Datenhack bei Unimed

[Grieszkram]

ANZEIGE

Ging ja kürzlich durch die Presse.

Datenleck bei externem Dienstleister betrifft Patienten der Uniklinik Köln und Düsseldorf

Von einem Cyberangriff auf einen externen Abrechnungsdienstleister sind bundesweit zehntausende Patientendaten betroffen.

www1.wdr.de

Cyberangriff Unimed: 120.000 Patientendaten betroffen

Cyberangriff auf Unimed: Über 120.000 Patientendaten deutscher Unikliniken gestohlen. Was Betroffene jetzt wissen und tun müssen – alle Fakten im Überblick.

www.drweb.de

Nun erreichte auch uns ein Schreiben der Uniklinik-Köln,
Datenabgriff von Neme, Anschrift, Geburtsdatum, Rechnungssummen, behandelnde Ärzte.

Etwas ratlos und höchst irritiert, was man damit nun macht. Hochsensible Daten geklaut, und das angeblich aus Jahren von 2011-2014!

FRagt man sich, wie kann das sein? Löschen die nichts? (10 Jahresfrist).

Gibt es andere Betroffene, falls ja unternehmt ihr irgendwas? Schadenersatz?

 

[berlinerjunge]

Wird auf der Information mitgeteilt, dass nur die Rechnungssummen drauf sind oder auch die erbrachten Leistungen / Prozeduren / Diagnosen ?

Du hast ja damals einen Behandlungsvertrag abgeschlossen und irgendwelcher Datenverarbeitung zugestimmt.
Hast Du die Unterlagen noch? Wurde Dir darin eine Löschung zugesagt?
Vermutlich hast Du eingewilligt, dass Deine Daten an Unimed für bestimmte Zwecke übermittelt werden dürfen.
Die Frage ist, warum die Daten bei Unimed nicht gelöscht wurden, nachdem der Zweck erfüllt war.
Siehe Art. 5 Abs 1e DSGVO

 

[Grieszkram]

steht nur was von Rechnungssummen und eben Stammdaten inkl. Ärzte.

Klar gab es einen Behandlungsvertrag mit Datenverarbeitung und sep. Abrechnung. Ohne Unterschrift/Zustimmung wirste ja nicht behandelt. Voll-PKV, keine Zusatzversicherung.

Ich denke, dass Recnungsdaten nach 10 Jahren eigentlich spätestens gelöscht werden müssten. Das ist erschreckend. Wie kann ein Unternehmen (Unimed) Daten von vor 15 Jahren online verfügbar halten? Frage die UK-Köln aber noch mal an. Und reiche Beschwerde beim LDI ggf. auch bei den Saarländern ein.

 

[Langstreckenpendler]

Ich denke, dass Recnungsdaten nach 10 Jahren eigentlich spätestens gelöscht werden müssten. Das ist erschreckend. Wie kann ein Unternehmen (Unimed) Daten von vor 15 Jahren online verfügbar halten? Frage die UK-Köln aber noch mal an. Und reiche Beschwerde beim LDI ggf. auch bei den Saarländern ein.

Da geht gerade viel durcheinander.
Es gibt eine Aufbewahrungsfrist für Rechnungen, seit dem 01.01.2025 sind dass statt 10 Jahren nur noch 8 Jahre (BEG IV, d.h. 4. Bürokratieentlastungsgesetz), allerdings ist das bisher nicht wirklich durchgedrungen, auch unimed schreibt noch von 10 Jahren.
Das ist aber das derzeit geltende gesetzliche _Minimum_.

Dann gibt es aber noch z.B. das Thema Schadenersatz z.B. bei Behandlungsfehlern. Das verjährt 3 Jahre nach Kenntniserlangung über den Behandlungsfehler, spätestens aber nach _30_ Jahren. Sowas verstehe ich unter dem in Punkt 4.3.b) geregelten Thema:

Datenschutz - unimed . Abrechnungsservice für Kliniken & Ärzte

Datenschutzerklärung 1. Name und Kontaktdaten des Verantwortlichen Ihr Ansprechpartner als Verantwortlicher im Sinne der Europäischen Datenschutz-Grundverordnung („EU-DSGVO“) und...

www.unimed.de

Und online ist das ganze ohnehin nur noch, kein Mensch archiviert das noch auf Papier.

 

[Skyscraperfan]

Leider werden die Daten auch ganz offiziell verhökert. Zwar "pseudonymisiert", aber jeder Mathematiker kann erklären, dass man so komplexe Daten gar nicht pseudonymisieren kann, denn bei genügend Datenpunkten kommt schnell nur noch eine einzelne Person infrage.

Jens Spahn hat das damals auf den Weg gebracht. Daraufhin habe ich auch Rache seine Handynummer auf Twitter gepostet und wurde daraufhin bei Twitter gesperrt.

Überall, wo Daten anfallen, wächst leider das Bedürfnis, sie auch zu nutzen.

 

[Grieszkram]

als Rückmeldung,

Uniklinikum-Köln vertritt in einer selbstherrlichen Stellungnahme die Auffassung, dass Gesundheits- UND deren Abrechnungsdaten zur Abwehr von Schadenersatzforderungen 30 Jahre gespeichert sein dürfen.

Stellungnahme LDI (Datenschutzbehörde NRW) steht noch aus, falls da überhaupt was kommt.


Bedenkt man, dass dieser Vorgang eigentlich rein offline ablief (reale Arztbesuche, Rechnungsstellung auf Papier) und erst dann digitalisiert und Jahre später gehackt, schon sehr bemerkenswert. Bin immer noch fassungslos.

 

[Langstreckenpendler]

Bedenkt man, dass dieser Vorgang eigentlich rein offline ablief (reale Arztbesuche, Rechnungsstellung auf Papier) und erst dann digitalisiert und Jahre später gehackt, schon sehr bemerkenswert. Bin immer noch fassungslos.

Der übliche Vorgang in der analogen Welt wäre gewesen, dass man irgendwann archiviert / eingelagert hat - die Fristen haben sich ja mit Ausnahme 10->8 geändert. Da hätte ein Einbruch dem Hacken entsprochen.

Ich hab das Problem mal andersrum gehabt, als ich 2019 medizinische Daten suchte, die 1986 erhoben wurden und die meine Eltern treu-doof dem Hausarzt übergeben haben. Da war nichts mehr zu machen.

 

[Grieszkram]

Der übliche Vorgang in der analogen Welt wäre gewesen, dass man irgendwann archiviert / eingelagert hat -

mir bleibt aber rätselhaft, weshalb man "digital" nicht auch irgendwann "archiviert", d.h., offline stellt. Ich würde das machen, rein sicherheitstechnisch. 30 Jahre Vollzugriff, grandios.