Wie Arztpraxen Vertraulichkeit und Datenschutzschulungen zuverlässig nachweisen

Die Aufsichtsbehörde kündigt sich für nächste Woche an, und Ihre Praxismanagerin sucht fieberhaft nach den Unterschriften, mit denen sich das Team einst zur Verschwiegenheit verpflichtet hat. Manche liegen noch in der Personalakte der ehemaligen Auszubildenden, andere wurden nie unterschrieben, weil die neue MFA einfach direkt am Empfang mitgearbeitet hat. Die letzte Schulung? Liegt gefühlt Jahre zurück, ein genaues Datum kennt niemand mehr.

Genau in solchen Momenten zeigt sich, ob eine Praxis ihre Vertraulichkeitspflichten wirklich im Griff hat oder nur glaubt, sie zu haben. Eine bestimmte Form schreibt die DSGVO dafür nicht vor. Sie verlangt aber, dass Beschäftigte mit Datenzugang nur im Rahmen ihrer Aufgaben und nach klaren Vorgaben arbeiten. Zudem muss die Praxis ihre Maßnahmen auch nachvollziehbar dokumentieren.

Eine dokumentierte Unterrichtung und, je nach Aufgabe und Risiko, eine Schulung sind dafür ein geeignetes und in Arztpraxen meist erforderliches Mittel. Worauf es dabei im Einzelnen ankommt, lesen Sie im Folgenden. Mit der hier vorgestellen Checkliste können Sie die Verpflichtung und Schulung sauber dokumentieren.

Warum Vertraulichkeit in der Praxis überhaupt geregelt werden muss

Früher gab es eine ausdrückliche gesetzliche Pflicht, Mitarbeitende bei Aufnahme ihrer Tätigkeit auf das Datengeheimnis zu verpflichten. Eine bestimmte Form schrieb das Gesetz dafür nicht vor; schriftlich dokumentiert wurde das in der Praxis trotzdem meist – vor allem, um es im Zweifel nachweisen zu können. Diese frühere Einzelvorschrift ist entfallen, das dahinterstehende Ziel aber nicht: Personenbezogene Daten müssen vor unbefugter Kenntnisnahme geschützt werden, und das gilt in einer Arztpraxis für so ziemlich jede Information, die über den Tresen, das Telefon oder die Praxissoftware läuft. Wer diesen Schutz sicherstellen will, kommt an einer klaren Regelung nicht vorbei. Das gilt auch dann, wenn das Gesetz die genaue Form offenlässt.

In der Praxis bedeutet das: Irgendjemand muss festlegen, wer sich wozu verpflichtet, und das Ganze muss so dokumentiert sein, dass es später nachvollziehbar bleibt. Viele Praxen handhaben das nach Gefühl. Es bleibt oft bei einer mündlichen Ansage beim Einstellungsgespräch, ergänzt allenfalls um einen Satz im Arbeitsvertrag. Genau diese Lücke deckt die Checkliste „Vertraulichkeitsverpflichtung und Schulung" ab, indem sie Schritt für Schritt abfragt, was bereits geregelt ist und was noch fehlt.

Wer in Ihrer Praxis überhaupt verpflichtet werden muss

Ein verbreiteter Irrtum: Nur wer direkt in der IT arbeitet, brauche eine solche Verpflichtung. Tatsächlich betrifft sie jeden, der im Rahmen seiner Tätigkeit mit personenbezogenen Daten in Berührung kommt. Das reicht vom Empfang über die Abrechnung bis zum Reinigungspersonal, das abends durch die Praxisräume geht. Stellen Sie sich vor, eine Praktikantin hilft für zwei Wochen im Empfangsbereich aus und sieht dabei täglich Patientennamen, Diagnosen und Rezepte. Auch für sie gilt dieselbe Erwartung wie für die langjährige MFA.

Zum verpflichteten Personenkreis gehören typischerweise:

• Medizinische Fachangestellte und Auszubildende
• Praktikantinnen und Praktikanten, auch bei kurzer Verweildauer
• Aushilfen sowie Leih- und Zeitarbeitskräfte
• Reinigungspersonal, vor allem wenn sich ein Zugang zu offenen Akten oder entsperrten Geräten trotz Schutzmaßnahmen nicht sicher ausschließen lässt

Reinigungskräfte sollten dabei grundsätzlich gar keinen Zugang zu offenen Akten oder entsperrten Geräten haben. Das lässt sich etwa durch verschließbare Aktenschränke und gesperrte Bildschirme sicherstellen. Erst wo sich eine unbeabsichtigte Kenntnisnahme trotzdem nicht sicher ausschließen lässt, braucht es zusätzlich eine klare Vertraulichkeitsverpflichtung.

Externe IT-Dienstleister sind gesondert zu betrachten: Arbeiten sie als Auftragsverarbeiter für Ihre Praxis, muss dafür ein entsprechender Vertrag bestehen. Für die Vertraulichkeit seiner eigenen Mitarbeitenden ist dann in erster Linie der Dienstleister selbst verantwortlich. Zusätzlich kann es sinnvoll sein, einzelne externe Personen, die bei ihrer Arbeit Patientengeheimnisse erfahren können, gesondert zur Verschwiegenheit zu verpflichten.

Die Checkliste „Vertraulichkeitsverpflichtung und Schulung" fragt genau diesen Personenkreis systematisch ab, statt dass Sie sich im Nachhinein fragen müssen, wen Sie eigentlich vergessen haben.

Wie Sie die Verpflichtung formal wirksam gestalten

Ein festes Verfahren schreibt die DSGVO nicht vor. Sie können die Verpflichtung im Anstellungsvertrag verankern, per gesonderter Erklärung einholen oder über eine innerbetriebliche Anordnung regeln. Wichtig ist die Nachweisbarkeit, nicht die konkrete Form. Wer im Ernstfall nicht zeigen kann, dass und wie verpflichtet wurde, kann das nur schwer nachweisen, auch wenn die Verpflichtung tatsächlich stattgefunden hat.

Ein Punkt wird dabei häufig übersehen: Die Verpflichtung endet nicht mit dem letzten Arbeitstag. Sie besteht auch nach Beendigung der Tätigkeit fort, was bei der Übergabe ausscheidender Mitarbeitender ausdrücklich angesprochen werden sollte. Die Checkliste hält genau diese Details fest: welche Form gewählt wurde, ob die Verpflichtung dokumentiert ist und in welcher Weise die Beschäftigten über deren Inhalt informiert wurden.