Datenschutzinformation für Patient*innen: Muster nach Art. 13 DSGVO

Werden Daten bei der betroffenen Person selbst erhoben, wie in der Praxis beim Aufnahmebogen oder im Gespräch, gilt Art. 13 DSGVO. Die Praxis teilt dann „zum Zeitpunkt der Erhebung“ eine Reihe von Angaben mit. Die folgende Tabelle ordnet die Pflichtangaben den Abschnitten des Musters zu.

Berechtigte Interessen nach Art. 13 Abs. 1 Buchstabe d DSGVO nennt das Muster nicht, weil es keine Verarbeitung auf Grundlage von Art. 6 Abs. 1 Buchstabe f vorsieht. Nutzt Ihre Praxis eine solche Verarbeitung, etwa eine Videoüberwachung des Eingangs, ergänzen Sie den Zweck und das berechtigte Interesse.

Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten. Ihre Verarbeitung ist nach Art. 9 Abs. 1 DSGVO grundsätzlich untersagt, es sei denn, eine Ausnahme aus Abs. 2 greift. Für die Behandlung ist das Art. 9 Abs. 2 Buchstabe h DSGVO: Die Verarbeitung ist für die medizinische Diagnostik, Versorgung oder Behandlung erforderlich, auch aufgrund eines Vertrags mit einem Angehörigen eines Gesundheitsberufs. Abs. 3 verlangt dafür, dass die Daten von Fachpersonal verarbeitet werden, das dem Berufsgeheimnis unterliegt, oder unter dessen Verantwortung. In Deutschland regelt § 22 Abs. 1 Nr. 1 Buchstabe b BDSG dasselbe, ähnlich formuliert.

Daneben braucht jede Verarbeitung eine Grundlage aus Art. 6 Abs. 1 DSGVO. Für die Behandlung ist das der Behandlungsvertrag nach § 630a BGB (Buchstabe b), für Dokumentation und Abrechnung sind es gesetzliche Pflichten (Buchstabe c): Die Behandlungsakte ist nach § 630f BGB zu führen, die Abrechnungsangaben gehen nach § 295 Abs. 4 SGB V an die Kassenärztliche Vereinigung. Eine datenschutzrechtliche Einwilligung (Buchstabe a und Art. 9 Abs. 2 Buchstabe a) braucht die Praxis für diese Verarbeitungen deshalb nicht. Sie kommt dort in Betracht, wo keine andere Grundlage greift.

Unabhängig vom Datenschutzrecht gilt die ärztliche Schweigepflicht. Nach § 203 StGB macht sich strafbar, wer ein fremdes Geheimnis, das ihm als Ärztin oder Arzt anvertraut wurde, unbefugt offenbart. Für die Weitergabe an Dritte braucht die Praxis deshalb eine Befugnis: eine gesetzliche Erlaubnis oder die Einwilligung der Patientin oder des Patienten. Dafür gibt es eine eigene Vorlage: die Schweigepflichtentbindung.

Nein. Art. 13 DSGVO verlangt, dass die Praxis die Informationen mitteilt bzw. zur Verfügung stellt, nicht, dass Patient*innen ihren Erhalt bestätigen. Das Muster sagt das deshalb auch im Einleitungstext. Eine Unterschrift unter einer Information kann sogar missverstanden werden, als hätten Patient*innen in etwas eingewilligt.

Wann die Information gegeben werden muss, regelt Art. 13 Abs. 1: zum Zeitpunkt der Erhebung, also beim ersten Kontakt. Verfügt die Person bereits über die Informationen, entfällt die Pflicht nach Art. 13 Abs. 4. Bei jedem weiteren Besuch muss die Praxis den Bogen deshalb nicht erneut aushändigen, solange sich nichts geändert hat.

1. Beim ersten Besuch zusammen mit dem Patientenaufnahmebogen aushändigen.
2. Zusätzlich im Wartezimmer auslegen und auf der Website der Praxis veröffentlichen.
3. Ändert sich etwas, etwa ein neuer Dienstleister mit Zugriff auf Patientendaten, das Muster anpassen und das neue Datum vermerken.

Nicht jede. Nach § 38 Abs. 1 BDSG ist eine Benennung unter anderem dann Pflicht, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Weitere Gründe ergeben sich aus Art. 37 DSGVO und aus § 38 Abs. 1 Satz 2 BDSG. Hat Ihre Praxis eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten benannt, gehören deren Kontaktdaten in das Muster. Andernfalls streichen Sie die Zeile.

Die Pflichtinformation ist nur ein Teil des Datenschutzes in der Praxis. Wer Formulare digital ausfüllen lässt, braucht außerdem einen Vertrag zur Auftragsverarbeitung mit dem Anbieter. Bei med-forms sind Vertrag zur Auftragsverarbeitung und technische und organisatorische Maßnahmen öffentlich einsehbar. Die Daten liegen in der EU, Einzelheiten stehen auf der Seite Sicherheit.