Source: https://www.physio-pfennich.at/datenschutz.html
Timestamp: 2020-01-18 03:40:47+00:00

Document:
Oberndorferstraße 8 IB-4
0664 397 51 74
Keiner bestellt; Begründung:
Nach allgemeiner Auffassung ist die Bestellung einer Datenschutzbeauftragten erst ab 10
Vollzeitbeschäftigten äquivalenten angezeigt. Bei meiner Praxis handelt es sich um ein
Einzelpersonenunternehmen.
Als einzelne freiberuflich tätige Therapeutin besteht meine Kerntätigkeit gemäß Art 37
DSGVO sowie Erwägungsgrund 91 der DSGVO nicht in der umfangreichen Verarbeitung
besonderer Kategorien von Daten (Gesundheitsdaten). Der Erwägungsgrund 91 Z4 der DSGVO
hält dazu fest: „Die Verarbeitung personenbezogener Daten sollte nicht als umfangreich gelten,
wenn die Verarbeitung personenbezogene Daten von Patienten oder von Mandanten betrifft und
durch einen einzelnen Arzt, sonstigen Angehörigen eines Gesundheitsberufes oder Rechtsanwalt
C1 - Verwaltung der Patientendaten: Anwendungsbereich Patientenbuch
Erfüllung der gesetzlichen Dokumentationspflicht
Erfassung erbrachter therapeutischer Leistungen
Erstellung und Archivierung von Dokumenten in diesen Angelegenheiten: Befunde,
Korrespondenzen, Berichte, Gutachten, Meldepflichten, Bestätigungen, etc..
§§ 7a und 11a MTD-Gesetz; §§ 5 und 36 GuKG; §§ 9 und 19 HebG; §§ 3 und 46 MMHmG;
§§ 12 und 30 MuthG; §§ 1 und 11 Psychotherapiegesetz; §§ 3 und 10 Psychologengesetz
Zulässige Aufbewahrungsdauer
Mindestens 10 Jahre: (zB § 3 MMHmG; § 5 GuKG; § 9 HebG, § 11a MTD-Gesetz, § 30 Abs. 4 MuthG
Höchstens 30 Jahre: Sofern nicht andere Gesetze oder laufende Rechtsverfahren andere Fristen setzen
Kategorien möglicher Übermittlungsempfänger
Sozialversicherungsträger, Pensionskassen
Ärztinnen, Therapeuten, Krankenhäuser, Pflegeheime, Ambulatorien
Gerichte, Rechtsvertreterinnen, Schlichtungsstellen
Maßnahmen: Verarbeitungs- und Übermittlungssicherheit
Siehe E1 - Beschreibung der organisatorischen Maßnahmen
Siehe E2 - Richtlinie: Passwort – und Schlüsselverwaltung
Im Einzelfall nur in Absprache mit der betroffenen Person
C2 - Verwaltung der Patientendaten: Anwendungsbereich Befundanforderung und Befundübermittlung
Anforderung therapeutischer oder medizinischer Befunde:
mittelbar über Ärztinnen und andere Gesundheitsdienstanbieter
oder unmittelbar vom Betroffenen
sowie Erstellung und Archivierung von Dokumenten in diesen Angelegenheiten:
Korrespondenzen, ärztlicher Verordnungen, Gutachten, klinische Befunde, etc..
Mindestens 10 Jahre: gemäß gesetzlicher Aufbewahrungspflichten
Ärztinnen, Therapeutinnen, Krankenhäuser, Pflegeheime, Ambulatorien
C3 - Verwaltung der Patientendaten: Anwendungsbereich Verwaltung von Verordnungen und Bewilligungen
Verwaltung und Organisation von Verordnungen und Bewilligungen: a. Einholung von Chefarztbewilligungen
Höchstens 30 Jahre: Sofern nicht andere Gesetze oder laufende Rechtsverfahren andere Fristen
Ärzte, Therapeutinnen, Krankenhäuser, Pflegeheime, Ambulatorien
Betroffene Personenkategorie: Patienten (besondere Kategorien personenbezogener Daten)
C4 - Verwaltung der Patientendaten: Anwendungsbereich Private Verrechnung und Vertragskassenabrechnung
Verrechnung der erbrachten Therapieleistungen
direkt gegenüber Sozialversicherungsträgern
oder unmittelbar an die Betroffene
sowie Erstellung und Archivierung von Dokumenten in diesen Angelegenheiten
Vertragskassenabrechnung: ASVG; MTD-Gesetz; einzelne Kassenverträge
Private Faktura: § 132 Abs. 2 BAO; § 11c Abs 2, Z 3 MTD-Gesetz
Mindestens 7 Jahre: gemäß § 11 Abs. 2 UStG 1994
Gerichte, Rechtsvertreter, Schlichtungsstellen
Siehe F1 - Beschreibung der technischen Maßnahmen: Verschlüsselte Therapiesoftware der
Der Patient/die Patientin reicht seine/ihre Rechnung selbst bei der Versicherung ein.
D1 - Verwaltung der Praxis: Verwaltung von Benutzerkennzeichen sowie Zugangs- und Zutrittssystemen
Systemzugriffskontrolle und Verwaltung von Benutzerkennzeichen für die Datenanwendungen des
Verantwortlichen sowie die Verwaltung der Zuteilung von Hard- und Software an die Systembenutzer
einschließlich Erstellung und Archivierung von Dokumenten in diesen Angelegenheiten
a. Beinhaltet auch: Zuteilung von Schlüsseln und anderen für den Zutritt notwendigen Systemen
D2 - Verwaltung der Praxis: Anwendungsbereich EARechnung, Finanzbuchhaltung und Registrierkasse
Verarbeitung und Übermittlung von Daten im Rahmen einer Geschäftsbeziehung
mit Patienten und
mit Lieferantinnen
Gesetzliche Verpflichtung ordnungsgemäßer Buchführung; RKSVO
Wirtschaftstreuhänder, Wirtschaftsprüferinnen
D3 - Verwaltung der Praxis: Anwendungsbereich Terminkalender
Anbahnung, Verwaltung und Terminmanagement von Geschäftsbeziehungen
mit Patientinnen
Gesetzliche Verpflichtung ordnungsgemäßer Buchführung (Grundaufzeichnungen)
Arbeitgeber; Inspektorate
Betroffene Personenkategorie: Patientinnen
E1 - Beschreibung der organisatorischen Maßnahmen
Versand per eingeschriebenem Brief
Vertraulich / Nicht vertraulich
Persönliche Übergabe, Versand per verschlüsselter elektronischer Kommunikation, Versand per Post
Die Verantwortliche wird vertrauliche Informationen an Patienten mittels unverschlüsselter E-Mail nur dann senden, wenn der jeweilige Patient vorab in die unverschlüsselte Zusendung eingewilligt hat. Sollte keine schriftliche Einwilligung des Patienten vorliegen, wird die Therapeutin als Verantwortliche die mündliche Einwilligung des Patienten im Patientenbuch dokumentieren.
Der Verantwortliche verpflichtet sich, vertrauliche Informationen an zulässige Übermittlungsempfänger (etwa: Ärzte, Pflegeheime, Sozialversicherungsträger) ausschließlich mittels verschlüsselter digitaler Kommunikation oder mittels Fax zu senden.
Die Weitergabe von Zugangsdaten und Passwörtern im Zusammenhang mittels verschlüsselter digitaler Kommunikation erfolgt ausschließlich persönlich oder per Post.
Messaging-Dienste werden nur unter der Bedingung verwendet, dass sie ausdrücklich die DSGVO erfüllen. WhatsApp (Stand Mai 2018) ist am beruflich genutzten Handy nicht erlaubt.
Clean Desk Policy in einer Praxisgemeinschaft
Die Verantwortliche stellt sicher, dass sämtliche Anwender sich verpflichten, sich nach dem Beenden ihrer Arbeit vom jeweiligen Arbeitsplatzrechner abzumelden.
Der Verantwortliche stellt sicher, dass jeder Anwender sich verpflichtet, Dokumente und Unterlagen vor Verlassen des Arbeitsplatzes entsprechend zu verstauen und einzuschließen, sodass ein unbefugter Dritter keinerlei Kenntnis über deren Inhalt erhalten kann. Das „Aufräumen und Abschließen“ beinhaltet sämtliche Unterlagen, Datenträger und sonstige Informationsmedien.
Die Verantwortliche stellt sicher, dass die Anwender dem Verantwortlichen umgehend mitteilen, sollten die Zugangsdaten nicht mehr geheim sein.
E2 - Richtlinie: Passwort – und Schüsselverwaltung
Schwache Passwörter sind die Achillesferse der Verschlüsselung
Passwörter werden nicht von Menschen geknackt, sondern von Programmen, die mehrere Millionen oder sogar Milliarden Passwörter pro Sekunde durchprobieren können! Das ist die Realität 70% aller weltweit verwendeten Passwörter sind in wenigen Sekunden geknackt. Dein Passwort sollte nicht dazu gehören.
Wie komme ich zu meinem starken Passwort?
• Das Passwort ist 12 oder mehr Zeichen lang.
• Es hat Zahlen.
• Es hat Groß- und Kleinbuchstaben.
Das starke Passwort der verantwortlichen Therapeutin zusammen mit Verschlüsselung der Datenbank gemäß Stand der Technik schützt vor Selbstanzeige
1. Der Datenverantwortliche sorgt dafür, dass die Datenbank mit einem starken Passwort
Sollte es dennoch zu einer Datenpanne kommen, werden Datenschutzverletzungen durch die Verantwortliche unter nachfolgend genannten Bedingungen sowohl an die Behörde als auch an die betroffenen Personen gemeldet. Als Datenschutzverletzung ist bereits die potenzielle Gefährdung zu werten, dass der Schutz persönlicher Daten verletzt worden sein könnte. Die Meldung wird formlos durchgeführt.
E3 - Beschreibung der Prozesse „Meldung an die Behörde“ gemäß Art 33 DSGVO und „Meldung an den Betroffenen“ gemäß Art 34 DSGVO
Die Datenschutzgrundverordnung DSGVO EU-VO 2016/679, Artikel 33, Absatz 1 und 3 bestimmt:
Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der zuständigen Aufsichtsbehörde, es sei denn, dass die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Erfolgt die Meldung an die Aufsichtsbehörde nicht binnen 72 Stunden, so ist ihr eine Begründung für die Verzögerung beizufügen.
Die Datenschutzgrundverordnung DSGVO EU-VO 2016/679, Artikel 34, Absatz 1 bis 3 bestimmt:
E4 - Beschreibung der Prozesse zur Wahrung der Rechte der betroffenen Person
Auskunftsrecht der betroffenen Person (Art. 15 DSGVO) und Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
Die Datenschutzgrundverordnung DSGVO EU-VO 2016/679, Artikel 15 Abs 1 bestimmt:
verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden; ist dies der Fall, so hat sie ein
Recht auf Auskunft über diese personenbezogenen Daten und auf folgende Informationen:
In Entsprechung dieser Verpflichtungen wird der Verantwortliche das Auskunftsrecht der betroffenen Person wie folgt handhaben:
Sobald der Betroffene einen Antrag auf Auskunft an die Verantwortliche stellt, wird die Verantwortliche alle vertretbaren Mittel nutzen, um die Identität der betroffenen Person zu überprüfen. Der Antrag der betroffenen Person bedarf keiner besonderen Form und darf auch digital erfolgen. Sollte die Betroffene eine mündliche Auskunft verlangen, wird der Verantwortliche die Identität der Betroffenen in geeigneter Weise feststellen und die Auskunft ebenso mündlich erteilen.
Im Normalfall werden die Informationen digital in einem strukturierten, gängigen und maschinenlesbaren Format zur Verfügung gestellt, sofern die betroffene Person nichts anderes angibt. Diese Ausgabe hat kostenlos zu erfolgen.
Die Ausgabe in einem strukturierten, gängigen und maschinenlesbaren Format gewährleistet gleichzeitig das Recht auf Datenübertragbarkeit gemäß Art. 20 DSGVO. Zur Datenübertragung (bzw zur Übergabe beauskunfteter Informationen) werden ausschließlich gesicherte und verschlüsselte Verbindungen oder Datenträger verwendet; außer die Betroffene ermächtigt den Verantwortlichen schriftlich zur Verwendung unsicherer Verbindungen oder Datenträger.
Frist: Der Verantwortliche wird die Auskunft unverzüglich erteilen, jedenfalls binnen eines Monats ab Eingang beim Verantwortlichen. Sollte es sich um eine umfangreiche und komplexe Auskunft handeln, kann die Verantwortliche im Einzelfall die Frist zur Beauskunftung einmalig um weitere zwei Monate verlängern, der Verantwortliche wird dies unter Nennung der Gründe der Betroffenen binnen eines Monats mitteilen.
Negativauskunft: Sollte die Verantwortliche die Beauskunftung nicht erteilen, wird sie dies ebenso binnen eines Monats unter Angabe von Gründen der Betroffenen mitteilen. Sollte der Verantwortliche keine Daten über die betroffene Person verarbeiten, wird der Verantwortliche eine Negativauskunft (eine Bestätigung, dass er keine Daten über den Betroffenen verarbeitet) dem Betroffenen übermitteln.
Sollte der Betroffene die Verantwortliche darüber informieren, dass diese unrichtige oder (für den Zweck der Datenverarbeitung) unvollständige Daten verarbeitet, wird die Verantwortliche die von der betroffenen Person bekanntgegeben Daten unverzüglich inhaltlich prüfen und gegebenenfalls vervollständigen bzw. richtigstellen. Sollte die Korrektheit der Daten strittig sein, wird der Verantwortliche die Verarbeitung derweilen einschränken, bis strittige Fragen geklärt sind.
Weiters wird die Verantwortliche etwaige Empfänger der (unrichtigen) Daten über die berichtigten Daten informieren.
Da die gesetzlich geregelte Dokumentationspflicht aufgrund § 11 a MTD-Gesetz, die Therapeutin zur Aufbewahrung über einen Zeitraum von mindestens 10 Jahren verpflichtet, kann der Betroffene innerhalb dieses Zeitraumes keine Löschung erwirken.
Die Forderung des Gesetzes zur Aufbewahrung über „mindestens 10 Jahre“ heißt nicht, dass die Daten unmittelbar danach automatisch gelöscht werden müssen. Im Gegenteil: Es ist ein Gebot der Qualitätssicherung therapeutischer Arbeit und zum Vorteil der Patienten, wenn auch nach Jahrzehnten, Aufzeichnungen über frühere Therapien und Erkrankungen vorhanden sind– Informationen, welche die betroffene Patientin selber möglicherweise schon längst vergessen hat, für die aktuellen Therapien jedoch förderlich sind. In den entsprechenden Abschnitten B (Verarbeitungsverzeichnisse) ist daher eine maximale Aufbewahrungsdauer von 30 Jahren angesetzt.
Sollte der Betroffene dennoch die Löschung verlangen, so wird gemäß DSGVO Art. 17 Absatz 1 vorschriftsgemäß vorgegangen, sofern einer der folgenden Gründe zutrifft:
Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig
Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung stützt und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung
Die betroffene Person legt Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor
Die personenbezogenen Daten wurden unrechtma ßig verarbeitet
E5 - Risikofolgeabschätzung
Datenschutz - Risikofolgeabschätzung
Technische Begründung: Alle Prozesse der Datenverarbeitung erfolgen in einer mit einem
privaten Schlüssel des Therapeuten Stand der Technik verschlüsselten Umgebung. Unverschlüsselte Daten sind nur zum Zeitpunkt der unmittelbaren Verarbeitung im flüchtigen Speicher des Arbeitsgerätes vorhanden. Alle (lokalen) Netzwerkbindungen zu Datenbanken sind gleichfalls stark verschlüsselt. Systematischer Datendiebstahl wäre nur mit dem Brechen eines starken Passwortes möglich und ist somit technisch ausgeschlossen.
Aufbehalten wird versperrt eine Karteikarte mit diesen Daten, der Dokumentation des Behandlungsverlaufes sowie eine Kopie der Verordnung und der ausgestellten Rechnung. Karteikarten aus dem aktuellen Kalenderjahr werden versperrt in der Praxis verwahrt. Karteikarten aus vergangenen Jahren werden versperrt im privaten Haushalt verwahrt. Einen Zugang mittels Schlüssel habe ausschließlich ich.
Rechtliche Begründung: Bei einzeln freiberuflich tätigen Therapeutinnen besteht die Kerntätigkeit gemäß Art. 37 DSGVO sowie Erwägungsgrund 91 der DSGVO nicht in der umfangreichen Verarbeitung besonderer Kategorien von Daten (Gesundheitsdaten). Der Erwägungsgrund 91 Z4 der DSGVO hält dazu fest:

References: § 3
 § 5
 § 9
 § 11
 § 30
 § 132
 § 11
 § 11
 Art. 20
 § 11
 Art. 17
 Art. 37