Kostenlos · Meine Eigene Praxis
DSGVO-Startpaket für Ihre Praxis
Der Datenschutz-Grundstock für die neue Praxis — Verarbeitungsverzeichnis, technisch-organisatorische Maßnahmen, Auftragsverarbeitung und Patienteninformation als Startgerüst zum Ausfüllen.
Warum Datenschutz in der Praxis besonders zählt
Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) und sind zusätzlich durch die ärztliche Schweigepflicht (§ 203 StGB) geschützt. Deshalb gelten für Praxen erhöhte Anforderungen an Zugriff, Sicherheit und Dokumentation. Wer den Grundstock von Anfang an sauber aufsetzt, erfüllt seine Pflichten leichter und schützt zugleich das Vertrauensverhältnis zu den Patient:innen.
Teil A · Kurzleitfaden die 6 Bausteine
- 1) Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) — Dokumentieren Sie, welche Daten Sie wozu verarbeiten, auf welcher Rechtsgrundlage, an welche Empfänger sie gehen und welche Löschfristen gelten.
- 2) Technisch-organisatorische Maßnahmen (Art. 32 DSGVO) — Legen Sie Zugriffs-, Zutritts-, Weitergabe- und Verfügbarkeitskontrolle fest, damit Daten nach dem Stand der Technik geschützt sind.
- 3) Auftragsverarbeitung (Art. 28 DSGVO) — Schließen Sie Auftragsverarbeitungsverträge (AVV) mit allen Dienstleistern, die für Sie Daten verarbeiten (PVS, Abrechnung, IT, Recall-/Termindienst, Aktenvernichtung).
- 4) Informationspflichten (Art. 13 DSGVO) — Erstellen Sie eine Patienteninformation zur Datenverarbeitung und halten Sie sie sichtbar bzw. aushändigbar bereit.
- 5) Betroffenenrechte & Löschkonzept — Regeln Sie Auskunft, Berichtigung und Löschung — unter Beachtung der ärztlichen Aufbewahrungspflichten, die einer sofortigen Löschung oft entgegenstehen.
- 6) Organisation — Prüfen Sie, ob ein:e Datenschutzbeauftragte:r zu benennen ist, verpflichten Sie Beschäftigte auf Vertraulichkeit und richten Sie einen Meldeprozess für Datenpannen ein (Art. 33/34 DSGVO).
Teil B · Muster-Verarbeitungsverzeichnis Auszug
Muster / Beispiele: Die folgenden Einträge sind praxistypische Vorbelegungen. Sie sind vor der Verwendung fachlich zu prüfen und an Ihre konkrete Praxis (Fachrichtung, Dienstleister, Prozesse) anzupassen.
| Verarbeitungstätigkeit | Zweck | Rechtsgrundlage | Empfänger/Dienstleister | Löschung |
|---|---|---|---|---|
| Patientenverwaltung & Behandlungsdokumentation | Behandlung, Dokumentation, Nachsorge, Terminhistorie | Art. 9 Abs. 2 lit. h i. V. m. Art. 6 Abs. 1 lit. b DSGVO; Behandlungsvertrag (§ 630a BGB), Dokumentationspflicht (§ 630f BGB) | Mit-/weiterbehandelnde Praxen und Labore (mit Rechtsgrundlage), PVS-Anbieter (AVV) | Nach ärztlichen Aufbewahrungsfristen (Patientenakte i. d. R. mind. 10 Jahre, § 630f Abs. 3 BGB; bereichsspezifisch länger) |
| Abrechnung (KV/KZV bzw. privatärztliche Verrechnungsstelle) | Abrechnung erbrachter Leistungen | Art. 9 Abs. 2 lit. h i. V. m. Art. 6 Abs. 1 lit. c DSGVO (gesetzl. Pflicht, SGB V); bei Abrechnung über eine private Verrechnungsstelle Einwilligung (Art. 9 Abs. 2 lit. a) wegen § 203 StGB | KV/KZV bzw. privatärztliche Verrechnungsstelle (AVV bzw. Einwilligung) | Nach steuer-, handels- und sozialrechtlichen Fristen |
| Terminmanagement / Recall | Terminvergabe, Erinnerung, Recall | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) bzw. lit. a (Einwilligung, v. a. beim Recall); ggf. Art. 9 Abs. 2 lit. h | Termin-/Recall-/Telefondienst, SMS-/E-Mail-Versanddienst (AVV) | Nach Zweckerreichung bzw. Widerruf der Einwilligung |
| Personalverwaltung | Beschäftigungsverhältnis, Lohn- und Gehaltsabrechnung | § 26 BDSG i. V. m. Art. 6 Abs. 1 lit. b DSGVO; Art. 6 Abs. 1 lit. c (steuer-/sozialrechtl. Pflichten) | Steuerberatung/Lohnbüro, Finanzamt, Sozialversicherung, Berufsgenossenschaft (AVV wo einschlägig) | Nach gesetzlichen Aufbewahrungsfristen |
| Website / Kontaktformular | Bereitstellung der Website, Bearbeitung von Anfragen | Art. 6 Abs. 1 lit. a (Einwilligung) bzw. lit. f DSGVO (berechtigtes Interesse); § 25 TDDDG für Cookies/Zugriff auf Endgeräte | Hosting-/Website-Dienstleister (AVV) | Nach Bearbeitung der Anfrage bzw. Widerruf |
Die Rechtsgrundlagen sind allgemein gehalten und im Einzelfall zu prüfen bzw. anzupassen.
Teil C · TOM-Checkliste Art. 32 DSGVO
- Zutrittskontrolle — abschließbare Räume und Aktenschränke, geregelte Schlüssel-/Zugangsvergabe.
- Zugriffs-/Berechtigungskonzept im PVS — rollenbasiert, individuelle Logins, keine Sammelkonten.
- Bildschirmsperre, Clean-Desk, Sichtschutz an der Rezeption und an einsehbaren Arbeitsplätzen.
- Verschlüsselung von Datenträgern und mobilen Geräten, sichere Kommunikation (z. B. KIM).
- Backup- und Wiederherstellungskonzept — regelmäßige Sicherung und getesteter Restore.
- Sichere Entsorgung — Aktenvernichtung nach Norm (z. B. DIN 66399), AVV mit dem Dienstleister.
- Protokollierung/Zugriffsnachweise sowie regelmäßige Aktualisierungen/Updates.
Teil D · Auftragsverarbeitung Dienstleister erfassen
Für jeden Dienstleister, der in Ihrem Auftrag personenbezogene Daten verarbeitet, prüfen: Ist ein Auftragsverarbeitungsvertrag (AVV) vorhanden?
- PVS-/Software-Anbieter (ggf. Cloud/Hosting)
- Abrechnung / Verrechnungsstelle
- IT-Dienstleister/Wartung
- Recall-/Termin-/Telefondienst
- Aktenvernichtung, ggf. Diktier-/Schreibdienst
Teil E · Startliste organisatorisch
- Datenschutzbeauftragte:n prüfen — Orientierung: i. d. R. ab 20 ständig mit automatisierter Verarbeitung personenbezogener Daten Beschäftigten (§ 38 BDSG) bzw. bei umfangreicher Verarbeitung besonderer Datenkategorien (Art. 37 DSGVO). Im Einzelfall beraten lassen.
- Beschäftigte verpflichten — auf Vertraulichkeit und das Datengeheimnis, dokumentiert.
- Patienteninformation nach Art. 13 DSGVO erstellen und bereitstellen (Aushang/Aushändigung).
- Verfahren für Betroffenenanfragen & Datenpannen — Meldung von Datenpannen binnen 72 Stunden an die Aufsichtsbehörde prüfen (Art. 33 DSGVO), ggf. Benachrichtigung Betroffener (Art. 34).
- Löschkonzept — unter Beachtung der ärztlichen Aufbewahrungsfristen.
Weiterlesen: Vertiefende Hinweise finden Sie auf unserer Datenschutz-Seite und im Ratgeber Steuer & Recht. Für Hygiene und Qualitätsmanagement ergänzt die Hygiene-/QM-Startcheckliste dieses Startpaket.
Rechtlicher Hinweis: Dieses DSGVO-Startpaket bietet allgemeine Orientierung und ersetzt keine individuelle Rechts- oder Datenschutzberatung. Rechtslage und Anforderungen können sich ändern und hängen vom Einzelfall ab — ziehen Sie im Zweifel eine:n Datenschutzbeauftragte:n oder eine:n Fachanwält:in hinzu.