EU-DSGVO – Finanzen und Gesundheit stehen besonders im Fokus

Datenschutz in der Zahnarztpraxis – eine Einschätzung der aktuellen Lage durch Thies Harbeck und Christian Henrici

Vieles wurde in den vergangenen Wochen und Monaten in den Medien thematisiert – Datenschutz und -sicherheit sind im Augenblick die alles bestimmenden Begriffe in der dentalen Welt. Die zum 25. Mai in Kraft tretende EU-Datenschutzgrundverordnung (EU-DSGVO) bringt im Vergleich zum aktuellen Bundesdatenschutzgesetz inhaltlich zwar nur wenige Änderungen – die gestiegene Aufmerksamkeit liegt vor allem in der drastischen Erhöhung der Strafen bei Verstößen gegen die neue Norm begründet.

Christian Henrici, Hauptgesellschafter und Geschäftsführer der Opti Zahnarztberatung GmbH, und sein Kollege Thies Harbeck haben nachfolgend für Quintessence News aktuelle Informationen zu zwei Themen zusammengestellt, die bislang noch nicht so stark im Fokus stehen, aber ebenfalls bedacht werden sollten. Zudem geben sie einen Ausblick zur Frage, wie sich die Aufsicht und Kontrolle vonseiten der Behörden entwickeln könnte.

Zusammenarbeit mit externen Dritten

Bei der Zusammenarbeit mit externen Dritten – zum Beispiel dem Dentallabor, Abrechnungsunternehmen, aber auch Reinigungsfirmen etc. – stellen sich einleitend immer die folgenden beiden Fragen.

1) Wird im Auftrag gehandelt oder werden Arbeiten komplett abgetreten?

Die Weitergabe von personenbezogenen Daten nach Artikel 9 DSGVO (Verarbeitung besonderer Kategorien personenbezogener Daten, zum Beispiel Gesundheitsdaten) an Dritte erfordert die Einwilligung des Patienten. Dies ist zum Beispiel bei der Zusammenarbeit mit privaten Krankenkassen, mit Laboren oder Abrechnungsunternehmen der Fall. Werden Patientendaten an externe Dienstleister ausgelagert, ist stets ein Vertrag zur Auftragsdatenvereinbarung gemäß Artikel 28 DSGVO zu schließen, der durch die Einwilligung des Patienten genehmigt werden muss.

Generell haben die betroffenen Personen nach Artikel 13 ff. unter anderem ein Recht auf Berichtigung, Einschränkung und Löschung. Im Gegenzug besteht eine Informationspflicht bei der Erhebung personenbezogener Daten durch die Praxis. Werden Forderungen komplett abgetreten (zum Beispiel Factoring), besteht ebenso eine Einwilligungspflicht des Patienten, auf eine Auftragsdatenvereinbarung kann hier aber verzichtet werden. Ebenso wie die Mitarbeiter müssen sich externe Dienstleister, die Patientendaten einsehen können, der ärztlichen Schweigepflicht unterwerfen. Dies ist zum Beispiel der Fall, wenn der Anbieter einer Praxisverwaltungssoftware per Fernzugriff Einsicht auf den Verwaltungsrechner der Praxis hat. Nach Paragraf 203 Strafgesetzbuch (StGB) ist das Einbinden eines externen Dritten nur zulässig, wenn es für das Durchführen der beauftragten Tätigkeiten tatsächlich erforderlich ist.

2) Welche Daten müssen wirklich übertragen werden?

Personenbezogene Daten müssen nach Artikel 5 DSGVO dem Zweck angemessen und erheblich sowie auf das für Verarbeitung notwendige Maß beschränkt werden. Das heißt, dass die Praxis sowohl beim Erfassen als auch bei der Weitergabe darauf zu achten hat, dass nicht mehr Daten als zwingend notwendig erhoben und weitergegeben werden So ist bei der Zusammenarbeit mit externen Dritten stets zu überprüfen, welche Daten wirklich genutzt werden müssen. Benötigt das Labor wirklich die Daten des Patienten oder reichen nicht auch die Auftragsnummer und die Auftragsbeschreibung?

Wenn die Putzkraft die Papierkörbe leert

Auch vermeintliche nebensächliche Bereiche wie die Reinigung der Praxisräumlichkeiten sollten beachtet werden. Da die Putzfirma im Zweifelsfall Mülleimer mit gegebenenfalls darin enthaltenen Patientendaten entleert, wird ein Prozess der Datenlöschung vollzogen. Auch in diesem Fall ist die Auftragsdatenverarbeitung entsprechend vertraglich zu regeln.

Gut zu wissen: Patienten haben nach Artikel 20 DSGVO ein Recht auf Datenübertragbarkeit, zum Beispiel im Falle eines Praxiswechsels. Das heißt, dass der Patient das Recht hat, seine personenbezogenen Daten, die er einer Praxis bereitgestellt hat, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten, und das Recht hat, diese Daten einer anderen Praxis ohne Behinderung zu übermitteln.

Wie die Behörden vorgehen werden

Aktuell dominieren einschüchternde Schlagzeilen die Medienlandschaft. Nicht nur die Zahnärzteschaft, auch viele Unternehmen der freien Wirtschaft reagieren mit einer Mischung aus Ungewissheit und Erschrecken auf die Umsetzung der Norm Ende Mai. Dabei wurde die DSGVO bereits am 25. Mai 2016 mit einer Umsetzungsfrist von zwei Jahren verabschiedet.

Die wenigsten Behörden und Landesdatenschutzbeauftragten haben sich bisher verbindlich zum Vorgehen ab dem 25. Mai 2018 geäußert. Fest steht, dass auch auf Behördenseite mit einer gesteigerten Sensibilität vorgegangen werden wird. So bezeichnete die noch amtierende Bundesdatenschutzbeauftragte Andrea Voßhoff die hohe Nachfrage nach Beratungen durch die Unternehmen als große Herausforderung.

Es fehlt an qualifiziertem Personal

Ebenso wie die Unternehmen stehen auch die Behörden vor dem Problem der eingeschränkten Verfügbarkeit von qualifizierten Datenschutzfachkräften. Ein von Hamburger Datenschutzbeauftragten Johannes Casper in Auftrag gegebenes Gutachten zeigt, dass die jeweiligen Landesbehörden im Durchschnitt einen Mehrbedarf von mehr als 20 Stellen ausweisen – mehr, als so manche Behörde derzeit insgesamt beschäftigt.

In seinem Tätigkeitsbericht für Datenschutz und Informationsfreiheit äußert Caspar Bedenken, ob und inwieweit es Unternehmen, aber auch Aufsichtsbehörden gelingt, die neuen Regelungen und die daraus erwachsenden Aufgaben und Pflichten zeitgerecht umzusetzen. In Hamburg bleibe die Situation der Aufsichtsbehörde auch weiterhin sehr angespannt. Nach einem erneuten Anstieg der Eingabenzahlen in 2017 auf ein neues Jahreshoch werde es sehr schwer, die mit der DSGVO verbundenen Aufgaben zeitgerecht zu bewältigen, so Caspar weiter.

Datenschutz kein Selbstzweck der Behörden

Diese Aussagen decken sich mit denen vieler Experten: eine wirkliche Einschätzung der Situation wird voraussichtlich erst Ende 2018 auf fundierter Basis möglich sein. Bis dahin bedeutet die DSGVO für Unternehmen und Behörden vor allem eins: Arbeit.

Dabei sollte jedoch nicht aus den Augen gelassen werden, dass der Datenschutz kein Selbstzweck der Behörden ist, sondern vielmehr dem Schutz der Privatsphäre der Bürgerinnen und Bürger dient. Datenschutz ist derzeit eines der kontroversen Themen unserer Gesellschaft. Es ist derzeit eher zu erwarten, dass die Behörden der DSGVO zunächst aufgrund der vielerorts fehlenden Kapazitäten primär reaktiv begegnen.

Finanzen und Gesundheit besonders im Fokus

Dennoch kann davon ausgegangen werden, dass neben der Beobachtung großer Konzerne wie Facebook zwei Wirtschaftsbereiche besonders im Fokus stehen werden: Finanzen und Gesundheit. Warum? Diese Bereiche arbeiten mit den sensibelsten Daten der Deutschen und bilden in der Öffentlichkeit die größte Angriffsfläche in Bezug auf mögliche Datenschutzskandale. Denkbar ist daher, dass Behörden in diesem Bereich besonders strikt vorgehen und gegebenenfalls Exempel statuieren werden.

Mit Verstand und Experten Daten schützen

Empfehlung: Widmen Sie sich dem Thema Datenschutz rechtzeitig und mit Verstand. Die Hilfe externen Experten kann Ihnen helfen, die richtigen Schritte einzuleiten, um langfristig sicher aufgestellt zu sein und Ihren Mitarbeiter- und Patientendaten den höchsten Schutz zu garantieren.

Thies Harbeck, Christian Henrici, Karby

Thies Harbeck ist Geschäftsführer der Opti Zahnarztberatung GmbH. (Foto: Opti)
Thies Harbeck ist seit 2017 Geschäftsführer der Opti Zahnarztberatung GmbH in Karby. Das Unternehmen ist mit mehr als 1.700 Mandaten eines der führenden Beratungsunternehmen im deutschen Dentalmarkt. Zuvor war er als Assistent der Geschäftsführung beschäftigt und insbesondere in den Bereichen Projektmanagement und Organisation aktiv, ab 2015 dann als Prokurist und Mitglied der Geschäftsleitung für das operative Geschäft des Unternehmens verantwortlich. Im Rahmen seines erfolgreich abgeschlossenen Studiums der Betriebswirtschaft erlangte er unter anderem das „Certificate in International Business“ der Dublin Business School, Irland.
Harbeck ist organisatorischer Leiter des Management-Lehrgangs „Betriebswirt der Zahnmedizin“. Als Referent und Autor übernimmt er die Bereiche Betriebswirtschaft, Businessplanung und Organisation. Kontakt zum Autor unter harbeck@opti-zahnarztberatung.de.

Christian Henrici ist geschäftsführender Hauptgesellschafter der Opti Zahnarztberatung GmbH. (Foto: Opti)
Dipl. Kfm. Christian Henrici (Jahrgang 1081) ist seit 2006 Mitgründer und Geschäftsführer der Opti Zahnarztberatung GmbH in Karby. Parallel leitete er bei der Dampsoft GmbH in den Jahren 2015 bis 2017 den Bereich „Markt & Kooperation“, bevor er im Juni 2017 als geschäftsführender Hauptgesellschafter der Opti Zahnarztberatung eintrat. Bei der Ausbildung zum „Betriebswirt der Zahnmedizin“, dem Management-Lehrgang für Zahnärzte der Westerburger Gesellschaft, ist Henrici Lehrbeauftragter und als Referent für Controlling und Businessplanung berufen. Henrici schreibt unter anderem regelmäßig Fachbeiträge zu den Themen Betriebswirtschaft, Organisation und Führung und Personal in der Zahnarztpraxis in einer regelmäßigen Kolumne in den „zm“. Er ist auch Autor des Bestsellers „Wer braucht schon gutes Personal? – Erfolgreich Führen in der Zahnarztpraxis“ (Quintessenz Verlag Berlin, 2012). Kontakt zum Autor unter info@opti-zahnarztberatung.de.