Wann braucht eine Arztpraxis einen Datenschutzbeauftragten?

Datenschutzbeauftragter in der Arztpraxis: Ab wann ist er Pflicht?

Nicht jede Arztpraxis benötigt einen Datenschutzbeauftragten. Doch die Umsetzung des Datenschutzes ist in jeder Praxis Pflicht, denn Arztpraxen verarbeiten täglich besonders sensible Gesundheitsdaten. Dazu gehören Diagnosen, Befunde, Behandlungsverläufe, Medikationsdaten, Laborwerte, Abrechnungsdaten und zunehmend auch digitale Daten aus Videosprechstunden, Telemedizin-Portalen oder Apps. Gerade durch Telemedizin, Videosprechstunden, Telemonitoring, digitale Patientenportale und den Einsatz von künstlicher Intelligenz steigen die Anforderungen an den Datenschutz in den Arztpraxen. Es lohnt sich also genauer hinzuschauen, denn durch moderne digitale Verfahren wird ein Datenschutzbeauftragter schnell zur Pflicht.

Datenschutzbeauftragter in Arztpraxen

Grundsätzlich gibt es vier Gründe, die einen Datenschutzbeauftragten in einer Arztpraxis erforderlich machen:

1. In der Praxis sind mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt.
2. Die Praxis braucht eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO.
3. Die Kerntätigkeit der Praxis umfasst eine umfangreiche Verarbeitung von Gesundheitsdaten
4. Die Praxis ist Teil einer öffentlichen Stelle oder fällt unter besondere öffentlich-rechtliche Datenschutzvorgaben. 

Neben der Größe der Praxis ist die Art der Datenverarbeitung und das Risiko der eingesetzten Verfahren entscheidend für das Erfordernis eines Datenschutzbeauftragten.

Gesundheitsdaten sind allgemein schützenswert

Die 20-Personen-Grenze: Ab wann zählt das Praxisteam?

Nach § 38 BDSG ist ein Datenschutzbeauftragter zu benennen, wenn mindestens 20 Personen ständig mit der Verarbeitung personenbezogener Daten beschäftigt sind.

Wichtig: Es geht nicht nur um Vollzeitkräfte. Entscheidend ist die Anzahl der Personen, die regelmäßig mit personenbezogenen Daten arbeiten. Dazu gehören neben den Ärzt*innen und Praxisinhaber*innen: Alle MFA, Praxismanager*innen, andere Mitarbeitende in Anmeldung, Telefonie oder Verwaltung sowie Auszubildende. Je nach Auslegung der Aufsichtsbehörden werden Mitarbeitende in Elternzeit oder Mutterschutz mitgezählt.

Jede Person, die in der Arztpraxis regelmäßig Zugriff auf die Praxissoftware, Patientendaten, Labordaten, Termindaten, Abrechnungsdaten oder Befunddaten hat, sollte bei der Prüfung mitgedacht werden. Das meint explizit auch den Umgang mit modernen Systemen, wie die Online-Terminbuchung, digitale Anamneseformulare oder die digitale Patientenakte.

Eine „Ständige Verarbeitung von Daten“ bedeutet dabei nicht, dass eine Person den ganzen Tag nur Daten verarbeitet. Es reicht, wenn die Verarbeitung regelmäßig zur Tätigkeit gehört. Wer also wiederkehrend Patientendaten aufruft, eingibt, ändert, weiterleitet oder dokumentiert, ist mitzuzählen. Reinigungskräfte ohne Zugriff auf Patientendaten werden dagegen nicht mitgezählt.

Datenschutzbeauftragter in kleinen Arztpraxen: Pflicht oder freiwillig?

Für Praxen mit wenigen Mitarbeitenden gibt es keine Pflicht zur Bestellung eines Datenschutzbeauftragten. Trotzdem müssen sie u.a. folgende Datenschutzvorgaben einhalten:

• Datenschutzerklärung auf der Website
• Datenschutzinformationen für Patient*innen
• Verzeichnis von Verarbeitungstätigkeiten / Auftragsverarbeitungsverträge
• sichere Praxis-IT
• Rollen- und Berechtigungskonzept
• Schulung des Teams
• Löschkonzept
• Umgang mit Auskunftsersuchen
• Verfahren bei Datenschutzverletzungen Dokumentation der Prüfung, ob ein Datenschutzbeauftragter erforderlich ist

Interner oder externer Datenschutzbeauftragter?

Wenn eine Arztpraxis einen Datenschutzbeauftragten benennen muss oder freiwillig bestellen möchte, stellt sich die Frage: intern oder extern?

Ein interner Datenschutzbeauftragter kennt die Abläufe der Praxis gut. Gleichzeitig muss er fachlich geeignet sein, ausreichend Zeit bekommen und unabhängig handeln können. Außerdem dürfen keine Interessenkonflikte bestehen. Die Praxisinhaberin oder der Praxisinhaber kann deshalb nicht Datenschutzbeauftragter der eigenen Praxis sein. 

Ein externer Datenschutzbeauftragter bringt mehr Erfahrung aus verschiedenen Praxen, MVZ und Gesundheitseinrichtungen mit. Gerade bei Telemedizin, DSFA, Datenschutzdokumentation, Dienstleisterprüfung und Mitarbeiterschulungen kann externe Unterstützung sinnvoll sein.

Aufgaben eines Datenschutzbeauftragten in der Arztpraxis

Ein Datenschutzbeauftragter übernimmt nicht die Verantwortung der Praxisleitung. Die Verantwortung für die Datensicherheit bleibt immer bei der Praxisinhaberin, dem Praxisinhaber oder der Geschäftsführung. Der Datenschutzbeauftragte unterstützt, berät, kontrolliert und dokumentiert. Zu den typischen Aufgaben gehören:

• Beratung der Praxisleitung zu DSGVO, BDSG und Datenschutzpflichten
• Prüfung der bestehenden Datenschutzorganisation
• Unterstützung beim Verzeichnis von Verarbeitungstätigkeiten
• Prüfung von Auftragsverarbeitungsverträgen
• Beratung bei Videosprechstunde, Telemedizin und digitalen Tools
• Prüfung, ob eine Datenschutz-Folgenabschätzung erforderlich ist
• Begleitung und Überwachung der DSFA
• Schulung und Sensibilisierung des Praxisteams
• Prüfung technischer und organisatorischer Maßnahmen
• Unterstützung bei Datenschutzvorfällen / Ansprechpartner für Aufsichtsbehörden
• Ansprechpartner für Patient*innen bei Datenschutzfragen

Gerade in Arztpraxen ist die Verbindung aus Datenschutz, Schweigepflicht, Praxisorganisation und IT-Sicherheit wichtig. Datenschutz darf nicht nur als Formularsammlung verstanden werden, sondern muss im Alltag funktionieren.

Brauche ich für meine Arztpraxis eine Datenschutzfolgeabschätzung?

Viele Arztpraxen nutzen inzwischen digitale Anwendungen, die über die klassische Praxissoftware hinausgehen. Dazu gehören zum Beispiel:

• Videosprechstunden
• Digitale Anamnese-Tools
• Patientenportale
• Apps zur Verlaufskontrolle
• Telemonitoring
• Digitale Übermittlung von Vitalwerten
• Kommunikation mit Pflegeeinrichtungen oder Angehörigen per Videodienst
• Digitale Fallkonferenzen
• Online-Psychotherapie

Fernbehandlung bei chronischen Erkrankungen Diese Anwendungen sind datenschutzrechtlich deutlich sensibler als der klassische Praxisalltag. Sie können eine DSFA erforderlich machen. Denn hier werden Gesundheitsdaten nicht nur intern dokumentiert, sondern über digitale Plattformen, Schnittstellen, Videodienste oder mobile Anwendungen verarbeitet.

Wann kann Telemedizin eine Datenschutz-Folgenabschätzung erforderlich machen?

Eine DSFA wird erforderlich, wenn eine Datenverarbeitung ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen mit sich bringt. Im Gesundheitswesen ist diese Schwelle schneller erreicht, weil Gesundheitsdaten besonders sensibel sind.

Relevant wird eine DSFA bei Telemedizin, wenn mehrere der folgenden Punkte erfüllt sind:

• Es werden Gesundheitsdaten regelmäßig digital erhoben.
• Die Daten werden über ein Portal, eine App oder Sensoren erfasst.
• Patient*innen übermitteln Vitalwerte oder Verlaufsdaten.
• Die Daten werden zentral gespeichert oder systematisch ausgewertet.
• Es handelt sich nicht nur um eine einmalige Kommunikation, sondern um eine wiederkehrende digitale Betreuung.
• Es werden besonders schutzbedürftige Patientengruppen betreut.
• Es werden Daten aus mehreren Quellen zusammengeführt.
• Neue Technologien, KI oder automatisierte Auswertungen kommen zum Einsatz.
• Dienstleister oder Plattformanbieter sind in die Verarbeitung eingebunden.

Beispiel aus der Praxis:

Eine einfache Videosprechstunde über einen zertifizierten Videodienst kann datenschutzrechtlich beherrschbar sein, wenn keine zusätzlichen Gesundheitsdaten über Apps oder Sensoren erhoben werden. Trotzdem sollte die Praxis dokumentieren, warum sie keine DSFA für erforderlich hält.

Anders sieht es aus, wenn eine Praxis ein Telemonitoring-System nutzt, bei dem Patient*innen regelmäßig Blutdruckwerte, Blutzuckerwerte, Sauerstoffsättigung, Gewicht, EKG-Daten oder andere Gesundheitsdaten digital übermitteln. In solchen Fällen braucht es eine DSFA.

Einstieg in die Telemedizin: Was müssen Praxen bei der Einführung einer Videosprechstunde beachten?

Für vertragsärztliche Praxen gelten besondere datenschutzrelevante Anforderungen an Videodienstanbieter und technische Verfahren. Wichtig sind beispielsweise:

• Verschlüsselte Übertragung
• Information der Patient*innen und Einwilligung in die Datenverarbeitung des Videodienstes
• Keine unzulässige Speicherung von Gesprächsinhalten
• Dokumentation im Datenschutzmanagement der Praxis 

Weitere Fragen, die bei dem Einstieg in die Telemedizin zu beachten sind:

• Welche Daten werden verarbeitet?
• Welche Systeme und Anbieter sind beteiligt?
• Wo werden die Daten verarbeitet? Werden Daten in Drittstaaten übermittelt? Wie lange werden Daten gespeichert?
• Gibt es eine Auftragsverarbeitung?
• Wer hat Datenzugriff?
• Welche Risiken bestehen für Patient*innen?
• Welche technischen und organisatorischen Maßnahmen sind umgesetzt?
• Muss ein Datenschutzbeauftragter benannt werden? Ist eine DSFA erforderlich?

Die Praxis bleibt auch dann verantwortlich, wenn ein externer Videodienst eingesetzt wird. Ein zertifizierter Anbieter ersetzt also keine eigene Datenschutzprüfung.

Führt eine DSFA automatisch zur Pflicht für einen Datenschutzbeauftragten?

Ja. Wenn eine Datenschutz-Folgenabschätzung erforderlich ist, ist unabhängig von der Mitarbeiterzahl ein Datenschutzbeauftragter zu benennen (s. § 38 BDSG).

Beispiele aus der Praxis: Wann ist ein Datenschutzbeauftragter erforderlich?

Beispiel 1: Kleine Hausarztpraxis mit 8 Personen

Eine Hausarztpraxis mit 8 Personen nutzt ein Praxisverwaltungssystem, E-Mail, Telefon, Laboranbindung und gelegentlich eine einfache Videosprechstunde über einen zertifizierten Anbieter. Es werden keine Sensorwerte, App-Daten oder Telemonitoring-Daten systematisch erhoben.

Ergebnis: Ein Datenschutzbeauftragter ist nicht verpflichtend. Die Praxis sollte aber dokumentieren, warum keine DSFA erforderlich ist und die o.g. Datenschutzpflichten sauber umsetzen.

Beispiel 2: MVZ mit 25 Personen

Ein MVZ beschäftigt 25 Personen, die regelmäßig mit Patientendaten arbeiten. Es nutzt eine digitale Patientenakte, Online-Terminbuchung, Abrechnungssysteme und interne Kommunikation.

Ergebnis: Ein Datenschutzbeauftragter ist aufgrund der 20-Personen-Grenze zu benennen.

Beispiel 3: Facharztpraxis mit Telemonitoring

Eine kardiologische Praxis mit 12 Personen nutzt ein Telemonitoring-System. Patient*innen übermitteln regelmäßig Vitaldaten. Die Daten werden über ein Portal verarbeitet und ausgewertet.

Ergebnis: Es ist sehr genau zu prüfen, ob eine DSFA erforderlich ist. Wenn ja, entsteht die Pflicht zur Benennung eines Datenschutzbeauftragten.

Beispiel 4: Praxis mit digitaler Anamnese-App

Eine Praxis möchte eine App einführen, über die Patient*innen vor dem Termin Gesundheitsdaten, Beschwerden, Medikationen und Befunde eingeben. Die Daten würden in ein Portal übertragen und in der Praxis weiterverarbeitet. Ergebnis: Je nach Umfang, Regelmäßigkeit, Anbieterstruktur und Datenverarbeitung kann eine DSFA erforderlich sein. Die Praxis sollte die Verarbeitung vor Einführung prüfen und dokumentieren.

Häufige Fehler beim Datenschutz in Arztpraxen

In der Praxis sehen wir häufig dieselben Schwachstellen:

• Es wird noch mit der alten 10-Personen-Grenze gearbeitet.
• Telemedizin wird eingeführt, ohne Datenschutzprüfung.
• Es gibt keinen dokumentierten DSFA-Check.
• Auftragsverarbeitungsverträge fehlen oder sind veraltet.
• Berechtigungskonzepte im Praxissystem sind zu grob.
• Mitarbeitende werden nicht regelmäßig geschult.
• Datenschutzinformationen für Patienten sind unvollständig.
• Externe Dienstleister werden nicht ausreichend geprüft.
• Die Website-Datenschutzerklärung passt nicht zu den eingesetzten Tools.
• Es ist unklar, wer bei Datenschutzvorfällen zuständig ist. 

Gerade bei digitalen Gesundheitsanwendungen, Videosprechstunden und Telemonitoring entstehen schnell komplexe Datenflüsse. Deshalb sollte jede Praxis neue digitale Verfahren vor Einführung strukturiert prüfen.

Fazit: Datenschutzbeauftragter Arztpraxis - Pflicht hängt vom Einzelfall ab

Eine Arztpraxis braucht nicht automatisch einen Datenschutzbeauftragten. Die Grenze liegt heute bei 20 Personen, die regelmäßig personenbezogene Daten verarbeiten.

Zusätzlich kann ein Datenschutzbeauftragter auch bei kleineren Praxen erforderlich werden, wenn eine Datenschutz-Folgenabschätzung notwendig ist. Genau hier wird Telemedizin relevant: Videosprechstunden, Patientenportale, Apps, Telemonitoring und digitale Messwertübertragung können das Datenschutzrisiko deutlich erhöhen.

Deshalb sollten Arztpraxen nicht nur fragen: „Wie viele Mitarbeitende haben wir?“, sondern auch: „Welche digitalen Verfahren setzen wir ein und welche Risiken entstehen dadurch für unsere Patientinnen und Patienten?“ Wenn Sie unsicher sind, ob Ihre Praxis einen Datenschutzbeauftragten benötigt oder ob für Ihre Telemedizin-Lösung eine Datenschutz-Folgenabschätzung erforderlich ist, lassen Sie Ihre Situation individuell prüfen. Wenden Sie sich gerne an unsere Datenschutzexperten.