Telemedizin: Drittanbieter schöpfen Daten ab

Berlin -

2018 wurde das Fernbehandlungsverbot gelockert, in der Corona-Pandemie wurde das telemedizinische Angebot stark erweitert und mehr genutzt. Inzwischen gibt es auf dem Markt viele verschiedene Anbieter, neben Videosprechstunden auch Terminvergabeservices. Bezüglich des Schutzes der sensiblen Daten, die dabei erhoben werden, sieht der Verbraucherzentrale Bundesverband (vzbv) aber deutlichen Verbesserungsbedarf.

Stiftung Warentest hatte im Sommer vier Telemedizin-Plattform verglichen und die Datenschutzerklärungen sowie die Allgemeinen Geschäftsbedingungen einer juristischen Prüfung unterzogen. Drei Anbietern wurden im Bereich Datenschutz „deutliche“ Mängel attestiert. Der vzbv befasste sich in seinem Projekt „Verbraucherschutz bei digitalen Gesundheitsangeboten“ ebenfalls mit dem Thema Datenschutz und nahm neun Anbieter von Terminvergabeservices und Videosprechstundenangeboten genauer ins Visier.

Diese Services und deren Anbieter wurden bei dem Projekt genauer betrachtet:

Telemedizin:

• Arzt-Direkt (zollsoft GmbH)
• Doktor.de (Doktorde GmbH)
• Fernarzt (HealthHero Germany GmbH)
• Teleclinic (TeleClinic GmbH)
• Zavamed.de (Zava Deutschland GmbH)

Arzttermin-Portal:

• Doctena (Doctena Germany GmbH)
• Doctolib (Doctolib GmbH)
• Jameda (jameda GmbH)
• Samedi (Samedi GmbH)

Aufgrund der Beschaffenheit der Services werden in jedem Fall sensible Daten wie zum Beispiel der Besuchsgrund und die Facharztrichtung erfasst, das ermögliche Rückschlüsse auf den Gesundheitszustand einer Patientin oder eines Patienten, die oder der den Service in Anspruch nimmt. Damit zählen diese laut vzbv zu den „besonderen Kategorien personenbezogener Daten“ und für eine Verarbeitung sei dementsprechend eine ausdrückliche Einwilligung erforderlich. Bei sieben von neun der geprüften Anbieter sei allerdings keine oder nur eine unzureichende Einholung dieser Einwilligung erfolgt.

Nutzung von Trackingdiensten

Acht von neun Anbietern nutzen sogar Trackingdienste, also eine Verhaltensauswertung zu Marketingzwecken. Laut vzbv kann allerdings das Gesetz über digitale Dienste (Digital Services Act, DSA), je nach Ausgestaltung des Angebots, auch auf Videosprechstundenplattformen angewendet werden: Nach der EU-Verordnung dürfen ab Februar 2024 Anbieter von Online-Plattformen keine Werbungen mehr anzeigen, die auf einer Profilbildung unter Verwendung sensibler Daten beruhen.

Zwei Anbieter habe der vzbv sogar „wegen verschiedener Datenschutzverstöße“ abgemahnt, darunter ein Fall von mangelnder Ausgestaltung der oben genannten Einwilligung und einmal aufgrund einer zu langen Speicherdauer der erhobenen Daten. Es sei jeweils zu einer außergerichtlichen Einigung gekommen, die Anbieter gaben laut vzbv Unterlassungserklärungen ab.

Datenübermittlung in die USA

Auch würden acht der Anbieter „Daten in Länder außerhalb der EU, mehrheitlich in die USA“ übermitteln – ein gültiges Datenschutzabkommen zwischen den USA und der EU gibt es derzeit nicht.

Im Rahmen einer internetrepräsentativen Umfrage wurden im Auftrag des vzbv durch eye square 1100 Personen ab 16 Jahren zur Relevanz von Datenschutz bei der Nutzung von digitalen Gesundheitsangeboten befragt: Drei Viertel der Befragten gaben an, dass ihnen der Datenschutz sehr oder eher wichtig ist. Etwa die Hälfte mache auch die Entscheidung, ob sie das Angebot nutzen oder nicht, vom Datenschutz abhängig.

Als Resultat der Untersuchungen fordert der vzbv transparente Informationen zur Speicherdauer der personenbezogenen Daten und über die Übermittlung der Daten in Drittländer. Außerdem sei für einen niedrigschwelligen Zugang das Angebot von Gastzugängen wünschenswert, ein Löschkonzept bei Nichtnutzung eines Accounts werde ebenfalls benötigt.