In diesem Ratgeber
Die kurze Antwort
Eine Bestellpflicht kann sich aus zwei voneinander unabhängigen Vorschriften ergeben. Erstens aus § 38 Abs. 1 BDSG, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Zweitens aus Art. 37 Abs. 1 lit. c DSGVO, wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten besteht — und Gesundheitsdaten sind genau das.
Zusätzlich verlangt § 38 Abs. 1 Satz 2 BDSG eine Benennung unabhängig von der Personenzahl, wenn eine Verarbeitung einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegt. Die Pflicht ist deshalb anhand der tatsächlichen Tätigkeiten zu prüfen; weniger als 20 Beschäftigte sind kein allgemeiner Befreiungstatbestand.
Die 20-Personen-Grenze richtig zählen
Gezählt werden Personen, nicht Vollzeitstellen. Eine Teilzeitkraft mit zehn Wochenstunden zählt genauso wie eine Vollzeitkraft. Mitgezählt werden alle, die ständig mit automatisierter Verarbeitung befasst sind — und das ist in einer Praxis fast jede Person, die Zugriff auf das Praxisverwaltungssystem hat.
In der Praxis mitzuzählen sind typischerweise
- Ärztinnen und Ärzte sowie angestellte Behandler
- Medizinische Fachangestellte an Empfang, Abrechnung und im Behandlungsraum
- Verwaltungs- und Abrechnungskräfte
- Auszubildende und Praktikanten mit PVS-Zugang
- Aushilfen und Minijobber, sofern sie regelmäßig am System arbeiten
Nicht mitgezählt werden Personen ohne Zugriff auf personenbezogene Daten in automatisierter Form — etwa eine Reinigungskraft. Bei einem MVZ mit mehreren Standorten wird auf die verantwortliche Stelle abgestellt, nicht auf den einzelnen Standort: Vier Praxen mit je sieben Personen unter einem Rechtsträger überschreiten die Grenze zusammen.
Der zweite Weg: umfangreiche Verarbeitung von Gesundheitsdaten
Art. 37 Abs. 1 lit. c DSGVO knüpft nicht an Personenzahlen an, sondern an Art und Umfang der Verarbeitung. Gesundheitsdaten gehören nach Art. 9 DSGVO zu den besonderen Kategorien. Besteht die Kerntätigkeit in ihrer umfangreichen Verarbeitung, ist ein Datenschutzbeauftragter zu benennen — unabhängig davon, wie viele Personen beschäftigt sind.
In der Praxis führt das zu einer Grauzone bei mittelgroßen MVZ, Berufsausübungsgemeinschaften und Pflegediensten. Wer sich dort auf eine eigene Einschätzung verlässt, sollte sie schriftlich dokumentieren. Eine dokumentierte, nachvollziehbare Abwägung ist gegenüber der Aufsichtsbehörde deutlich mehr wert als eine mündliche Überzeugung.
Was passiert, wenn nicht bestellt wird
Die unterlassene Benennung ist nach Art. 83 Abs. 4 DSGVO bußgeldbewehrt. Praktisch relevanter ist aber ein anderer Punkt: Auch ohne Benennungspflicht bleiben Verarbeitungsverzeichnis, Löschkonzept, passende Dienstleistervereinbarungen und angemessene Schulungen erforderlich. Eine freiwillige externe Beratung kann diese Organisation unterstützen.
Anlass für eine Prüfung ist selten Zufall. Typische Auslöser sind eine Patientenbeschwerde, die Meldung einer Datenpanne, ein Hinweis aus dem Kollegenkreis oder eine schwerpunktmäßige Prüfaktion der Landesbehörde. In Nordrhein-Westfalen ist die Landesbeauftragte für Datenschutz und Informationsfreiheit (LDI NRW) zuständig.
Intern oder extern bestellen?
Beides ist zulässig. Die interne Bestellung ist auf den ersten Blick günstiger, hat in kleinen Einrichtungen aber zwei Haken: Der oder die Benannte braucht echte Fachkunde nach Art. 37 Abs. 5 DSGVO, und es darf kein Interessenkonflikt bestehen. Wer in einer Leitungsrolle selbst Zwecke und wesentliche Mittel der Verarbeitung festlegt, kann dadurch in einen Interessenkonflikt geraten. Entscheidend sind die tatsächlichen Entscheidungsbefugnisse; die bloße Bearbeitung von Personalakten schließt eine Benennung nicht automatisch aus.
| Interne Bestellung | Externe Bestellung |
|---|---|
| Fachkunde muss aufgebaut und gehalten werden | Fachkunde ist eingekauft |
| Bei verpflichtender interner Benennung besonderer Kündigungsschutz nach BDSG | Kein arbeitsrechtlicher Sonderstatus |
| Interessenkonflikte häufig bei Leitung und IT | Unabhängigkeit von der Aufbauorganisation |
| Arbeitszeit geht dem Kerngeschäft verloren | Planbare monatliche Kosten |
Quellen & Rechtsgrundlagen
Grundlagen dieses Beitrags, geprüft zum angegebenen Stand. Gesetze und behördliche Hinweise können sich ändern; maßgeblich bleibt Ihre konkrete Verarbeitung.
Dieser Ratgeber dient der datenschutzfachlichen und organisatorischen Orientierung. Er ersetzt keine anwaltliche Rechtsberatung im Einzelfall. Die Verantwortung für die Verarbeitung bleibt bei der Einrichtung. Für eine erste Beratungsanfrage genügen Angaben zum Anliegen; bitte keine Patientenakten über das öffentliche Kontaktformular senden.