Was gehört zum Datenschutz in einer Arztpraxis?

Die Grundlagen

Verzeichnis der Verarbeitungstätigkeiten. Welche Daten werden wofür verarbeitet, wie lange, wer hat Zugriff.

Auftragsverarbeitungsverträge. Mit jedem Dienstleister, der Zugriff hat – Software, IT-Betreuung, Abrechnungsstelle, Aktenvernichtung.

Zusätzlich § 203 StGB. Dienstleister müssen gesondert zur Verschwiegenheit verpflichtet werden. Ein Datenschutzvertrag allein genügt dafür nicht.

Rollen und Rechte. Der Empfang braucht nicht denselben Zugriff wie die Behandelnden.

Zugriffsprotokollierung. Wer hat welche Akte geöffnet.

Was im Praxisalltag oft fehlt

• Bildschirmsperre am Empfang bei Abwesenheit
• Sichtschutz, damit Wartende keine Monitore einsehen
• Diskretionsabstand und Gesprächsführung am Tresen
• Verpflichtung neuer Mitarbeitender, dokumentiert
• Regelung für private Geräte

Diese Punkte sind kostenlos und werden in Prüfungen regelmässig beanstandet.

Datenschutzbeauftragter

Eine Benennungspflicht besteht unter anderem, wenn eine umfangreiche Verarbeitung besonderer Datenkategorien zur Kerntätigkeit gehört, oder ab einer bestimmten Zahl ständig mit der Verarbeitung beschäftigter Personen. Ob eine Praxis betroffen ist, hängt vom Einzelfall ab.

Bei einer Datenpanne

Meldung an die Aufsichtsbehörde in der Regel binnen 72 Stunden. Bei Gesundheitsdaten ist ein hohes Risiko oft anzunehmen – dann sind zusätzlich die Betroffenen zu informieren.

Dieser Text ersetzt keine Rechtsberatung.