Die kurze Antwort
Eine Bestellpflicht kann sich aus zwei voneinander unabhängigen Vorschriften ergeben. Erstens aus § 38 Abs. 1 BDSG, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Zweitens aus Art. 37 Abs. 1 lit. c DSGVO, wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten besteht — und Gesundheitsdaten sind genau das.
Es genügt, dass eine der beiden Vorschriften greift. Wer unter 20 Beschäftigte hat, ist also nicht automatisch aus dem Schneider.
Die 20-Personen-Grenze richtig zählen
Gezählt werden Personen, nicht Vollzeitstellen. Eine Teilzeitkraft mit zehn Wochenstunden zählt genauso wie eine Vollzeitkraft. Mitgezählt werden alle, die ständig mit automatisierter Verarbeitung befasst sind — und das ist in einer Praxis fast jede Person, die Zugriff auf das Praxisverwaltungssystem hat.
In der Praxis mitzuzählen sind typischerweise
- Ärztinnen und Ärzte sowie angestellte Behandler
- Medizinische Fachangestellte an Empfang, Abrechnung und im Behandlungsraum
- Verwaltungs- und Abrechnungskräfte
- Auszubildende und Praktikanten mit PVS-Zugang
- Aushilfen und Minijobber, sofern sie regelmäßig am System arbeiten
Nicht mitgezählt werden Personen ohne Zugriff auf personenbezogene Daten in automatisierter Form — etwa eine Reinigungskraft. Bei einem MVZ mit mehreren Standorten wird auf die verantwortliche Stelle abgestellt, nicht auf den einzelnen Standort: Vier Praxen mit je sieben Personen unter einem Rechtsträger überschreiten die Grenze zusammen.
Der zweite Weg: umfangreiche Verarbeitung von Gesundheitsdaten
Art. 37 Abs. 1 lit. c DSGVO knüpft nicht an Personenzahlen an, sondern an Art und Umfang der Verarbeitung. Gesundheitsdaten gehören nach Art. 9 DSGVO zu den besonderen Kategorien. Besteht die Kerntätigkeit in ihrer umfangreichen Verarbeitung, ist ein Datenschutzbeauftragter zu benennen — unabhängig davon, wie viele Personen beschäftigt sind.
In der Praxis führt das zu einer Grauzone bei mittelgroßen MVZ, Berufsausübungsgemeinschaften und Pflegediensten. Wer sich dort auf eine eigene Einschätzung verlässt, sollte sie schriftlich dokumentieren. Eine dokumentierte, nachvollziehbare Abwägung ist gegenüber der Aufsichtsbehörde deutlich mehr wert als eine mündliche Überzeugung.
Was passiert, wenn nicht bestellt wird
Die unterlassene Benennung ist nach Art. 83 Abs. 4 DSGVO bußgeldbewehrt. Praktisch relevanter ist aber ein anderer Punkt: Fehlt der Datenschutzbeauftragte, fehlt meist auch alles andere — Verarbeitungsverzeichnis, Löschkonzept, Auftragsverarbeitungsverträge, Schulungsnachweise. Aufsichtsbehörden prüfen selten isoliert die Bestellung; sie prüfen die Organisation dahinter.
Anlass für eine Prüfung ist selten Zufall. Typische Auslöser sind eine Patientenbeschwerde, die Meldung einer Datenpanne, ein Hinweis aus dem Kollegenkreis oder eine schwerpunktmäßige Prüfaktion der Landesbehörde. In Nordrhein-Westfalen ist die Landesbeauftragte für Datenschutz und Informationsfreiheit (LDI NRW) zuständig.
Intern oder extern bestellen?
Beides ist zulässig. Die interne Bestellung ist auf den ersten Blick günstiger, hat in kleinen Einrichtungen aber zwei Haken: Der oder die Benannte braucht echte Fachkunde nach Art. 37 Abs. 5 DSGVO, und es darf kein Interessenkonflikt bestehen. Wer die IT verantwortet, die Personalakten führt oder die Praxis leitet, kann sich nicht selbst kontrollieren — diese Personen scheiden regelmäßig aus.
| Interne Bestellung | Externe Bestellung |
|---|---|
| Fachkunde muss aufgebaut und gehalten werden | Fachkunde ist eingekauft |
| Benannte Person genießt besonderen Kündigungsschutz | Kein arbeitsrechtlicher Sonderstatus |
| Interessenkonflikte häufig bei Leitung und IT | Unabhängigkeit von der Aufbauorganisation |
| Arbeitszeit geht dem Kerngeschäft verloren | Planbare monatliche Kosten |
Dieser Beitrag gibt den Stand zum Zeitpunkt der Veröffentlichung wieder und dient der organisatorischen Orientierung. Er ersetzt keine Rechtsberatung im Einzelfall.