Datenschutz umsetzen: Eure Pflichten im Überblick

Aus den Rechten der einen ergeben sich die Pflichten der anderen. Heißt: Aus den Datenschutz-Rechten der Betroffenen, wie Mitarbeiter:innen, Patient:innen usw., ergeben sich Pflichten für Praxisinhaberinnen und -inhaber. Denn ohne die erforderlichen Maßnahmen und Vorkehrungen können vertrauliche Informationen in die falschen Hände gelangen, sei es durch einen Computervirus oder eine offen herumliegende Patientenakte. Arbeitet hier eng mit der oder dem Datenschutzbeauftragten der Praxis zusammen. Technische und organisatorische Maßnahmen (TOM) Um personenbezogene Daten in der Praxis adäquat zu schützen, sind eine Reihe technischer und organisatorischer Maßnahmen (TOM) notwendig. Durch sie wird der Datenschutz in der Praxis konkret umgesetzt. Wie die TOM im Detail aussehen, hängt sehr von der jeweiligen Praxis und den dortigen Gegebenheiten ab. Hier sind einige Punkte, an denen Ihr Euch orientieren könnt. Zutritts- und Zugangskontrolle: Wer kommt in die Praxis? Wer hat Zutritt zu bestimmten Räumen? Wer kann den Aktenschrank öffnen? Auch das sind Fragen, die für den Datenschutz wichtig sind. Denn Unbefugte, seien es nun Patient:innen oder beispielweise Handwerker, die sich in der Praxis aufhalten, sollten natürlich unter keinen Umständen Zugang zu sensiblen Daten haben. Entsprechend sollten elektronische Geräte passwortgeschützt, Räume und Schränke, in denen entsprechende Unterlagen aufbewahrt werden, abgeschlossen sein. Dazu gehört natürlich auch, dass der Bildschirm des Praxis-PCs nicht von Patient:innen einsehbar ist, während daran gearbeitet wird, oder Unterlagen unbeaufsichtigt herumliegen. Zugriffskontrolle: Bei der Zutritts- und Zugangskontrolle geht es eher darum, Daten vor Außenstehenden zu schützen. Aber auch Mitarbeiterinnen und Mitarbeiter müssen und dürfen nicht zu allen personenbezogenen Daten Zugang haben. Denken wir nur an die Mitarbeiterakten der Kolleg:innen. Selbstverständlich benötigen alle Mitarbeiter:innen Zugang zum Praxis-PC, gleichzeitig sollten sie jedoch nicht auf alle Daten zugreifen können. Überlegt, wer Zugriff auf welche Daten haben muss und darf und wer diese bearbeiten können soll. Entsprechend verteilt Ihr als Praxisinhaber:in Berechtigungen für die einzelnen Therapeutinnen und Therapeuten, Praktikant:innen und Rezeptionsfachkräfte. Vernichtung von Daten: Ist die Aufbewahrungsfrist abgelaufen, dürft Ihr Papierakten nicht einfach in die Papiertonne werfen, sondern müsst sie datenschutzkonform schreddern oder von einer Spezialfirma entsorgen lassen. Lasst Euch die Vernichtung schriftlich bestätigen. Zudem müsst Ihr darauf achten, auch elektronische Daten so zu löschen, dass diese nicht wiederhergestellt werden können. Pseudonymisierung: Pseudonymisierte Daten können nicht direkt einer Person zugeordnet werden. Ihr könnt Daten pseudonymisieren, indem Ihr statt des Patientennamens eine dem Patienten zugewiesene Nummer verwendet. Wenn es dann dazu kommt, dass eine unberechtigte Person diese Daten sieht, kann sie sie nicht dem Patienten zuordnen. Verschlüsselung: Verschlüsselte Daten sind für Dritte unbrauchbar. Sollte beispielsweise der Praxiscomputer gestohlen werden oder ein Tablet oder USB-Stick mit Patientenberichten verloren gehen, kann niemand auf die verschlüsselten Daten zugreifen. Schutz vor Verlust: Zum Datenschutz gehört nicht nur, Daten vor dem unberechtigten Zugriff Dritter zu schützen, sondern auch, sie verlässlich gegen Verlust zu sichern. Durch einen Brand oder Wasserschäden können sowohl elektronische als auch Papierdaten in der Praxis verloren gehen. Darum sind entsprechende Back-ups anzulegen bzw. die Daten so aufzubewahren, dass sie im Ernstfall geschützt sind. Vor mutwilliger Vernichtung von elektronischen Daten schützen Firewall und Anti-Virenprogramme. Dennoch solltet Ihr täglich Back-ups durchführen. So lassen sich verlorene Daten im Bedarfsfall schnell wiederherstellen. Verarbeitungsverzeichnis: Überblick behalten Alle Unternehmen, die besonders schutzwürdige Daten, wie etwa Gesundheitsdaten, verarbeiten, müssen ein Verzeichnis der Verarbeitungstätigkeiten führen. Das klingt nach viel Aufwand, es hilft Euch und Eurem Datenschutzbeauftragten aber, den Überblick zu behalten und die technischen und organisatorischen Sicherungsmaßnahmen zu planen. Außerdem könnt Ihr damit nachweisen, dass Ihr die datenschutzrechtlichen Vorgaben einhaltet. Im Verarbeitungsverzeichnis haltet Ihr (mindestens) folgende Informationen zu den verarbeiteten Daten fest: Namen und Kontaktdaten der verantwortlichenPersonen – z. B. Praxisinhaber:in, Datenschutzbeauftragte:r Zweck der Verarbeitung – z. B. Patientenverwaltung, Terminvergabe, Dokumentation, Abrechnung mit der GKV Beschreibung der Kategorien betroffener Personen, z. B. Patienten, und der Kategorien personenbezogener Daten – z. B. Verordnungsdaten des Heilmittelverordnung Kategorien von Empfängern der verarbeiteten Daten – z. B. Abrechnungsstelle der Krankenkasse Vorgesehene Fristen für die Löschung der verschiedenen Datenkategorien – z. B. zehn Jahre bei Patientenakten Maßnahmen des Datenschutzes – z. B. Beschreibung der technischen und organisatorischen Maßnahmen zum Datenschutz, wie Passwörter, Verschlüsselung Tipp: Ein Muster-Verzeichnis von Verarbeitungstätigkeiten gem. Art. 30 DSGVO findet Ihr im Datenschutzhandbuch für Heilmittelpraxen ab Seite 51: www.up-aktuell.de/dshb. Datenschutz-Folgenabschätzung Größere Praxen müssen zudem eine Datenschutz-Folgenabschätzung vornehmen. Wie der Name bereits sagt, geht es hier darum, die Folgen für den Schutz der personenbezogenen Daten abzuschätzen. Dazu müssen die geplanten Verarbeitungsvorgänge und -zwecke detailliert beschrieben, Risiken gestellt und geeignete Abhilfemaßnahmen festgestellt werden. Wenn Ihr nicht sicher seid, ob Ihr eine Datenschutz-Folgenabschätzung durchführen müsst, fragt beim Datenschutzbeauftragten Eures Bundeslandes nach. Meldepflicht bei Datenschutzverletzungen Kommt es trotz aller Vorsichtsmaßnahmen doch zu einer Verletzung des Datenschutzes, müssen die Verantwortlichen dies innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde melden. Die Meldung muss folgende Informationen beinhalten: Art der Verletzung Kategorie der Daten Anzahl der betroffenen Personen Datenschutzbeauftragte:r inkl. Kontaktdaten Beschreibung der wahrscheinlichen Folgen der Datenschutzverletzung für die Rechte der Betroffenen Maßnahmen zur Behebung oder Abmilderung der wahrscheinlichen Folgen Tipp: Oft stellen die jeweiligen Aufsichtsbehörden ein Formular für eine solche Meldung zur Verfügung, das Ihr einfach ausfüllen könnt. Damit seid Ihr sicher, alle notwendigen Informationen weiterzugeben. Unabhängig von der Meldepflicht müsst Ihr die Datenschutzverletzung dokumentieren. Dazu gehören neben den Fakten auch die Auswirkungen und Abhilfemaßnahmen. Geht mit der Datenschutzverletzung ein hohes Risiko für die Rechte der Betroffenen einher, sind diese zu informieren. Sind die Daten hingegen unzugänglich für Unbefugte, etwa weil die Daten auf dem verlorenen Tablet verschlüsselt waren, entfällt die Benachrichtigungspflicht. Dokumentieren müsst Ihr den Vorfall aber dennoch. Und wenn Ihr unsicher seid, ob eine Meldepflicht besteht oder Ihr die Betroffenen benachrichtigen müsst, fragt vorsichtshalber bei der zuständigen Aufsichtsbehörde nach. Datenschutzbeauftragte und Auftragsdatenverarbeitung Der Datenschutz endet nicht an der Praxistür. Wenn Ihr Daten zur Verarbeitung im Sinne einer Auftragsdatenverarbeitung weitergebt, bleibt Ihr auch weiterhin für den Datenschutz verantwortlich. Ab einer bestimmten Größe sind Praxen zudem verpflichtet einen Datenschutzbeauftragten zu benennen. Welche Praxen das betrifft, wer sich für diese Aufgabe eignet und was die Aufgaben des Datenschutzbeauftragten sind, erfahrt Ihr im folgenden Artikel des Themenschwerpunkts. Trotz aller Maßnahmen und Vorkehrungen lässt sich eine Datenpanne nie ganz ausschließen. Wichtig ist, dass im Fall der Fälle alle Mitarbeiterinnen und Mitarbeiter wissen, wie sie jetzt reagieren. Hängt dazu die folgende kleine Checkliste gut sichtbar im Aufenthaltsraum, Büro oder diskret am Empfangstresen auf. Sobald die Praxisinhaberin und/oder der Datenschutzbeauftragte über die Datenpanne informiert wurden, übernehmen sie das weitere Vorgehen. Diese Artikel gehören zum Themenschwerpunkt Datenschutz 2024: Gesetzliche Anforderungen an den Datenschutz Datenschutz umsetzen: Eure Pflichten im Überblick Fünf Fragen zum Datenschutzbeauftragten Auftragsdatenverarbeitung: Die Verantwortung bleibt bei der Praxis Recht auf Vergessenwerden: Datenschutz ist kein Artenschutz