Datenschutzkonformes Terminmanagement durch externe Dienstleister

Die Datenschutzkonferenz (DSK) hat in einem aktuellen Positionspapier klargestellt, unter welchen Voraussetzungen medizinische Praxen datenschutzkonform externe Dienstleister zur Terminvergabe einsetzen dürfen. Solche Anbieter verarbeiten im Regelfall personenbezogene Daten – teilweise auch Gesundheitsdaten – im Auftrag der Praxis. Dies ist laut DSK grundsätzlich zulässig, sofern die Beauftragung auf Grundlage eines wirksamen Vertrags zur Auftragsverarbeitung nach Art. 28 DS-GVO erfolgt. Eine Einwilligung der Patient:innen ist dann nicht erforderlich; stattdessen muss die Praxis umfassend gemäß Art. 13 DS-GVO informieren. Zudem ist sicherzustellen, dass auch eine nicht-digitale Terminvereinbarung – etwa telefonisch oder persönlich – als gleichwertige Alternative angeboten wird. Dieses Erfordernis folgt aus dem Prinzip der menschenzentrierten Digitalisierung, das eine diskriminierungsfreie Zugänglichkeit auch für digital weniger affine Personen gewährleisten soll.

Transparenz und technische Anforderungen

Die Praxis bleibt für die Datenverarbeitung verantwortlich und hat sicherzustellen, dass nur solche personenbezogenen Daten verarbeitet werden, die für die Terminvergabe erforderlich sind. Je nach Ausgestaltung und Umfang kann eine Rechtsgrundlage nach Art. 6 Abs. 1 lit. b oder c DS-GVO ausreichend sein. Nur wenn besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DS-GVO verarbeitet werden und keine gesetzliche Grundlage greift, ist eine ausdrückliche Einwilligung erforderlich. In jedem Fall müssen Patient:innen klar darüber informiert werden, welche Daten zu welchem Zweck verarbeitet werden, wer der beauftragte Dienstleister ist und welche Rechte ihnen zustehen. Die Informationspflichten müssen dabei so ausgestaltet sein, dass sie auch tatsächlich zur Kenntnis genommen werden können – etwa über die Praxiswebseite oder beim Buchungsvorgang.

Empfehlungen für datenschutzkonforme Umsetzung

Technisch-organisatorische Maßnahmen auf Seiten des Dienstleisters müssen dem Schutzbedarf der Daten angemessen sein. Dazu zählen unter anderem Zugriffsbeschränkungen, Transport- und Speicherverschlüsselung, Löschkonzepte sowie Maßnahmen zur Datenminimierung. Die Notwendigkeit einer Datenschutz-Folgenabschätzung besteht laut DSK in der Regel nicht, kann aber bei hohem Risiko – etwa bei der Verarbeitung sensibler Daten in großem Umfang – im Einzelfall bestehen. Die Aufsichtsbehörden empfehlen Praxisverantwortlichen, eingesetzte Dienstleister regelmäßig auf ihre Datenschutz-Compliance zu prüfen und alle Prozesse sowie Informationspflichten transparent zu dokumentieren. Die Verantwortung für die Einhaltung der Datenschutzvorgaben verbleibt auch bei externer Unterstützung stets bei der verantwortlichen Praxis.

(Foto: Liubomir – stock.adobe.com)