Arztpraxen verarbeiten Gesundheitsdaten – besondere Kategorien nach Art. 9 DSGVO mit dem höchsten Schutzstatus. Das macht die Bestellung eines Datenschutzbeauftragten unabhängig von der Mitarbeiterzahl zur Pflicht: auch die Einzelpraxis mit drei Angestellten ist betroffen.
Was in Praxen und Pflegediensten regelmäßig zu klären ist.
AVV mit dem Anbieter, Zugriffsrechte je Rolle, Protokollierung, Datensicherung und Wiederherstellungstest.
Befunde per E-Mail oder Fax sind problematisch. Es gibt gangbare Wege – KIM, Portale, verschlüsselte Übermittlung – die im Praxisalltag funktionieren.
Neben der DSGVO greift das Strafrecht. Verpflichtungserklärungen für alle Beschäftigten sind Pflicht, nicht Kür.
Auskunft, Kopie der Akte, Weitergabe an mitbehandelnde Ärzte und Krankenkassen – mit klaren Abläufen statt Einzelfallentscheidungen.
Namensaufrufe, offene Bildschirme, Terminlisten auf dem Tresen. Die häufigsten Beanstandungen entstehen nicht in der IT.
Bei Gesundheitsdaten ist das Risiko eines Vorfalls fast immer hoch – die 72-Stunden-Meldung ist dann der Regelfall, nicht die Ausnahme.
Für Praxen in Viersen, Mönchengladbach, Krefeld und Erkelenz komme ich zur Erstaufnahme und zum Jahresaudit in die Praxis. Gerade im Gesundheitswesen zeigt sich vieles erst vor Ort: die Sichtbarkeit von Bildschirmen am Empfang, die Aufbewahrung von Papierakten, die Situation im Wartebereich.
Aufsichtsbehörde ist die Landesbeauftragte für Datenschutz und Informationsfreiheit NRW; Gesundheitsdaten sind dort seit Jahren ein ausgewiesener Prüfschwerpunkt.
Kein langer Vorlauf, kein Overhead. Sie benennen mich – und wir starten sofort strukturiert.
30 Minuten – persönlich, telefonisch oder per Video. Wir klären Betroffenheit, Umfang und Budget.
Formale Bestellung nach Art. 37 DSGVO, Meldung an die Aufsichtsbehörde. Ab sofort rechtssicher.
VVT, AVV, TOMs, Datenschutzhinweise. Parallel die NIS-2-Betroffenheitsanalyse mit Maßnahmenplan.
Monatspauschale, Quartalsberichte, jährliches internes Audit, jährliche Schulung, NIS-2-Review.
Ja. Bei der Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO – dazu gehören Gesundheitsdaten – greift die Bestellungspflicht unabhängig von der Mitarbeiterzahl.
Nicht über unverschlüsselte Standard-E-Mail. Mit geeigneter Verschlüsselung oder über ein Patientenportal ist es möglich. Ich schaue mir an, welche Wege in Ihrer Praxis technisch bereits vorhanden sind.
Ja, alle Personen mit Zugriff auf Patientendaten – Schulung plus Verpflichtung auf die Vertraulichkeit und Schweigepflicht. Die jährliche Schulung ist im Full-Service-Paket enthalten.
Ja. Die AVV-Anforderungen und Rechtekonzepte der gängigen Praxisverwaltungssysteme sind mir vertraut, was die Einrichtung deutlich verkürzt.
Nein, und das ist auch nicht nötig. Ich prüfe Prozesse, Rechtekonzepte und Dokumentation – nicht Behandlungsinhalte. Als Datenschutzbeauftragter unterliege ich zusätzlich der Verschwiegenheit nach Art. 38 Abs. 5 DSGVO.
Erstgespräch mit der Praxisleitung – vor Ort oder per Video, 30 Minuten.