Patientendaten gehören zu den „besonderen Kategorien personenbezogener Daten“ nach Art. 9 DSGVO. Viele Praxisinhaber schließen daraus, dass jede Praxis automatisch einen Datenschutzbeauftragten braucht. Ganz so einfach ist es nicht.
Die Regel: ab 20 Personen
Für Praxen gilt zunächst dieselbe Schwelle wie für alle Unternehmen: Sind in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, ist ein Datenschutzbeauftragter Pflicht (§ 38 BDSG). Gezählt werden Köpfe, also auch Ärztinnen und Ärzte, Teilzeitkräfte, Auszubildende und Aushilfen am Empfang.
Und die „umfangreiche Verarbeitung“ von Gesundheitsdaten?
Nach Art. 37 Abs. 1 lit. c DSGVO ist ein Datenschutzbeauftragter auch dann Pflicht, wenn die Kerntätigkeit in der umfangreichen Verarbeitung von Gesundheitsdaten besteht. Die Kerntätigkeit einer Praxis ist zweifellos die Behandlung, und dazu gehören Gesundheitsdaten.
Entscheidend ist das Wort „umfangreich“. Erwägungsgrund 91 der DSGVO stellt klar, dass die Verarbeitung von Patientendaten durch einen einzelnen Arzt nicht als umfangreich gelten soll. Die Datenschutzaufsichtsbehörden gehen deshalb davon aus, dass kleinere Einzel- und Gemeinschaftspraxen unter 20 Personen in der Regel nicht verpflichtet sind.
Anders kann es bei großen Gemeinschaftspraxen, Medizinischen Versorgungszentren, Laboren, radiologischen Praxen mit vielen Patienten oder Praxisketten aussehen. Hier sollte die Pflicht im Einzelfall geprüft werden.
Wann eine Datenschutz-Folgenabschätzung die Pflicht auslöst
Unabhängig von der Personenzahl ist ein Datenschutzbeauftragter Pflicht, wenn eine Datenschutz-Folgenabschätzung nötig ist. Das kann etwa bei umfangreicher Videoüberwachung, bei neuen Telemedizin-Anwendungen oder beim Einsatz von KI-Systemen zur Diagnoseunterstützung der Fall sein.
Was jede Praxis unabhängig davon erfüllen muss
- Verarbeitungsverzeichnis mit Behandlung, Abrechnung, Terminvergabe, Personal und Website
- Patienteninformation nach Art. 13 DSGVO, gut sichtbar im Wartezimmer und auf der Website
- Auftragsverarbeitungsverträge mit Praxissoftware-Anbieter, IT-Dienstleister, Labor-Software, Online-Terminbuchung und Abrechnungsstelle, soweit es sich um Auftragsverarbeitung handelt
- IT-Sicherheit nach der IT-Sicherheitsrichtlinie der KBV bzw. KZBV (§ 390 SGB V)
- Verpflichtung auf Vertraulichkeit und Schweigepflicht für alle Mitarbeitenden, auch Reinigungskräfte und Praktikanten
- Diskretion am Empfang: Sichtschutz, Bildschirmpositionen, Aufrufe im Wartezimmer
- Ein Prozess für Auskunftsersuchen: Patienten haben Anspruch auf eine kostenlose erste Kopie ihrer Akte
Typische Stolperfallen
Aus der Praxis sehen wir immer wieder dieselben Themen: Befunde, die unverschlüsselt per E-Mail verschickt werden, private Smartphones mit WhatsApp für Rückrufe, ein Faxgerät, das noch Laborwerte empfängt, und Websites mit externen Karten, Schriftarten oder Terminbuchungstools ohne Prüfung der Rechtsgrundlagen, erforderlichen Einwilligungen und Datenflüsse.
Wenn Sie wissen möchten, wie Ihre Praxis aufgestellt ist, ist ein Datenschutz-Audit ein guter Startpunkt. Mehr zu unserer Unterstützung lesen Sie auf der Seite Datenschutz für Arztpraxen.
Unsicher, was für Ihren Betrieb gilt? Im kostenlosen Erstgespräch klären wir das in 15 Minuten.
Jetzt Erstgespräch anfragen oder anrufen unter 06747 40999696.
Autor: Kevin Lipkow, Geschäftsführer der Fi-Lo GmbH und Datenschutzbeauftragter (TÜV) unter Einbeziehung der EU-DSGVO, Zertifikat erworben 2018. Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Beratung im Einzelfall.