DSGVO-Checkliste für
Kanzleien und Praxen

Ja, fast immer – wobei das Verzeichnis selbst kein Behördengang ist, sondern ein internes Dokument. Die DSGVO befreit die kleinsten Organisationen davon, aber diese Ausnahme gilt nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt oder besondere Kategorien personenbezogener Daten umfasst. Eine Klinik verarbeitet per Definition Gesundheitsdaten, und eine Kanzlei verarbeitet die Daten ihrer Mandanten regelmäßig und nicht nur gelegentlich – beide fallen also aus der größenabhängigen Ausnahme heraus. In der Praxis muss das Verzeichnis auflisten, welche Daten verarbeitet werden, zu welchem Zweck, auf welcher Rechtsgrundlage, an wen sie gegebenenfalls übermittelt werden und wie lange sie aufbewahrt werden. Vorlegen müssen Sie es nur, wenn die Aufsichtsbehörde bei einer Prüfung danach fragt – aber ohne Verzeichnis lässt sich nicht nachweisen, dass hinter dem übrigen Datenschutz eine geordnete Grundlage steht.

Bei Kliniken häufig ja. Die spanischen Vorschriften verlangen ihn für Gesundheitseinrichtungen, die gesetzlich zur Führung von Patientenakten verpflichtet sind, mit einer ausdrücklichen Ausnahme für Angehörige der Gesundheitsberufe, die als Einzelpersonen ohne dahinterstehende Struktur tätig sind. Bei Anwaltskanzleien, Steuer- oder Unternehmensberatungen ist er in der Regel nicht kraft fester Liste verpflichtend, kann es aber werden, wenn Umfang oder Art der Verarbeitung es rechtfertigen: Eine Einzelkanzlei ist etwas anderes als eine Steuerberatung mit Dutzenden Mandanten und mehreren Mitarbeitenden mit Zugriff auf deren Daten. Genau diese Frage gehört zur Rechtsberatung und nicht zum IT-Dienstleister: Wir können Ihnen sagen, ob Ihre Systeme die technischen Voraussetzungen erfüllen, damit jemand diese Funktion ausüben kann – ob sie in Ihrem konkreten Fall aber Pflicht ist und wer sie übernehmen soll, ist eine rechtliche Bewertung, die davon abhängt, wie Ihre Tätigkeit organisiert ist.

Ja: den Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO, zusätzlich zum üblichen Dienstleistungsvertrag. Wenn jemand auf Ihre Systeme und damit auf Patienten- oder Mandantendaten zugreift, muss geregelt sein, was er mit diesen Daten tun darf, zu welchem Zweck, welche Vertraulichkeit von seinem Personal verlangt wird und was bei Ende der Zusammenarbeit geschieht. Das betrifft nicht nur den IT-Dienstleister: Es gilt genauso für das Hosting, auf dem Website oder E-Mail laufen, für die Cloud-Verwaltungssoftware, die Sie täglich nutzen, für die Steuerberatung, falls sie auch andere Daten betreut, und für das Unternehmen, das Papierakten vernichtet. Jeder von ihnen, der personenbezogene Daten berührt, braucht diesen unterschriebenen Vertrag. Es ist üblich, Kanzleien anzutreffen, bei denen der gesamte rechtliche Teil in Ordnung ist, aber kein einziger solcher Vertrag mit demjenigen existiert, der den größten technischen Zugriff auf ihre Systeme hat.

Das spanische Recht legt ein Minimum von fünf Jahren ab der Entlassung aus jedem Behandlungsfall fest, und die autonomen Gemeinschaften können diese Frist verlängern: In Katalonien gelten längere Aufbewahrungsfristen, daher sollten Sie diese mit Ihrer Rechtsberatung bestätigen, bevor Sie irgendeine Patientenakte vernichten, und sich nicht auf eine allgemeine Zahl aus dem Internet verlassen. Aus IT-Sicht ist das eigentliche Problem aber fast nie das befürchtete: Kaum jemand löscht zu viel oder vernichtet zu früh. Üblich ist das Gegenteil – unbegrenzt aufbewahren, weil auf der Festplatte Platz ist und nie jemand eine Frist oder ein Verfahren zu ihrer Umsetzung festgelegt hat. Auch das ist ein Verstoß, auch wenn es nicht so aussieht: Gesundheitsdaten länger als vorgesehen aufzubewahren, vergrößert unnötig die Menge sensibler Informationen, die geschützt werden müssen und die verloren gehen können, wenn im System etwas schiefgeht.

Um daran zu erinnern, dass der Termin um fünf ist – in Maßen und ohne den Anlass des Besuchs zu nennen –, nutzen es viele ohne größere Probleme. Für den Versand von Befunden, Laborwerten, Urkunden oder sonstigen Unterlagen aus der Akte ist es kein geeigneter Kanal: Sie landen auf einem privaten Handy, werden automatisch in eine Cloud kopiert, die das Unternehmen nicht kontrolliert, und bleiben im Verlauf eines Geräts, das verliehen, gewechselt oder verloren wird, ohne dass vorher jemand etwas löscht. Wenn ein Patient oder Mandant um Unterlagen bittet, müssen sie über einen Kanal gehen, den das Unternehmen kontrollieren kann und bei dem nachvollziehbar bleibt, wer sie wann gesendet hat: eine geschäftliche E-Mail-Adresse, die Verwaltungssoftware selbst, falls sie eine Nachrichtenfunktion hat, oder ein Download-Link mit Ablaufdatum. Die Bequemlichkeit eines privaten Handys wiegt den Kontrollverlust darüber, wo diese sensiblen Informationen landen, nicht auf.

Sie immer dokumentieren, unabhängig von ihrer Schwere, und sie innerhalb von 72 Stunden der spanischen Datenschutzbehörde AEPD melden, wenn sie voraussichtlich ein Risiko für die Rechte der betroffenen Personen darstellt. Eine E-Mail mit sichtbarem Verteiler an dreißig Patienten ist eine Datenpanne, auch wenn danach niemand etwas mit diesen Daten gemacht hat; ein verlorener, unverschlüsselter Laptop ebenfalls, selbst wenn er am nächsten Tag ungeöffnet wieder auftaucht. Was die meisten Kanzleien und Praxen ins Straucheln bringt, ist weniger die Panne selbst als die Erkenntnis im Moment des Schreckens, dass niemand wusste, wer über die Meldung entscheidet, wer die Mitteilung verfasst und wer zuerst informiert werden muss. Das vorab schriftlich festzuhalten, und sei es auf einer einzigen Seite, macht den Unterschied, ob man es an einem Tag löst oder eine Woche lang nicht einmal weiß, ob man jemanden anrufen muss.

Nein, und sich nur auf die Einwilligung zu stützen, ist ein häufiger Fehler, der die Dinge zudem verkompliziert. Die Gesundheitsversorgung hat in der DSGVO eine eigene Rechtsgrundlage, und ein guter Teil der Datenverarbeitung in einer Kanzlei beruht auf einer rechtlichen Verpflichtung oder dem Vertragsverhältnis mit dem Mandanten, nicht auf einer einzuholenden Einwilligung. Die Einwilligung braucht man gezielt für das, was außerhalb dieser Grundlagen liegt: Werbung zu versenden, ein Foto zu veröffentlichen, Daten an Dritte weiterzugeben, die an der eigentlichen Leistung nicht beteiligt sind. Sie für alles einzuholen, einschließlich der Behandlung selbst, bringt keinen zusätzlichen Schutz: Es verwässert die echte Einwilligung zwischen Routineunterschriften, die niemand liest, und erschwert den Nachweis, dass die Einwilligung, auf die es ankommt, frei und informiert erteilt wurde.

Nein. Die Informationspflicht – der Aushang im Wartezimmer, die Klausel im Formular, der Absatz unter der E-Mail – ist der sichtbarste Punkt und zugleich der am leichtesten zu erfüllende, gerade weil er nichts daran ändert, wie der Alltag funktioniert. Er ist nur ein Prüfpunkt unter mehreren. Was die AEPD bei einer echten Beschwerde prüft, sind die Zugriffe – wer ein bestimmtes Datum sehen konnte –, die Nachvollziehbarkeit dieser Zugriffe, ob die Verträge mit den Dienstleistern bestehen, die an die Systeme herankommen, und ob die Backups tatsächlich existieren und sich wiederherstellen lassen. Ein tadelloser Aushang am Eingang, während das Passwort der Verwaltungssoftware auf einem Klebezettel am Empfangsmonitor klebt, schützt gar nichts: Er erfüllt den sichtbaren Teil und versagt bei dem, der wirklich zählt, wenn etwas schiefgeht.