Ob eine Praxis einen Datenschutzbeauftragten benennen muss, hängt nicht allein davon ab, dass sie Gesundheitsdaten verarbeitet. Für eine private Therapiepraxis sind vor allem drei Fragen wichtig: Sind in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt? Ist eine Verarbeitung datenschutzrechtlich folgenabschätzungspflichtig? Oder besteht eine Pflicht nach Artikel 37 DSGVO, etwa wegen einer umfangreichen Verarbeitung besonderer Datenkategorien als Kerntätigkeit? Diese Wege gelten nebeneinander.
Die beauftragte Person berät und überwacht den Datenschutz; sie übernimmt nicht die Verantwortung der Praxisleitung für die Organisation ihrer Abläufe. Für die Prüfung hilft eine konkrete Übersicht aus Arbeitswegen, Systemen und beteiligten Rollen. Darin kann auch ein digitaler Aufnahmevorgang stehen: Bei der Selbstauskunft in easymed geben Patientinnen und Patienten Stammdaten, Versicherungsangaben und Einwilligungen per Link ein. Die akzeptierte Fassung wird mit Version und Wortlaut in der Patientenakte abgelegt. Die Praxis legt weiterhin fest, welche Angaben sie benötigt und wer den Vorgang bearbeitet.
Die Benennung anhand der tatsächlichen Verarbeitung prüfen
Für nichtöffentliche Stellen nennt § 38 BDSG eine Benennungspflicht, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Entscheidend ist daher nicht einfach die gesamte Teamgröße. Beschreiben Sie, welche Personen im Praxisalltag in der Regel ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, etwa bei Patientendaten, Terminverwaltung oder Abrechnung.
Daneben gilt Artikel 37 DSGVO: Eine Benennung ist unter anderem erforderlich, wenn die Kerntätigkeit eine umfangreiche regelmäßige und systematische Überwachung von Personen verlangt oder in der umfangreichen Verarbeitung besonderer Datenkategorien besteht. Gesundheitsdaten gehören zu diesen besonderen Kategorien. Der Europäische Datenschutzausschuss ordnet Patientenakten bei einer Klinik den Kerntätigkeiten zu. Für die Frage, ob eine Verarbeitung umfangreich ist, nennt er unter anderem Zahl der betroffenen Personen, Datenumfang, Dauer und geografische Reichweite. Als Gegenbeispiel führt er die Patientenverarbeitung durch einen einzelnen Hausarzt an. Das ist eine hilfreiche Orientierung, entscheidet aber nicht automatisch für jede Therapiepraxis: Maßgeblich ist deren tatsächlicher Umfang.
Auch § 38 BDSG enthält zusätzliche Fälle, die unabhängig von der Personenzahl zur Benennung führen können. Dazu zählen Verarbeitungen, die einer Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO unterliegen, sowie geschäftsmäßige Verarbeitungen zum Zweck der Übermittlung oder anonymisierten Übermittlung und für Markt- oder Meinungsforschung. Für die Praxis ist deshalb wichtig, die konkrete Verarbeitung zu prüfen und nicht nur die Zahl der Beschäftigten festzuhalten.
Erstellen Sie dafür ein Betriebsbild mit wenigen klaren Angaben: Welche Daten werden für welchen Zweck verarbeitet? Wie viele Personen betrifft der Vorgang ungefähr, über welchen Zeitraum und an welchen Standorten? Welche Rollen nutzen welche Systeme? Ist eine Datenschutz-Folgenabschätzung erforderlich? Diese Fragen machen sowohl den 20-Personen-Tatbestand als auch die übrigen Benennungsgründe nachvollziehbar. Halten Sie das Ergebnis und die betrachteten Abläufe fest. Auch ohne Benennungspflicht bleiben die Datenschutzpflichten der Praxis bestehen. Bei einem neuen Standort, deutlich verändertem Umfang oder einem neuen Datenprozess aktualisieren Sie diese Einordnung.
Fachwissen und verfügbare Arbeitszeit zusammen betrachten
Artikel 37 Absatz 5 DSGVO verlangt eine passende berufliche Qualifikation, Fachwissen im Datenschutzrecht und in der Datenschutzpraxis sowie die Fähigkeit, die vorgesehenen Aufgaben zu erfüllen. Das Gesetz erlaubt eine interne Person ebenso wie eine Beauftragung auf Grundlage eines Dienstleistungsvertrags. Es gibt damit zwei mögliche Organisationsformen, aber dieselben Anforderungen an die Eignung.
Bei einer internen Lösung prüfen Sie, welches Datenschutzwissen bereits vorhanden ist und welche Weiterbildung für die Aufgabe nötig wird. Gute Kenntnis von Empfang, Behandlung und Ablage hilft bei der Einordnung konkreter Abläufe. Sie ersetzt jedoch nicht das erforderliche Fachwissen. Planen Sie außerdem ausreichend Arbeitszeit ein und klären Sie, wer die Aufgabe bei Abwesenheit übernimmt.
Bei einer externen Beauftragung sollten Vertrag und Zusammenarbeit zum tatsächlichen Praxisbetrieb passen. Welche Prozesse werden bei der Einarbeitung aufgenommen? Wie kann das Team Rückfragen stellen? Welche regelmäßigen Besprechungen, Prüfungen oder Schulungen sind vereinbart? Bei einem neuen Aufnahmebogen oder einem weiteren Standort sollte klar sein, wann und mit welchen Unterlagen die Beratung einbezogen wird.
Vergleichen Sie beide Möglichkeiten am gleichen Betreuungsumfang. Intern betrachten Sie vorhandene Praxiskenntnis, Weiterbildung und verfügbare Zeit. Extern prüfen Sie die Einarbeitung in den Betrieb, die vereinbarten Leistungen und Erreichbarkeit. Für beide zählen fachliche Eignung und ein klarer Kontakt für Rückfragen. Der Leistungsumfang erklärt den Vergleich besser als ein Preis allein.
Zwei Wege am gleichen Betreuungsumfang vergleichen
Intern
- Vorhandene Praxiskenntnis
- Passende Weiterbildung
- Verfügbare Arbeitszeit
Extern
- Einarbeitung in den Betrieb
- Vereinbarte Leistungen
- Erreichbarkeit
Für beide: fachliche Eignung und klarer Kontakt für Rückfragen
Beschreiben Sie anschließend in der Vereinbarung oder Aufgabenverteilung, welche Unterstützung regelmäßig stattfindet und wie die Praxis zusätzliche Fragen einbringt. So ist für Leitung und Team erkennbar, welche Beratung erreichbar ist und wie die beauftragte Person die Praxis kennenlernt.
Unabhängigkeit und andere Aufgaben sauber abgrenzen
Artikel 38 DSGVO beschreibt die Stellung der beauftragten Person. Sie wird frühzeitig eingebunden, erhält die erforderlichen Ressourcen und berichtet unmittelbar an die höchste Managementebene. Bei der Ausübung dieser Aufgaben bleibt sie weisungsfrei. Andere Aufgaben dürfen nicht zu einem Interessenkonflikt führen.
Das bedeutet nicht, dass der Datenschutzbeauftragte jede Datenschutzentscheidung selbst trifft. Die Praxisleitung organisiert die Umsetzung und entscheidet über den Arbeitsweg; die beauftragte Person berät, überwacht und gibt ihre fachliche Einschätzung unabhängig ab. Die Praxis bleibt für die Einhaltung des Datenschutzes verantwortlich (Artikel 24 DSGVO).
Prüfen Sie eine vorgesehene Doppelfunktion deshalb an den tatsächlichen Befugnissen: Wer entscheidet über einen Datenprozess und wer soll dessen Einhaltung überwachen? Die Datenschutzbeauftragte oder der Datenschutzbeauftragte sollte nicht die Zwecke und Mittel einer Verarbeitung festlegen und anschließend die eigene Entscheidung kontrollieren. Bei einer Inhaberperson oder einer leitenden Rolle ist diese Abgrenzung besonders wichtig. Entscheidend sind die tatsächlichen Aufgaben und Entscheidungsrechte.
Benennen Sie den direkten Kontakt zur Praxisleitung. Wenn ein Datenschutzthema Zeit, Zuständigkeit oder eine technische Anpassung braucht, sollte die Rückmeldung ohne ungeklärte Zwischenwege dort ankommen, wo die Praxis den nächsten Schritt organisieren kann. Die beauftragte Person erhält den nötigen Einblick in relevante Verarbeitungsvorgänge und die dafür erforderlichen Ressourcen.
Die Aufgaben in einem konkreten Betreuungsumfang beschreiben
Artikel 39 DSGVO nennt als Mindestaufgaben die Unterrichtung und Beratung, die Überwachung der Einhaltung des Datenschutzes, die Beratung zu Datenschutz-Folgenabschätzungen und deren Überwachung sowie die Zusammenarbeit mit der Aufsichtsbehörde. Betroffene Personen können sich mit Fragen zu ihren Daten und Rechten ebenfalls an die beauftragte Person wenden. Diese Aufgaben lassen sich im Alltag mit einem erreichbaren Kontakt und einem klaren Arbeitsweg verbinden.
Beschreiben Sie bei einem Angebot, welche Leistungen enthalten sind. Geht es um eine Bestandsaufnahme, regelmäßige Besprechungen, Team-Schulungen oder die Beratung zu bestimmten neuen Verarbeitungen? Welche Unterlagen stellt Ihre Praxis bereit und wer beantwortet Rückfragen aus dem Team? Ein konkreter Umfang erleichtert den Vergleich und zeigt, welche Vorbereitung bei Ihnen bleibt.
Im Beispiel soll eine Praxis einen neuen digitalen Aufnahmebogen einführen. Vorab stellt sie der beauftragten Person den Zweck, die vorgesehenen Angaben, die beteiligten Rollen, den Anbieter und den Ablageweg vor. Sie hält außerdem fest, wer den Bogen versendet und wer die Angaben anschließend bearbeitet. Die beauftragte Person kann so früh beraten und die geplante Verarbeitung beurteilen. Die Praxis entscheidet über die Ausgestaltung und setzt vereinbarte Änderungen mit den zuständigen Mitarbeitenden um.
Hinweise und Umsetzung mit einer nachvollziehbaren Rückmeldung verbinden
Für die Zusammenarbeit hilft eine erkennbare Folge: Prozessbeschreibung bereitstellen, Rückfragen beantworten, Beratungsergebnis aufnehmen, zuständige Umsetzung organisieren und den geänderten Arbeitsweg erneut betrachten. Diese Folge verbindet die beauftragte Person mit der Praxisleitung und den Mitarbeitenden, die den Prozess ausführen.
Im Beispiel wird bei der Besprechung des Aufnahmebogens ein unklarer Zugriff auf eingegangene Unterlagen festgestellt. Die Praxisleitung benennt die zuständige Rolle für die Anpassung. Nach der Umsetzung wird der tatsächlich eingerichtete Zugriff betrachtet. Die Rückmeldung zeigt, welcher Schritt erledigt wurde und welche Frage noch offen ist.
Hinweis aufgenommen
Unklarer Zugriff wird benannt; die Praxisleitung organisiert die zuständige Umsetzung.
Einstellung geändert
Die benannte Rolle passt den Zugang an und meldet den bearbeiteten Stand zurück.
Zugriff geprüft
Der eingerichtete Arbeitsweg wird betrachtet; erledigte Schritte und offene Fragen bleiben erkennbar.
Beratungsergebnis und Umsetzung erhalten jeweils ihren eigenen Stand. „Hinweis aufgenommen“ bedeutet noch nicht, dass eine Einstellung geändert wurde. „Einstellung geändert“ zeigt wiederum erst nach ihrer Kontrolle, ob der vorgesehene Zugriff im Arbeitsweg funktioniert. Diese Statusfolge ist eine interne Arbeitshilfe; das Gesetz schreibt dafür keine bestimmte Dokumentationsform vor.
Halten Sie die nötigen Nachweise am passenden Ort. Die gemeinsame Aufgabenübersicht nennt Zuständigkeit und Bearbeitungsstand; fachliche Unterlagen und vertrauliche Einzelheiten bleiben im vorgesehenen geschützten Zugang. Die beauftragte Person erhält für ihre Aufgabe die erforderliche Rückmeldung. Wiederkehrende Fragen können anschließend gezielt in die nächste Besprechung oder Schulung aufgenommen werden.
Kontakt, Ressourcen und Änderungen dauerhaft betreuen
Artikel 37 Absatz 7 DSGVO verlangt, die Kontaktdaten der beauftragten Person zu veröffentlichen und der Aufsichtsbehörde mitzuteilen. Bereiten Sie dafür die bestätigten Kontaktdaten vor und nutzen Sie den vorgesehenen Mitteilungsweg der zuständigen Behörde. Bei einem Wechsel werden die Angaben aktualisiert.
Prüfen Sie die Erreichbarkeit im Praxisalltag: Kennt das Team den Kontakt, weiß die Leitung, wie eine Beratung angestoßen wird, und ist der vereinbarte Weg für Rückfragen betreut? Bei einer externen Lösung gehören diese Punkte in den beschriebenen Leistungsumfang. Bei einer internen Lösung werden Arbeitszeit und Vertretung mit den übrigen Aufgaben abgestimmt.
Beziehen Sie die beauftragte Person ein, wenn sich die Verarbeitung ändert. Ein neuer Anbieter, ein zusätzlicher Standort oder ein anderer Aufnahmeweg kann Fragen zu Zuständigkeiten, Zugriff und Ablage aufwerfen. Mit einer aktuellen Prozessbeschreibung kann die Beratung rechtzeitig ansetzen, bevor ein neuer Arbeitsweg im Team zur Routine wird.
Beginnen Sie mit der Prüfung der Benennungsgründe und halten Sie die tatsächlichen Abläufe fest. Wenn ein Datenschutzbeauftragter erforderlich ist, vergleichen Sie interne und externe Lösungen anhand derselben Aufgaben, Eignung und Erreichbarkeit. So bekommt die Praxis eine passende Anlaufstelle, während Leitung und Team ihre jeweiligen Umsetzungsschritte klar zuordnen können.
