®Warum Praxen besonders betroffen sind
Die Datenschutz-Grundverordnung stuft Gesundheitsdaten als „besondere Kategorien personenbezogener Daten“ ein (Art. 9 DSGVO). Für ihre Verarbeitung gelten strengere Regeln als für gewöhnliche Kundendaten. Jede Praxis verarbeitet solche Daten in großem Umfang – vom ersten Anruf über die Behandlung bis zur Abrechnung. Genau deshalb ist Datenschutz in der Praxis kein Randthema, sondern eine der zentralen organisatorischen Pflichten.
Die wichtigsten Pflichten im Überblick
Verzeichnis der Verarbeitungstätigkeiten
Jede Praxis muss dokumentieren, welche personenbezogenen Daten sie zu welchem Zweck verarbeitet. Dieses Verzeichnis ist die Grundlage für alles Weitere – und das Erste, wonach eine Aufsichtsbehörde fragt.
Technische und organisatorische Maßnahmen (TOM)
Dazu gehören Zugriffsbeschränkungen, Passwortregeln, verschlüsselte Kommunikation, ein Konzept für Bildschirmsperren und der sichere Umgang mit Papierunterlagen. Der Grundsatz: Nur wer Daten braucht, darf sie sehen.
Auftragsverarbeitungsverträge
Wer externe Dienstleister nutzt – Abrechnungsstelle, IT-Betreuung, Praxissoftware in der Cloud – muss mit ihnen einen Auftragsverarbeitungsvertrag schließen. Ohne diesen Vertrag ist die Weitergabe der Daten formal nicht abgesichert.
Team-Unterweisung
Alle Mitarbeitenden müssen im Datenschutz unterwiesen und auf die Vertraulichkeit verpflichtet werden – nachweisbar und regelmäßig. Ein großer Teil der Datenpannen entsteht nicht durch Technik, sondern durch Unwissen im Alltag.
Patientenrechte
Patientinnen und Patienten haben das Recht zu erfahren, welche Daten Sie über sie speichern (Auskunftsrecht nach Art. 15 DSGVO). Solche Anfragen müssen in der Regel innerhalb eines Monats vollständig beantwortet werden.
Brauchen Sie einen Datenschutzbeauftragten?
Das ist die Frage, die am häufigsten falsch beantwortet wird. Eine Bestellpflicht kann sich aus zwei Gründen ergeben: wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Datenverarbeitung beschäftigt sind, oder wenn die umfangreiche Verarbeitung besonderer Datenkategorien zur Kerntätigkeit gehört. Da Praxen genau solche Daten verarbeiten, sind viele betroffen – aber nicht alle. Die Antwort hängt vom Einzelfall ab und sollte konkret geprüft werden, statt sie zu raten.
Die häufigsten Fehler
In der Praxis sehen wir immer wieder dieselben Lücken: ein Verarbeitungsverzeichnis, das „historisch gewachsen“ und seit Jahren nicht aktualisiert ist; fehlende Auftragsverarbeitungsverträge mit langjährigen Dienstleistern; und Unterweisungen, die einmal stattfanden, aber nie wiederholt wurden. Keiner dieser Punkte ist dramatisch für sich – gefährlich wird die Summe, wenn eine Prüfung ansteht oder ein Patient nachfragt.
Datenschutz, der einfach läuft – statt liegen zu bleiben.
physicon übernimmt Datenschutz als betreuten Prozess: Dokumentation, Team-Unterweisung, Datenpannen-Management und Patientenauskünfte. Schreiben Sie uns, wir sagen Ihnen ehrlich, wo Ihre Praxis steht.
Betriebswirt und Prozessberater mit über zehn Jahren Beratungserfahrung und fünf Jahren als Geschäftsführer eines Gesundheitsunternehmens. Autorisierter INQA-Coach. physicon berät und coacht Gesundheitsunternehmen in Compliance, Prozessen und KI.