Datenschutz in der Arztpraxis: Von A bis Z!

Datenschutzverletzungen sind heutzutage häufig in den Nachrichten. Für Arztpraxen ist daher die Sicherheit von Patientendaten entscheidend. Jeder Vorfall könnte das Vertrauen der Patienten schädigen und zu schweren Strafen führen.

Die DSGVO fordert hohe Standards bei der Verarbeitung und Speicherung von Patienteninformationen. Diese Standards zu erfüllen, ist oft schwierig. Wie können Arztpraxen sicherstellen, dass sie die Regeln einhalten und das Vertrauen ihrer Patienten bewahren?

In diesem Beitrag erfahren Sie alles über Datenschutz best practices für Arztpraxen. Wir besprechen technische und organisatorische Strategien, die für die Sicherheit und Integrität von Daten unerlässlich sind. Entdecken Sie, wie Sie eine Datenschutzkultur in Ihrer Praxis schaffen, die den gesetzlichen Anforderungen gerecht wird und das Vertrauen Ihrer Patienten stärkt.

Angebote einholenMehr erfahren

Jetzt kostenlos anfragen!

Wir helfen Ihnen gerne

Christoph Bartram & Marvin Schön, Geschäftsführung

Was bedeutet Datenschutz in der Arztpraxis?

Der Datenschutz in der Arztpraxis ist ein fundamentaler Bestandteil des Vertrauensverhältnisses zwischen Patienten und medizinischem Personal. Er umfasst alle Maßnahmen, Richtlinien und gesetzlichen Vorgaben, die dazu dienen, persönliche und sensible Informationen der Patienten vor unberechtigtem Zugriff, Missbrauch oder Verlust zu schützen. In der medizinischen Praxis bezieht sich dies vor allem auf Gesundheitsdaten, die zu den besonderen Kategorien personenbezogener Daten zählen und daher unter eine strengere Schutzregelung fallen.

Mit der fortschreitenden Digitalisierung in Arztpraxen gewinnt der Datenschutz immer mehr an Bedeutung. Die Digitalisierung von Patientenakten, der Einsatz elektronischer Gesundheitskarten, digitale Kommunikationswege zwischen Ärzten und Patienten sowie die Nutzung von Cloud-Diensten für die Datenverarbeitung, insbesondere Cloud-Praxissoftware, stellen Praxisinhaber, Ärzte und medizinische Fachangestellte vor neue Herausforderungen. Der Schutz der Daten muss sowohl in physischer Form (Papierakten) als auch in digitaler Form gewährleistet sein. Dabei geht es nicht nur um die Sicherung der Daten vor externen Angriffen wie Hackerangriffen, sondern auch um den internen Umgang mit den Daten, um z.B. den Zugriff nur für befugtes Personal zu ermöglichen.

Für Arztpraxen bedeutet die Einhaltung des Datenschutzes nicht nur die Erfüllung gesetzlicher Anforderungen, sondern sie stärkt auch die Patientenbindung. Ein professioneller Umgang mit Patientendaten zeigt, dass die Praxis ihre Verantwortung für den Schutz dieser sensiblen Informationen ernst nimmt. Nutzen Sie den Datenschutz als strategische Praxismarketing-Maßnahme, um Ihre Corporate Identity zu schärfen und sich damit einzigartig von konkurrierenden Arztpraxen abzuheben. Darüber hinaus hilft eine klare Datenschutzstrategie dabei, potenzielle Risiken und Sicherheitslücken zu identifizieren und zu minimieren, was letztendlich der Sicherheit und dem Wohl der Patienten dient.

Welche rechtliche Grundlage hat der Datenschutz in der Arztpraxis?

Der Datenschutz in der Arztpraxis basiert auf einer Kombination aus europäischen und nationalen rechtlichen Grundlagen. Diese Regelwerke sind speziell darauf ausgerichtet, personenbezogene Daten zu schützen und den Umgang mit diesen Daten zu regeln. Im Folgenden sind die wichtigsten rechtlichen Grundlagen aufgeführt, die für den Datenschutz in der Arztpraxis relevant sind:

• Datenschutz-Grundverordnung (DSGVO): Als zentrale rechtliche Grundlage regelt die DSGVO seit 25. Mai 2018 den Datenschutz innerhalb der gesamten Europäischen Union. Die Verordnung setzt strenge Standards für die Verarbeitung personenbezogener Daten, einschließlich Gesundheitsdaten. Sie legt die Rechte der betroffenen Personen fest und definiert Pflichten für die Verantwortlichen, die personenbezogene Daten verarbeiten. Die DSGVO gilt für alle Arztpraxen in der EU, unabhängig von ihrer Größe.
• Bundesdatenschutzgesetz (BDSG): Das BDSG ergänzt und spezifiziert die DSGVO auf nationaler Ebene in Deutschland. Es enthält zusätzliche Regelungen, die speziell auf den deutschen Kontext zugeschnitten sind, und adressiert einige Aspekte, die in der DSGVO nicht im Detail geregelt sind. Das BDSG regelt unter anderem die Bestellung von Datenschutzbeauftragten, den Umgang mit besonderen Kategorien personenbezogener Daten und die Verarbeitung von Daten für Beschäftigungszwecke.
• Berufsordnungen der Ärztekammern: Die Berufsordnungen der Landesärztekammern enthalten spezifische Vorschriften zum Datenschutz, die für Ärzte gelten. Diese Regelungen basieren auf dem ärztlichen Berufsrecht und betonen insbesondere die ärztliche Schweigepflicht sowie den Umgang mit Patientendaten. Die ärztliche Schweigepflicht ist ein fundamentaler Bestandteil des Vertrauensverhältnisses zwischen Arzt und Patient und wird durch die Berufsordnungen zusätzlich zum allgemeinen Datenschutzrecht geschützt.
• Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG): Das TTDSG ist ein deutsches Gesetz, das den Datenschutz in den Bereichen Telekommunikation und Telemedien weiter präzisiert und harmonisiert. Es wurde geschaffen, um den spezifischen Anforderungen des digitalen Zeitalters gerecht zu werden und die Datenschutzregelungen für elektronische Kommunikationsdienste und Online-Angebote zu aktualisieren. Das Gesetz regelt insbesondere den Umgang mit Nutzerdaten und Cookies auf Praxiswebsites und in Apps und setzt damit konkrete Standards für den Datenschutz und die Datensicherheit im Internet. Für Arztpraxen, die digitale Dienste wie Online-Terminvereinbarungen, Telemedizin oder Patientenportale anbieten, bedeutet dies, dass sie klare und transparente Informationen über die Verwendung von Nutzerdaten bereitstellen und die Einwilligung der Nutzer in die Datenverarbeitung auf eine DSGVO-konforme Weise einholen müssen. 
• Gesetz zum Schutz elektronischer Patientendaten in der Telematikinfrastruktur (Patientendaten-Schutz-Gesetz – PDSG): Das PDSG, welches Teil des Digitale-Versorgung-Gesetzes (DVG) ist, konkretisiert den Umgang mit elektronischen Patientendaten in Deutschland. Es regelt unter anderem die Einführung der elektronischen Patientenakte (ePA) und setzt Rahmenbedingungen für die digitale Gesundheitsversorgung.
• Landesdatenschutzgesetze (LDSG): Die Landesdatenschutzgesetze, die jeweils in den einzelnen Bundesländern gelten, sind insbesondere für öffentliche Stellen der Länder, wie z.B. Universitätskliniken oder Landeskrankenhäuser, relevant, finden jedoch auch in bestimmten Kontexten Anwendung auf nicht-öffentliche Stellen, die landesspezifischen Regelungen unterliegen könnten. Die Landesdatenschutzgesetze ergänzen und konkretisieren die allgemeinen Datenschutzvorgaben auf Landesebene und können besondere Vorgaben für den Datenschutz im Gesundheitswesen enthalten. Für Arztpraxen, die direkt oder indirekt mit öffentlichen Stellen zusammenarbeiten oder spezielle landesspezifische Gesundheitsdienste anbieten, ist es daher wichtig, sich auch mit den relevanten Landesdatenschutzgesetzen vertraut zu machen und deren Vorgaben zu beachten.

Was fällt alles unter den Datenschutz?

• Personenbezogene Daten: Dies beinhaltet alle Informationen, die direkt oder indirekt einer natürlichen Person zugeordnet werden können, wie Name, Adresse, Telefonnummer, E-Mail-Adresse, Geburtsdatum, Sozialversicherungsnummer sowie sensible Daten wie Gesundheitszustand, Diagnosen, Behandlungsdaten und genetische Daten.
• (Externe) Verarbeitung von Daten: Jeder Vorgang, der mit personenbezogenen Daten durchgeführt wird, egal ob automatisiert oder nicht, wie das Erfassen, Speichern, Organisieren, Strukturieren, Anpassen oder Verändern, Auslesen, Abfragen, Verwenden, Übermitteln durch Weitergabe, Verbreiten oder eine andere Form der Bereitstellung, das Abgleichen oder Verknüpfen, das Einschränken, Löschen oder Vernichten.
  • Art. 28 DSGVO: Externe Dienstleister einer Arztpraxis (z. B. das Arztinformationssystem, eine Anamnese Software, eine Abrechnungsstelle, eine Videosprechstunde-Software usw.) sind Auftragsverarbeiter. Auftragsverarbeiter müssen hinreichend Garantien dafür bieten, dass auch sie die Anforderungen der DSGVO erfüllen.
  • Achten Sie bei der Auswahl eines externen Dienstleisters darauf, dass dieser nach ISO/IEC 27001 zertifiziert ist. 
  • Schließen Sie mit Ihrem externen Dienstleister einen Vertrag zur Auftragsverarbeitung, wenn dieser auf Patienten- oder Mitarbeiterdaten zugreifen kann. Nach Ablauf der Aufbewahrungsfrist müssen diese Daten/Akten vernichtet werden.
  • Mit Geheimnisträgern (Steuerberater, Rechtsanwalt) oder rein technischen Wartungsdienstleistern (reparieren der Heizung, Stromzufuhr, IT-Infrastruktur) müssen Sie keinen Vertrag zur Auftragsverarbeitung schließen.
• Datensicherheit (Art. 24 DSGVO): Technische und organisatorische Maßnahmen, die getroffen werden müssen, um die Sicherheit der Daten zu gewährleisten. Dazu gehören Maßnahmen wie Verschlüsselung, Zugangskontrollen, sichere Speicherung, regelmäßige Sicherheitsüberprüfungen und Maßnahmen zur Sicherstellung der Integrität und Verfügbarkeit der Daten.
• Rechte der betroffenen Person: Die DSGVO und andere Datenschutzgesetze räumen den Personen, deren Daten verarbeitet werden, bestimmte Rechte ein, wie das Recht auf Auskunft, Berichtigung, Löschung („Recht auf Vergessenwerden“), Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen die Verarbeitung ihrer Daten.
• Kooperation mit der Aufsichtsbehörde (Art. 31 DSGVO) und Meldung von Datenschutzverletzungen (Art. 33 DSGVO): Arztpraxen müssen im Falle einer Anfrage durch die Aufsichtsbehörde kooperativ sein und Datenschutzverletzungen unverzüglich, möglichst innerhalb von 72 Stunden, melden. 
• Datenschutzkonformität: Die Einhaltung gesetzlicher Vorgaben und Standards, einschließlich der Erstellung eines Verzeichnisses von Verarbeitungstätigkeiten, der Durchführung von Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) bei risikoreichen Verarbeitungsvorgängen (z. B. systematische Videoüberwachung der Arztpraxis) und der Meldung von Datenschutzverletzungen an die zuständigen Aufsichtsbehörden und betroffene Personen.
  • Art. 30 DSGVO: Arztpraxen müssen ein Verzeichnis über alle Verarbeitungstätigkeiten führen. In diesem Verzeichnis werden Vorgänge dokumentiert, bei denen personenbezogene Daten verarbeitet wurden.
• Datenschutzbeauftragter (Art. 37 DSGVO): In bestimmten Fällen, wie von der DSGVO vorgesehen, müssen Organisationen einen internen oder externen Datenschutzbeauftragten ernennen, der die Einhaltung der Datenschutzvorschriften überwacht und als Ansprechpartner für die Aufsichtsbehörden dient.
• Einwilligung und Datenschutzerklärungen: Die Notwendigkeit, eine klare und informierte Einwilligung von den Personen einzuholen, deren Daten verarbeitet werden, insbesondere bei der Verarbeitung besonderer Kategorien personenbezogener Daten wie Gesundheitsdaten. Datenschutzerklärungen müssen transparente Informationen darüber bereitstellen, wie personenbezogene Daten verarbeitet werden.

Technische und organisatorische Maßnahmen

Welche Rechte haben Patienten laut DSGVO?

• Recht auf Auskunft: Patienten haben das Recht, von der verantwortlichen Stelle zu erfahren, ob und welche personenbezogenen Daten von ihnen verarbeitet werden. Sie können eine Kopie dieser Daten anfordern.
• Recht auf Berichtigung: Sollten personenbezogene Daten unrichtig oder unvollständig sein, haben Patienten das Recht, deren Berichtigung oder Vervollständigung zu verlangen.
• Recht auf Löschung („Recht auf Vergessenwerden“): Unter bestimmten Bedingungen können Patienten die Löschung ihrer personenbezogenen Daten verlangen, beispielsweise wenn die Daten für die ursprünglichen Zwecke nicht mehr notwendig sind oder die Einwilligung zur Verarbeitung widerrufen wurde.
• Recht auf Einschränkung der Verarbeitung: In bestimmten Fällen haben Patienten das Recht, die Einschränkung der Verarbeitung ihrer Daten zu verlangen. Dies bedeutet, dass die Daten zwar gespeichert bleiben dürfen, aber nicht weiterverarbeitet werden dürfen.
• Recht auf Datenübertragbarkeit: Patienten haben das Recht, ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und diese Daten einem anderen Verantwortlichen zu übermitteln.
• Recht auf Widerspruch: Patienten haben das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung ihrer personenbezogenen Daten Widerspruch einzulegen.
• Recht auf Widerruf der Einwilligung: Wenn die Verarbeitung auf einer Einwilligung beruht, haben Patienten das Recht, ihre Einwilligung jederzeit zu widerrufen. Der Widerruf der Einwilligung berührt jedoch nicht die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung.
• Rechte in Bezug auf automatisierte Entscheidungsfindung einschließlich Profiling: Patienten haben das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung, einschließlich Profiling, beruhenden Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.

Häufige Fehler und Lösungen beim Datenschutz in der Arztpraxis

• Sorgen Sie für Diskretion bei (Telefon)-Gesprächen am Empfang.
  • Problem: Öffentliche Gespräche und unbeaufsichtigte Dokumente bergen das Risiko von Datenschutzverletzungen.
  • Lösung: Gewährleistung von Diskretionsabständen und durchgehende Besetzung des Empfangsbereichs zur Vermeidung unbefugter Einsichtnahme. Einsatz von Schallschutzmaßnahmen und visuellen Barrieren, um den Datenschutz weiter zu stärken.
• Stellen Sie eine verifizierbare Datenschutzeinwilligung sicher.
  • Problem: Mündliche Zustimmungen sind schwer nachweisbar und bergen Rechtsrisiken.
  • Lösung: Einsatz von Zettel und Schreiber oder digitaler Tools für schriftliche oder elektronische Einwilligungen sichert eine nachvollziehbare Dokumentation. Bereitstellung von vorausgedruckten Datenschutzeinwilligungsformularen oder Tablets am Empfang für eine effiziente und sichere Erfassung der Einwilligung.
  • Hinweis: Alle Verarbeitungsvorgänge, die zur Erfüllung des Behandlungsvertrages notwendig sind, können auf dieser Rechtsgrundlage durchgeführt werden, ohne dass eine gesonderte Einwilligung der Patienten erforderlich ist. 
• Führen Sie regelmäßige Mitarbeiterschulungen zum Datenschutz durch.
  • Problem: Fehlendes Datenschutzbewusstsein und Wissen unter dem Personal.
  • Lösung: Einrichtung eines fortlaufenden Schulungsprogramms, das die Bedeutung des Datenschutzes betont und praktische Richtlinien bietet. Eingliederung des Datenschutzes in das Qualitätsmanagement und die Gefährdungsbeurteilung, um eine kontinuierliche Verbesserung und Anpassung an neue Herausforderungen zu fördern.
• Verstärken Sie Ihre technischen Sicherheitsmaßnahmen.
  • Problem: Anfälligkeit für Cyberangriffe und Datenlecks durch schwache IT-Sicherheit.
  • Lösung: Implementierung fortgeschrittener Verschlüsselungstechniken, starker Authentifizierungsverfahren und regelmäßiger Software-Aktualisierungen für eine sichere Praxis-IT. Zugriffsrechte sollten streng geregelt und regelmäßig überprüft werden.
•  Gewährleisten Sie sichere Kommunikationswege.
  • Problem: Risiko der Offenlegung sensibler Informationen durch ungeschützte Kommunikationskanäle.
  • Lösung: Verwendung verschlüsselter Kommunikationsmittel für E-Mails und Telefongespräche. Sicherstellung, dass nur autorisiertes Personal Zugriff auf diese Kommunikationswege hat und dass eine klare Richtlinie für den Umgang mit Patienteninformationen besteht.
• Halten Sie Ihre Datenschutzerklärung aktuell und zugänglich.
  • Problem: Veraltete oder fehlende Datenschutzerklärungen untergraben das Patientenvertrauen.
  • Lösung: Regelmäßige Überprüfung und Aktualisierung der Datenschutzerklärung auf der Praxiswebsite. Klarheit und Zugänglichkeit der Erklärung verbessern, um Patienten vollständig über ihre Rechte und den Umgang mit ihren Daten zu informieren.

Was dürfen Arzthelferinnen am Telefon sagen?

Viele Arzthelferinnen geben in Praxen Patienteninformationen wie Termine, Medikation und Befunde am Telefon preis, ohne die Identität des Anrufers eindeutig zu verifizieren. Dieses Vorgehen steht im Widerspruch zur Datenschutz-Grundverordnung. Selbst das Abfragen von persönlichen Daten wie dem Geburtsdatum oder der Versichertennummer gewährleistet keine verlässliche Bestätigung der Identität des Anrufers.

Die Expertin Ingrid Gerlach, Vorsitzende des Bildungswerks für Gesundheitsberufe (BIG), betont das mangelnde Problembewusstsein bei Ärzten und medizinischen Fachangestellten bezüglich des Datenschutzes. Sie weist darauf hin, dass Daten nur herausgegeben werden dürfen, wenn der Patient zweifelsfrei identifiziert werden kann, was in der Praxis selten der Fall ist. Als sicherere Methode wird der Rückruf unter einer bereits im System hinterlegten Telefonnummer oder das Abfragen eines Passwortes/PINs vorgeschlagen, obwohl dies im Praxisalltag als umständlich empfunden werden kann.

Auch das Thema der Schweigepflichtsentbindung ist relevant, insbesondere im Kontext von Anfragen durch Angehörige. Gerlach kritisiert die oft zu allgemein gehaltenen Vordrucke für die Entbindung von der Schweigepflicht und empfiehlt die Verwendung von spezifischeren Formularen, die eine bewusste Entscheidung der Patienten ermöglichen.

Wann müssen Ärzte Daten löschen?

Ablauf der gesetzlichen Aufbewahrungsfristen

Nach dem Abschluss einer Behandlung beginnen gesetzlich festgelegte Aufbewahrungsfristen zu laufen. In Deutschland schreibt § 630f Abs. 3 BGB vor, dass Patientenakten mindestens zehn Jahre aufbewahrt werden müssen. Sind diese Fristen abgelaufen und stehen keine weiteren rechtlichen Anforderungen einer Löschung entgegen, können die Daten gelöscht werden. Zu bedenken ist jedoch, dass zivilrechtliche Ansprüche eines Patienten gegen einen Arzt gemäß § 199 Abs. 2 BGB erst nach 30 Jahren verjähren.

Anforderungen durch die betroffene Person

Gemäß Art. 17 DSGVO haben Patienten das Recht, die Löschung ihrer Daten zu verlangen. Dies gilt insbesondere dann, wenn die Daten für die ursprünglichen Zwecke nicht mehr notwendig sind, eine erteilte Einwilligung widerrufen wurde oder personenbezogene Daten unrechtmäßig verarbeitet worden sind. Allerdings kann dieses Recht durch gesetzliche Aufbewahrungspflichten oder die Notwendigkeit zur Verteidigung von Rechtsansprüchen eingeschränkt sein.

Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden, und der Verantwortliche ist verpflichtet, personenbezogene Daten unverzüglich zu löschen, sofern einer der folgenden Gründe zutrifft:

a) Die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder auf sonstige Weise verarbeitet wurden, nicht mehr notwendig.
b) Die betroffene Person widerruft ihre Einwilligung, auf die sich die Verarbeitung gemäß Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a stützte, und es fehlt an einer anderweitigen Rechtsgrundlage für die Verarbeitung.
c) Die betroffene Person legt gemäß Artikel 21 Absatz 1 Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe für die Verarbeitung vor, oder die betroffene Person legt gemäß Artikel 21 Absatz 2
d) Widerspruch gegen die Verarbeitung ein.
e) Die personenbezogenen Daten wurden unrechtmäßig verarbeitet.
f) Die Löschung der personenbezogenen Daten ist zur Erfüllung einer rechtlichen Verpflichtung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich, dem der Verantwortliche unterliegt.
g) Die personenbezogenen Daten wurden in Bezug auf angebotene Dienste der Informationsgesellschaft gemäß Artikel 8 Absatz 1 erhoben.

Art. 17 DSGVO: Recht auf Löschung („Recht auf Vergessenwerden“)

Wann dürfen Patientendaten übermittelt werden?

Einwilligung der betroffenen Person

Die wohl deutlichste Grundlage für die Übermittlung von Patientendaten ist die ausdrückliche Einwilligung des Patienten. Gemäß Artikel 6 Absatz 1 Buchstabe a der DSGVO ist eine Verarbeitung personenbezogener Daten rechtens, wenn die betroffene Person ihre Einwilligung zu einem oder mehreren spezifischen Zwecken gegeben hat. Die Einwilligung muss freiwillig, informiert und eindeutig sein.

Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen

Datenübermittlungen können auch erforderlich sein, um einen Vertrag, an dem die betroffene Person beteiligt ist, zu erfüllen oder um auf Anfrage der betroffenen Person vorvertragliche Maßnahmen durchzuführen (Art. 6 Abs. 1 Buchstabe b DSGVO). Dies kann z.B. bei der Übermittlung von Daten an eine Krankenversicherung der Fall sein.

Rechtliche Verpflichtungen

Eine weitere Grundlage für die Übermittlung von Patientendaten bietet Artikel 6 Absatz 1 Buchstabe c DSGVO. Demnach ist die Verarbeitung rechtmäßig, wenn sie zur Erfüllung einer rechtlichen Verpflichtung notwendig ist. Dies umfasst beispielsweise die Übermittlung von Daten an Gesundheitsbehörden im Rahmen der Meldepflicht bestimmter Erkrankungen (z. B. Geschlechtskrankheiten wie z. B.  Syphilis, Aids und Hepatits B).

Schutz lebenswichtiger Interessen

In Notfällen, wenn die Einwilligung der betroffenen Person nicht eingeholt werden kann, dürfen Daten auch ohne Einwilligung übermittelt werden, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen (Art. 6 Abs. 1 Buchstabe d DSGVO). Dies könnte z.B. bei einer medizinischen Notversorgung relevant sein.

Wahrnehmung einer Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt

Die Übermittlung kann auch gerechtfertigt sein, wenn sie für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde (Art. 6 Abs. 1 Buchstabe e DSGVO). Ein Beispiel hierfür ist die Gesundheitsüberwachung durch öffentliche Gesundheitseinrichtungen.

Berechtigte Interessen

Schließlich dürfen Daten übermittelt werden, wenn dies zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich ist, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen (Art. 6 Abs. 1 Buchstabe f DSGVO). Hierbei ist stets eine sorgfältige Abwägung erforderlich.

Müssen Patienten eine Datenschutzerklärung unterschreiben?

Nein, Patienten müssen keine Datenschutzerklärung unterschreiben. Die ärztliche Behandlung erfolgt auf der Grundlage eines Behandlungsvertrages. Dieser Vertrag bildet eine rechtliche Grundlage für die Verarbeitung personenbezogener Daten gemäß Artikel 9 Absatz 2 Buchstabe h) und Absatz 3 in Verbindung mit Artikel 6 Absatz 1 Satz 1 Buchstabe b) der DS-GVO.

Alle Verarbeitungsvorgänge, die zur Erfüllung des Behandlungsvertrages notwendig sind, können auf dieser Rechtsgrundlage durchgeführt werden, ohne dass eine gesonderte Einwilligung der Patienten erforderlich ist. Bei der Erhebung von Gesundheitsdaten im Rahmen einer Anamnese kann zudem von einer konkludenten Einwilligung durch die Teilnahme des Patienten an der Untersuchung ausgegangen werden.

Es ist allerdings zu beachten, dass die Weitergabe von Patientendaten an Dritte, wie zum Beispiel private Abrechnungsstellen, nicht automatisch durch den Behandlungsvertrag abgedeckt ist. Für solche Fälle ist eine explizite Einwilligung des Patienten erforderlich.
Wenn ein Patient die Datenschutzerklärung nicht unterschreibt, dann dürfen Ärzte die Behandlung nicht verweigern. Eine solche Praxis ist nicht mit der DSGVO vereinbar, so die Datenschutzaufsichtsbehörden des Bundes und der Länder.

Informationspflicht und Nachweispflicht

In der Praxis bedeutet dies, dass Patienten zwar über die Verarbeitung ihrer Daten informiert werden müssen, dies jedoch nicht zwingend durch eine schriftliche Datenschutzerklärung geschehen muss. Die Information kann auf verschiedene Weise erfolgen, beispielsweise durch einen Vermerk, konkret beschriebene Verfahrensabläufe, Informationsblätter/Merkblätter, Aushänge oder auch elektronisch. 

Darüber hinaus müssen Praxen in der Lage sein, den Nachweis zu erbringen, dass sie ihre Informationspflicht erfüllt haben. Dieser Nachweis ist jedoch nicht zwangsläufig an eine schriftliche Bestätigung durch den Patienten gebunden. 

Wie lange ist eine Datenschutzerklärung gültig?

Eine Datenschutzerklärung hat keine festgelegte Gültigkeitsdauer im Sinne eines „Verfallsdatums“. Stattdessen hängt die Gültigkeit der Einwilligung vom Kontext, dem Umfang der ursprünglichen Einwilligung und den Erwartungen der betroffenen Partei ab. Wenn sich die Verarbeitungsvorgänge beträchtlich ändern oder weiterentwickeln, wird die ursprüngliche Einwilligung als nicht länger gültig betrachtet, und es muss eine neue Einwilligung eingeholt werden. 

Der Europäische Datenschutzausschuss (EDSA) empfiehlt als bewährte Praxis, die Einwilligung in angemessenen Zeitabständen zu erneuern, um sicherzustellen, dass die betroffene Person gut darüber informiert bleibt, wie ihre Daten verwendet werden und wie sie ihre Rechte ausüben kann.

Welche Strafen können für Verstöße gegen die DSGVO in Arztpraxen verhängt werden?

Die Datenschutz-Grundverordnung ermächtigt nationale Aufsichtsbehörden, Bußgelder für Datenschutzverstöße zu verhängen. Diese Bußgelder können entweder zusätzlich zu oder anstelle von anderen Maßnahmen wie der Anordnung zur Beendigung des Verstoßes, der Anweisung zur Anpassung der Datenverarbeitung an die gesetzlichen Vorgaben oder dem Ausspruch eines zeitlich begrenzten bzw. endgültigen Verbots der Datenverarbeitung auferlegt werden. Wichtig ist, dass sowohl der Verantwortliche als auch der Auftragsverarbeiter für Verstöße direkt belangt werden können.

Die Höhe der Bußgelder soll in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sein. Bei der Festlegung der Sanktionen berücksichtigen die Aufsichtsbehörden einen gesetzlich festgelegten Kriterienkatalog. Faktoren, die zu einer Erhöhung der Strafe führen können, umfassen unter anderem die Vorsätzlichkeit des Verstoßes, das Versäumnis, Maßnahmen zur Minderung des entstandenen Schadens zu ergreifen, oder eine fehlende Zusammenarbeit mit der Aufsichtsbehörde.

Für besonders gravierende Verstöße sieht die DSGVO Bußgelder von bis zu 20 Mio. Euro oder, im Falle eines Unternehmens, bis zu 4% des weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres vor, je nachdem, welcher Betrag höher ist. Weniger schwerwiegende Verstöße können zu Geldbußen von bis zu 10 Mio. Euro oder, im Falle eines Unternehmens, bis zu 2% des weltweit erzielten Jahresumsatzes führen. Zusätzlich können Betroffene Schadensersatz, inklusive Schmerzensgeld für beispielsweise erlittene Rufschädigung, einfordern.

Verstöße können auf verschiedene Weisen ans Licht kommen, beispielsweise durch Überprüfungen der Aufsichtsbehörden, Beschwerden von Mitarbeitern oder Kunden, Selbstanzeigen des Unternehmens oder durch die Presse. Angesichts der potenziell hohen Bußgelder und der breiten Definition von „Unternehmen“ ist es für Arztpraxen von großer Bedeutung, die Anforderungen der DSGVO sorgfältig zu beachten und umzusetzen.

Gerichtsurteile im Kontext der Datenschutz-Grundverordnung

Nachfolgend haben wir einige datenschutzrelevante Gerichtsurteile, die für Arztpraxis von Interesse sind, kurz zusammengefasst:

FAQ

__________

Zusätzliche Quellen:

• https://dsgvo-gesetz.de/
• https://www.gesetze-im-internet.de/bdsg_2018/
• https://www.kbv.de/media/sp/Praxisinformation_Datenschutz_DSGVO.pdf

Weitere Beiträge

Gefährdungsbeurteilung in der Arztpraxis: Ihr Leitfaden

Ärztliche Schweigepflicht: Informationen für Ärzte + Patienten

Gesetzliche Aufbewahrungsfristen in der Arztpraxis