Datenschutzhinweis für Patienten in der Türkei: Inhalt, Muster und Einwilligung

Die Mitarbeiterin an der Rezeption reicht einem neuen Patienten ein Formular: „Bitte hier unterschreiben, wegen Ihrer personenbezogenen Daten.“ Der Patient fragt nicht, was er unterschreibt; die Mitarbeiterin weiß selbst nicht genau, ob es sich um den Datenschutzhinweis, eine ausdrückliche Einwilligung oder die Behandlungseinwilligung handelt. Am selben Morgen schreibt ein anderer Patient, der per WhatsApp einen Termin möchte, seinen Namen, seine Telefonnummer und seine Beschwerden. Auf wessen Handy liegen diese Nachrichten, was wurde dem Patienten gesagt, welcher Text wurde akzeptiert? Kliniken suchen die Antworten meist erst, wenn eine Anfrage eingeht. Dieser Beitrag erklärt, wie das türkische Recht diese Fragen für Kliniken in der Türkei beantwortet.

Der Datenschutzhinweis für Patienten ist der Informationstext, den eine Klinik beim Erheben der personenbezogenen Daten eines Patienten gibt und der erklärt, von wem, zu welchem Zweck und wie diese Daten verarbeitet werden. Rechtsgrundlage ist Artikel 10 des KVKK, des türkischen Gesetzes Nr. 6698 zum Schutz personenbezogener Daten. In diesem Beitrag lesen wir die amtlichen Texte, trennen Datenschutzhinweis, ausdrückliche Einwilligung und Einwilligung in medizinische Eingriffe voneinander und geben eine praktische Checkliste.

Datenschutzhinweis oder ausdrückliche Einwilligung? Mit dem Einwilligungsformular für Eingriffe sind es drei Dokumente

Alle drei in einer einzigen Unterschrift zusammenzufassen, führt den Patienten in die Irre und schwächt zugleich die Funktion jedes Dokuments. Beruht die Verarbeitung auf ausdrücklicher Einwilligung, verlangt das Kommuniqué zur Informationspflicht, dass Informationspflicht und ausdrückliche Einwilligung getrennt erfüllt werden (Art. 5/f). Die Einwilligung in einen medizinischen Eingriff ergibt sich aus dem türkischen Gesundheitsrecht und ersetzt den KVKK-Text nicht.

Was muss ein Datenschutzhinweis für Patienten enthalten?

Artikel 10 des KVKK verpflichtet den Verantwortlichen, beim Erheben personenbezogener Daten über fünf Punkte zu informieren. Das Kommuniqué stellt klar, dass dies der Mindestinhalt ist. Die folgende Liste macht aus dem Artikel eine Checkliste für Kliniken.

• Identität des Verantwortlichen: Firmenname der Klinik, Adresse und Kontaktweg für Anfragen.
• Zwecke der Verarbeitung: Zwecke wie Terminverwaltung, Erinnerung und Kommunikation einzeln und klar nennen; vage Formulierungen wie „sonstige Zwecke, die sich ergeben können“ sollen laut Kommuniqué nicht verwendet werden.
• An wen und zu welchem Zweck Daten übermittelt werden dürfen: die betreffenden Empfängergruppen und der Zweck der Übermittlung.
• Erhebungsmethode und Rechtsgrundlage: ob die Daten aus einem Formular, telefonisch, über eine Webseite oder per Messenger stammen und auf welcher Bedingung die Verarbeitung beruht.
• Die Rechte des Patienten nach KVKK Art. 11: Rechte wie Auskunft, Berichtigung und Löschung sowie der Weg der Antragstellung.
• Klare, verständliche und einfache Sprache: Das Kommuniqué verlangt dies ausdrücklich; eine Seite voller Juristendeutsch erfüllt diese Anforderung nicht.

Muster für einen KVKK-Datenschutzhinweis in der Klinik: eine Gliederung

Die folgende Gliederung ist kein fertiger Text, sondern die Reihenfolge der auszufüllenden Abschnitte. Füllen Sie die Felder in eckigen Klammern für Ihre Klinik aus und zeigen Sie das Ergebnis vor der Veröffentlichung Ihrer Fachberatung.

1. Verantwortlicher: [Firmenname der Klinik, Adresse, E-Mail-Adresse für Anfragen].
2. Welche Daten wir verarbeiten: [Vor- und Nachname, Telefon, E-Mail, Datum und Uhrzeit des Termins, gegebenenfalls Angaben, die Sie bei der Kontaktaufnahme gemacht haben].
3. Warum wir sie verarbeiten: [um Ihren Termin anzulegen und zu verwalten, Erinnerungen zu senden, mit Ihnen zu kommunizieren].
4. Rechtsgrundlage und Erhebungsmethode: [Terminformular, Telefon und Messenger; die zugrunde liegende Verarbeitungsbedingung].
5. An wen Daten übermittelt werden können: [Softwaredienstleister, bei gesetzlicher Pflicht zuständige Behörden].
6. Ihre Rechte und Antragstellung: [Rechte nach KVKK Art. 11, wie ein Antrag gestellt wird].

Wie holt man die ausdrückliche Einwilligung von Patienten ein?

Das Gesetz definiert die ausdrückliche Einwilligung als eine Einwilligung zu einem bestimmten Thema, die auf Information beruht und aus freiem Willen erklärt wird (Art. 3/a). In der Praxis heißt das: dem Patienten kein einzelnes Kästchen „Ich stimme allem zu“ anbieten, jeden Zweck als eigene, nicht vorangekreuzte Option darstellen und klar sagen, wenn eine verweigerte Einwilligung den Termin nicht verhindert.

Eines sollte man außerdem nicht vergessen: Nicht jede Verarbeitung erfordert eine ausdrückliche Einwilligung. Artikel 5 Absatz 2 nennt Bedingungen, bei denen keine Einwilligung nötig ist, etwa wenn die Verarbeitung unmittelbar mit dem Abschluss oder der Erfüllung eines Vertrags zusammenhängt; Artikel 6 stuft Gesundheitsdaten als besondere Kategorie ein, knüpft sie an eigene Bedingungen und nennt dabei auch den Fall, dass die Verarbeitung für die Erbringung von Gesundheitsleistungen durch zur Verschwiegenheit verpflichtete Personen erforderlich ist. Welche Verarbeitung auf welcher Bedingung beruht, muss die Klinik mit ihrer eigenen Fachberatung festlegen; die Einwilligung ist nicht die Antwort auf jede Frage.

Fallen Patientendaten aus WhatsApp unter das KVKK?

Das Gesetz behandelt jede Information über eine bestimmte oder bestimmbare natürliche Person als personenbezogenes Datum (Art. 3/d) und erfasst ihre ganz oder teilweise automatisierte Verarbeitung (Art. 2). Name, Telefonnummer und Terminwunsch eines Patienten fallen unter diese Definition; enthält die Nachricht eine Aussage zum Gesundheitszustand, gehört dieser Teil zu den besonderen Kategorien nach Artikel 6. Die Antwort lautet in der Praxis also Ja. Auch die Definition in der Verordnung über personenbezogene Gesundheitsdaten des türkischen Gesundheitsministeriums ist so weit gefasst, dass sie Informationen zur erbrachten Gesundheitsleistung umfasst; klären Sie mit Ihrer Beratung, wie die Verordnung auf die Terminunterlagen Ihrer Klinik anzuwenden ist.

Die praktischen Fragen lauten: Wer kann die Nachricht sehen, liegt sie auf privaten Handys, wird sie in eine Gruppe weitergeleitet, erhält der Patient in der ersten Antwort einen Link zum Datenschutzhinweis, und was passiert mit den Chats auf dem Gerät von Personal, das ausscheidet? Der Artikel zur Datensicherheit (Art. 12) verpflichtet den Verantwortlichen, die erforderlichen technischen und organisatorischen Maßnahmen zu treffen. Die Gesundheitsdatenverordnung sieht Maßnahmen vor, die verhindern, dass Personen, die an Schaltern und Tischen nebeneinander bedient werden, die Daten der anderen hören oder sehen (Art. 5/4), und beschränkt den Zugriff der Beschäftigten auf das, was die Leistung erfordert (Art. 6/1). Rezeptionsablauf und Berechtigungen im System unter diesem Gesichtspunkt zu prüfen, ist ein guter Anfang.

Was passiert, wenn ein Patient Löschung oder Auskunft verlangt?

Nach KVKK Art. 11 kann der Patient erfahren, ob seine Daten verarbeitet werden, Auskunft verlangen, eine Berichtigung und, sofern die Voraussetzungen vorliegen, die Löschung fordern. Der Verantwortliche erledigt den Antrag so schnell wie möglich, spätestens innerhalb von dreißig Tagen (Art. 13). Löschungsvorschriften in anderen Gesetzen bleiben unberührt (Art. 7/2); die Klinik muss also Aufbewahrungspflichten aus anderen Vorschriften gesondert prüfen.

Wie weist man die Informationspflicht nach? Grenzen von Papierformular, Excel und WhatsApp

Das Kommuniqué legt die Beweislast für die Erfüllung der Informationspflicht beim Verantwortlichen (Art. 5/e). Papierformulare gehen in Ordnern verloren, und es ist unklar, welche Textfassung unterschrieben wurde; wird der Text aktualisiert, lässt sich nicht nachverfolgen, welche Fassung frühere Patienten akzeptiert haben. Auch eine WhatsApp-Nachricht mit „gelesen“ zeigt weder getrennte Einwilligungen noch die Textfassung. In einer kleinen Praxis können Papier und ein geordnetes Archiv genügen; wachsen Zahl der Kanäle und Patienten, müssen Fassung, Zeitpunkt und Zustimmung zusammen mit dem Termindatensatz gespeichert werden.

Wie speichert Super Randevu Datenschutzhinweis und Einwilligung?

In Super Randevu werden Datenschutzhinweis und ausdrückliche Einwilligung versioniert erfasst: Es wird gespeichert, welche Textfassung wann bestätigt wurde, und dieser Nachweis gilt in allen fünf Sprachen, in denen die Patientenseite angeboten wird. Löschung und Export erfolgen in einem Schritt. Daten und Backups liegen auf Servern in der Türkei, bei jeder Anmeldung des Personals ist die Zwei-Faktor-Authentifizierung Pflicht, die Daten der einzelnen Betriebe sind auf Datenbankebene voneinander getrennt, und medizinische Unterlagen wie Diagnosen, Behandlungsnotizen oder Rezepte werden überhaupt nicht gespeichert. Im Kundenpool werden Kontakt, Terminverlauf, Herkunft und Einwilligungen auf einer Karte zusammengeführt; diese Funktion befindet sich in der Pilotphase.

Das ersetzt nicht die Pflichten der Klinik: Inhalt des Textes und Rechtsgrundlage liegen bei der Klinik, die Software hilft, die Nachweise geordnet zu führen. Oberfläche und Pilotprogramm finden Sie auf der Seite zu Super Randevu.