Auf Grund einer Beschwerde ging der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit dieser Frage nach und untersuchte das Rollen- und Rechtekonzept in einer Klinik. In seinem Tätigkeitsbericht für 2021 (dort S. 207) stellt er dazu klar: „Ärztliche und pflegerisch tätige Mitarbeiter eines Klinikums dürfen nur auf die personenbezogenen Daten der Patienten zugreifen, die sie medizinisch behandeln und/oder pflegerisch versorgen. Dies betrifft in der Regel die personenbezogenen Daten von Patienten auf der Station beziehungsweise Abteilung des Krankenhauses, auf der die ärztlichen Mitarbeiter und Pflegkräfte jeweils tätig sind.“

Was der Landesdatenschutzbeauftragte bei einer Prüfung vor Ort feststellte, wich von dieser Maßgabe deutlich ab: „Die Beschwerdeführer legten dar, dass alle Mitarbeiter des Klinikums, insbesondere das Pflegepersonal, auf sämtliche Patientenakten des Klinikums zugreifen könnten und das elektronische Aktensystem systematisch danach durchsuchen würden, ob sich Freunde oder Bekannte im Klinikum befänden. Weiterhin seien Patienten des Klinikums privat auf ihre medizinischen Diagnosen angesprochen worden, obwohl sie diese selbst nicht im Freundes- oder Bekanntenkreis kommuniziert hätten.“

Leider scheint dies kein Einzelfall zu sein.

• Die Frankfurter Allgemeine Zeitung (FAZ) informierte in einem Beitrag vom 30.01.2015: „Rechtlich gesehen ist es Ärzten und Pflegern nicht erlaubt, in Akten von Fällen einzusehen, mit denen sie nicht direkt zu tun haben. Im Sana-Klinikum (in Offenbach) ist aber genau dies geschehen im Fall der getöteten Tugce. Dies bestätigte das Krankenhaus am Freitag. Rund 90 Mitarbeiter hätten illegal die Akte gelesen…“
• Der Hessische Datenschutzbeauftragte hat in seinem Tätigkeitsbericht für das Jahr 2017 im Abschnitt 7.1 (S. 80 des Berichts) mehrere Fälle unberechtigter interner Zugriffe von Beschäftigten des Klinikums Frankfurt-Höchst auf Patientenakten dargestellt. Wiederholt wurde auf Patientenakten von anderen Beschäftigten zugegriffen, die wg. einer Erkrankung im Klinikum behandelt wurden. Eine medizinische oder andere Notwendigkeit für diesen Zugriff war nicht gegeben.

Eine Übersicht über Datenpannen, Datenlecks und Ransomware-Angriffe im Umgang mit Gesundheits- und Behandlungsdaten in Deutschland finden Sie hier.