschenlampenlicht offenbart Unglaubliches: Tausende Patientenakten befinden sich in offenen Metallschränken bzw. -regalen. Die Männer lesen in den Unterlagen [2], zitieren daraus, betrachten sogar Röntgenbilder. Die Akten werden in die Kamera gehalten, der Inhalt ist jedoch verpixelt.

Das Video schlug ein wie eine Bombe: Die Stadt weist jede Schuld von sich. Die Polizei ermittelt nun - gegen Marvin W., wegen Hausfriedensbruchs. Was zum Teufel ist da los?

Ganz schön skandalös

In Büren herrscht Chaos, keiner will es gewesen sein, im Übrigen habe die Stadt von nichts gewusst. Den Schwarzen Peter schiebt man Marvin W. zu - ein Bauernopfer, um vom eigentlichen Skandal abzulenken?

Wer die Wahrheit sagt, braucht ein schnelles Pferd

Die Überbringer schlechter Nachrichten sind den Empfängern stets ein Dorn im Auge. Daher stellt sich die Frage, ob Marvin W. hier tatsächlich zu weit ging oder ob man ihn ganz und gar unschuldig in den Fokus stellt.

In Betracht käme die Verwirklichung eines Hausfriedensbruchs nach § 123 Abs. 1 StGB [3]:

"Wer in die Wohnung, in die Geschäftsräume oder in das befriedete Besitztum eines anderen oder in abgeschlossene Räume, welche zum öffentlichen Dienst oder Verkehr bestimmt sind, widerrechtlich eindringt, oder wer, wenn er ohne Befugnis darin verweilt, auf die Aufforderung des Berechtigten sich nicht entfernt, wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft."

Nach Ansicht des Rechtsanwalts Christian Solmecke [4] ist die Strafbarkeit wegen Hausfriedensbruchs eher abzulehnen. Zu bezweifeln sei bereits, dass das Gebäude unter den Begriff des befriedeten Besitztums falle. Dieser setze voraus, dass beispielsweise Zäune oder Hecken vorhanden seien, die äußerlich erkennbar jeden Betrachter darüber aufklären, dass das Gelände nicht betreten werden darf. Vorliegend waren die Eingangstüren des Krankenhauses nicht einmal abgeschlossen. Laut dem YouTuber standen sie am 02. Mai sogar noch "sperrangelweit offen" [5]. Unklar ist allerdings, ob es andere Einzäunungen gab, die den Zutritt äußerlich erkennbar verhindern sollten.

Interessant ist auch folgende Überlegung: Der Hausfriedensbruch ist ein reines Antragsdelikt, § 123 Abs. 2 StGB. Ohne Strafantrag wird also nicht ermittelt. Mit einem solchen äußert der Antragsteller seinen Wunsch nach Strafverfolgung. Doch Vorsicht! Strafanträge sind nicht mit Strafanzeigen zu verwechseln, bei welchen das Opfer oder ein Zeuge die Behörde lediglich über die Straftat informiert. Den Strafantrag kann nach § 77 Abs. 1 StGB [6] grundsätzlich nur der Verletzte stellen, in diesem Fall also der Eigentümer des Grundstücks. Dumm nur: Die Eigentumsverhältnisse sind derzeit unklar. Wer Strafantrag stellt, gibt zu, das Hausrecht über das Krankenhaus inne zu haben - und damit wohl auch die datenschutzrechtliche Verantwortlichkeit. Freiwillig wird keiner zugeben, die Schuld an der Misere zu tragen...

Die Staatsanwaltschaft kann daher so viel ermitteln sie will - ohne Strafantrag muss sie das Verfahren nach § 170 Abs. 2 S. 1 StGB [7] einstellen.

Fast für die Ewigkeit

Strafrecht ist nicht ganz mein Steckenpferd, aber hin und wieder lohnt es sich, einen Blick darauf zu werfen. Nun aber zum Datenschutzrecht:

Wieso werden in einem seit 2010 geschlossenen Krankenhaus noch Akten aufbewahrt?

Zurückzuführen ist das zum einen auf bestimmte Normen - das Transfusionsgesetz und die Röntgenverordnung verpflichten dazu, die Akten bis zu dreißig Jahre aufzubewahren [8]. Zwar verweist die Kassenärztliche Vereinigung Nordrhein auf die grundsätzlich mindestens zehn Jahre bestehende Aufbewahrungspflicht für Patientenakten nach § 630 f Abs. 3 BGB [9], es gäbe jedoch die unterschiedlichsten Aufbewahrungsfristen zwischen einem Jahr und dreißig Jahren Dauer.

Aha. Das ewig und drei Tage dauernde Vergammeln sensibler Dokumente in irgendeiner dunklen Ecke hat aber nicht wirklich viel mit datenschutzkonformer Lagerung zu tun, nicht wahr? Für den Geschäftsführer des Sankt Franziskus Hospitals in Bielefeld, Herrn Dr. Georg Rüter, ist der Fall klar:

"Unseriöse Unternehmensführung würde ich sagen, oder aber wirtschaftliches Chaos. Wahrscheinlich hat der letzte Betreiber nicht einmal das Geld gehabt ordentlich aufzuräumen."

Gesundheitsdaten nach Art. 9 Abs. 1 DSGVO [10] sind äußerst sensibel und nicht ohne Grund besonders geschützt: Arbeitgeber, Krankenkassen & Co. würden sicher gerne einen Blick darauf werfen. Von angemessenen technischen und organisatorischen Maßnahmen [11] zum Schutz der personenbezogenen Daten kann hier nicht die Rede sein. In Büren lebt man Transparenz:

Nur hereinspaziert zum alltäglichen Tag der offenen Tür! Lassen Sie sich vom Sicherheitsdienst nicht irritieren - der guckt sowieso nur auf sein Smartphone. Vom Totenschein bis zur Diagnose [12], wir haben alles, was Ihr Herz begehrt. Doch beeilen Sie sich - von Zeit zu Zeit verschwinden ein paar Akten.

Schuld sind immer die anderen

Wer hat das Ganze nun zu verantworten? Bürens Bürgermeister Burkhard Schwuchow (CDU), der den Vorfall in einer Stellungnahme [13] als "in keinster Weise akzeptabel" [14] bezeichnet, betont, nicht die Stadt sei verantwortlich, sondern "in jedem Fall Marseille". Das Gebäude gehöre einer Tochterfirma der Marseille Kliniken AG mit Sitz in Hamburg, die das Krankenhaus 2005 vom kirchlichen Träger übernommen und bis 2010 zusammen mit einer anderen Tochtergesellschaft geführt habe. Die Konzernmutter weist allerdings alle Vorwürfe zurück - infolge der Insolvenz der Betreibergesellschaft sei der Insolvenzverwalter verantwortlich. Ganz schön verworren...

Die Stellungnahme liest sich wie eine vorweggenommene Verteidigungsschrift: Der Stadt seien die desaströsen Zustände nicht bekannt gewesen, bei vereinzelten Auskunftsanfragen Betroffener habe man stets auf die Marseille Kliniken AG verwiesen. Ach, tatsächlich? Marvin W. berichtet, eine Frau aus Büren habe sich mit einem Hilferuf an ihn gewandt: Sie habe die Stadt auf den unversperrten Zugang hingewiesen, diese habe jedoch nicht reagiert.

Wie von der Tarantel gestochen

Nach Bekanntwerden des Videos handelt die Stadt plötzlich [15] - soll ja keiner sagen, dass man nichts tue: In Absprache mit Ordnungsämtern und Polizei wurde das Krankenhaus endlich abgesperrt. Dank baulicher Sicherung gelangt man nicht mehr so einfach in die Räume mit den Akten. Außerdem wird verstärkt kontrolliert.

Bürens Bürgermeister erklärt seine Motivation:

"Ich habe in dem Gebäude und auf dem Gelände eigentlich nichts zu suchen und wenn man so will selbst Hausfriedensbruch begangen, aber ich musste dafür sorgen, dass die Daten geschützt werden und niemand mehr Zugriff darauf hat."

Bravo, oder? Ein fader Beigeschmack bleibt.

Kein Einzelfall

Leider kommt es trotz der Sensibilität von Gesundheitsdaten häufiger zu derartigen Datenpannen. 2016 wurde bekannt, dass im ehemaligen Kursanatorium Wiedemann [16] zehn Jahre lang frei zugänglich Krankenakten herumlagen - auch von prominenten Patienten. Im Evangelischen Krankenhaus Zweibrücken [17] nahm man die Aufbewahrung sensibler Daten ebenfalls nicht allzu ernst - so waren z.B. die Ergebnisse von Rektal-Abstrichen einsehbar, selbstverständlich mitsamt Patientennamen und Geburtsdaten. Was für ein Service!

Wie das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein in seinem Tätigkeitsbericht für das Jahr 2019 [18] schildert, stand im Januar letzten Jahres ein unverschlossener Container voll mit mehreren Kubikmetern Patientenunterlagen mitten in Kiel. Wieso? Man habe kein Schloss gehabt. Ohne Worte.

Den Schuss nicht gehört

Kann ja mal passieren, oder? Klar, irren ist menschlich, aber manchmal drängt sich der Gedanke auf, für den ein oder anderen Verantwortlichen wäre Datenschutz absolutes Neuland. Wie sonst ist diese Achtlosigkeit zu erklären? Nach über zwei Jahren DSGVO [19] ist es doch sicherlich nicht zu viel verlangt, zumindest ein kleines Quäntchen Datenschutzbewusstsein aufzuweisen. Vielleicht haben derartige Skandale ja dennoch ihr Gutes: Sie rütteln auf. Wollen wir es hoffen - die Hoffnung stirbt bekanntlich zuletzt.


Über die Autorin:

Bianca Pettinger ist Volljuristin und Consultant für Datenschutz bei der intersoft consulting services AG. Nach dem Studium in Passau, in welchem sie sich auch intensiv mit Europarecht beschäftigt hatte, war sie im Rahmen des Rechtsreferendariats unter anderem im Bereich des Arbeits- und Datenschutzrechts tätig. Während ihrer Zeit bei einer öffentlich-rechtlichen Rundfunkanstalt sammelte sie Erfahrungen im spannenden Umfeld von Radio, Datenschutz und Fernsehen. Diese Vielseitigkeit nutzt sie heute, um sich dem Datenschutzrecht in all seinen Facetten widmen zu können.


Fußnoten:

[1] https://www.westfalen-blatt.de/OWL/Kreis-Paderborn/Bueren/4209855-Youtube-Video-legt-Datenskandal-offen-Buerens-Buergermeister-handelt-rasch-Alte-Klinik-ploetzlich-in-aller-Munde

[2] https://www1.wdr.de/nachrichten/westfalen-lippe/patientenakten-krankenhaus-bueren-100.html

[3] https://www.gesetze-im-internet.de/stgb/__123.html

[4] https://www.wbs-law.de/allgemein/lost-place-video-in-verlassenem-krankenhaus-strafanzeige-gegen-youtuber-itsmarvin-rechtmaessig-49841/

[5] https://www.morgenpost.de/vermischtes/article229230586/Youtuber-filmt-in-verlassener-Klinik-Ermittlungen-in-Bueren.html

[6] https://www.gesetze-im-internet.de/stgb/__77.html

[7] https://www.gesetze-im-internet.de/stpo/__170.html

[8] https://www.kvno.de/10praxis/30honorarundrecht/30recht/20dokupflicht/15_05_aufbewahrungsfristen/index.html

[9] https://www.gesetze-im-internet.de/bgb/__630f.html

[10] https://dsgvo-gesetz.de/art-9-dsgvo/

[11] https://www.datenschutzbeauftragter-info.de/technische-und-organisatorische-massnahmen-nach-dem-zawas-prinzip/

[12] https://www1.wdr.de/nachrichten/westfalen-lippe/instalive-aktuelle-stunde-interview-itsmarvin-bueren-100.html

[13] http://www.bueren.de/rathaus/aktuelles/Unbefugter_Zugang_zu_Patientenakten_des_ehemaligen_St_Nikolaus-Hospitals_Bueren.php

[14] https://www.heise.de/news/YouTuber-zeigt-Akten-in-altem-Krankenhaus-Polizei-ermittelt-4770579.html

[15] https://www.westfalen-blatt.de/OWL/Kreis-Paderborn/Bueren/4209321-Polizei-ermittelt-wegen-Hausfriedensbruch-Buergermeister-laesst-Gebaeude-absperren-Youtuber-findet-alte-Patientenakten-in- ehemaliger-Klinik

[16] https://www.sueddeutsche.de/muenchen/wolfratshausen/muensing-patientendaten-frei-zugaenglich-1.3057897

[17] https://www.rheinpfalz.de/lokal/zweibruecken_artikel,-evangelisches-krankenhaus-zweibr%C3%BCcken-weitere-patientenakten-frei-zug%C3%A4nglich-_arid,5052839.html

[18] https://www.datenschutzzentrum.de/tb/tb38/kap04_5.html#455

[19] https://www.datenschutzbeauftragter-info.de/2-jahre-dsgvo-zwischen-exportschlager-und-innovationsbremse/


URL des Originalartikels:
https://www.datenschutzbeauftragter-info.de/youtuber-deckt-auf-tausende-krankenhausakten-frei-zugaenglich/

*

Quelle:
Newsletter "Dr. Datenschutz" vom 4.6.2020
intersoft consulting services AG
Beim Strohhause 17, 20097 Hamburg
Telefon: +49 40 790235-0
E-Mail: info@intersoft-consulting.de
Internet: https://www.datenschutzbeauftragter-info.de


veröffentlicht im Schattenblick zum 11. Juni 2020

Zur Tagesausgabe / Zum Seitenanfang