Microsoft Teams in der Klinik: Freigabe nach Anwendungsfall statt Pauschalurteil
Eine interne Besprechung und eine Tumorkonferenz haben unterschiedliche Schutzanforderungen. Was bei Verträgen, Zugriffen und Aufzeichnungen zählt.
Redaktioneller Stand:
Hintergrund & Quellenbefund
Für eine Klinik ist nicht nur entscheidend, welches Konferenzprogramm eingesetzt wird, sondern welche Informationen darin verarbeitet werden und wer Zugriff erhält. Datenschutzrechtliche Sicherheitsmaßnahmen müssen zu Risiko und Verarbeitung passen. Eine allgemeine Produktbewertung ersetzt deshalb nicht die Prüfung eines konkreten Besprechungs- oder Chatablaufs. [2]
Bei Patientengeheimnissen kommt § 203 StGB hinzu. Er erlaubt notwendige Mitwirkung externer Personen unter Voraussetzungen. Die Einrichtung muss klären, welche Unterstützungsleistungen tatsächlich gebraucht werden und wie die Geheimhaltung der beteiligten Personen abgesichert ist. Ein Auftragsverarbeitungsvertrag und die berufsgeheimnisrechtliche Prüfung behandeln miteinander verbundene, aber nicht identische Fragen. [1]
Bei möglichen Datenanforderungen aus Drittländern ist Artikel 48 DSGVO relevant. Der EDSA erläutert, dass eine ausländische Anordnung nicht automatisch eine europäische Rechtsgrundlage für die Offenlegung schafft. Zugleich ist daraus kein undifferenziertes Verbot jedes US-bezogenen Cloud-Angebots abzuleiten. [3]
Einordnung & Grenzen
Dieser Beitrag bescheinigt weder Microsoft Teams insgesamt Rechtskonformität noch übernimmt er ältere Behördenbewertungen als unverändert aktuellen Befund. Konkrete Lizenzfunktionen, Speicherorte und Verschlüsselungsvarianten müssen anhand der eingesetzten Version geprüft werden. Ein selbst verwalteter Speicherschlüssel ist nicht automatisch Ende-zu-Ende-Verschlüsselung.
Einfach erklärt
Fiktives Praxisbeispiel: Eine Klinik erlaubt organisatorische Projektbesprechungen, hat aber für Fallkonferenzen noch keinen geprüften Ablauf. Statt beides gleichzusetzen, beschreibt sie für die Fallkonferenz Teilnehmerkreis, benötigte Dokumente, Gastzugriffe und den Umgang mit Aufzeichnungen und lässt diesen Einsatz gesondert bewerten.
Empfehlungen für die Praxis
Unsere Empfehlung: Erstellen Sie eine kurze Freigabematrix mit erlaubten Datenarten und Besprechungsformen. Prüfen Sie gemeinsam mit IT, Datenschutz und fachlich Verantwortlichen die Verträge und tatsächlichen Einstellungen. Halten Sie fest, welche Personen administrativen Zugriff haben und welche Unterauftragnehmer beteiligt sind.
Schalten Sie nicht benötigte Aufzeichnungen, Transkriptionen, externe Freigaben und Erweiterungen aus. Prüfen Sie die für den konkreten Konferenzmodus verfügbare Verschlüsselung, statt aus einer Funktion auf sämtliche Chats und Dateien zu schließen.
Testen Sie Gastzugänge und das Ende einer Besprechung mit realistischen, aber erfundenen Daten. Dokumentieren Sie verbleibende Risiken, Zuständigkeiten und Anlässe für eine erneute Prüfung. Ein Update, eine neue KI-Funktion oder ein geänderter Verarbeitungszweck kann eine Neubewertung auslösen.