Medizinische Privatsphäre beim grenzüberschreitenden Austausch von Unterlagen schützen

Erfassen Sie alle Empfänger, minimieren Sie Unterlagen, nutzen Sie sichere Übermittlung und regeln Sie Einwilligung, Zugriff, Metadaten und Löschung beim internationalen Austausch von Gesundheitsdaten.

Das Wichtigste

Medizinische Gesundheitsinformationen gelten nach Chinas Gesetz zum Schutz personenbezogener Informationen (PIPL) als sensible personenbezogene Informationen. Ihre Verarbeitung erfordert einen bestimmten Zweck, hinreichende Notwendigkeit und strenge Schutzmaßnahmen.[1]
„Meine Unterlagen ins Ausland senden“ kann das Ursprungskrankenhaus, Koordinatoren, Übersetzungsunternehmen, Plattformen, ausländische Krankenhäuser, Versicherer und Angehörige einbeziehen. Benennen Sie jeden Empfänger und seine Rolle.
Verwenden Sie für den angegebenen Zweck den minimal erforderlichen Unterlagensatz. Ein Fahrer benötigt Angaben zur Mobilität, keinen Pathologiebefund; eine Stelle für Preisangebote braucht möglicherweise nicht die gesamte psychiatrische Vorgeschichte.
Anforderungen an gesonderte Einwilligungen und grenzüberschreitende Übermittlungen hängen davon ab, wer die Informationen verarbeitet und warum. Bitten Sie die Einrichtung, ihre Rechtsgrundlage und den Übermittlungsmechanismus zu erläutern; verlassen Sie sich nicht auf ein pauschales Kontrollkästchen.[1][2]
Verschlüsseln Sie Dateien, senden Sie das Passwort getrennt, legen Sie einen Ablaufzeitpunkt für Links fest und bestätigen Sie bei Abschluss der Aufgabe die Löschung oder Rückgabe. DICOM- und Dokumentmetadaten können die Identität enthalten, selbst wenn der Dateiname anonym wirkt.[3]

Vollständiger Ratgeber

Eine Unterlage kann mehrere Grenzen überschreiten, ohne dass der Patient es bemerkt. Das Krankenhaus exportiert eine PDF-Datei an einen Koordinator, dieser schickt sie an einen Übersetzer, die Übersetzung wird in einen Cloud-Speicher hochgeladen, ein Link erreicht einen Arzt im Ausland und ein Angehöriger leitet den Link an eine Familiengruppe weiter.

Jeder Schritt mag hilfreich erscheinen. Zusammen entstehen Kopien, neue Empfänger und unklare Aufbewahrungsfristen. Datenschutz beginnt damit, den Weg vor dem Versenden der Datei aufzuzeichnen.

Erfassen Sie zuerst die Personen und Systeme

Erstellen Sie eine einfache Übersicht der Übermittlung:

Empfänger oder System	Zweck	Benötigte Daten	Weiterleitung zulässig an	Ende des Zugriffs
Chinesisches Krankenhaus	Klinische Beurteilung	Entscheidungsrelevante medizinische Unterlagen	Namentlich benanntes Behandlungsteam	Nach den Aufbewahrungsregeln des Krankenhauses
Übersetzer	Ausgewählte Berichte übersetzen	Ausgewählte Originalseiten	Nur zugelassene Prüfer	Nach Lieferung und Qualitätsprüfung
Koordinator	Beurteilung organisieren	Verzeichnis und notwendige Dateien	Namentlich benannte Kontaktperson im Krankenhaus	Bei Leistungsende
Versicherer	Entscheidung über Kostenübernahme	Seine dokumentierte Liste erforderlicher Nachweise	Sachbearbeiter für Leistungsfälle	Gemäß Versicherungsbedingungen und Gesetz
Fahrer oder Hotel	Organisation der Barrierefreiheit	Name, Zeit und Mobilitätsbedarf	Keine klinischen Empfänger	Nach der Leistung

Wenn eine Person nicht erklären kann, warum sie eine Datei benötigt, halten Sie inne. „Der Einfachheit halber“ ist kein definierter medizinischer Zweck.

Wissen Sie, wer die Daten verarbeitet

Wenn ein Patient eine selbst verwahrte Kopie an einen ausgewählten Arzt sendet, ist das organisatorisch nicht dieselbe Situation wie der Export von Unterlagen durch ein Krankenhaus über einen Dienstleister. Krankenhäuser, Agenturen, Plattformen, Übersetzer und ausländische Empfänger können je nach Vereinbarung jeweils als Verarbeiter personenbezogener Informationen, beauftragter Verarbeiter oder unabhängiger Empfänger handeln.

Nach dem PIPL müssen bei der Bereitstellung personenbezogener Informationen an einen anderen Verarbeiter der betroffenen Person grundsätzlich Identität und Kontaktdaten des Empfängers, Zweck, Methode und Informationskategorien mitgeteilt und ihre gesonderte Einwilligung eingeholt werden, sofern keine andere rechtmäßige Grundlage gilt.[1] Bei sensiblen Informationen sind zusätzliche Angaben zur Notwendigkeit und zu Auswirkungen erforderlich; für grenzüberschreitende Bereitstellung gelten weitere Anforderungen.[1]

Der Patient sollte den rechtlichen Mechanismus der Organisation nicht selbst auswählen müssen. Bitten Sie deren Datenschutzkontakt um folgende Angaben:

Wer für die Übermittlung verantwortlich ist
Rechtsgrundlage für Verarbeitung und Export
Ausländischer Empfänger und Land oder Region
Zweck, Datenkategorien und Aufbewahrungsdauer
Ob Unterauftragnehmer oder Cloud-Anbieter beteiligt sind
Wie der Patient seine Rechte gegenüber dem ausländischen Empfänger ausüben kann
Auf welchen grenzüberschreitenden Mechanismus oder welche Ausnahme sich die Organisation stützt

Chinas Vorschriften zum grenzüberschreitenden Datenverkehr von 2024 passen an, wann Sicherheitsbewertungen, Standardverträge oder Zertifizierungsverfahren erforderlich sind, und enthalten Ausnahmen für bestimmte vertragsnotwendige Übermittlungen oder Notfallübermittlungen.[2] Eine Ausnahme von einem Einreichungsverfahren erlaubt nicht, Zweckbindung, Sicherheit oder die Rechte der betroffenen Person zu ignorieren.

Versenden Sie den minimal erforderlichen Unterlagensatz

Gehen Sie von der anstehenden Entscheidung aus und erstellen Sie eine Prüfungskopie. Bewahren Sie ein vollständiges Originalarchiv getrennt auf.

Beispiele:

Ein Chirurg, der die Resektabilität beurteilt, benötigt möglicherweise Bildgebung, Pathologie und relevante Operations- oder Krankengeschichte – nicht jede sachfremde ambulante Notiz.
Ein Übersetzer, der einen Entlassungsbericht bearbeitet, benötigt nicht das gesamte DICOM-Archiv.
Ein Versicherer sollte die in seiner schriftlichen Nachweisanforderung genannten Unterlagen erhalten, keinen unbegrenzten Portalzugriff.
Ein Transportdienst benötigt möglicherweise Angaben zum Rollstuhl und Termin, nicht die Diagnose.

Minimal erforderlich bedeutet nicht klinisch unvollständig. Fragen Sie den empfangenden Arzt, welche Dokumente eine sichere Beurteilung ermöglichen, und entfernen Sie dann nur tatsächlich nicht zugehöriges Material.

Schwärzen oder bearbeiten Sie niemals die einzige Originalkopie. Erstellen Sie eine abgeleitete Datei mit der Kennzeichnung REDACTED COPY, dokumentieren Sie entfernte Inhalte und behalten Sie die Seitenreihenfolge bei. Legen Sie für die klinische Behandlung die Schwärzung offen, damit das empfangende Team entscheiden kann, ob sie die Interpretation beeinflusst.

Die Einwilligung sollte hinreichend konkret und verständlich sein

Eine hilfreiche Information beantwortet:

Welche Informationen werden verwendet?
Für welchen Zweck?
Wer erhält sie?
In welchem Land oder welcher Region?
Wie werden sie übermittelt und gespeichert?
Wie lange bleiben sie verfügbar?
An wen dürfen sie weitergegeben werden?
Wie kann der Patient gegebenenfalls seine Einwilligung widerrufen, Auskunft oder Berichtigung verlangen oder sich beschweren?

Vermeiden Sie eine einzige Erlaubnis, die klinische Beurteilung, Marketing, Forschung, Erfahrungsberichte und unbegrenzte Datenspeicherung verbindet. Dies sind unterschiedliche Zwecke.

Die Einwilligung ist nicht immer die einzige rechtmäßige Grundlage. Das PIPL erkennt auch die zur Anbahnung oder Erfüllung eines Vertrags mit der betroffenen Person notwendige Verarbeitung und die in Notfällen zum Schutz von Leben, Gesundheit oder Eigentum notwendige Verarbeitung an.[1] Die Organisation sollte die tatsächlich verwendete Grundlage dokumentieren, statt aus Gewohnheit eine Unterschrift einzuholen und die Daten anschließend umfassender zu nutzen.

Wählen Sie einen Übermittlungskanal mit Schutzfunktionen

Bevorzugen Sie das Portal des empfangenden Krankenhauses oder einen von der Einrichtung zugelassenen verschlüsselten Übermittlungsdienst. Wenn Dateien als verschlüsseltes Archiv versandt werden müssen:

Verwenden Sie starke Verschlüsselung, nicht lediglich eine umbenannte ZIP-Erweiterung
Senden Sie das Passwort über einen anderen Kanal
Beschränken Sie den Link nach Möglichkeit auf namentlich benannte Empfänger
Verlangen Sie Anmeldung und Mehrfaktorauthentifizierung
Legen Sie die kürzeste praktikable Gültigkeitsdauer fest
Deaktivieren Sie öffentliche Indexierung und anonyme Weitergabe
Führen Sie ein Protokoll der Uploads und Downloads
Bestätigen Sie bei großen Übermittlungen Prüfsumme oder Dateianzahl
Löschen Sie nach verifiziertem Empfang vorübergehende lokale und Cloud-Kopien, vorbehaltlich vorgeschriebener Aufbewahrung

Gewöhnliche E-Mails und Chats mögen bequem sein, doch Weiterleitungen, Sicherungskopien und kompromittierte Konten lassen sich schwer kontrollieren. Wenn das Krankenhaus einen solchen Kanal genehmigt, fragen Sie, wie Identität, Zugriff und Aufbewahrung geregelt werden.

Verwenden Sie für das Patientenportal kein gemeinsames Familienkonto. Ein einmaliger Verifizierungscode, eine Zahlungs-PIN oder das Hauptpasswort gewährt weitergehenden Zugriff als ein Link zu einem einzelnen Bericht.

Verborgene Identität in Dateien

Das Entfernen eines Namens von der sichtbaren Seite oder aus dem Dateinamen ist nicht unbedingt eine De-Identifizierung.

PDFs und Office-Dateien können Autorennamen, Versionsverläufe, Kommentare und eingebettete Anhänge enthalten. Fotos können Standort- und Gerätemetadaten mitführen. DICOM-Objekte enthalten eingebettete Patienten- und Untersuchungsattribute, und Text kann in die Bildpixel eingebrannt sein.[3]

Wenn der Zweck eine De-Identifizierung erfordert – etwa Forschung, Lehre oder eine externe verblindete Beurteilung –, verwenden Sie ein qualifiziertes Verfahren, das auf die Regeln der empfangenden Einrichtung abgestimmt ist. Prüfen Sie anschließend, ob sich der Datensatz über Dateien hinweg weiterhin konsistent verknüpfen lässt, ohne direkte Identifikatoren offenzulegen.

Bei der direkten Versorgung kann eine weitgehende De-Identifizierung die sichere Patientenzuordnung gefährden. Das Krankenhaus benötigt möglicherweise Name, Geburtsdatum und Patientennummer, damit Unterlagen nicht der falschen Person zugeordnet werden. Befolgen Sie sein kontrolliertes Verfahren zum Identitätsabgleich.

Gewähren Sie Übersetzern und Koordinatoren eng begrenzten Zugriff

Die Dienstleistungsvereinbarung sollte Folgendes festlegen:

Namentlich benannte juristische Person und zugriffsberechtigte Mitarbeitende
Genaue Dateien und Zweck
Ob lokales Herunterladen zulässig ist
Nutzung maschineller Übersetzung oder KI-Dienste und Ort der Datenverarbeitung
Verbot oder Bedingungen der Unterbeauftragung
Vertraulichkeits- und Sicherheitsanforderungen
Aufbewahrung, Rückgabe und Löschdatum
Meldeweg für Vorfälle
Verbot, Patientengeschichte, Bild oder Daten ohne gesonderte Erlaubnis für Marketing oder Modelltraining zu verwenden

Das PIPL verpflichtet beauftragte Verarbeiter, innerhalb des vereinbarten Zwecks und Verfahrens zu handeln und Informationen bei Ende der Vereinbarung zurückzugeben oder zu löschen; eine weitere Beauftragung erfordert die Genehmigung des ursprünglichen Verarbeiters.[1]

Fordern Sie eine Übersetzungsprobe mit fiktiven Daten an, bevor Sie besonders sensible Unterlagen senden. Laden Sie identifizierbare Unterlagen nicht allein deshalb in ein kostenloses Online-Übersetzungs- oder Zusammenfassungswerkzeug hoch, weil es schnell ist.

Auch Familienzugriff ist Datenweitergabe

Patienten möchten häufig, dass ein Ehepartner oder erwachsenes Kind hilft. Legen Sie fest, was diese Person tun darf:

Nur Termine einsehen
Rechnungen erhalten
Auf klinische Berichte zugreifen
Mit Ärzten sprechen
Weitere Offenlegung genehmigen
Entscheidungen treffen, sofern rechtlich angemessen

Nutzen Sie, falls verfügbar, die Stellvertretungs- oder Familienzugriffsfunktion des Krankenhauses. Gehen Sie nicht davon aus, dass Verwandtschaft unbegrenzte Offenlegung erlaubt. Wenn der Patient den Familienzugriff später widerruft, aktualisieren Sie Krankenhaus, Koordinator, gemeinsame Ordner und Nachrichtengruppen – nicht nur ein Passwort.

Kinderunterlagen erfordern besondere Sorgfalt. Das PIPL behandelt Informationen über Kinder unter 14 als sensibel und verlangt bei einer Verarbeitung auf Grundlage einer Einwilligung die Zustimmung eines Elternteils oder Vormunds.[1]

Genetik, reproduktive Gesundheit und psychische Gesundheit erfordern zusätzliche Abwägung

Manche Unterlagen offenbaren Informationen über Angehörige ebenso wie über den Patienten. Keimbahngenetische Ergebnisse können auf familiäre Risiken hinweisen. Unterlagen zu Fortpflanzung, Infektionskrankheiten, sexueller und psychischer Gesundheit können bei Missbrauch zusätzliche soziale Schäden verursachen.

Fragen Sie vor der Weitergabe, ob der gesamte Bericht nötig ist, ob die Namen von Familienmitgliedern minimiert werden können und ob eine fachärztliche Zusammenfassung die Entscheidung unterstützt. Entfernen Sie keine klinisch wesentlichen Informationen für das Behandlungsteam, versenden Sie diese aber auch nicht automatisch an Hotels, Reisebüros oder allgemeine Verwaltungskräfte.

Führen Sie einen für den Patienten verständlichen Prüfpfad

Führen Sie ein Übermittlungsprotokoll mit:

Datum und Uhrzeit
Absender und Empfänger
Zweck
Dateinamen und Version
Kanal und Linkablauf
Von der Organisation dokumentierter Erlaubnis oder Rechtsgrundlage
Empfangsbestätigung
Offenlegung von Weiterleitung oder Unterauftragnehmern
Lösch- oder Rückgabebestätigung

Das ist keine Bürokratie um ihrer selbst willen. Wurde die falsche Version versandt oder ein Link offengelegt, zeigt das Protokoll, wo das Problem eingedämmt werden kann.

Üben Sie Rechte aus, ohne die Krankenakte zu beeinträchtigen

Das PIPL gewährt Einzelpersonen Rechte auf Information und Entscheidung über die Verarbeitung sowie unter gesetzlichen Voraussetzungen auf Zugang oder Kopie, Berichtigung und Beantragung der Löschung personenbezogener Informationen.[1]

Fragen Sie den Datenschutzkontakt, wie Sie:

Eine Kopie der gespeicherten Daten erhalten
Einen Identitäts- oder Kontaktfehler berichtigen
Optionale Weitergabe beschränken oder beenden
Den Zugriff eines früheren Koordinators entfernen
Bei erfüllten gesetzlichen Voraussetzungen Löschung beantragen
Eine unzutreffende automatisierte Zuordnung anfechten
Sich bei der Einrichtung oder Aufsichtsbehörde beschweren

Löschrechte bedeuten nicht, dass ein Krankenhaus gesetzlich aufzubewahrende Unterlagen löschen muss. Stattdessen kann ein Patient möglicherweise eine optionale Offenlegung stoppen, während die medizinische Originalakte erhalten bleibt.

Wenn ein Link oder eine Datei die falsche Person erreicht

Handeln Sie sofort:

Widerrufen Sie den Link oder die Kontositzung.
Kontaktieren Sie den unbeabsichtigten Empfänger und verlangen Sie Löschung ohne weiteres Öffnen oder Weiterleiten.
Informieren Sie den Datenschutz- oder Sicherheitskontakt der sendenden Organisation.
Ermitteln Sie genau, welche Dateien, Identifikatoren und welcher Zeitraum offengelegt wurden.
Setzen Sie kompromittierte Passwörter zurück und beenden Sie aktive Sitzungen.
Sichern Sie das Prüfprotokoll und die Vorgangsnummer.
Fragen Sie, welche Risikobewertung, Benachrichtigung und Abhilfemaßnahmen folgen.

Löschen Sie keine Belege des Vorfalls, bevor das zuständige Sicherheitsteam sie erfasst hat. Waren finanzielle Identitätsdaten, Pass- oder Kontoinformationen betroffen, achten Sie auf Missbrauch und befolgen Sie offizielle Hinweise zum Identitäts- oder Zahlungsschutz.

Datenschutzprüfung vor jedem Versand

Empfängeridentität über einen unabhängigen Kanal geprüft
Klinischer oder administrativer Zweck angegeben
Minimal erforderliche Dateien ausgewählt
Originalarchiv gesichert
Sensible Seiten und eingebettete Metadaten verstanden
Patienteninformation und Einwilligung oder andere Grundlage durch die verantwortliche Organisation dokumentiert
Grenzüberschreitender Mechanismus oder Ausnahme gegebenenfalls bestätigt
Sicherer Kanal und Zugriffsablauf festgelegt
Passwort getrennt versandt
Weiterleitung und Unterauftragnehmer offengelegt
Empfang bestätigt
Lösch- oder Rückgabedatum erfasst

Rechtlicher und medizinischer Haftungsausschluss: Dieser Leitfaden bietet allgemeine Informationen zu Datenschutz und Sicherheit, keine Rechtsberatung. Pflichten bei grenzüberschreitenden Daten hängen von Organisationen, Daten, Zweck, Umfang, Ort und geltenden Vorschriften ab. Krankenhäuser und Dienstleister sollten qualifizierten Rat zum chinesischen Recht und zum Recht des Ziellandes einholen; Patienten sollten Notfallversorgung nicht wegen administrativer Formalitäten verzögern.

Zugehörige Krankenhäuser

Fragen Sie jedes Krankenhaus nach seinem Datenschutzkontakt, zugelassenen Upload-Kanälen, Informationen zu ausländischen Empfängern, seiner Aufbewahrungsrichtlinie und dem Verfahren für Stellvertretungszugriff, Berichtigung und Vorfallmeldungen.

Zugehörige Behandlungen

Genomtests, Fertilitätsbehandlung, psychiatrische Versorgung, Behandlung von Infektionskrankheiten und Beurteilung seltener Erkrankungen können besonders sensible oder familienbezogene Informationen betreffen, die einen eng begrenzten Offenlegungsplan verdienen.

Weitere Ratgeber

Häufige Fragen

Ist es illegal, wenn ein Patient seine eigenen Unterlagen per E-Mail ins Ausland sendet?

Dieser Artikel trifft keine solche pauschale Aussage. Die gesetzlichen Pflichten unterscheiden sich zwischen einer Person, die ihre eigene Kopie versendet, und einer Einrichtung oder Plattform, die Daten exportiert. Das Datenschutzrisiko bleibt bestehen; nutzen Sie daher den sicheren Weg des empfangenden Krankenhauses und holen Sie bei Bedarf fallspezifischen Rat ein.

Erlaubt die Unterschrift unter ein einziges Einwilligungsformular jedem Dienstleister, meine Akte zu nutzen?

Eine solche Annahme ist nicht sicher. Empfänger, Zwecke, Datenkategorien und weitere Übermittlungen sollten konkret offengelegt werden; das PIPL verlangt für bestimmte Weitergaben und Tätigkeiten mit sensiblen Informationen eine gesonderte Einwilligung, sofern keine andere rechtmäßige Grundlage gilt.[1]

Reicht eine passwortgeschützte ZIP-Datei?

Sie ist eine einzelne Schutzmaßnahme, kein vollständiges System. Prüfen Sie außerdem den Empfänger, verwenden Sie starke Verschlüsselung, senden Sie das Passwort getrennt, begrenzen Sie den Zugriff, legen Sie einen Ablauf fest und bestätigen Sie die Löschung.

Kann ich meinen Namen selbst aus DICOM-Dateien entfernen?

Das Umbenennen von Dateien ist wirkungslos, weil DICOM eingebettete Attribute enthält.[3] Bewahren Sie bei direkter Versorgung die sichere Identitätszuordnung; nutzen Sie für de-identifizierte Verwendung ein von der Einrichtung verlangtes qualifiziertes Verfahren.

Kann ich ein Krankenhaus auffordern, meine Krankenakte zu löschen?

Einzelpersonen haben unter bestimmten gesetzlichen Voraussetzungen Löschrechte, Krankenhäuser können jedoch gesetzlichen Aufbewahrungspflichten unterliegen. Bitten Sie das Krankenhaus, zwischen der Aufbewahrung der Originalakte und optionaler Weitergabe oder Kopien bei Dritten zu unterscheiden.[1][4]

Schutz Ihrer medizinischen Privatsphäre beim internationalen Austausch von Unterlagen