Source: https://www.kvsaarland.de/eu-datenschutzgrundverordnung/-/asset_publisher/QCPVl2mI8T7d/content/3-einige-wichtige-anderungen-im-uberblick?_com_liferay_asset_publisher_web_portlet_AssetPublisherPortlet_INSTANCE_QCPVl2mI8T7d_redirect=https%3A%2F%2Fwww.kvsaarland.de%2Feu-datenschutzgrundverordnung%3Fp_p_id%3Dcom_liferay_asset_publisher_web_portlet_AssetPublisherPortlet_INSTANCE_QCPVl2mI8T7d%26p_p_lifecycle%3D0%26p_p_state%3Dnormal%26p_p_mode%3Dview%26_com_liferay_asset_publisher_web_portlet_AssetPublisherPortlet_INSTANCE_QCPVl2mI8T7d_cur%3D0%26p_r_p_resetCur%3Dfalse%26_com_liferay_asset_publisher_web_portlet_AssetPublisherPortlet_INSTANCE_QCPVl2mI8T7d_assetEntryId%3D4009625
Timestamp: 2019-06-20 06:02:53+00:00

Document:
3. Einige wichtige Änderungen im Überblick - Kassenärztliche Vereinigung Saarland
null 3. Einige wichtige Änderungen im Überblick
3. Einige wichtige Änderungen im Überblick drucken
Nach Art. 30 EU-DSGVO ist jede Arztpraxis verpflichtet ein Verzeichnis der Verarbeitungstätigkeiten zu führen. Das heißt, es muss schriftlich festgehalten werden, welche personenbezogenen Daten für welchen Zweck, auf welcher Rechtsgrundlage verarbeitet und an wen sie übermittelt werden. Zudem soll es eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen zum Schutz der Daten enthalten. Wie konkret diese Beschreibung sein muss, ergibt sich nicht aus der EU-DSGVO, sie sollte jedoch so detailliert sein, dass die Aufsichtsbehörde anhand des Verzeichnisses eine erst Rechtmäßigkeitsprüfung durchführen kann.
Das Verzeichnis ist ein wichtiger Bestandteil der Rechenschaftspflichten nach Art. 5 EU-DSGVO, sollte daher sorgfältig geführt und regelmäßig auf Aktualität geprüft werden. Das unabhängige Datenschutzzentrum Saarland stellt ein Muster für ein Verzeichnis von Verarbeitungstätigkeiten auf seiner Internetseite zur Verfügung, viele weitere Muster finden sich auf diversen Datenschutzseiten im Internet.
Die Möglichkeit für jedermann Einblick in das Verzeichnis zu erhalten ist nicht mehr vorgesehen, sodass es nur vorgehalten und auf Anfrage der Aufsichtsbehörde vorgelegt werden muss.
Informationspflichten bei der Datenerhebung, Art. 13 und 14 EU-DSGVO
Die EU-DSGVO will die Transparenz bei der Datenverarbeitung erhöhen, weshalb dem Patienten bei der Datenerhebung die in Art. 13 (bei Datenerhebung beim Patienten selbst; Direkterhebung) bzw. Art. 14 (Erhebung bei Dritten) genannten Informationen mitzuteilen sind. Dies sind z.B. Kontaktdaten des Datenschutzbeauftragten, Zweck sowie die Rechtsgrundlage der Verarbeitung, Empfänger der Daten etc. Um diese umfangreichen Informationspflichten praktikabel erfüllen zu können, sollten entsprechende Vordrucke genutzt werden, die zumindest gut sichtbar in der Praxis ausgehängt werden sollten. Derzeit beschäftigt sich eine Arbeitsgruppe der Datenschutzbeauftragten der KVen mit der praktikablen Umsetzung der neuen Vorgaben und ggf. der Erarbeitung solcher Vordrucke.
Auskunftsrecht des Patienten, Art. 15 EU-DSGVO
Patienten haben nicht nur das Recht, bei der Datenerhebung informiert zu werden, vielmehr können sie mit formlosem Antrag ohne Begründung Auskunft über die vom Arzt gespeicherten personenbezogenen Daten verlangen. Dieser datenschutzrechtliche Auskunftsanspruch dient dazu, dem Betroffenen die Durchsetzung seiner Rechte auf Berichtigung, Sperrung und Löschung zu erleichtern und tritt neben das Einsichtsrecht aus § 630g BGB. Im Falle eines Auskunftsersuchens eines Patienten sind diesem zumindest die in Art. 15 Abs. 1 EU-DSGVO genannten Informationen mitzuteilen. Die Auskunft hat unverzüglich – spätestens innerhalb eines Monats – zu erfolgen und kann schriftlich, elektronisch oder auch mündlich erteilt werden. Zu Dokumentationszwecken sollte die schriftliche oder elektronische Form gewählt werden. Nach Art. 15 Abs. 3 EU-DSGVO stellt der Verantwortliche dem Patienten eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung. Die Auskunftserteilung und die Zurverfügungstellung der Kopien haben in der Regel unentgeltlich zu erfolgen (Art. 12 Abs. 5, Art. 15 Abs. 3 S. 2 EU-DSGVO).
Recht auf Vergessenwerden, Art. 17 EU-DSGVO
Nach Ablauf der einschlägigen Aufbewahrungsfristen, die das Berufs- und Vertragsarztrecht vorschreiben, hat der Patient das Recht, dass sämtliche Daten über ihn unwiederbringlich gelöscht werden. Es genügt nicht, nur die ggf. noch vorhandene Papierakte des Patienten datenschutzkonform zu vernichten, vielmehr müssen auch sämtliche digital vorliegenden Daten und ggf. deren Sicherung gelöscht werden.
Auftragsdatenverarbeitung, Art. 28 EU-DSGVO
Verarbeiten Dritte personenbezogene Daten im Auftrag des Arztes, beispielsweise in Form der Wartung von Praxis-EDV oder der Nutzung von Cloud-Diensten, muss ein schriftlicher Vertrag, der den Anforderungen des Art. 28 EU-DSGVO genügt, geschlossen werden. Insbesondere muss der Auftragnehmer (Auftragsverarbeiter) sorgfältig ausgewählt werden. Der Auftraggeber muss sich davon überzeugen, dass der Auftragnehmer ausreichende technische und organisatorische Maßnahmen zum Schutze der Rechte der Patienten getroffen hat. Anhaltspunkte hierfür sind beispielsweise einschlägige Zertifikate. Der Auftragsverarbeiter ist gemäß Art. 29 EU-DSGVO weisungsgebunden und auf die strafrechtliche Geheimhaltung (§ 203 Abs. 3 und 4 StGB) zu verpflichten. Bereits abgeschlossene Verträge sind auf EU-DSGVO-Konformität zu überprüfen. Muster für solche Verträge finden sich ebenfalls zahlreich im Internet.
Die EU-DSGVO hat 2 Seiten: Die eine ist die der zunehmenden Bürokratisierung. Viele werden sicherlich nicht unberechtigt sagen: „Noch mehr Papierkrieg und weniger Zeit für Patienten. Wozu?“
Auf der anderen Seite trägt die EU-DSGVO, nicht zuletzt mit ihrem hohen Sanktionsrahmen, dazu bei, die Gesellschaft insbesondere im Umgang mit den interessanten und schützenswerten Gesundheitsdaten zu sensibilisieren. Die Daten sind aufgrund der Digitalisierung und fortschreitenden Vernetzung immer leichter zugänglich und immer neuen und größeren Gefahren ausgesetzt. Das führt dazu, dass der Datenschutz-Teil der Imagepflege einer Praxis werden sollte, denn nicht nur eine unzureichende Behandlung spricht sich unter Patienten schnell herum, sondern auch die zu lasche Handhabung der sensiblen Daten.
Um es noch einmal zu betonen: Wer in seiner Praxis bisher auf den Datenschutz geachtet hat, wird auch mit der Geltung der EU-DSGVO wenige Probleme bekommen. Es muss schlichtweg das Gelebte dokumentiert werden, das erfordert leider etwas Fleißarbeit.

References: Art. 30
 Art. 5
 Art. 13
 Art. 13
 Art. 14
 Art. 15
 § 630
 Art. 15
 Art. 15
 Art. 15
 Art. 17
 Art. 28
 Art. 28
 Art. 29