MEDICAL OFFICE - Anwenderforum

Sehr geehrter Herr Rügen,

das Zertifikat wirft allerdings wiederum Fragen auf: ist ein vom BSI zertifizierter Sicherheitsberater für Penetrationstests überhaupt in der Lage, ein rechtssicheres Zertifikat für die vollständige Anonymisierung von Patientendaten zu zertifizieren? Auch wurde der "Prozess der Datenaufbereitung", offenbar nicht jedoch die "Anonymität und nicht re-personifizierbarkeit der Daten" überprüft.
Übrigens finde ich -zumindest nicht "auf die Schnelle"- auf der Homepage von hisolutions irgendwelche harten, belastbaren Aussagen zur Kompetenz in dieser Sache. Nachvollziehbar ist das alles sehr werbend dargestellt, kaum harte Fakten, erst recht nicht zum hier diskutierten Thema. War vielleicht auch nicht wirklich zu erwarten. Hilft aber dennoch nicht bei diesem -extrem sensiblen- Thema.

Die Homepage von THIN ist zwar nett gemacht, aber entscheidende Punkte bleiben doch leider im dunkeln: Welche Daten werden erhoben? Warum werde ich schon bei der "Stuktur der Daten" auf ein persönliches Gespräch verwiesen? Warum sehe ich nicht auf der Homepage zuallererst ein paar Beispiele von erhobenen Datensätzen? Mein Bauchgefühl sagt mir, dass jemand, der mir nicht exakt sagt, welche Daten er erhebt, dies sogar eher unnötig hinter Hürden versteckt, etwas zu verbergen hat und eben nicht ganz sauber arbeitet.

Weitere Frage: Hat sich nach dem "Dezember 2021" des Zertifikates irgendetwas an der Anonymisierung/dem Programmcode geändert? Wie sieht die Garantie für die Gegenwart aus? Sind die entsprechenden Programmteile von MO gegen Veränderung geschützt? Gibt es eine Re-Zertizierung für jeden Zeitpunkt der Daten-Sammlung?

Mir ist im übrigen nicht klar (Achtung! Ergebnisoffen! lasse mich da gerne belehren!):
* in wieweit infiziert die Aufwandsentschädigung / der Datenverkauf steuerlich die Praxis mit der Umsatzsteuerpflicht?
* Muss der Aushang zur DSGVO angepasst werden? Oder ist gar eine Unterschrift des Patienten nötig? Die Datenweitergabe an THIN ist ja nicht so gesetzlich vorgesehen? Da muß doch der Patient mindestens informiert werden?

Bis zur sehr transparenten Klärung der Punkte kann ich meine Kunden nur um folgendes bitten:
"Bitte lebt gefälligst von euren medizinischen Leistungen, und nicht von dem Verkauf von Daten. Ich hoffe, dass KV und Privatpatienten euch vor dem akuten Hungertod bewahren."

Aber ganz klar an Sie, Herr Rügen: Ich finde sehr sehr gut und transparent, dass Sie hier das Zertifikat zur Ansicht und damit zur Kritik und Überprüfung hier ins Forum stellen. Toll!

Mit freundlichen Grüßen,

Marc Allef

Nachtrag:
schnell landet man bei einer britischen, und damit nicht unter EU-Recht fallenden Homepage.
https://www.cegedim-healthcare.co.uk/pri…data-we-collect
Dort wird man darüber aufgeklärt, dass z. B. die Klarnamen erfasst werden.
Eine unmissverständliche Klarstellung über die erfassten Daten ist also dringend angeraten.

Mit freundlichen Grüßen,

Marc Allef

Hallo Herr Rügen,
weiterhin: vielen Dank für die ausgesprochen transparente Kommunikation.
Die von Ihnen genannte "Orientierungshilfe": Teil 3/B/I.: "Achtung: derzeit keine Zertifizierung durch akkreditierte Stelle (DSGVO-Zertifizierung) möglich"
Es sind "Andere Zertifizierungen" möglich, die wohl am Ende des Zertifizierungsprozesses auch gar nicht mal schlecht sind. Aber sie lassen grundsätzlich offen: "Dieses Produkt arbeitet DSGVO-konform". Exakt diese Aussage scheint nicht durch eine akkreditierte Stelle möglich zu sein, weil es eben keine dafür akkreditierte Stelle gibt, die diese Aussage attestieren könnte. Ich bin mir sicher, dass Sie alles versucht haben, um ein möglichst aussagefähiges Zertifikat zu erhalten. Aber eben die eine, eindeutige Aussage kommt nicht, kann nicht kommen.

Aus der Sicht eines Arztes dürfte er relativ sicher vor nennenswerten Strafen wegen Datenweitergabe sein wenn er klar machen kann, dass er den Aussagen des seriösen Anbieters vertraut hat und er soweit wie ihm möglich geprüft hat. Für diese Prüfung wären Beispiel-Datensätze hilfreich und auch eine klare Aussage durch Thin: "die Praxis verhält sich bei der Datenweitergabe an Thin DSGVO-konform". Die Tatsache, dass die Entwicklungsfirma der Praxis-Software diese Funktion unterstützt, dürfte auch schon für den Arzt wichtig und entscheidend sein. Ärzte sind eben keine EDV-ler und müssen ihren wichtigsten Partnern auch vertrauen dürfen. Nebenbei: "Thin arbeitet DSGVO-konform" ist irrelevant für die Praxen, da ist Thin in der Haftung. Wichtig ist, dass die Praxis das darf.

Die steuerliche Betrachtung ist übrigens ein sehr gravierender Punkt, da wäre eine verbindliche(!) Aussage von Ihnen oder THIN hilfreich. Ich bin mir sicher, dass wir von 100 Steuerberatern nicht 100 mal die identische Antwort bekommen. Und Thin hat z. B. mit geschickter Darstellung des Ablaufes und der Interpretation von "Aufwandsentschädigungen" gewiss großen Einfluß auf die steuerliche Beurteilung. Vielleicht kann man eine steuerliche Einschätzung eines Finanzamtes einholen?

//
Hintergrund für nicht steuerlich semi-geschulte Forenteilnehmer:
Wenn eine Praxis z. B. einen Aufsteller Probepackungen XY-Creme ins Wartezimmer stellt, dann kann das Finanzamt locker unterstellen, dass die Praxis davon einen wirtschaftlichen Vorteil hat, sprich: daran Geld verdient. Dann verkauft die Praxis also etwas, wenn auch indirekt. Und wer verkauft, der ist Händler und muß auf seine gesamten Einnahmen(!) Umsatzsteuer zahlen. Der Verkauf "infiziert" die Praxis mit der Umsatzsteuerpflicht. Das kann bei einer Praxis schnell zehntausende Euronen pro Jahr Steuern kosten. Denn Praxen sind von der Umsatzsteuer befreit. "Der Staat will nicht an der Krankheit seiner Bürger verdienen". Der "Verkauf" der kostenlosen Probepackungen XY-Creme im Wartezimmer kann also richtig, richtig weh tun. Ohne "Strafe" oder Gerichtsprozeß. Nur simple Steuern.
Und dazu braucht es nur einen böswilligen Neider im Wartezimmer, der das Finanzamt auf die gut gemeinte Verschenkaktion aufmerksam macht.

Davon zu trennen ist die individuelle ärztliche Empfehlung inkl. der Probepackung XY-Creme im Sprechzimmer durch den Arzt. Das ist OK. Im Gegensatz zum "allgemeinen Verkauf" und "Werbung" im Wartezimmer.

Die Frage ist letztlich: Werden die Daten regelrecht als Produkt verkauft? Oder ist es eine ärztliche Leistung für Patienten?
//

Für mich bleiben bislang einfach zu viele Hintertüren und Fragen offen, in Kernpunkten fehlen bislang eindeutige Aussagen. Gerne ändere ich meine Meinung nach zusätzlichen Infos.
Toll, dass Thin nicht automatisch aktiviert wird und hier darüber offen und frei diskutiert werden kann.
Mit freundlichen Grüßen,

Marc Allef