Zum Inhalt springen Zur Navigation springen
YouTuber deckt auf: Tausende Krankenhausakten frei zugänglich

YouTuber deckt auf: Tausende Krankenhausakten frei zugänglich

Verlassene, heruntergekommene Krankenhäuser sorgen regelmäßig für Gänsehaut und Popcornkino. In einem kürzlich veröffentlichten YouTube-Video zeigt sich nun der wahre (Datenschutz-)Horror: Patientenakten liegen offen herum – und zehn Jahre lang hat es keinen interessiert.

Investigativ unterwegs vor gruseliger Kulisse

Als YouTuber ItsMarvin die unverschlossene Tür zum ehemaligen St. Nikolaus Hospital der Stadt Büren bei Paderborn öffnete, hat er wohl noch nicht ahnen können, welche Folgen dies für ihn haben würde. Doch von Anfang an:

Marvin W. ist leidenschaftlicher YouTuber, besonders faszinierend findet er Lost Places – verlassene Orte, an denen die Zeit still gestanden scheint. Am 10. Mai besuchte er zusammen mit mehreren Begleitern das alte, schon lange nicht mehr genutzte Krankenhaus, um seinen Abonnenten und Fans auf YouTube ein neues gruseliges Stück Geschichte zeigen zu können. Das 23-minütige Video dazu ging letzten Freitag, am 29. Mai, online – mittlerweile hat es bereits über 300.000 Aufrufe. Nicht ohne Grund!

Keine 30 Sekunden nach Betreten des problemlos zugänglichen Gebäudes erreichten die Filmer einen im Dunkeln liegenden Raum. Das Taschenlampenlicht offenbart Unglaubliches: Tausende Patientenakten befinden sich in offenen Metallschränken bzw. –regalen. Die Männer lesen in den Unterlagen, zitieren daraus, betrachten sogar Röntgenbilder. Die Akten werden in die Kamera gehalten, der Inhalt ist jedoch verpixelt.

Das Video schlug ein wie eine Bombe: Die Stadt weist jede Schuld von sich. Die Polizei ermittelt nun – gegen Marvin W., wegen Hausfriedensbruchs. Was zum Teufel ist da los?

Ganz schön skandalös

In Büren herrscht Chaos, keiner will es gewesen sein, im Übrigen habe die Stadt von nichts gewusst. Den Schwarzen Peter schiebt man Marvin W. zu – ein Bauernopfer, um vom eigentlichen Skandal abzulenken?

Wer die Wahrheit sagt, braucht ein schnelles Pferd

Die Überbringer schlechter Nachrichten sind den Empfängern stets ein Dorn im Auge. Daher stellt sich die Frage, ob Marvin W. hier tatsächlich zu weit ging oder ob man ihn ganz und gar unschuldig in den Fokus stellt.

In Betracht käme die Verwirklichung eines Hausfriedensbruchs nach § 123 Abs. 1 StGB:

„Wer in die Wohnung, in die Geschäftsräume oder in das befriedete Besitztum eines anderen oder in abgeschlossene Räume, welche zum öffentlichen Dienst oder Verkehr bestimmt sind, widerrechtlich eindringt, oder wer, wenn er ohne Befugnis darin verweilt, auf die Aufforderung des Berechtigten sich nicht entfernt, wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft.“

Nach Ansicht des Rechtsanwalts Christian Solmecke ist die Strafbarkeit wegen Hausfriedensbruchs eher abzulehnen. Zu bezweifeln sei bereits, dass das Gebäude unter den Begriff des befriedeten Besitztums falle. Dieser setze voraus, dass beispielsweise Zäune oder Hecken vorhanden seien, die äußerlich erkennbar jeden Betrachter darüber aufklären, dass das Gelände nicht betreten werden darf. Vorliegend waren die Eingangstüren des Krankenhauses nicht einmal abgeschlossen. Laut dem YouTuber standen sie am 02. Mai sogar noch „sperrangelweit offen“. Unklar ist allerdings, ob es andere Einzäunungen gab, die den Zutritt äußerlich erkennbar verhindern sollten.

Interessant ist auch folgende Überlegung: Der Hausfriedensbruch ist ein reines Antragsdelikt, § 123 Abs. 2 StGB. Ohne Strafantrag wird also nicht ermittelt. Mit einem solchen äußert der Antragsteller seinen Wunsch nach Strafverfolgung. Doch Vorsicht! Strafanträge sind nicht mit Strafanzeigen zu verwechseln, bei welchen das Opfer oder ein Zeuge die Behörde lediglich über die Straftat informiert. Den Strafantrag kann nach § 77 Abs. 1 StGB grundsätzlich nur der Verletzte stellen, in diesem Fall also der Eigentümer des Grundstücks. Dumm nur: Die Eigentumsverhältnisse sind derzeit unklar. Wer Strafantrag stellt, gibt zu, das Hausrecht über das Krankenhaus inne zu haben – und damit wohl auch die datenschutzrechtliche Verantwortlichkeit. Freiwillig wird keiner zugeben, die Schuld an der Misere zu tragen…

Die Staatsanwaltschaft kann daher so viel ermitteln sie will – ohne Strafantrag muss sie das Verfahren nach § 170 Abs. 2 S. 1 StGB einstellen.

Fast für die Ewigkeit

Strafrecht ist nicht ganz mein Steckenpferd, aber hin und wieder lohnt es sich, einen Blick darauf zu werfen. Nun aber zum Datenschutzrecht:

Wieso werden in einem seit 2010 geschlossenen Krankenhaus noch Akten aufbewahrt?

Zurückzuführen ist das zum einen auf bestimmte Normen – das Transfusionsgesetz und die Röntgenverordnung verpflichten dazu, die Akten bis zu dreißig Jahre aufzubewahren. Zwar verweist die Kassenärztliche Vereinigung Nordrhein auf die grundsätzlich mindestens zehn Jahre bestehende Aufbewahrungspflicht für Patientenakten nach § 630 f Abs. 3 BGB, es gäbe jedoch die unterschiedlichsten Aufbewahrungsfristen zwischen einem Jahr und dreißig Jahren Dauer.

Aha. Das ewig und drei Tage dauernde Vergammeln sensibler Dokumente in irgendeiner dunklen Ecke hat aber nicht wirklich viel mit datenschutzkonformer Lagerung zu tun, nicht wahr? Für den Geschäftsführer des Sankt Franziskus Hospitals in Bielefeld, Herrn Dr. Georg Rüter, ist der Fall klar:

„Unseriöse Unternehmensführung würde ich sagen, oder aber wirtschaftliches Chaos. Wahrscheinlich hat der letzte Betreiber nicht einmal das Geld gehabt ordentlich aufzuräumen.“

Gesundheitsdaten nach Art. 9 Abs. 1 DSGVO sind äußerst sensibel und nicht ohne Grund besonders geschützt: Arbeitgeber, Krankenkassen & Co. würden sicher gerne einen Blick darauf werfen. Von angemessenen technischen und organisatorischen Maßnahmen zum Schutz der personenbezogenen Daten kann hier nicht die Rede sein. In Büren lebt man Transparenz:

Nur hereinspaziert zum alltäglichen Tag der offenen Tür! Lassen Sie sich vom Sicherheitsdienst nicht irritieren – der guckt sowieso nur auf sein Smartphone. Vom Totenschein bis zur Diagnose, wir haben alles, was Ihr Herz begehrt. Doch beeilen Sie sich – von Zeit zu Zeit verschwinden ein paar Akten.

Schuld sind immer die anderen

Wer hat das Ganze nun zu verantworten? Bürens Bürgermeister Burkhard Schwuchow (CDU), der den Vorfall in einer Stellungnahme als „in keinster Weise akzeptabel“ bezeichnet, betont, nicht die Stadt sei verantwortlich, sondern „in jedem Fall Marseille“. Das Gebäude gehöre einer Tochterfirma der Marseille Kliniken AG mit Sitz in Hamburg, die das Krankenhaus 2005 vom kirchlichen Träger übernommen und bis 2010 zusammen mit einer anderen Tochtergesellschaft geführt habe. Die Konzernmutter weist allerdings alle Vorwürfe zurück – infolge der Insolvenz der Betreibergesellschaft sei der Insolvenzverwalter verantwortlich. Ganz schön verworren…

Die Stellungnahme liest sich wie eine vorweggenommene Verteidigungsschrift: Der Stadt seien die desaströsen Zustände nicht bekannt gewesen, bei vereinzelten Auskunftsanfragen Betroffener habe man stets auf die Marseille Kliniken AG verwiesen. Ach, tatsächlich? Marvin W. berichtet, eine Frau aus Büren habe sich mit einem Hilferuf an ihn gewandt: Sie habe die Stadt auf den unversperrten Zugang hingewiesen, diese habe jedoch nicht reagiert.

Wie von der Tarantel gestochen

Nach Bekanntwerden des Videos handelt die Stadt plötzlich – soll ja keiner sagen, dass man nichts tue: In Absprache mit Ordnungsämtern und Polizei wurde das Krankenhaus endlich abgesperrt. Dank baulicher Sicherung gelangt man nicht mehr so einfach in die Räume mit den Akten. Außerdem wird verstärkt kontrolliert.

Bürens Bürgermeister erklärt seine Motivation:

„Ich habe in dem Gebäude und auf dem Gelände eigentlich nichts zu suchen und wenn man so will selbst Hausfriedensbruch begangen, aber ich musste dafür sorgen, dass die Daten geschützt werden und niemand mehr Zugriff darauf hat.“

Bravo, oder? Ein fader Beigeschmack bleibt.

Kein Einzelfall

Leider kommt es trotz der Sensibilität von Gesundheitsdaten häufiger zu derartigen Datenpannen. 2016 wurde bekannt, dass im ehemaligen Kursanatorium Wiedemann zehn Jahre lang frei zugänglich Krankenakten herumlagen – auch von prominenten Patienten. Im Evangelischen Krankenhaus Zweibrücken nahm man die Aufbewahrung sensibler Daten ebenfalls nicht allzu ernst – so waren z.B. die Ergebnisse von Rektal-Abstrichen einsehbar, selbstverständlich mitsamt Patientennamen und Geburtsdaten. Was für ein Service!

Wie das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein in seinem Tätigkeitsbericht für das Jahr 2019 schildert, stand im Januar letzten Jahres ein unverschlossener Container voll mit mehreren Kubikmetern Patientenunterlagen mitten in Kiel. Wieso? Man habe kein Schloss gehabt. Ohne Worte.

Den Schuss nicht gehört

Kann ja mal passieren, oder? Klar, irren ist menschlich, aber manchmal drängt sich der Gedanke auf, für den ein oder anderen Verantwortlichen wäre Datenschutz absolutes Neuland. Wie sonst ist diese Achtlosigkeit zu erklären? Nach über zwei Jahren DSGVO ist es doch sicherlich nicht zu viel verlangt, zumindest ein kleines Quäntchen Datenschutzbewusstsein aufzuweisen. Vielleicht haben derartige Skandale ja dennoch ihr Gutes: Sie rütteln auf. Wollen wir es hoffen – die Hoffnung stirbt bekanntlich zuletzt.

Informieren Sie sich über unsere praxisnahen Webinare
  • »Microsoft 365 sicher gestalten«
  • »Informationspflichten nach DSGVO«
  • »Auftragsverarbeitung in der Praxis«
  • »DSGVO-konformes Löschen«
  • »IT-Notfall Ransomware«
  • »Bewerber- und Beschäftigtendatenschutz«
Webinare entdecken
Mit dem Code „Webinar2024B“ erhalten Sie 10% Rabatt, gültig bis zum 31.12.2024.
Beitrag kommentieren
Fehler entdeckt oder Themenvorschlag? Kontaktieren Sie uns anonym hier.
Die von Ihnen verfassten Kommentare erscheinen nicht sofort, sondern erst nach Prüfung und Freigabe durch unseren Administrator. Bitte beachten Sie auch unsere Nutzungsbedingungen und unsere Datenschutzerklärung.