Honorarkürzung wegen Nichtanbindung an Telematikinfrastruktur

Das Sozialgericht Stuttgart hat jüngst mit Urteil vom 27.01.2022 (Az. S 24 KA 166/20) entschieden: Eine einprozentige Honorarkürzung bei einem Vertragsarzt, der den Anschluss an die Telematikinfrastruktur im Quartal 1/2019 nicht durchgeführt hat, ist rechtmäßig. § 291 Abs. 2b Satz 3, Satz 14 SGB V aF verstoßen weder gegen Vorschriften der DSGVO noch gegen die Berufsausübungsfreiheit.

Das Urteil

Der klagende Vertragsarzt hatte insbesondere Verstöße gegen die seiner Ansicht nach unzureichende Sicherheit der Datenverarbeitung und damit gegen Art. 5 Abs. 1 f, Art. 32 DSGVO, die angeblich ungeklärte Verantwortlichkeit der Datenverarbeitung und fragliche Mitverantwortung der G. nach Art. 26 DSGVO (Verstoß gegen Art. 5 Abs. 1, 2 und Art. 24 Abs. 1 DSGVO) sowie die fehlende Datenschutzfolgenabwägung nach Art. 35 DSGVO geltend gemacht.

Diese Vorwürfe wies das Sozialgericht Stuttgart in seiner Entscheidung vom 27.01.2022 (Az. S 24 K 166/20) zurück und begründete dies wie folgt: „Ein Verstoß gegen den Grundsatz der angemessenen Sicherheit der Datenverarbeitung nach Art. 5 Abs. 1 f DSGVO ist nicht ersichtlich. Es muss eine angemessene Sicherheit personenbezogener Daten gewährleistet werden, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“). Dazu gehört auch, dass Unbefugte keinen Zugang zu den Daten haben und weder die Daten noch die Geräte, mit denen diese verarbeitet werden, benutzen können. Wie das Bundessozialgericht erneut ausdrücklich festgestellt hat, kann es eine absolute Datensicherheit jedoch nicht geben. Insofern werden die zu ergreifenden Sicherheitsmaßnahmen durch den in Art. 24 DSGVO zum Ausdruck kommenden Verhältnismäßigkeitsgrundsatz beschränkt (BSG, Urteil vom 20.01.2021, Az. B 1 KR 7/20 R,…). Dabei verfolgt die DSGVO einen risikobasierten Ansatz. Abhängig vom spezifischen Risiko der Datenverarbeitung und dessen Eintrittswahrscheinlichkeit hat der jeweils Verantwortliche die erforderlichen technischen und organisatorischen Maßnahmen zu ergreifen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Näher konkretisiert werden diese allgemeinen Vorgaben in Art. 25, 32 und 35 DSGVO.

Nach Art. 32 Abs. 1 DSGVO sind der Verantwortliche und der Auftragsverarbeiter verpflichtet, unter Berücksichtigung des Stands der Technik, der Implementierungs-kosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Mögliche Maßnahmen sind dabei u. a. die Pseudonymisierung und Verschlüsselung personenbezogener Daten, die Fähigkeit, die Ver-traulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen, die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen, sowie ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung. Diese Anforderungen werden hier erfüllt.“

Auch einen Verstoß gegen die allgemeine Berufsfreiheit vermochte das Sozialgericht Stuttgart nicht zu erkennen und argumentiert:

„§ 291 Abs. 2b Satz 3, Satz 14 SGB V aF verstößt auch nicht gegen Verfassungs-recht. In Betracht kommt allein ein Verstoß gegen die Berufsausübungsfreiheit des Klägers aus Art. 12 Abs. 1 GG. Durch Art. 12 Abs. 1 GG ist dem Einzelnen das Recht gewährt, jede Tätigkeit, für die er sich geeignet glaubt, als Beruf zu ergreifen und zur Grundlage seiner Lebensführung zu machen. Die Vorschrift konkretisiert das Grundrecht auf freie Entfaltung der Persönlichkeit im Bereich der individuellen Leistung und Existenzerhaltung und zielt auf eine möglichst unreglementierte berufli-che Betätigung ab. … Eine Einschränkung der Berufsausübungsfreiheit des Klägers kann hier nur darin liegen, dass er in § 291 Abs. 2b Satz 3, Satz 14 SGB V aF verpflichtet wird, den Ab-gleich der VSD über die TI durchzuführen und andernfalls ein einprozentiger Honorarabzug im Quartal durchgeführt wird. Derartige Berufsausübungsregelungen sind zulässig, wenn sie auf einer gesetzlichen Grundlage beruhen (Art. 12 Abs. 1 Satz 2 GG), wenn sie durch vernünftige Gründe des Gemeinwohls gerechtfertigt sind, die gewählten Mittel zur Erreichung des verfolgten Zwecks geeignet und erforderlich sind und die durch sie bewirkte Grundrechtsbeschränkung dem Betroffenen zumutbar ist (BVerfG, Nichtannahmebeschluss vom 10.04.2000, Az. 1 BvR 422/00, …). … Eine gesetzliche Grundlage der Verpflichtung des Klägers liegt vor. Der vom Gesetzgeber verfolgte Zweck - die Verhinderung von Missbrauch der elektronischen Gesundheitskarten durch Dienste, mit denen die Leistungserbringer die Gültigkeit und Aktualität der Daten nach den bei den Krankenkassen online überprüfen und auf der elektronischen Gesundheitskarte aktualisieren können, und damit letztlich der Erhalt der finanziellen Stabilität der gesetzlichen Krankenversicherung… ist als legitim anzusehen; die Durchführung des VSD-Abgleichs ist dafür auch geeignet und erforderlich…. Der Eingriff ist auch verhältnismäßig im engeren Sinne. Die Sicherung der finanziellen Stabilität und damit der Funktionsfähigkeit der gesetzlichen Krankenversicherung ist ein Gemeinwohlbelang von hohem Rang… . Zur Verwirklichung dieses Ziels darf der Gesetzgeber gerade auch die Leistungserbringer innerhalb der vertragsärztlichen Versorgung in die Pflicht nehmen, denen andererseits besondere Vorteile durch die Einbeziehung in das öffentlich-rechtliche System des Vertrags-arztrechts erwachsen. Im Rahmen ihrer Einbeziehung unterliegen sie in erhöhtem Maße der Einwirkung sozialstaatlicher Gesetzgebung, durch die zur Sicherung der finanziellen Stabilität in das System regulierend eingegriffen wird (vgl. BVerfGE 68, 193, 221). Entgegen des Vortrags des Klägers wird er nicht „in einen datenschutzrechtlich rechtswidrigen Zustand, verbunden mit der Mithaftung und dem Bußgeldrisiko“ gezwungen, sondern die angegriffenen Regelungen stehen grundsätzlich im Ein-klang mit der DSGVO (s. o.). Auch wenn die vom Kläger geltend gemachten Sicherheitsrisiken für die Verarbeitung von Patienten- bzw. Gesundheitsdaten im Einzel-fall z. B. aufgrund eines Hacker-Angriffs nicht jederzeit ausgeschlossen werden können, liegt auch der Rechtsprechung des BVerfG zugrunde, dass es keine absolute Datensicherheit gibt und dass allein dieser Umstand die automatisierte Verarbeitung personenbezogener Daten nicht verbietet, solange ein Standard gewähr-leistet wird, der der Sensibilität der betroffenen Daten und dem jeweiligen Gefährdungsrisiko Rechnung trägt, und sich an dem Entwicklungsstand der Fachdiskussion orientiert und neue Erkenntnisse und Einsichten fortlaufend aufnimmt (BSG, Urteil vom 20.01.2021, Az. B 1 KR 7/20 R, …). Insofern überwiegt hier das öffentliche Interesse an der Verhinderung von Missbrauch der Gesundheitskarte und letztlich an der Funktionsfähigkeit der gesetzlichen Krankenversicherung; den Gesetzgeber trifft eine Beobachtungspflicht und gegebenenfalls die Pflicht zur Nachbesserung bei in der Praxis zu Tage tretenden Sicherheitslücken hinsichtlich des Datenschutzes.“

Kommentar

Die Entscheidung ist ausführlich begründet und nimmt auf höhere Rechtsprechung Bezug.

Handlungsempfehlung

Es sollte berücksichtigt werden, dass bei einer Verweigerung der Anbindung an die Telematikinfrastruktur mit einer Honorarkürzung gerechnet werden muss.

Dr. Susanna Zentai Rechtsanwältin www.dental-und-medizinrecht.de