Gesetzliche Anforderungen an den Datenschutz

Die datenschutzrechtlichen Anforderungen an eine Heilmittelpraxis ergeben sich zum Großteil aus zwei gesetzlichen Regelwerken, dem Bundesdatenschutzgesetz (BSD) und der europäischen Datenschutz-Grundverordnung (DSGVO). Im Folgenden erhaltet Ihr zum Einstieg in das Thema einen kurzen Überblick zu den Anforderungen an Eure Praxis, die sich daraus ergeben. Heilmittelpraxen arbeiten mit sogenannten Gesundheitsdaten. Dabei handelt es sich um Informationen zur körperlichen und geistigen Gesundheit eines Menschen. Diese Daten zählen zur Kategorie der besonders schützenswerten Daten. Entsprechend gelten besonders hohe Anforderungen an den Datenschutz. Datenverarbeitung muss ausdrücklich erlaubt werden Um die Gesundheitsdaten von Patient:innen verarbeiten zu dürfen, müssen diese ihre Einwilligung erteilen. Das passiert bereits, wenn die Patientin mit der Heilmittelverordnung in die Praxis kommt und einen Termin vereinbart. So kommt ein Behandlungsvertrag mit der Praxis zustande, aus dem sich auch ihr Einverständnis zur Verarbeitung der auf der Verordnung angegebenen Daten ergibt. Nutzt die Praxis einen externen Dienstleister, zum Beispiel für die Abrechnung, und muss dafür personenbezogene Daten weitergeben, lasst Ihr die Patientin dafür eine gesonderte schriftliche Einwilligung unterzeichnen. Das gilt auch, wenn Ihr für die Behandlung Foto- oder Videoaufnahmen bei der Dokumentation einsetzt und wenn es erforderlich ist, mit Dritten über die Patientin zu sprechen und Unterlagen weiterzugeben. Bei Letzterem muss sie Euch zusätzlich von der Schweigepflicht entbinden. Widerruf der Einwilligung gilt nur für die Zukunft Patientinnen und Patienten müssen der Verarbeitung ihrer Daten zustimmen – und sie können diese Zustimmung jederzeit widerrufen. Das bedeutet aber nicht, dass Ihr nun alle Daten dieser Patient:innen löschen müsst. Ganz im Gegenteil: Gesetzliche Dokumentations- und Aufbewahrungsfristen verpflichten Euch sogar dazu, die bisher erhobenen Daten weiterhin aufzubewahren. Der Widerruf der Einwilligung der Patient:innen gilt nur für die Zukunft, nicht rückwirkend. Datenverarbeitung als gesetzliche Verpflichtung Die Datenverarbeitung in der Praxis ist nicht nur erlaubt, weil Patientinnen und Patienten einwilligen. Heilmittelerbringer sind als Angehörige der Gesundheitsberufe auch gesetzlich dazu verpflichtet, Gesundheitsdaten zu erheben und zu speichern. Alle Maßnahmen und Ergebnisse, die aus fachlicher Sicht für die Behandlung erforderlich sind, muss die Praxis dokumentieren. Dazu zählen etwa Anamnese, Diagnosen, Befunde und Therapien ebenso wie Einwilligungen. Diese werden in der Patientenakte gesammelt und müssen für mindestens zehn Jahre aufbewahrt werden. Auch dann, wenn der Patient verlangt, dass seine Daten gelöscht werden. Die Aufbewahrung dient auch zum Schutz der Leistungserbringer:innen. Denn wird Euch ein Behandlungs- oder Aufklärungsfehler vorgeworfen, könnt Ihr anhand der schriftlichen Aufzeichnungen den Vorwurf widerlegen. Zweckmäßig und nur so viel wie nötig Bei personenbezogenen Daten gilt: nicht mehr als nötig. Das heißt, Ihr dürft nur solche Daten erheben und verarbeiten, die den zuvor festgelegten Zwecken dienen. In der Heilmittelpraxis ist der Zweck die Erfüllung des Behandlungsvertrags. Nur Daten, die dazu erforderlich sind, dürft Ihr erheben und zweckgebunden verarbeiten. Zudem müsst Ihr darauf achten, dass die Daten korrekt sind. Achtet also darauf, die Daten regelmäßig zu aktualisieren, denn es kommt vor, dass Patient:innen umziehen, den Arzt oder die Versicherung wechseln. Nach Ablauf der Aufbewahrungsfristen müsst Ihr die Daten zudem löschen. Denn auch das Recht auf Vergessenwerden ist Teil des Datenschutzes. Daten vor Verlust schützen Beim Datenschutz geht es zum einen darum, Daten vor dem Zugriff unberechtigter Personen zu schützen. Dazu dienen Firewalls, Passwörter, verschlüsselte E-Mails, verschließbare Aktenschränke und Karteikästen usw. Gleichzeitig sollten die Abläufe in der Praxis so organisiert sein, dass Unbeteiligte nicht bei vertraulichen Gesprächen oder Telefonaten mithören können. Vertrauliche Unterlagen sollten nie unbeaufsichtigt an der Rezeption oder in Behandlungsräumen liegen. Gleichzeitig gehört es auch zum Datenschutz, die Daten vor Verlust zu schützen. Hier sind beispielsweise elektronische Back-ups hilfreich, ebenso wie eingeschränkte Zugriffsrechte, die dafür sorgen, dass beispielsweise nur die Praxisinhaberin Daten endgültig löschen kann. In den folgenden Artikeln erfahrt Ihr, welche Pflichten sich für Praxisinhaber:innen aus diesen Anforderungen ergeben. Diese Artikel gehören zum Themenschwerpunkt Datenschutz 2024: Gesetzliche Anforderungen an den Datenschutz Datenschutz umsetzen: Eure Pflichten im Überblick Fünf Fragen zum Datenschutzbeauftragten Auftragsdatenverarbeitung: Die Verantwortung bleibt bei der Praxis Recht auf Vergessenwerden: Datenschutz ist kein Artenschutz