Kennen Sie jeden Empfänger, senden Sie nur, was die Aufgabe erfordert, nutzen Sie einen kontrollierten Kanal und entscheiden Sie, wann der Zugang jeder Person enden soll.

Eine Akte kann mehrere Grenzen überschreiten, ohne dass der Patient es merkt. Das Krankenhaus exportiert ein PDF an einen Koordinator, der Koordinator sendet es an einen Übersetzer, die Übersetzung wird in eine Cloud hochgeladen, ein Link erreicht einen Arzt im Ausland, und ein Angehöriger leitet ihn an eine Familiengruppe weiter.

Jeder Schritt kann hilfreich wirken. Zusammen entstehen Kopien, neue Empfänger und unklare Aufbewahrung. Datenschutz beginnt damit, die Route zu zeichnen, bevor die Datei gesendet wird.

Zuerst Menschen und Systeme kartieren

Erstellen Sie eine einfache Transferkarte:

| Recipient or system | Purpose | Data needed | May forward to | Access ends | |---|---|---|---|---| | Chinese hospital | Clinical review | Decision-relevant medical record | Named clinical team | Per hospital retention rules | | Translator | Translate selected reports | Selected source pages | Approved reviewer only | After delivery and quality check | | Coordinator | Arrange review | Index and necessary files | Named hospital contact | At service end | | Insurer | Coverage decision | Its documented evidence list | Claims processors | Per policy and law | | Driver or hotel | Accessibility logistics | Name, time and mobility need | No clinical recipient | After service |

Wenn eine Person nicht erklären kann, warum sie eine Datei braucht, halten Sie inne. „Aus Bequemlichkeit“ ist kein definierter medizinischer Zweck.

Wissen, wer der Datenverantwortliche ist

Dass ein Patient eine persönlich gehaltene Kopie an einen gewählten Kliniker sendet, ist nicht dieselbe operative Situation wie ein Krankenhaus, das Akten über einen Dienstleister exportiert. Krankenhäuser, Agenturen, Plattformen, Übersetzer und Empfänger im Ausland können jeweils als Verantwortlicher, Auftragsverarbeiter oder unabhängiger Empfänger handeln, je nach Vereinbarung.

Nach dem PIPL erfordert die Bereitstellung personenbezogener Informationen an einen anderen Verantwortlichen in der Regel, der Person Identität und Kontakt des Empfängers, Zweck, Methode und Kategorien mitzuteilen und eine gesonderte Einwilligung einzuholen, sofern keine andere rechtmäßige Grundlage gilt.^[1] Sensible Informationen erfordern zusätzliche Angaben zu Notwendigkeit und Auswirkungen, und die grenzüberschreitende Bereitstellung hat weitere Anforderungen.^[1]

Der Patient muss den rechtlichen Mechanismus der Organisation nicht wählen. Bitten Sie den Datenschutzkontakt der Organisation anzugeben:

Wer für die Übermittlung verantwortlich ist
Die Rechtsgrundlage für Verarbeitung und Export
Den Empfänger im Ausland und das Land oder die Region
Zweck, Datenkategorien und Aufbewahrungsdauer
Ob Unterauftragnehmer oder Cloud-Anbieter beteiligt sind
Wie der Patient Rechte gegenüber dem Empfänger im Ausland ausüben kann
Auf welchen grenzüberschreitenden Mechanismus oder welche Ausnahme sie sich stützt

Chinas grenzüberschreitende Datenregeln von 2024 passen an, wann Sicherheitsbewertung, Standardvertrag oder Zertifizierung erforderlich sind, und enthalten Ausnahmen für einige vertraglich notwendige oder Notfallübermittlungen.^[2] Eine Ausnahme von einem Anmeldeverfahren ist keine Erlaubnis, Zweckbindung, Sicherheit oder Rechte der Person zu ignorieren.

Das minimal notwendige Aktenpaket senden

Gehen Sie von der Entscheidung aus und erstellen Sie eine Prüfungskopie. Bewahren Sie ein vollständiges Quellarchiv getrennt auf.

Beispiele:

Ein Chirurg, der die Resektabilität bewertet, braucht möglicherweise Bildgebung, Pathologie und relevante Operations- oder Krankheitsgeschichte — nicht jede unzusammenhängende Ambulanznotiz.
Ein Übersetzer, der einen Entlassungsbericht bearbeitet, braucht nicht das gesamte DICOM-Archiv.
Ein Versicherer sollte die Punkte seiner schriftlichen Nachweisanforderung erhalten, nicht unbegrenzten Portalzugang.
Ein Transportdienstleister braucht möglicherweise Rollstuhl- und Termindetails, nicht die Diagnose.

Minimal notwendig bedeutet nicht klinisch unvollständig. Fragen Sie den empfangenden Kliniker, welche Dokumente eine sichere Prüfung stützen, und entfernen Sie dann nur wirklich unzusammenhängendes Material.

Redigieren oder bearbeiten Sie niemals die einzige Quellkopie. Erstellen Sie eine abgeleitete Datei mit der Kennzeichnung REDACTED COPY, dokumentieren Sie, was entfernt wurde, und behalten Sie die Seitenreihenfolge. Für klinische Behandlung legen Sie die Schwärzung offen, damit das empfangende Team entscheiden kann, ob sie die Interpretation beeinflusst.

Die Einwilligung muss spezifisch genug sein, um verstanden zu werden

Ein nützlicher Hinweis beantwortet:

Welche Informationen werden verwendet?
Zu welchem Zweck?
Wer erhält sie?
In welchem Land oder welcher Region?
Wie werden sie übermittelt und gespeichert?
Wie lange bleiben sie verfügbar?
Wer kann sie weiterleiten?
Wie kann der Patient die Einwilligung gegebenenfalls widerrufen, Zugang oder Berichtigung verlangen oder sich beschweren?

Vermeiden Sie eine einzige Erlaubnis, die klinische Prüfung, Marketing, Forschung, Erfahrungsberichte und unbefristete Speicherung kombiniert. Das sind unterschiedliche Zwecke.

Einwilligung ist nicht immer die einzige rechtmäßige Grundlage. Das PIPL erkennt auch Verarbeitung an, die zum Abschluss oder zur Erfüllung eines Vertrags mit der Person notwendig ist, sowie Notfallverarbeitung zum Schutz von Leben, Gesundheit oder Eigentum.^[1] Die Organisation sollte die tatsächlich genutzte Grundlage dokumentieren, statt aus Gewohnheit eine Unterschrift zu sammeln und Daten dann breiter zu nutzen.

Einen Transferkanal mit Kontrollen wählen

Bevorzugen Sie das Portal des empfangenden Krankenhauses oder einen von der Einrichtung genehmigten verschlüsselten Transferdienst. Wenn Dateien als verschlüsseltes Archiv gesendet werden müssen:

Nutzen Sie starke Verschlüsselung, nicht nur eine umbenannte ZIP-Endung
Senden Sie das Passwort über einen anderen Kanal
Begrenzen Sie den Link nach Möglichkeit auf namentlich genannte Empfänger
Verlangen Sie Anmeldung und Multi-Faktor-Authentifizierung
Setzen Sie die kürzeste praktische Ablaufzeit
Deaktivieren Sie öffentliche Indexierung und anonymes Weitergeben
Führen Sie ein Upload- und Download-Protokoll
Bestätigen Sie Prüfsumme oder Dateianzahl bei großen Transfers
Löschen Sie temporäre lokale und Cloud-Kopien nach verifiziertem Empfang, vorbehaltlich erforderlicher Aufbewahrung

Gewöhnliche E-Mail und Chat können bequem sein, aber Weiterleitung, Backups und Kontokompromittierung sind schwer zu kontrollieren. Wenn das Krankenhaus einen solchen Kanal genehmigt, fragen Sie, wie Identität, Zugang und Aufbewahrung verwaltet werden.

Nutzen Sie kein gemeinsames Familienkonto für das Patientenportal. Ein einmaliger Verifizierungscode, eine Zahlungs-PIN oder das Hauptpasswort gewährt breiteren Zugang als ein einzelner Berichtslink.

Versteckte Identität in Dateien

Einen Namen von der sichtbaren Seite oder dem Dateinamen zu entfernen, ist nicht unbedingt Anonymisierung.

PDFs und Office-Dateien können Autorennamen, Revisionshistorie, Kommentare und eingebettete Anhänge enthalten. Fotos können Orts- und Gerätemetadaten tragen. DICOM-Objekte betten Patienten- und Studienattribute ein, und Text kann in Bildpixel eingebrannt sein.^[3]

Wenn der Zweck Anonymisierung erfordert — Forschung, Lehre oder eine externe Blindprüfung — nutzen Sie einen qualifizierten Workflow gemäß den Regeln der empfangenden Einrichtung. Testen Sie dann, ob der Datensatz über Dateien hinweg konsistent verknüpft werden kann, ohne direkte Identifikatoren preiszugeben.

Für direkte Versorgung kann aggressive Anonymisierung ein Risiko der Patientenverwechslung erzeugen. Das Krankenhaus braucht möglicherweise Name, Geburtsdatum und Patientennummer, damit Akten nicht der falschen Person zugeordnet werden. Folgen Sie seinem kontrollierten Identitätsabgleich.

Übersetzern und Koordinatoren engen Zugang geben

Die Dienstvereinbarung sollte festlegen:

Namentlich genannte juristische Person und zugangsberechtigte Mitarbeiter
Genaue Dateien und Zweck
Ob lokaler Download erlaubt ist
Nutzung von maschineller Übersetzung oder KI-Diensten und wo Daten verarbeitet werden
Verbot oder Bedingungen für Unteraufträge
Vertraulichkeits- und Sicherheitsanforderungen
Datum für Aufbewahrung, Rückgabe und Löschung
Weg zur Vorfallmeldung
Verbot, Patientengeschichte, Bild oder Daten ohne gesonderte Erlaubnis für Marketing oder Modelltraining zu nutzen

Das PIPL verlangt, dass Auftragsverarbeiter innerhalb des vereinbarten Zwecks und der Methode handeln und Informationen bei Ende der Vereinbarung zurückgeben oder löschen; eine Weiterbeauftragung braucht die Genehmigung des ursprünglichen Verantwortlichen.^[1]

Bitten Sie um eine Übersetzungsprobe mit Dummy-Daten, bevor besonders sensible Akten gesendet werden. Laden Sie identifizierbare Akten nicht nur deshalb in ein kostenloses Online-Übersetzungs- oder Zusammenfassungs-Tool, weil es schnell ist.

Familienzugang ist weiterhin Datenweitergabe

Patienten möchten oft, dass ein Ehepartner oder erwachsenes Kind hilft. Definieren Sie, was diese Person tun darf:

Nur Termine einsehen
Rechnungen empfangen
Auf klinische Berichte zugreifen
Mit Klinikern sprechen
Weitere Offenlegung autorisieren
Entscheiden, wenn dies rechtlich angemessen ist

Nutzen Sie die Vertretungs- oder Familienzugangsfunktion des Krankenhauses, wo verfügbar. Gehen Sie nicht davon aus, dass Verwandtschaft unbegrenzte Offenlegung erlaubt. Wenn der Patient den Familienzugang später entzieht, aktualisieren Sie Krankenhaus, Koordinator, geteilte Ordner und Nachrichtengruppen — nicht nur ein Passwort.

Akten von Kindern erfordern besondere Sorgfalt. Das PIPL behandelt Informationen über Kinder unter 14 Jahren als sensibel und verlangt die Einwilligung eines Elternteils oder Vormunds, wenn sie über den Einwilligungsweg verarbeitet werden.^[1]

Genetik, reproduktive Gesundheit und psychische Gesundheit brauchen extra Nachdenken

Einige Akten offenbaren Informationen über Angehörige ebenso wie über den Patienten. Keimbahn-Genetikergebnisse können familiäres Risiko implizieren. Reproduktive, Infektions-, Sexual- und psychische Gesundheitsakten können zusätzlichen sozialen Schaden erzeugen, wenn sie missbraucht werden.

Fragen Sie vor der Weitergabe, ob der gesamte Bericht nötig ist, ob Namen von Angehörigen minimiert werden können und ob eine Fachzusammenfassung die Entscheidung stützt. Entfernen Sie keine klinisch wesentlichen Informationen vom Behandlungsteam, senden Sie sie aber nicht automatisch an Hotels, Reisebüros oder allgemeine Administratoren.

Eine Prüfspur führen, die der Patient lesen kann

Führen Sie ein Transferprotokoll mit:

Datum und Uhrzeit
Absender und Empfänger
Zweck
Dateinamen und Version
Kanal und Link-Ablauf
Von der Organisation erfasste Erlaubnis oder Rechtsgrundlage
Empfangsbestätigung
Offenlegung von Weiterleitung oder Unterauftragnehmern
Bestätigung von Löschung oder Rückgabe

Das ist keine Bürokratie um ihrer selbst willen. Wenn die falsche Version gesendet wurde oder ein Link durchgesickert ist, zeigt das Protokoll, wo das Problem einzudämmen ist.

Rechte ausüben, ohne die Krankenakte zu beschädigen

Das PIPL gibt Personen Rechte, über die Verarbeitung zu wissen und zu entscheiden und — vorbehaltlich gesetzlicher Bedingungen — personenbezogene Informationen einzusehen oder zu kopieren, zu berichtigen und deren Löschung zu verlangen.^[1]

Fragen Sie den Datenschutzkontakt, wie man:

Eine Kopie der gehaltenen Daten erhält
Einen Identitäts- oder Kontaktfehler korrigiert
Optionale Weitergabe einschränkt oder beendet
Den Zugang eines ehemaligen Koordinators entfernt
Löschung verlangt, wenn die gesetzlichen Bedingungen erfüllt sind
Eine ungenaue automatisierte Zuordnung anfechtet
Sich bei der Einrichtung oder der Aufsichtsbehörde beschwert

Löschungsrechte bedeuten nicht, dass ein Krankenhaus Akten löschen muss, die es gesetzlich aufbewahren muss. Ein Patient kann stattdessen eine optionale Offenlegung stoppen, während die Quellkrankenakte erhalten bleibt.

Wenn ein Link oder eine Datei an die falsche Person geht

Handeln Sie sofort:

Widerrufen Sie den Link oder die Kontositzung.
Kontaktieren Sie den unbeabsichtigten Empfänger und verlangen Sie Löschung ohne weiteres Öffnen oder Weiterleiten.
Benachrichtigen Sie den Datenschutz- oder Sicherheitskontakt der sendenden Organisation.
Identifizieren Sie genau, welche Dateien, Identifikatoren und welcher Zeitraum offengelegt wurden.
Setzen Sie kompromittierte Passwörter zurück und beenden Sie aktive Sitzungen.
Bewahren Sie das Prüfprotokoll und die Vorfallreferenz auf.
Fragen Sie, welche Risikobewertung, Benachrichtigung und Abhilfe folgen.

Löschen Sie Beweise des Vorfalls nicht, bevor das zuständige Sicherheitsteam sie erfasst. Wenn finanzielle Identität, Reisepass oder Kontoinformationen betroffen waren, überwachen Sie Missbrauch und folgen Sie offiziellen Hinweisen zum Identitäts- oder Zahlungsschutz.

Eine Datenschutzprüfung vor jedem Versand

Empfängeridentität über einen unabhängigen Kanal verifiziert
Klinischer oder administrativer Zweck angegeben
Minimal notwendige Dateien ausgewählt
Originalarchiv erhalten
Sensible Seiten und eingebettete Metadaten verstanden
Patientenhinweis und Einwilligung oder andere Grundlage von der verantwortlichen Organisation dokumentiert
Grenzüberschreitender Mechanismus oder Ausnahme bestätigt, soweit anwendbar
Sicherer Kanal und Zugangsablauf festgelegt
Passwort getrennt gesendet
Weiterleitung und Unterauftragnehmer offengelegt
Empfang bestätigt
Lösch- oder Rückgabedatum erfasst

Rechtlicher und medizinischer Haftungsausschluss: Dieser Leitfaden bietet allgemeine Datenschutz- und Sicherheitsinformationen, keine Rechtsberatung. Grenzüberschreitende Datenpflichten hängen von Organisationen, Daten, Zweck, Umfang, Ort und geltenden Regeln ab. Krankenhäuser und Dienstleister sollten qualifizierten chinesischen und zielstaatlichen Rat einholen; Patienten sollten Notfallversorgung nicht wegen Verwaltungsformalitäten verzögern.

Key Takeaways

Medizinische Gesundheitsinformationen sind sensible personenbezogene Informationen nach Chinas Gesetz zum Schutz personenbezogener Informationen (PIPL). Ihre Verarbeitung erfordert einen spezifischen Zweck, ausreichende Notwendigkeit und strenge Schutzmaßnahmen.^[1]
„Meine Akten ins Ausland senden“ kann das Quellkrankenhaus, den Koordinator, das Übersetzungsunternehmen, die Plattform, das Krankenhaus im Ausland, den Versicherer und die Familie einbeziehen. Identifizieren Sie jeden Empfänger und jede Rolle.
Nutzen Sie das minimal notwendige Aktenpaket für den angegebenen Zweck. Ein Fahrer braucht Mobilitätshinweise, nicht Pathologie; ein Preisbüro braucht möglicherweise nicht die vollständige psychiatrische Vorgeschichte.
Gesonderte Einwilligung und Anforderungen an grenzüberschreitende Übermittlung hängen davon ab, wer die Informationen verarbeitet und warum. Bitten Sie die Einrichtung, ihre Rechtsgrundlage und den Transfermechanismus zu erklären; verlassen Sie sich nicht auf ein allgemeines Kästchen.^[1]^[2]
Verschlüsseln Sie Dateien, senden Sie das Passwort getrennt, setzen Sie Link-Ablauf und bestätigen Sie Löschung oder Rückgabe, wenn die Aufgabe endet. DICOM und Dokumentmetadaten können Identität enthalten, selbst wenn der Dateiname anonym wirkt.^[3]

FAQ

Ist es illegal, dass ein Patient eigene Akten per E-Mail ins Ausland sendet?

Dieser Artikel trifft diese pauschale Behauptung nicht. Die rechtlichen Pflichten unterscheiden sich zwischen einer Person, die ihre eigene Kopie sendet, und einer Einrichtung oder Plattform, die Daten exportiert. Das Datenschutzrisiko bleibt, daher nutzen Sie den sicheren Weg des empfangenden Krankenhauses und holen Sie fallspezifischen Rat ein, wenn nötig.

Erlaubt die Unterzeichnung eines Einwilligungsformulars jedem Dienstleister, meine Akte zu nutzen?

Eine solche Annahme ist nicht sicher. Empfänger, Zwecke, Datenkategorien und Weiterübermittlungen sollten spezifisch offengelegt werden, und das PIPL verlangt eine gesonderte Einwilligung für bestimmte Weitergabe- und Tätigkeiten mit sensiblen Informationen, sofern keine andere rechtmäßige Grundlage gilt.[1]

Reicht ein passwortgeschütztes ZIP?

Es ist eine Kontrolle, kein vollständiges System. Verifizieren Sie auch den Empfänger, nutzen Sie starke Verschlüsselung, senden Sie das Passwort getrennt, begrenzen Sie den Zugang, setzen Sie Ablauf und bestätigen Sie die Löschung.

Kann ich meinen Namen selbst aus DICOM-Dateien entfernen?

Umbenennen von Dateien ist wirkungslos, weil DICOM eingebettete Attribute enthält.[3] Für direkte Versorgung bewahren Sie sicheren Identitätsabgleich; für anonymisierte Nutzung nutzen Sie einen qualifizierten Prozess, den die Einrichtung verlangt.

Kann ich ein Krankenhaus bitten, meine Krankenakte zu löschen?

Personen haben Löschungsrechte unter festgelegten gesetzlichen Bedingungen, aber Krankenhäuser können gesetzliche Aufbewahrungspflichten haben. Bitten Sie das Krankenhaus, die Aufbewahrung der Quellakte von optionaler Weitergabe oder Kopien Dritter zu unterscheiden.[1][4]

Sprache