4 Szenarien der Benutzergruppen Zugriffsrechte im Gesundheitsbereich

Szenario 1: Arztpraxis

Es ist grundsätzlich möglich, dass alle Benutzergruppen einen Vollzugriff auf Patientendaten, Einträge, Terminvereinbarungen und Archivierung haben. Allerdings ist zu beachten, dass dies den gesetzlichen Vorgaben gemäß § 9 BDSG, Art. 9 DSGVO, § 6 BDSG, Art. 5 DSGVO, § 21 KHG und § 8 ISG entsprechen muss.

Rechtemanagement einer Benutzergruppe in einem KIS für geschultes Personal mit Vollzugriff:

Benutzergruppe	Zugriff auf Patientendaten (§ 9 BDSG, Art. 9 DSGVO)	Einträge erstellen und bearbeiten (§ 6 BDSG, Art. 5 DSGVO)	Termine vereinbaren und verwalten (§ 6 BDSG, Art. 5 DSGVO, § 21 KHG)	Archivieren (§ 9 BDSG, Art. 32 DSGVO, § 8 ISG)
Geschultes Personal	Vollzugriff	Vollzugriff	Vollzugriff	Vollzugriff

Es ist wichtig sicherzustellen, dass jeder Benutzer nur auf die Daten und Funktionen zugreifen kann, die für seine Arbeit notwendig sind. Ein uneingeschränkter Vollzugriff für alle Benutzergruppen birgt das Risiko von Datenmissbrauch und Verletzungen des Datenschutzes.

Für eine medizinische Softwarelösung im Krankenhaus gibt es noch weitere Aspekte zu berücksichtigen. Einige mögliche Punkte sind:

• Datenschutzbeauftragter: Es muss ein Datenschutzbeauftragter benannt werden, der für die Einhaltung der Datenschutzgesetze und -richtlinien verantwortlich ist.
• Zugriffsprotokollierung: Es sollte eine Zugriffsprotokollierung implementiert werden, die alle Zugriffe auf die Patientendaten aufzeichnet, um eine nachträgliche Überprüfung zu ermöglichen.
• Verschlüsselung: Um die Vertraulichkeit der Daten zu gewährleisten, sollten alle Patientendaten verschlüsselt werden.
• Datenweitergabe: Eine Weitergabe von Patientendaten darf nur mit der ausdrücklichen Einwilligung des Patienten oder im Rahmen gesetzlicher Vorschriften erfolgen.
• Notfallzugriff: Es muss ein Notfallzugriff auf die Patientendaten gewährleistet werden, um im Notfall eine schnelle Behandlung sicherzustellen.
• Aufbewahrungsfristen: Es müssen die gesetzlichen Aufbewahrungsfristen für Patientendaten beachtet werden.
• Schulung: Alle Mitarbeiter, die Zugriff auf die Patientendaten haben, müssen in regelmäßigen Abständen geschult werden, um sicherzustellen, dass sie die Datenschutzrichtlinien verstehen und einhalten.

Aus Sicht der Softwareentwickler müsste darauf geachtet werden, dass die Rechteverwaltung angemessen implementiert wird, um die Vertraulichkeit, Integrität und Verfügbarkeit der Patientendaten sicherzustellen. Hier sind einige Aspekte, die berücksichtigt werden sollten:

1. Rollen und Berechtigungen: Es sollten klare Rollen und Berechtigungen für jeden Benutzer definiert werden, um sicherzustellen, dass jeder nur auf die Daten zugreifen kann, die für seine Arbeit erforderlich sind. Es sollten auch Mechanismen vorhanden sein, um sicherzustellen, dass Rollen und Berechtigungen nur von autorisierten Personen geändert werden können.
2. Zugriffskontrolle: Der Zugriff auf die Datenbank sollte auf Basis von Benutzername und Passwort kontrolliert werden. Eine Zwei-Faktor-Authentifizierung kann ebenfalls in Erwägung gezogen werden. Es sollten auch Mechanismen vorhanden sein, um den Zugriff auf die Datenbank aus bestimmten IP-Adressen oder Geräten zu beschränken.
3. Audit-Trail: Ein Audit-Trail sollte eingerichtet werden, um jeden Zugriff auf die Datenbank aufzuzeichnen. Dadurch wird sichergestellt, dass alle Aktionen nachverfolgbar sind und dass unautorisierte Zugriffe identifiziert werden können.
4. Verschlüsselung: Es sollten Mechanismen vorhanden sein, um die Datenbankinhalte zu verschlüsseln, um die Vertraulichkeit der Daten zu gewährleisten.
5. Datensicherung und -wiederherstellung: Es sollten regelmäßige Datensicherungen erstellt werden, um sicherzustellen, dass die Daten auch bei Systemausfällen oder Datenverlusten wiederhergestellt werden können.
6. Schulung: Es ist wichtig, dass alle Benutzer, die Zugriff auf die Datenbank haben, regelmäßig geschult werden, um sicherzustellen, dass sie die Datenschutzrichtlinien und -verfahren verstehen und einhalten.

Szenario 2: Keine Zugriffe, auch nicht mit Ausnahme:

• Zugriff auf Patientendaten: Ein Mitarbeiter, der nicht zur genannten Benutzergruppe gehört und keinen berechtigten Grund hat, auf Patientendaten zuzugreifen, darf nicht auf diese Daten zugreifen, selbst wenn er oder sie die Daten aus Versehen öffnet.
• Einträge erstellen und bearbeiten: Ein Mitarbeiter, der nicht über die notwendigen Fachkenntnisse verfügt, um Einträge zu erstellen und zu bearbeiten, sollte keine Möglichkeit haben, diese Funktionen auszuführen. Zum Beispiel sollte ein Praktikant oder ein neuer Mitarbeiter ohne entsprechende Schulung nicht in der Lage sein, medizinische Einträge zu bearbeiten.
• Termine vereinbaren und verwalten: Ein Mitarbeiter, der nicht im medizinischen Bereich tätig ist und keine Schulung in der Handhabung von medizinischen Terminen und der Verwaltung von Patienten hat, sollte keine Möglichkeit haben, Termine zu vereinbaren oder zu verwalten.
• Archivieren: Ein Mitarbeiter, der keine Schulung in der Handhabung von medizinischen Aufzeichnungen und Archivierung hat, sollte keine Möglichkeit haben, Aufzeichnungen zu archivieren oder zu löschen. Es ist wichtig, dass diese Funktion von geschultem Personal durchgeführt wird, um die Integrität und Vertraulichkeit der Patientendaten zu gewährleisten.

Szenario 3: Großes Krankenhaus

So ist es immer sinnvoller, für jede Benutzergruppe spezifische Zugriffsrechte festzulegen, die ihren Aufgaben und Verantwortlichkeiten entsprechen. Dadurch wird sichergestellt, dass jeder Benutzer nur auf die Daten zugreifen kann, die er für seine Arbeit benötigt, und dass die Vertraulichkeit und Integrität der Daten gewährleistet ist.

Um Ihre Tabelle entsprechend anzupassen, könnten Sie eine separate Zeile für die einzelnen Zugriffsrechte jeder Benutzergruppe erstellen, anstatt sie in einer Zeile zusammenzufassen. Hier ist ein Beispiel für eine aktualisierte Tabelle:

Benutzergruppe	Zugriff auf Patientendaten (§ 9 BDSG, Art. 9 DSGVO)	Einträge erstellen und bearbeiten (§ 6 BDSG, Art. 5 DSGVO)	Termine vereinbaren und verwalten (§ 6 BDSG, Art. 5 DSGVO, § 21 KHG)	Archivieren (§ 9 BDSG, Art. 32 DSGVO, § 8 ISG)
Admin	Vollzugriff	Vollzugriff	Vollzugriff	Vollzugriff
Sekretariat	Vollzugriff	Vollzugriff	Vollzugriff	Vollzugriff
Ärzte	Eingeschränkter Zugriff (gemäß § 21 KHG)	Vollzugriff	Eingeschränkter Zugriff (gemäß § 21 KHG)	Kein Zugriff
Gast-Arzt	Zugriff auf eigene Patientendaten und medizinische Dokumente	Kein Zugriff	Kein Zugriff	Kein Zugriff

Szenario 4: Fachabteilung

Ärzte sollten in der Regel nicht das Archivieren von Patientendaten übernehmen, da dies eine besonders sensible Aufgabe ist, die bestimmte Anforderungen an Datenschutz und Datensicherheit erfüllen muss. In der Regel sind daher speziell geschultes Personal oder Fachkräfte für medizinische Dokumentation damit betraut, da diese über das notwendige Know-how und die nötige Erfahrung verfügen, um die Daten korrekt und sicher zu archivieren. Außerdem kann eine klare Trennung der Aufgaben und Zuständigkeiten dazu beitragen, mögliche Verstöße gegen Datenschutzbestimmungen zu vermeiden.

Es gibt verschiedene Ausnahmen, die es Ärzten erlauben, Termine zu vereinbaren und zu verwalten, auch wenn dies nicht direkt mit der medizinischen Versorgung der Patienten zusammenhängt. Zum Beispiel kann es in kleineren Praxen oder Kliniken üblich sein, dass Ärzte auch administrative Aufgaben übernehmen, um die organisatorischen Abläufe zu erleichtern. In diesem Fall ist es jedoch wichtig, dass die Aufgaben klar definiert sind und dass der Arzt nicht überlastet wird, um sicherzustellen, dass die medizinische Versorgung der Patienten nicht beeinträchtigt wird. Darüber hinaus können Ärzte auch in besonderen Fällen, wie zum Beispiel bei der Planung von Operationen oder anderen medizinischen Eingriffen, Termine vereinbaren und verwalten, um sicherzustellen, dass die notwendigen Ressourcen verfügbar sind. In jedem Fall sollten die Ausnahmen jedoch eng begrenzt und klar definiert sein, um sicherzustellen, dass die Tätigkeiten im Einklang mit den gesetzlichen Vorgaben stehen.

Benutzergruppe	Zugriff auf Patientendaten (§ 9 BDSG, Art. 9 DSGVO)	Einträge erstellen und bearbeiten (§ 6 BDSG, Art. 5 DSGVO)	Termine vereinbaren und verwalten (§ 6 BDSG, Art. 5 DSGVO, § 21 KHG)	Archivieren (§ 9 BDSG, Art. 32 DSGVO, § 8 ISG)
Sekretariat	Vollzugriff	Vollzugriff	Vollzugriff	Vollzugriff
Ärzte	Vollzugriff	Vollzugriff	Vollzugriff	Vollzugriff
PJ Ärzte	Vollzugriff	Vollzugriff	Kein Zugriff	Kein Zugriff

Weitere relevante Punkte für den Entwickler einer Software im KIS für die Benutzergruppen könnten sein:

• Datenschutz-Grundverordnung (DSGVO) in Verbindung mit dem Bundesdatenschutzgesetz (BDSG)
• Medizinprodukterecht (MPG) und Medizinprodukte-Betreiberverordnung (MPBetreibV)
• Elektronische Gesundheitskarte (eGK) und Telematikinfrastruktur (TI)
• Krankenhausfinanzierungsgesetz (KHG) und Krankenhausentgeltgesetz (KHEntgG)
• Sozialgesetzbuch V (SGB V) und Sozialgesetzbuch XI (SGB XI)
• Medizinische Dokumentation und Information (MDI)
• Qualitätsmanagement (QM) und Qualitätsmanagement-Richtlinien der Krankenkassen
• Hygienevorschriften und Infektionsschutzgesetz (IfSG)
• Haftungsfragen und Schadensersatzrecht
• Richtlinien und Empfehlungen der Bundesärztekammer und der Fachgesellschaften

Es ist wichtig, dass der Entwickler einer Software im KIS diese Punkte im Blick behält und sicherstellt, dass die Software den gesetzlichen und normativen Anforderungen entspricht.