Arztpraxen, Zahnärzte, Physiotherapie- und Psychotherapiepraxen sowie Pflegedienste verarbeiten täglich Gesundheitsdaten. Diese gehören nach Art. 9 DSGVO zu den besonderen Kategorien personenbezogener Daten und genießen erhöhten Schutz. Hinzu kommt die ärztliche Schweigepflicht, deren Verletzung nach § 203 StGB strafbar sein kann. Datenschutz ist in Gesundheitsberufen damit keine Formalie, sondern Teil der Berufspflichten.
Rechtsgrundlage der Verarbeitung
Für die Behandlung selbst ist in der Regel keine Einwilligung erforderlich. Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 22 Abs. 1 Nr. 1 lit. b BDSG erlaubt die Verarbeitung für Zwecke der Gesundheitsvorsorge, der medizinischen Diagnostik und der Behandlung, wenn sie durch Fachpersonal erfolgt, das einer Geheimhaltungspflicht unterliegt. Eine Einwilligung wird aber nötig, wenn Daten für andere Zwecke genutzt oder an Dritte weitergegeben werden sollen, etwa an privatärztliche Verrechnungsstellen, und keine gesetzliche Erlaubnis greift. Für die Weitergabe an Abrechnungsstellen ist wegen der Schweigepflicht regelmäßig eine Einwilligung bzw. Schweigepflichtentbindung einzuholen.
Typische Risiken im Praxisalltag
- Am Empfang und im Wartezimmer sind Gespräche über Diagnosen und Medikation oft für andere hörbar. Diskretionszonen und eine sensible Kommunikation helfen.
- Telefonische Auskünfte über Befunde gehören nur an eindeutig identifizierte Patienten, nicht an Angehörige ohne Berechtigung.
- Für den Befundversand sind unverschlüsselte E-Mails regelmäßig nicht ausreichend. Mehr dazu in unserem Beitrag zur E-Mail-Verschlüsselung.
- Terminabsprachen oder gar Befunde per privatem Messenger sind besonders riskant; siehe WhatsApp im Unternehmen.
- Monitore am Empfang sollten so ausgerichtet sein, dass Patienten keine fremden Daten sehen, und Akten nicht offen liegen.
Dienstleister und IT
Praxissoftware, Online-Terminbuchung, IT-Wartung und Cloud-Speicher: Wer externe Dienstleister einsetzt, braucht einen Auftragsverarbeitungsvertrag und muss zusätzlich die Schweigepflicht beachten. § 203 Abs. 3 StGB erlaubt die Offenbarung gegenüber mitwirkenden Personen, wenn dies für deren Tätigkeit erforderlich ist; diese sind aber zur Geheimhaltung zu verpflichten. Für Online-Terminbuchungstools ist genau zu prüfen, welche Daten an den Anbieter fließen und ob dieser sie für eigene Zwecke nutzt.
Aufbewahrung und Auskunft
Für die ärztliche Dokumentation gelten besondere Aufbewahrungsfristen, insbesondere nach § 630f BGB in der Regel zehn Jahre nach Abschluss der Behandlung, sofern andere Vorschriften keine abweichenden Fristen vorsehen. Patienten haben ein Einsichtsrecht nach § 630g BGB und zusätzlich einen Auskunfts- und Kopieanspruch nach Art. 15 DSGVO. Der EuGH hat im Oktober 2023 entschieden, dass die erste Kopie der Patientenakte nach der DSGVO grundsätzlich unentgeltlich zur Verfügung zu stellen ist.
Datenschutzbeauftragter und DSFA
Größere Praxen und Medizinische Versorgungszentren verarbeiten Gesundheitsdaten in erheblichem Umfang. Ob deshalb ein Datenschutzbeauftragter zu benennen und eine Datenschutz-Folgenabschätzung durchzuführen ist, hängt von Größe und Umfang ab und sollte für jede Praxis geprüft werden.
Klare Abläufe am Empfang, sichere Kommunikation, sorgfältig ausgewählte Dienstleister und ein geordneter Umgang mit Patientenakten decken die wichtigsten Risiken ab. Für Praxen und Pflegedienste prüfen wir den Datenschutz gern im Detail. Schreiben Sie uns oder buchen Sie einen Termin.
Share this content:
Schreibe einen Kommentar