Datenschutz in der Arztpraxis: Vorgaben und praktische Umsetzung für Inhabende und Praxisteams
In einer Arztpraxis werden täglich besonders schützenswerte personenbezogene Daten verarbeitet. Dazu gehören nicht nur Name, Adresse und Kontaktdaten, sondern vor allem Gesundheitsdaten, Diagnosen, Befunde, Medikationspläne und Informationen zur Behandlung. Gesundheitsdaten zählen nach Art. 9 Datenschutz-Grundverordnung (DSGVO) zu den besonderen Kategorien personenbezogener Daten. Für ihre Verarbeitung gelten daher besonders hohe Anforderungen.
Inhaltsverzeichnis
Gesundheitsdaten und Datenschutz
Gesundheitsdaten gehören nach Art. 9 der Datenschutz-Grundverordnung (DS-GVO) zu den besonderen Kategorien personenbezogener Daten und unterliegen einem extrem hohen Schutzniveau. Für Arztpraxen bedeutet dies, dass allgemeine datenschutzrechtliche Vorgaben mit der ärztlichen Schweigepflicht sowie anderen fachspezifischen Richtlinien harmonisiert werden müssen.
Patientendaten dürfen nur für festgelegte Zwecke verarbeitet werden
Personenbezogene Daten dürfen grundsätzlich nicht beliebig erhoben oder verwendet werden. Für jeden Verarbeitungsvorgang muss ein konkreter Zweck bestehen. In der Arztpraxis werden Daten beispielsweise benötigt, um eine Behandlung durchzuführen, eine Patientenakte zu führen, mit Krankenkassen abzurechnen oder gesetzliche Dokumentationspflichten zu erfüllen.
Eine Praxis sollte deshalb prüfen, welche Daten tatsächlich benötigt werden. Wird für eine Terminvereinbarung lediglich eine Telefonnummer erfasst, ist die zusätzliche Abfrage weiterer Angaben möglicherweise nicht erforderlich. Auch bei digitalen Kontaktformularen sollte nur nach Informationen gefragt werden, die für die Bearbeitung der Anfrage notwendig sind.
Datenschutz beginnt am Empfang
Datenschutz muss bereits im Empfangsbereich berücksichtigt werden. Gespräche über Diagnosen, Beschwerden oder Untersuchungsergebnisse sollten nicht so geführt werden, dass andere wartende Personen mithören können. Auch aufgerufene Namen, sichtbar ausliegende Patientenakten und offen einsehbare Bildschirme können zu Datenschutzverletzungen führen.
Sitzplätze im Wartebereich können so angeordnet werden, dass Gespräche am Empfang möglichst nicht mitgehört werden. Patientenakten sollten nach der Bearbeitung nicht offen auf dem Tresen liegen bleiben. Bildschirme können so ausgerichtet werden, dass sie von wartenden Personen nicht eingesehen werden. Wird eine Patientin oder ein Patient aufgerufen, sollte geprüft werden, ob der vollständige Name genannt werden muss oder ob eine datensparsamere Ansprache möglich ist.
Datenschutz bei Telefonaten mit Patienten
Auch Telefonate erfordern Aufmerksamkeit. Werden Untersuchungsergebnisse oder andere Gesundheitsdaten telefonisch mitgeteilt, sollte zunächst die Identität der anrufenden Person zuverlässig überprüft werden. Bei Unsicherheit sollten sensible Informationen nicht telefonisch übermittelt werden.
Außerdem sollten Telefonate mit personenbezogenen Daten immer so geführt werden, dass niemand Unbefugtes mithören kann.
Zugriffsrechte sollten sich an den Aufgaben orientieren
Nicht jedes Teammitglied benötigt Zugriff auf sämtliche Patientendaten. Durch ein rollenbasiertes Berechtigungskonzept kann festgelegt werden, welche Personen auf welche Informationen zugreifen dürfen. Der Zugriff sollte sich an den jeweiligen Aufgaben orientieren und regelmäßig überprüft werden.
Das medizinische Personal benötigt möglicherweise Zugriff auf Befunde und Behandlungsdokumentationen. Für die Terminverwaltung sind dagegen in vielen Fällen nur Kontaktdaten und Termininformationen erforderlich. Eine Person, die ausschließlich für die Abrechnung tätig ist, muss nicht automatisch alle Angaben aus der Krankengeschichte einsehen können.
Datenschutz, wenn Mitarbeiter die Praxis verlassen
Ausscheidende Mitarbeitende sollten unverzüglich aus den relevanten Systemen entfernt werden. Ebenso sollten Benutzerkonten nicht gemeinsam genutzt werden. Durch persönliche Zugangsdaten kann nachvollzogen werden, wer auf welche Informationen zugegriffen oder Änderungen vorgenommen hat.
BLOG-TIPP: SICHERES ON- UND OFFBOARDING VON MITARBEITENDEN: DATENSCHUTZ SICHER UMSETZEN
Papierunterlagen und digitale Daten müssen geschützt werden
Der Datenschutz betrifft nicht nur das Praxisverwaltungssystem. Auch Papierakten, Ausdrucke, Notizzettel und Überweisungsscheine enthalten häufig Gesundheitsdaten und müssen geschützt werden. Patientenunterlagen sollten in verschlossenen Schränken oder Bereichen aufbewahrt werden, die für unbefugte Personen nicht zugänglich sind.
Nicht mehr benötigte Unterlagen dürfen nicht einfach im Papiermüll entsorgt werden. Sie müssen so vernichtet werden, dass die enthaltenen Informationen nicht wiederhergestellt werden können. Das gilt auch für falsch ausgedruckte Befunde oder handschriftliche Notizen.
Technische und organisatorische Maßnahmen (TOM)
Für digitale Daten sollten ebenso geeignete technische und organisatorische Maßnahmen (TOM) eingesetzt werden. Dazu gehören unter anderem individuelle Benutzerkonten, sichere Passwörter, aktuelle Software, regelmäßige Datensicherungen und ein wirksamer Schutz vor Schadsoftware. Mobile Geräte und Datenträger sollten besonders abgesichert werden, weil sie leichter verloren gehen oder gestohlen werden können.
BLOG-TIPP: TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN (TOM) IM DATENSCHUTZ
E-Mails mit Gesundheitsdaten müssen besonders abgesichert werden
Die Übermittlung von Gesundheitsdaten per E-Mail erfordert besondere Vorsicht. Eine normale, unverschlüsselte E-Mail bietet in der Regel keinen ausreichenden Schutz für sensible medizinische Informationen. Vor dem Versand sollte deshalb geprüft werden, ob die Identität der empfangenden Person eindeutig feststeht und welcher geschützte Übertragungsweg verwendet werden kann.
Auch bei der Kommunikation mit anderen Praxen, Laboren oder Dienstleistenden sollte darauf geachtet werden, dass nur die erforderlichen Informationen weitergegeben werden und der Übertragungsweg angemessen geschützt ist.
Externe Dienstleistende müssen sorgfältig eingebunden werden
In vielen Arztpraxen werden externe Unternehmen oder deren Software eingesetzt, beispielsweise für die Wartung der IT, die digitale Terminvergabe, die Datensicherung, die Abrechnung oder den Betrieb von Cloud-Diensten. Werden personenbezogene Daten im Auftrag der Praxis verarbeitet, ist regelmäßig ein Vertrag zur Auftragsverarbeitung (AV-Vertrag) erforderlich.
Vor der Beauftragung sollte geprüft werden, welche Daten verarbeitet werden, zu welchem Zweck dies geschieht und welche Schutzmaßnahmen das Unternehmen einsetzt. Außerdem sollte geregelt sein, wie mit Sicherheitsvorfällen, Unterauftragnehmern und der Löschung oder Rückgabe von Daten umgegangen wird.
BLOG-TIPP: DATENSCHUTZ IN DER PRAXIS – AV-VERTRÄGE
Patienten müssen informiert werden
Patienten müssen darüber informiert werden, wie ihre personenbezogenen Daten verarbeitet werden. In den Datenschutzhinweisen sollten unter anderem die verantwortliche Stelle, die Zwecke der Verarbeitung, die Rechtsgrundlagen, mögliche Empfänger, Speicherdauern und die Rechte der betroffenen Personen erläutert werden.
Die Informationen müssen verständlich und leicht zugänglich sein. Sie sollten beispielsweise bei der Aufnahme in der Praxis bereitgestellt und auf der Website veröffentlicht werden. Werden zusätzliche digitale Angebote eingesetzt, etwa ein Online-Terminbuchungssystem oder eine Videosprechstunde, sollten auch diese Verarbeitungsvorgänge berücksichtigt werden.
Die gesetzlich vorgeschriebene Aufbewahrung von Behandlungsunterlagen ist dabei zu beachten. Ein Löschverlangen kann nicht immer sofort umgesetzt werden, wenn gesetzliche Aufbewahrungspflichten einer Löschung entgegenstehen. In diesem Fall sollte der betroffenen Person nachvollziehbar erklärt werden, warum die Daten noch gespeichert werden müssen.
Notfallplan im Datenschutz
Trotz aller Schutzmaßnahmen kann es zu Datenschutzverletzungen kommen. Beispiele sind ein fehlgeleitetes Schreiben, ein verlorener USB-Stick, ein gestohlenes Notebook oder ein unbefugter Zugriff auf das Praxisverwaltungssystem. Für solche Fälle sollte ein klarer interner Ablauf festgelegt werden.
Zunächst sollte der Vorfall dokumentiert und sein Umfang eingeschätzt werden. Anschließend muss geprüft werden, ob eine Meldung an die zuständige Datenschutzaufsichtsbehörde erforderlich ist. Eine Meldung ist in der Regel notwendig, sofern die Datenschutzverletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten betroffener Personen führt. Diese Meldung muss innerhalb von 72 Stunden erfolgen. Bei einem hohen Risiko kann zusätzlich eine Information der betroffenen Personen erforderlich sein.
Ein vorbereiteter Notfallplan erleichtert die Reaktion. Darin sollte festgelegt werden, wer den Vorfall entgegennimmt, wer die technische Prüfung veranlasst, wer die erforderlichen Entscheidungen trifft und wie die Dokumentation erfolgt.
BLOG-TIPP: DER IT-AUSFALL ALS DATENSCHUTZ-PANNE
Datenschutz muss regelmäßig überprüft werden
Ein einmal erstellter Datenschutzordner reicht nicht aus. Systeme, Dienstleistende, Kommunikationswege und Arbeitsabläufe verändern sich regelmäßig. Deshalb sollte der Datenschutz in der Praxis wiederkehrend überprüft werden.
Dazu gehören insbesondere ein Verzeichnis der Verarbeitungstätigkeiten (VVT), dokumentierte technische und organisatorische Maßnahmen (TOM), aktuelle Datenschutzhinweise und ein Berechtigungskonzept. Auch Schulungen für Mitarbeitende sollten regelmäßig durchgeführt werden. Dabei sollten typische Alltagssituationen besprochen werden.
Datenschutz in der Arztpraxis entsteht damit nicht durch eine einzelne Maßnahme, sondern durch das Zusammenspiel aus klaren Zuständigkeiten, sicheren Systemen und datensensiblen Abläufen. Werden Patientendaten nur im erforderlichen Umfang verarbeitet, Zugriffe begrenzt, Kommunikationswege geschützt und Datenschutzverletzungen vorbereitet behandelt, kann der Schutz personenbezogener Daten dauerhaft in den Praxisalltag integriert werden.
Das Team von Datenschutzberater.NRW bietet Organisationen unterschiedlicher Art Beratung im Datenschutz an. Mit unseren Fachleuten aus dem Bereich Datenschutz, IT und Steuerrecht erstellen wir Ihnen gerne ein individuelles Angebot für eine Datenschutz-Erstberatung, die Betreuung durch einen externen Datenschutzbeauftragten und entwickeln ein für Sie passendes Konzept. Nehmen Sie einfach Kontakt zu uns auf.
Wir betreuen Mandanten bundesweit. Lesen Sie mehr zu unserem individuellen Angebot. Dieser Artikel dient zur allgemeinen Erstinformation, ersetzt keine fachliche und individuelle Beratung und erhebt keinen Anspruch auf Vollständigkeit. Wenn Sie sich unsicher sind, ob Sie den Datenschutz ausreichend umsetzen, dann lassen Sie sich von uns professionell beraten.
