Privatsphäre der Patienten und Schutz von Gesundheitsdaten: Patientenrechte, KVKK, Verletzungen und Schadensersatz

Die Privatsphäre der Patienten erschöpft sich nicht darin, Informationen über Krankheiten geheim zu halten; geschützt werden zugleich der Körper der Person, das Untersuchungs- und Behandlungsumfeld, ihr psychisches und soziales Leben, ihre medizinischen Unterlagen und ihre digitalen Gesundheitsdaten. Dass ein Patient Gesundheitsleistungen in Anspruch nimmt, gibt dem Arzt oder dem Krankenhauspersonal nicht die Befugnis, Gesundheitsunterlagen unbegrenzt einzusehen, sie mit Angehörigen zu teilen oder zu Werbezwecken zu veröffentlichen. Welcher Weg bei einer Rechtsverletzung einzuschlagen ist, hängt davon ab, ob der Vorfall die körperliche Privatsphäre oder die Verarbeitung personenbezogener Daten betrifft, ob er sich in einer öffentlichen oder privaten Gesundheitseinrichtung ereignet hat und welche Folgen die Verletzung hat. Insbesondere die KVKK-Änderungen von 2024 sowie die Regelungen zu personenbezogenen Gesundheitsdaten vom 3. Dezember 2025 und vom 4. Juli 2026 sollten bei der Beurteilung von Anträgen und Zugriffen zugrunde gelegt werden.

Was ist die Privatsphäre der Patienten und welche Rechte schützt sie?

Die Privatsphäre der Patienten bedeutet, dass die Person während der Gesundheitsversorgung nur die medizinisch erforderlichen Informationen und körperlichen Merkmale mit den erforderlichen Personen und Einrichtungen und im Umfang eines legitimen Zwecks teilt und dass ihre Untersuchung, Diagnose und Behandlung unter angemessenen Bedingungen der Vertraulichkeit erfolgen. Art. 21 der Patientenrechteverordnung (Hasta Hakları Yönetmeliği) regelt die Achtung der Privatsphäre als Grundprinzip. Das Recht hängt weder vom Staatsangehörigkeitsstatus noch davon ab, ob die Behandlung entgeltlich ist. Der Patient hat zudem nach Art. 17 der Verfassung das Recht, seine materielle und ideelle Existenz zu schützen, und nach Art. 20 der Verfassung das Recht auf Schutz seines Privatlebens und seiner personenbezogenen Daten. Art. 8 der Europäischen Menschenrechtskonvention gewährleistet den Schutz der Achtung des Privat- und Familienlebens. [1] [2]

Privatsphäre nur als das Zuziehen eines Vorhangs oder das Setzen eines Passworts für eine Datenbank zu verstehen, greift zu kurz. Der Schutz hat vier miteinander verbundene Dimensionen: körperliche Privatsphäre (Zugang zum Körper und zum Behandlungsbereich), informationelle Privatsphäre (Diagnose-, Labor-, Rezept-, psychiatrische, genetische und Zahlungsinformationen), psychische/kognitive Privatsphäre (der Wille der Person, welche Information über sich sie mit wem teilt) und soziale Privatsphäre (dass die Person wegen ihrer Krankheit nicht stigmatisiert und gegenüber Angehörigen oder im beruflichen Umfeld keiner unnötigen Offenlegung ausgesetzt wird). Diese Dimensionen sind nicht voneinander losgelöst; in den meisten Fällen können sie gemeinsam verletzt werden.

Was verlangt Art. 21 der Patientenrechteverordnung?

Die Gewährleistung der Privatsphäre in der Verordnung umfasst die vertrauliche Durchführung medizinischer Beurteilungen, die Untersuchung und Behandlung in einem angemessenen Umfeld, die Möglichkeit der Anwesenheit eines Angehörigen, sofern medizinisch nichts dagegen spricht, das Fernhalten von Personen, die mit dem Eingriff nichts zu tun haben, das Unterlassen von Eingriffen in das Privat-/Familienleben, die die Krankheit nicht erfordert, und den Schutz der Herkunft der Gesundheitsausgaben. Diese Punkte können vom Patienten auch gesondert verlangt werden. Ebenso wie das Schließen der Zimmertür durch den Arzt gehört es zur Privatsphäre, dass die Diagnose des Patienten nicht laut an einem Schalter genannt wird, an dem andere mithören können. [2]

Privatsphäre, Aufklärung und informierte Einwilligung sind unterschiedliche Rechte

Aufklärung und informierte Einwilligung ermöglichen der Person, über Art, Nutzen, Risiken und Alternativen des medizinischen Eingriffs zu entscheiden. Die Privatsphäre hingegen begrenzt, von wem und unter welchen Bedingungen diese Erläuterungen, Unterlagen und Vorgänge eingesehen werden dürfen. Eine für eine Operation erteilte Einwilligung bedeutet keine pauschale Erlaubnis, das Bild des Patienten im Internet zu veröffentlichen oder allen im Krankenhaus die Einsicht in die Unterlagen zu gestatten. Die Verwendung von Fotos/Videos, die Offenlegung gegenüber Dritten und die Verarbeitung von Gesundheitsdaten zu einem anderen Zweck erfordern eine gesonderte rechtliche Beurteilung. [1] [2] [3]

Wie wird die körperliche Privatsphäre bei Untersuchung und Behandlung gewährleistet?

Poliklinikraum, Notaufnahme, Intensivstation, Operationssaal, Kreißsaal, Dialysezentrum und bildgebende Abteilung weisen nicht dieselben Bedingungen auf; gemeinsamer Grundsatz ist jedoch Erforderlichkeit, Verhältnismäßigkeit und Achtung der Menschenwürde des Patienten. Unbefugte Personen sollten vom Untersuchungsbereich ferngehalten werden; Vorhang, Tür, persönlicher Raum, Kleidung und Erläuterungsmethoden sollten mit der medizinischen Erforderlichkeit in Einklang gebracht werden. Auch Notfalleingriffe heben das Recht auf Privatsphäre nicht auf; Praktiken, die wegen der Dringlichkeit eingeschränkt werden können, bleiben auf das Erforderliche beschränkt.

Poliklinik, Patientenzimmer und bildgebende Abteilungen

Im Arztzimmer sollte verhindert werden, dass ein anderer Patient oder ein mit der Behandlung nicht befasster Mitarbeiter die Gespräche mithört und den Körper des Patienten sieht. Der Patient kann verlangen, dass Informationen über ihn in einem geschützteren Rahmen mit dem Arzt besprochen werden. Allerdings ist es nicht in jedem Fall möglich, Pflegekräfte, Gesundheitspersonal, Begleitpersonen oder Dolmetscher, die aus Gründen der medizinischen Sicherheit bei der Untersuchung anwesend sein müssen, hinauszuschicken; in solchen Fällen werden die Rollen erläutert und die am wenigsten eingreifende Methode gewählt. Bei Bildgebung und körperlicher Untersuchung sollte nur die erforderliche Körperregion freigelegt werden, und Warte- und Umkleidebereiche sollten angemessen gestaltet sein. [2]

Intensivstation, Notaufnahme und Lehrkrankenhäuser

Dass auf der Intensivstation und in der Notaufnahme interdisziplinär im Team gearbeitet wird, bedeutet nicht, dass die Privatsphäre endet. Bei der Gestaltung von Gesprächen am Krankenbett, sichtbaren Bildschirmen und klinischen Tafeln sollte nur dem erforderlichen Personal Zugang gewährt werden. In Ausbildungseinrichtungen sollte, wenn Personen, die nicht unmittelbar an der Behandlung beteiligt sind, während des Eingriffs anwesend sein müssen, nach Art. 21 der Patientenrechteverordnung die gesonderte Einwilligung des Patienten eingeholt werden. Die Anwesenheit von Studierenden darf nicht als gewöhnliche Praxis aufgezwungen werden, ohne dass dies dem Patienten offengelegt wird. [2]

Begleitperson, Dolmetscher und Wahl von Arzt/Personal

Der Patient kann, sofern medizinisch nichts dagegen spricht, verlangen, dass ein Angehöriger bei ihm ist und dass die Erfordernisse der Privatsphäre beachtet werden. Bei Kommunikationshindernissen oder Fremdsprachigkeit wird die Vertraulichkeit auch in Gesprächen gewahrt, die mit einem Dolmetscher geführt werden. Die Rechte auf Wahl/Wechsel von Arzt und Personal werden nach den einschlägigen Rechtsvorschriften, der Kapazität der Gesundheitseinrichtung, den medizinischen Notwendigkeiten und etwaigen Vergütungsbedingungen beurteilt; die Bereitstellung eines Arztes bestimmten Geschlechts ist nicht in jedem Fall ein absolutes Anspruchsrecht. Religiöse, kulturelle und psychische Empfindlichkeiten des Patienten werden berücksichtigt, soweit sie mit der sicheren Erbringung der Leistung vereinbar sind. [2]

Warum gehören Gesundheitsinformationen zu den besonderen Kategorien personenbezogener Daten?

Krankheits- und Diagnoseinformationen, Operationsnotizen, psychiatrische Beurteilungen, genetische Ergebnisse, Berichte über eine Behinderung, Daten zur sexuellen Gesundheit, Rezepte und Untersuchungsergebnisse sind besondere Kategorien personenbezogener Daten im Sinne von Art. 6 des Gesetzes Nr. 6698. Auch das Datum eines Krankenhausbesuchs sowie Identitäts- oder Kontaktdaten sind je nach Zusammenhang personenbezogene Daten; mitunter kann schon die Offenlegung, dass eine Person eine bestimmte Gesundheitseinrichtung aufgesucht hat, Rückschlüsse auf ihren Gesundheitszustand zulassen. Ob sich Gesundheitsdaten auf Papier, im Krankenhausinformationssystem, in e-Nabız, in einer E-Mail oder in der Cloud befinden, ändert den Schutzgrundsatz nicht. [3] [4]

Die Änderung von 2024: Ist für jede Verarbeitung eine ausdrückliche Einwilligung erforderlich?

Nein. Art. 6 KVKK wurde durch das Gesetz Nr. 7499 geändert, und die neuen Verarbeitungsvoraussetzungen sind am 1. Juni 2024 in Kraft getreten. Die ausdrückliche Einwilligung ist nicht die einzige gültige Verarbeitungsvoraussetzung. Voraussetzungen wie die ausdrückliche gesetzliche Vorsehung, die Erforderlichkeit zum Schutz des Lebens/der körperlichen Unversehrtheit der Person oder eines anderen, die Begründung/Ausübung/Wahrung eines Rechts sowie – bei Personen, die einer Verschwiegenheitspflicht unterliegen, oder bei befugten Einrichtungen – öffentliche Gesundheit, Diagnose, Behandlung, Pflege und Finanzierung von Gesundheitsleistungen können für den konkreten Verarbeitungsvorgang von Bedeutung sein. Das Vorliegen einer dieser Voraussetzungen gibt jedoch nicht jedem, der Daten verarbeitet, das Recht, zeitlich unbegrenzt auf alle Gesundheitsunterlagen zuzugreifen. Zweckbindung, Datenminimierung, Verschwiegenheit und Sicherheitsmaßnahmen gelten weiterhin. [3] [4]

Ist eine ausdrückliche Einwilligung erforderlich, sollte sie bestimmt sein, auf Information beruhen und aus freiem Willen erteilt werden. Wird die Inanspruchnahme der Behandlung durch einen Patienten von einer für die Behandlung nicht erforderlichen Einwilligung in Werbung, kommerzielle Nachrichten oder Veröffentlichungen abhängig gemacht, kann dies zusätzlich eine Rechtswidrigkeit begründen. Die Einholung einer Einwilligung schafft keine unbegrenzte Erlaubnis für eine Tätigkeit, die andere Rechtsvorschriften ausdrücklich verbieten. [3] [5]

Das Krankenhaus als Verantwortlicher und die Verantwortung der Beschäftigten

Die Gesundheitseinrichtung sollte technische/organisatorische Maßnahmen umsetzen, etwa Zugriffsrollen, Verwaltung von Benutzerkonten, Aufbewahrung der Unterlagen, Entzug von Berechtigungen bei Personalwechsel, Zugriffsprotokolle, Schutz der Verwendung von Passwort/elektronischer Signatur, Schulungen zur Vertraulichkeit und Reaktion auf Vorfälle. Teilt ein Arzt oder eine Sekretärin das ihm bzw. ihr zugewiesene Konto, unterlässt die Einrichtung die erforderliche Kontrolle oder lässt sich nicht feststellen, welcher Mitarbeiter den Zugriff vorgenommen hat, kommt je nach den konkreten Umständen die Pflicht zur Datensicherheit in Betracht. Nur weil sich die Daten eines Patienten auf einem Bildschirm befinden, den ausschließlich befugtes Personal sehen kann, gelten nicht alle Abfragen dieses Personals als rechtmäßig. [6] [7]

Wer darf auf die Gesundheitsdaten in e-Nabız zugreifen?

Das System e-Nabız erleichtert Patienten und befugten Gesundheitsdienstleistern den Zugang zu Informationen, verlangt aber, dass die Zugriffsbefugnis zu Behandlungszwecken und innerhalb der rechtlichen Grenzen genutzt wird. Dass ein Nutzer eine weitergehende Anzeigeeinstellung wählt, bedeutet keine Einwilligung in die Abfrage von Patientendaten aus Neugier oder wegen einer persönlichen Beziehung. Im Beschluss Nr. 2023/695 des Rates für den Schutz personenbezogener Daten (Kişisel Verileri Koruma Kurulu) vom 2. Mai 2023 hat der Umstand, dass die Daten aufgrund einer weiten Zugriffseinstellung zugänglich waren, die Abfrage durch einen mit der Behandlung nicht befassten Mitarbeiter nicht legitimiert. Der Rat prüfte zudem gesondert den Schutz des Mitarbeiterkontos und die Maßnahmen des Verantwortlichen. [6]

Zugriffsfristen nach dem 3. Dezember 2025 und die Grenze des medizinischen Zwecks

Art. 6 der Verordnung über personenbezogene Gesundheitsdaten (Kişisel Sağlık Verileri Hakkında Yönetmelik) wurde am 3. Dezember 2025 neu gefasst. Beschränkt auf die Verarbeitungsvoraussetzungen in Art. 6 Abs. 3 des Gesetzes ist für den Zugriff des Familienarztes keine allgemeine zeitliche Begrenzung vorgesehen; der Zugriff des aufgesuchten Arztes und der diensthabenden Ärzte der Gesundheitseinrichtung ist bis zum Ende der Tage, an denen Gesundheitsleistungen in Anspruch genommen werden, der Konsil-/Kontrollfrist und der unmittelbar mit der Leistung verbundenen Vorgänge geregelt. In der Einrichtung, in der die stationäre Aufnahme erfolgt, können die zuständigen Ärzte bis zur Entlassung zugreifen, bei Aufnahmen über die Notaufnahme die diensthabenden Ärzte dieser Einrichtung beschränkt auf die betreffende Gesundheitsleistung bis zur Entlassung. Angesichts dieser Regelung kann von einer allgemeinen, für alle geltenden 24-stündigen Zugriffsfrist keine Rede sein. In jedem Fall sollte die Abfrage einen Bezug zur Leistung für den betreffenden Patienten haben. [8]

Die e-Nabız-Sicherheitseinstellungen des Patienten und die codebasierten Zugriffsverfahren des Systems gelten zusätzlich. Die Änderung von 2025 regelte bestimmte Ausnahmen für stationäre Aufnahme/Notaufnahme sowie Situationen wie Untersuchungshaft/Strafhaft, in denen der Bestätigungscode faktisch nicht erreichbar ist. Keine dieser Regelungen erlaubt Abfragen außerhalb der Behandlung. Ein im System als „verborgen“ oder unsichtbar geführter Eintrag fällt nicht von selbst aus der gesetzlichen Aufbewahrungspflicht heraus; das Ausblenden im Profil und das Löschen der Daten sind nicht derselbe Vorgang. [8]

Wie sollte eine unbefugte Abfrage untersucht werden?

Der erste Schritt des Patienten besteht darin, den Verdacht eines Zugriffs mit Datum, Einrichtung und Angaben zu Arzt/Personal festzuhalten und erforderlichenfalls vom Verantwortlichen und den zuständigen Gesundheitsbehörden eine Erklärung zur Abfrage zu verlangen. Besonders wichtig ist es, die Aufbewahrung der Zugriffsprotokolle zu verlangen: Benutzerkennung, Sitzungszeit, Art des abgerufenen Eintrags, Grund des Zugriffs sowie etwaige Weitergabe- oder Exportvorgänge können geprüft werden. Ein Bildschirmfoto allein beweist nicht immer, auf welche Daten eine Person aus welchem Grund zugegriffen oder dass sie die Daten an Dritte weitergegeben hat. Die technischen Aufzeichnungen der Einrichtung sollten zusammen mit den Aussagen der Beschäftigten und dem Vorgangsverkehr beurteilt werden. [6] [7]

Zugriffsrecht von Kindern, sich scheidenden Eltern und Betreuungspersonen

Bei den Gesundheitsdaten eines Kindes werden Sorgerecht, Alter, Urteilsfähigkeit und das Kindeswohl gemeinsam beurteilt. Nach Art. 8 der Verordnung ist der Zugriff der Eltern auf die Gesundheitsunterlagen des Kindes über e-Nabız zwar die Regel, ein urteilsfähiges Kind kann jedoch den Zugriff der Eltern auf seine eigene Gesundheitsgeschichte von einer Erlaubnis abhängig machen. Dieses Recht sollte nicht als unbegrenzte, von den familiären Beziehungen unabhängige Befugnis zum Zugriff oder zur Geheimhaltung ausgelegt werden; die Pflicht zum Schutz des Kindes und die einschlägigen Rechtsvorschriften sollten gemeinsam angewendet werden. [8]

Zugriff während des Scheidungsverfahrens und nach der Sorgerechtsregelung

Nach der Änderung vom 3. Dezember 2025 kann während des laufenden Scheidungsverfahrens der Elternteil, dem das Sorgerecht vorläufig übertragen wurde, und nach der Scheidung die Partei, die das Sorgerecht innehat, auf die Gesundheitsdaten des Kindes zugreifen. Der Elternteil ohne Sorgerecht kann sich an die zuständige Generaldirektion des Gesundheitsministeriums (Sağlık Bakanlığı) wenden. Wird dies für angemessen befunden, können begrenzte Daten zum Gesundheitszustand des Kindes, die Aufenthaltsort und Kontaktdaten des sorgeberechtigten Elternteils oder des Kindes nicht offenlegen, herausgegeben werden. Schutzanordnungen, häusliche Gewalt und die Sicherheit des Kindes haben bei einer solchen Prüfung besonderes Gewicht. Daher ist eine allgemeine Aussage wie „Eltern können in jedem Fall alles ohne Erlaubnis einsehen“ unvollständig. [8]

Zugriff bei Menschen mit Behinderung und durch Betreuungspersonen

Die 2025 in Art. 9 der Verordnung eingefügte Regelung sieht vor, dass Betreuungspersonen auf die Gesundheitsdaten von Personen mit einem Bericht über eine Behinderung zugreifen können. Die Stellung als Betreuungsperson bedeutet jedoch nicht, dass das gesamte Recht der Person auf Privatsphäre entfällt. Die Berechtigung muss unter Berücksichtigung des Betreuungszwecks und der rechtlichen/tatsächlichen Lage der Person bestimmt werden. [8]

Dürfen Angehörigen und Rechtsanwälten Gesundheitsinformationen gegeben werden?

Maßgeblich ist der Wille des volljährigen, entscheidungsfähigen Patienten. Nach Art. 18 der Patientenrechteverordnung kann der Patient verlangen, dass an seiner Stelle eine bestimmte Person informiert wird; dieser Wunsch sollte in unterschriebener Form festgehalten werden. Dass ein naher Verwandter ins Krankenhaus gekommen ist oder das Telefon des Patienten anruft, rechtfertigt für sich allein nicht die Weitergabe der gesamten Diagnose- und Behandlungsgeschichte. In besonderen Situationen wie medizinischer Dringlichkeit, gesetzlicher Meldepflicht oder Vertretungsbefugnis wird die erforderliche Offenlegung auf den Mindestumfang beschränkt. [2]

Information der Familie mit der Begründung „es würde dem Patienten schaden“

Die Verordnung enthält zur Mitteilung schwerer Diagnosen an den Patienten Ausnahmebestimmungen, die eng auszulegen sind. Diese Bestimmungen geben dem Arzt keine allgemeine Befugnis, Familienangehörigen jede beliebige Gesundheitsinformation offenzulegen. Das Recht des Patienten auf Information, ein etwaiger Wunsch, nicht informiert zu werden, die medizinische Erforderlichkeit und das Verfahren nach der geltenden Regelung sollten gemeinsam geprüft werden. [2]

Die Änderung von 2025 zum Zugriff von Rechtsanwälten auf Gesundheitsunterlagen

Der frühere Art. 10 der Verordnung über personenbezogene Gesundheitsdaten, wonach eine Generalvollmacht nicht ausreichte und eine besondere Einwilligungsklausel verlangt wurde, ist am 3. Dezember 2025 aufgehoben worden. Die frühere Bestimmung darf daher nicht so dargestellt werden, als sei sie noch in Kraft. Die Aufhebung von Art. 10 führt jedoch nicht dazu, dass ein Rechtsanwalt ohne Unterlagen oder unbegrenzt auf die Gesundheitsunterlagen beliebiger Patienten zugreifen kann. Die Vertretung nach Art. 16 der Patientenrechteverordnung, das Rechtsanwaltsgesetz (Avukatlık Kanunu), Art. 6 KVKK, der Zweck der Übermittlung personenbezogener Daten und das einschlägige Verwaltungs-/Gerichtsverfahren sollten gemeinsam beurteilt werden. Wichtig ist, anhand des konkreten Dokuments die Befugnis und die für die Weitergabe besonderer Kategorien von Daten erforderliche Grundlage festzustellen. Auch die Union der türkischen Rechtsanwaltskammern (Türkiye Barolar Birliği) hat in ihrer Mitteilung vom 17. Dezember 2025 bekanntgegeben, dass der frühere Art. 10 aufgehoben wurde. [2] [8] [9]

Sind die Gesundheitsdaten verstorbener Patienten geschützt?

Ja. Nach Art. 21 der Patientenrechteverordnung hebt der Tod das Recht auf Privatsphäre nicht auf. Art. 11 der Verordnung über personenbezogene Gesundheitsdaten enthält die Regelung, wonach gesetzliche Erben, die einen Erbschein (veraset ilamı) vorlegen, Gesundheitsdaten einzeln anfordern können. Die Mindestaufbewahrungsfrist in demselben Artikel wurde mit der Änderung vom 3. Dezember 2025 von 20 auf 30 Jahre verlängert. Diese Frist bedeutet nicht, dass sämtliche Gesundheitsunterlagen in jedem Fall genau im 30. Jahr gelöscht werden; besondere Aufbewahrungspflichten nach anderen Gesetzen und die Art des angeforderten Eintrags sollten geprüft werden. [2] [8]

Die Persönlichkeitsrechte des Verstorbenen werden zusammen mit den Interessen der Erben an Information, Klageerhebung und familiärer Privatsphäre beurteilt. Auch nach dem Tod des Patienten kann die Weitergabe von Berichten an die Presse oder die Veröffentlichung von Krankenhausunterlagen in sozialen Medien Verschwiegenheitspflichten berühren.

Das Recht des Patienten auf Akteneinsicht und Abschriften

Art. 16 der Patientenrechteverordnung regelt das Recht des Patienten, seine Gesundheitsakte unmittelbar oder über einen ordnungsgemäß bevollmächtigten Bevollmächtigten/gesetzlichen Vertreter einzusehen und Abschriften zu erhalten. In diesem Rahmen können je nach Art des Vorfalls Entlassungsbericht (Epikriz), Operationsbericht, Narkoseprotokoll, Untersuchungsbefunde, Röntgenbilder, Pathologie, Einwilligungsunterlagen und Entlassungsunterlagen angefordert werden. Die Pflicht des Krankenhauses zur Führung von Aufzeichnungen ist von der Pflicht zu unterscheiden, die Aufzeichnungen der berechtigten Person bereitzustellen; existiert ein Eintrag nicht, sollte dies erläutert und innerhalb der maßgeblichen Fristen sowie in der Akte gesondert beurteilt werden. [2]

Im Antrag sollten der Zeitraum und die Unterlagen, die angefordert werden, die sichere Übermittlungsart, die Identitäts-/Vertretungsprüfung und gegebenenfalls die gesetzlichen Grenzen der Gebühren angegeben werden. Das Recht auf Zugang zu Unterlagen darf nicht mit einem Recht verwechselt werden, die Daten öffentlich bekanntzumachen. Insbesondere bei einem Streit über einen ärztlichen Fehler oder eine Verletzung der Privatsphäre ist es wichtig, die Unterlagen unverändert zu sichern.

Wie werden fehlerhafte Diagnosen, Berichte, e-Nabız-Einträge und frühere Gesundheitsinformationen berichtigt?

Der Patient kann die Berichtigung unvollständiger oder falscher medizinischer und personenbezogener Aufzeichnungen nach Art. 17 der Patientenrechteverordnung und Art. 13 der Verordnung über personenbezogene Gesundheitsdaten verlangen. Dazu können die dem Antrag zugrunde liegenden Untersuchungsunterlagen, Tests aus verschiedenen Zeitpunkten, fachärztliche Beurteilungen und die Art des Fehlers vorgelegt werden. Die Änderung einer Sichtbarkeitseinstellung, die Löschung eines überprüfbaren medizinischen Eintrags, die Berichtigung fehlerhafter Daten und die Neubewertung einer früheren Diagnose sind getrennte Vorgänge. [2] [10]

4. Juli 2026: Neubewertung früherer Diagnosen (Art. 13/A)

Nach dem durch die Verordnung vom 4. Juli 2026 eingefügten Art. 13/A können früher gestellte Diagnosen auf Grundlage des aktuellen Gesundheitszustands der Person neu bewertet werden. Für eine von einem einzelnen Arzt gestellte Diagnose ist ein Gesundheitsausschuss mit drei Ärzten vorgesehen, für eine von einem Ausschuss mit drei Ärzten oder einem voll besetzten Ausschuss gestellte Diagnose die Beurteilung durch einen voll besetzten Ausschuss. Liegt ein den aktuellen Zustand feststellender Bericht eines Gesundheitsausschusses vor, wonach die Diagnose derzeit nicht besteht, ist dieser Bericht – unbeschadet der Bestimmungen der einschlägigen Sondervorschriften – bei künftigen Vorgängen zu berücksichtigen. Dieser Vorgang ist nicht gleichbedeutend damit, eine in der Vergangenheit tatsächlich gestellte Diagnose aus der Geschichte zu tilgen. Insbesondere bei Beschäftigung, Sicherheitsüberprüfungen oder Vorgängen, die einen ärztlichen Bericht erfordern, kann die Verwechslung der alten Diagnose mit dem heutigen Zustand zu einem Rechtsverlust führen. [10]

Anträge auf Löschung, Vernichtung und Anonymisierung

Ist der Verarbeitungsgrund im Sinne von Art. 7 KVKK entfallen, sollte der Verantwortliche die Pflicht zur Löschung, Vernichtung oder Anonymisierung im Rahmen der anwendbaren Rechtsvorschriften prüfen. Sagt ein Patient jedoch „ich will diesen Eintrag nicht“, entsteht keine Pflicht, verpflichtende medizinische Archivunterlagen oder gesetzlich aufzubewahrende Dokumente sofort zu vernichten. Anonymisierung bedeutet, dass die Daten auch durch Verknüpfung mit anderen Informationen nicht mehr einer Person zugeordnet werden können; das bloße Abdecken des Namens ist nicht immer eine echte Anonymisierung. [3]

In welchen Fällen dürfen Gesundheitsdaten offengelegt oder übermittelt werden?

Eine Datenübermittlung kann in Situationen wie Notfallbehandlung, gesetzlicher Meldung, öffentlicher Gesundheit, gerichtsmedizinischer Untersuchung, gerichtlicher Entscheidung sowie Vorgängen der sozialen Sicherheit und der Gesundheitsfinanzierung in Betracht kommen. Für jede Übermittlung werden Rechtsgrundlage, Aufgabe und Befugnis, der erforderliche Datenumfang und die Zugriffssicherheit gesondert beurteilt. Eine Pflicht zur Anzeige einer Straftat oder zur Meldung eines gerichtsmedizinischen Falls rechtfertigt nicht, sämtliche früheren Diagnosen des Patienten einem großen Personenkreis des Personals oder der Öffentlichkeit offenzulegen. [2] [3]

Forschung, medizinische Ausbildung und wissenschaftliche Veröffentlichungen

Die Verwendung personenbezogener Gesundheitsdaten in der medizinischen Forschung wird hinsichtlich ihrer Rechtsgrundlage und der ethischen Verfahren gesondert beurteilt. Die Verwendung tatsächlich anonymisierter Daten und die Verwendung re-identifizierbarer Patientenakten führen nicht zu demselben Ergebnis. Soll das Bild oder Gesicht des Patienten in der Ausbildung verwendet werden, werden die Privatsphäre des Patienten, die Beschaffenheit des Bildes, die Einwilligung und die branchenspezifischen Regeln gesondert geprüft. Eine Ausbildungseinrichtung zu sein, begründet keine Ausnahme von der Privatsphäre. [2] [3]

Cloud, Systeme künstlicher Intelligenz und Datenübermittlung ins Ausland

Nutzen Gesundheitseinrichtungen Cloud-Speicherung, Fernkonsultationen, KI-gestützte Befundanalyse, Laborplattformen oder ausländische Dienstleister, sollten das Verhältnis zwischen Auftragsverarbeiter und Verantwortlichem, der Ort von Zugriff und Speicherung, die übermittelten Datenkategorien und die Sicherheitsmaßnahmen dokumentiert werden. Der seit dem 1. Juni 2024 geänderte Art. 9 KVKK sieht für die Übermittlung ins Ausland ein gestuftes System aus Angemessenheitsbeschluss, geeigneten Garantien und eng begrenzten Ausnahmen für gelegentliche Übermittlungen vor. Allein der Umstand, dass sich Daten in der Cloud befinden oder in einem Vertrag „vertraulich“ steht, macht die Übermittlung nicht rechtmäßig. [11]

Dürfen Fotos, Videos oder Operationsaufnahmen eines Patienten geteilt werden?

Kameraaufnahmen, die zeigen, dass sich der Patient im Krankenhaus befindet, ein Foto, auf dem sein Gesicht zu sehen ist, Vorher-nachher-Aufnahmen einer Operation, eine Tonaufnahme oder eine Behandlungsgeschichte sind personenbezogene Daten und teilweise Daten des Privatlebens. Allein dass der Patient zuvor selbst ein Foto von sich auf einer Plattform veröffentlicht hat, gibt der Gesundheitseinrichtung keine Erlaubnis, es zu einem anderen Zweck zu verwenden. Medizinische Einwilligung, Erlaubnis zur Veröffentlichung in sozialen Medien und Vereinbarkeit mit dem Werberecht sind voneinander unabhängige Prüfungsgegenstände. [3] [5]

Im Beschluss des Rates für den Schutz personenbezogener Daten vom 11. Mai 2023, Nr. 2023/787, wurde angenommen, dass für Patientenvideos, die zu Werbezwecken gedreht wurden, trotz vorhandener Einwilligungsunterlagen wegen der branchenspezifischen Werbebeschränkungen im Gesundheitsbereich keine Rechtsgrundlage bestand. Die zum Zeitpunkt des Vorfalls geltende Fassung der Branchenregeln, auf die sich dieser Beschluss stützt, sollte gesondert geprüft werden; die Einwilligung allein macht verbotene Werbung nicht rechtmäßig. [5]

Im Urteil des 13. Zivilsenats des Kassationshofs (Yargıtay 13. Hukuk Dairesi) vom 2. April 2014, E. 2013/29323, K. 2014/9953, wurde anerkannt, dass die Herausgabe von Sicherheitskameraaufnahmen des Krankenhausparkplatzes an einen Fernsehsender ohne Einwilligung des Patienten dessen Persönlichkeitsrecht verletzt. Dass die Kameraaufnahmen zu Sicherheitszwecken angefertigt wurden, erlaubt nicht ihre Verwendung zu Sendezwecken. [12]

Rechtliche Folgen einer Verletzung der Privatsphäre: Verwaltungsrechtliche, zivilrechtliche und strafrechtliche Verantwortlichkeit

Verwaltungsaufsicht und Sanktionen nach dem KVKK

Werden personenbezogene Daten rechtswidrig verarbeitet, unbefugt abgerufen oder nicht geschützt, kann der Rat für den Schutz personenbezogener Daten den Verantwortlichen überprüfen; werden keine geeigneten Maßnahmen getroffen, kommen eine Geldbuße und Beschlüsse zur Beseitigung der Rechtswidrigkeit in Betracht. Im Beschluss Nr. 2023/695 wurden die unbefugte e-Nabız-Abfrage und die unzureichende Passwortsicherheit gemeinsam beurteilt. Diese Sanktionen sind kein automatisch an den Patienten gezahlter Schadensersatz; Schadensersatz wegen Verletzung des Persönlichkeitsrechts wird gesondert geltend gemacht, und seine Voraussetzungen werden geprüft. [6] [7]

Die in Art. 12 Abs. 5 KVKK und im Beschluss des Rates Nr. 2019/10 vorgesehene Meldung von Datenschutzverletzungen ist so geregelt, dass der Verantwortliche nach Kenntniserlangung von der Verletzung spätestens innerhalb von 72 Stunden eine Meldung an den Rat erstattet und die betroffenen Personen ebenfalls innerhalb der kürzesten angemessenen Frist informiert werden. Nicht jeder fehlerhafte Dateneintrag ist mit jedem Vorfall gleichzusetzen, der unter die gesetzliche Meldepflicht für Verletzungen fällt; der Umfang des Vorfalls sollte beurteilt und die Aufzeichnungen sollten gesichert werden. [13]

Schadensersatz gegen Privatkrankenhäuser und Ärzte

Je nach Art der Streitigkeit können die Bestimmungen über den mit der privaten Gesundheitseinrichtung geschlossenen Vertrag, über unerlaubte Handlungen oder über den Schutz der Persönlichkeitsrechte anwendbar sein. Art. 24–25 des Türkischen Zivilgesetzbuchs, Art. 49, 58 und 112 des Türkischen Obligationenrechts sowie gegebenenfalls die Bestimmungen über Handlungen von Hilfspersonen können von Bedeutung sein. Beim materiellen Schadensersatz werden Schaden, rechtswidrige Handlung und Kausalzusammenhang, beim immateriellen Schadensersatz Art und konkrete Auswirkung der Verletzung des Persönlichkeitsrechts gesondert geprüft. Dass der Geschädigte überhaupt keinen materiellen Verlust erlitten hat, schließt die Prüfung eines immateriellen Schadensersatzes nicht aus, wenn dessen Voraussetzungen vorliegen. Das sachlich zuständige Gericht und die Prozessvoraussetzungen bestimmen sich danach, ob das Verhältnis als Verbrauchergeschäft gilt, und nach der rechtlichen Natur des Anspruchs; nicht alle Klagen gegen Privatkrankenhäuser fallen automatisch in die Zuständigkeit des Handelsgerichts. [12] [14]

Im Urteil des 3. Zivilsenats des Kassationshofs (Yargıtay 3. Hukuk Dairesi) vom 4. Juni 2024, E. 2023/2239, K. 2024/1823, wurde die Offenlegung des Ergebnisses eines ohne Einwilligung des Patienten durchgeführten Tests vor Abschluss der Bestätigung beurteilt; dass der immaterielle Schadensersatz im Hinblick auf die Besonderheiten des konkreten Falls zu niedrig festgesetzt worden war, wurde zum Aufhebungsgrund gemacht. Das Urteil zeigt, dass nicht nur der medizinische Eingriff, sondern auch die Offenlegung von Testinformationen Rechtsfolgen auslösen kann. [14]

Verwaltungsrechtliche Haftung und Fristen bei öffentlichen Krankenhäusern

Ein Schadensanspruch, der sich aus der Erbringung von Gesundheitsleistungen durch ein öffentliches Krankenhaus ergibt, kann je nach rechtlicher Einordnung des Vorfalls vor den Verwaltungsgerichten im Rahmen der Grundsätze des Dienstfehlers oder sonstiger Grundsätze der Verwaltungshaftung behandelt werden. Bei Ansprüchen auf vollen Rechtsschutz aus tatsächlichem Verwaltungshandeln im Sinne von Art. 13 der Verwaltungsgerichtsordnung (Gesetz Nr. 2577, İYUK) sind grundsätzlich ein Antrag an die zuständige Verwaltung innerhalb eines Jahres ab Kenntnis der schadensverursachenden Handlung, jedenfalls innerhalb von fünf Jahren ab der Handlung, sowie die Einhaltung der Klagefrist nach der Antwort/stillschweigenden Ablehnung auf den Verwaltungsantrag maßgeblich. Schäden aus einem Verwaltungsakt im Sinne von Art. 12 der Verwaltungsgerichtsordnung können einem anderen Verfahren folgen. Da Kenntniserlangung, Schadenseintritt und die Unterscheidung zwischen Realakt und Verwaltungsakt in der konkreten Akte entscheidend sind, kann eine Regel wie „bei allen Klagen gegen ein öffentliches Krankenhaus unmittelbar 60 Tage“ nicht angewendet werden. [15]

Straftat der rechtswidrigen Weitergabe oder Erlangung personenbezogener Daten

Je nach konkreter Handlung können Art. 135 TCK Nr. 5237 (Speicherung personenbezogener Daten), Art. 136 (rechtswidrige Weitergabe, Verbreitung oder Erlangung von Daten), Art. 137 (bestimmte qualifizierte Fälle), Art. 138 (Nichtvernichtung von Daten) und Art. 134 (Verletzung der Vertraulichkeit des Privatlebens) zu erörtern sein. Art. 136 Abs. 1 TCK sieht als Grundstrafe 2 bis 4 Jahre Freiheitsstrafe vor; qualifizierte Fälle und der Tatzeitpunkt werden zusätzlich berücksichtigt. Für die strafrechtliche Verantwortlichkeit sollten die Art der personenbezogenen Daten, die Handlung, die Rechtswidrigkeit, der Vorsatz, die Art der Erlangung und Übermittlung sowie die Beweise geprüft werden. Nicht jeder Verstoß gegen Datenschutzvorschriften bedeutet automatisch, dass die Straftat nach Art. 136 TCK begangen wurde. [16]

Im Urteil des 12. Strafsenats des Kassationshofs (Yargıtay 12. Ceza Dairesi) vom 30. Juni 2025, E. 2022/8375, K. 2025/5747, wurde beurteilt, dass das Notfalluntersuchungsformular eines Patienten unter Ausnutzung der durch den Arztberuf gegebenen Möglichkeiten erlangt und im Internet veröffentlicht worden war, und die Verurteilung wurde mit einer Korrektur hinsichtlich der Sicherungsmaßregel bestätigt. Im Urteil vom 12. März 2026, E. 2023/4676, K. 2026/2628, wurde hingegen angenommen, dass die Tatbestandsmerkmale erfüllt sind, wenn ein psychiatrischer Bericht vom Ehegatten erlangt und an einen Dritten weitergegeben wird. Dass Gesundheitsdaten in einer Gerichtsakte verwendet wurden, macht die ursprüngliche Erlangung und Übermittlung nicht von selbst rechtmäßig. [17] [18]

Was zeigen die Entscheidungen des Verfassungsgerichts und der Höchstgerichte?

Das Plenum des Verfassungsgerichts (Anayasa Mahkemesi Genel Kurulu) hat in der Entscheidung Cem Özberk (Beschwerde-Nr. 2020/15944, 20. März 2025) betont, dass das Strafverfahren bei einer Beschwerde über die Gesundheitsinformationen einer volljährigen Person im Hinblick auf das Recht, den Schutz personenbezogener Daten zu verlangen, eine ausreichende Prüfung vornehmen muss. Die Entscheidung bedeutet nicht, dass jede Behauptung einer Verletzung der Privatsphäre automatisch zu einer Verurteilung führt; sie begründet die Pflicht zu wirksamer Untersuchung, Begründung des Eingriffs und Erörterung des verfassungsrechtlichen Gewichts personenbezogener Daten. [19]

Betrachtet man die oben dargestellten Urteile des Kassationshofs zu Kameraaufnahmen im Krankenhaus, zu einem ohne Einwilligung erstellten Testergebnis und zur unerlaubten Weitergabe eines ärztlichen Berichts zusammen, zeichnen sich drei Unterscheidungen ab: (i) Dass ein Krankenhaus Daten zu einem legitimen Zweck erlangt, gibt ihm nicht das Recht, sie zu einem anderen Zweck unbegrenzt zu verwenden; (ii) nicht nur der tatsächliche Gesundheitszustand der Person, sondern auch das Inverkehrbringen einer Aufzeichnung über diesen Zustand kann Rechtsfolgen auslösen; (iii) KVKK-Aufsicht, Schadensersatz und strafrechtliches Ermittlungsverfahren unterliegen unterschiedlichen Verfahren und Beweisanforderungen. [12] [14] [17] [18] [19]

Welche Beweise sollten bei einer Verletzung der Privatsphäre gesichert werden?

Die Rechtsdurchsetzung hängt in der Regel davon ab, dass die Aufzeichnungen der ersten Tage gesichert werden. Gibt es ein unerlaubtes Bild oder eine Offenlegung, werden URL, Datum und Konto der Veröffentlichung, ein Bildschirmfoto, gegebenenfalls ein Video und die Art der Bekanntmachung gesichert. Wird ein Zugriff über das Krankenhaussystem behauptet, wird unter Angabe des Zeitpunkts des Vorfalls, der verwendeten Anwendung und der betreffenden Patientenakte die Aufbewahrung der Zugriffs- und Vorgangsprotokolle verlangt. Wird eine körperliche Verletzung im Untersuchungsbereich behauptet, sind Zeugen, Dienstpläne, Ein- und Ausgangsaufzeichnungen, die erste Meldung an die Patientenrechtsstelle (hasta hakları birimi) und das Vorfallprotokoll von Bedeutung.

Grenzen, die bei der Beweisanforderung zu beachten sind

• Die unerlaubte Entnahme von Beweisen aus dem Krankenhaussystem, das Sammeln von Unterlagen anderer Patienten oder die rechtswidrige Nutzung von Mitarbeiterkonten kann zu einer neuen Rechtsverletzung werden.
• Gesundheitsunterlagen, die dem Gericht oder der zuständigen Stelle vorgelegt werden, sollten auf den erforderlichen Teil beschränkt werden; Unterlagen Dritter sollten in geeigneter Weise unkenntlich gemacht werden.
• Echtheit der Veröffentlichung, die Möglichkeit von Bearbeitung/Fälschung, die Verbindung zwischen Gerät und Konto, die Richtigkeit des Zugriffsprotokolls und die Frage, wen die Daten tatsächlich erreicht haben, können erforderlichenfalls durch einen Sachverständigen geprüft werden.
• Für digitale Aufzeichnungen, bei denen eine Löschung droht, können je nach den Voraussetzungen Sicherungsmaßnahmen durch notarielle Feststellung, Beweissicherung, über die Staatsanwaltschaft oder das Gericht in Betracht gezogen werden. [6] [7] [17]

Rechtswege und Fristen bei einer Verletzung der Privatsphäre von Patienten

Die Rechtswege ersetzen einander nicht. Die Meldung an die Patientenrechtsstelle kann eine medizinische/institutionelle Prüfung, der Antrag an den Verantwortlichen ein Datenverarbeitungsbegehren nach dem KVKK, die Anrufung der Staatsanwaltschaft ein strafrechtliches Ermittlungsverfahren und die Schadensersatzklage die Behauptung eines Schadens und einer Verletzung des Persönlichkeitsrechts zum Gegenstand haben. Ob die Gesundheitseinrichtung öffentlich oder privat ist und zu welchem Zeitpunkt die Rechtswidrigkeit eingetreten ist, wirkt sich auf die zuständige Stelle und die Frist aus.

Für eine Beschwerde beim Rat für den Schutz personenbezogener Daten ist ein vorheriger Antrag an den Verantwortlichen zwingend. Liegt innerhalb von 30 Tagen eine Antwort vor, gelten 30 Tage ab Kenntnis dieser Antwort; gibt es überhaupt keine Antwort, gelten 60 Tage ab dem ersten Antrag. Das Abwarten einer nach 30 Tagen eingehenden Antwort verlängert die gesetzliche Höchstgrenze von 60 Tagen nicht von selbst. Eine KVKK-Beschwerde lässt das Recht des Patienten, eine Klage auf materiellen/immateriellen Schadensersatz zu erheben, unberührt. [20]

Vorgehensweise für Patienten, die von einer Verletzung erfahren

1. Bestimmen Sie die Art der Verletzung: Untersuchungsumfeld, Offenlegung von Gesundheitsinformationen, digitale Abfrage, Veröffentlichung von Foto/Video oder fehlerhafter Eintrag.
2. Sichern Sie die ersten Beweise auf rechtmäßige Weise; halten Sie den Link zur Veröffentlichung, ihr Datum, die Einrichtung, die zugehörigen Ereignisse und die Zeugen fest.
3. Besteht bei Patientenunterlagen und Zugriffsprotokollen die Gefahr einer Löschung/Veränderung, richten Sie an die zuständige Einrichtung einen schriftlichen Antrag auf Aufbewahrung.
4. Stellen Sie für die Behauptung einer Datenverarbeitung nach dem KVKK einen Antrag nach Art. 13 an den richtigen Verantwortlichen; verfolgen Sie die Fristen für eine Beschwerde beim Rat gesondert.
5. Prüfen Sie die Möglichkeiten einer Straftat, eines zivilrechtlichen Schadensersatzes oder eines Fehlers des öffentlichen Dienstes unter getrennten rechtlichen Gesichtspunkten; prüfen Sie erforderlichenfalls Maßnahmen zum Schutz und Anträge auf einstweiligen Rechtsschutz.
6. Legen Sie Gesundheitsdaten der angerufenen Stelle im erforderlichen Umfang vor, ohne sie unnötig über unverschlüsselte E-Mail, soziale Medien oder mit unbeteiligten Personen zu teilen.

Wie sollte die Einhaltung der Privatsphäre für Krankenhäuser und Gesundheitspersonal organisiert werden?

Es kann nicht angenommen werden, dass Einrichtungen die Privatsphäre der Patienten allein durch unterschriebene Vertraulichkeitserklärungen sicherstellen. Erforderlich ist eine risikobasierte Organisation: verbindliche Rollendefinitionen für die Behandlung; individuelle Benutzerkonten; tatsächliche Kontrolle des Verbots, elektronische Signatur/Passwort weiterzugeben; Sichtbarkeit von Patientenbildschirmen und physischen Schaltern; regelmäßige Auswertung der Zugriffsprotokolle; Beschränkung unnötiger Zugriffe bei Aufnahme, Konsil und Entlassung; Entzug der Berechtigung beim Ausscheiden von Personal; Aufbewahrungs-/Zugriffsregeln für Kamera- und Ausbildungsaufnahmen; Schulung; Meldung von Vorfällen; sichere Dokumentenübermittlung; Analyse ausländischer Dienstleister und ein Lösch- und Aufbewahrungsplan.

Ein bei der Patientenrechtsstelle eingegangener Antrag sollte nicht schon dadurch als erledigt gelten, dass er an Mitarbeiter im System weitergeleitet wurde; die Verantwortlichen für den Vorfall, die geprüften Aufzeichnungen, die erteilte Antwort und die Abhilfemaßnahme sollten feststehen. Maßstab der Einhaltung ist nicht nur das Vorhandensein von Dokumenten, sondern das tatsächliche Verhalten des Systems. In den e-Nabız-Beschlüssen des Rates wurden Personalberechtigungen, Kontozugriff und die technischen/organisatorischen Maßnahmen der Einrichtung gemeinsam beurteilt. [6] [7] [13]

Weiterführende Beiträge: Wie erhält man Patientenakte und medizinische Unterlagen? Antrag, fehlende Unterlagen und Beweissicherung; Achtung des Privatlebens und Schutz personenbezogener Daten: Rechtsverletzungen und Rechtswege; Untersuchung in Handfesseln im Krankenhaus und Privatsphäre der Patienten: Rechte von Untersuchungshäftlingen und Verurteilten; Ärztlicher Fehler im staatlichen Krankenhaus: Antrag an die Verwaltung und Klage auf vollen Rechtsschutz

Fazit

Die Privatsphäre der Patienten ist untrennbarer Bestandteil des Vertrauens in die Gesundheitseinrichtung und der rechtlichen Kontrolle der Person über ihren eigenen Körper und ihre Gesundheitsinformationen. Dass Daten zur Behandlung verarbeitet werden dürfen, bedeutet nicht, dass Gesundheitsunterlagen von jedermann eingesehen oder in sozialen Medien geteilt werden dürfen. Die gesetzlichen Zugriffsgrenzen sollten anhand der KVKK-Änderungen von 2024 und der Regelungen zu personenbezogenen Gesundheitsdaten von 2025–2026 konkretisiert werden. Bei einer behaupteten Verletzung ist entscheidend, zu dokumentieren, welche Information von wem, wann und auf welcher Rechtsgrundlage erlangt und verwendet wurde, und die internen, KVKK-, gerichtlichen und verwaltungsrechtlichen Anträge hinsichtlich Zuständigkeit und Fristen gesondert zu beurteilen. Der Schutz beginnt nicht erst mit dem Klagerecht nach einer Verletzung, sondern damit, dass die Privatsphäre des Patienten während der Behandlung tatsächlich gewahrt wird.

Häufig gestellte Fragen

Darf während der Untersuchung eines Patienten ein anderer Patient in den Raum gelassen werden?

Wird eine andere Person so in den Untersuchungsbereich gelassen, dass die Gefahr besteht, dass Gesundheitsinformationen des Patienten mitgehört oder sein Körper gesehen wird, ist dies im Hinblick auf die Privatsphäre problematisch. Die Anwesenheit unbeteiligter Personen sollte verhindert werden; medizinisch erforderliches Personal, die Einwilligung des Patienten/der betroffenen Person und die Voraussetzungen einer sicheren Versorgung sollten gesondert beurteilt werden.

Darf ein Patient verlangen, allein mit seinem Arzt zu sprechen?

Ja, er kann ein vertrauliches Gespräch verlangen. Personal, das aus Gründen der medizinischen Sicherheit oder einer zwingend erforderlichen Gesundheitsleistung anwesend sein muss, muss jedoch nicht in jedem Fall hinausgeschickt werden. Der Grund sollte erläutert und die mögliche Vertraulichkeit gewährleistet werden.

Erlaubt die Einstellung „alle Ärzte dürfen einsehen“ in e-Nabız jedem Arzt eine Abfrage?

Nein. Die Zugriffseinstellung macht Abfragen aus Neugier oder persönlichen Gründen ohne medizinischen Leistungszweck nicht rechtmäßig. Jeder Zugriff erfordert eine gesetzliche Verarbeitungsvoraussetzung und einen konkreten Bezug zur Leistung. [6] [8]

Was kann ich tun, wenn ein Arzt ohne Erlaubnis meine e-Nabız-Einträge eingesehen hat?

Sie können verlangen, dass offengelegt wird, von welcher Einrichtung, durch welchen Nutzer und an welchem Datum die betreffenden Daten angezeigt wurden, dass die vorhandenen technischen Aufzeichnungen gesichert werden und dass der Verantwortliche schriftlich antwortet. Ein KVKK-Antrag sowie erforderlichenfalls die Wege über die Staatsanwaltschaft und den Schadensersatz werden je nach Art des Vorfalls gesondert beurteilt.

Kann der Elternteil ohne Sorgerecht nach der Scheidung die Daten des Kindes einsehen?

Mit der Änderung von 2025 wurden der unmittelbare Zugriff und der Antrag an das Ministerium getrennt. Der Antrag des Elternteils ohne Sorgerecht an die Generaldirektion kann geprüft werden; wird dies für angemessen befunden, können begrenzte, von Standort-/Adress-/Kontaktdaten bereinigte Gesundheitsdaten herausgegeben werden. [8]

Darf einem Angehörigen des Patienten die Diagnose in jedem Fall mitgeteilt werden?

Nein. Geprüft werden die Informationspräferenz des volljährigen Patienten, die rechtliche Vertretung und etwaige gesetzliche Ausnahmen. Ein Verwandtschaftsverhältnis allein verschafft keinen Zugang zur gesamten Gesundheitsgeschichte. [2]

Gilt beim Zugriff von Rechtsanwälten auf Gesundheitsdaten das Erfordernis einer Spezialvollmacht weiter?

Der frühere Art. 10 der Verordnung ist am 3. Dezember 2025 aufgehoben worden. Diese Änderung bedeutet jedoch keinen unbegrenzten Zugang zu Gesundheitsdaten. Vertretungsbefugnis, Erforderlichkeit, Art. 6 KVKK und das einschlägige Gerichts-/Verwaltungsverfahren sollten gesondert beurteilt werden. [8] [9]

Wie lange werden die Gesundheitsunterlagen eines verstorbenen Patienten aufbewahrt?

Nach Art. 11 der Verordnung über personenbezogene Gesundheitsdaten beträgt die Mindestfrist 30 Jahre. Andere Sonderregelungen und die konkrete Art des Eintrags können eine längere Aufbewahrung erfordern. [8]

Kann eine frühere psychiatrische Diagnose aus e-Nabız gelöscht werden?

Die Berichtigung eines fehlerhaften Eintrags, das Ausblenden im Profil und die Neubewertung einer früheren Diagnose nach dem 2026 eingefügten Art. 13/A sind unterschiedliche Wege. Ein Bericht eines Gesundheitsausschusses zum aktuellen Zustand bedeutet nicht in jedem Fall die Vernichtung des früheren Eintrags. [10]

Darf das Bild eines Patienten mit seiner ausdrücklichen Einwilligung in der Werbung verwendet werden?

Die ausdrückliche Einwilligung allein reicht nicht aus. Branchenspezifische Werbeverbote für Gesundheitsleistungen und die übrigen Verarbeitungsvoraussetzungen gelten zusätzlich. Der Beschluss Nr. 2023/787 des Rates für den Schutz personenbezogener Daten verdeutlicht diese Unterscheidung. [5]

Kann die Veröffentlichung von Sicherheitskameraaufnahmen eines Krankenhauses einen Schadensersatzanspruch begründen?

Ja, fehlt eine Rechtsgrundlage für die Veröffentlichung, können die Voraussetzungen eines Schadensersatzes wegen Verletzung des Persönlichkeitsrechts vorliegen. Das Urteil Nr. 2014/9953 des 13. Zivilsenats des Kassationshofs hat die unerlaubte Weitergabe von zu Sicherheitszwecken angefertigten Aufnahmen unter diesem Gesichtspunkt beurteilt. [12]

Kann eine Beschwerde wegen Verletzung der Privatsphäre unmittelbar beim Rat für den Schutz personenbezogener Daten eingelegt werden?

Vor einer Beschwerde beim Rat nach Art. 14 KVKK sollte ein Antrag nach Art. 13 an den Verantwortlichen gestellt werden. Je nach Datum der Antwort und des Antrags sind die Fristen von 30 und 60 Tagen von Bedeutung. Anträge im Bereich der Patientenrechte und die Strafanzeige sind unterschiedliche Verfahren. [20]

Beträgt die Frist für eine Schadensersatzklage gegen ein öffentliches Krankenhaus immer 60 Tage?

Nein. Ob der schadensverursachende Umstand ein Verwaltungsakt oder ein Realakt ist, Art. 12–13 der Verwaltungsgerichtsordnung, der vorherige Antrag an die Verwaltung und der konkrete Zeitpunkt der Kenntniserlangung können zu unterschiedlichen Fristberechnungen führen. [15]

Ist die Speicherung von Gesundheitsunterlagen in einer Cloud im Ausland für sich genommen verboten?

Ein solches absolutes Verbot oder eine solche Erlaubnis lässt sich für sich genommen nicht ableiten. Die Voraussetzungen für Datenverarbeitung und Übermittlung ins Ausland, die Rolle des Dienstleisters, das System aus geeigneten Garantien/Angemessenheit/Ausnahmen nach Art. 9 KVKK und die Sicherheitsmaßnahmen sollten gemeinsam beurteilt werden. [11]

Quellen und rechtliche Grundlagen

1. Verfassung der Republik Türkiye (Türkiye Cumhuriyeti Anayasası), Art. 17 und Art. 20; Europäische Menschenrechtskonvention, Art. 8. Rechtsinformationssystem (Mevzuat Bilgi Sistemi).
2. Gesundheitsministerium (Sağlık Bakanlığı), Patientenrechteverordnung (Hasta Hakları Yönetmeliği), insbesondere Art. 15–23.
3. Gesetz Nr. 6698 über den Schutz personenbezogener Daten (Kişisel Verilerin Korunması Kanunu), Art. 4 und 6–14; Behörde für den Schutz personenbezogener Daten (Kişisel Verileri Koruma Kurumu).
4. Behörde für den Schutz personenbezogener Daten, Leitfaden zur Verarbeitung besonderer Kategorien personenbezogener Daten (Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber), Gesetzesänderungen von 2024.
5. Rat für den Schutz personenbezogener Daten (Kişisel Verileri Koruma Kurulu), Beschluss vom 11. Mai 2023, Nr. 2023/787, Werbe- und Imageaufnahmen von Krankenhäusern.
6. Rat für den Schutz personenbezogener Daten, Beschluss vom 2. Mai 2023, Nr. 2023/695, unbefugter Zugriff auf e-Nabız.
7. Rat für den Schutz personenbezogener Daten, Beschluss vom 21. September 2021, Nr. 2021/962.
8. Gesundheitsministerium, Änderung der Verordnung über personenbezogene Gesundheitsdaten (Kişisel Sağlık Verileri Hakkında Yönetmelik) vom 3. Dezember 2025, Amtsblatt Nr. 33096.
9. Union der türkischen Rechtsanwaltskammern (Türkiye Barolar Birliği), Mitteilung 2025/65 vom 17. Dezember 2025, Aufhebung der Bestimmung über den Zugriff von Rechtsanwälten auf Gesundheitsdaten.
10. Gesundheitsministerium, Änderung der Verordnung über personenbezogene Gesundheitsdaten vom 4. Juli 2026, Amtsblatt Nr. 33300, Art. 13/A.
11. Behörde für den Schutz personenbezogener Daten, Übermittlung ins Ausland (Yurt Dışına Aktarım), Anwendungsgrundsätze zu Art. 9 KVKK.
12. 13. Zivilsenat des Kassationshofs (Yargıtay 13. Hukuk Dairesi), 2. April 2014, E. 2013/29323, K. 2014/9953; vollständige Entscheidung.
13. Behörde für den Schutz personenbezogener Daten, Beschluss zur Meldung von Datenschutzverletzungen vom 24. Januar 2019, Nr. 2019/10.
14. 3. Zivilsenat des Kassationshofs (Yargıtay 3. Hukuk Dairesi), 4. Juni 2024, E. 2023/2239, K. 2024/1823; vollständige Entscheidung.
15. Verwaltungsgerichtsordnung Nr. 2577 (İdari Yargılama Usulü Kanunu), Art. 12 und Art. 13; Rechtsinformationssystem.
16. Türkisches Strafgesetzbuch Nr. 5237 (Türk Ceza Kanunu), Art. 134–140; Rechtsinformationssystem.
17. 12. Strafsenat des Kassationshofs (Yargıtay 12. Ceza Dairesi), 30. Juni 2025, E. 2022/8375, K. 2025/5747; vollständige Entscheidung.
18. 12. Strafsenat des Kassationshofs, 12. März 2026, E. 2023/4676, K. 2026/2628; vollständige Entscheidung.
19. Plenum des Verfassungsgerichts (Anayasa Mahkemesi Genel Kurulu), Cem Özberk, Beschwerde-Nr. 2020/15944, 20. März 2025; Entscheidungstext, Amtsblatt vom 5. August 2025, Nr. 32977.
20. Behörde für den Schutz personenbezogener Daten, Beschwerderecht und Fristen (Şikâyet Hakkı); Beschluss Nr. 2019/9 zur Fristberechnung.