In diesem Ratgeber
Praxisfall: Der IT-Anbieter legt einen Standardvertrag vor
Ein neuer IT-Dienstleister soll Server warten und das Backup betreuen. Im Vertrag stehen allgemeine Sicherheitsversprechen, aber keine konkreten Angaben zu Fernzugriffen, Speicherorten oder weiteren Unternehmen. Mit der Unterschrift allein ist die Auswahlprüfung nicht erledigt. Die Praxis muss verstehen, welche Patientendaten bei welchen Tätigkeiten zugänglich werden und wie dieser Zugriff begrenzt wird.
Erstellen Sie zunächst eine kleine Dienstleisterliste mit Leistung, Datenzugriff, Ansprechpartner und Vertragsstand. Diese Bestandsaufnahme deckt oft bereits Lücken auf: etwa ein altes Fernwartungskonto, ein privat gebuchtes Cloudabo oder einen Scanservice, der in keiner Übersicht vorkommt.
Die tatsächliche Aufgabe entscheidet über die Rolle
Nach den EDSA-Leitlinien sind die tatsächlichen Entscheidungen über Zwecke und wesentliche Mittel maßgeblich. Vertragsüberschriften legen die Rolle nicht beliebig fest. Ein Auftragsverarbeiter verarbeitet für die Praxis und nach deren Weisungen. Bei eigenständigen Zwecken oder gemeinsam festgelegten Verarbeitungen sind andere Konstellationen zu prüfen.
| Konstellation | Typischer Prüfansatz |
|---|---|
| Hosting, Backups oder externe Aktenvernichtung | Bei Verarbeitung nach Praxisvorgaben regelmäßig Auftragsverarbeitung; konkreten Leistungsumfang prüfen. |
| IT-Wartung und Fernsupport | Mögliche Datenzugriffe und tatsächliche Tätigkeit untersuchen; nicht allein auf die Bezeichnung ‚Wartung‘ abstellen. |
| Weiterbehandelnde Praxis oder eigenverantwortliche Labordiagnostik | Regelmäßig eigene fachliche Verantwortung; ein AV-Vertrag ersetzt nicht die Grundlage der Datenweitergabe. |
| Gemeinsam betriebene Plattform | Gemeinsame Festlegung von Zwecken und Mitteln kann eine Vereinbarung nach Artikel 26 DSGVO verlangen. |
| Dienst ohne erforderlichen Datenzugriff | Zugriffe organisatorisch verhindern und Vertraulichkeit regeln; nicht vorsorglich jede Leistung als AV etikettieren. |
Ein Anbieter kann bei verschiedenen Funktionen unterschiedliche Rollen haben. Gerade Terminplattformen und KI-Dienste kombinieren mitunter Auftragsleistungen mit eigenen Nutzerkonten oder Auswertungen. Zeichnen Sie die einzelnen Datenwege auf, statt dem Unternehmen nur ein einziges Etikett zu geben.
Welche Unterlagen vor der Freigabe vorliegen sollten
- Leistungsbeschreibung: Welche Verarbeitung findet statt, wie lange und für welche Daten und Personengruppen?
- Vertragliche Regeln: Weisungen, Vertraulichkeit, Unterstützung bei Betroffenenrechten und Datenpannen, Kontrollen sowie Rückgabe oder Löschung.
- Konkrete Schutzmaßnahmen: Zugangsrechte, Mehrfaktoranmeldung, Protokollierung, Verschlüsselung, Datensicherung und Wiederherstellung.
- Unterauftragnehmer: Namen, Aufgaben, Änderungsverfahren und betroffene Verarbeitungsorte.
- Drittlandbezug: Auch Support, Administration und Fernzugriffe betrachten; der Serverstandort allein reicht nicht.
- Vertragsende: Datenexport, Entzug aller Zugänge, Löschverfahren und Umgang mit Sicherungskopien klären.
Nachweise müssen zur konkreten Leistung passen. Ein Zertifikat kann hilfreich sein, ersetzt aber nicht die Prüfung seines Geltungsbereichs. Ein öffentliches Werbeversprechen ‚DSGVO-konform‘ beantwortet weder Fragen zu Löschfristen noch zu administrativen Zugriffen.
Schweigepflicht zusätzlich berücksichtigen
Bei Patientendaten kommt der Schutz des Berufsgeheimnisses hinzu. § 203 StGB erlaubt die erforderliche Einbindung sonstiger mitwirkender Personen unter den gesetzlichen Voraussetzungen; dazu gehört insbesondere die passende Geheimhaltungsverpflichtung. Prüfen Sie auch die Kette weiterer Mitwirkender. Ein allgemeiner Verweis auf Datenschutz im Vertrag sollte nicht verdecken, wer tatsächlich Zugriff hat.
Nach der Auswahl: Änderungen und Vertragsende mitdenken
Benennen Sie eine Person, die Änderungsmeldungen von Anbietern entgegennimmt. Neue Unterauftragnehmer, zusätzliche KI-Funktionen oder veränderte Speicherorte können eine erneute Bewertung auslösen. Legen Sie außerdem fest, wer bei einem Anbieterwechsel den Datenexport prüft und ehemalige Zugänge deaktiviert. Datenschutz endet nicht mit der letzten Rechnung.
Bei einer Bestandsprüfung hilft eine einfache Priorisierung: Zuerst Dienste mit Zugriff auf viele Gesundheitsdaten, anschließend zentrale Kommunikationssysteme und danach weniger sensible Unterstützungsleistungen. So entsteht ein bearbeitbarer Maßnahmenplan statt einer unübersichtlichen Sammlung von PDF-Verträgen.
Quellen & Rechtsgrundlagen
Grundlagen dieses Beitrags, geprüft zum angegebenen Stand. Gesetze und behördliche Hinweise können sich ändern; maßgeblich bleibt Ihre konkrete Verarbeitung.
Dieser Ratgeber dient der datenschutzfachlichen und organisatorischen Orientierung. Er ersetzt keine anwaltliche Rechtsberatung im Einzelfall. Die Verantwortung für die Verarbeitung bleibt bei der Einrichtung. Für eine erste Beratungsanfrage genügen Angaben zum Anliegen; bitte keine Patientenakten über das öffentliche Kontaktformular senden.