Links steht die Pflicht im Wortlaut der DSGVO, rechts der Nachweis, den Sie nach unserer Arbeit vorzeigen können. Genau diese Unterlagen fragt eine Aufsichtsbehörde im Prüffall ab.
RechtsgrundlageWas das heißtWoran es scheitertIhr Nachweis
Die Einrichtung muss die Einhaltung der Datenschutzgrundsätze nachweisen können. Das ist eine Organisationspflicht und keine pauschale Umkehr straf- oder bußgeldrechtlicher Beweisregeln.
Fehlende oder überholte Unterlagen erschweren den Nachweis tatsächlich gelebter Schutzmaßnahmen.
Dokumentenmappe, die jede Maßnahme mit Datum, Verantwortlichem und Stand belegt.
Art. 9Besondere Kategorien personenbezogener Daten
Gesundheitsdaten gehören zu den besonders geschützten Daten nach Art. 9 DSGVO. Daneben verarbeitet eine Praxis auch andere personenbezogene Daten, etwa ihrer Beschäftigten oder Lieferanten.
Für Patientendaten sind Datenschutzrecht und ärztliche Schweigepflicht nach § 203 StGB gemeinsam zu beachten.
Rechtsgrundlagen je Verarbeitung, abgestimmt auf Heilberuf und Schweigepflicht.
Art. 30Verzeichnis von Verarbeitungstätigkeiten
Eine Liste aller Stellen, an denen Patientendaten entstehen, liegen oder weitergehen — PVS, Terminportal, Labor, Abrechnung, Recall, Praxis-WLAN.
Fehlen Verarbeitungstätigkeiten oder aktuelle Dienstleister, bildet das Verzeichnis die tatsächlichen Abläufe nicht vollständig ab.
Vollständiges Verarbeitungsverzeichnis, gepflegt und jederzeit vorzeigbar.
Verarbeitet ein Dienstleister Daten im Auftrag und nach Weisung, ist eine Vereinbarung nach Art. 28 DSGVO erforderlich. Eigenständig verantwortliche Empfänger sind davon zu unterscheiden.
IT-Wartung, Aktenvernichtung, Terminservice und Cloud sind auf Rolle, Datenzugriffe, Schutzmaßnahmen und vertragliche Regelungen zu prüfen.
Geprüfte Auftragsverarbeitungsverträge mit Übersicht, wer was noch offen hat.
Technischer und organisatorischer Schutz: Zugriffsrechte, Verschlüsselung, Backups, Bildschirmsperre, Rezeption ohne Einblick für Wartende.
Ohne Wiederherstellungstest und überprüfte Zugriffsrechte bleibt unklar, ob die vorgesehenen Maßnahmen wirksam funktionieren.
TOM-Dokumentation plus Maßnahmenliste mit Priorität, Frist und Verantwortlichem.
Art. 15Auskunftsrecht der betroffenen Person
Patienten dürfen wissen, welche Daten Sie über sie gespeichert haben — und eine Kopie verlangen.
Ohne festgelegten Ablauf landet die Anfrage beim Team, bleibt liegen und wird zur Beschwerde bei der Aufsichtsbehörde.
Fester Ablauf mit Vorlagen, Zuständigkeit und Protokoll je Anfrage.
Art. 33Meldung von Verletzungen des Schutzes personenbezogener Daten
Jede Datenschutzverletzung dokumentieren und ihr Risiko bewerten. Eine Meldung an die Aufsicht erfolgt unverzüglich und möglichst binnen 72 Stunden, sofern die Verletzung voraussichtlich ein Risiko für Betroffene birgt.
Im Ernstfall fehlt der Praxis der Ablauf. Wer erst dann anfängt zu suchen, verliert die entscheidenden Stunden.
Notfallblatt mit Meldeweg, Ansprechpartnern und Vorfalldokumentation.
Die Benennungspflicht richtet sich insbesondere nach Art. 37 DSGVO und § 38 BDSG: etwa umfangreiche Verarbeitung von Gesundheitsdaten als Kerntätigkeit, die 20-Personen-Grenze oder eine erforderliche Datenschutz-Folgenabschätzung.
Bei interner wie externer Benennung müssen Fachkunde, ausreichende Ressourcen und Unabhängigkeit gesichert sein.
Externe Bestellung, laufende Betreuung und Meldung bei der Aufsichtsbehörde.
Das Team muss geschult sein — und die Schulung muss belegbar sein, nicht nur stattgefunden haben.
Inhalte, Zeitpunkt und Teilnahme sollten dokumentiert sein. Wiederholungen richten sich nach Risiken und Veränderungen; die DSGVO nennt kein festes Jahresintervall.
Digitale Schulung mit Online-Prüfung (Multiple Choice), danach Zertifikatsdatei je Person mit QR-Code zur Echtheitsprüfung – alternativ vor Ort oder live online.
Daten dürfen nicht dauerhaft liegen bleiben. Für Patientenakten gelten daneben eigene medizinrechtliche Aufbewahrungsfristen.
Für Papierakten, elektronische Akten, Sicherungen und Datenträger sind Aufbewahrung, Zugriff und sichere Löschung zu regeln.
Löschkonzept und Aktenvernichtung mit Vernichtungsnachweis pro Abholung.
Verlinkt ist jeweils der Wortlaut der Verordnung (EU) 2016/679. Die Einordnung ersetzt keine Rechtsberatung im Einzelfall.
