Datenschutz in der Arztpraxis

Was müssen Sie beim Thema Datenschutz in der Arztpraxis beachten? Hier erfahren Sie, wann Sie einen Datenschutzbeauftragten brauchen und welche Pflichten Sie als Arzt erfüllen müssen. Außerdem erklären wir, welche Strafen bei Verstößen gegen die DSGVO drohen.

Nutzen Sie auch unsere Vorlagen rund um die Datenschutzerklärung und die Praxishomepage, die Sie am Seitenende downloaden können.

Seit 2018 gilt die EU-Datenschutz-Grundverordnung (EU-DSGVO) in jedem Mitgliedsstaat der Europäischen Union. Die EU-DSGVO schafft einheitliche Regeln für

• die ganz und teilweise automatisierte Verarbeitung personenbezogener Daten
• die nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden

Ärzte verarbeiten personenbezogene Daten. Darum gilt die DSGVO auch für sie – ohne Ausnahme und unabhängig von der Anzahl der Mitarbeiter oder Patienten in der Arztpraxis. Auch das Bundesdatenschutzgesetz (BDSG) gilt weiterhin.

Wenn Sie mehr über die speziellen Anwendungsbereiche der DSGVO in der Arztpraxis erfahren wollen, zum Beispiel die Impressumspflicht auf der Homepage oder die fachgerechte Entsorgung von Patientenakten, laden Sie unsere Praxisinfos herunter.

Nutzen Sie auch unsere Vorlagen zur Verschwiegenheitserklärung für Mitarbeiter und externe Dienstleister. Bei Fragen zum neuen Datenschutzrecht hilft Ihnen unsere kostenlose Rechtsberatung für Mitglieder gerne weiter. Regelmäßig veranstalten wir auch Online-Seminare zum Datenschutz.

Jetzt anmelden

Daten dürfen nur verarbeitet werden, wenn die betroffene Person ausdrücklich einwilligt oder eine gesetzliche Grundlage besteht. Das kann zum Beispiel der Behandlungsvertrag zwischen Arzt und Patient sein.

In Artikel 9 der DSGVO heißt es, dass Gesundheitsdaten als besondere Kategorie sensibler Daten speziell geschützt werden müssen. Die Verarbeitung dieser Gesundheitsdaten ist aber speziell für medizinische Zwecke in der Arztpraxis ausdrücklich erlaubt.

Für alle Verarbeitungsvorgänge außerhalb des Behandlungsvertrages ist eine gesonderte schriftliche Einwilligungserklärung notwendig, also z. B. wenn Sie Patientendaten an ein privates Abrechnungs-Unternehmen übermitteln. Die Praxis muss nachweisen können, dass eine solche Einwilligungserklärung vorliegt.

Folgende Informationen rund um die Datenverarbeitung müssen Ärzte ihren Patienten geben. Sie können dafür ein Formular nutzen.

• Namen und Kontaktdaten des Verantwortlichen und ggfs. des Datenschutzbeauftragten (z. B. E-Mail-Adresse)
• Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung (also die ärztliche Behandlung)
•  ggfs. Empfänger der personenbezogenen Daten (z. B. die Kassenärztliche Vereinigung)
• ggfs. Absicht des Verantwortlichen, die gespeicherten Daten an ein Drittland oder eine internationale Organisation zu übermitteln
• Kategorien personenbezogener Daten, die verarbeitet werden, sofern die Daten nicht direkt beim Patienten erhoben werden

Als Praxisinhaber müssen Sie darüber hinaus weitere Informationen zur Verfügung stellen. Dafür reicht ein Aushang in der Arztpraxis oder ein Hinweis auf der Praxiswebseite:

• Dauer der Speicherung oder Kriterien für die Festlegung dieser Dauer
• Recht auf Auskunft, Berichtigung, Löschung oder Einschränkung der Verarbeitung
• Widerspruchsrecht gegen die Verarbeitung
• Recht auf Datenübertragung
• Recht, die Einwilligung jederzeit zu widerrufen
• Beschwerderecht bei einer Aufsichtsbehörde (Landesbeauftragter für den Datenschutz)
• ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist
• Verpflichtung, die Daten bereitzustellen, bzw. Folgen bei Nichtbereitstellung
• ggfs. Informationen zu automatisierter Entscheidungsfindung und Profiling

Für die Datenschutzerklärung auf Ihrer Homepage können Sie sogenannte „Datenschutz-Generatoren“ im Internet einsetzen. Die Textbausteine der Muster-Datenschutzerklärung lassen sich schnell und einfach an die technischen Bedingungen Ihrer Praxiswebseite anpassen.

Falls Patienten von ihrem Auskunftsrecht Gebrauch machen, müssen Ärzte die personenbezogenen Daten in Kopie zur Verfügung stellen. Das geht auch in einem gängigen elektronischen Format (z. B. PDF, JPG).

Ein Datenschutzbeauftragter soll die Einhaltung des Datenschutzes und der Datensicherheit (z. B. IT-Sicherheit der Praxis-EDV) kontrollieren. Er ist Ansprechpartner für alle Fragen zum Thema Datenschutz.

• die Praxis mehr als 20 Mitarbeiter hat, die mit der automatisierten Verarbeitung personenbezogener Daten ständig beschäftigt sind. Zu den Mitarbeitern zählt auch Praxisinhaber, aber nicht das Reinigungspersonal
• eine umfangreiche Verarbeitung (durch mindestens 10 Personen) z. B. von sensiblen Gesundheitsdaten stattfindet
• eine Datenschutz-Folgenabschätzung nötig ist

Der Praxisinhaber muss den Datenschutzbeauftragten der zuständigen Aufsichtsbehörde melden.

Leider kommt es im Umgang mit Patientendaten manchmal zu Datenpannen und Verstößen gegen die ärztliche Schweigepflicht:

• Der Tresen ist unbeaufsichtigt – jemand könnte sich Zutritt zu den Patientenakten, Computern und Ablagen verschaffen
• Akten werden auf dem Tisch im Behandlungsraum liegen gelassen oder bleiben auf dem Bildschirm angezeigt, während Patienten sich dort alleine aufhalten
• Patienten im Wartezimmer können mithören, welche sensiblen Daten am Anmeldetresen ausgetauscht werden (z. B. Testergebnisse)
• Anfragen per Telefon oder E-Mail werden beantwortet, ohne dass die Praxis die Identität des Anfragenden prüft
• Die Informations-Übermittlung an die Krankenkasse ist detaillierter als nötig

Gerade dort, wo viele Informationen fließen – am Empfang – muss der Umgang mit Datensicherheit immer wieder geschult werden.

Wenn gegen die gesetzlichen Bestimmungen verstoßen wurde, hat der Praxisinhaber gemäß DS-GVO die Pflicht, dies der Aufsichtsbehörde innerhalb von 72 Stunden zu melden. Betroffene Patienten müssen ebenfalls informiert werden. Legen Sie in Ihrer internen Datenschutzlinie genau fest, wer für die Information zuständig ist.

Bei Verstößen gegen die Datenschutz-Grundverordnung können im schlimmsten Fall hohe Geldbußen bis zu 20 Millionen Euro drohen. Solche Rekordstrafen sind allerdings für Konzerne wie Google in das Gesetz geschrieben worden. Arztpraxen können beim ersten Verstoß eher mit einer Verwarnung rechnen.