Auftragsdatenverarbeitung: Die Verantwortung bleibt bei der Praxis

Nicht immer können alle personenbezogenen Daten Eurer Patientinnen und Patienten ausschließlich in der Praxis verbleiben und dort verarbeitet werden. Gebt Ihr Informationen zum Beispiel für die Abrechnung an ein Abrechnungszentrum weiter, endet damit jedoch nicht Eure Verantwortung für den Datenschutz. Denn Ihr beauftragt den Dienstleiter mit der Weiterverarbeitung der personenbezogenen Daten. Achtet darum sorgfältig darauf, wen Ihr dafür auswählt und kontrolliert auch in der weiteren Zusammenarbeit, dass mit den personenbezogenen Informationen datenschutzgerecht umgegangen wird. Was ist Auftragsdatenverarbeitung? Wenn Ihr Daten von Patient:innen oder auch Mitarbeitenden an einen Dienstleister weitergebt und der Beauftragte hinsichtlich der Datenverarbeitung Euren Weisungen unterliegt, liegt eine Auftragsdatenverarbeitung vor. Typische Beispiele für Auftragsdatenverarbeitung: Inanspruchnahme von Abrechnungszentren Auslagerung der Back-up-Sicherheitsspeicherung Cloud-Computing (unabhängig davon, ob der Cloud-Anbieter tatsächlich auf die Daten zugreift) Datenerfassung, -konvertierung oder Einscannen von Dokumenten durch Dienstleister Prüfung oder (Fern-)Wartung der automatisierten Verfahren oder der Datenverarbeitungsanlagen Einwilligung von Patienten einholen Wenn Ihr personenbezogene Daten im Rahmen einer Auftragsdatenverarbeitung weitergebt, müsst Ihr die Patientinnen und Patienten darüber informieren und ihre Zustimmung einholen. Die unterschriebene Einwilligungserklärung legt Ihr dann in der Patientenakte ab. Eine Einwilligungserklärung kann beispielsweise so aussehen. Was ist KEINE Auftragsdatenverarbeitung? Keine Auftragsdatenverarbeitung liegt bei fremden Fachleistungen etwa durch Steuerberater:innen, Rechtsanwält:innen, externe Betriebsärzt:innen, Bankinstitute für den Geldtransfer oder Postdienste vor. Denn die fremde Fachleistung erfolgt in eigenständiger Verantwortlichkeit des Beauftragten. Dieser muss seine Datenverarbeitung auf eine eigene Rechtsgrundlage (gem. Art. 6 DSGVO) stützen. Ihr als Praxisinhaber:innen habt hier bzgl. der Datenverarbeitung keine Weisungsrechte, könnt also keine Vorgaben zu Datenschutzmaßnahmen machen und habt kein Recht, Prüfungen und Inspektionen durchzuführen, um zu überprüfen, dass Eure Weisungen befolgt werden. Auftragsdatenverarbeitung nur mit Vertrag Wenn Ihr einen Auftragsdatenverarbeiter einsetzt, müsst Ihr einen schriftlichen Vertrag abschließen. Nur dann dürft Ihr die personenbezogenen Daten weitergeben. Er sollte mindestens folgende Inhalte umfassen: Gegenstand und Dauer der Verarbeitung Art und Zweck der Verarbeitung Art der personenbezogenen Daten Kategorien betroffener Personen Festlegung der Rechte und Pflichten des Auftraggebers Verpflichtung des Beauftragten, personenbezogene Daten nur auf Weisung des Verantwortlichen zu verarbeiten Verpflichtung, das eigene Personal zur Vertraulichkeit und Verschwiegenheit zu verpflichten Verpflichtung des Beauftragten, alle technischen und organisatorischen Maßnahmen zu ergreifen, die für die Sicherheit der Daten erforderlich sind Zusicherung des Beauftragten, den Auftraggeber bei der ggf. notwendigen Meldung von Datenschutzvorfällen und der Umsetzung von Betroffenenrechten zu unterstützen und alle erforderlichen Informationen zur Verfügung zu stellen Verpflichtung des Beauftragten, die Dienste eines Subunternehmers nur mit Eurer Zustimmung in Anspruch zu nehmen. Für den Subunternehmer müssen dieselben vertraglichen Pflichten wie für den Beauftragten selbst gelten. Detaillierte Regelungen dazu, wie die personenbezogenen Daten vom Beauftragten herauszugeben und vorhandene Back-ups zu löschen sind, wenn die Beauftragung endet. Einwilligung zur Datenweitergabe ≠ Schweigepflichtentbindung Die Einwilligung zur Datenweitergabe an Dritte ersetzt nicht die Entbindung von der Schweigepflicht. Wenn beispielsweise eine private Krankenversicherung, andere Heilmittelerbringer:innen oder eine Ärztin, die nicht die Verordnerin ist, Unterlagen des Patienten anfordert, benötigt Ihr neben der Einwilligung zur Datenweitergabe auch unbedingt eine Entbindung von der Schweigepflicht durch Euren Patienten. Ein Muster findet Ihr hier: www.up-aktuell.de/me-schweigepflicht Auftragsdatenverarbeitung kontrollieren Laut DSGVO habt Ihr als Auftraggeber das Recht, bei Eurem Auftragsdatenverarbeiter Prüfungen und Inspektionen durchzuführen. Nur so könnt Ihr sicherstellen, dass Eure Weisungen auch befolgt und die technischen sowie organisatorischen Maßnahmen zum Datenschutz umgesetzt werden. Damit Ihr Eurem Kontrollrecht überhaupt nachkommen könnt, solltet Ihr mit dem Auftragsdatenverarbeiter vereinbaren, - dass Ihr die Geschäftsräume während der Geschäftszeiten betreten und die in Eurem Auftrag verarbeiteten personenbezogenen Daten einsehen dürft. - dass Ihr Zugang zu allen Datenverarbeitungsanlagen und -geräten, die im Zusammenhang mit Eurem Auftrag eingesetzt werden, erhaltet. Auftragsdatenverarbeitung nur mit Vertrag Wenn Ihr einen Auftragsdatenverarbeiter einsetzt, müsst Ihr einen schriftlichen Vertrag abschließen. Nur dann dürft Ihr die personenbezogenen Daten weitergeben. Er sollte mindestens folgende Inhalte umfassen: Gegenstand und Dauer der Verarbeitung Art und Zweck der Verarbeitung Art der personenbezogenen Daten Kategorien betroffener Personen Festlegung der Rechte und Pflichten des Auftraggebers Verpflichtung des Beauftragten, personenbezogene Daten nur auf Weisung des Verantwortlichen zu verarbeiten Verpflichtung des Beauftragten, das eigene Personal zur Vertraulichkeit und Verschwiegenheit zu verpflichten Verpflichtung des Beauftragten, alle technischen und organisatorischen Maßnahmen zu ergreifen, die für die Sicherheit der Daten erforderlich sind Zusicherung des Beauftragten, den Auftraggeber bei der ggf. notwendigen Meldung von Datenschutzvorfällen und der Umsetzung von Betroffenenrechten zu unterstützen und alle erforderlichen Informationen zur Verfügung zu stellen Verpflichtung des Beauftragten, die Dienste eines Subunternehmers nur mit Eurer Zustimmung in Anspruch zu nehmen. Für den Subunternehmer müssen dieselben vertraglichen Pflichten wie für den Beauftragten selbst gelten. Detaillierte Regelungen dazu, wie die personenbezogenen Daten vom Beauftragten herauszugeben und vorhandene Back-ups zu löschen sind, wenn die Beauftragung endet. Alle Vorgänge dokumentieren Neben dem AV-Vertrag solltet Ihr auch alle weiteren Vorgänge im Zusammenhang mit der Auftragsdatenverarbeitung dokumentieren. Nur so könnt Ihr im Bedarfsfall nachweisen, dass Ihr alle gesetzlichen Vorschriften in diesem Zusammenhang eingehalten habt. Dokumentiert alle Weisungen an den Beauftragten am besten in Schriftform oder zumindest in elektronischer Form via E-Mail. So lässt sich Missverständnissen vorbeugen und Ihr könnt nachweisen, welche Weisungen von Euch als Auftraggeber:in genau erfolgt sind. Tipp: Muster-AV-Verträge zur Orientierung nutzen Schaut auf den Websites der Datenschutzbehörden, dort findet Ihr Muster-AV-Verträge, die Ihr nutzen könnt. Achtet aber darauf, dass Ihr diese ggf. noch an die individuellen Bedürfnisse und Gegebenheiten in Eurer Praxis anpassen müsst. Eine Formulierungshilfe für einen Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO des Bayerischen Landesamts für Datenschutzaufsicht findet Ihr hier. Diese Artikel gehören zum Themenschwerpunkt Datenschutz 2024: Gesetzliche Anforderungen an den Datenschutz Datenschutz umsetzen: Eure Pflichten im Überblick Fünf Fragen zum Datenschutzbeauftragten Auftragsdatenverarbeitung: Die Verantwortung bleibt bei der Praxis Recht auf Vergessenwerden: Datenschutz ist kein Artenschutz