EU-VERORDNUNG: ÄRZTE MÜSSEN DATENVERARBEITUNG WOMÖGLICH BALD NEU GESTALTEN

Anlässlich neuer europäischer Vorschriften empfiehlt sich eine Revision des Datenschutzes in Praxen. Ärzte müssen sich auch mit neuen Informations- und Auskunftspflichten vertraut machen.

BERLIN.Am 25. Mai dieses Jahres tritt die EU-Datenschutzgrundverordnung in Kraft, mit der die Verarbeitung personenbezogener Daten durch Unternehmen und Behörden europaweit vereinheitlicht werden soll. In nationales Recht umgesetzt wird die EU-Verordnung durch die Neufassung des Bundesdatenschutzgesetzes.

"Mit der neuen Rechtslage gehen zwar keine gravierenden Änderungen einher; viele Vorgaben müssen schon jetzt in den Praxen berücksichtigt werden. Datenschutz soll aber künftig besser durchgesetzt werden. Daher sind die Befugnisse der Aufsichtsbehörden für den Datenschutz erweitert und die Bußgeldrahmen drastisch erhöht worden", heißt es in einer gemeinsamen Mitteilung von Bundesärztekammer und KBV.

Aktualisierte Hinweise

Artikel zum Thema

• Eine interaktive Version derDatenschutzgrundverordnung stellt das Beratungsunternehmen Intersoft Consulting unter dsgvo-gesetz.de zur Verfügung.
• Die aktualisierten Hinweise von KBV und BÄK zu Datenschutz und Datenverarbeitung in der Arztpraxis: bit.ly/2HkRO7s
• "Datenschutz-Check 2018 Was müssen Arztpraxen angesichts der neuen Vorschriften zum Datenschutz tun?", Quelle: KBV + BÄK: bit.ly/2twBSgo

Beide haben ihre "Hinweise und Empfehlungen zur ärztlichen Schweigepflicht, Datenschutz und Datenverarbeitung in der Arztpraxis" entsprechend neuem Recht jetzt aktualisiert und zudem eine Checkliste veröffentlicht, wo in Sachen Datenschutz Handlungs- oder doch wenigstens Überprüfungsbedarf bestehen könnte ("Datenschutz-Check 2018"). 

Hilfreich dürfte das insbesondere bei der Anpassung des praxisinternen Datenschutzmanagements sein. So etwa müssen entsprechend Artikel 30 der Datenschutzgrundverordnung (DSGVO) künftig alle Unternehmen und Einrichtungen mit mehr als 250 Mitarbeitern ein Verzeichnis darüber führen, welche Datenverarbeitungsvorgänge bei ihnen anfallen.

 Kleinere Arztpraxen sind davon jedoch nicht ausgenommen, denn Gesundheitsdaten fallen unter die besonderen personenbezogenen Daten (Artikel 9 DSGVO), für deren Verarbeitung eine generelle Verzeichnispflicht besteht.

Durchaus strittig ist, ob Praxisinhaber auch einen Datenschutzbeauftragten nach Artikel 37 DSGVO zu benennen haben. Die Antwort der Ärztegremien KBV und BÄK: "Praxen von ‚einzelnen Ärzten‘ müssen grundsätzlich keinen Datenschutzbeauftragten benennen, es sei denn sie sind ausnahmsweise in einem Ausmaß mit einer Datenverarbeitung von Patientendaten befasst, welche die des durchschnittlichen ‚einzelnen Arztes‘ erheblich übersteigt". 

Das könnte insbesondere für größere BAG zutreffen, heißt es in den aktualisierten Datenschutzhinweisen der Gremien. "In jedem Fall ist ein Datenschutzbeauftragter zu benennen, wenn mindestens zehn Mitarbeiter mit der automatisierten Datenverarbeitung befasst sind".

KBV und BÄK weisen darauf hin, dass Großpraxen diese Frage nicht auf die leichte Schulter nehmen sollten. Verstöße gegen die Vorschriften zur Benennung, Stellung und den Aufgaben des Datenschutzbeauftragten könnten mit Geldbußen bis zu zehn Millionen Euro oder maximal zwei Prozent des Vorjahres-Umsatzes bestraft werden.

Informationspflichten nehmen zu

Zu beachten sind außerdem erweiterte Informations- und Auskunftsrechte der Patienten. Artikel 12 DSGVO sieht "transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person" vor. Heißt: Ärzte müssen ihren Patienten  – leicht zugänglich und in verständlicher Form – die Modalitäten der Verarbeitung ihrer Daten erläutern und darüber hinaus auch darlegen, welche Rechte (Widerspruchs- Widerrufs- und Auskunftsrechte) sie in diesem Zusammenhang haben. 

Einen Katalog, der die bereitzustellenden Informationen aufführt, enthalten die Artikel 13 und 14 der Datenschutzgrundverordnung.

Und künftig haben Patienten nicht mehr nur das Recht zur Einsicht in ihre Patientenakte (§ 630g BGB), sondern nach Artikel 15 DSGVO auch das Recht zu erfahren, welche Gesundheitsdaten vom Arzt zu welchen Zwecken verarbeitet werden (Artikel 15 DSGVO). Auch die Löschung ihrer Daten können Patienten künftig beanspruchen (Artikel 17 DSGVO), allerdings nicht ausnahmslos immer. Öffentliche Interessen wie etwa Gesundheitsschutz oder Forschungszwecke können dem auch entgegenstehen.