Das Problem lag nicht in einer Cloud-Konfiguration, nicht in einer schlecht abgesicherten Datenbank und nicht in einer App. Es lag in Papier. In Akten, die in ehemaligen psychiatrischen Krankenhäusern aufbewahrt wurden. In Gebäuden, die nicht mehr als Kliniken betrieben wurden, aber offenbar weiterhin als Lager für sensible Unterlagen dienten.
Die irische Data Protection Commission hat gegen den Health Service Executive, den staatlichen Gesundheitsdienst Irlands, Geldstrafen von insgesamt 645.000 Euro verhängt. Dazu kommen ein Verweis, mehrere Compliance-Anordnungen und eine Anordnung zur Kommunikation der Datenschutzverletzung. Der Fall ist in der von EDPB veröffentlichten DPC-Mitteilung zusammengefasst.
Die nüchterne Lehre daraus ist unbequem: Digitalisierung entlastet Organisationen nicht von ihren Altlasten. Solange personenbezogene Gesundheitsdaten in Ordnern, Kartons oder Archivräumen liegen, sind sie kein historisches Beiwerk. Sie bleiben Verarbeitung personenbezogener Daten. Und sie bleiben ein Sicherheitsproblem.
Der analoge Rest ist kein Randthema
Auslöser der Untersuchung waren zwei Datenschutzverletzungen, die der DPC im Oktober und November 2023 gemeldet wurden. Unbefugte Personen verschafften sich Zugang zu Papierunterlagen in St. Loman’s Hospital in Mullingar im County Westmeath und in St. Conal’s Hospital in Letterkenny im County Donegal. Beide Orte werden in der Mitteilung als frühere, nicht mehr genutzte psychiatrische Krankenhäuser beschrieben.
Dass dort medizinische Unterlagen aufbewahrt wurden, wurde nicht durch eine interne Revision öffentlich sichtbar, sondern durch Videos, die Eindringlinge in sozialen Medien hochluden. Das ist mehr als eine peinliche Begleitnotiz. Es zeigt, wie schwach die Kontrolle über physische Datenbestände werden kann, wenn Gebäude aus dem operativen Klinikbetrieb herausfallen, die darin gelagerten Informationen aber nicht verschwinden.
In der IT-Sicherheit gibt es für solche Fälle einen vertrauten Begriff: vergessene Angriffsfläche. Meist meint er alte Server, ungewartete Schnittstellen oder Schatten-IT. Im Gesundheitswesen kann diese Angriffsfläche auch aus abgeschlossenen oder eben nicht ausreichend abgeschlossenen Räumen bestehen. Papier hat keine Login-Protokolle. Ein Ordner meldet keinen ungewöhnlichen Zugriff. Ein Archivschrank schreibt keine Audit-Logs.
Die DSGVO endet nicht an der Tür zum Archiv
Die DPC stützte ihre Entscheidung auf mehrere Bestimmungen der Datenschutz-Grundverordnung: Artikel 5 zu den Grundsätzen der Verarbeitung personenbezogener Daten, Artikel 32 zur Sicherheit der Verarbeitung, Artikel 33 zur Meldung einer Datenschutzverletzung an die Aufsichtsbehörde und Artikel 34 zur Benachrichtigung betroffener Personen. Die Feststellungen bezogen sich auf die physischen Bedingungen der HSE-Dokumentenlager und auf die Integrität der dort aufbewahrten Dokumente.
Das ist der entscheidende Punkt. Sicherheit der Verarbeitung bedeutet nicht nur Verschlüsselung, Zugriffskontrolle im Identitätsmanagement oder Protokollierung in Krankenhaussoftware. Sie umfasst auch die banale, teure und organisatorisch mühsame Frage, wer Zugang zu Räumen hat, in denen Patientendaten liegen. Sie umfasst Zustand, Ordnung, Schutz und Nachvollziehbarkeit von Aktenbeständen.
Gerade Gesundheitsdaten sind dabei kein gewöhnlicher Verwaltungsbestand. Krankenakten enthalten Informationen, die für Betroffene dauerhaft sensibel bleiben können: Diagnosen, Behandlungen, Aufenthalte, persönliche Umstände. Bei psychiatrischen Einrichtungen kommt eine zusätzliche Schutzbedürftigkeit hinzu, ohne dass man dafür die konkreten Inhalte der betroffenen Akten kennen muss. Die Quelle nennt keine Zahl der betroffenen Personen. Genau deshalb sollte man auch keine Spekulation darüber anstellen. Der strukturelle Befund reicht.
Archive sind Infrastruktur
Viele Organisationen behandeln Archive als nachgelagerte Verwaltung. Sie kosten Platz, Personal und Aufmerksamkeit. Sie bringen keine sichtbare Modernisierung, keine neue Plattform, keine bessere Nutzeroberfläche. Also werden sie leicht zu einer Art organisatorischem Zwischenreich: nicht mehr Teil des Alltagsbetriebs, aber auch nicht konsequent ausgelagert, vernichtet, digitalisiert oder überwacht.
Für Datenschutzaufsicht ist diese Unterscheidung wenig überzeugend. Wenn eine Stelle Unterlagen aufbewahrt, entscheidet sie weiterhin über deren Verarbeitung. Wer Patientendaten lagert, betreibt Infrastruktur. Auch dann, wenn die Infrastruktur aus Türen, Schlüsseln, Regalen, Inventarlisten, Gebäudemanagement und Aktenplänen besteht.
Der HSE-Fall trifft deshalb einen wunden Punkt der öffentlichen Gesundheitsverwaltung. Große Gesundheitssysteme haben lange Gedächtnisse. Sie übernehmen Einrichtungen, schließen Standorte, verlagern Dienste, konsolidieren Bestände und tragen Akten aus Jahrzehnten mit sich. Je länger diese Bestände existieren, desto größer wird die Kluft zwischen ihrer rechtlichen Sensibilität und ihrer operativen Sichtbarkeit.
Das Problem ist nicht spektakulär. Es ist schlimmer: Es ist administrativ. Es entsteht durch Zuständigkeiten, Budgets, Lagerflächen, Bauzustand, Personalwechsel und Prioritätenlisten. Genau solche Probleme sind schwerer zu beheben als ein einzelner Softwarefehler, weil sie nicht mit einem Patch verschwinden.
Die Strafe ist nicht der teuerste Teil
645.000 Euro sind für eine öffentliche Gesundheitseinrichtung keine Kleinigkeit. Trotzdem dürfte das Bußgeld nur ein Teil der tatsächlichen Belastung sein. Compliance-Anordnungen bedeuten Arbeit: Bestände erfassen, Lagerbedingungen prüfen, Zugänge kontrollieren, Prozesse dokumentieren, Verantwortlichkeiten klären, Benachrichtigungspflichten abarbeiten. Die DPC nennt ausdrücklich auch eine Kommunikationsanordnung im Zusammenhang mit der Datenschutzverletzung.
Für das HSE liegt der Schaden daher nicht nur in der Zahlung. Er liegt in der nachträglichen Herstellung von Kontrolle über etwas, das schon vorher hätte kontrolliert sein müssen. Und er liegt im Vertrauensverlust, der bei Gesundheitsdaten besonders schwer wiegt. Patienten können einem Krankenhaus medizinisch ausgeliefert sein; beim Datenschutz erwarten sie wenigstens, dass alte Akten nicht in Gebäuden landen, in die Unbefugte eindringen und anschließend Videos veröffentlichen können.
Man sollte daraus aber keine einfache Erzählung gegen Papier machen. Digitalisierung kann Risiken reduzieren, aber sie verschiebt sie auch. Eingescannte Akten müssen indexiert, berechtigt, gesichert und gelöscht werden. Digitale Systeme haben ihre eigenen Schwachstellen. Der Punkt ist kleiner und konkreter: Eine Organisation darf nicht so tun, als sei ein analoges Archiv weniger relevant, nur weil die strategische Aufmerksamkeit auf digitalen Projekten liegt.
Was andere Einrichtungen daraus lesen sollten
Der Fall setzt kein abstraktes Signal an „die Branche“, sondern eine praktische Marke. Wer sensible Papierunterlagen hält, muss wissen, wo sie liegen, in welchem Zustand sie sind, wer Zugang hat und ob die Lagerung dem Risiko der Daten entspricht. Stillgelegte Standorte sind dabei besonders heikel, weil ihre Sicherheitslogik oft nicht mehr zu den dort verbliebenen Informationen passt.
Für Krankenhäuser, Gesundheitsbehörden und Forschungseinrichtungen ist das eine unangenehme Inventurfrage. Welche Altakten liegen noch außerhalb des Kerngeschäfts? Welche Gebäude werden faktisch als Lager genutzt? Welche Bestände sind sauber registriert? Wo endet Aufbewahrungspflicht, wo beginnt Vernichtungspflicht? Und wer bemerkt es, wenn jemand physischen Zugang bekommt?
Die DPC-Entscheidung macht deutlich, dass Datenschutzaufsicht nicht nur auf digitale Systeme blickt. Das ist keine Nebensache in einer Zeit, in der Gesundheitsorganisationen viele Mittel in elektronische Patientenakten, Portale und vernetzte Versorgung stecken. Wer die analogen Bestände daneben vernachlässigt, baut eine Lücke in die eigene Kontrollarchitektur.
Der HSE-Fall ist deshalb weniger ein spektakulärer Datenschutzfall als ein trockener Hinweis auf operative Realität. Daten verschwinden nicht, wenn ein Gebäude geschlossen wird. Akten verlieren ihre Sensibilität nicht, wenn sie alt werden. Und Datenschutz ist nicht erst dann verletzt, wenn ein Server kompromittiert wird. Manchmal reicht eine Tür, die nicht gut genug schützt.
