Wirtschaftlichkeitsbetrachtung zur EU-Datenschutz-Grundverordnungs-Compliance in der österreichischen stationären Krankenversorgung : Analyse der Chancen und Herausforderungen sowie des wirtschaftlichen Umgangs im Zuge ihrer Erfüllung

Abstract

Die EU-Datenschutz-Grundverordnung ist derzeit ein viel diskutiertes Thema. In erster Linie deshalb, weil ab 25.05.2018 die Strafen für Datenschutzverletzungen exorbitant erhöht werden. Bei Verstößen ist, je nach Vergehen, mit Geldbußen von bis zu € 10 Mio. oder € 20 Mio. bzw. 2% oder 4% des internationalen Konzernumsatzes des Vorjahres zu rechnen. Das Gesundheitswesen ist von der EU-DSGVO besonders betroffen. Ein Großteil der Verarbeitungstätigkeiten betrifft personenbezogene Daten und zwar Gesundheitsdaten, die im Sinne der EU-DSGVO nach Artikel 9 unter „besondere Kategorien personenbezogener Daten“ fallen, was umfangreiche technische und organisatorische Herausforderungen zur Erfüllung der EU-DSGVO-Compliance mit sich bringt. Beim stetigen Kostendruck in diesem Sektor ist dies keine einfache Aufgabe und eine gewisse Rechtsunsicherheit verkompliziert dies zusätzlich. In dieser Arbeit werden die angesprochenen Herausforderungen untersucht und es wird betrachtet, ob die Unternehmen, neben der Vermeidung des Strafrisikos, weitere Chancen aus der EU-DSGVO-Compliance heraus erkennen konnten. Weiters ist von Interesse, ob für diese Chancen eine monetäre Nutzenbewertung durchgeführt wird bzw. ob Kosten und Nutzen im Sinne einer Wirtschaftlichkeitsbetrachtung gegenübergestellt werden. Diese Fragestellungen wurden im Rahmen einer empirischen Untersuchung mit sieben Experten beleuchtet. Die Experteninterviews wurden anschließend einer qualitativen Inhaltsanalyse unterzogen. Im Ergebnis zeigt sich, dass die Unternehmen sich auf die Vermeidung der Strafen konzentrierten und bisher keine bahnbrechenden weiteren Chancen erkennen konnten. Auch eine monetäre Nutzenbewertung bzw. Wirtschaftlichkeitsbetrachtung im Zusammenhang mit der EU-DSGVO-Compliance wurde in der Praxis nicht durchgeführt.

The European General Data Protection Regulation is much discussed in recent days. Primarily, because the penalties for data breaches will be raised exorbitantly from May 25, 2018. Offenses against the GDPR are punished with money sentences, depending on the type of offense, in the amount of € 10 m or € 20 m or 2% or 4% of the international group revenue of the last year. The healthcare sector is particularly affected by the GDPR. A substantial part of the data processing activities concerns personal health data. They are covered by Article 9 GDPR as “special categories of personal data”. Thus, fulfilling the GDPR requirements, causes many technical and organizational challenges. This is no easy task, considering that the healthcare sector is under constant cost pressure, and legal uncertainty complicates the issue. This study draws attention to mentioned challenges and to the question, if companies are only focused on avoiding penalties or if they can find additional opportunities out of the GDPR-Compliance. There is further interest, whether a monetary assessment of the benefits of these chances was conducted, and whether costs and benefits were compared regarding a profitability assessment. These questions were analyzed in an empirical study with seven experts. With the help of methods of qualitative content analysis, the expert interviews were examined. The outcome shows that companies have focused on the avoidance of sentencing and that they have not yet determined any additional chances. In practice, no monetary assessments of the benefits and no profitability assessments have been conducted regarding GDPR-Compliance.