Ab wievielen Mitarbeitern muss eine Arztpraxis einen Datenschutzbeauftragten bestellen?

Eine der häufigsten Fragen, die ich als freiberuflicher Datenschutzbeauftragter für Arztpraxen gestellt bekomme, lautet:

„Ab wie vielen Mitarbeitern muss ich einen Datenschutzbeauftragten benennen?“

In diesem Blogbeitrag gehe ich auf diese Frage ein und erläutere die relevanten Bestimmungen der DSGVO sowie die besonderen Anforderungen in Arztpraxen.

Die Anforderungen der DSGVO zur Benennung eines Datenschutzbeauftragten

Die Datenschutz-Grundverordnung (DSGVO) legt in Art. 37 Abs. 1 lit. b fest, dass ein Datenschutzbeauftragter benannt werden muss, wenn die Kerntätigkeit des Unternehmens in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten liegt. Diese besonderen Kategorien umfassen u. a. Gesundheitsdaten, die in Arztpraxen routinemäßig verarbeitet werden. Der relevante Artikel der DSGVO spricht hier von „umfangreicher Verarbeitung“. Die deutsche Auslegung dieses Begriffs konkretisiert sich in § 38 BDSG (Bundesdatenschutzgesetz), der fordert, dass in Unternehmen mit mindestens 20 Mitarbeitern, die regelmäßig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind, ein Datenschutzbeauftragter benannt werden muss.

Wichtig ist dabei zu beachten, dass nicht nur festangestellte Mitarbeiter zählen. Auch Teilzeitkräfte, Aushilfen und selbstständig tätige Personen, die in der Praxis regelmäßig Zugriff auf personenbezogene Daten haben, müssen berücksichtigt werden. Sobald also 20 Personen oder mehr in der Praxis beschäftigt sind, besteht eine formale Pflicht, einen Datenschutzbeauftragten zu benennen.

Sensible Daten in Arztpraxen

In Arztpraxen werden zahlreiche besonders sensible Daten verarbeitet. Diese fallen unter die „besonderen Kategorien personenbezogener Daten“ gemäß Art. 9 DSGVO und umfassen unter anderem:

• Gesundheitsdaten (Diagnosen, Behandlungsverläufe, Medikationspläne)
• Sozialdaten (z. B. Informationen über Krankenkassen)
• Daten zu ethnischer Herkunft oder religiösen Überzeugungen, die beispielsweise im Rahmen von Impfungen relevant werden können.

Diese sensiblen Daten erfordern besonders hohen Schutz. Arztpraxen müssen sicherstellen, dass sämtliche datenschutzrechtlichen Vorschriften eingehalten werden, unabhängig davon, ob ein formeller Datenschutzbeauftragter benannt wurde oder nicht. Die Verantwortung für den Datenschutz liegt immer bei der Praxisleitung – das bedeutet, dass eine lückenlose Umsetzung der Datenschutzvorschriften unabdingbar ist.

Warum ein Datenschutzbeauftragter auch bei weniger als 20 Mitarbeitern sinnvoll ist:

Auch wenn die gesetzliche Pflicht zur Benennung eines Datenschutzbeauftragten erst ab 20 Mitarbeitern greift, bedeutet dies nicht, dass Arztpraxen mit weniger Personal von den datenschutzrechtlichen Anforderungen entbunden sind. Art. 5 DSGVO fordert die Einhaltung der Datenschutzgrundsätze, wie z. B. die Datensparsamkeit, Integrität und Vertraulichkeit, unabhängig von der Mitarbeiteranzahl. Insbesondere die strikte Beachtung von Patientengeheimnissen (§ 203 StGB) stellt hohe Anforderungen an den Schutz der verarbeiteten Daten.

In der Praxis zeigt sich jedoch, dass die kontinuierliche und vollständige Einhaltung dieser Vorschriften einen enormen Aufwand bedeutet, den kaum eine Arztpraxis allein bewältigen kann. Der Datenschutz muss regelmäßig überprüft, verbessert und angepasst werden. Dazu gehören:

• Führen des Verzeichnisses von Verarbeitungstätigkeiten (Art. 30 DSGVO)
• Durchführung von Datenschutz-Folgenabschätzungen, insbesondere bei neuen Technologien (Art. 35 DSGVO)
• Schulung und Sensibilisierung der Mitarbeiter im Umgang mit sensiblen Daten (Art. 39 DSGVO)

Die technischen Aspekte des Datenschutzes

Neben den organisatorischen Maßnahmen spielt die technische Sicherheit eine zentrale Rolle im Datenschutz. Hierzu gehört insbesondere die Kontrolle der eingesetzten Software und der Auswahl von Dienstleistern, die als Auftragsverarbeiter tätig sind.

Nach Art. 28 DSGVO ist eine sorgfältige Prüfung erforderlich, bevor ein Dienstleister mit der Verarbeitung personenbezogener Daten beauftragt wird. Diese Dienstleister müssen gewährleisten, dass sie alle Anforderungen des Datenschutzes umsetzen können. Das bedeutet für Arztpraxen:

• Auswahl sicherer Praxissoftware: Medizinische Programme wie Patientendatenbanken und Abrechnungssysteme müssen höchsten Sicherheitsstandards entsprechen. Dazu gehören Verschlüsselungstechnologien und regelmäßige Sicherheitsupdates.
• Überprüfung von Auftragsverarbeitern: Jeder Dienstleister, der mit der Verarbeitung von Patientendaten betraut wird, muss auf seine Datenschutzkonformität hin überprüft werden. Dazu zählen nicht nur Softwareanbieter, sondern auch IT-Dienstleister, Cloud-Anbieter und externe Abrechnungsdienste.
• Datensicherheitsmaßnahmen: Die technische Infrastruktur der Praxis, einschließlich Servern, Netzwerken und Endgeräten, muss durch Firewalls, Virenschutz und Zugangskontrollen geschützt werden, um unbefugten Zugriff auf Patientendaten zu verhindern.

Diese technische Kontrolle und die Auswahl der richtigen Dienstleister sind wesentliche Aspekte des Datenschutzes. Hier ist tiefgreifendes IT-Verständnis erforderlich, das über die Kenntnisse des Alltagsgebrauchs hinausgeht. Medizinische Fachangestellte verfügen in der Regel nicht über das notwendige technische Fachwissen, um diese komplexen Anforderungen vollständig zu überblicken.

Warum MFA als Datenschutzbeauftragte ungeeignet sind

Oft wird die Frage gestellt, ob medizinische Fachangestellte (MFA) die Rolle des Datenschutzbeauftragten übernehmen können. Theoretisch ist dies möglich, doch gibt es hier gravierende Hindernisse. Die DSGVO fordert in Art. 38 Abs. 3, dass der Datenschutzbeauftragte in völliger Unabhängigkeit arbeiten und keine Weisungen in Bezug auf seine Datenschutzaufgaben erhalten darf. Dies ist in einer typischen Arztpraxis schwer umsetzbar, da eine MFA nie völlig unabhängig von den Weisungen des Praxisinhabers agieren kann.

Hinzu kommt, dass die meisten MFAs nicht über die notwendigen technischen Kenntnisse verfügen, um komplexe datenschutzrechtliche und IT-bezogene Anforderungen zu erfüllen. Dies ist nicht verwunderlich, denn ihre Hauptaufgabe besteht darin, Patienten zu behandeln und zu betreuen – ein Bereich, in dem sie ihre Expertise haben und der hohe Aufmerksamkeit erfordert.

Es gibt für jedes Fachgebiet Experten, die sich mit Leidenschaft und Know-how um spezifische Anforderungen kümmern. Im Bereich Datenschutz sind dies IT-Experten und Datenschutzbeauftragte, die die technische und rechtliche Komplexität dieses Themas vollumfänglich verstehen und umsetzen können.

Fazit

Auch wenn die formale Pflicht zur Benennung eines Datenschutzbeauftragten erst ab 20 Mitarbeitern greift, entbindet dies kleinere Arztpraxen nicht von der Verpflichtung, die umfangreichen Datenschutzvorgaben der DSGVO einzuhalten. Besonders die technischen Anforderungen, wie die Kontrolle der eingesetzten Software und die sorgfältige Auswahl von Auftragsverarbeitern, stellen hohe Anforderungen, die tiefgehendes Fachwissen voraussetzen. Da in Arztpraxen besonders sensible Gesundheitsdaten verarbeitet werden, ist der Datenschutz ein Bereich, der eine hohe Expertise und eine kontinuierliche Betreuung erfordert.

Eine interne Lösung durch medizinische Fachangestellte ist aufgrund fehlender Unabhängigkeit und mangelnder technischer Expertise nicht empfehlenswert.

Für jedes Fachgebiet gibt es Experten, die sich professionell und leidenschaftlich um die Anforderungen kümmern – im Datenschutz ist dies nicht anders.

Möchten Sie sicherstellen, dass Ihre Praxis technisch und rechtlich den Datenschutzvorgaben entspricht? Kontaktieren Sie mich – ich unterstütze Sie gerne bei der Umsetzung!

Hinzu kommt, dass die meisten MFAs nicht über die notwendigen technischen Kenntnisse verfügen, um komplexe datenschutzrechtliche und IT-bezogene Anforderungen zu erfüllen. Dies ist nicht verwunderlich, denn ihre Hauptaufgabe besteht darin, Patienten zu behandeln und zu betreuen – ein Bereich, in dem sie ihre Expertise haben und der hohe Aufmerksamkeit erfordert.

Es gibt für jedes Fachgebiet Experten, die sich mit Leidenschaft und Know-how um spezifische Anforderungen kümmern. Im Bereich Datenschutz sind dies IT-Experten und Datenschutzbeauftragte, die die technische und rechtliche Komplexität dieses Themas vollumfänglich verstehen und umsetzen können.