Datenschutz in der ärztlichen Praxis
Leitfaden zur DS-GVO und dem BDSG mit Praxistipps, Musterdokumenten und Checklisten
Zusammenfassung
Sicher? Sicher!
25. Mai 2018: Dieser Stichtag ist allen, die die DSG-VO in ihrer Praxis umzusetzen hatten, noch in Erinnerung. Seitdem hat jeder seine Erfahrungen mit den neuen Regelungen im Datenschutzrecht gemacht, sei es als Praxisinhaber, Datenschutzbeauftragter, Arbeitnehmer oder Verbraucher. Viele Fragen bleiben weiterhin offen und werden erst nach und nach Gegenstand von stichprobenartigen Überprüfungen von den Datenschutzbehörden sein. Hierbei kann es u.a. um folgende Fragen gehen:
- Ist für die Datenverarbeitung bei der Behandlung von Patienten immer eine Einwilligung einzuholen?
- Kann ich eine Behandlung ablehnen, wenn der Patient eine Einwilligungserklärung nicht unterschreibt?
- Wann muss ich einen Datenschutzbeauftragten benennen?
- Wie organisiere ich meine Praxis datenschutzkonform: Was muss ich im Empfangsbereich, den Behandlungszimmern und im Wartezimmer beachten?
- Wie gestalte ich meine Homepage datenschutzkonform? Was mache ich, wenn wegen den Angaben auf meiner Homepage abgemahnt werde?
- Wie gewährleiste ich, dass meine Praxissoft- und Hardware ausreichend sicher und vor Angriffen Dritter und Missbrauch in der Praxis geschützt ist?
Genau hier setzt der Leitfaden „Datenschutz in der ärztlichen Praxis“ von Dochow, Dörfer, Halbe, Hübner, Ippach, Schröder, Schütz und Strüve an. Die Autoren von Bundesärztekammer, Kassenärztlicher Bundesvereinigung, Deutschem Hausärzteverband und Rechtsanwälte einer renommierten, auf Medizinrecht spezialisierten Kanzlei haben tagtäglich mit Fragen rund um Datenschutz in der ärztlichen Praxis zu tun. Im fachlichen Austausch untereinander ist die Idee zu diesem Buch entstanden.
Maximal praxisrelevant und juristisch fundiert finden Sie hier Antworten auf die Fragen rund um die Datenschutzgrundverordnung (DS-GVO) und das Bundesdatenschutzgesetz (BDSG), die Sie nach wie vor bewegen. Dank zahlreicher Praxistipps, Musterdokumente und praktischer Checklisten kommen Sie schnell und vor allem sicher zur Umsetzung aller erforderlichen Maßnahmen. Dabei stehen stets die besonderen Belange des Gesundheitswesens im Fokus.
Die Website datenschutz-praxis.aerzteverlag.de bietet Ihnen außerdem die Möglichkeit zum fachlichen Austausch, den Zugang zu stets aktuellen Informationen wie den „Fall des Monats“ und zu sämtlichen Musterdokumenten, Checklisten sowie relevanten Gesetzestexten.
Damit Sie in allen Datenschutzfragen auf der sicheren Seite sind!
Ihre Vorteile im Überblick:
- die speziellen Anforderungen von Datenschutz und Gesundheitswesen in Einklang gebracht
- maximal praxisrelevant und juristisch fundiert
- schnell umsetzbar dank Praxistipps, Musterdokumenten, Checklisten
- renommierte Autorenschaft aus Bundesärztekammer, Kassenärztlicher Bundesvereinigung, Deutschem Hausärzteverband und einer auf Medizinrecht spezialisierten Kanzlei.
Für wen ist der Leitfaden geeignet:
- Human, Zahn- und Tiermediziner mit eigener Praxis
- Psychotherapeuten mit eigener Praxis
- Praxisinhaber in Gesundheitsberufen, z.B. Physiotherapeuten, Ergotherapeuten, Osteopathen, Heilpraktiker, Hebammen, Logopäden
- Geschäftsführer und andere Entscheider in Unternehmen des Gesundheitswesens
- betriebliche Datenschutzbeauftragte in Unternehmen des Gesundheitswesens
- Juristen und andere Fachgruppen, die sich den Zugang zum Gesundheitsdatenschutzrecht erschließen wollen.
Schlagworte
- Kapitel Ausklappen | EinklappenSeiten
- I–XX Titelei/Inhaltsverzeichnis I–XX
- 1–14 1 Einführung Datenschutz in der ärztlichen Praxis 1–14
- 1.1 Grundzüge des Datenschutzrechts und rechtliche Rahmenbedingungen
- 1.2 Begrifflichkeiten (Art. 4 DS-GVO, insbesondere Gesundheitsdaten, Verarbeitungsbegriff)
- 1.2.1 Personenbezogene Daten
- 1.2.2 Verarbeitung
- 1.2.3 Einschränkung der Verarbeitung
- 1.2.4 Pseudonymisierung
- 1.2.5 Dateisystem
- 1.2.6 Verantwortlicher
- 1.2.7 Auftragsverarbeiter
- 1.2.8 Empfänger
- 1.2.9 Dritter
- 1.2.10 Einwilligung
- 1.3 Anliegen des Datenschutzes (Art. 1 DS-GVO, inklusive Grundrechtsschutz: Art. 7, 8 GRCh; Recht auf informationelle Selbstbestimmung)
- 1.3.1 Art. 1 Abs. 1 DS-GVO
- 1.3.2 Art. 1 Abs. 2 DS-GVO – Schutz von Grundrechten und Grundfreiheiten
- 1.3.3 Art. 1 Abs. 3 DS-GVO – Grundsatz des freien Datenverkehrs
- 1.4 Besonderheiten des Datenschutzes für Ärztinnen und Ärzte
- 1.4.1 Gesundheitsdaten, Berufsgeheimnis und ärztliche Schweigepflicht
- 1.4.2 Datenschutzrechtliche Kernregelungen
- 1.4.3 Die Rolle der Aufsichtsbehörden
- 1.5 Berufsgeheimnis und Schweigepflicht im Lichte des Datenschutzrechts
- 1.6 Betroffenenrechte – Allgemeine Hinweise
- 15–20 2 Anwendungsbereich der Datenschutzregelungen (DS-GVO/BDSG) 15–20
- 2.1 Sachlicher und räumlicher Schutzbereich der DS-GVO (Art. 2 und 3 DS-GVO)
- 2.1.1 Sachlicher Schutzbereich der DS-GVO
- 2.1.2 Räumlicher Schutzbereich der DS-GVO
- 2.2 Verhältnis der DS-GVO zu nationalen Datenschutzregelungen („Öffnungsklauseln“)
- 2.3 Arzt als Adressat der DS-GVO
- 2.3.1 Arzt als Verantwortlicher nach Art. 4 Nr. 7 DS-GVO
- 2.3.2 Arzt als Auftraggeber nach Art. 4 Nr. 8 DS-GVO
- 2.3.3 Merkposten: Gemeinsame Verarbeitung (Art. 26 DS-GVO)
- 2.4 Verhältnis zur ärztlichen Schweigepflicht (§ 1 Abs. 2 Satz 3 BDSG – „Parallelität“)
- 21–32 3 Grundprinzipien der Datenverarbeitung 21–32
- 3.1 Rechtmäßigkeitsprinzip
- 3.2 Verarbeitung nach Treu und Glauben
- 3.3 Verhältnismäßigkeitsgrundsatz
- 3.4 Transparenzprinzip
- 3.5 Beteiligung des Betroffenen
- 3.6 Zweckbindungsgrundsatz
- 3.7 Erforderlichkeit, Datenminimierung und Speicherbegrenzung
- 3.8 Richtigkeit der Daten
- 3.9 Technische und organisatorische Sicherungen
- 3.10 Grundsatz der Verantwortlichkeit
- 3.11 Rechenschaftspflicht
- 3.12 Unabhängige Datenschutzkontrolle
- 33–80 4 Rechtliche Grundlagen der Verarbeitung von Gesundheitsdaten 33–80
- 4.1 Grundsystematik und Regelungen für die Verarbeitung von Gesundheitsdaten im Überblick
- 4.1.1 Grundsystematik des Gesundheitsdatenschutzrechts
- 4.1.2 Überblick zu den Erlaubnisgründen für die Verarbeitung von Gesundheitsdaten
- 4.2 Allgemeine Rechtsgrundlagen für die Verarbeitung von Gesundheitsdaten
- 4.2.1 Verarbeitung im Bereich der Arbeitsmedizin, Gesundheitsvorsorge und ärztlichen Behandlung
- 4.2.2 Verarbeitung zur Erfüllung von Pflichten aus dem Sozialrecht und Verwaltung von Systemen und Diensten im Gesundheitsbereich
- 4.2.3 Verarbeitung zur Erfüllung spezieller Pflichten im öffentlichen Gesundheitsinteresse
- 4.2.4 Verarbeitung im erheblichen öffentlichen Interesse
- 4.2.5 Verarbeitung zum Schutz lebenswichtiger Interessen bei Einwilligungsunfähigkeit des Betroffenen
- 4.2.6 Verarbeitung zur Wahrung von Rechtsansprüchen
- 4.2.7 Verarbeitung zu anderen Zwecken (§ 24 BDSG)
- 4.3 Bereichsspezifische Vorschriften
- 4.3.1 Arzneimittel (klinische Prüfungen)
- 4.3.2 Bestattungswesen
- 4.3.3 Betäubungsmittel
- 4.3.4 Forschung
- 4.3.5 Infektionsschutz
- 4.3.6 Insolvenzverfahren
- 4.3.7 Kinderschutz
- 4.3.8 Krebsregister
- 4.3.9 Medizinprodukte (klinische Prüfungen)
- 4.3.10 Personenstandswesen
- 4.3.11 Psychiatrie, Maßregelvollzug
- 4.3.12 Statistik
- 4.3.13 Strahlenschutz und Röntgen
- 4.3.14 Transfusionswesen
- 4.3.15 Unfallversicherung
- 4.3.16 Vertragsarztrecht, gesetzliche Krankenversicherung
- 4.4 Spezielle Rechtsgrundlagen im vertragsärztlichen Bereich
- 4.4.1 Vertragsärztliche Abrechnung
- 4.4.2 Qualitätssicherung und -prüfung
- 4.4.3 Dokumentationssammlung Ärzte/Überweisungen
- 4.4.4 Anfragen von Krankenkassen
- 4.4.5 Behandlungsfehlerunterstützung
- 4.4.6 Meldung von Krankheitsursachen und drittverursachten Schäden
- 4.4.7 Versichertenstammdatenmanagement
- 4.5 Einwilligung
- 4.5.1 Bedeutung und Kritik an der Rechtsfigur der Einwilligung
- 4.5.2 Verhältnis zu gesetzlichen Grundlagen für die Datenverarbeitung
- 4.5.3 Verhältnis zum Behandlungsvertrag
- 4.5.4 Voraussetzungen einer wirksamen Einwilligung
- 4.5.5 Fazit und Checkliste für die wirksame Einwilligung
- 4.5.6 Muster Datenschutz-Einwilligungserklärung
- 4.6 Zusammenfassung der Grundlagen für die Datenverarbeitung in der Arztpraxis
- 81–88 5 Auftragsverarbeitung – der Arzt als Verantwortlicher 81–88
- 5.1 Allgemeines zur Auftragsverarbeitung
- 5.2 Besonderheiten in der ärztlichen Praxis
- 5.2.1 Sozialdatenschutz
- 5.2.2 Schweigepflicht und Datenschutz
- 5.2.3 Besonderheiten der Offenbarungsbefugnis bei der Auftragsdatenverarbeitung – Belehrungspflichten
- 5.2.4 Datenschutzrechtliche Verpflichtung nach Art. 28 Abs. 3b DS-GVO
- 5.3 Auftragsverarbeitung und Auftragsverarbeiter
- 5.4 Die richtige Auswahl
- 5.5 Vertragliche Regelungen
- 5.5.1 Vertragsgegenstand (Art. 28 Abs. 3 Satz 1 DS-GVO)
- 5.5.2 Weisungsgebundenheit (Art. 28 Abs. 3 Satz 2 Buchst. a DS-GVO)
- 5.5.3 Vertraulichkeitsverpflichtung (Art. 28 Abs. 3 Satz 2 Buchst. b DS-GVO)
- 5.5.4 Schutzmaßnahmen gemäß Art. 32 Abs. 3 Satz 2 Buchst. c DS-GVO
- 5.5.5 Recht zur Begründung von Unterauftragsverhältnissen (Art. 28 Abs. 2, Abs. 3 Satz 2 Buchst. d DS-GVO)
- 5.5.6 Gewährleistung der Betroffenenrechte (Art. 28 Abs. 3 Satz 2 Buchst. e DS-GVO)
- 5.5.7 Unterstützung bei der Erfüllung der Anforderungen nach Art. 32–36 DS-GVO
- 5.5.8 Unterstützung zur Nachweiserbringung (Art. 28 Abs. 3 Satz 2 Buchst. h DS-GVO)
- 5.5.9 Kontrollrechte (Art. 28 Abs. 3 Satz 2 Buchst. h DS-GVO)
- 5.5.10 Umgang mit Daten nach Beendigung der Verarbeitung (Art. 28 Abs. 3 Satz 2 Buchst. g DS-GVO)
- 89–98 6 Verzeichnis von Verarbeitungstätigkeiten (VvV) 89–98
- 6.1 Wesentliche Rechtsgrundlagen nach der DS-GVO
- 6.2 Zweck der Erstellung des Verzeichnisses von Verarbeitungstätigkeiten
- 6.3 Pflicht zur Erstellung des Verzeichnisses von Verarbeitungstätigkeiten
- 6.4 Inhalt des Verzeichnisses von Verarbeitungstätigkeiten
- 6.4.1 Inhalt des Verzeichnisses von Verarbeitungstätigkeiten des Verantwortlichen gemäß Art. 30 Abs. 1 DS-GVO
- 6.4.2 Inhalt des Verzeichnisses von Verarbeitungstätigkeiten des Auftragsverarbeiters gemäß Art. 30 Abs. 2 DS-GVO
- 6.4.3 Rechtsfolgen bei Verstößen
- 99–116 7 Datenschutz-Folgenabschätzung 99–116
- 7.1 Definition und Bedeutung
- 7.2 Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung
- 7.2.1 Hintergrund: „Hohes Risiko“ bei der geplanten Datenverarbeitung
- 7.2.2 Fälle der Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung
- 7.3 Durchführung der Datenschutz-Folgenabschätzung
- 7.3.1 Inhalt einer Datenschutz-Folgenabschätzung
- 7.3.2 Ablauf: Schritte einer Datenschutz-Folgenabschätzung
- 7.3.3 Verantwortlichkeit für Datenschutz-Folgenabschätzung und Einbeziehung des Datenschutzbeauftragten
- 7.3.4 Ergebnis der Datenschutz-Folgenabschätzung
- 7.4 Konsultation der Aufsichtsbehörde
- 7.5 Gemeinsame Datenschutz-Folgenabschätzung
- 7.6 Matrix zur Dokumentation der Datenschutz-Folgenabschätzung
- 117–144 8 Betrieblicher Datenschutzbeauftragter in der Arztpraxis 117–144
- 8.1 Allgemeines und Bedeutung des betrieblichen Datenschutzbeauftragten
- 8.2 Pflicht zur Benennung eines Datenschutzbeauftragten
- 8.2.1 Hintergründe zur Benennungspflicht
- 8.2.2 Fälle der Pflicht zur Benennung eines Datenschutzbeauftragten
- 8.2.3 Fazit zu Gesundheitseinrichtungen
- 8.2.4 Benennung eines internen oder externen Datenschutzbeauftragten
- 8.2.5 Publizität: Veröffentlichung und Meldung der Kontaktdaten des Datenschutzbeauftragten
- 8.2.6 Nachweis durch formale Benennung und Möglichkeit der Befristung?
- 8.3 Rechte und Stellung des Datenschutzbeauftragten
- 8.3.1 Weisungsfreiheit und Unabhängigkeit
- 8.3.2 Benachteiligungsverbot, Schutz vor Kündigung und Abberufung
- 8.3.3 Frühzeitige Beteiligung, Unterstützung und Ressourcen
- 8.3.4 Besondere Stellung im Betrieb
- 8.4 Qualifikation und Aufgaben des Datenschutzbeauftragten
- 8.4.1 Qualifikation
- 8.4.2 Aufgaben
- 8.5 Datenschutzbeauftragter und Verschwiegenheit
- 8.6 Haftung des Datenschutzbeauftragten
- 8.7 Folgen bei Verstößen („Fehler-Checkliste“)
- 145–152 9 Arzt/Praxis als Arbeitgeber 145–152
- 9.1 Allgemeine Grundsätze zum Schutz der Beschäftigten
- 9.2 Beschäftigtendatenschutz
- 9.2.1 Erlaubnistatbestand für die Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses – § 26 Abs. 1 BDSG
- 9.2.2 Erlaubnis durch Einwilligung – § 26 Abs. 2 BDSG
- 9.2.3 Aufdeckung von Straftaten – § 26 Abs. 1 Satz 2 BDSG
- 9.2.4 Verarbeitung von besonderen Kategorien personenbezogener Daten – § 26 Abs. 3 BDSG
- 9.2.5 Sachlicher und persönlicher Geltungsbereich – § 26 Abs. 7 und 8 BDSG
- 9.3 Betroffenenrechte der Beschäftigten
- 9.4 Unterrichtung und Verpflichtung von Beschäftigten des Verantwortlichen und des Auftragsverarbeiters auf das Datengeheimnis
- 153–160 10 Rechte von Patienten (Betroffenenrechte) 153–160
- 10.1 Informationspflichten
- 10.1.1 Allgemeines
- 10.1.2 Inhalt der Information
- 10.1.3 Form, Nachweis und Zeitpunkt der Information
- 10.2 Auskunftsrechte
- 10.2.1 Antrag auf Auskunftsrecht
- 10.2.2 Umfang des Auskunftsrecht
- 10.2.3 Form, Frist und Kosten der Auskunftserteilung
- 10.2.4 Grenzen der Auskunftserteilung
- 10.3 Rechte auf Berichtigung, Löschung und Einschränkung der Verarbeitung
- 10.3.1 Recht auf Berichtigung
- 10.3.2 Recht auf Löschung
- 10.3.3 Recht auf Einschränkung der Verarbeitung
- 10.4 Recht auf Datenübertragbarkeit
- 10.5 Widerspruchsrecht
- 161–168 11 Ärztliche Schweigepflicht 161–168
- 11.1 Einleitung
- 11.2 Rechtsgrundlagen
- 11.3 Gegenstand und Reichweite der Schweigepflicht
- 11.4 Adressaten der Schweigepflicht
- 11.5 Einschränkungen der Schweigepflicht
- 11.5.1 Schweigepflichtentbindung durch Einwilligung
- 11.5.2 Gesetzliche Offenbarungspflichten
- 11.5.3 Gesetzliche Offenbarungsbefugnisse
- 11.5.4 Weitere Erlaubnisgründe
- 169–176 12 Sicherheit der Verarbeitung und praxisinterne Datenschutzrichtlinie 169–176
- 12.1 Einleitung
- 12.2 Technisch-organisatorische Maßnahmen zur Umsetzung der Datensicherheit in der Praxis
- 12.2.1 Zugangskontrolle
- 12.2.2 Zugriffskontrolle
- 12.2.3 Transportkontrolle
- 12.2.4 Verfügbarkeitskontrolle
- 12.2.5 Trennungskontrolle
- 12.2.6 Organisationskontrolle
- 12.2.7 Kontrolle der Vorgaben
- 12.2.8 Maßnahmen nach § 22 Abs. 2 BDSG
- 177–186 13 Verletzung des Schutzes personenbezogener Daten („Datenpannen“) 177–186
- 13.1 Einführung und allgemeiner Überblick zu den Regelungen
- 13.1.1 Vorliegen eines Datenschutzvorfalls
- 13.1.2 Maßnahmen beim Vorliegen eines Datenschutzvorfalls
- 13.1.3 Vorliegen einer Verletzung des Schutzes der personenbezogenen Daten
- 13.1.4 Verstöße gegen den Schutz der personenbezogenen Daten
- 13.1.5 Keine Verletzung des Schutzes personenbezogener Daten
- 13.2 Art. 33 DS-GVO – Mitteilung an die datenschutzrechtliche Aufsicht
- 13.2.1 Durchführung der Meldung
- 13.2.2 Vorliegen der Kenntnis beim Verantwortlichen
- 13.2.3 Verzögerte Meldung
- 13.2.4 Unterlassen der Meldung
- 13.3 Art. 34 DS-GVO – Benachrichtigung des Betroffenen
- 13.3.1 Zu erteilende Informationen bei der Benachrichtigung
- 13.3.2 Art und Weise der Benachrichtigung
- 13.3.3 Unterlassen der Benachrichtigung
- 13.3.4 Vorliegen eines voraussichtlich hohen Risikos
- 13.4 Einbindung des Datenschutzbeauftragten bei der Meldung und Benachrichtigung
- 13.5 Dokumentationspflichten im Zusammenhang mit dem Datenschutzvorfall
- 13.6 Maßnahmen im Vorfeld
- 13.7 Folgen einer unterlassenen Meldung und Benachrichtigung
- 13.8 Beweisverwertungsverbote
- 187–190 14 Sanktionen und Haftung 187–190
- 14.1 Überblick
- 14.2 Sanktionsmaßnahmen nach der DS-GVO
- 14.2.1 Geldbuße
- 14.2.2 Weitere aufsichtsbehördliche Abhilfemaßnahmen
- 14.2.3 Datenschutzverstoß durch Praxismitarbeiter oder externen Auftragsverarbeiter
- 14.2.4 Umfang und Grenze der Sanktionsmöglichkeit
- 14.3 Sanktionsmöglichkeiten nach nationalem Recht (BDSG)
- 14.4 Schadenersatz und Haftung
- 191–202 15 Umgang mit der Aufsichtsbehörde 191–202
- 15.1 Unabhängige Aufsichtsbehörden
- 15.2 Aufklärung und Beratung durch die Aufsichtsbehörde?
- 15.3 Weitere Aufgaben und Befugnisse der Aufsichtsbehörde
- 15.3.1 Weitere Aufgaben der Aufsichtsbehörde
- 15.3.2 Befugnisse der Aufsichtsbehörde
- 15.4 Beschränkung der Befugnisse der Aufsichtsbehörde nach § 29 Abs. 3 BDSG
- 203–232 16 Anhang: Muster 203–232
- Muster 1: Datenschutz-Einwilligungserklärung
- Muster 2: Vertrag zur Auftragsverarbeitung gemäß Art. 28 DS-GVO
- Muster 3: Arztpraxis – Verzeichnis von Verarbeitungstätigkeiten (Bayerisches Landesamt für Datenschutzaufsicht)
- Muster 4: Verzeichnis von Verarbeitungstätigkeiten (Kassenärztliche Bundesvereinigung)
- Muster 5: Matrix zur Dokumentation der Datenschutz-Folgenabschätzung
- Muster 6: Urkunde zur Benennung einer/s internen betrieblichen Datenschutzbeauftragten
- Muster 7: (Widerrufliche) Einwilligungserklärung zur Nutzung von Bildaufnahmen des Mitarbeiters auf der Homepage der Arztpraxis
- Muster 8: Informationen zur Datenverarbeitung gemäß Art. 13 DS-GVO zum Arbeitsvertrag
- Muster 9: Verpflichtung zur Vertraulichkeit und zur Wahrung datenschutzrechtlicher Bestimmungen nach der DS-GVO
- Muster 10: Einfache Passwortrichtlinie
- Muster 11: Praxisinterne Datenschutzrichtlinie – Verzeichnis der allgemeinen technisch-organisatorischen Maßnahmen
- Muster 12: Verpflichtungserklärung zur Wahrung des Datengeheimnisses und der Schweigepflicht
- Muster 13: Meldung an die datenschutzrechtliche Aufsicht
- Muster 14: Zu erteilende Informationen bei der Benachrichtigung
- Muster 15: Dienstanweisung − Richtlinie zum Umgang mit Verstößen und über die Zusammenarbeit mit Aufsichtsbehörden
- Muster 16: Patienteninformation zum Datenschutz
- 233–234 Literaturverzeichnis 233–234
- 235–240 Stichwortverzeichnis 235–240
