DS-GVO-Check: Haben Sie wirklich schon alle Formalitäten in Ihrer Praxis umgesetzt?

| Aufgrund von allseits verfügbaren Informationen zur DS-GVO ist davon auszugehen, dass die meisten Zahnarztpraxen das Thema Datenschutz in seiner formalen und praktischen Umsetzung in Angriff genommen haben. Was allerdings nicht bedeutet, dass dies in der Praxis auch einfach (gewesen) wäre. Hier deshalb ein Überblick darüber, welche Probleme sich immer noch in Zahnarztpraxen typischerweise rund um die DS-GVO-Formalitäten ergeben und wie diese gelöst werden können. |

Die Patienteninformation

Gemäß Art. 13 DS-GVO besteht seitens der Datenschutzverantwortlichen eine Informationspflicht bzgl. der Erhebung personenbezogener Daten. Bezogen auf die Patienten wird in einer Zahnarztpraxis dieser Verpflichtung regelmäßig durch eine sogenannte Patienteninformation nachgekommen. So weit, so gut: Aufgrund diverser Vorlagen seitens der Kammern, KZVen oder sonstiger Bezugsquellen dürfte eine solche Patienteninformation für die eigene Praxis kein Problem sein. Allerdings gibt es sehr unterschiedliche Vorgaben dazu, wie diese Informationen an die Patienten kommen sollen. Die jeweils zuständigen Landesdatenschutzbehörden haben dazu verschiedene Vorstellungen.

Die Praxis-Homepage

Dass auf Homepage und Social-Media-Accounts wie Facebook-Fanpages eine Datenschutzerklärung vorzuhalten ist, hat sich mittlerweile herumgesprochen. Datenschutzrechtlich ist aber darüber hinaus ebenso relevant, dass Nutzer auch online in alle Datenverarbeitungen einwilligen müssen, die nicht für die Zurverfügungstellung der Homepage, zur Erfüllung einer gegenseitigen Verpflichtung oder aus einem berechtigten Interesse heraus notwendig sind.

Das Verzeichnis der Verarbeitungstätigkeiten

Jede Zahnarztpraxis muss ein Verzeichnis der Verarbeitungstätigkeiten erstellen, da regelmäßig Gesundheitsdaten und somit besondere Daten gemäß Art. 9 DS-GVO verarbeitet werden. Falls eine Praxis die Umsetzung dieses Projekts noch nicht in Angriff genommen haben sollte ‒ bitte tun Sie es jetzt! Auch wenn es viel Arbeit bedeutet, ist die Erstellung eines Verfahrensverzeichnisses vor allem aus den folgenden Gründen hilfreich:

• Zum einem können Sie sich selbst einen Überblick über die eigene Datenverarbeitung und ggf. erforderliche Verbesserungsmaßnahmen verschaffen.

• Zum anderen wird im Falle einer behördlichen Prüfung ‒ aus welchem Grund auch immer ‒ der für die jeweilige Praxis zuständige Datenschutzbeauftragte die Vorlage eines solchen Verzeichnisses fordern.

Die Datenschutzfolgeabschätzung (DSFA)

Nach Art. 35 DS-GVO hat derjenige Verantwortliche eine Datenschutzfolgeabschätzung (DSFA) zu erstellen, der u. a. umfangreich Gesundheitsdaten verarbeitet. Was genau dieses „umfangreich“ bedeutet, ist nur eindeutig für Einzel-(zahn-)ärzte in dem DS-GVO-Erwägungsgrund 91 Satz 5 definiert. Daraus kann aber nicht gefolgert werden, dass

• kein Einzel-(zahn-)arzt mangels umfangreicher Datenverarbeitung regelmäßig eine DSFA vornehmen muss. Denn auch Einzel-(zahn-)ärzte können aufgrund besonders risikobehafteter Verarbeitungen personenbezogener Daten zu einer DSFA verpflichtet sein;

• jede größere Praxis eine DSFA vornehmen muss. Denn auch größere Praxen können eine „nicht umfangreiche“ Datenverarbeitung haben.

Der Datenschutzbeauftragte (DSB)

§ 38 Bundesdatenschutzgesetz ist mittlerweile neu geregelt und die Schwelle für die verpflichtende Benennung eines betrieblichen Datenschutzbeauftragten (DSB) ist auf 20 datenverarbeitende Mitarbeiter angehoben worden. Dennoch darf nicht außer Acht gelassen werden, dass auch kleinere Zahnarztpraxen dann einen DSB benennen müssen, sobald sie eine DSFA zu erstellen haben.

Der Auftragsverarbeitungsvertrag (AVV)

Wird die Verarbeitung personenbezogener Daten an einen externen Dienstleiter auslagert, so ist gemäß Art. 28 DS-GVO mit diesem Dienstleister ein Auftragsverarbeitungsvertrag (AVV) zu erstellen. Bezüglich der allermeisten externen Dienstleistungen (z. B. Fernwartung durch Mitarbeiter des Softwareanbieters) stellt die Erfüllung dieser Datenschutzformalie an sich auch zumeist kein Problem dar.

Die praktische Erfahrung zeigt aber, dass häufig bei Dienstleistern die Einbindung auf die Verschwiegenheitsverpflichtung vergessen wird, die ansonsten kaum Kontakt zu medizinischen Berufsfeldern haben. Deswegen sollte ein entsprechender AVV extra hinsichtlich der Verpflichtung auf das Berufsgeheimnis (Stichwort: § 203 Strafgesetzbuch) überprüft werden.

Weitere Unsicherheiten beim Umgang mit externen Dienstleistern zeigen sich außerdem bei zwei speziellen Berufsgruppen: den selbstständigen Zahntechnikern, denen für die Erledigung eines Auftrags Patientendaten zugeschickt werden, und den Steuerberatern, an die die Lohnbuchhaltung ausgelagert wird. Teilweise wird von deren Seite der Abschluss eines AVV verweigert, weil es nicht nötig sei.

Die Einwilligung des Patienten

Große Unsicherheit besteht nach wie vor bei der Frage, wann und wie eine Einwilligung des Patienten für eine bestimmte Datenverarbeitung eingeholt werden muss.

Dann ist die Patienteneinwilligung einzuholen

Eine Einwilligung seitens der Betroffenen ist immer dann vonnöten, wenn die entsprechende Datenverarbeitung nicht anders gerechtfertigt ist. Keiner Einwilligung bedarf es also z. B. bei einer gesetzlichen Verpflichtung zur Datenübermittlung, bei der Erfüllung des gegenseitigen Behandlungsvertrags, bei einem berechtigten Interesse der Praxis an der Datenverarbeitung gemäß Art. 6 Abs. 1 lit. f) DS-GVO oder wenn ein AVV die Rechtsmäßigkeit der Datenverarbeitung abdeckt (siehe dazu auch schon ZP 10/2018, Seite 8).

So ist die Patienteneinwilligung einzuholen

Die Einwilligung muss durch die Betroffenen ausdrücklich und in informierter Weise erfolgen. Weiterhin sind die Betroffenen darüber aufzuklären, dass sie die ihrerseits erteilten Einwilligungen jederzeit mit Wirkung für die Zukunft widerrufen dürfen. Außerdem darf eine gegenseitige Vertragsbeziehung (z. B. der Behandlungsvertrag) nicht davon abhängig gemacht werden, ob der Patient in eine bestimmte, nicht für den gegenseitigen Behandlungsvertrag notwendige oder vorgeschriebene Datenverarbeitung einwilligt.

Das Löschen von Patientendaten

Eine der schwierigsten datenschutzrechtlichen Vorgaben scheint in der Praxis das Löschen von Daten zu sein. Zum einem, weil die Behandler dies teilweise gar nicht wollen. Und zum anderen, weil sie es teilweise rein technisch gar nicht umsetzen können. Doch es gilt:

Personenbezogene Daten müssen immer nach den Grundsätzen des Art. 5 DS-GVO behandelt werden. Dazu gehören u. a. die Rechtmäßigkeit der Datenverarbeitung, deren Zweckbindung, Datenminimierung und Speicherbegrenzung, nicht aber ausdrücklich auch das Löschen. Trotzdem ist daraus zu schließen, dass die Daten gelöscht werden müssen, wenn die Rechtmäßigkeit einer Datenspeicherung wegfällt (z. B. weil die Aufbewahrungsfrist der Behandlungsdokumentation abgelaufen ist) oder wenn für die weitere Archivierung eine gesetzliche Rechtsgrundlage fehlt. Wenn der Betroffene nicht in eine unbegrenzte Speicherung einwilligt, kann gar nicht anders mit den Daten verfahren werden, als sie zu löschen. Auch ein berechtigtes Interesse des Behandlers würde dann nur eine weitere Datenspeicherung im Einzelfall rechtfertigen können, nicht aber eine gesamte Behandlungsdokumentation.