- O2R18 Information für Arztpraxen

IMS Services Datenschutz

Datenschutzinformationen für Arztpraxen

Datenschutzbeauftragte Person (DSB)

In der Arztpraxis findet in aller Regel keine umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten statt, die zu einer Benennungspflicht führt. Es ist daher ein Datenschutzbeauftragte(r) (DSB) nur zu benennen, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. „Ständig beschäftigt“ ist z. B. die Sprechstundenhilfe. „Nicht ständig beschäftigt“ ist dagegen beispielsweise, wer als Putzkraft theoretisch Daten zur Kenntnis nehmen kann. Trotzdem müssen nicht nur alle Vorgaben der EU-DSGVO erfüllt und umgesetzt werden, sondern eingesetzte Fachkräfte entsprechend aus- und weitergebildet werden. Eine freiwillige Beauftragung eines DSB kann daher sehr nützlich sein.

Patienteninformation

Jeder Verantwortliche hat den betroffenen Personen schon bei der Datenerhebung bestimmte Informationen über die Verarbeitung ihrer Daten zu geben. Zumindest muss er darauf hinweisen, wo die Informationen leicht zugänglich sind (z. B. Flyer, Aushang, Homepage). Die betroffenen Personen haben auch das Recht, Auskunft über die Verarbeitung ihrer Daten zu erhalten. Um alle Patienten zu erreichen, empfiehlt sich ein Aushang in der Praxis oder ein Informationsblatt, das im Wartezimmer ausgelegt wird. Die Patienteninformation kann zusätzlich auf der Homepage der Praxis veröffentlicht werden. Eine persönliche Information, zum Beispiel bei der ersten Kontaktaufnahme am Telefon, ist aber nicht erforderlich.

Verzeichnis der Verarbeitungstätigkeiten

Arztpraxen gehen mit gesundheitsbezogenen Daten um und müssen ein Verzeichnis ihrer Verarbeitungstätigkeiten führen. Darin werden Tätigkeiten beziehungsweise Vorgänge erfasst, bei denen in der Praxis personenbezogene Daten verarbeitet werden. Die Aufstellung und Beschreibung der Tätigkeiten ist auf Verlangen der Aufsichtsbehörde bereitzustellen. Liegt kein Verzeichnis vor, drohen Geldstrafen.

Auftragsverarbeitung; Anpassung der bestehenden Verträge

Immer dann, wenn ein externer Dienstleister auf Patienten- oder Mitarbeiterdaten zugreifen kann, ist der Abschluss eines Vertrages zur Auftragsverarbeitung (als Anlage zum Hauptvertrag) erforderlich.

Datenschutz-Folgeabschätzung (Beispiel: Telemedizin)

Da auch bei Gesundheitsdaten nicht immer ein hohes Risiko bei der Datenverarbeitung besteht, muss nur in Ausnahmefällen eine Datenschutz-Folgeabschätzung vorgenommen werden. Vorstellbar ist dies bei telemedizinischen Verfahren, bei denen eine hohe Anzahl von Gesundheitsdaten über neue Technologien verarbeitet, neue Geschäftsfelder eröffnet oder über das Internet kommuniziert werden. Das Risiko definiert sich dabei nicht ausschließlich an der Menge oder an der Art der Daten, sondern besonders am Informationsgehalt über den einzelnen Betroffenen, der sich aus ihrer Verarbeitung und dem Kontext ergibt. (z. B. Profiling, Scoring, Tracking etc.)

Wichtige Fragen und Antwort zum Datenschutz im Praxisalltag

Muss ich von meinen Patienten eine Vereinbarung zur Datenverarbeitung unterschreiben lassen?

Nein. DSGVO erlaubt die Verarbeitung von Gesundheitsdaten u. a. dann, wenn diese für Zwecke der Gesundheitsvorsorge, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheitsbereich oder aufgrund eines Vertrages mit einem Angehörigen eines Gesundheitsberufes erforderlich ist. Diese Daten müssen gemäß DSGVO von Fachpersonal oder unter dessen Verantwortung verarbeitet werden und dieses Fachpersonal muss dem Berufsgeheimnis unterliegen.

Diese Voraussetzungen sehen wir in einer Arztpraxis als erfüllt an, so dass eine Einwilligung des Betroffenen / Patienten nicht erforderlich ist. Zum einen ist die Verarbeitung personenbezogener Daten für die medizinische Diagnostik notwendig, zum anderen besteht zwischen Arzt und Patient ein Behandlungsvertrag, weshalb die Datenerhebung (Verarbeitung) auch durch § 630 f BGB zwingend vorgeschrieben ist.

Besteht zwischen einem externen Betriebsarzt und der ihn beauftragenden Firma ein Auftragsdatenverarbeitungsverhältnis gemäß Art. 28 EU-DSGVO?

Der Betriebsarzt eines betriebsärztlichen Dienstes wird vom Unternehmer schriftlich bestellt (externer Arzt oder Angestellter des Unternehmens) und ist diesem direkt unterstellt. Eine Weisungsbefugnis gegenüber den Mitarbeitern ergibt sich hieraus nicht, sodass keine Auftragsdatenverarbeitung gemäß EU-DSGVO vorliegt und somit auch kein Verzeichnis von Verarbeitungstätigkeiten (Art. 30 EU-DSGVO) geführt werden muss.

Darf ich nach der DSGVO weiterhin personenbezogene Daten via E-Mail, Telefax und / oder WhatsApp versenden?

Es ist dringend zu empfehlen, bei der Kommunikation mit den Patienten via E-Mail eine Verschlüsselung vorzusehen, da andernfalls die sensiblen Patientendaten nicht End-zu-End verschlüsselt und damit letztendlich wie eine Postkarte für Dritte einsehbar sind. Es sollte daher streng darauf geachtet werden, welche Informationen über den „normalen“ E-Mail-Weg verschickt werden. Unproblematisch sind sicherlich Inhalte zur Praxisorganisation, die eventuell auch auf der Website der Arztpraxis auffindbar sind. Auch Terminerinnerungen oder reine Terminvereinbarungen sind weniger kritisch, wenn sie keine Hinweise auf die Art der Untersuchung enthalten und zuvor das Einverständnis des Patienten eingeholt wurde. Deshalb ist auch in solchen Fällen zu beachten, dass Terminvereinbarungen, aus denen der Grund des Arztbesuches hervorgeht, vertraulich sind. Daher sollte insbesondere auch das Praxispersonal für einen datenschutzkonformen Umgang mit Patientendaten sensibilisiert werden.

Grundsätzlich ist auch bei der Versendung von Patientendaten per Fax eine besondere Sorgfalt anzuwenden, da es sich auch hierbei um eine Art „offene Zustellung“ handelt. Soweit dennoch im Einzelfall Patientendaten per Fax versandt werden sollen, muss zwingend beim Versenden der Patientendaten sichergestellt sein, dass nur der Empfänger selbst oder ausdrücklich dazu ermächtigte Dritte Kenntnis vom Inhalt des Schreibens erhalten. Dies gilt insbesondere dann, wenn ärztliche Mitteilungen an den Patienten gefaxt werden (in dessen Wohnung beziehungsweise an dessen Arbeitsplatz). Diese Sicherung kann zum Beispiel durch Ankündigung der Übersendung beim Empfänger erreicht werden. Wichtig ist ebenfalls, dass regelmäßig gespeicherte Fax-Rufnummern überprüft werden.

Bitte beachten Sie:

Eine Fehlzustellung bei der Übertragung von Telefaxen mit besonders schutzwürdigem Inhalt, wie beispielsweise medizinische Daten, kann gravierende Folgen für den Absender, Empfänger und den Betroffenen haben. Deshalb sollte zumindest in diesen Fällen eine unverschlüsselte Datenübertragung unterbleiben. Auch der Kommunikationsweg über WhatsApp ist nicht zu empfehlen. Laut der neuen Richtlinie dürfen Ärzte und Arbeitgeber Messenger-Dienste nur anwenden, wenn die Datensicherheit und der Schutz vor unberechtigten Datenzugriffen sichergestellt sind. Dies ist bei WhatsApp gerade nicht der Fall, da die App sich den Zugang zu den Kontakten beziehungsweise zum Adressbuch der User verschafft.

Sollten Sie alternative Kommunikations-Apps verwenden wollen ist dringend zu empfehlen, sich vor Nutzung mit der zuständigen Datenschutzaufsicht in Verbindung zu setzen, um dies überprüfen zu lassen.

Müssen die Mitarbeiter in einer Arztpraxis zum Datengeheimnis verpflichtet werden?

Die DSGVO enthält zwar keine ausdrückliche Regelung zur Verpflichtung von Mitarbeitern auf das Datengeheimnis, jedoch hat jeder Verantwortliche die Pflicht, seine Mitarbeiter entsprechend anzuweisen. Die Datenschutzaufsicht empfiehlt deshalb, die Mitarbeiter nachweisbar über ihre Pflichten nach der DSGVO zu unterrichten.

Wie muss eine datenschutzrechtskonforme Vereinbarung bei einer Praxisgemeinschaft nach Art. 26 DSGVO (gemeinsam Verantwortliche) aussehen?

Die Datenschutzkonferenz (DSK) hat ein Kurzpapier herausgegeben, das als Hilfestellung für eine Vereinbarung nach Art. 26 DSGVO dienen soll. Daraus geht hervor, dass insbesondere folgende Punkte in einer solchen Vereinbarung zwingend mitaufgenommen werden müssen:

Festhalten der Vertragsparteien
Aufgabenbeschreibung mit Abgrenzung, welcher Verantwortliche welche Aufgabe übernimmt
Festlegung des Zwecks und der Mittel der Datenverarbeitung
Pflichten der jeweiligen Vertragspartei

Die Vereinbarung sollte außerdem zwingend die tatsächlichen Funktionen und Beziehungen der gemeinsamen Verantwortlichen gegenüber der betroffenen Person widerspiegeln. Des Weiteren sollte eine interne Ausgleichsregelung für den Fall getroffen werden, dass ein Verantwortlicher wegen des Fehlers des anderen von der betroffenen Person aufgrund von Art. 26 Abs. 3 DSGVO in Anspruch genommen wird.

Müssen Arztpraxen die Patienteninformation zum Datenschutz von den Patienten unterschreiben lassen?

Nein, nach DSGVO ist die Verarbeitung von Gesundheitsdaten u. a. dann erlaubt, wenn diese für Zwecke der Gesundheitsvorsorge, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheitsbereich oder aufgrund eines Vertrages mit einem Angehörigen eines Gesundheitsberufes erforderlich ist. Diese Daten müssen gemäß DSGVO von Fachpersonal oder unter dessen Verantwortung verarbeitet werden und dieses Fachpersonal muss dem Berufsgeheimnis unterliegen. Diese Voraussetzungen sehen wir, in einer Arztpraxis als erfüllt an, so dass eine Einwilligung des Betroffenen / Patienten nicht erforderlich ist. Zum einen ist die Verarbeitung personenbezogener Daten für die medizinische Diagnostik notwendig, zum anderen besteht zwischen Arzt und Patient ein Behandlungsvertrag, weshalb die Datenerhebung (Verarbeitung) auch durch § 630 f BGB zwingend vorgeschrieben ist.

Brauche ich eine schriftliche Einwilligung des Patienten für die Einbeziehung einer privaten Verrechnungsstelle?

Ja, in diesen Fällen müssen Praxen nachweisen können, dass die Patienten eine Einwilligungserklärung zur Datenweitergabe unterschrieben haben. Zu beachten ist, dass seit dem 25. Mai 2018 Einwilligungserklärungen den Hinweis erhalten müssen, dass der Patient sein Einverständnis jederzeit widerrufen kann.

Muss ich nach der DSGVO 2018 von jedem Patienten, der mir mit einem gültigen Überweisungsschein zugewiesen wird, einen Verarbeitungsvertrag für personenbezogene Daten unterschreiben lassen?

Nein. Der Abschluss eines Vertrages zur Auftragsverarbeitung ist immer nur dann notwendig, wenn Dritte als Dienstleister die personenbezogenen Daten im Auftrag des Verantwortlichen verarbeiten, z. B. die Praxissoftware warten oder Akten- und Datenträger nach Ablauf der Aufbewahrungsfrist vernichten.

Müssen eigene Patienten eine Einverständniserklärung zur Weitergabe unterschreiben, wenn ich Befunde, z. B. Laborwerte oder selbst erhobene Befunde, an andere Kollegen weiterleiten möchte?

Für die Weitergabe an Dritte ist auf das Informationsblatt der Bundesärztekammer und der KBV hinzuweisen. Darin finden Sie unter Punkt 2.4.1 die Voraussetzungen für eine Einwilligung zur Datenweitergabe. Im Grundsatz gilt hier, dass eine Weitergabe nur mit Einwilligung erfolgen kann, wobei eine Schriftform nicht in jedem Fall notwendig ist und konkludentes Verhalten ausreichen kann. In Zweifelsfällen ist zu Beweiszwecken eine schriftliche Einwilligung empfehlenswert.

Ist bei der Beauftragung eines Labors ein Auftragsverarbeitungsvertrag zu schließen?

Nein. Der behandelnde Arzt beauftragt das Labor mit stillschweigender Vollmacht (sog. Innenvollmacht) des Patienten mit Laboruntersuchungen. Der Vertrag über die Laboruntersuchung wird also unmittelbar zwischen Patient und Laborarzt geschlossen, d. h. nicht der behandelnde Arzt schließt den Vertrag mit dem Labor, sondern der Patient, vertreten durch den behandelnden Arzt. Der behandelnde Arzt übermittelt die Patientendaten daher nicht selbst als verantwortliche Stelle, sondern als Vertreter des Patienten.

Da es nicht zu einer Datenübermittlung durch den behandelnden Arzt im rechtlichen Sinne kommt, benötigt der behandelnde Arzt auch keine datenschutzrechtliche Einwilligung des Patienten. Es bedarf daher auch keines Vertrags zur Auftragsdatenverarbeitung nach DSGVO. Bei der Erteilung von Laboraufträgen handelt es sich nicht um eine Auftragsverarbeitung, weil es sich bei der laborärztlichen Tätigkeit um eine Tätigkeit „höherer Art“ handelt, die der strengen Weisungsgebundenheit der Auftragsdatenverarbeitung fremd ist. Die unabhängigen Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz, DSK) stellen hierzu in ihrem Kurzpapier Nr. 13 allerdings fest, dass ein Austausch zwischen Berufsgeheimnisträgern (§ 203 StGB) keine Auftragsdatenverarbeitung nach Art. 28 DSGVO darstellt. Die Überweisung der Labortätigkeit ist für Kassenpatienten wie bisher nach SGB V mit den Überweisungsscheinen abschließend geregelt. Für Patienten ist weiterhin eine schriftliche Information zur Proben- und Datenweitergabe an das Labor erforderlich.

Wer ist die in der Patienteninformation anzugebende Aufsichtsbehörde?

Die Landesämter für Datenschutz überwachen die Einhaltung des Datenschutzrechts im nicht-öffentlichen Bereich, das heißt, in den privaten Wirtschaftsunternehmen, bei den freiberuflich Tätigen, in Vereinen und Verbänden sowie im Internet. Die Adresse Ihres zuständigen Landesamtes finden Sie hier:

LINK: https://www.datenschutzkonferenz-online.de/datenschutzaufsichtsbehoerden.html

Dürfen Auskünfte an Apotheken zu ausgestellten Rezepten erteilt werden?

Gemäß § 17 Abs. 5 Apothekenbetriebsordnung (ApBetrO) müssen die abgegebenen Arzneimittel den Verschreibungen und den damit verbundenen Vorschriften des Sozialgesetzbuch V (SGB V) zur Arzneimittelversorgung entsprechen. Enthält eine Verschreibung einen für den Abgebenden erkennbaren Irrtum, ist sie nicht lesbar oder ergeben sich sonstige Bedenken, so darf das Arzneimittel nicht abgegeben werden, bevor die Unklarheit beseitigt ist.

Daher dürfen auch weiterhin Anfragen von Apotheken zu ausgestellten Rezepten beantwortet werden, auch dann, wenn diese telefonisch erfolgen. In einem solchen Fall ist aber sicherzustellen, dass die Nachfrage auch tatsächlich aus der Apotheke kommt, die der Patient zur Einlösung der Verordnung aufgesucht hat. Einer Schweigepflichtentbindungserklärung bedarf es nicht.

Ist es weiterhin möglich, dass Schülerinnen und Schüler ihr Praktikum in einer Arztpraxis ableisten?

Ja, wenn die betreffenden Patienten hierüber aufgeklärt und ihre ausdrückliche Einwilligung erklärt haben. Wichtig ist hierbei, dass selbstverständlich auch die Praktikanten zur Einhaltung der datenschutzrechtlichen Anforderungen nach der Datenschutz-Grundverordnung (DS-GVO) verpflichtet und unterrichtet werden.

Inwieweit ist der Einsatz von Cloud-Computing in der Arztpraxis zulässig?

Ja, wenn die datenschutzrechtlichen Vorgaben nach der Datenschutz-Grundverordnung (DS-GVO) beachtet werden. Nach den „Hinweise und Empfehlungen zur ärztlichen Schweigepflicht, Datenschutz und Datenverarbeitung“ der Bundesärztekammer und der Kassenärztlichen Bundesvereinigung ist eine externe Verarbeitung (u. a. Speicherung, Archivierung etc.) von Patientendaten außerhalb des eigenen Praxisverwaltungssystems grundsätzlich als möglich erachtet worden. Dabei sind aber, wie unter Punkt 5.2. der technischen Anlagen aufgeführt, sehr strenge rechtliche Vorgaben zu beachten (vgl. § 203 Abs. 3 S. 2 StGB und ggf. Artikel 28 DS-GVO).

Es ist davon auszugehen, dass in der Regel eine Fallkonstellation vorliegt, die den Abschluss eines Vertrags zur Auftragsverarbeitung erfordert. Problematisch im Hinblick auf den Abschluss eines DS-GVO konformen Vertrages zur Auftragsverarbeitung im Sinne der DSGVO erscheint dabei insbesondere die Feststellung der Zuverlässigkeit sowie die Durchführung wirksamer Kontrollen. Jedenfalls solange keine sinnvollen, ausreichend umfassenden Zertifizierungen in diesem Sektor vorliegen, kann sich dies, je nach Dienstleistung, schwierig gestalten. Gefährdungspotenzial ist hier unter anderem dann vorhanden, wenn der Auftragsverarbeiter in einem Drittland niedergelassen ist. Eine besonders sorgfältige Auswahl der Auftragsverarbeiter ist hier gerade auch im Hinblick auf die Art der verarbeiteten Daten unabkömmlich. Zurückhaltung ist auch geboten in Bezug auf die von Dienstleistern häufig versprochenen angeblichen Anonymisierungen, welche sich nach unserer Erfahrung häufig als Pseudonymisierungen entpuppen und darüber hinaus insbesondere bei vielen Arten ärztlicher Dokumentation technisch schwierig umsetzbar sind.

Das BayLDA ist der Auffassung, dass je nach eingesetztem Produkt, durchaus häufig von einem hohen Risiko bei dem Einsatz von Cloud-Diensten ausgegangen werden muss, weshalb der Einsatz von Cloud-Lösungen häufig die Durchführung einer Datenschutzfolgenabschätzung auslöst.

Anfragen von gesetzlichen Krankenkassen – Wann bedarf es der Einverständniserklärung des Patienten?

Ergänzend zu den gesetzlichen Grundlagen, regeln die zwischen der Kassenärztlichen Bundesvereinigung (KBV) und den Spitzenverbänden der Krankenkassen geschlossenen Bundesmantelverträge (BMV), einschließlich der Vordruckvereinbarungen, die Modalitäten zur Auskunftserlaubnis und -verpflichtung gegenüber Krankenkassen. Danach ist der Vertragsarzt grundsätzlich berechtigt und verpflichtet, den Krankenkassen für die Erfüllung ihrer gesetzlichen Aufgaben Auskünfte zu erteilen.

Aufbewahrungsfristen für Arztpraxen

Kontaktformular

Suche

Externe Inhalte