Source: https://www.kv-rlp.de/nachrichten/nachrichtentext/eu-datenschutz-grundverordnung-auswirkungen-auf-niedergelassene-heilberufe/
Timestamp: 2018-04-25 08:22:43
Document Index: 133259189

Matched Legal Cases: ['Art. 5', 'Art. 5', 'Art. 5', 'Art. 4', 'Art. 24', 'Art. 24', 'Art. 5', 'Art. 83', 'Art. 9', 'Art. 37', 'Art. 37']

Webcode 992984
www.kv-rlp.de/992984
EU Datenschutz-Grundverordnung: Auswirkungen auf niedergelassene Heilberufe
Verantwortlichkeiten und Pflicht zur Benennung eines Datenschutzbeauftragten
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz | Information
Stärkere Eigenverantwortung der Verantwortlichen
Im Fokus der ab Mai 2018 wirksam werdenden Regelungen der EU Datenschutz-Grundverordnung (DS-GVO) steht die deutliche Stärkung der Eigenverantwortung der für die Datenverarbeitung Verantwortlichen. Unter anderem mit dem nunmehr ausdrücklich in das Datenschutzrecht übernommenen Grundsatz der Rechenschaftspflicht (Art. 5 Abs. 2 DS-GVO) hebt die DS-GVO die Rolle des Verantwortlichen bei der Verarbeitung personenbezogener Daten klar und deutlich hervor und überträgt ihm eine breite Verantwortung nicht nur für die Einhaltung der allgemeinen Grundsätze des Datenschutzes nach Art. 5 Abs. 1 DS-GVO als solche, sondern auch für deren Nachweisbarkeit.
Im Ergebnis ist der Verantwortliche verpflichtet, die Ordnungsgemäßheit der Datenverarbeitung nachzuweisen, das heißt dass und in welcher Weise er den in Art. 5 Abs. 1 DS-GVO enthaltenen Anforderungen und daraus resultierenden Pflichten genügt. Die Einführung der Rechenschaftspflicht kann dabei als Triebfeder für eine effektive Umsetzung der datenschutzrechtlichen Vorgaben qualifiziert werden.
Wer Verantwortlicher ist, ergibt sich unmittelbar aus Art. 4 Nr. 7 DS-GVO. Nach der Definition, die der bisherigen Rechtslage entspricht, sind hiervon natürliche oder juristische Personen, Behörden, Einrichtungen oder andere Stellen umfasst, die allein oder gemeinsam mit anderen über Verarbeitung personenbezogener Daten entscheiden. Im Bereich der niedergelassenen Heilberufe sind dies die Praxisinhaber.
Die rechtliche Zuweisung der Verantwortung für die Einhaltung datenschutzrechtlicher Pflichten bzw. deren Umfang ist in Art. 24 Abs. 1 DS-GVO niedergelegt. Der Verantwortliche hat hiernach geeignete technische und organisatorische Maßnahmen umzusetzen, die eine Verarbeitung personenbezogener Daten im Einklang mit der Verordnung ermöglichen und die den Nachweis darüber zulassen. Ob und gegebenenfalls welche Maßnahmen zu ergreifen sind, hängt von Art, Umfang und Zweck der beabsichtigten Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere denkbarer Risiken für die Freiheiten der hiervon betroffenen Personen ab. Dies entspricht dem risikobasierten Ansatz der DS-GVO. Nach Art. 24 Abs. 1 Satz 2 DS-GVO ist von dem Verantwortlichen regelmäßig zu überprüfen und zu aktualisieren, inwieweit der bisherige Maßnahmenkatalog zum Beispiel an veränderte Rahmenbedingungen oder Risikofaktoren angepasst werden muss.
Im Bereich der niedergelassenen Heilberufe ändert sich an dieser Verantwortlichkeit nichts. Dies bedeutet, dass die Praxisinhaber persönlich – ungeachtet von Größe oder Mitarbeiterzahl der von ihnen geführten Einrichtung – verantwortlich sind. Die Benennung von Datenschutzbeauftragten führt zu keiner Verlagerung dieser datenschutzrechtlichen Verantwortung. Es ist daher unumgänglich, dass Praxisinhaber in jedem Fall eigene Kompetenzen aufbauen, um die Einhaltung der Vorgaben des Datenschutzes in dem Betrieb ihrer Heilberufspraxis zu gewährleisten. Denn entspricht die Datenverarbeitung in der eigenen Praxis nicht den Vorgaben der DS-GVO, kann ein Verstoß gegen die in Art. 5 DS-GVO verankerten Grundsätze der Datenverarbeitung einschließlich der Rechenschaftspflicht nach Art. 83 Abs. 5 lit. a DS-GVO mit Geldbußen in erheblicher Höhe sanktioniert werden; unabhängig davon, ob im Einzelfall ein Datenschutzbeauftragter benannt worden war.
Eine Folge der DS-GVO ist die erstmalige Einführung einer europaweiten Pflicht für alle Verwaltungen und bestimmte Unternehmen zur Bestellung eines Datenschutzbeauftragten (DSB). Ausgehend von dem risikobasierten Ansatz der Verordnung erstreckt sich die Bestellungspflicht im privaten Sektor – zu dem auch die niedergelassenen Heilberufe gehören – zunächst auf solche Stellen, deren Haupttätigkeit entweder in einer systematischen Überwachung von Personen oder der umfangreichen Verarbeitung besonders schutzbedürftiger Daten besteht (zum Beispiel Adresshändler, Auskunfteien, Internetprovider, Krankenhäuser) besteht. Das ab 25. Mai 2018 in Kraft tretende novellierte Bundesdatenschutzgesetz (BDSG-neu) weitet diese Pflicht unter anderem auf Stellen aus, bei denen in der Regel mindestens zehn Personen personenbezogene Daten automatisiert verarbeiten oder bei denen eine Datenschutz-Folgenabschätzung durchgeführt werden muss.
Datenschutzbeauftragte bei Heilberufspraxen mit weniger als zehn Mitarbeitern
Die Verarbeitung von Gesundheitsdaten kann nach der DS-GVO unter bestimmten zusätzlichen Voraussetzungen dazu führen, dass ein Datenschutzbeauftragter bestellt werden muss. Das ab 25. Mai 2018 in Kraft tretende novellierte Bundesdatenschutzgesetz (BDSG-neu) erstreckt diese Pflicht auf alle Stellen, bei denen in der Regel mindestens zehn Personen personenbezogene Daten automatisiert verarbeiten oder bei denen eine Datenschutz-Folgenabschätzung durchgeführt werden muss. In größeren medizinischen Einrichtungen dürfte dies regelmäßig der Fall sein.
Fraglich ist, welche Konsequenzen sich daraus für Arztpraxen unter dieser Schwelle ergeben. Aus Sicht des LfDI Rheinland-Pfalz ist nicht jede niedergelassene Heilberufspraxis mit bis zu 9 Mitarbeitern automatisch allgemein auch nach Wirksamwerden der DS-GVO im Regelfall weder verpflichtet noch gehindert, einen eigenen DSB zu installieren. Dies hängt vielmehr von der Höhe des Risikos für die Datenschutzrechte der Patientinnen und Patienten ab und damit insbesondere davon, welche Menge personenbezogener Daten verarbeitet wird (Volumen), ob die Verarbeitung auf regionaler, nationaler oder supranationaler Ebene erfolgt (geografischer Aspekt), wie viele Personen von der Verarbeitung betroffen sind und von welcher Dauer die Verarbeitung ist (zeitlicher Aspekt).
Eine solche Verpflichtung ergibt sich nicht bereits aus dem Umstand, dass derartige (kleine) Praxen in ihrem Geschäftsbetrieb standardmäßig mit Gesundheitsdaten – also besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 DS-GVO – ihrer Patienten umgehen. Denn die in Art. 37 Abs. 1 lit. c DS-GVO enthaltene Benennungspflicht, die besteht, sofern die Kerntätigkeit des Verantwortlichen eine umfangreiche Verarbeitung derartiger Daten umfasst, greift nach dem Verständnis der DS-GVO regelmäßig nicht im Falle einer Verarbeitung von Patientendaten durch einen einzelnen Arzt oder sonstigen Angehörigen eines Gesundheitsberufs (vgl. Erwägungsgrund 91).
Vor dem Hintergrund der besonderen Schutzbedürftigkeit der in Heilberufspraxen verarbeiteten Patientendaten und der umfassenden Verantwortung der Praxisinhaber für eine datenschutzkonforme Datenverarbeitung empfiehlt der LfDI Rheinland-Pfalz den Aufbau einer praxiseigenen Datenschutzkompetenz. Angesichts der vielfältigen Aufgaben von Praxisinhabern dürfte es im Regelfall sinnvoll sein, dass auch ohne rechtliche Pflicht zur Benennung eines DSB noch zumindest eine weitere Person als Ansprechpartner in datenschutzrechtlichen Fragen installiert und mit den dafür erforderlichen Ressourcen ausgestattet wird. Hierfür kommt durchaus auch ein Praxismitarbeiter in Betracht. Nach Art. 37 Abs. 6 DS-GVO kann zumindest die Funktion des DSB auch von einem externen Dienstleister wahrgenommen werden, wobei immer die oben genannten Anforderungen an die Personalauswahl berücksichtigt werden müssen.
Inwieweit verfügt der Inhaber der Heilberufspraxis über eine ausreichende eigene Datenschutz-Kompetenz? Besteht gegebenenfalls ein Fort- oder Weiterbildungsbedarf?
Datenschutzbeauftragter und Datenschutz-Management | LfDI RP
Leitlinien in Bezug auf Datenschutzbeauftragte | Arbeitsgruppe für die Wahrung der Rechte von Personen bei der Verarbeitung personenbezogener Daten
Datenschutzbeauftragte bei Verantwortlichen und Auftragsverarbeitern | Datenschutzkonferenz
Die EU-Datenschutz-Grundverordnung | mit-sicherheit-gut-behandelt.de
Europäische Datenschutz-Grundverordnung | DS-GVO