Source: https://www.hofauer.com/muss-eine-arztpraxis-einen-datenschutzbeauftragten-bestellen/
Timestamp: 2018-04-20 06:38:03+00:00

Document:
Muss eine Arztpraxis nach der DSGVO einen Datenschutzbeauftragten benennen? - Sebastian Hofauer, LL.M.
Muss eine Arztpraxis nach der DSGVO einen Datenschutzbeauftragten benennen?
23. März 2018 13. April 2018 Sebastian HofauerDatenschutzrecht
Im Hinblick auf die europäische Datenschutz-Grundverordnung (DSGVO) stellt sich insbesondere auch für Arztpraxen die Frage, ob diese einen Datenschutzbeauftragten benennen müssen. Die DSGVO bringt in diesem Punkt nach derzeitigen Erkenntnissen eine wesentliche Neuerung.
1 Pflicht zur Benennung eines Datenschutzbeauftragten gemäß DSGVO
2 Pflicht zur Benennung eines Datenschutzbeauftragten gemäß BDSG-neu
5 Weiterführende Informationen der Bundesärztekammer
Pflicht zur Benennung eines Datenschutzbeauftragten gemäß DSGVO
Ob ein Datenschutzbeauftragter zu benennen ist, bestimmt sich zunächst nach Art. 37 DSGVO. Die DSGVO gilt ab dem 25.05.2018 unmittelbar in allen EU-Mitgliedsstaaten, also auch in Deutschland. Schaut man sich Absatz 1 an, ergibt sich Folgendes Bild (wobei ich einmal die besonders relevanten Stellen hervorgehoben habe):
b) die Kerntätigkeit des Verantwortlichen oder des Auftragsverarbeiters in der Durchführung von Verarbeitungsvorgängen besteht, welche aufgrund ihrer Art, ihres Umfangs und/oder ihrer Zwecke eine umfangreic he regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen, oder
Pflicht zur Benennung eines Datenschutzbeauftragten gemäß BDSG-neu
Hinzu kommt außerdem die Vorschrift des § 38 BDSG-neu, welche Art. 37 DSGVO insoweit ergänzt. § 38 Abs. 1 BDSG-neu bestimmt Folgendes:
Damit ist schon einmal klar, dass eine Arztpraxis zwingend einen Datenschutzbeauftragten benennen muss, soweit regelmäßig zehn Personen oder mehr ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Das ist faktisch dann der Fall, wenn zehn Personen oder mehr in der Arztpraxis mit Patientendaten arbeiten.
Etwas schwerer ist auf den ersten Blick die Regelung in Art. 37 Abs. 1 c) DSGVO zu verstehen:
…benennen auf jeden Fall einen Datenschutzbeauftragten, wenn…
Zu besonderen Kategorien von Daten gehören gemäß Artikel 9 Abs. 1 DSGVO auch Gesundheitsdaten. Solche werden regelmäßig in Arztpraxen verarbeitet. Die Frage ist aber: Wann ist deren Verarbeitung als umfangreich im Sinne von Art. 37 Abs. 1 c) DSGVO anzusehen? Hierüber geben die Erwägungsgründe der DSGVO Aufschluss (Erwägungsgrund Nr. 91):
Das bedeutet im Umkehrschluss: Bei einer Gemeinschaftspraxis mit mehreren Ärzten wird man gemäß den Erwägungsgründen der DSGVO davon ausgehen müssen, dass
die Verarbeitung in solchen Praxen als umfangreich anzusehen ist
und somit zwingend ein Datenschutzbeauftragter benannt werden muss.
Zwar wird in der Literatur auch anderes vertreten (vgl. Dochow, Notwendigkeit der Datenschutz-Folgenabschätzung und Benennung eines Datenschutzbeauftragten in der Arztpraxis?, PinG 2018, 51). Allerdings erscheint Erwägungsgrund Nr. 91 der DSGVO insoweit eindeutig. Möchte man den rechtssicheren Weg gehen, ist es daher für eine Gemeinschaftspraxis meines Erachtens nicht zu empfehlen, auf die Benennung eines Datenschutzbeauftragten zu verzichten.
Vereinfacht dargestellt, muss ein Datenschutzbeauftragter in einer Arztpraxis in folgenden Fällen benannt werden:
Es handelt sich um eine Einzelpraxis oder Gemeinschaftspraxis, in der 10 Beschäftigte oder mehr Umgang mit Patientendaten haben.
Es handelt sich um eine Gemeinschaftspraxis mit mehreren Ärzten (auch bei weniger als 10 Beschäftigten).
Im Zweifel empfiehlt es sich, Kontakt mit der zuständigen Datenschutzaufsichtsbehörde aufzunehmen.
Weiterführende Informationen der Bundesärztekammer
finden sich weitergehende Informationen zu Fragen des Datenschutzes in der Arztpraxis.
Markiert mit Arztpraxis, DSGVO, EU-DSGVO, Gemeinschaftspraxis, Gesundheitsdaten, Patientendaten

References: Art. 37
 § 38
 Art. 37
 § 38
 Art. 37
 Art. 37