Erkältet und keine Lust, zum Arzt zu gehen? Nun bietet ein neues StartUp aus Hamburg, au-schein.de eine scheinbar leichte Möglichkeit, sich krankschreiben zu lassen. Einfach per Online-Formular und WhatsApp. Die Lockerung des Fernbehandlungsverbots soll es möglich machen. Doch ist das Angebot wirklich legal? Wie sieht das datenschutzrechtlich aus? Nun hat die Landesdatenschutzbehörde Niedersachsens gesagt: Die Nutzung von WhatsApp im geschäftlichen Kontext sei illegal. Gerade, wenn Gesundheitsdaten ausgetauscht werden. Und müssen Arbeitgeber eine solche AU, die ja geradezu nach Schummeln schreit, wirklich akzeptieren?
Wie funktioniert AU-schein.de?
Wer erkältet ist und dem Arbeitgeber deswegen eine sog. Arbeitsunfähigkeitsbescheinigung (AU) vorzeigen muss, ärgert sich häufig über die Verpflichtung, deswegen lange im Wartezimmer zu sitzen. Nun bietet ein Hamburger StartUp, au-schein.de, seit kurz vor Weihnachten eine neue Möglichkeit der Krankschreibung – per Internet und WhatsApp. Geschäftsführer des Hamburger Startups ist Dr. jur. Can Ansay, ein Rechtsanwalt.
Wie das funktioniert? Einfach Erkältungssymptome anklicken, Risikofaktoren ausschließen, Daten wie eMail-Adresse, Adresse und Handynummer angeben und schon hat man per WhatsApp Kontakt zu einer Ärztin. Weitere persönliche Daten und Foto der Versichertenkarte erfolge dann über den Ende-zu-Ende-verschlüsselten Messenger-Dienst WhatsApp. Und schon kommt – sollte die Ärztin die Erkältung bestätigen – die AU eines kooperierenden Arztes digital als Foto sowie per Post. Das Ganze gibt es für 9 Euro. Bislang nutzte diesen Service allerdings erst ca. 30 Erkrankte.
Ein Missbrauch der Krankschreibung per WhatsApp soll durch eine Beschränkung der Nutzung des Dienstes auf zwei Mal pro Jahr eingedämmt werden. Außerdem soll der WhatsApp-AU-Schein nur für drei Tage gelten.
Die Lockerung des Fernbehandlungsverbots
Möglich soll dies eine Lockerung des Fernbehandlungsverbots in der Musterberufsordnung der Ärzte (MBO-Ä) sowie entsprechende Änderungen in der Berufsordnung der Landesärztekammer Schleswig-Holstein machen.
Bis Mitte 2018 galt nämlich noch: Ärzte durften laut § 7 Abs. 4 der (Muster-)Berufsordnung eine Diagnose nicht ausschließlich über Print- oder Kommunikationsmedien stellen, man brauchte immer zuvor einen Erstkontakt mit dem behandelnden Arzt. Nur die Nachbehandlung war online möglich. In anderen Ländern wir England gab es die Ferndiagnose schon länger – auch dies haben sich findige Unternehmen zu Nutze gemacht, um deutsche Patienten durch englische Ärzte online „behandeln“ und sogar Rezepte ausstellen zu lassen.
Nun steht in § 7 Abs. 4 der Musterberufsordnung, dass Ärzte „im Einzelfall“ auch bei ihnen noch unbekannten Patienten eine ausschließliche Beratung oder Behandlung über Kommunikationsmedien vornehmen dürfen, sofern dies „ärztlich vertretbar ist und die erforderliche ärztliche Sorgfalt“ gewahrt ist und der Patient zuvor über die „Besonderheiten der ausschließlichen Beratung und Behandlung über Kommunikationsmedien aufgeklärt wird“.
Dieses Musterregelung musste aber noch in Landes-Berufsrecht übersetzt werden. Und Schleswig-Holstein ist sogar noch einen Schritt weiter gegangen. Das Land sieht eine noch lockerere Regelung vor. Die Beschränkung auf den Einzelfall entfällt, auch muss der Arzt nicht gesondert über die Nutzung des Mediums aufklären.
Diese Regelung in Schleswig-Holstein macht sich Ansay zu Nutze – schließlich bietet er kein Geschäftsmodell für den Einzelfall, sondern für die Masse an. Seine Ärztin fahre deshalb jeden Tag von Hamburg nach Schleswig-Holstein über die Grenze. Das sei für sie kein Problem, da sie über keine eigene Praxis und auch keine kassenärztliche Zulassung verfüge. Dennoch müssten ihre Krankschreibungen von den Kassen anerkannt werden, auch, wenn sie keine Kassenzulassung habe.
Erkältungen seien für Telemedizin optimal geeignet, da sie in der Regel ungefährlich und für den Arzt zumeist auch ohne persönlichen Kontakt diagnostizierbar seien, so der Geschäftsführer gegenüber den Medien.
Erfüllt AU-Schein.de die Anforderungen an Fernbehandlungen?
Ob die Lockerung des Berufsrechts tatsächlich auch die Krankschreibung per Ferndiagnose über ein Formular, also nicht nur ohne vorherigen persönlichen Kontakt, sondern auch ohne etwa ein Videotelefonat, möglich sein soll, ist derzeit unklar.
Die Bundesärztekammer hatte dies bei unbekannten Patienten selbst dann abgelehnt, wenn die Krankschreibung per Telefon oder Videokonferenz geschehen solle. Eine Diagnose per Online-Formular und WhatsApp hatten die Delegierten dabei sicherlich nicht im Blick.
Auch die Kammer in Schleswig-Holstein habe bei der Regelung der Berufsordnung keine solche Krankschreibung per WhatsApp im Auge gehabt. Es bestehe ein Unterschied zwischen einer Fernbehandlung und der Fernausstellung eines Dokuments.
Daher überprüft auch die Hamburger Ärztekammer derzeit das Geschäftsmodell des Start-ups rechtlich. Ihr Präsident bezeichnete das Geschäftsmodell als „bedenklich“.
Fehlerhafte Datenschutzerklärung?
Darüber hinaus bestehen auch datenschutzrechtliche Fragestellungen. Betrachtet man die Datenschutzerklärung der Seite au-schein.de, so sieht man, dass die gesamte Übertragung der personenbezogenen Daten über die Webseite allein auf „die Erfüllung eines Vertrages“ (Art. 6 Abs. 1 lit b DSGVO) gestützt werden soll, hilfsweise auf die „Erfüllung berechtigter Interessen“ (Art. 6 Abs. 1 lit f DSGVO).
Auf den ersten Blick scheint das technische und rechtliche Konstrukt datenschutzrechtlich fragwürdig: Zu keiner Zeit ist die Rede von Art. 9 DSGVO, der die Verarbeitung gesundheitsbezogener Daten umfasst. Und das, obwohl man auf der Seite direkt die Symptome und möglicherweise sogar Hinweise auf schwere Erkrankungen inkl. Handynummer, E-Mail- und postalische Adresse in einem Formular eingibt. Und da es sich bei dem Betreiber der Webseite nicht um einen Arzt oder eine Krankenkasse handelt (für sie gilt Art. 9 Abs. 2 lit h DSGVO), müsste er dann eigentlich eine informierte Einwilligung der Patienten über die Verarbeitung ihrer sensiblen Daten einholen – oder?
Wir haben hierzu eine technische Klarstellung des CTO der Firma erhalten:
Bei der AU-Schein Applikation handelt es sich um eine reine SPA (Single Page App), welche komplett im Browser abläuft und zu keinem Zeitpunkt Daten an unsere Server übermittelt (noch nicht einmal Adressdaten). Sie können dieses sehr leicht überprüfen, indem Sie in Ihrem Browser die Development Tools öffnen und sich den Netzwerkverkehr während der Nutzung der App ansehen. Dort werden Sie sehen, dass zu keinem Zeitpunkt Daten übermittelt werden. Es werden lediglich Scripte nachgeladen, welche für die Funktionalität der einzelnen Schritte notwendig sind.
Nach der Datenschutzerklärung der Webseite speichert au-schein.de tatsächlich nur die WhatsApp Telefonnummer und die E-Mail-Adresse.
Erst die Ärztin erhält folgende Daten und speichert sie auf ihrem besonders gesicherten Dienst-PC sowie Dienst-Handy:
- Ihre WhatsApp Telefonnummer
- Ihre E-Mail-Adresse
- Ihre Adresse (Straße, Hausnummer, Postleitzahl, Ort, Land)
- Angaben zu Ihren Symptomen
- Angaben zu etwaigen Risikoumständen
- Art Ihrer Versicherung (privat/gesetzlich)
- Alle Informationen, die auf Ihrer Versichertenkarte zu sehen sind
Wenn nun tatsächlich alles technisch so abgesichert ist, dass tatsächlich keine personenbezogenen Daten an den Betreiber der Webseite übertragen werden und jegliche gesundheitsbezogene Kommunikation tatsächlich nur mit der Ärztin über WhatsApp erfolgt – Reicht dann doch die Erlaubnisnorm aus Artikel 6 DSGVO? Daran ließe sich zumindest dennoch zweifeln: Denn bereits die Tatsache, dass sich jemand auf der Webseite mit Telefonnummer und E-Mail-Adresse registriert, lässt schon den Schluss zu, dass die Person mit hoher Wahrscheinlichkeit erkältet ist. Zwar ist dieser Schluss nicht eindeutig, es kann auch sein, dass jemand nur „blau macht“, das tool testen will oder nicht sicher ist, ob eine Krankheit vorliegt. Doch es stellt sich die Frage: Ist nicht allein schon die hohe Wahrscheinlichkeit einer Erkältung ein gesundheitsbezogenes Datum? Nach der juristischen Literatur sind gesundheitsbezogene Daten weit zu verstehen als alle Daten, die die Gesundheit einer Person unter allen Aspekten betreffen und aus denen Informationen über den Gesundheitszustand der Person hervorgehen. Letztlich muss aber immer im Einzelfall beantwortet werden, ob es sich wirklich um ein sensibles Datum handelt. Gesundheitsdaten können auch durch die Verknüpfung verschiedener Daten, die nichts über den Gesundheitszustand aussagen, entstehen. Zwar lässt sich diese Frage nicht abschließend beantworten, sondern müsste durch ein Gericht geklärt werden. Es spricht jedoch einiges dafür, die Tatsache, dass sich jemand über die Webseite anmeldet, möglicherweise schon ein gesundheitsbezogenes Datum ist.
Darüber hinaus stellen sich allgemeine Fragen wie: Wie sicher ist WhatsApp wirklich? Kann ich sicherstellen, dass die Daten nicht doch an den Facebook-Konzern weitergegeben werden? Wir als Datenschützer jedenfalls sind alarmiert, wenn wir lesen, dass hier solche Daten über einen amerikanischen Konzern übertragen werden.
Soforthilfe vom Anwalt
Sie brauchen rechtliche Beratung? Rufen Sie uns an für eine kostenlose Ersteinschätzung oder nutzen Sie unser Kontaktformular.
[Update 22.1.2019]
Datenschutzbehörde hält Übermittlung von Gesundheitsdaten über WhatsApp für DSGVO-widrig
Die Landesbeauftragte für den Datenschutz Niedersachsen hat sich in einem Merkblatt für die Nutzung von „WhatsApp“ in Unternehmen klar positioniert: Den Messenger-Dienst im geschäftlichen Kontext, also bei Anwendbarkeit der Datenschutzgrundverordnung (DSGVO) zu nutzen, sei illegal.
In dem Merkblatt findet sich eine Äußerung, welche direkt auf die Nutzung von au-schein.de übertragbar ist: „Vermehrt bieten zum Beispiel niedersächsische Apotheken einen Service an, bei dem Kunden rezeptpflichtige Arzneimittel über WhatsApp bestellen können. Die Apotheken bieten ihren Kunden die Möglichkeit, eine Fotografie eines Rezeptes über WhatsApp an eine Mobilfunknummer der Apotheke zu versenden. […] Im oben beschriebenen Beispiel des Einsatzes von WhatsApp durch Apotheken ist darüber hinaus zu berücksichtigen, dass bei der Übersendung der Fotografie des Rezepts Gesundheitsdaten und damit besondere Kategorien personenbezogener Daten gemäß Art. 9 Abs. 1 DS-GVO übermittelt werden. Zwar erfolgt die Übermittlung dieser Daten durch den Betroffenen selbst, so dass insofern keine Rechtsgrundlage gemäß Art. 9 Abs. 2 DS-GVO erforderlich ist. Allerdings ist die besondere Schutzbedürftigkeit der Gesundheitsdaten Art. 25 Abs. 1 DS-GVO zu berücksichtigen. An die technischen und organisatorischen Maßnahmen des in dieses Verfahren eingebundenen Instant-Messenger-Services sind entsprechend höhere Anforderungen zu stellen.“
Muss der Arbeitgeber die AU akzeptieren?
Alle diese Fragen könnten lediglich problematisch für das Start-Up selbst sein, nicht aber für die Kunden, die den Dienst nutzen. Sie könnten aber ganz andere Probleme bekommen: Es könne sein, dass ihr Arbeitgeber eine solche Krankschreibung nicht anerkennt. Dann wären entweder die 9 Euro verloren und das Vertrauensverhältnis im Arbeitsrecht angeknackst. Oder man müsste vor einem Arbeitsgericht klären, ob die Arbeitgeber verpflichtet sind, die AU zu akzeptieren. Wo aber liegt genau das Problem?
Die ärztlich festgestellte Arbeitsunfähigkeit ist Voraussetzung für den Anspruch auf Entgeltfortzahlung und für den Anspruch auf Krankengeld. In § 5 Entgeltfortzahlungsgesetz steht, dass der Arbeitnehmer sie spätestens einholen muss, wenn er länger als drei Tage krank ist. In manchen Arbeitsverträgen steht aber, dass er sie schon ab dem ersten Tag der Krankheit verlangen kann. Die ärztliche Arbeitsunfähigkeitsbescheinigung ist damit das gesetzlich vorgesehene Nachweismittel, mit dem der Arbeitnehmer seinem Arbeitgeber die Arbeitsunfähigkeit und deren Dauer nachweist. Verstößt der Beschäftigte gegen seine Verpflichtung zum Nachweis der Arbeitsunfähigkeit, ist der Arbeitgeber berechtigt, die Vergütung so lange zurückzuhalten, bis der Arbeitnehmer seiner Verpflichtung nachgekommen ist (§ 7 EFZG).
Der Arbeitgeber kann aber Zweifel an der AU äußern. Allerdings kann der Arbeitgeber die Arbeitsunfähigkeit nicht einfach aus dem Bauch heraus anzweifeln. Um basierend auf den Zweifeln an der AU eine arbeitsrechtliche Maßnahme wie eine die Versagung der Entgeltfortzahlung, eine Abmahnung oder gar eine Kündigung auszusprechen, die auch vor Gericht hält, braucht er stichhaltige Beweise. Kommt ein solcher Fall aber vor Gericht, kommt dem ärztlichen gelben Schein erst einmal ein hoher Beweiswert zu, weil ein behandelnder Arzt auf Grundlage der Arbeitsunfähigkeits-Richtlinie entscheidet. Um diesen Beweis zu erschüttern, muss der Arbeitgeber Tatsachen vortragen, die “ernsthafte und begründete Zweifel” an der attestierten Arbeitsunfähigkeit aufkommen lassen und dadurch den Beweiswert der ärztlichen Bescheinigung erschüttern (BAG, Urteil v. 19.2.1997, 5 AZR 83/96). Solche können sich aus der Bescheinigung selbst ergeben, auf tatsächlichen Umständen ihres Zustandekommens beruhen oder sich durch Verhaltensweisen des Arbeitnehmers aufdrängen.
Als Grund wurde bislang die Tatsache angesehen, dass ein Arzt die Arbeitsunfähigkeitsbescheinigung ausgestellt hat, ohne den Patienten vorher zu untersuchen. Dieser Grund könnte auch im Fall von au-schein.de angeführt werden. Hierzu könnte man auch § 4 Abs. 1 der Arbeitsunfähigkeits-Richtlinie heranziehen, worin steht, dass die Feststellung von Arbeitsunfähigkeit nur auf Grund ärztlicher Untersuchungen erfolgen darf. Sobald es also zu einer arbeitsrechtlichen Streitigkeit kommt, wird ein Gericht entscheiden, ob möglicherweise allein die fehlende direkte Untersuchung ausreicht, um den Beweiswert einer AU zu erschüttern. Möglicherweise wird dies allein schon als das entscheidende Indiz reichen, möglicherweise wird ein Gericht aber auch weitere Indizien verlangen, z.B. Zeugenaussagen über eine angekündigte Krankheit oder über die Tatsache, dass der „Krankfeiernde“ beim tatsächlichen Feiern gesehen wurde. Auch möglich ist es, die Krankenkasse zu beauftragen, eine Untersuchung durch den Medizinischen Dienst der Krankenversicherung (MDK) durchführen zu lassen. Und hat der Arbeitgeber gravierende Zweifel an der AU, darf er sogar einen Detektiv beauftragen. In jedem Fall bestehen hier rechtliche Unsicherheiten für den Beweiswert einer durch au-schein.de ausgefüllten AU.
Ist der Beweiswert der Bescheinigung aber erst einmal erschüttert, so hat der Arbeitnehmer, wenn er seinen Anspruch auf Entgeltfortzahlung erhalten will bzw. gegen eine Abmahnung oder Kündigung vorgehen will, anderweitig seine Arbeitsunfähigkeit nachzuweisen. In einem solchen Fall ist die Aussage des behandelnden Arztes sowie die Einholung eines Sachverständigengutachtens entscheidend. Das Problem: Wenn es erst einmal zu einer rechtlichen Klärung des Ganzen kommt, ist die Erkältung sicherlich schon wieder abgeklungen. Und die Ärztin hat den Patienten ja tatsächlich nie untersucht, hilft also als Zeugin auch nicht viel weiter.
