3. durch das Ministerium für Arbeit, Gleichstellung und Soziales und das Ministerium für Landwirtschaft, Umwelt und Verbraucherschutz,

3. durch das Ministerium für Wirtschaft, Arbeit und Gesundheit und das Ministerium für Landwirtschaft und Umwelt,"

(3) Die Ethik-Kommission Greifswald ist zuständig für Prüfer, die Mitarbeiter der Universität Greifswald oder eines ihrer Lehrkrankenhäuser sind.Sie ist auch zuständig für Prüfer, die in einer Prüfstelle in den Landkreisen Nordvorpommern, Mecklenburgische Seenplatte oder Südvorpommern tätig sind.

(3) Die Ethik-Kommission Rostock ist zuständig für Prüfpersonen, die Beschäftigte der Universität Rostock oder eines ihrer Lehrkrankenhäuser sind. Sie ist auch zuständig für Prüfpersonen, die in einer Prüfstelle in den Landkreisen Ludwigslust-Parchim, Nordwestmecklenburg oder Rostock oder in den kreisfreien Städten Rostock oder Schwerin tätig sind."

Die Aufgaben der Gesundheitsämter bezüglich sexuell übertragbarer Krankheiten ergeben sich aus § 19 des Infektionsschutzgesetzes vom 20. Juli 2000 (BGBl. I S. 1045), das zuletzt durch Artikel 2 § 3 Abs. 4 des Gesetzes vom 1. September 2005 (BGBl. I S. 2618) geändert worden ist.

Die Aufgaben der Gesundheitsämter bezüglich sexuell übertragbarer Krankheiten ergeben sich aus § 19 des Infektionsschutzgesetzes."

(1) Die Kammern sind berechtigt, soweit hinreichende Anhaltspunkte für eine Verletzung von Berufspflichten vorliegen, die zur Aufklärung erforderlichen personenbezogenen Daten des betroffenen Kammermitglieds bei öffentlichen Stellen zu erheben und zu verarbeiten. Die anderen öffentlichen Stellen sind verpflichtet, die erforderlichen Angaben zu machen; besondere gesetzliche Übermittlungsregelungen oder Geheimhaltungspflichten sowie Berufs- oder besondere Amtsgeheimnisse bleiben unberührt.

(2) Die Kammern sind berechtigt, an Kammern desselben Berufs, an die nach § 12 Bundesärzteordnung zuständigen Behörden sowie an die Aufsichtsbehörden personenbezogene Daten der Kammermitglieder zu übermitteln, soweit diese Stellen ohne Kenntnis der Daten an der rechtmäßigen Erfüllung ihrer Aufgaben gehindert wären.

(3) Liegen den Kammern Angaben über das Vorliegen disziplinarischer oder strafrechtlicher Sanktionen, die sich auf eine Untersagung oder Beschränkung beziehen und die sich auf die Ausübung von Tätigkeiten durch die Inhaberin oder den Inhaber eines Europäischen Berufsausweises nach der Richtlinie 2005/36/EG in der jeweils geltenden Fassung auswirken, vor, so haben sie diese in der entsprechenden Datei des Binnenmarkt-Informationssystems IMI zu aktualisieren. Anzugeben sind die Identität der Berufsangehörigen, der Beruf, die Bezeichnung der Behörde oder des Gerichts, die oder das die Entscheidung getroffen oder bestätigt hat, sowie die Art, der Umfang und die zeitliche Dauer der getroffenen Maßnahme. Die Kammern sind zur Wahrnehmung der Aufgaben berechtigt, die erforderlichen personenbezogenen Daten zu erheben, zu nutzen, zu übermitteln und in sonstiger Weise zu verarbeiten. Dabei sind die Vorschriften zum Schutz personenbezogener Daten einzuhalten, die in der Richtlinie 95/46/EG und der Richtlinie 2002/58/EG in ihrer jeweils geltenden Fassung festgelegt sind. Zu diesen Aktualisierungen gehört auch das Löschen von Informationen, die nicht mehr benötigt werden.

(1) Die Kammern dürfen Gesundheitsdaten ihrer Mitglieder sowie von Dritten verarbeiten, soweit die Verarbeitung zur Wahrnehmung einer den Kammern gesetzlich übertragenen Aufgabe erforderlich ist.

(2) Soweit hinreichende Anhaltspunkte für eine Verletzung von Berufspflichten vorliegen, dürfen die Kammern die zur Aufklärung erforderlichen personenbezogenen Daten des betroffenen Kammermitglieds auch dann verarbeiten, wenn diese durch andere öffentliche Stellen zu einem anderen Zweck erhoben worden sind.

(3) Die Kammern dürfen die von ihnen erhobenen personenbezogenen Daten zum Zweck der Übermittlung weiterverarbeiten, soweit die Übermittlung zur Verhütung, Aufdeckung, Ermittlung und Verfolgung von Verstößen gegen die berufsständischen Regeln reglementierter Berufe durch andere Stellen erforderlich ist. § 4 Absatz 2 des Landesdatenschutzgesetzes bleibt unberührt.

(4) Liegen den Kammern Angaben über das Vorliegen disziplinarischer oder strafrechtlicher Sanktionen, die sich auf eine Untersagung oder Beschränkung beziehen und die sich auf die Ausübung von Tätigkeiten durch die Inhaberin oder den Inhaber eines Europäischen Berufsausweises nach der Richtlinie 2005/36/EG in der jeweils geltenden Fassung auswirken, vor, so haben sie diese in der entsprechenden Datei des Binnenmarkt-Informationssystems IMI zu aktualisieren. Anzugeben sind die Identität der Berufsangehörigen, der Beruf, die Bezeichnung der Behörde oder des Gerichts, die oder das die Entscheidung getroffen oder bestätigt hat, sowie die Art, der Umfang und die zeitliche Dauer der getroffenen Maßnahme. Dabei sind die Vorschriften zum Schutz personenbezogener Daten einzuhalten, die in der Datenschutz-Grundverordnung und der Richtlinie 2002/58/EG in ihrer jeweils geltenden Fassung festgelegt sind. Zu den Aktualisierungen nach Satz 1 gehört auch das Löschen von Informationen, die nicht mehr benötigt werden."

§ 34 Nutzen und Übermitteln von Daten im Krankenhaus

§ 35 Übermittlung an Stellen außerhalb des Krankenhauses

§ 36 Auskunft und Akteneinsicht

§ 37 Löschung und Sperrung von Daten

§ 38 Datenverarbeitung für Forschungszwecke

§ 39 Datenverarbeitung im Auftrag

§ 34 Weitere Verarbeitung von Daten

§ 35 Einschränkung des Rechts auf Auskunft der betroffenen Person

§ 36 Löschung und Sperrung von Daten

§ 37 Datenverarbeitung für Forschungszwecke

§ 38 Datenverarbeitung im Auftrag

§ 39 Ordnungswidrigkeiten".

(1) Im Krankenhaus erhobene Patientendaten unterliegen unabhängig von der Art ihrer Verarbeitung dem Datenschutz. Patientendaten sind Einzelangaben über persönliche oder sachliche Verhältnisse bestimmter und bestimmbarer Patientinnen und Patienten eines Krankenhauses. Als Patientendaten gelten auch personenbezogene Daten von Angehörigen oder anderen Bezugspersonen der Patientinnen und Patienten sowie sonstiger Dritter, die dem Krankenhaus im Zusammenhang mit der stationären und ambulanten Versorgung der Patientinnen und Patienten bekannt werden.

(2) Ergänzend zu den Vorschriften dieses Gesetzes über die Verarbeitung von Patientendaten gelten das Landesdatenschutzgesetz mit Ausnahme des § 2 Absatz 5 und § 25 Absatz 3 des Landesdatenschutzgesetzes mit der Maßgabe, dass anstelle der §§ 4 und 7 Absatz 1 bis 4, der §§ 8 bis 10, des § 13 Absatz 2 bis 5 und der §§ 14, 15, 24 und 34 des Landesdatenschutzgesetzes die Vorschriften dieses Gesetzes treten.

Im Krankenhaus verarbeitete personenbezogene Daten unterliegen unabhängig von der Art ihrer Verarbeitung der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung; ABl. L EU 119 vom 04.05.2016 S. 1, L 314, S. 72) und ergänzend den datenschutzrechtlichen Bestimmungen dieses Abschnitts. § 38 in Verbindung mit § 6 Absatz 4, Absatz 5 Satz 2 und Absatz 6 des Bundesdatenschutzgesetzes gelten entsprechend. Der Krankenhausträger ist Verantwortlicher gemäß Artikel 4 Nummer 7 der Datenschutz-Grundverordnung.

(1) Patientendaten dürfen nur erhoben und gespeichert werden, soweit dies erforderlich ist

1. zur Erfüllung des mit den Patientinnen und Patienten oder zu deren Gunsten abgeschlossenen Behandlungsvertrages einschließlich der Erfüllung der ärztlichen Dokumentationspflicht und der Pflegedokumentation,
2. zur sozialen und seelsorgerlichen Betreuung der Patientinnen und Patienten nach § 5 entsprechend den allgemeinen datenschutzrechtlichen Bestimmungen,
3. zur Leistungsabrechnung und Abwicklung von Ansprüchen, die mit der Behandlung im Zusammenhang stehen

oder soweit dieses Gesetz oder eine andere Rechtsvorschrift dies vorschreibt oder erlaubt oder die Patientin oder der Patient im Einzelfall eingewilligt hat.

(2) Die Einwilligung bedarf der Schriftform, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist. Vor der Einwilligung ist in geeigneter Weise über die Bedeutung der Einwilligung, insbesondere über Art und Umfang der Verarbeitung und Nutzung der Daten, bei einer beabsichtigten Übermittlung auch über den Empfänger der Daten, aufzuklären und darauf hinzuweisen, dass die Einwilligung verweigert oder mit Wirkung für die Zukunft widerrufen werden kann. Wird die Einwilligung zusammen mit anderen Erklärungen schriftlich erteilt, sind die Patientinnen und Patienten hierauf besonders hinzuweisen.

(3) Patientendaten dürfen, soweit sie nicht durch andere Stellen nach Maßgabe des § 39 im Auftrag verarbeitet oder an andere Stellen nach Maßgabe des § 35 übermittelt werden, als automatisierte Dateien nur auf Datenträgern gespeichert und durch Datenverarbeitungssysteme und Programme verarbeitet werden, die der ausschließlichen Verfügungsgewalt des Krankenhauses unterliegen.

(1) Die Verarbeitung personenbezogener Daten von Patientinnen und Patienten durch das Krankenhaus ist zulässig, soweit dies zur Erfüllung des mit den Patientinnen und Patienten oder zu deren Gunsten abgeschlossenen Behandlungsvertrages einschließlich der Erfüllung der ärztlichen Dokumentationspflicht und der Pflegedokumentation, zur sozialen und seelsorgerlichen Betreuung der Patientinnen und Patienten und zur Leistungsabrechnung und Abwicklung von Ansprüchen, die mit der Behandlung im Zusammenhang stehen, erforderlich ist.

(2) Soweit dies gemäß Absatz 1 erforderlich ist, dürfen die Daten gegenüber Behandlungseinrichtungen anderer Fachrichtungen desselben Krankenhauses offenbart werden. Die Offenbarung gegenüber Dritten außerhalb des Krankenhauses zu Zwecken des Absatzes 1 oder der Durchführung einer Mit- oder Nachbehandlung ist nur zulässig, soweit diese ihrerseits zur Verarbeitung der Daten befugt sind und die Patientin oder der Patient nichts anderes bestimmt hat.

(3) Die Offenbarung der personenbezogenen Daten zum Zweck der Unterrichtung von Angehörigen oder anderen Bezugspersonen ist zulässig, wenn kein gegenteiliger Wille durch die Patientin oder den Patienten kundgetan wurde, die Einwilligung der Patientin oder des Patienten nicht rechtzeitig erlangt werden kann und keine sonstigen Anhaltspunkte dafür bestehen, dass eine Übermittlung nicht angebracht ist.

(1) Patientendaten dürfen für die Zwecke genutzt werden, für die sie nach § 33 Absatz 1 erhoben worden sind. Darüber hinaus dürfen sie nur genutzt werden, soweit dies erforderlich ist für

1. die Geltendmachung von Ansprüchen des Krankenhauses sowie zur Abwehr von Ansprüchen oder die Verfolgung von Straftaten oder Ordnungswidrigkeiten,
2. Planungszwecke und Wirtschaftlichkeits- und Organisationsuntersuchungen,
3. die im Krankenhaus durchgeführte Aus-, Fort- und Weiterbildung in ärztlichen oder anderen Fachberufen des Gesundheitswesens,
4. Forschungszwecke gemäß § 38,

soweit der Zweck nicht mit pseudonymisierten oder anonymisierten Daten erreicht werden kann.

(2) Krankenhausmitarbeiterinnen und Krankenhausmitarbeiter dürfen Patientendaten nur für den zu ihrer jeweiligen rechtmäßigen Aufgabenerfüllung gehörenden Zweck übermitteln.

(3) Für die Übermittlung von Patientendaten zwischen Behandlungseinrichtungen verschiedener Fachrichtungen in einem Krankenhaus (Fachabteilungen, medizinische Bereiche, Institute) gilt § 35 Absatz 1 entsprechend.

(4) Sofern Patientendaten aus dem medizinischen Bereich durch die Verwaltung oder andere nichtmedizinische Stellen im Krankenhaus für Zwecke nach Absatz 1 Nummer 2 genutzt werden, darf dies grundsätzlich nur mit pseudonymisierten oder anonymisierten Daten geschehen. Im Einzelfall dürfen Patientendaten zur Vermeidung mehrfacher Erhebung derselben Daten zusammengeführt werden, wenn sie vorher mit Ausnahme einer Kennziffer pseudonymisiert oder anonymisiert worden sind. Nach der Zusammenführung der Datensätze sind die Merkmale, mit deren Hilfe ein Personenbezug hergestellt werden kann, zu löschen.

(1) Eine Verarbeitung personenbezogener Daten von Patientinnen und Patienten zu einem anderen als in § 33 Absatz 1 genannten Zweck ist nur zulässig, wenn dies

1. zur Geltendmachung von zivilrechtlichen Ansprüchen des Krankenhauses oder zur Abwehr entsprechender Ansprüche sowie zur Verfolgung von Straftaten oder Ordnungswidrigkeiten Dritter,
2. zur Durchführung qualitätssichernder Maßnahmen,
3. zu Planungszwecken und Wirtschaftlichkeits- und Organisationsuntersuchungen,
4. zu im öffentlichen Interesse liegenden Forschungszwecken nach § 37,
5. zur im Krankenhaus durchgeführter Aus-, Fort- und Weiterbildung in ärztlichen oder anderen Fachberufen des Gesundheitswesens,
6. zur Rechnungsprüfung durch den Krankenhausträger, einer von ihm beauftragten Wirtschaftsprüferin oder eines von ihm beauftragten Wirtschaftsprüfers oder den Landesrechnungshof und zur Überprüfung der Wirtschaftlichkeit durch Beauftragte gemäß § 113 des Fünften Buches Sozialgesetzbuch oder
7. zur Meldung nach § 15b Absatz 2 des Gesetzes über den Öffentlichen Gesundheitsdienst über die Durchführung einer Kinderuntersuchung nach § 26 Absatz 1 des Fünften Buches Sozialgesetzbuch in Verbindung mit der Kinder-Richtlinie des Gemeinsamen Bundesausschusses

erforderlich ist.

(2) Zu Zwecken nach Absatz 1 Nummer 2, 3 und 5 sind die Daten in einer Weise zu verarbeiten, bei der die Identifizierung von betroffenen Personen nicht oder nicht mehr möglich ist. Sind die Zwecke auf diese Weise nicht zu erreichen, ist die Verarbeitung von pseudonymisierten Daten zulässig, soweit nicht überwiegende schutzwürdige Interessen der betroffenen Person entgegenstehen. Die pseudonymisierten Daten sind zu anonymisieren oder zu löschen, sobald der Zweck es zulässt, spätestens jedoch nach Ablauf eines Jahres nach der Zweckänderung. Die Einschränkung gilt nicht, wenn Aus-, Fort- oder Weiterzubildende unter der Aufsicht von Fachpersonal unmittelbar an der Erfüllung des Behandlungsvertrages mitwirken.

(3) Die Verarbeitung zum Zweck des Absatzes 1 Nummer 1 und 6 darf nur durch oder unter der Verantwortung von Personen erfolgen, die einem Berufsgeheimnis unterliegen.

(4) Empfänger, denen nach diesem Gesetz personenbezogene Daten von Patientinnen und Patienten offenbart werden, haben diese Daten unbeschadet sonstiger Datenschutzbestimmungen und Geheimhaltungspflichten in demselben Umfang geheim zu halten wie das Krankenhaus selbst.

(5) Soweit die Vorschriften dieses Gesetzes auf Empfänger, denen die Daten zu den Zwecken nach Absatz 1 offenbart werden, keine Anwendung finden, ist eine Offenbarung nur zulässig, wenn die Empfänger sich zur Einhaltung der Vorschriften nach Absatz 2 bis 4 verpflichten.

(6) Soweit personenbezogene Daten von Patientinnen und Patienten an andere Empfänger offenbart werden, hat der Verantwortliche die Zwecke und Rechtsgrundlagen der Offenbarung, die Empfänger, die Kategorien der offenbarten Daten und den Kreis der betroffenen Personen zu dokumentieren. Der Datenschutzbeauftragte des Krankenhauses ist zu beteiligen.

(1) Die Übermittlung von Patientendaten an Personen oder Stellen außerhalb des Krankenhauses ist nur zulässig, soweit dies erforderlich ist

1. zur Erfüllung des Behandlungsvertrages,
2. zur Durchführung einer Mit- oder Nachbehandlung, soweit die Patientin oder der Patient nichts anderes bestimmt hat,
3. zur Abwehr einer gegenwärtigen Gefahr für Leben, körperliche Unversehrtheit oder persönliche Freiheit der Patientin oder des Patienten oder Dritter, wenn diese Rechtsgüter das Geheimhaltungsinteresse der Patientin oder des Patienten wesentlich überwiegen,
4. zur Unterrichtung von Angehörigen oder anderen Bezugspersonen, für die Übermittlung medizinischer Daten jedoch nur, falls die Einwilligung der Patientin oder des Patienten nicht rechtzeitig erlangt werden kann, kein gegenteiliger Wille kundgetan wurde oder sonstige Anhaltspunkte dafür bestehen, dass eine Übermittlung nicht angebracht ist,
5. zur Erfüllung einer Behandlungspflicht oder einer gesetzlich vorgeschriebenen Mitteilungspflicht, soweit diese der ärztlichen Schweigepflicht vorgeht,
6. zu Forschungszwecken nach Maßgabe des § 38,
7. zur Durchsetzung von Ansprüchen aus dem Behandlungsvertrag,
8. zur Feststellung der Leistungspflicht der Kostenträger und zur Abrechnung mit diesen,
9. zur Rechnungsprüfung durch den Krankenhausträger, einer von ihm beauftragten Wirtschaftsprüferin oder eines von ihm beauftragten Wirtschaftsprüfers oder den Landesrechnungshof und zur Überprüfung der Wirtschaftlichkeit durch Beauftragte im Rahmen des § 113 des Fünften Buches Sozialgesetzbuch und des Pflegesatzverfahrens nach der Bundespflegesatzverordnung vom 26. September 1994 (BGBl. I S. 2750), die zuletzt durch Artikel 3 des Gesetzes vom 24. Juli 2010 (BGBl. I S. 983) geändert worden ist,
10. zur sozialen und seelsorgerischen Betreuung der Patientinnen und Patienten nach Maßgabe der §§ 5 und 33,
11. zur Bearbeitung von Patientenbeschwerden,
12. zur Durchführung qualitätssichernder Maßnahmen, soweit der Zweck nicht mit anonymisierten Daten erreicht werden kann und das öffentliche Interesse an der Durchführung der Maßnahme die Patientenschutzrechte wesentlich überwiegt,
13. zur Meldung nach § 156 Absatz 2 des Gesetzes über den Öffentlichen Gesundheitsdienst über die Durchführung einer Kinderuntersuchung nach § 26 Absatz 1 des Fünften Buches Sozialgesetzbuch in Verbindung mit den Richtlinien des Bundesausschusses der Ärzte und Krankenkassen über die Früherkennung von Krankheiten bei Kindern bis zur Vollendung des 6. Lebensjahres in der Fassung vom 26. April 1976 (BAnz. Nummer 214 vom 11. November 1976), zuletzt geändert am 18. Juni 2009 (BAnz. Nummer 132 vom 4. September 2009) - Kinder-Richtlinien.

(2) Personen oder Stellen, denen nach diesem Gesetz Patientendaten übermittelt werden, dürfen diese nur zu dem Zweck verwenden, zu dem sie ihnen befugt übermittelt worden sind. Eine Übermittlung der Daten durch diese Personen oder Stellen an

Dritte bedarf der Zustimmung des Krankenhauses. Im Übrigen haben sie diese Daten unbeschadet sonstiger Datenschutzbestimmungen in demselben Umfang geheim zu halten wie das Krankenhaus selbst.

(3) Soweit die Vorschriften dieses Gesetzes auf die Datenempfänger keine Anwendung finden, ist eine Übermittlung in den Fällen des Absatzes 1 nur zulässig, wenn die Empfänger sich zur Einhaltung der Vorschriften des Absatzes 2 verpflichten. Im Falle einer Übermittlung an Stellen außerhalb des Geltungsbereichs des Grundgesetzes gilt § 16 des Landesdatenschutzgesetzes entsprechend.

Das Krankenhaus kann im Einzelfall die Auskunft nach Artikel 15 der Datenschutz-Grundverordnung oder die Akteneinsicht durch eine Ärztin oder einen Arzt vermitteln lassen, sofern andernfalls eine unverhältnismäßige Beeinträchtigung der Gesundheit der Patientin oder des Patienten zu befürchten ist. Die Notwendigkeit der Vermittlung ist zu begründen und schriftlich in der Krankenakte festzuhalten.

(1) Patientinnen und Patienten sind auf Antrag kostenfrei Auskunft über die zu ihrer Person gespeicherten Daten zu erteilen, Kopien gegen ein angemessenes Entgelt zu fertigen und Einsicht in die Krankenunterlagen einschließlich der ärztlichen und pflegerischen Dokumentation zu gewähren. Dieses Recht erstreckt sich auch auf Angaben über die Personen und Stellen, denen Patientendaten übermittelt worden sind. Die Datenschutzrechte Dritter sind zu beachten. Sind Patientendaten mit personenbezogenen Daten Dritter untrennbar verbunden, kann die Einsicht in diese Daten verwehrt werden, wenn dadurch überwiegende schutzwürdige Interessen dieser Personen gefährdet würden. Im Übrigen bleibt das Einsichtsrecht unberührt.

(2) Das Krankenhaus kann im Einzelfall die Auskunft über die gespeicherten Daten oder die Akteneinsicht durch einen Arzt vermitteln lassen, sofern anderenfalls eine unverhältnismäßige Beeinträchtigung der Gesundheit der Patientin oder des Patienten zu befürchten ist. Die Notwendigkeit der Vermittlung ist zu begründen und schriftlich in der Krankenakte festzuhalten.

(3) Absatz 1 gilt entsprechend, soweit Dritte im Sinne des § 32 Absatz 1 Satz 2 Auskunft über die zu ihrer Person gespeicherten Daten verlangen und schutzwürdige Belange der Patientinnen und Patienten nicht entgegenstehen.

(1) Ist eine Speicherung der personenbezogenen Daten von Patientinnen und Patienten für die Zwecke, für die sie rechtmäßig verarbeitet werden, nicht mehr erforderlich, tritt an Stelle der Löschung eine Sperrung der Daten, solange

1. der Löschung eine durch Rechtsvorschrift oder durch die ärztliche Berufsordnung vorgeschriebene Aufbewahrungsfrist entgegensteht oder
2. Grund zu der Annahme besteht, dass durch die Löschung schutzwürdige Belange der Patientinnen und Patienten beeinträchtigt würden.

Die Daten können anstelle der Löschung anonymisiert werden, wenn sichergestellt ist, dass der Personenbezug in keiner Weise wiederhergestellt werden kann.

(2) Gesperrte Daten sind gesondert zu speichern. Soweit dies nicht möglich ist, sind die Daten mit einem Sperrvermerk zu versehen. Gesperrte Daten dürfen vor Ablauf der Sperrfrist nicht weiter verarbeitet werden. Zur Erschließung der Akten ist im Krankenhausarchiv ein Nachweis zu führen, zu dem kein direkter Zugriff anderer Bereiche besteht. Die Sperrung kann nur aufgehoben werden, wenn

1. die Aufhebung für die Durchführung einer Behandlung, mit der die frühere Behandlung in einem medizinischen Sachzusammenhang steht, oder
2. zur Erfüllung der Zwecke aus § 34 erforderlich ist oder
3. wenn die Patientin oder der Patient einwilligt.

Die Aufhebung der Sperrung ist zu begründen und in der Krankenunterlage zu vermerken.

(3) Soweit die personenbezogenen Daten von Patientinnen und Patienten in automatisierten Verfahren mit der Möglichkeit des Direktabrufs gespeichert werden, ist nach Abschluss der Behandlung die Möglichkeit des Direktabrufs zu sperren.

(1) Patientendaten in Krankenunterlagen sind nach Abschluss der Behandlung zu sperren und frühestens nach Ablauf von zehn Jahren, spätestens nach Ablauf von 30 Jahren zu löschen. Die Unterlagen können nach Fristablauf einem öffentlichen Archiv zur Übernahme angeboten werden. Die Löschung darf dann erst erfolgen, wenn das zuständige öffentliche Archiv die Übernahme abgelehnt oder über sie nicht fristgerecht entschieden hat. Im Übrigen sind Patientendaten zu löschen, wenn sie zur Erfüllung der Nutzungszwecke nach diesem Gesetz nicht mehr erforderlich sind. An die Stelle der Löschung tritt eine Sperrung, solange

1. der Löschung eine durch Rechtsvorschrift oder durch die ärztliche Berufsordnung vorgeschriebene Aufbewahrungsfrist entgegensteht oder
2. Grund zu der Annahme besteht, dass durch die Löschung schutzwürdige Belange der Patientinnen und Patienten beeinträchtigt würden.

Soweit die Voraussetzungen nach Satz 3 nicht vorliegen, können Daten anstelle der Löschung anonymisiert werden, wenn sichergestellt ist, dass der Personenbezug in keiner Weise wiederhergestellt werden kann.

(2) Gesperrte Daten sind gesondert zu speichern. Soweit dies nicht möglich ist, sind die Daten mit einem Sperrvermerk zu versehen. Gesperrte Daten dürfen vor Ablauf der Sperrfrist nicht verändert oder gelöscht werden. Zur Erschließung der Akten ist im Krankenhausarchiv ein Nachweis zu führen, zu dem kein direkter Zugriff anderer Bereiche besteht. Die Sperrung kann nur aufgehoben werden für die Durchführung einer Behandlung, mit der die frühere Behandlung in einem medizinischen Sachzusammenhang steht, zur Behebung einer Beweisnot, für eine spätere Übermittlung nach § 35 Absatz 1 oder wenn die Patientin oder der Patient einwilligt. Die Aufhebung der Sperrung ist zu begründen und in der Krankenunterlage zu vermerken.

(3) Soweit Patientendaten in automatisierten Verfahren mit der Möglichkeit des Direktabrufs gespeichert werden, ist nach Abschluss der Behandlung die Möglichkeit des Direktabrufs zu sperren.

(1) Die Verarbeitung und Nutzung von personenbezogenen Daten von Patientinnen und Patienten, die im Rahmen des § 33 Absatz 1 erhoben worden sind, sind für Forschungszwecke zulässig, wenn die Patientinnen und Patienten eingewilligt haben.

(2) Ohne Einwilligung der Patientinnen und Patienten dürfen die Daten nach Absatz 1 nur für bestimmte, im öffentlichen Interesse liegende Forschungsvorhaben verarbeitet werden, soweit

1. schutzwürdige Belange der Patientinnen und Patienten wegen der Art der Daten, ihrer Offenkundigkeit oder der Art ihrer Nutzung nicht beeinträchtigt werden oder
2. das für die Aufsicht für das Krankenhaus zuständige Ministerium festgestellt hat, dass das öffentliche Interesse an der Durchführung des Forschungsvorhabens die schutzwürdigen Belange der Patientinnen und Patienten erheblich überwiegt und der Zweck des Forschungsvorhabens auf andere Weise, insbesondere mit anonymisierten Daten, nicht oder nur mit unverhältnismäßigem Aufwand erreicht werden kann.

(3) Personenbezogene Daten von Patientinnen und Patienten sind für Forschungszwecke zu anonymisieren. Kann der Forschungszweck auf diese Weise nicht erreicht werden, ist die Verarbeitung mit pseudonymisierten Daten zulässig. Eine Treuhandstelle mit Sitz in einem Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den europäischen Wirtschaftsraum, deren Mitarbeiterinnen und Mitarbeiter einem Berufsgeheimnis oder einer vergleichbaren gesetzlichen Verschwiegenheitspflicht unterliegen, kann zur Pseudonymisierung und der Speicherung der Merkmale, mit deren Hilfe ein Patientenbezug hergestellt werden kann, im Rahmen der Auftragsverarbeitung nach Artikel 28 oder einer gemeinsamen Verantwortlichkeit nach Artikel 26 der Datenschutz-Grundverordnung herangezogen werden.

(4) Jede weitere Verarbeitung der Daten unterliegt den Anforderungen nach Absatz 1 bis 3. Der Verantwortliche hat sich vor der Offenbarung davon zu überzeugen, dass der Empfänger bereit und in der Lage ist, diese Vorschriften einzuhalten. Die Forschung betreibende Stelle darf Patientendaten nur mit schriftlicher Einwilligung der betroffenen Person veröffentlichen.

(5) Ärztinnen und Ärzte dürfen für eigene Forschungszwecke Dateien mit personenbezogenen Daten ihrer Patientinnen und Patienten nur mit Einwilligung der betroffenen Person anlegen.

(6) Soweit die Vorschriften dieses Gesetzes auf den Empfänger keine Anwendung finden, dürfen personenbezogene Daten von Patientinnen und Patienten nur offenbart werden, wenn der Empfänger sich verpflichtet, die Vorschriften nach Absatz 2 bis 4 einzuhalten und sich insoweit der Kontrolle des Landesbeauftragten für den Datenschutz unterwirft.

(1) Die Verarbeitung und Nutzung von Patientendaten, die im Rahmen des § 33 Absatz 1 gespeichert worden sind, ist für Forschungszwecke zulässig, wenn die Patientinnen und Patienten eingewilligt haben.

(2) Patientendaten dürfen ohne Einwilligung der Patientinnen und Patienten nur für bestimmte Forschungsvorhaben verarbeitet und genutzt werden, soweit

1. dessen schutzwürdige Belange wegen der Art der Daten, ihrer Offenkundigkeit oder der Art ihrer Nutzung nicht beeinträchtigt werden oder
2. die für das Krankenhaus zuständige oberste Aufsichtsbehörde festgestellt hat, dass das öffentliche Interesse an der Durchführung des Forschungsvorhabens die schutzwürdigen Belange der Patientinnen und Patienten erheblich überwiegt und der Zweck des Forschungsvorhabens nicht auf andere Weise oder nur mit unverhältnismäßigem Aufwand erreicht werden kann.

Soweit Patientendaten unter diesen Voraussetzungen an Hochschulen oder andere mit wissenschaftlicher Forschung beauftragte Stellen übermittelt werden, hat das Krankenhaus die empfangende Stelle, die Art der zu übermittelnden Daten, den Kreis der betroffenen Personen, das von der empfangenden Stelle genannte Forschungsvorhaben sowie das Vorliegen der Voraussetzungen des Satzes 1 aufzuzeichnen. Der Datenschutzbeauftragte des Krankenhauses ist zu beteiligen.

(3) Jede weitere Nutzung der Patientendaten unterliegt den Anforderungen der Absätze 1 und 2. Die übermittelnde Stelle hat sich vor der Übermittlung davon zu überzeugen, dass die empfangende Stelle bereit und in der Lage ist, diese Vorschriften einzuhalten.

(4) Sobald der Forschungszweck es erlaubt, sind die Merkmale, mit deren Hilfe ein Patientenbezug hergestellt werden kann, gesondert zu speichern. Die Merkmale sind zu löschen, sobald der Forschungszweck dies gestattet. Die Forschung betreibende Stelle darf Patientendaten nur mit schriftlicher Einwilligung der Betroffenen veröffentlichen.

(5) Soweit die Vorschriften dieses Gesetzes auf die empfangende Stelle keine Anwendung finden, dürfen Patientendaten nur übermittelt werden, wenn die empfangende Stelle sich verpflichtet, die Vorschriften der Absätze 2 und 4 einzuhalten und sich insoweit der Kontrolle des Landesbeauftragten für den Datenschutz unterwirft.

(6) Ärztinnen und Ärzte dürfen für eigene Diagnose-, Behandlungs- oder Forschungszwecke Dateien mit Patientendaten anlegen. Ärztinnen und Ärzte haben entsprechend den §§ 21 und 22 des Landesdatenschutzgesetzes insbesondere sicherzustellen, dass Dritte keinen Zugriff auf die Daten haben, soweit sie diese nicht zur Mitbehandlung benötigen. Dazu ist gegenüber dem Krankenhausträger der Nachweis zu erbringen, dass hierzu die technischen und organisatorischen Voraussetzungen zur Durchsetzung des Datenschutzes im Sinne des Gesetzes gewährleistet sind. Sobald es der Verarbeitungszweck erlaubt, sind die Daten zu anonymisieren.

(1) Der Verantwortliche darf die Verarbeitung von personenbezogenen Daten von Patientinnen und Patienten einem Auftragnehmer übertragen, wenn

1. Störungen im Betriebsablauf sonst nicht vermieden werden können,
2. die Datenverarbeitung dadurch erheblich kostengünstiger gestaltet werden kann oder
3. das Krankenhaus seinen Betrieb einstellt.

Dem Auftragnehmer dürfen Patientendaten nur insoweit offenbart werden, als dies für die Auftragserfüllung erforderlich ist.

(2) Eine über drei Monate hinausgehende Speicherung von Patientendaten durch einen Auftragnehmer ist außerhalb des Krankenhauses nur zulässig, wenn die Patientendaten auf getrennten Datenträgern gespeichert sind, die der Auftragnehmer für den Krankenhausträger verwahrt.

(3) Soweit die Auftragsverarbeitung nicht auf eine ausdrückliche Einwilligung der Patientinnen und Patienten gestützt werden kann, ist die Verarbeitung im Auftrag nur durch Personen zulässig, die einem Berufsgeheimnis nach § 203 Absatz 1 und 2 des Strafgesetzbuches unterliegen oder nach § 203 Absatz 4 des Strafgesetzbuches zur Verschwiegenheit verpflichtet sind.

(4) Übernimmt ein Auftragnehmer nach einer Betriebseinstellung eines Krankenhauses den gesamten Bestand der Patientendaten, gelten für ihn als verantwortliche Stelle hinsichtlich der Verarbeitung dieser Daten die Vorschriften dieses Abschnitts. Bei der Übernahme ist vertraglich sicherzustellen, dass die Patientinnen und Patienten für die Dauer von zehn Jahren nach Abschluss der Behandlung oder Untersuchung auf Verlangen in gleicher Weise wie bisher beim Krankenhaus Auskunft und Einsicht erhalten.

(5) Eine Auftragsverarbeitung außerhalb des Geltungsbereichs des Grundgesetzes ist nur zulässig, wenn die Patientin oder der Patient in die Auftragsverarbeitung im Ausland ausdrücklich eingewilligt hat oder der Auftragsverarbeiter nach dem Recht seines Sitzlandes selbst einer gesetzlichen Geheimhaltungspflicht unterliegt.

(1) Der Krankenhausträger darf die Verarbeitung von Patientendaten einem Auftragnehmer übertragen, wenn

1. Störungen im Betriebsablauf sonst nicht vermieden werden können,
2. die Datenverarbeitung dadurch erheblich kostengünstiger gestaltet werden kann oder
3. das Krankenhaus seinen Betrieb einstellt.

Vor der Erteilung eines Auftrags zur Verarbeitung von Patientendaten außerhalb des Krankenhauses ist zu prüfen, ob der Zweck auch mit verschlüsselten oder pseudonymisierten Patientendaten erreicht werden kann.

(2) Eine über drei Monate hinausgehende Speicherung von Patientendaten durch einen Auftragnehmer ist außerhalb des Krankenhauses nur zulässig, wenn die Patientendaten auf getrennten Datenträgern gespeichert sind, die der Auftragnehmer für den Krankenhausträger verwahrt.

(3) Der Auftragnehmer ist vom Krankenhausträger sorgfältig auszuwählen. Die Einzelheiten des Auftrags und die vom Auftragnehmer zu treffenden technischen und organisatorischen Sicherungsmaßnahmen sind schriftlich zu vereinbaren. Eine Abschrift der Vereinbarung hat der Krankenhausträger dem Landesbeauftragten für den Datenschutz unverzüglich zu übersenden.

(4) Der Auftragnehmer darf die ihm überlassenen Patientendaten nur im Rahmen des Auftrags und der Weisungen des Krankenhausträgers verarbeiten. Sofern die §§ 32 bis 38 für den Auftragnehmer nicht gelten, hat der Krankenhausträger sicherzustellen, dass der Auftragnehmer diese Vorschriften entsprechend anwendet und sich insoweit der Kontrolle des Landesbeauftragten für den Datenschutz unterwirft.

(5) Eine Übertragung des Auftrags auf Dritte oder die Erteilung von Unteraufträgen ist nur mit Zustimmung des Krankenhausträgers zulässig. Die Absätze 2 bis 4 gelten entsprechend.

(6) Übernimmt ein Auftragnehmer nach einer Betriebseinstellung eines Krankenhauses den gesamten Bestand der Patientendaten, gelten für ihn als verantwortliche Stelle hinsichtlich der Verarbeitung dieser Daten die Vorschriften dieses Abschnitts. Bei der Übernahme ist vertraglich sicherzustellen, dass die Patientinnen und Patienten für die Dauer von zehn Jahren nach Abschluss der Behandlung oder Untersuchung auf Verlangen in gleicher Weise wie bisher beim Krankenhaus Auskunft und Einsicht erhalten.

(1) Ordnungswidrig handelt, wer vorsätzlich oder fahrlässig entgegen den Vorschriften dieses Gesetzes personenbezogene Daten, die nicht offenkundig sind,

1. erhebt, speichert, unbefugt verwendet, verändert, übermittelt, weitergibt, zum Abruf bereithält oder löscht,
2. abruft, einsieht, sich anderweitig verschafft, durch Vortäuschung falscher Tatsachen an sich oder andere zu übermitteln veranlasst oder
3. bei zu Forschungszwecken nach § 37 Absatz 3 pseudonymisierten Daten einen Personenbezug herstellt.

(2) Die Ordnungswidrigkeit kann mit einer Geldbuße von bis zu 50.000 Euro geahndet werden.

(3) Ist die Handlung gleichzeitig eine Ordnungswidrigkeit nach Artikel 83 Absatz 4 bis 6 der Datenschutz-Grundverordnung, finden die Bestimmungen der Absätze 1 und 2 keine Anwendung."