Source: http://mit-sicherheit-gut-behandelt.de/eu-datenschutz-grundverordnung/das-verzeichnis-von-verarbeitungstaetigkeiten-nach-art-30-ds-gvo.html
Timestamp: 2018-04-20 01:19:32
Document Index: 31127994

Matched Legal Cases: ['Art. 30', 'Art. 24', 'Art. 30', 'Art. 30', 'Art. 30', 'Art. 9', 'Art. 30', 'Art. 26', 'Art. 30', 'Art. 30']

Das neue EU-Datenschutzrecht hat das Ziel, in allen Mitgliedstaaten der Europäischen Union ein gleichmäßiges und nachhaltiges Schutzniveau bei der Verarbeitung personenbezogener Daten herbeizuführen. Die ab Ende Mai 2018 wirksame Datenschutz-Grundverordnung (DS-GVO) enthält dafür geeignete Instrumente, um mit einem überschaubaren Arbeitsaufwand einen strukturierten Prozess innerhalb der Arztpraxen zur Einhaltung des Datenschutzes und zur Reduzierung potentieller Risiken für die technische Infrastruktur der Datenverarbeitung anzustoßen. Dies gilt insbesondere für das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DS-GVO, das eine Zusammenstellung aller Datenverarbeitungstätigkeiten beinhalten soll. Inhabern von Arztpraxen kommt dies entgegen, da sie infolge ihrer täglichen Verarbeitung höchst sensibler Gesundheitsdaten in ihren Einrichtungen eine besondere Verantwortung zur Wahrung von Datenschutz- und Berufsrecht tragen (vgl. Art. 24 Abs. 1 DS-GVO sowie die Vorgaben der Berufsordnung).
Primäres Ziel des Verzeichnisses nach Art. 30 DS-GVO ist die Anlage einer aussagekräftigen Dokumentation über die einzelnen Datenverarbeitungen z.B. in einer Arztpraxis und die hierzu erforderlichen bzw. ergriffenen technischen oder organisatorischen Schutzvorkehrungen. Durch eine konsequente Fortschreibung des Verzeichnisses kann ohne großen Aufwand eine Historie der in einer Praxis durchgeführten Verfahren und der jeweils zur Absicherung ergriffenen Maßnahmen angelegt werden, die nicht nur im Falle einer Prüfung durch eine Aufsichtsbehörde dem Praxisinhaber die Erfüllung seiner Rechenschaftspflicht ermöglicht, sondern allgemein als Steuerungsinstrument für einen rechtskonformen und wirtschaftlichen Praxisbetrieb herangezogen werden kann. Ein aktuell geführtes Verzeichnis ist darüber hinaus eine wichtige Arbeitsgrundlage für den von der Praxis formell benannten Datenschutzbeauftragten oder einen sonstigen Ansprechpartner, der den verantwortlichen Praxisinhaber in diesem Zusammenhang fachkundig beraten soll.
Nach Art. 30 Abs. 1 Satz DS-GVO haben jeder Verantwortliche und gegebenenfalls sein Vertreter ein Verzeichnis aller Verarbeitungstätigkeiten zu führen, die ihrer Zuständigkeit unterliegen. Anders als bisher sind in dieses Verzeichnis auch nichtautomatisierte Verarbeitungen aufzunehmen, sofern die Daten in einem Dateisystem gespeichert werden. Die in Art. 30 Abs. 5 DS-GVO enthaltene Ausnahme von der Pflicht zum Führen des Verzeichnisses gilt im Ergebnis nicht für Arztpraxen oder vergleichbare Stellen, da dort regelmäßig Gesundheitsdaten und damit besondere Daten im Sinne von Art. 9 Abs. 1 DS-GVO verarbeitet werden. In diesem Fall muss immer ein Verzeichnis geführt werden.
Das Vorgehen der niedergelassenen Arztpraxen zur ersten Erstellung eines eigenen Verzeichnisses von Verarbeitungstätigkeiten ist damit vorgezeichnet: abgesehen von den einfach anzugebenden Stammdaten müssen zunächst die im Praxisbetrieb anfallenden Geschäftsprozesse, bei denen Patienten- oder Mitarbeiterdaten verarbeitet werden, getrennt nach den einzelnen jeweils zugrunde liegenden Zweckbestimmungen identifiziert werden. Danach sind die nach Art. 30 Abs. 1 Satz 2 it. b bis g DS-GVO zu machenden Angaben in das Verzeichnisblatt einzutragen: neben dem Zweck der Verarbeitungstätigkeit gehören hierzu eine Beschreibung der Kategorien von Personen, die von der Datenverarbeitung betroffen sind, und der Daten, die verarbeitet werden, sowie der potentiellen Empfänger, denen die Daten offengelegt werden sollen. Dies umfasst auch interne Zugriffsberechtigte. Darüber hinaus sind Datenübermittlungen an ein Drittland oder an eine internationale Organisation, Löschfristen für die jeweiligen Datenkategorien sowie eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen zur Sicherheit der Verarbeitung anzugeben. Sofern einzelne Verarbeitungstätigkeiten in gemeinsamer rechtlicher Verantwortung (Art. 26 DS-GVO) mit anderen Stellen oder Personen durchgeführt werden, muss dies insoweit nach Art. 30 Abs. 1 Satz 2 lit. a DS-GVO kenntlich gemacht werden.
Beispiele für einzelne Bestandteile des Verzeichnisses nach Art. 30 DS-GVO in Arztpraxen, soweit Patientendaten betroffen sind: