In diesem Ratgeber
Dokumentation
- Es gibt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO, und es bildet den heutigen Stand ab — nicht den bei Praxisgründung.
- Die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO sind schriftlich beschrieben.
- Die Rolle jedes Dienstleisters ist geklärt. Bei Auftragsverarbeitung liegt ein Vertrag nach Art. 28 DSGVO vor; eigenständig verantwortliche Empfänger wie medizinische Labore oder private Verrechnungsstellen werden gesondert bewertet.
- Ein Löschkonzept benennt die Fristen je Unterlagenart und die Verantwortlichen.
Technik
- Bildschirme am Empfang sind von Wartebereich und Tresen aus nicht einsehbar, und sie sperren automatisch.
- Jede Person hat ein eigenes Benutzerkonto im PVS; Sammelkonten wie "Empfang" existieren nicht.
- Zugriffsrechte sind nach Rolle vergeben — nicht jede Kraft muss jede Akte öffnen können.
- Es gibt ein Backup, und es wurde schon einmal testweise zurückgespielt.
Personal
- Alle Mitarbeitenden sind auf die Vertraulichkeit verpflichtet, und die Verpflichtungen liegen unterschrieben vor.
- Ein Schulungsplan legt risikogerechte Wiederholungen und anlassbezogene Einweisungen fest; Inhalte und Teilnahme sind dokumentiert.
- Neue Mitarbeitende werden vor dem ersten PVS-Zugang eingewiesen, nicht erst bei der nächsten Sammelschulung.
- Das Team meldet einen Pannenverdacht sofort intern. Die Leitung bewertet mit fachlicher Unterstützung, ob die Behörde unverzüglich und möglichst binnen 72 Stunden zu informieren ist.
Patientenrechte
- Die Datenschutzinformation nach Art. 13 DSGVO wird Patienten tatsächlich ausgehändigt oder ausgehängt, nicht nur auf der Website vorgehalten.
- Für Auskunftsersuchen gilt ein fester Ablauf: DSGVO-Antwort unverzüglich, grundsätzlich spätestens binnen eines Monats; Akteneinsicht nach § 630g BGB unverzüglich. Die erste Abschrift ist kostenlos.
- Auskünfte an Angehörige, Polizei, Versicherer und Gutachter folgen einer klaren Regel, nicht dem Bauchgefühl der diensthabenden Kraft.
- Die Website hat eine aktuelle Datenschutzerklärung, und ein etwaiges Cookie-Banner holt echte Einwilligungen ein.
Auswertung
Ordnen Sie jeden offenen Punkt nach möglicher Auswirkung, Dringlichkeit und Zuständigkeit. Ein ungeschütztes Patientenarchiv oder eine laufende Datenpanne kann dringender sein als mehrere fehlende Dokumentationsdetails. Die Anzahl der Häkchen allein bescheinigt keine Datenschutzkonformität.
Diese Checkliste ersetzt keine Prüfung des Einzelfalls. Sie deckt die Punkte ab, die in der Praxis am häufigsten fehlen, nicht alle denkbaren Anforderungen.
Quellen & Rechtsgrundlagen
Grundlagen dieses Beitrags, geprüft zum angegebenen Stand. Gesetze und behördliche Hinweise können sich ändern; maßgeblich bleibt Ihre konkrete Verarbeitung.
Dieser Ratgeber dient der datenschutzfachlichen und organisatorischen Orientierung. Er ersetzt keine anwaltliche Rechtsberatung im Einzelfall. Die Verantwortung für die Verarbeitung bleibt bei der Einrichtung. Für eine erste Beratungsanfrage genügen Angaben zum Anliegen; bitte keine Patientenakten über das öffentliche Kontaktformular senden.