Ratgeber
Datenschutz im Gesundheitswesen, verständlich erklärt.
Die Fragen, die uns in Praxen, MVZ und Pflegeeinrichtungen am häufigsten gestellt werden — mit den Rechtsgrundlagen dahinter und ohne Paragrafennebel.
Pflichten
Braucht meine Arztpraxis einen Datenschutzbeauftragten?
Zwei Vorschriften entscheiden darüber — und die zweite wird in Praxen regelmäßig übersehen. Dieser Beitrag ordnet beide ein und zeigt, wann eine Bestellung auch ohne 20 Beschäftigte nötig sein kann.
6 Minuten
Selbstcheck
Datenschutz-Checkliste für die Arztpraxis
Zwölf Punkte, die eine Aufsichtsbehörde bei einer Prüfung zuerst sehen will. Gehen Sie sie einmal ehrlich durch — wo Sie dreimal zögern, lohnt sich ein genauerer Blick.
5 Minuten
Aufbewahrung & Löschung
Aufbewahrungsfristen für Patientenakten
Zehn Jahre sind die bekannte Zahl — aber längst nicht die einzige. Für Röntgenaufzeichnungen, Transfusionen und Arbeitsmedizin gelten eigene, teils erheblich längere Fristen. Diese Übersicht sortiert sie.
7 Minuten
Vorfall
Datenpanne in der Praxis: was in 72 Stunden zu passieren hat
Der Laptop weg, die E-Mail an den falschen Empfänger, der Ransomware-Bildschirm am Montagmorgen: Ab Kenntnis läuft eine Frist von 72 Stunden. Dieser Beitrag beschreibt, was in dieser Zeit zu tun ist.
6 Minuten
Team
Datenschutzschulung in der Praxis: Pflicht, Häufigkeit, Nachweis
Eine feste Frequenz nennt die DSGVO nicht — eine Pflicht zur Sensibilisierung schon. Was das konkret bedeutet und woran Aufsichtsbehörden erkennen, ob geschult wurde.
5 Minuten
Pflicht · Praxis · Nachweis
DSGVO-Basiswissen für Praxen: die Pflichten im Klartext
Der Verordnungstext ist öffentlich — nur hilft er im Praxisalltag wenig. Hier steht neben jeder Pflicht, was sie konkret bedeutet, woran sie in Praxen scheitert und welchen Nachweis Sie danach in der Hand haben.
Rechenschaftspflicht
Nicht die Behörde muss beweisen, dass Sie etwas falsch machen — Sie müssen beweisen, dass Sie es richtig machen.
Vieles läuft in der Praxis korrekt, ist aber nirgends dokumentiert. Ohne Unterlagen zählt es im Prüffall nicht.
Dokumentenmappe, die jede Maßnahme mit Datum, Verantwortlichem und Stand belegt.
Besondere Kategorien personenbezogener Daten
Gesundheitsdaten sind die am strengsten geschützte Datenkategorie der DSGVO. Jede Praxis verarbeitet ausschließlich solche Daten.
Der Maßstab, der für eine Werbeagentur reicht, reicht für eine Praxis nicht — zusätzlich gilt die Schweigepflicht nach § 203 StGB.
Rechtsgrundlagen je Verarbeitung, abgestimmt auf Heilberuf und Schweigepflicht.
Verzeichnis von Verarbeitungstätigkeiten
Eine Liste aller Stellen, an denen Patientendaten entstehen, liegen oder weitergehen — PVS, Terminportal, Labor, Abrechnung, Recall, Praxis-WLAN.
Das Verzeichnis ist meist das erste Dokument, das die Aufsichtsbehörde anfordert. Fehlt es, ist der Rest schnell zweitrangig.
Vollständiges Verarbeitungsverzeichnis, gepflegt und jederzeit vorzeigbar.
Auftragsverarbeiter
Jeder Dienstleister, der an Patientendaten kommt, braucht einen Vertrag: PVS-Anbieter, IT-Betreuung, Aktenvernichtung, Terminsoftware, Cloud.
Verträge sind oft nur für die IT vorhanden — nicht für Entsorgung, Telefonservice oder Praxissoftware in der Cloud.
Geprüfte Auftragsverarbeitungsverträge mit Übersicht, wer was noch offen hat.
Sicherheit der Verarbeitung
Technischer und organisatorischer Schutz: Zugriffsrechte, Verschlüsselung, Backups, Bildschirmsperre, Rezeption ohne Einblick für Wartende.
Getestete Wiederherstellung des Backups und personenbezogene Zugriffsrechte sind der häufigste Schwachpunkt.
TOM-Dokumentation plus Maßnahmenliste mit Priorität, Frist und Verantwortlichem.
Auskunftsrecht der betroffenen Person
Patienten dürfen wissen, welche Daten Sie über sie gespeichert haben — und eine Kopie verlangen.
Ohne festgelegten Ablauf landet die Anfrage beim Team, bleibt liegen und wird zur Beschwerde bei der Aufsichtsbehörde.
Fester Ablauf mit Vorlagen, Zuständigkeit und Protokoll je Anfrage.
Meldung von Verletzungen des Schutzes personenbezogener Daten
Verlorenes Notebook, falsch versandter Befund, Ransomware: Der Vorfall ist der Aufsichtsbehörde unverzüglich zu melden — laut Verordnung möglichst binnen 72 Stunden.
Im Ernstfall fehlt der Praxis der Ablauf. Wer erst dann anfängt zu suchen, verliert die entscheidenden Stunden.
Notfallblatt mit Meldeweg, Ansprechpartnern und Vorfalldokumentation.
Datenschutzbeauftragter und seine Aufgaben
Bei umfangreicher Verarbeitung von Gesundheitsdaten ist ein Datenschutzbeauftragter zu benennen; § 22 BDSG und Art. 37 DSGVO sind hier gemeinsam zu lesen.
Interne Benennungen scheitern an Zeit und an Interessenkonflikten — geschult wird einmal, danach ruht das Thema.
Externe Bestellung, laufende Betreuung und Meldung bei der Aufsichtsbehörde.
Sensibilisierung und Schulung der Mitarbeiter
Das Team muss geschult sein — und die Schulung muss belegbar sein, nicht nur stattgefunden haben.
Der Klassiker: geschult ja, nachweisbar nein. Ohne Teilnahmebeleg je Person ist die Schulung im Prüffall wertlos.
Digitale Schulung mit Online-Prüfung (Multiple Choice), danach Zertifikatsdatei je Person mit QR-Code zur Echtheitsprüfung – alternativ vor Ort oder live online.
Recht auf Löschung
Daten dürfen nicht dauerhaft liegen bleiben. Für Patientenakten gelten daneben eigene medizinrechtliche Aufbewahrungsfristen.
Altakten im Keller, alte Rechner im Lager, Datenträger in der Schublade — nichts davon ist geregelt entsorgt.
Löschkonzept und Aktenvernichtung mit Vernichtungsnachweis pro Abholung.
Verlinkt ist jeweils der Wortlaut der Verordnung (EU) 2016/679. Die Einordnung ersetzt keine Rechtsberatung im Einzelfall.
Lieber einmal richtig prüfen lassen?
Die Bestandsaufnahme geht dieselben Themen strukturiert bei Ihnen vor Ort durch und liefert eine Mängelliste mit Prioritäten, Fristen und Verantwortlichen.