Kurze Einleitung
Datenschutz in der Arztpraxis ist mehr als eine Formalie: Praxen verarbeiten täglich Gesundheitsdaten, die nach Art. 9 DSGVO besonders geschützt sind, und unterliegen zusätzlich der ärztlichen Schweigepflicht. Dieser Beitrag zeigt, was Datenschutz für Ärzte konkret bedeutet: welche Pflichten die DSGVO für Ärzte bringt, wie Sie Patientendaten schützen und woran Sie den Datenschutz in Ihrer Praxis prüfen können – von der Anmeldung am Empfang über die Datensicherung bis zum Datenschutzbeauftragten.
Die Hinweise gelten sinngemäß auch für Zahnarztpraxen, MVZ und andere Heilberufe. Informationen zu weiteren Branchen finden Sie in unseren Beiträgen zum Datenschutz im Krankenhaus und zum Datenschutz in der Apotheke.
Datenschutz in der Arztpraxis
Ob in der Klinik oder in der Arztpraxis, der Datenschutz ist in folgenden Bereichen von enormer Bedeutung. Zum einen spielt der Bereich der Datenerhebung eine wichtige Rolle. Dabei geht es um die Frage welche Daten eines Patienten gesammelt werden dürfen. In der Regel ist es nur erlaubt, die Daten zu erheben, die für die Durchführung der Behandlung und Diagnose von Belang sind.
Ein weiterer wichtiger Faktor betrifft die Datenweitergabe. Sämtliche Informationen, welche sich in der Patientenakte befinden, dürfen nicht automatisch an Versicherungen oder Dritte weitergegeben werden. Hierbei sind je nach Adressat bestimmte Vorgaben zu beachten. Um die Herausgabe der personenbezogenen Daten rechtskonform zu gestalten, muss in der Regel eine Einwilligungserklärung des Betroffenen vorliegen.
Außerdem muss die Datensicherung in den Arztpraxen und den Krankenhäusern in der Weise gewährleistet werden, dass personenbezogene Patientendaten vor dem Zugriff von Dritten in ausreichender Art geschützt werden. Dies betrifft neben den analogen Datensätzen wie z.B. Formularen, Ausdrucken oder Notizen, auch die digital gespeicherten Patientendaten.
Bei Gemeinschaftspraxen oder Krankenhäusern ist die Datenweitergabe unter Ärzten in der Regel nur dann zulässig, wenn diese die Patienten auch betreuen. Allerdings darf sich der Datenaustausch nur auf die für die Betreuung des einzelnen notwendigen Informationen beschränken. Jeder Informationsaustausch, der sich außerhalb dieses Rahmens befindet, ist unzulässig.
Datenschutz am Empfang in der Arztpraxis
Jede Arztpraxis hat in der Regel einen Empfangstresen an dem die Patienten in Empfang genommen werden und ihr Anliegen mitteilen. Ab diesem Zeitpunkt muss darauf geachtet werden, dass datenschutzrechtliche Vorgaben eingehalten werden. In diesem Zusammenhang ergeben sich eine Reihe von datenschutzrechtlichen Problemen, die am Empfangstresen entstehen können.
Manchmal kommt es vor, dass am Empfangstresen ein “Patienten-Stau” entsteht. Dabei spricht das Prasxispersonal in ungeschützter Atmosphäre über Gesundheitsdaten, sodass Dritte mithören können und gegebenenfalls über Patienten und deren Diagnosen informiert werden. Ein weiteres Problem besteht darin, wenn das Praxispersonal den Empfangsbereich verlässt. Dabei bleiben Schränke, Akten und Computer oftmals unbeaufsichtigt. Hierbei besteht die Gefahr, dass Unberechtigte Zugriff zu diesen Daten verschaffen können.
Häufig unterhalten sich Ärzte und Arzthelfer über Testergebnisse und Diagnosen von Patienten. Die im Warteraum befindlichen Patienten können bei zu lauter Kommunikation zwischen Arzt und angestelltem Personal über besonders personenbezogenen Daten der einzelnen Patienten mithören.
Das Praxispersonal ist oftmals im Gespräch mit den Patienten. Dies geschieht sowohl über das Telefon als auch digital per E-Mail. Hierbei werden unter anderem Informationen über Testergebnisse, Diagnosen und Therapien angegeben. Allerdings besteht bei derartigen Kontakten das Problem der Verifizierung. Die Praxen können nicht sicherstellen, ob sie auch mit der betroffenen Person sprechen. Die Gefahr, Patientendaten an Nichtberechtigte weiterzugeben, ist daher sehr groß.
Befinden sich Patienten das erste Mal bei einem neuen Arzt, werden personenbezogene Daten abgefragt. Um sich physischen Aufwand, durch die ganze Papierwirtschaft zu sparen, legen einige Praxen vorgefertigte Informationsschreiben zum Datenschutz nach Art. 13 DSGVO aus und bitten den Patienten diese Information zu lesen und dann mündlich eine Zustimmung zur Erhebung der Daten zu erteilen. Dies ist ein fataler Fehler. Fordert beispielsweise der Patient oder eine Behörde einen Nachweis über die mündlich erteilte Zustimmung, ist die Praxis nicht in der Lage, diesen zu leisten – welches als bußgeldbewährter Datenschutzverstoß gewertet werden kann.
Um diesem Problem entgegenzuwirken, sollte stets darauf geachtet werden, immer eine schriftliche Einwilligung einzuholen. Alternativ kann dies auch digital abgewickelt werden. So besteht die Möglichkeit ein “Tablet” zur Verfügung zu stellen. Der Patient kann sich dabei alle Informationen zum Datenschutz durchlesen und am Ende seine Kenntnisnahme durch eine digitale Unterschrift oder durch die Freigabe einer sogenannten Checkbox bestätigen.
Datenschutz im Wartezimmer und bei der Anmeldung
Im Wartezimmer und am Empfang sollten Patienten weder mithören noch mitlesen können. Nennen Sie Diagnosen und Behandlungsgründe nicht laut, halten Sie Bildschirme und Anmeldeformulare vom Wartebereich fern und prüfen Sie, wie Patienten aufgerufen werden, zum Beispiel nach Namen oder Nummer. Datenschutzhinweise zur Anmeldung sollten Patienten am Empfang oder per Aushang einsehen können.
Checkliste Datenschutz Arztpraxis: 22 Prüfpunkte im Überblick
Mit dieser Checkliste für den Datenschutz in der Arztpraxis prüfen Sie, ob die wichtigsten DSGVO-Pflichten umgesetzt sind.
- Liegt eine revisionssichere Einwilligung für die Verarbeitung der Patientendaten vor?
- Wurde die Datenschutzerklärung auf der Homepage rechtskonform aufgestellt?
- Gibt es eine Zutrittskontrolle (z.B. verschlossene Eingangstür)?
- Ist der Empfang ununterbrochen besetzt?
- Werden Anmelde- bzw. Patientendaten diskret erhoben?
- Sind Computerbildschirme und Telefondisplays am Empfang so aufgestellt, dass Dritte den Inhalt nicht sehen können?
- Sind die Postkörbe und die Ablagen für die Patientenakten so aufgestellt, dass Dritte nicht mitlesen können?
- Sind Personalakten gegen unbefugten Zugriff gesichert?
- Sind die Wartezimmer so abgesichert, dass keine Gespräche zwischen Patienten und Praxispersonal mitgehört werden können?
- Erfolgt der Anruf der Patienten mittels Verifizierungscode oder Ähnliches?
- Bestehen Auftragsverarbeitungsverträge mit Dienstleistern (z.B. Cloudanbieter)?
- Ist der Serverraum geschützt?
- Ist die Praxis gegen Einbrüche geschützt?
- Ist für die EDV eine externe Stromversorgung angerichtet?
- Werden Passwörter regelmäßig gewechselt?
- Sind unbeaufsichtigte Computer regelmäßig gesperrt?
- Sind Antivirenprogramme installiert?
- Werden die Antivirenprogramme stets auf den neuesten Stand gebracht?
- Werden nicht mehr benötigte Personalakten datenschutzkonform entsorgt?
- Wird die Entsorgung protokolliert?
- Werden regelmäßig Backups erstellt?
- Sind alle Praxisbeschäftigte auf das Daten-Geheimnis hingewiesen worden und in puncto Datenschutz geschult?
DSGVO in der Arztpraxis: Rechtsgrundlagen für die Verarbeitung von Patientendaten
Die DSGVO in der Arztpraxis erlaubt die Verarbeitung von Gesundheitsdaten nur, wenn ein Ausnahmetatbestand nach Art. 9 Abs. 2 DSGVO greift. In der Praxis ist das meist die Behandlung und Gesundheitsversorgung (Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 22 BDSG). Somit müssen oftmals datenschutzrechtliche Einwilligungen eingeholt werden. Sofern eine Verarbeitung nicht Gesundheitsdaten umfasst, z.B. Marketingzwecke oder Verarbeitungen auf der Webseite, gelten die Bedingungen aus Art. 6 DSGVO.
Datenschutz bei Patientendaten: Datensicherung, Zugriff und IT in der Arztpraxis
Datenschutz bei Patientendaten heißt auch: technische und organisatorische Maßnahmen umsetzen (Art. 32 DSGVO). Drei Bereiche sind in der Arztpraxis besonders wichtig: die Datensicherung, die Praxissoftware samt IT und der Zugriffsschutz.
Datensicherung in der Arztpraxis: Backup und DSGVO
Die DSGVO schreibt kein bestimmtes Backup-Verfahren vor, verlangt aber, dass Patientendaten verfügbar bleiben und nach einem Ausfall wiederhergestellt werden können (Art. 32 Abs. 1 lit. b und c DSGVO). Eine Datensicherung in der Arztpraxis sollte deshalb regelmäßig und automatisiert laufen, verschlüsselt gespeichert werden und mindestens eine Kopie außerhalb der Praxis enthalten. Prüfen Sie außerdem regelmäßig, ob sich die Daten tatsächlich wiederherstellen lassen.
Nutzen Sie einen externen Dienstleister oder eine Cloud-Lösung für das Backup, ist ein Auftragsverarbeitungsvertrag nötig. Die Behandlungsdokumentation ist in der Regel zehn Jahre nach Abschluss der Behandlung aufzubewahren (§ 630f Abs. 3 BGB). Welche Daten wann gelöscht werden, gehört in Ihr Löschkonzept.
Praxissoftware und IT: Das sollten Sie prüfen
Beim Datenschutz in der Praxissoftware kommt es auf diese Punkte an:
- Auftragsverarbeitungsvertrag mit dem Software- oder Cloud-Anbieter abschließen
- Rollen- und Berechtigungskonzept: Der Empfang muss nicht alle Behandlungsdaten sehen
- Updates, Virenschutz und verschlüsselte Datenübertragung sicherstellen
- Zugriffe protokollieren und Zugänge nach Personalwechseln sperren
Kommt es trotz Schutzmaßnahmen zu einem Datenverlust, etwa durch Ransomware, muss die Praxis prüfen, ob eine Datenpanne meldepflichtig ist.
Datenschutz und Datensicherheit in der Arztpraxis: der Unterschied
Datenschutz schützt die Rechte der Patienten, Datensicherheit schützt die Daten selbst vor Verlust, Manipulation und unbefugtem Zugriff. Für die Arztpraxis gehören beide zusammen: Ohne sichere Systeme gibt es keinen wirksamen Datenschutz.
Datenschutzerklärung Arztpraxis: Pflichtangaben für Praxis und Website
Arztpraxen müssen auf ihren Websites eine Datenschutzerklärung in präziser, transparenter, verständlicher und leicht zugänglicher Form zur Verfügung zu stellen. Um diese Pflichten in Einklang zu bringen, wird ein gewisser Wortschatz in den Formulierungen und den Aufbau erforderlich sein.
Zu den eben genannten Verarbeitungen müssen immer mindestens separate Angaben zum Zweck und der Rechtsgrundlage der Datenverarbeitung erfolgen. Es ist erforderlich weitere Angaben zu machen, um eine transparente Verarbeitung zu gewährleisten. Deshalb sollten die Informationen gemäß Art. 13 Abs 2 DSGVO immer zusätzlich aufgeführt werden. Dazu zählen:
- Dauer der Speicherung der personenbezogenen Daten
- Recht des Besuchers auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und das Wiederrufsrecht
- Beschwerderecht bei der Aufsichtsbehörde
- Bestehen einer automatisierten Entscheidungsfindung
- die Umstände der Bereitstellung der Daten, unter anderem ob eine gesetzliche oder vertragliche vorgeschrieben ist
Praxis-Website DSGVO-konform gestalten
Bei der Datenschutzerklärung muss darauf geachtet werden, dass der Besucher der Arztpraxis über alle Vorgänge aufzuklären ist, bei denen dessen personenbezogenen Daten verarbeitet werden. Ferner muss jede Datenschutzerklärung den Namen und Kontaktdaten (Anschrift, E-Mail) des Betreibers und somit “Verantwortlichen” enthalten. Darüber hinaus müssen die Kontaktdaten des Datenschutzbeauftragten (sofern vorhanden) aufgeführt werden. Dazu gehören sowohl die Anschrift als auch die E-Mail Adresse. Für jedes Tool, dass personenbezogene Daten verarbeitet, müssen folgende Angaben gemacht werden – im Folgenden werden beispielhafte Verarbeitung aufgeführt:
- Facebook “Like-Buttons” oder ähnliche Social- Plugins anderer Anbieter
- Webformulare (Kontaktformulare, etc.)
- Cookies (Information zum Zweck, Empfänger der Daten, etc.)
- Datenschutzerklärung und Impressum sind von jeder Seite aus erreichbar
- Tracking, eingebettete Karten oder Schriften werden erst nach Einwilligung geladen
- Kontakt- und Terminformulare übertragen Daten verschlüsselt und fragen keine Gesundheitsdaten ab, die nicht nötig sind
- Externe Buchungs- oder Videosprechstunden-Dienste sind per Auftragsverarbeitungsvertrag eingebunden
Datenweitergabe an Krankenkassen und andere Ärzte
Krankenkassen speichern eine Vielzahl von Daten ihrer Versicherten. Dies ist erforderlich, damit sie Ihre Aufgabe der medizinischen Versorgung nachkommen können. Die gesetzlichen Kassen erheben und speichern eine Vielzahl von Sozialdaten ihrer Versicherten. Dazu gehören nicht nur Adressangaben der betroffenen Personen, sondern auch Krankheitsdiagnosen und Abrechnungsbelege aus Heilbehandlungen.
Es ist offensichtlich, dass die Krankenkassen diese Informationen benötigten, um Ihren gesetzlichen Auftrag erfüllen zu können, die die medizinische Versorgung sicherstellen. Die Speicherung und Erhebung der Daten durch die Krankenkasse ist daher nach § 284 SGB V zulässig.
Allerdings unterliegen die Krankenkassen ebenfalls dem Grundsatz des Datenschutzrechts, insoweit, als das die Krankenkassen nur so viele Daten erheben dürfen, wie sie für die Aufgabenerledigung benötigen. Dieser datenschutzrechtliche Grundsatz wird aus dem Rechtsgedanken gemäß der Datenminimierung nach Art. 5 Abs. 1 c) DSGVO geschlossen.
Hinsichtlich der rechtlichen Regelung zur Löschung der Daten sieht der § 84 Abs. 2 S. 2 SGB X vor, dass die Krankenkassen die Daten löschen müssen, sobald sie nicht erforderlich sind und kein Grund zur Annahme besteht, die Daten weiterhin zu speichern.
Die Weitergabe von Patientendaten an andere Ärzte ist nur zulässig, wenn dafür eine Rechtsgrundlage besteht, etwa bei einer gemeinsamen Behandlung, oder der Patient eingewilligt beziehungsweise den Arzt von der Schweigepflicht entbunden hat. Versenden Sie Befunde nicht unverschlüsselt per E-Mail. Für Fax und E-Mail gilt: Empfänger prüfen, Inhalt auf das Nötige beschränken und, wo möglich, sichere Verfahren nutzen, zum Beispiel KIM (Kommunikation im Medizinwesen).
Datenschutz Folgenabschätzung in der Arztpraxis
Das Verarbeiten von personenbezogenen Daten birgt immer ein Risiko für die Rechte und Freiheiten der betroffenen Personen. Deshalb müssen Maßnahmen zur Datensicherheit gem. Art. 32 DSGVO getroffen werden. Ziel ist, dass sich datenverarbeitende Instanzen, so wie Arztpraxen, mit diesen Risiken auseinandersetzen. Ein Instrument des Gesetzgebers dazu ist die Datenschutzfolgenabschätzung (DSFA), bei der die Risiken beschrieben, bewertet und schützende Maßnahmen erarbeitet werden müssen.
Wann muss eine Arztpraxis eine Datenschutz Folgenabschätzung durchführen?
Im Falle einer Verarbeitung von personenbezogenen Daten, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der betroffenen Person birgt, ist eine Datenschutzfolgenabschätzung (DSFA) durchzuführen. In einer Arztpraxis kann von einem erhöhten Risiko ausgegangen werden, doch letztendlich muss der Verantwortliche immer selbst entscheiden, wann voraussichtlich hohes Risiko besteht. Soll eine DSFA durchgeführt werden, muss immer ein Datenschutzbeauftragter hinzugezogen werden.
Da ein erhöhtes Risiko nicht leicht einzuschätzen ist, hat der Gesetzgeber die Aufsichtsbehörden damit beauftragt, Listen mit Verarbeitungen zu erstellen, für die eine Datenschutzfolgenabschätzung durchzuführen ist:
1. Analyse der Persönlichkeit
Analyse der Persönlichkeit: Eine systematische und umfassende Bewertung persönlicher Aspekte natürlicher Personen, die sich auf automatisierte Verarbeitung einschließlich Profiling gründet und die ihrerseits als Grundlage für Entscheidungen dient, die Rechtswirkung gegenüber natürlichen Personen entfalten oder diese in ähnlich erheblicher Weise beeinträchtigen (Kunden-Scoring, systematische automatisierte Kundenanalyse, Persönlichkeitstest im Recruiting).
2. Besondere personenbezogene Daten
Eine umfangreiche Verarbeitung besonderer Kategorien von personenbezogenen Daten (gem. Art. 9 Abs. DSGVO) oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten (gem. Art. 10 DSGVO).
3. Videoüberwachung
Systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche (Beispiel: Videoüberwachung, soweit diese öffentlichen Bereiche wie Gehwege oder Plätze mit erfasst).
Datenschutzbeauftragter in der Arztpraxis: Wann ist er Pflicht?
Ob eine Arztpraxis einen Datenschutzbeauftragten benennen muss, hängt nicht von der Zahl der Ärzte ab, sondern vor allem von der Zahl der Personen, die mit Patientendaten am Computer arbeiten. Sind in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, ist ein Datenschutzbeauftragter Pflicht (§ 38 Abs. 1 Satz 1 BDSG). Mitgezählt werden nach der Auslegung der Aufsichtsbehörden auch Inhaber, Teilzeitkräfte, Auszubildende und freie Mitarbeitende. Entscheidend ist, dass die Arbeit mit Daten, etwa am Empfang, bei der Terminverwaltung, der Dokumentation oder der Abrechnung, ein Schwerpunkt der Tätigkeit ist.
Unabhängig von der Personenzahl muss ein Datenschutzbeauftragter benannt werden, wenn eine Datenschutz-Folgenabschätzung erforderlich ist (§ 38 Abs. 1 Satz 2 BDSG). Für einzelne Ärzte gilt nach Erwägungsgrund 91 DSGVO: Die Verarbeitung von Patientendaten ist nicht automatisch „umfangreich“. Kleine Praxen sind deshalb ohne die genannten Auslöser meist nicht verpflichtet. Ob eine Pflicht besteht, erklären wir ausführlich in unserem Beitrag „Ab wann braucht man einen Datenschutzbeauftragten?“.
Auch wenn keine Pflicht besteht, kann ein externer Datenschutzbeauftragter die Praxis entlasten, denn der Praxisinhaber bleibt für den Datenschutz verantwortlich.
FAQ
Brauchen Ärzte einen Datenschutzbeauftragten?
Nur, wenn in der Regel mindestens 20 Personen ständig mit Patientendaten am Computer arbeiten (§ 38 BDSG) oder eine Datenschutz-Folgenabschätzung erforderlich ist. Für einzelne Ärzte gilt die Verarbeitung nach Erwägungsgrund 91 DSGVO nicht automatisch als umfangreich.
Wer ist für den Datenschutz in der Arztpraxis verantwortlich?
Verantwortlich ist der Praxisinhaber, bei Gemeinschaftspraxen die Inhaber gemeinsam. Aufgaben lassen sich delegieren, die Verantwortung bleibt aber bei der Praxisleitung.
Welche Rechtsgrundlage gilt für Patientendaten?
Meist die Behandlung und Gesundheitsversorgung nach Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 22 BDSG. Eine Einwilligung ist dafür in der Regel nicht nötig, kann aber für zusätzliche Zwecke erforderlich sein.
Muss eine Arztpraxis eine Datensicherung machen?
Die DSGVO nennt kein festes Backup-Verfahren, verlangt aber Verfügbarkeit und Wiederherstellbarkeit der Daten (Art. 32 DSGVO). Ohne regelmäßige Datensicherung lässt sich das kaum erfüllen.
Wie lange müssen Patientendaten aufbewahrt werden?
Die Behandlungsdokumentation ist in der Regel zehn Jahre nach Abschluss der Behandlung aufzubewahren (§ 630f Abs. 3 BGB). Für einzelne Unterlagen können längere Fristen gelten.
Dürfen Patientendaten per Fax oder E-Mail verschickt werden?
Ja, wenn der Empfänger sicher feststeht, der Inhalt auf das Nötige beschränkt ist und die Übertragung geschützt erfolgt. Unverschlüsselte E-Mails mit Befunden sind nicht zu empfehlen. Sichere Verfahren wie KIM sind vorzuziehen.
Was droht bei Verstößen gegen den Datenschutz in der Arztpraxis?
Die Aufsichtsbehörde kann Maßnahmen anordnen und Bußgelder verhängen (Art. 83 DSGVO), dazu kommen Schadenersatzansprüche von Patienten und Reputationsschäden.
