Grund­sätz­lich muss ein Pati­ent in die Verar­bei­tung seiner Daten, die für die Behand­lung in der Arzt­pra­xis (und nur dafür) notwen­dig sind, nicht ausdrück­lich einwil­li­gen. Die Spei­che­rung, Samm­lung und Auswer­tung der Gesund­heits­da­ten beim behan­deln­den Arzt sind für die Erfül­lung des Behand­lungs­ver­trags erforderlich.

Sollte der Arzt die Daten hinge­gen beispiels­wei­se an Kolle­gen weiter­ge­ben wollen, von Kolle­gen Pati­en­ten­da­ten anfor­dern oder solche etwa für eine Studie verwen­den wollen, so muss eine geson­der­te Einwil­li­gung einge­holt werden. Für Daten­ver­ar­bei­tun­gen, die jenseits einer Vertrags­be­zie­hung (Behand­lungs­ver­trag) statt­fin­den, ist eine Einwil­li­gung des Betrof­fe­nen die maßgeb­li­che Recht­mä­ßig­keits­vor­aus­set­zung, diese ist stets schrift­lich einzu­ho­len und zu dokumentieren.

Neben den Vorga­ben der EU-Daten­schutz-Grund­ver­ord­nung (Art. 32 EU-DSGVO) hat der Arzt bei der Über­mitt­lung von Pati­en­ten­da­ten an Dritte auch die Schwei­ge­pflicht nach § 203 Straf­ge­setz­buch zu berücksichtigen.

Der Pati­ent hat einge­wil­ligt z. B.:

• Befund­be­richt nach Über­wei­sung an Fachärzte
• Rönt­gen­auf­nah­men an weiter­be­han­deln­den Arzt
• oder
• Der Arzt ist zur Über­mitt­lung gesetz­lich verpflich­tet z. B.:
• KV zum Zweck der Abrech­nung (§ 295 SGB V)
• KV zum Zweck der Quali­täts- und Wirt­schaft­lich­keits­prü­fung (§ 298 SGB V)
• den Medi­zi­ni­schen Dienst der Kran­ken­ver­si­che­rung (§ 284 mit § 295 SGB V)
• die gesetz­li­chen Unfall­ver­si­che­rung (§ 201 SGB VII)
• die zahn­ärzt­li­che Stelle (§ 17a RöV)

Oder zur Wahrung berech­tig­ter Inter­es­sen des Arztes, z. B.:

• zivil­recht­li­che Geltend­ma­chung von Honorarforderungen
• Inan­spruch­nah­me recht­li­cher Bera­tung bei Schadenersatzforderungen

• Auskunfts­recht gem. Art. 15 DSGVO (Auskunft über die Daten)
• Recht auf Berich­ti­gung gem. Art. 16 DSGVO (Korrek­tur von Daten zum Betroffenen)
• Recht auf Löschung bzw. Einschrän­kung gem. Art. 17 und 18 DSGVO

Die betrof­fe­ne Person hat das Recht jeder­zeit gegen die Verar­bei­tung sie betref­fen­der perso­nen­be­zo­ge­ner Daten Wider­spruch einzu­le­gen, wenn diese auf Grund­la­ge einer Einwil­li­gung erho­ben worden sind. Der Verant­wort­li­che verar­bei­tet diese perso­nen­be­zo­ge­nen Daten nicht mehr, es sei denn, er kann zwin­gen­de schutz­wür­di­ge Gründe für die Verar­bei­tung nach­wei­sen, die die Inter­es­sen, Rechte und Frei­hei­ten der betrof­fe­nen Person über­wie­gen oder die Verar­bei­tung dient der Geltend­ma­chung, Ausübung oder Vertei­di­gung von Rechtsansprüchen.

• Die betrof­fe­ne Person muss späte­stens zum Zeit­punkt der ersten Kommu­ni­ka­ti­on mit ihr ausdrück­lich auf das Recht auf Wider­spruch hinge­wie­sen werden
• Der Hinweis hat in einer verständ­li­chen und von ande­ren Infor­ma­tio­nen getrenn­ten Form zu erfolgen
• Wider­spricht eine betrof­fe­ne Person der Verar­bei­tung ihrer perso­nen­be­zo­ge­nen Daten, dürfen diese nicht mehr für den im Wider­spruch genann­ten Zweck verwen­det werden

Der Arzt ist nach der EU-Daten­schutz-Grund­ver­ord­nung (§§ 29 und 32 Abs. 4 EU-DSGVO) für die Erhe­bung und Verar­bei­tung perso­nen­be­zo­ge­ner Daten in seiner Praxis verant­wort­lich. Soweit er Beschäf­tig­te mit der Erhe­bung und Verar­bei­tung perso­nen­be­zo­ge­ner Daten betraut, muss er diese über den Umgang und die einzu­hal­ten­den Regeln bei der Erhe­bung und Verar­bei­tung unter­rich­ten bzw. belehren.

Die grund­sätz­li­che Verpflich­tung des Arztes zur Wahrung des Berufs­ge­heim­nis­ses ist nicht nur eine Berufs- und Vertrags­pflicht, sondern gemäß § 203 Straf­ge­setz­buch (StGB) unter straf­recht­li­chen Schutz gestellt. Den Arzt trifft als Berufs­ge­heim­nis­trä­ger eine beson­de­re Pflicht zur Verschwie­gen­heit (Schwei­ge­pflicht). Die Beschäf­tig­ten einer Praxis sind als „berufs­mä­ßig tätige Gehil­fen“ des Arztes von der Pflicht zur Verschwie­gen­heit umfasst, da sie auch Zugriff auf die Behand­lungs­ak­ten haben. Der Arzt hat die über die damit verbun­de­ne Verpflich­tung zur Verschwie­gen­heit zu unter­rich­ten. Alle Beschäf­tig­ten sind somit auf die Verschwie­ge­heit und das Daten­ge­heim­nis schrift­lich zu verpflichten.

1. Es sind indi­vi­du­el­le Kennun­gen und Pass­wör­ter zu verwen­den. Jeder Benut­zer erhält ein eige­nes Pass­wort, das nur von ihm benutzt werden darf. Grup­pen­pass­wör­ter sind zu vermeiden.
2. Ein Pass­wort muss geheim gehal­ten werden. Es darf nirgend­wo aufge­schrie­ben und keiner ande­ren Person – auch nicht dem System­ver­wal­ter oder dem dienst­li­chen Stell­ver­tre­ter – mitge­teilt werden. Eine Ausnah­me gilt ledig­lich für betriebs­wich­ti­ge Pass­wör­ter wie Admi­ni­stra­tor-Pass­wör­ter; diese können in einem verschlos­se­nen Umschlag in einem Tresor aufbe­wahrt werden.
3. Trivia­le Pass­wör­ter sind zu vermei­den. Dazu zählen etwa Namen oder Vorna­men, die Benut­zer­ken­nung, das Geburts­da­tum, das Kfz-Kenn­zei­chen, die Tele­fon­num­mer oder andere Anga­ben aus dem persön­li­chen Umfeld des Benut­zers, die auch ande­ren Perso­nen bekannt sein können. Solche Pass­wör­ter sind leicht zu erraten.
4. Ein Pass­wort muss aus minde­stens 10 Zeichen bestehen. Inner­halb des Pass­worts sollte minde­stens ein Sonder­zei­chen (wie z.B. ?, #, !) enthal­ten und sowohl Groß- als auch Klein­buch­sta­ben sowie Ziffern enthal­ten. Dadurch wird es erschwert, Pass­wör­ter durch Auspro­bie­ren herauszufinden.
5. Ein Pass­wort sollte bei der Einga­be nicht am Bild­schirm ange­zeigt werden. Es könnte sonst leicht jeman­dem bekannt werden, der den Bild­schirm einse­hen kann.
6. Die Pass­wör­ter sind im Compu­ter verschlüs­selt zu spei­chern. Dies verhin­dert, dass System­ver­wal­ter und andere Perso­nen, die zumin­dest lesend auf die Pass­wort­da­tei zugrei­fen können, die darin gespei­cher­ten Pass­wör­ter im Klar­text zur Kennt­nis nehmen und sich unter frem­der Benut­zer­ken­nung anmel­den können.
7. Hat ein System­ver­wal­ter einem Benut­zer ein neues Pass­wort einge­rich­tet, so muss der Benut­zer dieses Start-Pass­wort bei seiner ersten Anmel­dung ändern.
8. Ein Pass­wort muss umge­hend geän­dert werden, wenn der Verdacht besteht, dass es einer ande­ren Person bekannt wurde.
9. Nach mehre­ren fehler­haf­ten Anmel­de­ver­su­chen unter dersel­ben Benut­zer­ken­nung sollte die Kennung für die weite­re Benut­zung gesperrt werden. Nicht erfolg­rei­che Anmel­de­ver­su­che soll­ten proto­kol­liert werden.
10. Alle Pass­wör­ter von System- oder Anwen­dungs­soft­ware, die vom Herstel­ler vorein­ge­stellt wurden, soll­ten nach der Instal­la­ti­on des Systems umge­hend geän­dert werden. Da die Herstel­ler oft die glei­chen Pass­wör­ter bei der Auslie­fe­rung ihrer Produk­te vorein­stel­len, sind diese einem großen Perso­nen­kreis bekannt. Zudem sind die entspre­chen­den Kennun­gen viel­fach mit umfas­sen­den Berech­ti­gun­gen verbun­den. Deshalb soll­ten die Pass­wör­ter umge­hend geän­dert werden.
11. Bei der Nutzung von Anwen­dun­gen ist darauf zu achten, dass keine auto­ma­ti­sche Pass­wort­spei­che­rung hinter­legt ist. Das Pass­wort sollte bei jeder Nutzung neu einge­ben werden.

Jeder Mitar­bei­ter ist in der Verant­wor­tung, bei Kennt­nis­er­lan­gung einer Daten­pan­ne oder auch nur bei dem Verdacht, dass eine solche vorlie­gen könnte, sofort den Verant­wort­li­chen über diesen Vorfall zu infor­mie­ren. Der Veratnwort­li­che infor­miert umge­hend den Daten­schutz­be­auf­trag­ten über den vorlie­gen­den Sach­ver­halt und lässt Ihr alle rele­van­ten Infor­ma­tio­nen zur Bewer­tung zukom­men. Der Verant­wort­li­che leitet umge­hend Gegen­maß­nah­men ein und doku­men­tiert diese auf geeig­ne­te Art und Weise. Daten­pan­nen, welche von unbe­rech­tig­ten Drit­ten ausge­hen (z. B. einem Hacker­an­griff), sollte der Verant­wort­li­che Straf­an­zei­ge gegen den Verur­sa­cher stel­len. Die Meldung wird an die zustän­di­ge Aufsichts­be­hör­de über­mit­telt, dies erfolgt in Abspra­che mit der Daten­schutz­be­auf­trag­ten durch die Geschäfts­füh­rung. Die Infor­ma­ti­on an die Betrof­fe­nen der Daten­schutz-Verlet­zung ist durch die verant­wort­li­che Stelle vorzu­be­rei­ten (in Abspra­che mit der Daten­schutz­be­auf­trga­ten) und der Daten­schutz­auf­sicht eben­falls zu über­sen­den. Wenn einem Autrags­ver­ar­bei­ter eine Verlet­zung des Schut­zes perso­nen­be­zo­ge­ner Daten bekannt wird, meldet er dies dem Verant­wort­li­chen unverzüglich.

• Eine Beschrei­bung der Art der Verlet­zung, soweit möglich mit Anga­ben der Kate­go­rien und der unge­fäh­ren Zahl der betrof­fe­nen Perso­nen, der betrof­fe­nen Kate­go­rien und der unge­fäh­ren Zahl der betrof­fe­nen perso­nen­be­zo­ge­ner Datensätze
• Den Namen und die Kontakt­da­ten des Datenschutzbeauftragten
• Eine Beschrei­bung der wahr­schein­li­chen Folgen der Verlet­zung des Schut­zes der perso­nen­be­zo­ge­nen Daten
• Eine Beschrei­bung der von dem Verant­wort­li­chen ergrif­fe­nen oder vorge­schla­ge­nen Maßnah­men zur Behe­bung der Verlet­zung und ggf. Maßnah­men zur Abmil­de­rung ihrer mögli­chen nach­tei­li­gen Auswirkungen