Psychotherapeutische Praxis 

An die 
Firma

Rücktritt vom Telematik-Vertrag

Hier mit trete ich von dem am xxxxxx abgeschlossenen Vertrag zur Herstellung der Telematik-Infrastruktur zurück.

Gründe:
Als Psychotherapeut sehe ich die Sicherheit und Vertraulichkeit der Daten meiner Patienten in der elektronischen Patientenakte als nicht sicher an. Das externe Speichern und die Möglichkeit des Zugriffs auf die Daten durch andere Behandler lehne ich ab.

Sie haben mich nicht rechtzeitig über die Möglichkeit eines Anschlusses an die Telematik-Infrastruktur, bei dem das Praxisverwaltungssystem gem § 291 Abs 2b Satz 2 SGB V nicht mit der Telematik-Infrastruktur verbunden ist, informiert und aufgeklärt.

§ 291 Abs 2b Satz 2 SGB V:
„Die Krankenkassen sind verpflichtet, Dienste anzubieten, mit denen die Leistungserbringer die Gültigkeit und die Aktualität der Daten nach Absatz 1 und 2 bei den Krankenkassen online überprüfen und auf der elektronischen Gesundheitskarte aktualisieren können. Diese Dienste müssen auch ohne Netzanbindung an die Praxisverwaltungssysteme der Leistungserbringer online genutzt werden können.“

Dieses Szenario erfordert neben dem 2. Kartelesegerät einen 2. Konnektor, den ich mit etwa 2500 Euro selbst bezahlen muss, angeboten. Hinzu kommt ein weiterer PC-Arbeitsplatz, der zusätzlich von mir selbst angeschafft werden muss und der nicht von den Krankenkassen erstattet wird.

Diese Lösung wird bisher nur als stand-alone-Lösung angeboten, bei der ich  2505 € aus eigenen Mitteln zuzahlen muss. Hinzu kommt eine erhöhte Wartungspauschale von 106,47 Euro pro Monat von der nur 82,67 Euro pro Monat erstattet werden. Damit verbleibt miir ein  Eigenanteil von 23,80 Euro pro Monat. Hinzukommt ein zweiter SMB-C-Ausweis, der 7,75 Euro/Monat kostet. So bleiben mir ein Eigenanteil von 31,55 Euro pro Monat, bzw. 378,60 Euro/Jahr. In einem Zwei-Jahreszeitraum entstehen mit zusätzliche Kosten von 3262,20 Euro.

Vorgesehen vom Gesetzgeber ist aber, dass die Kosten für die Erstaustattung der Telematik von den Krankenkassen ganz übernommen werden. 

§ 291 a Abs 7 Satz 4 SGB V:
„Vereinbarungen und Richtlinien zur elektronischen Datenübermittlung nach diesem Buch müssen, soweit sie die Telematikinfrastruktur berühren, mit deren Regelungen vereinbar sein. Die in Satz 1 genannten Spitzenorganisationen treffen eine Vereinbarung zur Finanzierung
1. der erforderlichen erstmaligen Ausstattungskosten, die den Leistungserbringern in der Festlegungs-, Erprobungs- und Einführungsphase der Telematikinfrastruktur sowie
2. der Kosten, die den Leistungserbringern im laufenden Betrieb der Telematikinfrastruktur, einschließlich der Aufteilung dieser Kosten auf die in den Absätzen 7a und 7b genannten Leistungssektoren, entstehen.“

Solange eine solche Lösung nicht angeboten wird, bei der ich weitere eigene Kosten bezahlen muss, kann ich die erforderlichen Komponenten nicht fristgerecht bestellen.

Als Anbieter von Patientenverwaltungssoftware für psychotherapeutische Praxen hätten Sie über das besondere Schutzbedürfnis unserer Praxen Kenntnis haben müssen. Zumal dies auch in der öffentlichen Diskussion in unterschiedlichen Foren hinreichend diskutiert und auch gefordert wurde.

Die geforderte Trennung psychotherapeutischer Daten von der Telematik-Infrastruktur wurde von Ihnen nicht konsequent betrieben. Hingegen der Anschluß der Patientenverwaltungssystems  an die Telematik-Infrastruktur schon. Sie wissen genau, dass dies zu einer Speicherung der Daten meiner Praxis auf den Servern der Krankenkassen in der sog. elektronischen Patientenakte führen würde.

Aus den genannten Gründen sehe ich das Vertrauensverhältnis zu Ihnen als gestört an.

Daher trete ich besonderen Gründen gem. § 626 BGB hilfsweise gem. § 627 BGB von meinem Auftrag zum Anschluss an die Telematik-Infrastruktur zurück. 

Äußert hilfweise kündige ich bereits jetzt für den Fall, dass Sie meinen Rücktritt nicht vorbehaltlos akzeptieren, alle mit Ihnen geschlossenen Verträge, also auch die mit Ihnen geschlossenen Verträge über das Praxisverwaltungsprogramm.

Hilfsweise führe ich folgende weitere Gründe zur Kündigung an:

I.
Ich wurde von Ihnen nicht hinreichend darüber informiert, dass die Kostendeckung gemäß  § 291a Abs. 7 SGB V nicht vollständig gesichert ist. Ferner wurde ich von Ihnen nicht über weitere Risiken und Kosten informiert, die nicht von der Erstattung nach dem SGB gedeckt sind und für mich eine erhebliche Belastung darstellen.

1. Die Kosten für eine notwendige Cyber Risk-Versicherung, die ich abschließen muss, um meine Praxis vor rechtlichen Folgen bei einem Hacker-Angriff beziehungsweise einer Übernahme meines Rechners zu schützen, werden nicht von den Krankenkassen bezahlt. 

2. Die Kosten für die zusätzliche Absicherung meines Rechners sowie meines Praxisnetzwerkes gegen Penetrationsversuche von außen, werden nicht übernommen.

3. Die Kosten für einen notwendigen DSL-Anschluss (Anschlusskosten des Providers, Hardwarekosten, Kosten für den Techniker für den Anschluss sowie monatliche Gebühren).

4. Weitere Kosten, die auf mich zukommen und die nicht von der KV gedeckt sind, sind bisher unüberschaubar. 

Bisher ergeben sich für den Zeitraum von zwei Jahren folgende, ungedeckte Kosten:
- Cyber Risk-Versicherung  	900,00 EUR pro Jahr =   1.800,00 EUR
- DSL-Anschluss, inklusive Anschlusskosten und 
Technikerkosten, pro Monat 20,00 EUR, 
Techniker- und Anschlusskosten 120,00 EUR 	   =      600,00 EUR
- Absicherung des Rechners gegen Angriffe von außen (Antivirusprogramm)
								   =      40,00 EUR pro Jahr
- Der Einsatz eines IT-Spezialisten pro Stunde brutto    =    142,80 EUR
- Der Einsatz eines IT-Spezialisten vier Stunden
 pro Jahr                     					 = 1.142,00 EUR
Gesamtkosten                                                                    3.622,00 EUR

Hilfsweise möchte ich anführen, dass die Ankündigung von Krankenkassen, Zugriff auf unsere Praxisverwaltungssysteme zu bekommen sowie eine angedeutete Bereitschaft der Kassenärztlichen-Bundesvereinigung hierzu einen schwerwiegenden Eingriff in meine berufliche Selbstbestimmung darstellt, den ich nicht hinnehmen kann. Gleichzeitig verweise ich darauf, dass ich ab dem Konnektor die Verantwortung für die Datensicherheit meiner Patienten trage und ihnen eine Datenschutz-Folgeerklärung hierzu abgeben muss. Diese geschaffenen oder noch zu schaffenden Möglichkeiten stellen gleichzeitig eine neue Situation dar, die sich zu Vertragsabschluss für mich noch nicht abgezeichnet hat. 

5.
Eine Vertragslaufzeit von zwei Jahren halte ich für übermäßig lang und gesetzlich nicht gerechtfertigt. 

6.
Es wurde keine Datenschutz-Folgenabschätzung (Art. 35 DSGVO) vorgenommen. Die Datenverarbeiter haben dem Bundesdatenschutzbeauftragten immer noch nicht eine Datenschutzfolgeabschätzung geliefert haben.
Die Lagerung von Daten externen geschieht zudem auch ohne Auftragsverarbeitungsvertrag. 
Es gehört für Dienstleistungsanbieter zu den Hauptpflichten gehören, einen entsprechenden Auftragsverarbeitungsvertrag abzuschließen. Dies ist weder von Ihnen noch von der Gematik GmbH erfolgt.

Nach Artikel 83, Absatz 5 DSGVO drohen mir: „Bei Verstößen werden im Einklang mit Absatz 2 Geldbußen von bis zu 20.000.000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist.“

II.
Es handelt sich bei der von Ihnen angebotenen Dienstleistung um eine Auftragsverarbeitung. Das bedeutet, dass ich selbst verantwortliche Stelle für die Datenverarbeitung und damit auch haftbar bleibe und einen Auftragsverarbeitungsvertrag mit dem Drittanbieter abschließen muss. 
In diesem müssen auch die gängigen Sicherheitsstandards zugesichert und diverse relevante Aspekte zu Datenschutz und Datensicherheit erklärt werden. Da es sich um sensible Daten nach Art. 9 DSGVO handelt, bin ich zudem verpflichtet eine Datenschutz-Folgenabschätzung vorzunehmen (Art. 35 DSGVO). Hierfür ist eine Risikoanalyse erforderlich, deren Durchführung ohne Ihre Angaben und  Zusicherung der gängigen Sicherheitsstandards und die Erklärung diverser relevanter Aspekte zu Datenschutz und Datensicherheit für mich nicht möglich ist.
Wenn ein Anbieter Dienstleistungen anbietet, die eine Auftragsverarbeitung darstellen, so gehört es zu den vertraglichen Hauptpflichten, einen entsprechenden Vertrag mit diesen Angaben abzuschließen. Leider haben Sie dies auch nach Fristsetzung abgelehnt.
Da ich mangels Informationen Ihrerseits selbst meinen Patienten gegenüber keine hinreichende Datenschutz-Folgenabschätzung abgeben kann, muss ich vom Vertrag zurücktreten, um nicht einem unkalkulierbaren Haftungsrisiko ausgesetzt zu sein.

Mit freundlichen Grüßen