Eine Verarbeitung personenbezogener Daten von Patientinnen und Patienten zu einem anderen als in § 46 Absatz 1 genannten Zweck ist nur zulässig, wenn dies
zur Geltendmachung von zivilrechtlichen Ansprüchen des Krankenhauses oder zur Abwehr entsprechender Ansprüche sowie zur Verfolgung von Straftaten oder Ordnungswidrigkeiten Dritter,
zur Durchführung qualitätssichernder Maßnahmen sowie zur Qualitätskontrolle der Leistungen des Krankenhauses,
zu Planungszwecken und Wirtschaftlichkeits- und Organisationsuntersuchungen sowie Auswertungen der Tätigkeit des Krankenhauses zu organisatorischen und statistischen Zwecken,
zur im Krankenhaus durchgeführter Aus-, Fort- und Weiterbildung in ärztlichen oder anderen Fachberufen des Gesundheitswesens,
zur Rechnungsprüfung durch den Krankenhausträger, einer von ihm beauftragten Wirtschaftsprüferin oder eines von ihm beauftragten Wirtschaftsprüfers oder den Landesrechnungshof und zur Überprüfung der Wirtschaftlichkeit durch Beauftragte gemäß § 113 des Fünften Buches Sozialgesetzbuch,
zur Meldung nach § 15b Absatz 2 des Gesetzes über den Öffentlichen Gesundheitsdienst über die Durchführung einer Kinderuntersuchung nach § 26 Absatz 1 des Fünften Buches Sozialgesetzbuch in Verbindung mit der Kinder-Richtlinie des Gemeinsamen Bundesausschusses erforderlich ist oder
zum Zwecke der Prüfung durch akkreditierte Zertifizierungsstellen während des Besuchs des Krankenhauses auf Verlangen, soweit dies zur Wahrnehmung der Aufgaben dieser Stellen erforderlich ist; die Einsichtnahme darf nur durch eine Person erfolgen, die einem Berufsgeheimnis oder einer Geheimhaltungspflicht unterliegt, was dem Krankenhaus vor der Einsicht in die Patientendaten nachzuweisen ist.
Zu Zwecken nach Absatz 1 sind die personenbezogenen Daten in einer Weise zu verarbeiten, bei der die Identifizierung von betroffenen Personen nicht oder nicht mehr möglich ist.
Sind die Zwecke auf diese Weise nicht zu erreichen, ist die Verarbeitung von pseudonymisierten Daten zulässig, soweit nicht überwiegende schutzwürdige Interessen der betroffenen Person entgegenstehen.
Eine Verarbeitung von Klardaten ist nur im Ausnahmefall zulässig, wenn eine Pseudonymisierung aufgrund der Art der benötigten Daten oder der Art der Verarbeitung nicht möglich ist.
Die Klardaten und die pseudonymisierten Daten sind zu anonymisieren oder zu löschen, sobald der Zweck es zulässt, längstens jedoch nach einem Jahr seit Beginn der zweckändernden Verarbeitung.
Die Einschränkung gilt nicht, wenn Aus-, Fort- oder Weiterzubildende unter der Aufsicht von Fachpersonal unmittelbar an der Erfüllung des Behandlungsvertrages mitwirken.
Die Verarbeitung personenbeziehbarer Daten darf nur durch oder unter der Verantwortung von Personen erfolgen, die unmittelbar oder als mitwirkende Person einem Berufsgeheimnis oder einer vergleichbaren gesetzlichen Verschwiegenheitspflicht unterliegen und sich auf entsprechende Zeugnisverweigerungsrechte und Beschlagnahmeverbote berufen können.