Die DSGVO gilt für Arztpraxen in besonderem Maße, da Gesundheitsdaten zu den sensibelsten personenbezogenen Daten überhaupt zählen. Die folgende Checkliste ersetzt keine Rechtsberatung, gibt Ihnen aber einen schnellen Überblick, wo Sie stehen.
1. Ist ein Datenschutzbeauftragter benannt?
Praktisch jede Arztpraxis verarbeitet Gesundheitsdaten systematisch und in größerem Umfang — damit besteht in der Regel die Pflicht zur Benennung eines Datenschutzbeauftragten, intern oder extern.
2. Existiert ein Verarbeitungsverzeichnis?
Jede Praxis muss dokumentieren, welche personenbezogenen Daten zu welchem Zweck verarbeitet werden — von der Patientenakte bis zur Abrechnung.
3. Sind Patientenaufklärungen aktuell?
Patienten müssen verständlich darüber informiert werden, wie ihre Daten verarbeitet werden. Aushänge und Formulare sollten regelmäßig auf Aktualität geprüft werden.
4. Gibt es Auftragsverarbeitungsverträge (AVV)?
Mit jedem Dienstleister, der in Ihrem Auftrag personenbezogene Daten verarbeitet — IT-Dienstleister, Abrechnungsstellen, Cloud-Anbieter — muss ein AVV nach Art. 28 DSGVO bestehen.
5. Sind Zugriffsrechte in der Praxissoftware sauber vergeben?
Nicht jeder Mitarbeiter benötigt Zugriff auf alle Patientendaten. Rollenbasierte Zugriffskonzepte reduzieren das Risiko im Ernstfall erheblich.
6. Gibt es ein funktionierendes Backup-Konzept?
Regelmäßige, geprüfte Backups schützen nicht nur vor Datenverlust, sondern sind auch Teil der nach Art. 32 DSGVO geforderten technischen Schutzmaßnahmen.
7. Sind mobile Geräte und Notebooks verschlüsselt?
Verlorene oder gestohlene Geräte ohne Verschlüsselung zählen zu den häufigsten Ursachen meldepflichtiger Datenschutzvorfälle.
8. Wissen Ihre Mitarbeiter, wie ein Datenschutzvorfall zu melden ist?
Im Ernstfall zählt jede Stunde — die Meldefrist an die Aufsichtsbehörde beträgt in der Regel 72 Stunden. Ihr Team sollte den internen Meldeweg kennen.
9. Sind Löschfristen definiert und werden sie eingehalten?
Patientendaten dürfen nicht unbegrenzt gespeichert werden. Gesetzliche Aufbewahrungsfristen (oft 10 Jahre) sollten dokumentiert und danach auch tatsächlich umgesetzt werden.
10. Wurde die IT-Sicherheit zuletzt extern geprüft?
Eine externe, unabhängige Prüfung deckt oft Lücken auf, die im Alltag übersehen werden — bevor eine Aufsichtsbehörde oder ein Angreifer sie findet.
Unsicher, wo Ihre Praxis steht? Wir prüfen Ihre IT-Sicherheit und Compliance und können auf Wunsch direkt die Rolle des externen Datenschutzbeauftragten übernehmen.
Mehr erfahren