Die neue EU-Datenschutz-Grundverordnung tritt am 25. Mai 2018 in Kraft.
In einem Monat ist es so weit: Am 25. Mai 2018 tritt die neue EU-Datenschutz-Grundverordnung (DSGVO) in Kraft. Sie löst das bisherige Bundesdatenschutzgesetz (BDSG) als zentrales Datenschutzgesetz in Deutschland ab.
Zahnärzte müssen ab dann datenschutzrechtliche Vorgaben einhalten und diese auch nachweisen. Wer keine Anpassung an die Neuregelungen vornimmt, haftet persönlich: Da es nach dem Stichtag keine Übergangsfristen gibt, drohen bei Verstößen nach dem 25. Mai 2018 Bußgelder von bis zu 20 Millionen Euro oder bis zu vier Prozent des jeweiligen Jahresumsatzes – je nachdem, welcher Betrag höher ist.
Dokumentationspflicht … Informationspflicht … Meldepflicht … Einwilligungspflicht… Die bevorstehenden Gesetzesänderungen sorgen vielerorts für Verunsicherung. Was in jedem Fall von allen Praxen und Medizinischen Versorgungszentren bis zum 25. Mai 2018 getan werden muss, erfahren Sie in der nachstehenden Checkliste, die wir in Kooperation mit der Rechtsanwaltskanzlei Lyck+Pätzold.healthcare.recht entwickelt haben.
Checkliste zur EU-Datenschutz-Grundverordnung
- Datenaudit: Überprüfen Sie, welche personenbezogenen Daten innerhalb Ihres Praxisbetriebs mithilfe welcher Geräte (PCs, Laptops, Tablets, Smartphones) erfasst werden.
- Verzeichnis von Verarbeitungstätigkeiten: Erstellen Sie ein Verzeichnis, in dem alle in Ihrer Praxis anfallenden Datenverarbeitungsprozesse festgehalten werden.
- Maßnahmenkatalog: Belegen Sie in einer Zusammenstellung, welche technischen und organisatorischen Maßnahmen die Praxis zum Schutz personenbezogener Daten ergreift.
- Paperwork: Stellen Sie eine Patienteninformation zum Datenschutz in der Praxis bereit (per Aushang in der Praxis/auf der Praxis-Website). Wenn Ihre Auftragnehmer (Softwareanbieter und andere Dienstleister) auf Patienten- oder Mitarbeiterdaten zugreifen können, müssen Sie die bestehenden Verträge mit ihnen an das neue Datenschutzrecht anpassen beziehungsweise neu abschließen.
- Einwilligungserklärungen: Sollte eine externe Abrechnungsgesellschaft mit der Abrechnung beauftragt sein, ist die entsprechende Einwilligungserklärung um das Recht auf Widerruf der Einwilligung zu ergänzen.
Große Praxen und Medizinische Versorgungszentren, in denen mindestens zehn Personen regelmäßig personenbezogene Daten automatisiert verarbeiten, müssen darüber hinaus:
- einen Datenschutzbeauftragten (DSB) bestimmen und gegebenenfalls schulen lassen, und
- seine Kontaktdaten an die zuständige Aufsichtsbehörde melden.
In bestimmten Fällen muss eine Datenschutzfolgenabschätzung erfolgen, zum Beispiel wenn große Mengen an personenbezogenen Daten verarbeitet oder die Praxisräume systematisch videoüberwacht werden. Diese Praxen benötigen unabhängig von ihrer Größe ebenfalls einen Datenschutzbeauftragten.
Nützliche Links zum Thema DSGVO
Die Bundeszahnärztekammer (BZÄK) hat „Das neue Datenschutzrecht – Merkblatt für Zahnärzte“ mit den wichtigsten Anforderungen an die Zahnarztpraxis veröffentlicht.
Zusammen mit der Kassenzahnärztlichen Bundesvereinigung (KZBV) hat die BZÄK den gemeinsam herausgegebenen „Datenschutz- und Datensicherheitsleitfaden für die Zahnarztpraxis-EDV“ von 2015 neu aufgelegt, der ab Ende April auf den Webseiten von KZBV und BZÄK zur Verfügung gestellt wird.
Was Zahnarztpraxen und MVZ zum 25. Mai 2018 brauchen, um die neue EU-Datenschutz-Grundverordnung einzuhalten, hält zudem die Kassenärztliche Vereinigung (KBV) auf ihrer Internetseite fest und stellt einige nützliche Mustervorlagen für Praxen zur Verfügung.
Das Bayerische Landesamt für Datenschutzaufsicht hat speziell für (Zahn-)Arztpraxen ein Merkblatt verfasst, in dem die wichtigsten Anforderungen der DSGVO übersichtlich zusammengefasst sind.
