DSGVO

Folgende Dokumentationen müssen Praxen zwingend führen und auf Verlangen der Aufsichtsbehörde vorlegen

Datenschutz-Management: Aufstellung aller technischen und organisatorischen Maßnahmen zur Sicherstellung des Datenschutzes und des Nachweises dafür. Dazu gehören z. B.:

• Verzeichnis von Verarbeitungstätigkeiten
• ggfs. Datenschutz-Folgenabschätzung
• Maßnahmen zur „Sicherheit der Verarbeitung"

Das Gesetz macht keine konkreten Vorgaben, welche Maßnahmen im Einzelnen dokumentiert werden müssen. Es geht insbesondere um die Vorkehrungen, die in der Praxis getroffen werden, um sicherzustellen, dass die Verarbeitung von personenbezogenen Daten im Einklang mit der DSGVO erfolgt. Zu den Abläufen, die zu dokumentieren sind, gehören:

• Prozesse zu den Betroffenenrechte (siehe unten „Verhältnis zu Patientinnen und Patienten")
• die Einbindung von Dienstleistern und die mit diesen abgeschlossenen Verträge zur Auftragsdatenverarbeitung. (siehe unten „Zusammenarbeit mit Dienstleistern“)
• die Durchführung von Schulungen zum Datenschutz

Durch die Dokumentation kennen alle Mitarbeitenden in der Praxis die Regeln und bei einer Prüfung kann der Aufsichtsbehörde ein schriftlich dokumentiertes Datenschutzkonzept vorgelegt werden.

Um die Vertraulichkeit, Integrität und Verfügbarkeit der personenbezogenen Daten sicherstellen zu können sind durch die Praxis technische und organisatorische Maßnahmen (TOM) zu treffen. Dazu gehören insbesondere der Umgang mit Zutritten in die Praxis, Zugänge zu digitalen und analogen Daten (Zugriffsberechtigungen), sichere Verwahrung der Daten sowie sichere Vernichtung von Daten nach DIN-Norm 66399, Wahrung der Vertraulichkeit in den Praxisräumlichkeiten, Umgang mit Internet und E-Mail, Bildschirmsperren und Datensicherungen.

Da diese Dokumentationen sehr praxisindividuell sind, gibt es diesbezüglich leider keine Vorlagen oder Muster. Ihr Systembetreuer kann Sie bei der Erstellung der TOM unterstützen. Klären Sie bitte vorab die Kosten.

In einem schriftlichen oder elektronischen Verzeichnis muss die Praxis Tätigkeiten bzw. Vorgänge erfassen, bei denen personenbezogene Daten verarbeitet werden. Dies sind insbesondere Daten von Patientinnen und Patienten sowie Personaldaten. Datenverarbeitung beginnt beim ersten Kontakt mit Patientinnen und Patienten mit der Praxis: Am Telefon oder am Empfang, evtl. sogar im Internet. Hierunter sind alle Tätigkeiten wie Erheben, Abfragen, Ordnen, Speichern, Anpassen, Ändern, Auslesen, Weiterleiten, Löschen und Vernichten von Daten zu verstehen. Typischerweise werden Geschäftsprozesse als Verarbeitungstätigkeit definiert. So könnte eine Verarbeitungstätigkeit im Beschäftigtenkontext zum Beispiel eine Arbeitszeiterfassung oder ein Bewerbungsverfahren sein. Im Kontext mit Daten von Patientinnen und Patienten könnten Prozesse definiert werden wie zum Beispiel eine Anamnese, eine Untersuchung, eine Abrechnung etc. Einiges davon wird auch im Qualitätsmanagement bereits dokumentiert sein. Erfasst werden müssen insbesondere

• Zweck der Verarbeitung (z. B. ärztliche Dokumentation)
• betroffene Personengruppen (z. B. Patientinnen und Patienten, Beschäftigte, auch kurzfristige Schulpraktikantinnen und Praktikanten)
• Datenkategorien (z.B. Gesundheitsdaten, Personaldaten)
• Empfängergruppen, gegenüber denen die personenbezogenen Daten offengelegt werden (z.B. Krankenkassen, Kassenärztliche Vereinigungen)
• Fristen für die Löschung (z. B. zehn Jahre)

Muster: Verzeichnis von Verarbeitungstätigkeiten (PDF, 110 KB)

Muster: Verzeichnis von Verarbeitungstätigkeiten (DOC, 30 KB)

Auch die Kassenärztliche Bundesvereinigung (KBV) stellt auf ihrer Homepage ein Muster eines Verarbeitungsverzeichnisses inkl. Ausfüllbeispielen zur Verfügung.

Muster eines Verarbeitungsverzeichnisses (DOCX, 35 KB)

Ausfüllbeispiel für ein Verarbeitungsverzeichnis (PDF, 85 KB)

Eine Datenschutz-Folgenabschätzung ist eine Bewertung der Risiken für die Rechte und Freiheiten von betroffenen Personen bei der Verarbeitung von personenbezogenen Daten. Eine DSFA enthält u.a.

• eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke der Verarbeitung
• eine Bewertung der Notwendigkeit und Verhältnismäßigkeit der Verarbeitungsvorgänge
• eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen
• die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen

Eine Datenschutz-Folgenabschätzung muss dann durchgeführt werden, wenn eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien (z. B. Einsatz von Cloudtechnologien), aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.

In Praxen wäre dies beispielsweise dann der Fall, wenn aufgrund des Umfangs der Datenverarbeitung ein hohes Datenschutzrisiko besteht. Dies ist in der Regel nur in sehr großen Gemeinschaftspraxen und in Medizinischen Versorgungszentren der Fall. Auch eine systematische Videoüberwachung in den Praxisräumlichkeiten kann ein Grund sein.

Ist eine Datenschutz-Folgeabschätzung erforderlich, muss ein Datenschutzbeauftragter benannt werden, unabhängig von der Anzahl der Beschäftigten in der Praxis.

Weitere Info unter  "Bestellung eines Datenschutzbeauftragten"

Durch die DSGVO sind die Rechte der betroffenen Person hinsichtlich Transparenz und Verarbeitung nach Treu und Glauben weiter gestärkt worden. Für die Bereitstellung von Informationen im Rahmen der Rechte der betroffenen Person hat die Arztpraxis maximal einen Monat Zeit. Im Verhältnis zu Patientinnen und Patienten müssen insbesondere folgende Rechte beachtet bzw. umgesetzt werden:

• Recht auf Information (->Informationspflicht)
• Recht auf Auskunft
• Recht auf Löschung
• Vorliegen von Einwilligungserklärungen.

Praxen müssen Patientinnen und Patienten darüber informieren, was mit ihren Daten passiert. Diese Information muss insbesondere Angaben zu Zweck der Verarbeitung sowie zur Rechtsgrundlage enthalten. Auch die Kontaktdaten der Praxis und ggfs. des Datenschutzbeauftragten sollten in der Information enthalten sein. Diese Informationen werden auch als Datenschutzhinweise bezeichnet. Patientinnen und Patienten müssen die Datenschutzhinweise nicht unterschreiben.

Die Information kann über einen Aushang in der Praxis erfolgen, der in für Laien verständlicher Sprache verfasst sein muss.

Muster: Informationsblatt für Patientinnen und Patienten zum Datenschutz (PDF, 130 KB)

Muster: Informationsblatt für Patientinnen und Patienten zum Datenschutz (DOC, 30 KB)

Auch die KBV stellt auf ihrer Homepage ein Muster für eine Patienteninformation zur Verfügung.

Muster einer Patienteninformation (DOCX, 40 KB)

Neben dem Einsichtsrecht in die Patientenakte haben Patientinnen und Patienten auch ein Recht darauf, eine Kopie aller zu ihrer Person gespeicherten Daten zu erhalten. Praxen sollten diesen Prozess dokumentieren, u.a. wie die Daten aus der Praxissoftware exportiert werden können und in welchem Format (Papier, digital) die Informationen bereitgestellt werden.

Ein Recht auf Löschung von personenbezogenen Daten besteht grundsätzlich jederzeit, sofern nicht gesetzliche Aufbewahrungsfristen der Löschung entgegenstehen. So hat die Praxis z. B. Aufzeichnungen über Untersuchungen mit Röntgenbildern zehn Jahre aufzubewahren.

Nein, die gesetzlichen Aufbewahrungsfristen müssen beachtet werden. Innerhalb dieser Fristen kann ein Patient nicht die Löschung von Behandlungsdokumentationen verlangen.

Die Behandlungsdokumentation muss zehn Jahre lang nach der letzten Behandlung aufbewahrt werden.

Grundsätzlich muss keine Einwilligung vorliegen. In der Regel wird die Behandlung von Patientinnen und Patienten über den Behandlungsvertrag legitimiert sein. Einige Verarbeitungen lassen sich jedoch nicht über den Behandlungsvertrag abdecken. In solchen Konstellationen benötigt der Arzt oder die Ärztin eine Einwilligung als eine Rechtsgrundlage für die Verarbeitung:

• Patientinnen und Patienten müssen eine Einwilligungserklärung unterschreiben, welche zum Zwecke der Datenübermittlung an Dritte außerhalb der gesetzlich geregelten Datenflüsse maßgeblich ist. Dies ist zum Beispiel der Fall, wenn Sie Daten von Patientinnen und Patienten zu Abrechnungszwecken an private Verrechnungsstellen weiterleiten.
• Auch wenn Daten von Patientinnen und Patienten wie Kontaktinformationen für Service-Angebote (z. B. Recall-Service) genutzt werden sollen, wird eine entsprechende Einwilligungserklärung benötigt.
• Auch für Auskünfte an Angehörige und Ehepartner ist eine Einwilligung erforderlich.

Grundsätzlich muss bei nicht einwilligungsfähigen Kindern die Einwilligung von beiden Elternteilen erteilt werden, sofern nicht ein Elternteil das alleinige Sorgerecht hat. Nach herrschender Meinung ist davon auszugehen, dass Minderjährige unter 14 Jahren nur in Ausnahmefällen bereits einwilligungsfähig sind.

Nach dem sogenannten Dreistufenmodell des Bundesgerichtshofs (BGH)

• kann die Ärztin oder der Arzt bei leichten Eingriffen darauf vertrauen, dass der mit dem Kind erscheinen Elternteil vom anderen Elternteil bevollmächtigt ist für den anderen Elternteil einzuwilligen.
• muss die Ärztin oder der Arzt sich bei mittleren Eingriffen erkundigen, ob der anwesende Elternteil auch berechtigt ist für den anderen Elternteil zu handeln. Er oder sie hat eine Fragepflicht.
• muss die Ärztin oder der Arzt bei schweren Eingriffen die Gewissheit haben, dass die Zustimmung von beiden sorgeberechtigten Elternteilen vorliegt. Sie oder er muss sich von dem nicht anwesenden Elternteil (ggf. telefonisch) bestätigen zu lassen, dass dieser den anderen entsprechend ermächtigt hat.

Die Einwilligung muss nicht zwingend schriftlich erteilt werden. Zu Nachweiszwecken sollte die Einwilligung aber unbedingt dokumentiert werden.

Eine Einwilligung ist nur gültig, wenn sie freiwillig, für einen bestimmten Fall, in informierter Weise und unmissverständlich abgegeben wird. Damit die Einwilligung in informierter Weise erfolgt muss sie mindestens folgende Informationen enthalten:

• die Identität des Verantwortlichen (Arzt, Berufsausübungsgemeinschaft oder MVZ)
• den Zweck für den die Einwilligung eingeholt werden soll
• die Daten, die erhoben und verwendet werden
• Hinweis auf das Recht die Einwilligung jederzeit (mit Wirkung für die Zukunft) zu widerrufen

Praxen sollten ihre Vorlagen prüfen und ggfs. ergänzen.

Muster: Patienteneinwilligung in ein Behandlungsverhältnis (PDF, 90 KB)

Muster: Patienteneinwilligung in ein Behandlungsverhältnis (DOC, 20 KB)

Muster: Patienteneinwilligung für Service-Angebote (z. B. Recall) (PDF, 110)

Muster: Patienteneinwilligung für Service-Angebote (z. B. Recall) (DOC, 20)

Eine gesonderte Erlaubnis von Patientinnen und Patienten in Form einer Einwilligungserklärung muss nicht eingeholt werden. Das Labor, das als Auftragsverarbeiter eingebunden ist, wird sozusagen als „verlängerter Arm“ der Praxis tätig. Das setzt voraus, dass Praxen, die Körpermaterial an ein externes Labor übermitteln, mit diesem einen Vertrags zur Auftragsverarbeitung schließen (Siehe „Zusammenarbeit mit Dienstleistern“).

Die Patientin oder der Patient kann Dritten, wie Nachbarn oder Angehörigen, eine Vollmacht ausstellen. Ein Umschlag zur Wahrung des Briefgeheimnisses reicht allein nicht aus. Wenn der Dritte in der Praxis bekannt ist, liegt es in der Hand des Arztes, über die Aushändigung zu entscheiden.

Grundsätzlich gilt die ärztliche Schweigepflicht gegenüber allen Familienangehörigen. Der Arzt kann in Ausnahmefällen von einer mutmaßlichen Einwilligung ausgehen. Das wäre anzunehmen, wenn ein Kind für seinen Elternteil die Übersetzung übernimmt. Daher gibt es grundsätzlich kein Problem, wenn die Kinder in der Praxis bekannt sind, da sie ihre Eltern auch sonst bei Arztbesuchen begleiten. Auch wenn während des Telefonats die Patientinnen und Patienten selbst im Hintergrund anwesend sind und das Kind nur dolmetscht, gibt es kein Problem. Ansonsten müssen die Eltern eine Entbindung von der ärztlichen Schweigepflicht für das Kind ausstellen.

Wenn ein externer Dienstleister personenbezogene Daten nach Weisungen durch die Arztpraxis verarbeitet, müssen Praxen mit diesem einen Vertrag zur Auftragsverarbeitung (ggf. als Anlage zum Hauptvertrag) abschließen. Dies ist insbesondere in folgenden Fällen notwendig:

• Wartung/Fernwartung der Praxissoftware
• Vernichtung von Akten und Datenträgern durch einen externen Dienstleister
• Terminvergabe durch Externe (beinhaltet nicht die Terminservicestellen der KV Nordrhein)
• Nutzung von Cloud-Systemen
• Weitergabe von Körpermaterial an ein externes Labor

Praxen sollten diesbezüglich die Dienstleister ansprechen und um die Zusendung eines Entwurfes bitten.

Folgende Inhalte sollte der Vertrag zur Auftragsverarbeitung enthalten:

• Gegenstand und Dauer der Verarbeitung
• Art und Zweck der Verarbeitung
• Art der personenbezogenen Daten und Kategorien betroffener Personen
• Rechte und Pflichten des Auftraggebers sowie dessen Weisungsbefugnisse
• Verpflichtung der zur Verarbeitung berechtigten Personen zur Vertraulichkeit
• Benennung der technischen und organisatorischen Maßnahmen, die das Unternehmen zum Schutz personenbezogener Daten durchführt (z.B. Einhaltung von Vorgaben der ISO/IEC 27001)
• Verpflichtung des Auftragnehmers zur Unterstützung des Auftraggebers bei:
  • Anfragen und Ansprüchen Betroffener im Zusammenhang mit der Auftragsverarbeitung
  • der Meldepflicht bei Datenschutzverletzungen und der Daten-schutz-Folgenabschätzung
• Rückgabe oder Löschung personenbezogener Daten nach Abschluss der Auftragsverarbeitung
• Verpflichtung des Auftragnehmers, dem Auftraggeber alle Informationen zum Nachweis der Einhaltung der datenschutzrechtlichen Pflichten bereitzustellen. Möglich ist auch eine Überprüfung oder Inspektion durch einen vereinbarten Prüfer.

Die Beauftragung dieser Berufsgruppen ist keine Auftragsverarbeitung, sondern die Inanspruchnahme fremder Fachleistungen bei einem eigenständig Verantwortlichen mit einem eigenständigen Beratungsvertrag zwischen Kanzlei und Mandant, und nicht als Auftragsverarbeitung im Sinne der DSGVO zu sehen, da die Leistungen weisungsfrei durch die Dienstleister erbracht werden.

Die Weitergabe der Abrechnungsdaten und somit auch der Daten von Patientinnen und Patienten an die Kassenärztliche Vereinigung Nordrhein erfolgt gemäß § 295 SGB V aufgrund gesetzlicher Verpflichtung und bedarf daher keines Vertrages zur Auftragsverarbeitung. Dasselbe gilt für die Übermittlung von Daten an die gesetzlichen Krankenkassen.

Wenn eine Patientin oder ein Patient sich in das DMP-Programm einschreibt, willigt sie oder er auch in die Datenübertragung an die DMP-Stelle ein. Eine gesonderte Auftragsverarbeitung ist nicht notwendig.

Die Übermittlung von Unfallberichten an die Berufsgenossenschaft ergibt sich aus einer berufsrechtlichen Pflicht. Eine Auftragsverarbeitung ist daher nicht notwendig.

Vertragsärztinnen und -ärzte müssen Anfragen der gesetzlichen Krankenkassen oder des MDK beantworten – allerdings nur dann, wenn diese bestimmte formale und inhaltliche Anforderungen erfüllen. Wenn die Anfragen nicht auf den vereinbarten Vordrucken gestellt werden, kann eine Praxis die Antwort unter Umständen verweigern, um Verstöße gegen die ärztliche Schweigepflicht auszuschließen.

Tipps zum Umgang mit Kassen-Anfragen

Muster für Antwortschreiben bei unzulässigen Kassenanfragen

Damit Sie wissen, wie ein richtiger, für diesen Zweck vereinbarter, nicht individualisierter Vordruck aussieht, hat die KBV eine Sammlung aller verbindlicher Muster zusammengestellt, von denen grundsätzlich nicht abgewichen werden darf. Wenn Kassen oder der MDK anfragen, sollten sie dafür vor allem die Muster 11, 52 und 86 nutzen.

Vordruck-Sammlung der KBV (PDF)

Die Bennenung ist verpflichtend ab 20 Beschäftigten in der Praxis, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Dazu gehören:

• Praxisinhabende
• angestellte Ärztinnen und Ärzte
• Praxispersonal inkl. Auszubildende

unabhängig davon ob sie in Voll- oder Teilzeit beschäftigt sind.

Wenn in Praxen eine Datenschutz-Folgenabschätzung notwendig ist, muss unabhängig von der Anzahl des Praxispersonals ebenfalls ein Datenschutzbeauftragter benannt werden.

Praxisgemeinschaften sind rechtlich selbstständige Organisationseinheiten und werden daher auch einzeln betrachtet. Wenn sich die Praxisgemeinschaft aber auch das Personal teilt, muss dieses mehrfach gezählt werden.

Die Praxis kann einen externen Datenschutzbeauftragten oder eine Datenschutzbeauftragte benennen oder eine Person aus dem Praxisteam dazu benennen, ausgenommen die Praxisinhabenden selbst. Bei der Benennung eines oder einer internen Datenschutzbeauftragten ist diese Person weisungsfrei und in der Ausführung dieser Aufgabe durch die Praxisinhabenden zu unterstützen. Sie muss über die notwendige Fachkunde und Zuverlässigkeit verfügen.

Das Gesetz macht bezüglich der Fachkunde keine klaren Vorgaben. Zur Fachkunde gehören die Kenntnis über die gesetzlichen Vorgaben (insbesondere DSGVO, bürgerliches Gesetzbuch und Strafgesetzbuch), daneben allgemeine IT-Kenntnisse und Kenntnisse über das eingesetzte Praxisverwaltungssystem.

Ferner sollte sich der oder die Datenschutzbeauftragte sich mit den organisatorischen Praxisabläufen auskennen und didaktische Fähigkeiten besitzen, da in der Regel die Aufgabe der Schulung und Sensibilisierung des Praxispersonals bei der Person angesiedelt ist.

Es gibt diesbezüglich keine verbindlichen Regelungen. Theoretisch kann das Wissen auch in einem reinen Selbststudium angeeignet werden. Empfehlenswert ist jedoch der Besuch eines Datenschutz-Seminars, wie es beispielsweise von der KV Nordrhein oder der Ärztekammer angeboten wird. Auch verschiedene TÜV-Gesellschaften bieten entsprechende Seminare an. Zertifikate oder Prüfungen sind nicht erforderlich.

Zu den wichtigsten Aufgaben der oder des Datenschutzbeauftragten gehören:

• Unterrichtung und Beratung des Verantwortlichen oder des Auftragsverarbeiters
• Überwachung der Einhaltung dieser Verordnung, anderer Datenschutzvorschriften
• Schulung und Sensibilisierung der mit der Datenverarbeitung betrauten Beschäftigten
• Beratung – auf Anfrage – im Zusammenhang mit der Datenschutz-Folgenabschätzung
• Durchführung von jährlichen Datenschutzaudits (empfohlen).

Die Benennung des oder der Datenschutzbeauftragten sollte schriftlich erfolgen. Die Benennung muss zwingend der LDI NRW als Landesdatenschutzbehörde gemeldet werden.

Es gibt verschiedene Kontaktmöglichkeiten:

Allgemeine Adresse, Telefonnummer und E-Mailadresse

Kontaktpersonen für spezielle Themen

Portal zur Meldung von Datenschutzbeauftragten

Datenpannen, wie beispielsweise Hackerangriffe sowie Datenschutzverstöße müssen der zuständigen Aufsichtsbehörde innerhalb von 72 Stunden gemeldet werden. Praxen sollten schriftlich festlegen, wer für die Meldung zuständig ist.

Praxen, die eine Internetseite oder auch einen Social-Media-Account betreiben, müssen darauf achten, dass diese eine Datenschutzerklärung beinhalten.

Diese Datenschutzerklärung muss individuell je nach Seiteninhalten angepasst werden, und innerhalb von zwei Klicks immer aufrufbar sein auch im Wartungszustand. Die Datenschutzerklärung muss dieselben Informationen enthalten wie die in den Informationspflichten. So müssen zum Beispiel alle Zwecke aufgeführt werden, zu denen Daten erhoben und verarbeitet werden. Auch die Rechtsgrundlage, auf der Daten verarbeitet werden, muss benannt sein.

Weiterhin muss ein Hinweis auf die Rechte der betroffenen Personen enthalten sein. An allen Stellen auf der Internetseite, wo Daten von Patientinnen und Patienten erhoben werden, wie etwa bei der Bestellung von Newslettern oder der Online-Terminvergabe müssen auch entsprechende Hinweise aufgenommen werden.

Hier finden Sie ein Muster für eine Datenschutzerklärung auf Ihrer Homepage:

Muster: Datenschutzerklärung auf der Homepage (PDF, 115 KB)

Muster: Datenschutzerklärung auf der Homepage (DOC, 35 KB)

Praxen sollten sich an ihre Anwaltskanzlei oder ihr Softwarehaus wenden. Die KV Nordrhein kann und darf keine detaillierten Fragen zur Internetseite und oder Social Media beantworten.