Wie Sie Ihr Praxisteam verständlich und sicher über den Datenschutz informieren

Stellen Sie sich vor: Eine neue MFA unterschreibt am ersten Tag ihren Arbeitsvertrag, bekommt ihren Praxiskittel und eine kurze Einweisung ins Praxisverwaltungssystem. Aber niemand sagt ihr, welche Daten die Praxis eigentlich über sie speichert, wie lange und zu welchem Zweck. Genau diese Lücke fällt in vielen Praxen erst auf, wenn eine Mitarbeiterin selbst danach fragt oder ein Prüfer den Nachweis verlangt.

Dabei ist die Informationspflicht keine Einbahnstraße Richtung Patient. Jede Praxis, die Personaldaten erhebt, muss ihr Team genauso transparent informieren wie ihre Patienten – vom Empfang bis zur angestellten Ärztin. Wie das gelingt, lesen Sie im Folgenden. Dazu bieten wir Ihnen eine passende Vorlage an, welche Sie bei der praktischen Umsetzung unterstützt.

Warum das Praxisteam genauso ein Recht auf Information hat wie Patientinnen und Patienten

Viele Praxisinhaber denken beim Stichwort Datenschutz zuerst an Patientenakten, Rezepte und Anamnesebögen. Die eigene Belegschaft gerät dabei leicht aus dem Blick, obwohl für sie im Grundsatz die gleiche Informationspflicht gilt wie für jeden anderen Betroffenen. Was die Praxis im Einzelnen mitteilen muss, hängt dabei aber von der jeweiligen Datenverarbeitung ab und davon, ob die Daten direkt bei der Mitarbeiterin bzw. beim Mitarbeiter erhoben werden oder aus einer anderen Quelle stammen.

Sobald eine Praxis personenbezogene Daten von Beschäftigten erhebt, muss sie darüber informieren, was mit deren Daten geschieht. Und das beginnt bereits mit dem Bewerbungsgespräch. Genau an dieser Stelle setzt die Vorlage „Datenschutzinformation gem. Art. 13 DSGVO" an: Sie liefert die passende Struktur, damit diese Pflicht nicht erst auffällt, wenn eine beschäftigte Person selbst nachfragt.

Fehlt diese Information komplett, bleibt das selten folgenlos. Aufsichtsbehörden können bei einer Praxisbegehung auch danach fragen, ob und wie das Personal informiert wurde. Und auch innerhalb des Teams sorgt fehlende Transparenz erfahrungsgemäß für Misstrauen, das sich mit einem einzigen klaren Dokument vermeiden lässt.

Dabei geht es nicht um zusätzlichen Papierkram, sondern um Klarheit an einer Stelle, an der sie ohnehin erwartet wird. Wer neu ins Team kommt, hat ein natürliches Interesse daran zu wissen, was mit den eigenen Angaben geschieht, genau wie jeder Patient das auch möchte. Diese Erwartungshaltung einfach zu erfüllen, kostet wenig und schafft von Anfang an Vertrauen.

Welche Daten Ihrer Beschäftigten Sie überhaupt verarbeiten

In einer Arztpraxis fällt über die Beschäftigten mehr an Daten an, als den meisten bewusst ist. Neben den offensichtlichen Stammdaten wie Name, Geburtsdatum und Anschrift gehören dazu Vertragsdaten, Gehaltsdaten und Angaben zur Sozialversicherung.

Hinzu kommen Daten, die im Praxisalltag oft übersehen werden:

• Arbeitszeiten, Fehlzeiten und Urlaubsansprüche
• Zutrittsberechtigungen und Zugänge zum Praxissystem
• Fortbildungsnachweise und Qualifikationen
• ggf. Gesundheitsdaten, etwa im Rahmen des betrieblichen Eingliederungsmanagements

Nicht selten zeigt sich, dass Praxen diese Datenkategorien nirgends vollständig aufgelistet haben, auch weil sie über Jahre gewachsen sind: eine neue Software hier, ein zusätzliches Zutrittssystem dort. Die Vorlage „Datenschutzinformation gem. Art. 13 DSGVO" hält typische Kategorien für eine Arztpraxis bereits strukturiert fest, sodass Sie sie nur noch an Ihre Praxis anpassen müssen, statt bei null anzufangen. Übernehmen Sie dabei aber nur die Kategorien, die bei Ihnen auch tatsächlich vorkommen. Ein vollständiges Verzeichnis all Ihrer Datenverarbeitungen ersetzt die Vorlage damit nicht.

Wozu Sie diese Daten in der Praxis nutzen dürfen

Personaldaten dürfen nicht einfach „für alle Fälle" gesammelt werden. Sie dürfen nur für festgelegte Zwecke verarbeitet werden, und diese Verarbeitung muss dafür auch tatsächlich notwendig sein. Ein bloßer Zusammenhang mit dem Beschäftigungsverhältnis reicht nicht aus. Typische zulässige Zwecke sind die Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses, etwa Abrechnung, Personalplanung oder die Erfüllung gesetzlicher Pflichten. Für Gesundheitsdaten gelten zusätzliche, strengere Voraussetzungen.

Was darüber hinausgeht, braucht eine eigene Rechtfertigung. Eine Auswertung der Arbeitszeiten zur Leistungskontrolle etwa ist etwas anderes als die reine Erfassung für die Lohnabrechnung, selbst wenn dieselben Rohdaten zugrunde liegen. Bevor eine Praxis Arbeitszeiten auf diese Weise auswertet, muss sie deshalb selbst prüfen, ob das wirklich notwendig und verhältnismäßig ist. Die Information der Mitarbeitenden allein macht eine sonst unzulässige Auswertung nicht zulässig.

Praxen, die diesen Unterschied nicht klar kommunizieren, erzeugen bei ihrem Team schnell den Eindruck, ständig kontrolliert zu werden, obwohl das gar nicht beabsichtigt ist. Genau diese Abgrenzung beschreibt die Vorlage anschaulich, sodass Mitarbeitende nachvollziehen können, wofür ihre Daten tatsächlich verwendet werden, und wofür nicht.

Auch bei einer späteren Änderung des Zwecks gilt: Mitarbeitende müssen vorab über den neuen Zweck informiert werden, nicht erst im Nachhinein. Dabei sollten natürlich auch nicht die dafür wichtigen weiteren Angaben vergessen werden, etwa zu neuen Empfängern, einer geänderten Speicherdauer oder zusätzlichen Rechten. Eine kurze Ergänzung der bestehenden Information reicht dafür nur, wenn sie diese Punkte vollständig und verständlich abdeckt.

Wie lange Sie Personalunterlagen aufbewahren müssen

Die Frage nach der Aufbewahrungsdauer gehört zu den häufigsten Unsicherheiten in Praxen. Gesetzliche Fristen aus dem Steuer-, Arbeits- und Sozialversicherungsrecht überschneiden sich, und je nach Unterlage gelten unterschiedliche Zeiträume.

Für die Personalakte als Ganzes gibt es keine einheitliche Aufbewahrungsfrist. Nach dem Ausscheiden einer Mitarbeiterin muss die Praxis für jede Unterlagenart einzeln prüfen, wie lange sie noch gebraucht wird: Gesetzliche Fristen gelten nur für bestimmte Dokumente, etwa einzelne Abrechnungs-, Steuer- oder Sozialversicherungsunterlagen. Andere Unterlagen dürfen unter Umständen noch aufbewahrt werden, solange sich daraus rechtliche Ansprüche ergeben könnten.

Alles andere sollte gelöscht oder vernichtet werden, sobald es nicht mehr gebraucht wird. Ein Fehler, der immer wieder vorkommt: Praxen behalten Unterlagen „sicherheitshalber" deutlich länger als nötig, weil niemand sich um die konkrete Löschung kümmert. Der Aktenschrank wächst über Jahre einfach mit.

Die Speicherfristen-Passage der Vorlage hilft Ihnen dabei, für die einzelnen Unterlagenarten passende Fristen oder Löschkriterien festzulegen.

Praktisch bedeutet das: Legen Sie fest, wer in der Praxis regelmäßig prüft, welche Unterlagen gelöscht oder vernichtet werden können. Ohne eine solche Zuständigkeit bleibt die Löschung erfahrungsgemäß liegen, bis irgendwann ein Prüfer danach fragt.