Source: http://mit-sicherheit-gut-behandelt.de/praxisorganisation/einsatz-dienstleister.html
Timestamp: 2018-02-24 05:49:48+00:00

Document:
Organisation und räumliche Ausgestaltung
Fax- und E-Mail-Benutzung
Sonderformen ärztlicher Tätigkeit
Immer häufiger besteht der Wunsch, externe Dienstleister in die Praxisorganisation einzubinden und damit eigenes Praxispersonal zu entlasten. Typisches Beispiel hierfür ist die Auslagerung des eingehenden Telefonverkehrs einschließlich Terminvergabe an ein kommerzielles Call Center.
Datenschutzrechtlich handelt es sich bei der Beauftragung einer externen Stelle mit der Entgegennahme von Telefonaten um eine Datenverarbeitung im Auftrag (§ 11 BDSG). Die gesetzlichen Vorgaben des § 11 BDSG müssen daher beachtet werden. Im ärztlichen Bereich ist darüber hinaus ein derartiger Einsatz von Dienstleistern nur zulässig, wenn dabei die ärztliche Schweigepflicht (§ 9 BO-Ä, § 8 BO-PT) gewahrt bleibt.
Anforderungen an den Einsatz von Dienstleistern bei der Praxisorganisation:
Der in Betracht kommende Dienstleister muss gemäß der in § 11 Abs. 2 Satz 1 BDSG enthaltenen Kriterien ausgewählt und schriftlich beauftragt werden. In dem Auftrag müssen die in § 11 Abs. 2 Satz 2 BDSG genannten Inhalte, insbesondere der Auftragsgegenstand und die von dem Dienstleister einzuhaltenden technisch-organisatorischen Maßnahmen zum Schutz der Vertraulichkeit, festgelegt werden.
Vor Beginn der Tätigkeit des Auftragnehmers sollte ein Praxisvertreter die Umsetzung der vertraglich vereinbarten Verfahrensweise vor Ort überprüfen.
Die Einbindung des externen Dienstleisters ist den Patienten gegenüber offen zu legen, sofern eine Kenntnisnahme von Patientendaten nicht zu vermeiden ist. Dabei sollten zumindest die Identität des Auftragnehmers und dessen konkrete Funktion dargestellt werden.
Ist die Kenntnisnahme von Patientendaten durch den Dienstleister unvermeidbar, sollten die Betroffenen selbst entscheiden können, ob dieser in Anspruch genommen wird und damit Informationen über sie erhält. Es ist in diesem Fall geboten, den Patienten alternative Verfahrensweisen anzubieten. Für die Einbindung externer Dienstleister bei der IT-Betreuung gibt es spezifische Voraussetzungen.
Dem beauftragten Dienstleister dürfen ohne Einwilligung der Betroffenen auch im Vorfeld keine Patientendaten, insbesondere keine Behandlungsunterlagen, zur Verfügung gestellt werden.
Ist eine Kenntnisnahme von Patientendaten durch den Dienstleister vermeidbar?
Wenn nicht: Ist die Einbindung eines Dienstleisters dann noch praktikabel?
Entspricht die Beauftragung den Vorgaben des § 11 BDSG?
Müssen die Patienten über den Einsatz des Dienstleisters unterrichtet werden?
Gibt es alternative Verfahrensweisen ohne Preisgabe von Patientendaten an Dritte?
Aktueller Klärungsbedarf nach Überarbeitung der gemeinsamen Empfehlungen von BÄK und KBV zur ärztlichen Schweigepflicht
Welchen aus der ärztlichen Schweigepflicht resultierenden Anforderungen der Einsatz externer Dienstleister bei dem Betrieb einer Arztpraxis unterliegt, wenn die Möglichkeit zur Kenntnisnahme von Patientendaten nicht ausgeschlossen werden kann, ist vor dem Hintergrund der überarbeiteten Empfehlungen der Bundesärztekammer und der Kassenärztlichen Bundesvereinigung zur ärztlichen Schweigepflicht zumindest unklar. In Nr. 6 dieses Papiers werden im Zusammenhang mit der Beauftragung von Dienstleistern zur (Fern-) Wartung von EDV-Systemen die Praxisbetreiber aufgefordert, hierbei die Vorgaben des § 11 Abs. 1 bis Abs. 4 BDSG zu beachten. Darüber hinausgehende Anforderungen sind nicht ersichtlich, obwohl nach § 1 Abs. 3 Satz 2 BDSG die Verpflichtung zur Wahrung von Berufsgeheimnissen nicht von den Bestimmungen des BDSG berührt wird und damit rechtlich regelmäßig keine Befugnis des Behandlers zur Offenbarung der Patientendaten gegenüber dem Dienstleister vorliegen dürfte. Aus diesem Grund hält der LfDI Rheinland-Pfalz bislang die Beauftragung externer Dienstleister zur (Fern-) Wartung von Praxis-IT nur dann für zulässig, wenn dies gegenüber den Patienten ausreichend transparent gemacht wurde (siehe auch Informationsblatt zur Beauftragung Externer für Systembetreuung und Wartung).
Die Kooperationspartner sind bemüht, die bestehenden Unklarheiten im Dialog mit der Bundesärztekammer zu beseitigen.
LfDI Rheinland-Pfalz, 23. Tb., Tz. 5.2.4
KV Bayern, Datenschutz in der Arztpraxis, Handbuch, Tz. 10.6 Auslagerung des eingehenden Telefonverkehrs an ein Call Center
ULD Schleswig-Holstein, Patientendatenverarbeitung im Auftrag
www.aerzteblatt.de/archiv/19818/Datenschutzrecht-Datenverarbeitung-im-Auftrag
Empfehlungen von BÄK und KBV zur ärztlichen Schweigepflicht, Datenschutz und Datenverarbeitung in der Arztpraxis, Stand: 23.05.2014, Nr. 6
LfDI RP KV RLP
Auswirkungen der Europäischen Datenschutz-Grundverordnung (DS-GVO) und Digitalisierung im Gesundheitswesen.
18. April 2018, 15:30Uhr
Ärztehaus Trier
Fortbildungen der KV RLP zum Thema IT-Sicherheit und Datenschutz

References: § 11
 § 8
 § 11
 § 11
 § 11
 § 11
 § 1