Wie oft sollte die Checkliste durchgegangen werden?

Einmal jährlich als fester Termin, zusätzlich bei jeder größeren Änderung: neue Software, neuer Standort, Praxisübergabe, neue Kooperation mit Datenaustausch.

Wer sollte die Punkte beantworten?

Am besten nicht die Praxisleitung allein. Erfahrungsgemäß fällt die Antwort anders aus, wenn Empfang, Abrechnung und IT-Betreuung mit am Tisch sitzen.

Datenschutz-Checkliste für die Arztpraxis

Dokumentation

Es gibt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO, und es bildet den heutigen Stand ab — nicht den bei Praxisgründung.
Die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO sind schriftlich beschrieben.
Für jeden externen Dienstleister mit Datenzugriff liegt ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO vor — auch für PVS-Anbieter, Abrechnungsdienstleister, IT-Betreuung und Aktenvernichter.
Ein Löschkonzept benennt die Fristen je Unterlagenart und die Verantwortlichen.

Technik

Bildschirme am Empfang sind von Wartebereich und Tresen aus nicht einsehbar, und sie sperren automatisch.
Jede Person hat ein eigenes Benutzerkonto im PVS; Sammelkonten wie "Empfang" existieren nicht.
Zugriffsrechte sind nach Rolle vergeben — nicht jede Kraft muss jede Akte öffnen können.
Es gibt ein Backup, und es wurde schon einmal testweise zurückgespielt.

Personal

Alle Mitarbeitenden sind auf die Vertraulichkeit verpflichtet, und die Verpflichtungen liegen unterschrieben vor.
Die letzte Datenschutzschulung ist weniger als zwölf Monate her und dokumentiert.
Neue Mitarbeitende werden vor dem ersten PVS-Zugang eingewiesen, nicht erst bei der nächsten Sammelschulung.
Das Team weiß, wen es bei einem Verdacht auf eine Datenpanne informiert — und dass dafür 72 Stunden gelten.

Patientenrechte

Die Datenschutzinformation nach Art. 13 DSGVO wird Patienten tatsächlich ausgehändigt oder ausgehängt, nicht nur auf der Website vorgehalten.
Für Auskunftsersuchen nach Art. 15 DSGVO gibt es einen festen Ablauf und eine Fristenkontrolle — es gilt ein Monat.
Auskünfte an Angehörige, Polizei, Versicherer und Gutachter folgen einer klaren Regel, nicht dem Bauchgefühl der diensthabenden Kraft.
Die Website hat eine aktuelle Datenschutzerklärung, und ein etwaiges Cookie-Banner holt echte Einwilligungen ein.

Auswertung

Alle zwölf Punkte sicher mit Ja beantwortet: Ihre Praxis steht gut da. Bei einem bis drei offenen Punkten reicht meist gezieltes Nacharbeiten. Ab vier offenen Punkten fehlt in aller Regel nicht ein Dokument, sondern die Struktur dahinter — dann ist eine geordnete Bestandsaufnahme der schnellere Weg als das Abarbeiten einzelner Symptome.

Diese Checkliste ersetzt keine Prüfung des Einzelfalls. Sie deckt die Punkte ab, die in der Praxis am häufigsten fehlen, nicht alle denkbaren Anforderungen.

Dieser Beitrag gibt den Stand zum Zeitpunkt der Veröffentlichung wieder und dient der organisatorischen Orientierung. Er ersetzt keine Rechtsberatung im Einzelfall.