Der zweite Teil setzt den Beitrag aus dem Gesundheitsrecht.blog Nr. 47, 2024 fort. Der 1. Teil des Beitrags hat die Entscheidung des EuGH in der Rs. C-307/22 („Copies du dossier médical“) aufgezeigt, evaluiert und in den datenschutzrechtlichen Kontext eingeordnet. Der 2. Teil zeigt die dogmatischen wie auch praktischen Auswirkungen der Entscheidung auf und gibt einen Ausblick auf Anschlussfragen sowie sich abzeichnende regulatorische Tendenzen.

E.         Auswirkungen der Entscheidung

Es steht zu erwarten, dass das dargestellte EuGH-Urteil aufgrund seiner Reichweite und Präzedenzwirkung[1] spürbare Auswirkungen auch auf die deutsche Rechtspraxis sowie tägliche medizinische Praxis entfalten wird.

I.           Konsequenzen für die deutsche Rechtslage

In ihrem Anwendungsbereich verdrängt die unmittelbar geltende DSGVO das nationale Recht grds. vollständig gem. Art. 288 Abs. 2 AEUV.[2] Der EuGH sieht die Kostentragungspflicht nach § 630g Abs. 2 S. 2 BGB als unzulässige wirtschaftliche Abwälzung auf Patienten an.  Die deutsche Judikative hat die Norm daher unangewendet zu lassen bzw. unionsrechtskonform dahingehend auszulegen, dass der Kostenerstattungsanspruch entfällt.[3]

Mithin ergibt sich für das nationale Recht legislativer Anpassungsbedarf des § 630g Abs. 2 BGB[4] sowie auch des Berufsrechts in Gestalt der Berufsordnungen der Kammern auf Landesebene[5]. Hierbei verbleibt ein gewisser Spielraum durch die Öffnungsklauseln der Art. 9 Abs. 4 bzw. Art. 23 Abs. 1 lit. i DSGVO, wobei der EuGH diesen nunmehr deutlich eingegrenzt hat. Eine etwaige Regelung de lege ferenda dürfte wohl nach seiner Wertung[6] im Hinblick auf den Verhältnismäßigkeitsgrundsatz des Art. 23 Abs. 1 DSGVO jedenfalls nicht wie § 630g Abs. 2 S. 2 BGB in seiner aktuellen Fassung eine generelle Kostentragungspflicht der Patienten pauschal rein auf administrative oder wirtschaftliche Erwägungen stützen.[7]

Eine weitere Konsequenz ergibt sich: War bisher § 630g BGB Ausgangspunkt der Überlegungen zur Reichweite des Einsichtsrecht (also des Umfangs der zu überlassenen Unterlagen)[8], so ist nunmehr (zumindest auch) auf die DSGVO abzustellen. Auch wenn die Einsichtsrechte inhaltlich weitgehend deckungsgleich sein dürften,[9] könnte der Auskunftsanspruch nach der DSGVO insbesondere auch solche weiteren patientenbezogenen Daten umfassen, die keinen Eingang in die eigentliche Behandlungsdokumentation gefunden haben, sondern etwa im internen KIS/AIS verblieben sind.[10] Dies wirft die aktuell diskutierte Anschlussfragestellung auf, welche weiteren Daten neben jenen aus der Patientenakte i.e.S. dem Patienten bei auf die DSGVO gestützten Auskunftsersuchen noch zu übermitteln sind.[11]

II.        Praktische Auswirkungen

Das EuGH-Urteil etabliert einen grundsätzlichen Auskunftsanspruch des Patienten, der nunmehr eine kostenfreie Kopie seiner kompletten Patientenakte anfordern kann, ohne dass es hierfür einer Begründung oder eines expliziten Verweises auf die DSGVO als Anspruchsgrundlage bedarf[12]. Hieraus resultiert eine Bringschuld[13] der Behandlerseite, ohne dass diese von einer Kostenerstattung abhängig gemacht werden kann.[14] Allerdings beschränkt sich die Kostenfreiheit auf die Erstkopie; für weitere Kopien kann der Behandelnde gem. Art. 15 Abs. 3 S. 2 DSGVO Kostenerstattung verlangen.

Ausnahmen nach Art. 15 Abs. 4 DSGVO dürften nur in seltenen Fällen denkbar sein[15]. Insbesondere dürfte ein doppelter Personenbezug unschädlich sein[16] und keine Freiheitsbeeinträchtigung i.S. dieser Ausnahmevorschrift darstellen. Nach dem vorliegenden Urteil lässt sich in diesem Kontext auch aus der unternehmerischen Freiheit des Behandlers keine Ausnahme ableiten.[17] Die ständige EuGH-Rechtsprechung verlangt ohnehin, dass sich Ausnahmen und Einschränkungen in Bezug auf den Schutz der personenbezogenen Daten auf das absolut Notwendige beschränken müssen.[18] Hiervon ausgehend dürfte Art. 12 Abs. 5 S. 2-3 DSGVO die für die Praxis relevanten Ausnahmefälle hinreichend und vermutlich, der Wertung des EuGH folgend, sogar abschließend, auf offenkundig unbegründete oder exzessive, sich häufend wiederholende Anträge[19], festlegen. In diesen Fällen darf der verantwortliche Behandler (zumindest nach der DSGVO) entweder ein angemessenes Entgelt für die Kopie verlangen oder eine Auskunft sogar gänzlich verweigern, wobei er, dem Ausnahmecharakter der Norm geschuldet, den Nachweis für den offenkundig unbegründeten oder exzessiven Charakter des Antrags zu erbringen hat. Diese Darlegungs- und Beweislastverteilung folgt auch aus der sog. Rechenschaftspflicht des Art. 5 Abs. 2 DSGVO, wonach der Verantwortliche die Einhaltung der Grundsätze des Art. 5 Abs. 1 DSGVO nachweisen muss. Das Auskunftsrecht ist Bestandteil des Transparenzgrundsatzes gemäß Art. 5 Abs. 1 lit. a DSGVO[20] und die Darlegungs- und Beweislast für die Einhaltung der Grundsätze trägt der Verantwortliche. Das gilt nicht nur gegenüber der Aufsichtsbehörde, sondern ebenso im (Zivil-)Prozess.[21] Hergebrachte Beweislastregeln, wie sie etwa aus § 284 ZPO abgeleitet werden, können im Bereich der DSGVO wegen Art. 288 UAbs. 2 AEUV nicht zur Anwendung gelangen. Unzutreffend ist insbesondere der Gedanke, der Union fehle es an einem prozessrechtlichen Kompetenztitel,[22] zumal hierzu regelmäßig zunächst mit Blick auf Art. 101 Abs. 1 S. 2 GG, im Übrigen auf Art. 288 AEUV, eine Vorabentscheidung gemäß Art. 267 AEUV einzuholen wäre.[23]

Die Patientenakte ist, wenn der betroffene Patient elektronisch anfragt und sofern nicht anders angegeben, gem. Art. 15 Abs. 3 S. 3 DSGVO auch elektronisch, in einem gängigen Format zu übermitteln – insofern keine wirkliche Änderung verglichen mit § 630g Abs. 2 S. 1 BGB[24]. Gem. ErwG 63 S. 4 DSGVO sollte der Behandler dem Patienten nach Möglichkeit ein Fernzugang zu einem sicheren System bereitstellen. In jedem Fall muss bei elektronischer Übermittlung ein „sicherer Übermittlungsweg“ gewählt werden.[25] Gemäß Art. 24, 32 DSGVO ist der Verantwortliche dabei verpflichtet, „jede Verletzung des Schutzes personenbezogener Daten so weit wie möglich zu verhindern“.[26] Eine sichere Übermittlung könnte gemäß Art. 32 DSGVO grundsätzlich durch die Bereitstellung auf einem Webserver erfolgen, der Daten bei ihrer Speicherung verschlüsselt (etwa die Anwendung Nextcloud) und sie ebenfalls bei der Auslieferung an den Empfänger, also während des Transports, verschlüsselt (HTTPS). Die URL ist durch ein individuelles Passwort zu sichern, das auf einem anderen Kommunikationskanal als die URL versandt werden sollte. Im Fall anwaltlicher Vertretung bietet sich wahlweise die Übermittlung per EGVP/beA an, welches der BGH[27] trotz fehlender durchgehender Verschlüsselung für sicher befunden hat. Nicht sicher sind in der Regel Cloudlösungen mit Drittlandbezügen (vgl. Art. 44 ff. DSGVO), insbesondere Sharepoint oder andere Anwendungen von Microsoft 365.[28] Es ist zu beachten, dass ein europäischer Geschäftssitz eines Anbieters nicht automatisch eine ausschließlich europäische IT-Infrastruktur bedeutet, und dass nicht wenige Dienstleister Datenverarbeitungen entgegen Art. 28 Abs. 1 DSGVO an unzuverlässige Unterauftragnehmer delegieren.

Kommt der Verantwortliche seinen datenschutzrechtlichen Pflichten nicht nach, sieht die DSGVO Sanktionen und empfindliche Geldbußen vor.[29] Nicht unterbleiben soll in diesem Zusammenhang auch ein Blick auf die aktuellen Entwicklungen des datenschutzrechtlichen Haftungsrechts[30], wonach bei Datenschutzverstößen auch an etwaige Ersatzansprüche nach Art. 82 DSGVO für materielle und sogar immaterielle Schäden zu denken ist[31].

Die Behandlerseite ist gehalten, anlässlich dieser EuGH-Rechtsprechung proaktiv Prozesse zu etablieren, um Auskunftsersuchen von Patienten zeitgerecht (grds. wohl unverzüglich, jedenfalls binnen Monatsfrist[32]) nachkommen und damit die rechtlichen Vorgaben entsprechend erfüllen zu können, auch um Sanktionen zu vermeiden.[33]  Für die medizinische Praxis werden damit Investitionen in moderne Informations- und Kommunikationstechnologien zunehmend unerlässlich, um wettbewerbsfähig zu bleiben und den rechtlichen Anforderungen zu entsprechen. Der sich aus diesem Urteil ergebende Handlungsbedarf erstreckt sich zudem sicherlich auch auf eine Anpassung der Arbeitsprozesse und Schulung des (nichtärztlichen) Personals.

F.         Ausblick auf weitere Anschlussfragen

Offen bleibt die Frage nach der Handhabung von Auskunftsersuchen bei entgegenstehenden therapeutischen Gründen[34]  bzw. erheblichen Rechten Dritter gem. § 630g Abs. 1 S. 1 a.E. BGB. Während für letzteren Fall ggf. noch die Ausnahmeklausel nach Art. 15 Abs. 4 DSGVO greifen könnte, gilt diese ihrem Wortlaut nach nicht für konfligierende Schutzgüter des Betroffenen selbst. Dies wirft die Anschlussfrage nach der Einschränkbarkeit des Auskunftsrechts wegen entgegenstehender therapeutischer Gründe aus § 630g Abs. 1 S. 1 BGB bzw. aus Art. 23 Abs. 1 lit. i DSGVO auf.[35]

Zudem stellt sich im Nachgang zum Urteil des EuGH die Frage nach einer Übertragbarkeit dieser Rechtsprechung auf jene Fälle, in welchen der Patient bereits verstorben ist und die Angehörigen und/oder Erben das Einsichtsrecht gem. § 630g Abs. 3 BGB geltend machen.[36] Dahingehende Zweifel mögen in ErwG 27 S. 1 DSGVO begründet sein, wonach die DSGVO keine Anwendung für die personenbezogenen Daten Verstorbener findet.[37]

Überdies wird die bereits thematisierte Anschlussfrage zur Reichweite des Auskunftsanspruchs näher zu klären sein, mithin welche weiteren Dokumente außerhalb der eigentlichen Behandlungsdokumentation (etwa interne patientenbezogene Versicherungs- oder gar Anwaltskorrespondenz[38]) zu übermitteln sind oder ob hier etwa Art. 15 Abs. 4 DSGVO greifen könnte. Weitere Anschlussdiskussionen könnten sich im Hinblick auf Auslegung und Reichweite des Begriffs „Erstkopie“ ergeben.[39] Zudem sind die aktuellen Parallelentwicklungen der elektronischen Patientenakte nach § 341 SGB V, für die ein eigenes Zugriffsrecht des Patienten vorgesehen ist[40], sowie des EU-Dataspace[41] und deren praktische Implikationen in diesem Zusammenhang zu beobachten und ggf. näher zu evaluieren. Eine Regulierung des Zugangs zu EU-Datenräumen ist bereits in Art. 33 der EU-Datenverordnung 2023/2854 vorgesehen.

G.        Reaktion des nationalen Gesetzgebers

Das Bundesjustizministerium hat zwischenzeitlich auf die aufgezeigten Entwicklungen und die Rechtsprechung des EuGH reagiert und am 24.5.2024 einen Referentenentwurf für ein Gesetz zur Änderung des BGB vorgelegt.[42] Zur Begründung wird angeführt, die Änderung erfolge „um einen weitgehenden Gleichlauf der Auskunftsansprüche nach Datenschutz- und Zivilrecht zu erreichen“. Zudem sollen bei dieser Gelegenheit durch Anpassung des § 630g BGB „Schutzlücken bei der Vererblichkeit von Geldentschädigungsansprüchen aufgrund von Persönlichkeitsrechtsverletzungen geschlossen werden.“[43] Demnach soll dem Patienten nach § 630g Abs. 1 S. 1 n.F. „ergänzend zu seinen Rechten nach Art. 15 Abs. 1 und 3 der Verordnung (EU) 2016/679 das Recht auf Einsicht in die gesamte ihn betreffende Patientenakte“ zustehen. Inwieweit hier eine über die DSGVO hinausgehende Reichweite des Einsichtsanspruchs geschaffen werden soll, bleibt indes offen.

Nach S. 2 soll nunmehr der Kopieerteilungsanspruch des Patienten auch im BGB kodifiziert werden, wobei die erste Kopie nach S. 2 unentgeltlich zur Verfügung gestellt werden soll. Die Vorschriften des Art. 12 Abs. 3 und 5 und des Art. 15 Abs. 3 der Verordnung (EU) 2016/679 sollen nach S. 4 „entsprechend gelten“. Soweit die Vorschrift kein bloßes Einsichts-, sondern ein Auskunftsrecht oder Auskunftsentgelte normiert, dürfte sich die Vorschrift wegen Kollision mit Art. 15 DSGVO als europarechtswidrig und gemäß Art. 288 Abs. 2 AEUV als unanwendbar erweisen, da sie dem Harmonisierungsziel (ErwG 10) zuwiderliefe. So sind selbst bloße Wiederholungen des Unionsrechts regelmäßig europarechtswidrig, da sie den unzutreffenden Anschein eines nationalrechtlichen Anwendungsvorrangs erwecken.[44] Auch die Öffnungsklausel des Art. 23 DSGVO deckt lediglich Einschränkungen, keine Erweiterungen des Auskunftsrechts ab. Ein Ausweg könnte in der Etablierung eines (elektronischen) Einsichtsrechts neben dem Auskunftsanspruch der DSGVO liegen.

Abs. 2 S. 1 sieht eine Ausnahme für den Fall vor, dass „dem Anspruch des Patienten auf Auskunft über den Inhalt der ihn betreffenden Patientenakte erhebliche therapeutische Gründe oder sonstige erhebliche Rechte Dritter entgegenstehen“. Hier unternimmt der Gesetzgeber wohl zum einen den Versuch, von der Öffnungsklausel des Art. 23 Abs. 1 lit. i DSGVO Gebrauch zu machen, zum anderen übernimmt er den jetzigen Wortlaut des § 630g Abs. 1 S. 1 BGB a.E. In Bezug auf „sonstige erhebliche Rechte Dritter“ dürfte die Regelung wegen Kollision mit Art. 15 Abs. 4 DSGVO europarechtswidrig sein, in der Praxis allerdings zu ähnlichen Ergebnissen führen. Hinsichtlich des therapeutischen Vorbehalts könnte die Einschränkung grundsätzlich durch Art. 23 Abs. 1 lit. i DSGVO (Schutz der betroffenen Person oder Rechte und Freiheiten anderer Personen) gerechtfertigt sein, wie auch in der amtlichen Begründung angeführt. Allerdings fehlt es an einer substantiierten Darlegung, weshalb die Ausnahme „notwendig“ und „verhältnismäßig“ im Sinne von Art. 23 Abs. 1 DSGVO ist.

In der Praxis wird hier eine umfangreiche Abwägung der therapeutischen Einzelsituation geboten sein. Keinesfalls wird man vorschnell zu einer Anspruchsbeschneidung mit dem pauschalen Verweis auf entgegenstehende therapeutische Gründe kommen dürfen:[45] Dem mündigen Patienten steht alleinig das Recht zu, eigenverantwortlich zu entscheiden, wie viel er wissen möchte und wo die Grenzen seines Informationsbedürfnisses erreicht sind.[46] Ein derart weiter therapeutischer Ermessensspielraum, wie ihn die Rechtsprechung in diesem Zusammenhang in früherer Zeit anerkannt hatte,[47] ist im Hinblick auf die vergangenen Entwicklungen der „Entmythologisierung von Medizin und Arzt“[48] und dem gestärkten Selbstbestimmungsrecht des Patienten einerseits und der datenschutzrechtlichen Entwicklungen zugunsten von Betroffenenrechten und Informationsfreiheit andererseits, kaum mehr haltbar. Nur im Falle konkreter (nicht bloß abstrakter) Gefahren einer ernstlichen Gesundheitsschädigung des Patienten durch die Auskunftserteilung wird man demnach eine Anspruchsbeschneidung rechtfertigen können.

Abs. 3 stellt sodann klar, dass von der Kostenfreiheit der Kopieerteilung nur der Patient zu Lebzeiten profitieren soll, nicht aber seine Erben oder nächsten Angehörigen im Falle der Anforderung der Patientenakte post mortem. Dieser Zusatz begegnet auf den ersten Blick keinen europarechtlichen Bedenken.

In Summe erscheint der Entwurf in seiner aktuellen Fassung nicht vollständig durchdacht, technisch mängelbehaftet, zudem nicht hinreichend klar formuliert[49] und begründet. Wird er so beschlossen, droht er, erneut vor dem EuGH zu landen. Zur finalen Beurteilung wird indessen der weitere Gang des Gesetzgebungsverfahrens abzuwarten bleiben.

H.        Abschließendes Fazit

Resümierend lässt sich festhalten, dass die die vorliegende Entscheidung des EuGH eine beachtliche Stärkung der Betroffenen- wie auch Patientenrechte bedeutet. Insbesondere im Gesundheitsdatenschutzrecht, wo ein erhöhtes Schutzbedürfnis besteht, ist besondere Sensibilität geboten, was der EU-Gesetzgeber auch in Art. 9 Abs. 1 DSGVO zum Ausdruck gebracht hat.[50] Umso wichtiger gestalten sich in diesem Zusammenhang auch die Betroffenenrechte, wie eben das im hiesigen Kontext relevante Auskunftsrecht nach Art. 15 DSGVO. Während sich aktuell auf europäischer Ebene insbesondere die Tendenz zur Stärkung der Betroffenenrechte und Richtung freier Zugänglichkeit von Informationen zeigt,[51] ist auf nationaler Ebene die (weitere) Stärkung der Patientenrechte auch mehr als 10 Jahre nach Inkrafttreten des Patientenrechtegesetzes nach wie vor gesundheitsrechtlicher und -politischer Diskussionsgegenstand.

Die dargestellte EuGH-Entscheidung greift diese Tendenzen auf, begegnet dem im Verantwortlichen-Betroffenen-, aber auch Arzt-Patienten-Verhältnis herrschenden Informationsgefälle effektiv und begünstigt so ein faires, auf Transparenz angelegtes Verfahren[52] i.S. eines Kräftegleichgewichts[53]. Insbesondere im für den medizinischen Laien nicht (mehr) ohne weiteres überblickbaren (privat-)ärztlichen Bereich mit der Tendenz zunehmender Komplexität der Behandlungsabläufe und Outsourcing bzw. Zwischenschaltung von externen (Abrechnungs-)dienstleistern[54] ist eine stärkere Transparenz hinsichtlich der heute mehr denn je relevanten Fragen „wer was wann und bei welcher Gelegenheit über ihn weiß“ [55] aus patienten- wie aus datenschutzrechtlicher Sicht wünschenswert. Je niedriger die (finanzielle) Zugangsschwelle rechtlich ausgestaltet wird, desto mehr Betroffene können das Auskunftsrecht de facto auch effektiv nutzen. Die DSGVO schafft neben einigen praktischen Ärgernissen auch tatsächliche Zugangs- und Kontrollmöglichkeiten durch effektive Ausgestaltung von Auskunftsrechten, die nicht als bloßer „datenschutzrechtlicher Fremdkörper“ im deutschen Medizinrecht aufgefasst werden sollte.

Es soll indes auch nicht verkannt werden, dass mit den gestärkten Betroffenenrechten einerseits auf der anderen Seite auch erhöhte Verpflichtungen für die Verantwortlichenseite einhergehen.[56] Eine gewisse Verärgerung der Ärzteschaft über die aufgezeigte EuGH-Rechtsprechung mag verständlich sein, sieht sie sich doch gerade vor zahlreichen finanziellen Herausforderungen, insbesondere stetigen Preissteigerungen und zumeist auch in einem preisgebundenen GKV-System[57]. Das Urteil könnte von Leistungserbringern aber auch zum Anlass genommen werden, in digitale Infrastruktur zu investieren und diese in den Praxisalltag zu implementieren, um die Arbeits- und Kommunikationsprozesse (auch hinsichtlich nichtdatenschutzrechtlicher Belange) zu optimieren.

Welche konkreten Dimensionen die praktischen Auswirkungen des Urteils für die Leistungserbringer in Gestalt zunehmender Anfragen von Patienten bedeutet, wird sich erst zeigen müssen. Das BMJ schätzt die jährlichen Bürokratiekosten in seinem Referentenentwurf auf 340.000,00 EUR ein.[58] Es scheint zumindest nicht fernzuliegen, dass einige Patienten bisher durch eine Kostentragungspflicht motiviert worden waren, von einer Kopieanforderung Abstand zu nehmen.[59] Eine gewisse Missbrauchsgefahr im Sinne eines möglichen „DSGVO-Hoppings“ zu Ausforschungszwecken[60] von Patienten dürfte auch nicht gänzlich von der Hand zu weisen sein. Hier ist gesetzgeberisches wie auch judikatives Fingerspitzengefühl gefragt.

In der Gesamtabwägung ist das Urteil des EuGH im Hinblick auf die effektive und harmonisierende Etablierung eines einheitlichen (hohen) Datenschutzniveaus im europäischen Rechtsraum[61] insgesamt zu begrüßen. Es bleibt abschließend mit Spannung abzuwarten, inwiefern der deutsche Gesetzgeber hierauf reagieren und von den Öffnungsklauseln der DSGVO Gebrauch machen wird.[62] Eine erste Vermutung lässt sich aus dem jüngst vorlegten Referentenentwurf des BMJ folgern. Das Zusammenspiel von Medizin- und Datenschutzrecht erweist sich als entwicklungsbedürftig, aber auch -fähig.[63]

DOI: 10.13154/294-12374

ISSN: 2940-3170

---

[1] Vgl. ähnlich Rehborn/Richters, GesR 2023, 777, 777.

[2] Vgl. hierzu auch bereits EuGH, Urt. v. 15.7.1964, Celex-Nr. 61964CJ0006, Ls. 2,

[3] Vgl. Fuhlrott, NJW 2023, 3486; Gutmann, in: Staudinger, BGB, 16. Aufl. 2021, § 630g BGB Rn. 13.

[4] So auch Fuhlrott, NJW 2023, 3486; Rehborn/Richters, GesR 2023, 777, 779; vgl. ferner Hahn/Gruner, MedR 2024, 254, 257.

[5] Vgl. hierzu Hahn/Gruner, MedR 2024, 254, 258 mit einem entsprechenden Vorschlag für eine Änderung der MBO-Ä, MBO-Z und MBO-PsychT.

[6] Vgl. EuGH, NJW 2023, 3481, 3484.

[7] So auch Hahn/Gruner, MedR 2024, 254, 256.

[8] Vgl. Spickhoff/Deutsch, Medizinrecht, 7. Aufl. 2014, S. 595.

[9] Hahn/Gruner, MedR 2024, 254, 255.

[10] Vgl. Jülicher, Medizininformationsrecht, 2018, S. 118; OLG Köln, NJW-RR 2024, 263, 266.

[11] Vgl. OLG Köln, NJW-RR 2024, 263, 266.

[12] Vgl. Hahn/Gruner, MedR 2024, 254, 257.

[13] Vgl. Rehborn/Richters, GesR 2023, 777, 777.

[14] Anders vor Inkrafttreten der DSGVO noch OLG Saarbrücken, GesR 2017, 101, 101 ff.

[15] Vgl. EuGH, NJW 2023, 3481, 3484 f.

[16] Vgl. exemplarisch: EuGH, NJW 2018, 767, 767 ff.; vgl. auch zu einem ähnlich gelagerten Fall BVerwGE 177, 211, 211 ff.

[17] Vgl. hierzu Fuhlrott, NJW 2023, 3481zu EuGH NJW 2023, 3481, 3484 f.

[18] Vgl. EuGH, MMR 2009, 175, 177; MMR 2011, 122, 125; ZUM 2021, 699, 711.

[19] Zu Fallgruppen vgl. Starke, ZD 2024, 63, 66.

[20] Herbst in: Kühling/Buchner, DS-GVO/BDSG, 4. Aufl. 2024, Art. 5 Rn. 19; Breyer, DuD 2018, 311, 312.

[21] EuGH, EuZW 2024, 234, Rn. 50; a. A. Wybitul/Celik, ZD 2019, 529.

[22] EuGH, EuZW 2016, 147, Rn. 26.

[23] Zu den Voraussetzungen Schild/Breyer, DuD 2023, 513, 518.

[24] Vgl. hierzu BT-Drs. 17/10488, S. 17; BT-Drs. 17/11710, S. 29.

[25] Spyra, in: MAH MedR, 3. Aufl. 2020, § 23 Rn. 116.

[26] EuGH, EuZW 2024, 234, Rn. 30.

[27] BGH, NJW 2021, 2206.

[28] Breyer, NotBZ 2020, 121; zu Microsoft 365 Breyer/Hirschel, K&R 2024, 555.

[29] Vgl. hierzu Kühling/Martini, EuZW 2016, 448, 452; Ulsenheimer, in: Laufs/Kern/Rehborn, Handbuch des Arztrechts, 5. Aufl. 2019,§ 147 Rn. 3; Spyra, in: MAH MedR, 3. Aufl. 2020,§ 23 Rn. 172 ff.; Hauser/Haag, Datenschutz im Krankenhaus, 6. Aufl. 2021, S. 137.

[30] Vgl. hierzu vertiefend einen aktuellen Überblick über die jüngsten Entwicklungen in der Rechtsprechung bei Assion, NJW 2024, 632, 633 f.

[31] Vgl. auch EuGH, NJW 2023, 1930 ff.; NZA 2024, 56 ff sowie einen Ausblick bei Dochow, MedR 2022, 1029, 1033.

[32] Vgl. hierzu Art. 12 Abs. 3 DSGVO; Spyra, in: MAH MedR, 3. Aufl. 2020, § 23 Rn. 98, 117.

[33] Vgl. auch Art. 24 Abs. 1 DSGVO; sowie die allgemeine Empfehlung von Spyra, in: MAH MedR, 3. Aufl. 2020, § 23 Rn. 98.

[34] Vgl. Hierzu BT-Drs. 17/10488, S. 16.

[35] Vgl. Hahn/Gruner, MedR 2024, 254, 255; insofern zweifelnd J. Prütting/Friedrich, in: D. Prütting, Medizinrecht, 6. Aufl. 2022,§ 630g BGB Rn. 4.

[36] So auch Hahn/Gruner, MedR 2024, 254, 256.

[37] Vgl. auch viertiefend Hahn/Gruner, MedR 2024, 254, 256 f.

[38] Vgl. hierzu OLG Köln, NJW-RR 2024, 263, 266, unter Verweis auf BGH, NJW 2021, 2726, Rn. 26.

[39] Vgl. vertiefend Hahn/Gruner, MedR 2024, 254, 257.

[40] Vgl. hierzu ausführlich Jülicher, Medizininformationsrecht, 2018, S. 106 ff.

[41] Vgl. hierzu vertiefend Dierks, Gesundheitsrecht.blog Nr.6, 2023, mit einem Überblick.

[42] BMJ, Referentenentwurf, Entwurf eines Gesetzes zur Änderung des Bürgerlichen Gesetzbuchs – Einsichtnahme in die Patientenakte und Vererblichkeit bei Persönlichkeitsrechtsverletzung,  abrufbar unter https://www.bmj.de/SharedDocs/Downloads/DE/Gesetzgebung/RefE/RefE_Einsichtnahme_Patientenakte.pdf?__blob=publicationFile&v=2, zuletzt abgerufen am 10.9.2024.

[43] BMJ, Referentenentwurf, Entwurf eines Gesetzes zur Änderung des Bürgerlichen Gesetzbuchs – Einsichtnahme in die Patientenakte und Vererblichkeit bei Persönlichkeitsrechtsverletzung,  abrufbar unter https://www.bmj.de/SharedDocs/Downloads/DE/Gesetzgebung/RefE/RefE_Einsichtnahme_Patientenakte.pdf?__blob=publicationFile&v=2, zuletzt abgerufen am 10.9.2024, S. 1.

[44] EuGH, Urt. v. 7.2.1973, Celex-Nr. 61972CJ0039, Rn. 26; Geismann in: von der Groeben/Schwarze/Hatje, Europäisches Unionsrecht, 7. Aufl. 2015, Art. 288 AEUV, Rn. 9.

[45] Vgl. zur gebotenen engen Auslegung paternalistischer Beschränkungen des Einsichtsrechts auch Gutmann, in: Staudinger, BGB, 16. Aufl. 2021, § 630g BGB Rn. 49.

[46] Katzenmeier, in: BeckOK BGB, 70. Ed. Stand 1.5.2024, § 630g BGB Rn. 8.

[47] Vgl. BGH, NJW 1963, 389 f.; BGHZ 85, 327 ff.; Gutmann, in: Staudinger, BGB, 16. Aufl. 2021, § 630g BGB Rn. 49. ff. m.w.N.

[48] Ehlers, in: Ehlers/Broglie, Arzthaftungsrecht, 5. Aufl. 2014, Rn. 4.

[49] Vgl. hierzu etwa auch die Stellungnahme der Deutschen Krankenhausgesellschaft, abrufbar unter https://www.dkgev.de/fileadmin/default/Mediapool/1_DKG/1.3_Politik/Stellungnahmen/2024-07-05_DKG-Stellungnahme_RefE_AEnderung_BGB.pdf, zuletzt abgerufen am 10.9.2024.

[50] Vgl. hierzu auch Winter, Big Data und KI im Gesundheitswesen,2023, S. 41 f., 46.

[51] Als aktuelles Beispiel vgl. EuGH, NJW 2024, 1325 ff. zum Erfordernis der freien Zugänglichkeit von DIN-Normen.

[52] Vgl. hierzu auch Art. 5 Abs. 1 lit. a und ErwG 60 S. 1 DSGVO; sowie Spyra, in: MAH MedR, 3. Aufl. 2020,§ 23 Rn. 62 ff.

[53] Vgl. hierzu auch ErwG 43 S. 1 DSGVO.

[54] Spyra, in: MAH MedR, 3. Aufl. 2020,§ 23 Rn. 33 warnt auch vor einem damit einhergehendem Gefahren- und Risikopotential zum Nachteil der Betroffenen.

[55] BVerfGE 61, 1 (43).

[56] Vgl. Spyra, in: MAH MedR, 3. Aufl. 2020,§ 23 Rn. 98.

[57] Vgl. hierzu sensibilisierend Kern/Rehborn, in: Laufs/Kern/Rehborn, Handbuch des Arztrechts, 5. Aufl. 2019,§ 1 Rn. 3.

[58] BMJ, Referentenentwurf, Entwurf eines Gesetzes zur Änderung des Bürgerlichen Gesetzbuchs – Einsichtnahme in die Patientenakte und Vererblichkeit bei Persönlichkeitsrechtsverletzung,  abrufbar unter https://www.bmj.de/SharedDocs/Downloads/DE/Gesetzgebung/RefE/RefE_Einsichtnahme_Patientenakte.pdf?__blob=publicationFile&v=2, zuletzt abgerufen am 10.9.2024, S. 2.

[59] Vgl. ähnlich Hahn/Palkova, MedR 2023, 827, 828.

[60] Vgl. allgemein zu ausforschenden datenschutzrechtlichen Auskunftsersuchen Starke, ZD 2024, 63 ff.

[61] Vgl. hierzu auch ErwG 10 S. 1 und 2 DSGVO.

[62] Einen Vorschlag für eine europarechtskonforme Regelung de lege ferenda liefern etwa Hahn/Gruner, MedR 2024, 254, 257; vgl. auch Jülicher, Medizininformationsrecht, 2018,S. 129, der eine Kostentragung der GKV für die Erstkopie vorschlägt.

[63] Vgl. Weichert, MedR 2024, 84, 85.