Kaum ein Thema erzeugt in Praxen so viel diffuse Unsicherheit wie der Datenschutz. Das liegt selten an den Regeln selbst, sondern an der Art, wie über sie gesprochen wird: viel Angst, wenig Konkretes. Dabei lässt sich der relevante Teil für eine ästhetische Praxis auf eine Handvoll Punkte eindampfen.

Gesundheitsdaten sind besonders geschützt

Alles, was Sie über Ihre Patientinnen speichern, fällt unter besonders schützenswerte Daten nach Artikel 9 DSGVO. Fotos, Diagnosen, Behandlungsverläufe, das ist der sensibelste Datentyp, den es gibt. Der Maßstab ist entsprechend hoch. Das ist keine Schikane, sondern die logische Folge daraus, dass ein Datenleck hier echten Schaden anrichten kann.

Die Auftragsverarbeitung, wenn Software ins Spiel kommt

Sobald ein Dienstleister in Ihrem Auftrag mit Patientendaten arbeitet, und dazu gehört jede Cloud-Software, brauchen Sie einen Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO. Dieser Vertrag regelt, was der Anbieter mit den Daten darf und was nicht. Ohne ihn arbeiten Sie nicht rechtskonform, egal wie gut die Software ist. Ein seriöser Anbieter legt Ihnen diesen Vertrag von sich aus vor und muss ihn nicht erst auf Nachfrage heraussuchen.

Technische und organisatorische Maßnahmen

Artikel 32 DSGVO verlangt, dass Sie Daten angemessen schützen. In der Praxis heißt das: verschlüsselte Übertragung, Zugriffsrechte, Protokollierung, Backups. Bei einer Cloud-Lösung erbringt der Anbieter den Großteil davon. Ihre Aufgabe bleibt der Umgang im Haus: Wer darf was sehen, wie sind die Bildschirme aufgestellt, was passiert mit ausgedruckten Unterlagen.

Die ärztliche Schweigepflicht kommt obendrauf

Der Datenschutz ist nicht alles. Für Ärztinnen und Ärzte gilt zusätzlich die Schweigepflicht nach § 203 StGB. Wenn ein Dienstleister Zugang zu Patientendaten hat, muss auch diese Ebene abgesichert sein. Ein guter Auftragsverarbeitungsvertrag denkt das mit. Fragen Sie im Zweifel gezielt danach, ob der Anbieter die Anforderungen des § 203 berücksichtigt.

Was Sie konkret prüfen sollten

  • Liegt ein Auftragsverarbeitungsvertrag nach Artikel 28 vor, unterschrieben, nicht nur versprochen?
  • Wo stehen die Server, und wer hat rechtlich Zugriff darauf?
  • Gibt es eine Liste der Subunternehmer, die der Anbieter einsetzt?
  • Sind die technischen Maßnahmen nach Artikel 32 dokumentiert?
  • Ist die Schweigepflicht nach § 203 StGB berücksichtigt?

Wer diese fünf Fragen beantworten kann, hat den größten Teil erledigt. Datenschutz ist kein Zustand, den man einmal herstellt und abhakt, aber er ist auch kein Fass ohne Boden. Bei uns ist er Teil der Architektur, nicht ein Aufkleber, den man am Ende draufklebt. Deshalb liegen der Auftragsverarbeitungsvertrag, die technischen Maßnahmen und die Subprozessorenliste jedem Vertrag von Anfang an bei.