In diesem Ratgeber
Welche Verarbeitung muss genauer geprüft werden?
Artikel 35 DSGVO nennt unter anderem die umfangreiche Verarbeitung von Gesundheitsdaten sowie die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. Die übliche Behandlung durch eine einzelne Ärztin oder einen einzelnen Arzt ist nach Erwägungsgrund 91 grundsätzlich keine umfangreiche Verarbeitung. Besondere zusätzliche Verfahren können dennoch eine DSFA auslösen.
Prüfen Sie außerdem die für Ihre Praxis einschlägige Muss-Liste der Datenschutzaufsicht. Die abgestimmte DSK-Liste erfasst beispielsweise bestimmte KI-Anwendungen zur Steuerung der Interaktion mit Menschen oder zur Bewertung persönlicher Aspekte. Daraus folgt keine pauschale Pflicht für jede Software mit KI-Funktion. Maßgeblich bleiben die konkrete Anwendung und der Wortlaut des Listeneintrags.
Die Vorprüfung nachvollziehbar dokumentieren
Beschreiben Sie zunächst, was das Vorhaben tatsächlich macht. Ein Anbieterhinweis wie „DSGVO-konform“ beantwortet diese Frage nicht. Für die Vorprüfung sollten Sie mindestens folgende Punkte zusammenstellen:
- Zweck und Ablauf: Welche Aufgabe wird erledigt, welche Daten werden dafür benötigt?
- Betroffene Personen: Geht es um Patienten, Beschäftigte oder besonders schutzbedürftige Gruppen?
- Umfang: Wie viele Menschen, Standorte, Datenarten und Zeiträume sind betroffen?
- Technik und Empfänger: Welche Systeme, Anbieter, Schnittstellen und Zugriffe sind beteiligt?
- Risiken: Drohen beispielsweise unbefugte Offenlegung, fehlerhafte Zuordnung oder eine erhebliche Benachteiligung?
Halten Sie das Ergebnis samt Begründung fest, auch wenn keine DSFA notwendig ist. Eine allgemeine Bezeichnung wie „kleine Praxis“ reicht als Begründung nicht aus. Die Bewertung muss zu der tatsächlich geplanten Verarbeitung passen.
Was in den DSFA-Bericht gehört
Eine hilfreiche DSFA verbindet die Beschreibung des Vorhabens mit konkreten Entscheidungen. Nach Artikel 35 Absatz 7 DSGVO gehören Verarbeitung und Zwecke, Notwendigkeit und Verhältnismäßigkeit, Risiken sowie die vorgesehenen Abhilfemaßnahmen in die Prüfung.
- Verarbeitung abgrenzen: Zeichnen Sie den Weg der Daten vom Eingang bis zur Löschung nach. Erfassen Sie auch Protokolle, Exporte und Dienstleister.
- Erforderlichkeit prüfen: Begründen Sie, weshalb die Daten und Funktionen gebraucht werden. Prüfen Sie weniger eingriffsintensive Möglichkeiten.
- Schäden bewerten: Beschreiben Sie mögliche Folgen für Menschen und bewerten Sie Eintrittswahrscheinlichkeit und Schwere. Ein drohendes Bußgeld für die Praxis ist nicht der Bewertungsmaßstab.
- Maßnahmen festlegen: Ordnen Sie Risiken passende Zugriffsregeln, technische Sicherungen, Löschregeln und organisatorische Kontrollen zu.
- Ergebnis festhalten: Dokumentieren Sie verbleibende Risiken, Zuständigkeiten, Umsetzungstermine und die Entscheidung der verantwortlichen Praxisleitung.
Wer trägt die Verantwortung?
Die Verantwortung liegt beim Verantwortlichen, also etwa der Praxisinhaberin oder der Trägergesellschaft des MVZ. Praxismanagement, behandelnde Personen und IT-Dienstleister liefern die Informationen zu Abläufen und Technik. Der Datenschutzbeauftragte berät zur DSFA und überwacht ihre Durchführung; er erteilt keine behördliche Genehmigung und übernimmt nicht die Entscheidung der Praxisleitung.
Für nichtöffentliche Stellen ist außerdem § 38 BDSG wichtig: Besteht eine Pflicht zur DSFA, ist unabhängig von der Zahl der mit der Verarbeitung beschäftigten Personen ein Datenschutzbeauftragter zu benennen. Auch eine kleinere Praxis sollte diese Folge bei einem entsprechenden Vorhaben früh berücksichtigen.
Wann muss die Aufsichtsbehörde einbezogen werden?
Bleibt trotz der vorgesehenen Schutzmaßnahmen ein hohes Risiko für die Rechte und Freiheiten bestehen, muss die zuständige Datenschutzaufsicht nach Artikel 36 DSGVO vor Beginn konsultiert werden. Eine solche vorherige Konsultation ist nicht bei jeder DSFA erforderlich.
Planen Sie die Prüfung deshalb vor dem produktiven Einsatz ein. Auch ein Pilot mit echten Patientendaten ist bereits eine Verarbeitung. Für erste Funktionstests eignen sich eigens angelegte Testdaten ohne Personenbezug. Schutzmaßnahmen müssen umgesetzt und ihre Wirksamkeit überprüft sein, bevor der freizugebende Ablauf beginnt.
Die Prüfung bei Änderungen fortschreiben
Legen Sie fest, wer Änderungen bewertet. Neue Schnittstellen, zusätzliche Standorte, veränderte KI-Funktionen oder neue Empfänger können das Risiko verändern. Dann ist die DSFA zu überprüfen und gegebenenfalls anzupassen. Anbieterunterlagen sind dabei hilfreich, müssen aber auf die Einstellungen und Arbeitsabläufe Ihrer Praxis übertragen werden.
Quellen & Rechtsgrundlagen
Grundlagen dieses Beitrags, geprüft zum angegebenen Stand. Gesetze und behördliche Hinweise können sich ändern; maßgeblich bleibt Ihre konkrete Verarbeitung.
- DSK: Kurzpapier Nr. 5 – Datenschutz-Folgenabschätzung nach Art. 35 DS-GVO (öffnet in neuem Tab)17.12.2018
- DSK: Liste der Verarbeitungstätigkeiten, für die eine DSFA durchzuführen ist (öffnet in neuem Tab)Version 1.1
- LfD Niedersachsen: Muss-Listen zur Datenschutz-Folgenabschätzung (öffnet in neuem Tab)
- Bayerisches Landesamt für Datenschutzaufsicht: Anforderungen für eine kleine Arztpraxis (öffnet in neuem Tab)
- Sächsische Datenschutz- und Transparenzbeauftragte: Zeitpunkt und Durchführung einer DSFA (öffnet in neuem Tab)
- Sächsische Datenschutz- und Transparenzbeauftragte: Konsultationsverfahren bei hohem Restrisiko (öffnet in neuem Tab)
- § 38 BDSG – Datenschutzbeauftragte nichtöffentlicher Stellen (öffnet in neuem Tab)
Dieser Ratgeber dient der datenschutzfachlichen und organisatorischen Orientierung. Er ersetzt keine anwaltliche Rechtsberatung im Einzelfall. Die Verantwortung für die Verarbeitung bleibt bei der Einrichtung. Für eine erste Beratungsanfrage genügen Angaben zum Anliegen; bitte keine Patientenakten über das öffentliche Kontaktformular senden.