Wie Sie in Ihrer Praxis sicherstellen, dass Patientendaten rechtmäßig verarbeitet werden

„Dürfen wir das überhaupt?“ – diese Frage steht regelmäßig im Raum, wenn neue Prozesse in der Praxis eingeführt werden sollen: etwa beim Einsatz digitaler Anamnesebögen, bei der Terminverwaltung per App oder beim Versand von Laborergebnissen per E-Mail. Ohne fundierte Prüfung der Datenschutzgrundsätze bleibt oft Unsicherheit. Dabei verlangt die DSGVO in Art. 5 nicht nur die Einhaltung zentraler Prinzipien, sondern auch deren nachvollziehbare Dokumentation.

Die auf dieser Seite präsentierte Anleitung zeigt Schritt für Schritt, wie Arztpraxen sicherstellen können, dass jede Datenverarbeitung rechtmäßig ist – und das ohne juristische Fachkenntnisse. Grundlage ist das Prüfschema der Arbeitshilfe „Grundsätze der Verarbeitung prüfen“.

Rechtmäßigkeit, Transparenz und Treu und Glauben

Was bedeutet rechtmäßige Datenverarbeitung in der Praxis?

Eine Verarbeitung personenbezogener Daten ist nur erlaubt, wenn sie auf einer gültigen Rechtsgrundlage basiert. Das kann etwa eine gesetzliche Pflicht (z. B. Aufbewahrungspflichten), eine Einwilligung oder ein Behandlungsvertrag sein. Fehlt diese Grundlage, ist die Verarbeitung unzulässig. Die betroffene Person muss außerdem nachvollziehen können, was mit ihren Daten geschieht – Informationen dürfen daher nicht versteckt oder unzugänglich sein.

Wie wird Transparenz im Umgang mit Patientendaten sichergestellt?

Transparenz entsteht durch klare, verständliche Informationen. Diese müssen der betroffenen Person spätestens bei Erhebung der Daten vorliegen – zum Beispiel in Form eines Aushangs oder eines Informationsblatts beim Aufnahmegespräch. Enthalten sein müssen: Zweck der Verarbeitung, Rechtsgrundlage, Speicherdauer und Ansprechpartner für Datenschutzfragen. Wichtig ist, dass die Formulierung verständlich bleibt – juristisches Fachchinesisch hilft niemandem weiter.

Zweckbindung von Patientendaten

Was sind „festgelegte, eindeutige und legitime Zwecke“?

Patientendaten dürfen nur dann verarbeitet werden, wenn der Zweck klar benannt ist – und dieser vor Beginn der Erhebung feststeht. Beispiel: Die Angabe der Telefonnummer dient zur Kontaktaufnahme im Behandlungsverhältnis, nicht zur Werbung. In der Praxis bedeutet das: Jede Verarbeitung muss einem medizinisch oder organisatorisch notwendigen Zweck dienen, der sich rechtlich begründen lässt.

Typische Fehler bei der Formulierung von Zwecken in Praxen

Ein häufiger Fehler: zu allgemein formulierte Zwecke wie „Organisation der Praxisabläufe“. Solche Angaben sind nicht ausreichend konkret. Besser wäre: „Terminvergabe und Terminerinnerung per SMS im Rahmen der laufenden Behandlung“. Ein weiterer Fehler ist die nachträgliche Erweiterung von Zwecken ohne erneute Prüfung – etwa wenn bereits erhobene Daten für Marketing genutzt werden sollen.

Zweckänderung richtig bewerten

Wann ist eine Zweckänderung zulässig?

Eine Zweckänderung liegt vor, wenn Daten für etwas anderes genutzt werden sollen als ursprünglich vorgesehen. Das ist nur erlaubt, wenn der neue Zweck mit dem ursprünglichen vereinbar ist – oder eine neue Rechtsgrundlage oder Einwilligung vorliegt. Beispiel: Die Nutzung von Kontaktdaten für eine Patientenbefragung zur Behandlungsqualität kann zulässig sein, wenn sie noch im Rahmen des Behandlungsverhältnisses erfolgt.

Wie dokumentiere ich eine zulässige Zweckänderung?

Jede Zweckänderung muss dokumentiert und begründet werden – idealerweise mit Verweis auf Art. 6 Abs. 4 DSGVO und anhand des Prüfschemas aus der Arbeitshilfe. Intern sollte geregelt sein, wer über Zweckänderungen entscheidet und wie dies archiviert wird.