Source: https://www.advocado.de/ratgeber/unternehmensrecht-und-betriebsnachfolge/datenschutz/dsgvo-arztpraxis.html
Timestamp: 2020-07-09 14:16:00+00:00

Document:
DSGVO für Arztpraxen: So machen Sie Ihre Arztpraxis DSGVO-konform
Ratgeber Unternehmensrecht und Betriebsnachfolge Datenschutz So machen Sie Ihre Arztpraxis DSGVO-konform
So machen Sie Ihre Arztpraxis DSGVO-konform
Patricia Bauer (jur. Redaktion) | Stand: 26.04.2019
Sind Arztpraxen von der DSGVO betroffen?
Praxisinternes Datenschutzmanagement
Diese Rechte haben Patienten & Mitarbeiter
Online: Internetauftritt der Arztpraxis nach DSGVO optimieren
Offline: Praxisalltag nach DSGVO gestalten
Checkliste & Muster
DSGVO umsetzen lassen
Seit Inkrafttreten der DSGVO im Jahr 2018 müssen Arztpraxen mit regelmäßigen und gründlichen Datenschutz-Kontrollen rechnen. Ärzte verarbeiten sensible Patientendaten, Datenschutzverstöße könnten für betroffene Patienten gravierende Konsequenzen haben.
Deshalb schauen Datenschützer bei Arztpraxen besonders penibel hin, was die Umsetzung der Datenschutz-Grundverordnung betrifft. Um DSGVO-konform zu sein, muss eine Praxis zahlreiche Offline- und Online-Maßnahmen umsetzen.
Die DSGVO schützt personenbezogene Daten und schränkt deren Verarbeitung und Speicherung stark ein.
Die DSGVO gilt sowohl für kleine als auch für große Praxen.
Arztpraxen stehen unter besonderer Beobachtung der Datenschützer.
Beschäftigt die Arztpraxis mehr als 10 Mitarbeiter, ist ein Datenschutzbeauftragter Pflicht.
Patienten und Mitarbeiter haben zahlreiche Auskunftsrechte und können die Löschung ihrer Daten verlangen.
Der Internetauftritt der Praxis benötigt ausreichende Verschlüsselung, Datenschutzerklärung und Impressum.
In den Praxisräumen hat Diskretion oberste Priorität.
Schützen Arztpraxen die gesammelten Patienten- und Mitarbeiterdaten nicht ausreichend, drohen empfindliche Bußgelder.
Für Arztpraxen kann es sinnvoll sein, auf die Expertise eines Anwalts zu setzen, um schnell und unkompliziert DSGVO-konform zu werden.
▶ Sie möchten Ihre Praxis DSGVO-konform gestalten? Ein erfahrener Anwalt für Datenschutzrecht & DSGVO informiert Sie in einem unverbindlichen Erstgespräch über alle wichtigen Vorgaben und Anforderungen. Außerdem zeigt er Ihnen bestehende Probleme und erfolgversprechende Lösungen auf.
Anschließend erhalten Sie ein Festpreis-Angebot für die Umsetzung der DSGVO in Ihrer Arztpraxis. Bis dahin besteht für Sie kein Kostenrisiko. Schildern Sie dafür bitte hier Ihr Anliegen.
1. Sind Arztpraxen von der DSGVO betroffen?
Ja, Arztpraxen sind von der DSGVO betroffen. Sie stehen sogar unter besonderer Beobachtung der Datenschützer.
Die Datenschutz-Grundverordnung (kurz DSGVO) der Europäischen Union ist seit dem 25. Mai 2018 umzusetzen. Sie regelt EU-weit die Verarbeitung personenbezogener Daten durch private Unternehmen – also auch Arztpraxen.
Personenbezogen sind Daten, mit denen sich einzelne Personen identifizieren lassen – z. B. Name, Anschrift oder Geburtsdatum.
Der Datenschutz hat für Arztpraxen einen hohen Stellenwert: Neue Informationspflichten gegenüber den Patienten sind entstanden und die Einhaltung des Datenschutzes wird von den Aufsichtsbehörden insbesondere bei Arztpraxen regelmäßig kontrolliert.
Arztpraxen erfassen – neben Namen und Kontaktdaten – viele hochsensible personenbezogene Gesundheitsdaten:
Behandlungsverläufe und -zeiträume
Personaldaten (z. B. von Arzthelferinnen)
Grundsätzlich verbietet die DSGVO für Arztpraxen die Verarbeitung personenbezogener Gesundheits- und Personaldaten. Gestattet ist dies nur bei gesetzlicher Befugnis aufgrund eines Behandlungsvertrages oder durch Einwilligung des Patienten. Bei Mitarbeitern ergibt sich die Befugnis zur Datenverarbeitung aus dem Arbeitsverhältnis.
Aufgrund der Fülle an diesen fremden Daten müssen sowohl große als auch kleine Arztpraxen dringend DSGVO-konform sein. Bei Verstößen – etwa weil Daten nicht ausreichend gesichert sind oder erforderliche Verzeichnisse fehlen – drohen Bußgelder.
Wie hoch diese ausfallen, ist einzelfallabhängig. So sind z. B. die Schwere des Verstoßes und der Jahresumsatz der Arztpraxis einzubeziehen. Die Datenschutzbehörden können theoretisch Bußgelder im zweistelligen Millionenbereich verhängen.
2. Praxisinternes Datenschutz­management
Die DSGVO sieht für Arztpraxen ein gut funktionierendes Datenschutzmanagement vor.
Gemäß Art. 30 DSGVO muss Ihre Arztpraxis ein Verarbeitungsverzeichnis führen. Darin protokollieren Sie alle Tätigkeiten, bei denen es zu einer Verarbeitung personenbezogener Daten kommt. Dazu zählen z. B.:
Verarbeitung von Patientendaten zur Abrechnung mit den Krankenkassen
Für jede Tätigkeit sind folgende Angaben zu machen:
Benennung der Verarbeitungst­ätigkeit
Datum der erstmaligen Ausführung
Verarbeitungs­zweck
Auszahlung der Gehälter, Abfuhr von Steuern
Benennung verarbeiteter Daten
Name & Adresse des Patienten, Diagnose, Behandlungs­daten
Name & Adresse des Arbeitnehmers, Kontodaten, Lohndaten, Steuerdaten usw.
Benennung der Datenempfänger
Vor-, mit- und nachbehandelnde Ärzte
Technische/organisa­torische Maßnahmen (TOM)
Verweis auf das IT-Sicherheits­konzept
Das Verarbeitungsverzeichnis ist regelmäßig zu aktualisieren und der Datenschutzbehörde auf Nachfrage in schriftlicher oder elektronischer Form vorzulegen.
Aufgrund der Fülle von relevanten Tätigkeiten und Angaben wird schnell etwas übersehen. Damit das nicht passiert und Ihr Verzeichnis vollständig ist, können Sie Ihre Verarbeitungsprozesse anwaltlich überprüfen lassen. Ein spezialisierter Anwalt sorgt dafür, dass das Verarbeitungsverzeichnis der DSGVO-Kontrolle Ihrer Arztpraxis standhält.
TOM-Verzeichnis
Laut DSGVO muss Ihre Arztpraxis zusätzlich ein umfassendes Verzeichnis der technischen und organisatorischen Maßnahmen (kurz: TOM-Verzeichnis) führen, mit denen Sie Daten schützen.
Gemäß Art. 32 Absatz 1 DSGVO sind für Arztpraxen folgende Maßnahmen unumgänglich:
Pseudonymisierung: Daten werden z. B. durch Zahlenfolgen ersetzt und können nicht mehr ohne Weiteres zugeordnet werden. Beispiel: Speicherung einer Patienten-Identifikationsnummer statt einer E-Mail-Adresse.
Verschlüsselung: Alle Datensätze müssen vor Fremdzugriff geschützt sein. Beispiel: Zugang zu Datenarchiven nur mit Passwort.
Gewährleistung der Vertraulichkeit: Nur Berechtigte dürfen Zugang zu Aktenschränken, Computern und Serverräumen haben.
Schutz der Integrität: Die verarbeiteten Daten müssen richtig sein. Änderungen und Löschungen dürfen nur Berechtigte vornehmen. Außerdem sind diese zu dokumentieren.
Gewährleistung der Verfügbarkeit: Die Daten müssen auch bei technischen Widrigkeiten – z. B. bei einem Stromausfall – verfügbar sein.
Gewährleistung der Systembelastbarkeit: Es ist regelmäßig zu testen, ob die Systeme Unfällen oder Eindringlingen standhalten.
Wiederherstellungsmöglichkeit: Personenbezogene Daten müssen nach einem physischen oder technischen Zwischenfall wiederhergestellt und erneut verfügbar gemacht werden können.
Effektivitätsprüfung: Es ist regelmäßig zu überprüfen, ob die oben genannten Maßnahmen funktionieren und effektiv sind.
Auch beim TOM-Verzeichnis gilt: Unvollständigkeit kann zu Strafen durch die Datenschutzbehörde führen. Dem können Sie durch fachkundige Prüfung aller Maßnahmen vorbeugen.
Auftragsdatenverarbeitung: Verträge mit Drittanbietern
Wenn Sie Daten von Drittanbietern verarbeiten lassen, muss Ihre Arztpraxis DSGVO-konforme Verträge (Auftragsdatenverarbeitungsvertrag oder ADV) mit diesen geschlossen haben.
Drittanbieter sind z. B.:
Steuerbüros (Ecovis, ETL)
Cloud-Computing-Anbieter (Google, Amazon)
Anbieter von Praxisverwaltungssoftware (TURBOMED, MEDISTAR)
Website-Hoster (1 & 1, Strato)
Der Vertrag zur Auftragsdatenverarbeitung sollte mindestens folgende Punkte beinhalten:
Gegenstand & Dauer der Auftragsdatenverarbeitung
Rechte & Pflichten von Arztpraxis und Drittanbieter
Gewährleistung der Datensicherheit durch geeignete technische & organisatorische Maßnahmen
Regelungen zur Berichtigung, Löschung & Sperrung übermittelter Daten
Sofortige Mitteilungspflichten des Drittanbieters bei Datenschutzverletzungen
Haftung des Drittanbieters bei unzulässiger bzw. unsachgemäßer Datenverarbeitung
Bestanden bereits vor der neuen DSGVO Verträge mit Drittanbietern, sind diese unbedingt an die neuen Anforderungen anzupassen! Bei Datenschutzkontrollen werden die Verträge sorgfältig geprüft – Unvollständigkeit oder mangelhafte Regelungen können zu Strafen führen.
Damit Ihre Verträge sowohl vollständig als auch rechtssicher sind, können Sie einen spezialisierten Anwalt mit deren Erstellung betrauen. Er kann datenschutzrechtliche Probleme erkennen und diesen durch rechtssichere Formulierungen vorbeugen. Schildern Sie dafür hier Ihr Anliegen.
Eine Arztpraxis muss in der Regel nur dann einen Datenschutzbeauftragten ernennen, wenn sie 10 Mitarbeiter oder mehr beschäftigt. Ein Datenschutzbeauftragter stellt alle notwendigen Datenschutzmaßnahmen sicher.
Als Datenschutzbeauftragter kommt grundsätzlich jeder infrage, der über datenschutzrechtliche Fach- und Sachkunde verfügt. Die DSGVO macht keine Angaben, wann diese vorliegt.
Da die Auswahl des Datenschutzbeauftragten im Zweifel aber vor der Aufsichtsbehörde zu rechtfertigen ist, lohnt sich eine Zertifizierung (z. B. durch TÜV oder IHK). Anwälte sind dank ihrer juristischen Ausbildung besonders qualifiziert.
Als Datenschutzbeauftragte nicht infrage kommen Praxisinhaber oder ein IT-Verantwortlicher – Interessenkonflikte sind so ausgeschlossen.
Gemäß Art. 35 DSGVO ist für Ihre Arztpraxis eine Datenschutz-Folgenabschätzung erforderlich, wenn die Verarbeitung personenbezogener Daten besonders hohe Risiken für die Patienten oder Mitarbeiter birgt und ein Bruch der ärztlichen Schweigepflicht möglich ist. Mögliche Risiken sind zu benennen und deren Eintritt durch geeignete Maßnahmen zu verhindern.
Ein besonders hohes Risiko kann z. B. am Empfang der Arztpraxis entstehen: Wenn ein Patient sich gerade anmeldet und weitere Patienten die Praxis betreten, können diese mithören. Um das zu verhindern, kann die Arzthelferin das Gespräch kurz unterbrechen und den Neuankömmling bis zu seiner Anmeldung ins Wartezimmer schicken.
Alle Risiken und Maßnahmen sind schriftlich zu dokumentieren.
Besonderheiten bei Gemeinschaftspraxis oder Praxisgemeinschaft
Wenn Sie in einer Gemeinschaftspraxis oder Praxisgemeinschaft tätig sind, gelten datenschutzrechtliche Sonderregelungen.
Gemeinschaftspraxen gelten als Berufsausübungsgemeinschaft. Das heißt, dass die beteiligten Ärzte in der Regel einen gemeinsamen Patientenstamm und einen gemeinsamen Datenbestand haben.
Der Patient schließt mit allen Ärzten der Gemeinschaftspraxis einen gemeinsamen Behandlungsvertrag. Deshalb sind die Ärzte untereinander von der Schweigepflicht befreit und dürfen sich über den Patienten austauschen.
Gehören Sie zu einer Praxisgemeinschaft, gilt keine Befreiung von der Schweigepflicht. Die Ärzte haben sich nur zur gemeinsamen Nutzung der Praxisräume zusammengeschlossen – nicht aber zur gemeinsamen Behandlung der Patienten. Grundsätzlich hat jeder Arzt seine eigenen Patienten und alleinigen Zugriff auf deren Daten.
Sie möchten die DSGVO für Ihre Arztpraxis umsetzen? Kontaktieren Sie uns für ein unverbindliches Erstgespräch mit einem unserer spezialisierten Anwälte. Schildern Sie dafür bitte hier Ihr Anliegen.
3. Diese Rechte haben Patienten & Mitarbeiter
Um die Rechte der Patienten und Mitarbeiter zu stärken, sieht die DSGVO für Arztpraxen einige Informations- und Auskunftspflichten vor:
Patienten- und Mitarbeiterinformationen zum Datenschutz
Gemäß Art. 13 DSGVO ist jeder Betroffene bei der erstmaligen Erhebung seiner persönlichen Daten aktiv über die Speicherung und Weiterverarbeitung zu informieren.
Zur Patienteninformation bietet sich ein verständlicher, klar und einfach formulierter, allgemein sichtbarer Aushang in den Praxisräumen an. Meldet sich ein neuer Patient in der Arztpraxis an, sollte das Praxispersonal ihn proaktiv auf den Aushang hinweisen und ihm auf Wunsch eine Kopie aushändigen können.
Der Patient muss die Informationen nur zur Kenntnis nehmen – eine Einwilligung für die Speicherung und Weiterverarbeitung seiner Daten wird in aller Regel nicht benötigt.
Das liegt daran, dass der Patient mit dem Arztbesuch einen Behandlungsvertrag abschließt. Dieser rechtfertigt die Datenerhebung und -verarbeitung.
Ihre Mitarbeiter informieren Sie am besten unmittelbar mit Abschluss des Arbeitsvertrages darüber, dass die DSGVO in der Arztpraxis gilt. Eine explizite Einwilligung ist auch hier nicht notwendig.
Neben dem Recht auf Akteneinsicht nach § 630g BGB steht jedem Patienten ein Auskunftsrecht nach Art. 15 DSGVO zu. Das heißt, dass der Arzt auf Nachfrage Auskunft über Art und Umfang der gespeicherten Daten geben muss.
Grundsätzlich kann nur der Patient selbst Auskünfte verlangen. Wollen Angehörige die Akte eines verstorbenen Patienten einsehen, gelten nicht länger die Vorschriften der DSGVO für die Arztpraxis – diese sind nur bei lebenden Personen anwendbar.
Allerdings gilt die ärztliche Schweigepflicht gemäß § 203 Absatz 5 StGB auch über den Tod hinaus. Die Angehörigen benötigen deshalb eine sogenannte „Offenbarungsbefugnis”. Diese ergibt sich z. B. aus einer lebzeitigen Erklärung des Patienten oder einer Erbberechtigung.
Mitarbeiter können sich ebenfalls auf Art. 15 DSGVO berufen.
Recht auf Berichtigung & Vervollständigung von Daten
Laut DSGVO ist jede Arztpraxis verpflichtet, die personenbezogenen Daten auf dem neuesten Stand zu halten und – wenn notwendig – zu berichtigen.
Fällt einem Patienten oder Mitarbeiter auf, dass gespeicherte Daten falsch oder unvollständig sind, kann er nach Art. 16 DSGVO Berichtigung und Vervollständigung verlangen. Laut DSGVO muss die Arztpraxis dann sofort handeln und Anpassungen protokollieren.
Aufgrund der ärztlichen Aufbewahrungspflicht müssen Sie Gesundheitsdaten mindestens zehn Jahre lang aufbewahren. Gibt es z. B. Röntgenbilder oder Befunde von Strahlenbehandlungen, erhöht sich die Zeitspanne sogar auf 30 Jahre.
Erst nach Ablauf der gesetzlichen Aufbewahrungspflicht können Patienten die Löschung ihrer Daten verlangen.
Damit widerspricht die ärztliche Berufsordnung der DSGVO: Gemäß Art. 17 DSGVO sind personenbezogene Daten zu löschen, sobald deren Erhebungs- oder Verarbeitungszweck nicht mehr gegeben ist.
Für Mitarbeiter bedeutet das: Endet das Arbeitsverhältnis, dürfen die Daten nicht länger gespeichert werden.
Damit die Löschung der Daten reibungslos abläuft, sollten Sie in Ihrer Arztpraxis ein sogenanntes Löschkonzept etablieren. Hier legen Sie für verschiedene Datensätze Löschfristen, Startzeitpunkte der Löschfristen und Verantwortlichkeiten fest.
4. Online: Internetauftritt der Arztpraxis nach DSGVO optimieren
Ihr Internetauftritt ist das Aushängeschild Ihrer Arztpraxis. Mit einer Website können Sie Patienten auf Ihre Leistungen, Behandlungsschwerpunkte und Referenzen aufmerksam machen. Außerdem können Sie hier alle wichtigen Informationen für Patienten (Sprechzeiten, Anfahrt usw.) übersichtlich zusammenfassen.
Damit die Internetseite nicht nur informativ ist, sondern auch grundlegende DSGVO-Standards für Arztpraxen erfüllt, müssen Sie Folgendes beachten:
Ihre Internetseite braucht eine angemessene Verschlüsselung (TLS/SSL). Wenn Sie Kontaktformulare nutzen – damit z. B. Patienten Anfragen senden oder Termine vereinbaren können –, müssen diese ebenfalls verschlüsselt sein.
Ein erster Indikator dafür, dass Ihre Website angemessen verschlüsselt ist, ist die Adresszeile im Internetbrowser: Diese sollte mit „https” beginnen.
Stellen Sie nur eine E-Mail-Adresse zur Kontaktaufnahme bereit, müssen Sie den Seitenbesucher unmittelbar darauf hinweisen, dass die E-Mail-Kommunikation nicht verschlüsselt ist und daher keine sensiblen Gesundheitsdaten versendet werden dürfen.
Zu jeder öffentlichen Internetseite gehört eine Datenschutzerklärung. Nach Art. 12 DSGVO muss diese leicht zugänglich und in präziser, verständlicher Sprache verfasst sein.
Gemäß § 13 DSGVO sind u. a. folgende Inhalte verpflichtend für die Datenschutzerklärung auf der eigenen Website:
Name & Anschrift des Seitenbetreibers (in der Regel der Eigentümer der Arztpraxis)
Name & Anschrift des Datenschutzbeauftragten (soweit vorhanden)
Überblick über die erfassten Daten (z. B. IP-Adresse, Verweildauer)
Rechtsgrundlage für die Datenverarbeitung über die Website (z. B. berechtigtes Interesse an der Verbesserung und Stabilität der Website nach Art. 6 Absatz 1 f DSGVO)
Ob zusätzliche Angaben zu berücksichtigen sind, hängt stark von der Art Ihrer Internetseite ab: Sogenannte „Einfach-Homepages” (nur Informationen zu Arzt, Adresse und Telefonnummer) haben geringere Anforderungen als solche, die z. B. eine Online-Terminvergabe anbieten.
Mit Mustern aus dem Internet sollten Sie daher vorsichtig sein: Oft sind diese nicht auf Ihre Internetseite zugeschnitten oder unvollständig. Die Datenschutzbehörde hätte dann einen Grund, eine Geldbuße zu verhängen.
Ein spezialisierter Anwalt kann den Bedarf Ihrer Internetseite analysieren, Probleme erkennen und eine rechtssichere Datenschutzerklärung erstellen. So wird Vollständigkeit und DSGVO-Konformität gewährleistet. Anwalt kontaktieren & Praxis-Website prüfen lassen.
Gemäß § 5 Telemediengesetz muss jede Internetseite außerdem ein Impressum beinhalten.
Relevante Inhalte sind u. a.:
Name & Anschrift des Seitenbetreibers
Kontaktdaten für eine schnelle Kontaktaufnahme (einschließlich E-Mail-Adresse)
Angaben zur zuständigen Landesärztekammer
Fotos nur mit Einverständnis
Wenn Sie auf Ihrer Internetseite Fotos vom Praxispersonal zeigen wollen, benötigt Ihre Arztpraxis laut DSGVO bei jedem Bild eine schriftliche Einverständniserklärung der abgebildeten Person. Widerruft eine Person später ihr Einverständnis, müssen Sie das Bild unverzüglich entfernen.
5. Offline: Praxisalltag nach DSGVO gestalten
Oberste Priorität im Praxisalltag hat die Diskretion: Nur das Praxispersonal darf auf die Patienten- und Personaldaten zugreifen können.
Als Praxisinhaber stehen Sie in der Pflicht, Ihre Mitarbeiter umfassend über die DSGVO für die Arztpraxis, das Datengeheimnis und die ärztliche Schweigepflicht zu belehren. Nur so ist ein DSGVO-konformer Praxisalltag gewährleistet.
Empfang, Wartezimmer & Behandlungsräume
Die größte Gefahr von Datenschutzverletzungen besteht am Empfang, im Wartezimmer und in den Behandlungsräumen – also überall dort, wo sich die Patienten und ggf. deren Angehörige aufhalten.
Damit keine Daten in die falschen Hände geraten, sind folgende Vorsichtsmaßnahmen zu ergreifen:
Zutrittskontrolle – Besucher der Arztpraxis müssen sich unmittelbar nach Ankunft anmelden
Diskretionsbereich am Empfang
Diskrete Erhebung von Anmelde- und Patientendaten
Durchgehende Besetzung des Empfangs durch Praxispersonal
Schutz der Bildschirme, Telefone, Handys usw. vor Blicken und Zugriff Fremder
Sicherung der Patientenakten z. B. durch abschließbare Schränke
Abtrennung des Wartezimmers, sodass Dritte keine Gespräche am Empfang oder in Behandlungsräumen mithören können
Patienten halten sich nie alleine in den Behandlungsräumen auf (Alternative: Patient kann während der Abwesenheit des Arztes keine fremden Informationen einsehen)
Schutz der Arztpraxis gegen Diebstahl & Einbruch
Absicherung und Verwaltung von Patientendaten am Computer
Damit elektronische Patientenakten und sonstige Daten nicht gehackt und eingesehen werden können, empfehlen sich folgende Maßnahmen:
Schutz der Computer durch sichere Passwörter
Regelmäßiger Wechsel der Passwörter
Sperrung unbeaufsichtigter Computer
Installation aktueller Virenschutzprogramme & Firewalls
Individuelle Einsichtsbefugnisse für jeden Mitarbeiter
Datenweitergabe nur an befugte Personen
Laut DSGVO muss Ihre Arztpraxis sicherstellen, dass sie gespeicherte Daten nur mit dem Patienten selbst oder ausdrücklich dazu befugten Personen teilt. Folgende Problemfälle sind möglich:
Angehörige & Bevollmächtigte: Vor allem bei älteren oder stark beeinträchtigten Patienten kommt es vor, dass Angehörige oder Pflegebevollmächtigte Arztbriefe oder Rezepte abholen wollen. Das geht nur, wenn der Patient der Arztpraxis eine entsprechende Einwilligung gegeben hat.
Rezeptversendung an Apotheken oder Pflegeheime: Auch hierfür muss die ausdrückliche Einwilligung des Patienten vorliegen.
Besprechung mit Arztkollegen: Will der Arzt mit einem vor- oder nachbehandelnden Kollegen über den Patienten und seine Behandlung sprechen, darf er das aufgrund des Behandlungsvertrages. Erhofft er sich lediglich eine zweite Meinung zum Krankheitsbild, darf er nur allgemeine Angaben zum Zustand des Patienten teilen – nicht aber seinen Namen nennen.
Krankenkassen & Gesundheitsämter: Patientendaten dürfen nur dann an Krankenkassen & Gesundheitsämter weitergegeben werden, wenn diese über eine entsprechende Rechtsgrundlage verfügen. Beispiele für solche Rechtsgrundlagen wären die Abrechnung mit der gesetzlichen Krankenkasse oder der Infektionsschutz durch das Gesundheitsamt.
Polizei & Staatsanwaltschaft: In Ausnahmefällen sind Patientendaten an Polizei oder Staatsanwaltschaft herauszugeben – z. B. wenn der Befund helfen kann, einen Täter zu identifizieren und weitere Straftaten so zu verhindern. Eine Einverständniserklärung des Patienten ist dann nicht notwendig.
6. Checkliste & Muster
Die Erfüllung der DSGVO ist für alle Arztpraxen verpflichtend. Damit auch Ihre Arztpraxis DSGVO-konform ist und die Datenschutzbehörden nichts beanstanden können, müssen Sie alle geforderten Maßnahmen sorgfältig durchführen.
Die folgende Checkliste soll Ihnen die weitere Planung und Umsetzung erleichtern:
Alle Arztpraxen müssen:
✓ Verarbeitungsverzeichnis erstellen
✓ TOM-Maßnahmen zusammenstellen
✓ Auftragsdatenverarbeitungsverträge anpassen oder neu abschließen
✓ Löschkonzept entwickeln
✓ Datenschutzfolgenabschätzung vornehmen
✓ Patienten informieren – z. B. durch Aushang am Empfang
✓ Personal belehren
✓ Daten vor Fremdzugriff schützen
✓ Empfang vor unberechtigten Zuhörern abschirmen
Große Arztpraxen (mehr als 10 Mitarbeiter) müssen außerdem:
✓ Datenschutzbeauftragten ernennen
✓ Kontaktdaten des Datenschutzbeauftragten bei der zuständigen Aufsichtsbehörde hinterlegen
Bei Betrieb einer Internetseite denken Sie unbedingt an:
✓ Website-Verschlüsselung
Vor allem für die Verzeichnisse und Auftragsdatenverarbeitungsverträge finden Sie im Internet zahlreiche Muster, Vordrucke und Generatoren. Diese sollten Sie allerdings nur als erste grobe Orientierung nutzen und an die Bedürfnisse Ihrer Arztpraxis anpassen.
Je nach Konzeption Ihrer Datenverarbeitungsprozesse und Praxisstruktur können sich immense Unterschiede bei den notwendigen Inhalten ergeben. Im schlimmsten Fall bieten Sie dann mit unvollständigen oder fehlerhaften Dokumenten der Datenschutzbehörde eine unnötige Angriffsfläche.
Ein spezialisierter Anwalt gewährleistet, dass alle Verfahrensverzeichnisse und Verträge DSGVO-konform sind. Indem er alle Verarbeitungstätigkeiten sorgsam prüft und eine individuelle Bedarfsanalyse vornimmt, wird nichts übersehen. Darüber hinaus kann er dabei helfen, Ihren Praxisalltag und Ihren Internetauftritt rechtssicher zu gestalten.
Sie möchten die DSGVO in
Ihrer Arztpraxis umsetzen?
Jetzt DSGVO umsetzen

References: Art. 30
 Art. 32
 Art. 35
 Art. 13
 § 630
 Art. 15
 § 203
 Art. 15
 Art. 16
 Art. 17
 Art. 12
 § 13
 Art. 6
 § 5