Interview mit Claas Rudolph - Dokumentation, Vertragsmanagement und Datenschutz
Du bist u.a. für Datenschutz und Informationssicherheit zuständig – kannst Du die Bereiche kurz umreißen, wo die Herausforderungen liegen und wo sich Schnittmengen bzw. Abgrenzungen ergeben?
Datenschutz und Informationssicherheit – zwei Seiten einer Medaille
Die beiden Begriffe werden im Alltag häufig in einem Atemzug genannt – und genauso häufig verwechselt. Das ist verständlich, denn sie überlappen sich stark. Aber sie sind nicht dasselbe, und wer für beides verantwortlich ist, weiß: Beide Bereiche ernst zu nehmen kostet echte Ressourcen.
Was ist was?
Datenschutz ist eine gesetzliche Pflicht. Die DSGVO schreibt vor, wie mit personenbezogenen Daten umzugehen ist – wer sie erheben darf, auf welcher Rechtsgrundlage, wie lange, und welche Rechte Betroffene haben. In der Arbeitsmedizin sind das ausnahmslos besonders sensible Daten - Gesundheitsdaten nach Art. 9 DSGVO, die den höchsten Schutz genießen. Wer hier einen Fehler macht, hat nicht nur ein Bußgeldrisiko, er riskiert das Vertrauen seiner Beschäftigten.
Informationssicherheit ist weiter gefasst. Sie fragt nicht nur nach personenbezogenen Daten, sondern nach allen schützenswerten Informationen eines Unternehmens: Geschäftsdaten, Prozesswissen, technische Dokumentation. Das Ziel ist die Sicherstellung von Vertraulichkeit, Integrität und Verfügbarkeit – kurz: dass Daten nicht in falsche Hände geraten, nicht unbemerkt verändert werden und im Ernstfall erreichbar sind. Der internationale Standard dafür ist die ISO 27001.
Wo sich die Bereiche schneiden
Die größte Schnittmenge liegt in den technischen und organisatorischen Maßnahmen – kurz TOM. Was die DSGVO in Art. 32 als Anforderung formuliert (Verschlüsselung, Zugriffskontrolle, Protokollierung, Notfallmanagement), findet sich fast deckungsgleich in den Anforderungen der ISO 27001 wieder. Wer ein solides Informationssicherheits-Managementsystem aufbaut, erfüllt damit zu einem guten Teil auch seine datenschutzrechtlichen Pflichten – und umgekehrt.
Auch bei Sicherheitsvorfällen greifen beide Bereiche ineinander. Eine Datenpanne ist immer auch ein Informationssicherheitsvorfall, der nach DSGVO unter Umständen binnen 72 Stunden der Aufsichtsbehörde gemeldet werden muss.
Wo die Abgrenzung liegt
Der entscheidende Unterschied: Datenschutz stellt die Frage, ob und warum personenbezogene Daten verarbeitet werden dürfen. Informationssicherheit stellt die Frage, wie sicher eine Verarbeitung stattfindet. Beide Fragen muss man stellen, aber sie haben unterschiedliche Antworten und unterschiedliche Zuständigkeiten.
Was das für Sie als Anwender bedeutet
Wir vertreiben BASIS sowohl on-premise als auch als SaaS-Lösung. In beiden Fällen schließen wir mit allen Kunden einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO – denn wer einen Servicevertrag mit uns hat, gibt uns damit auch Zugriff auf Systeme, in denen Daten von Beschäftigten liegen. Das ist unabhängig vom Betriebsmodell datenschutzrechtlich relevant und muss vertraglich sauber geregelt sein.
Der Unterschied liegt woanders: Beim On-premise-Betrieb liegt die Infrastrukturverantwortung beim Betreiber – also bei Ihnen. Sie entscheiden, wie Server gesichert, Backups organisiert und Zugriffsrechte vergeben werden. Im SaaS-Modell liegt die Datenhoheit bei uns. Die Daten Ihrer Beschäftigten liegen auf unserer Infrastruktur, und Sie vertrauen darauf, dass wir sie so schützen, als wären es unsere eigenen.
Für uns als Hersteller ist die ISO-27001-Zertifizierung, die wir dieses Jahr abschließen wollen, kein Selbstzweck. Sie ist der Nachweis nach außen, dass wir Informationssicherheit nicht als Checkliste behandeln, sondern als systematischen Prozess, der kontinuierlich verbessert wird. Für Sie als Betriebsarzt bedeutet das: Sie können belegen, dass Ihr Softwareanbieter nach einem anerkannten internationalen Standard geprüft wurde – ein Argument, das zunehmend auch von Unternehmenskunden eingefordert wird.
Die ehrliche Einschätzung
Beide Bereiche sind komplex, entwickeln sich ständig weiter und lassen sich nicht einmal abarbeiten. Was ich nach Jahren in dieser Verantwortung gelernt habe: Der größte Fehler ist nicht, eine Anforderung zu übersehen – sondern zu glauben, man sei irgendwann fertig.
Kannst Du noch etwas zu der Aufbewahrungspflicht von Daten sagen?
Aufbewahrungspflicht von Beschäftigtendaten – was Betriebsärzte wissen müssen
Auf den ersten Blick klingt die Frage nach Aufbewahrungsfristen trocken. In der Praxis ist sie eine der häufigsten Unsicherheiten und wird durch das Zusammenspiel von DSGVO und ärztlichem Berufsrecht nicht einfacher.
Die Grundregel: 10 Jahre
Beschäftigtenakten müssen nach § 630f BGB und der Arbeitsmedizinischen Regel AMR 6.1 mindestens zehn Jahre nach Abschluss der Vorsorge aufbewahrt werden. Das ist die Basis für den Großteil der arbeitsmedizinischen Vorsorge.
Gleichzeitig verlangt die DSGVO (Art. 17) die Löschung personenbezogener Daten, sobald sie für die Aufgabenerfüllung nicht mehr erforderlich sind. Diese beiden Anforderungen widersprechen sich scheinbar – tun sie aber nicht. Solange eine gesetzliche Aufbewahrungspflicht besteht, ist die weitere Speicherung datenschutzrechtlich gedeckt. Das Löschrecht der Betroffenen greift erst nach Ablauf der Fristen.
Wann gelten längere Fristen?
Die AMR 6.1 sieht für bestimmte Tätigkeiten abweichende Fristen vor - so sind es 40 Jahre:
• Bei Tätigkeiten mit krebserzeugenden, erbgutverändernden oder fortpflanzungsgefährdenden Stoffen (CMR-Stoffe).
• Berufskrankheitenverdacht: Tätigkeiten bei denen eine BK-Anzeige in Betracht kommt, insbesondere Arbeiten mit Asbest oder Lärm.
Die Liste der Berufskrankheiten nach BKV Anlage 1 wird fortlaufend ergänzt, was eine regelmäßige Überprüfung erfordert.
Zudem verlangt § 79 Abs. 3 Strahlenschutzgesetz:
• Die Aufbewahrung von Unterlagen bis zur Vollendung des 75. Lebensjahres eines Beschäftigten bei Tätigkeiten mit Strahlenexposition.
Was bedeutet das für die tägliche Arbeit?
Beschäftigte müssen über die festgelegte Speicherdauer informiert werden – das gehört in die Datenschutzinformation der Praxis. Für die Sonderfälle (Strahlenexposition, CMR-Stoffe, BK-relevante Tätigkeiten) sollte die eingesetzte Software eigene Fristenkategorien abbilden können.
Wo siehst Du die Chancen und Risiken in Bezug auf eine Nutzung von KI in der arbeitsmedizinischen Software?
KI in der arbeitsmedizinischen Software – Chancen und Risiken
Ich glaube, die meisten Betriebsärzte haben eine gesunde Skepsis gegenüber KI – und die ist berechtigt. Gleichzeitig kennen wir von Medisoft den Alltag. Vorsorgetermin nach Vorsorgetermin, Dokumentationslast, Fristenmanagement, Berichtspflichten. Zeit für das, wofür man eigentlich Arzt geworden ist, bleibt oft zu wenig.
Die Chancen liegen im Alltag, nicht in der Zukunftsmusik
Die größte Chance liegt nicht in spektakulären Diagnosealgorithmen, sondern im Routinebetrieb. KI-gestützte Dokumentation, die aus dem Gespräch heraus strukturierte Einträge vorschlägt. Automatische Fristüberwachung, die keine Vorlage mehr verpasst. Berichtsvorlagen, die sich auf Knopfdruck aus vorhandenen Daten befüllen. Das klingt unspektakulär – ist es aber nicht, wenn es täglich eine Stunde mehr für Gespräche mit Beschäftigten bedeutet.
Spannender wird es auf Kollektivebene: Eine Software, die anonymisierte Muster über eine Belegschaft hinweg erkennt – gehäufte Beschwerden in einer Abteilung, auffällige Fehlzeiten in Kombination mit Schichtarbeit – kann dem Betriebsarzt den Blick schärfen für das, was er ohnehin schon ahnt, aber bisher nicht systematisch belegen konnte. Prävention auf Datenbasis statt nach Bauchgefühl.
Die Risiken darf man nicht kleinreden
Das Vertrauensverhältnis zum Beschäftigten ist das Fundament der Betriebsmedizin. Wenn Beschäftigte auch nur den Eindruck haben, ihre Gesundheitsdaten könnten durch KI-Auswertung in Richtung Arbeitgeber wandern, werden sie aufhören, ehrlich zu sprechen. Dieses Risiko ist real und keine Software-Funktion der Welt rechtfertigt, daran zu rütteln.
Hinzu kommt die Regulatorik: Der EU AI Act stuft KI, die in medizinische Entscheidungsprozesse eingreift, als Hochrisiko ein. Für Softwarehersteller bedeutet das Nachweispflichten, Konformitätsbewertungen und Transparenzanforderungen. Als Anwender sollte man von seinem Softwareanbieter klare Antworten einfordern, wie dieser damit umgeht.
Das dritte Risiko ist das subtilste: KI-Vorschläge können dazu verleiten, weniger kritisch nachzufragen. In einem Fach, das so stark auf das persönliche Gespräch und den Kontext angewiesen ist wie die Arbeitsmedizin, wäre das ein echter Qualitätsverlust.
Mein Fazit
KI wird die Arbeitsmedizin nicht revolutionieren – aber sie kann denjenigen, die sie klug einsetzen, spürbar mehr Raum für das geben, was wirklich zählt: das ärztliche Urteil, das Gespräch, die Prävention.
Zurück
Kommentare