Datenschutzkonformes Terminmanagement durch externe Dienstleister

Online Terminvergabe

Die Datenschutzkonferenz (DSK) hat in einem aktuellen Positionspapier klargestellt, unter welchen Voraussetzungen medizinische Praxen datenschutzkonform externe Dienstleister zur Terminvergabe einsetzen dürfen. Solche Anbieter verarbeiten im Regelfall personenbezogene Daten – teilweise auch Gesundheitsdaten – im Auftrag der Praxis. Dies ist laut DSK grundsätzlich zulässig, sofern die Beauftragung auf Grundlage eines wirksamen Vertrags zur Auftragsverarbeitung nach Art. 28 DS-GVO erfolgt. Eine Einwilligung der Patient:innen ist dann nicht erforderlich; stattdessen muss die Praxis umfassend gemäß Art. 13 DS-GVO informieren. Zudem ist sicherzustellen, dass auch eine nicht-digitale Terminvereinbarung – etwa telefonisch oder persönlich – als gleichwertige Alternative angeboten wird. Dieses Erfordernis folgt aus dem Prinzip der menschenzentrierten Digitalisierung, das eine diskriminierungsfreie Zugänglichkeit auch für digital weniger affine Personen gewährleisten soll.

Transparenz und technische Anforderungen

Die Praxis bleibt für die Datenverarbeitung verantwortlich und hat sicherzustellen, dass nur solche personenbezogenen Daten verarbeitet werden, die für die Terminvergabe erforderlich sind. Je nach Ausgestaltung und Umfang kann eine Rechtsgrundlage nach Art. 6 Abs. 1 lit. b oder c DS-GVO ausreichend sein. Nur wenn besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DS-GVO verarbeitet werden und keine gesetzliche Grundlage greift, ist eine ausdrückliche Einwilligung erforderlich. In jedem Fall müssen Patient:innen klar darüber informiert werden, welche Daten zu welchem Zweck verarbeitet werden, wer der beauftragte Dienstleister ist und welche Rechte ihnen zustehen. Die Informationspflichten müssen dabei so ausgestaltet sein, dass sie auch tatsächlich zur Kenntnis genommen werden können – etwa über die Praxiswebseite oder beim Buchungsvorgang.

Empfehlungen für datenschutzkonforme Umsetzung

Technisch-organisatorische Maßnahmen auf Seiten des Dienstleisters müssen dem Schutzbedarf der Daten angemessen sein. Dazu zählen unter anderem Zugriffsbeschränkungen, Transport- und Speicherverschlüsselung, Löschkonzepte sowie Maßnahmen zur Datenminimierung. Die Notwendigkeit einer Datenschutz-Folgenabschätzung besteht laut DSK in der Regel nicht, kann aber bei hohem Risiko – etwa bei der Verarbeitung sensibler Daten in großem Umfang – im Einzelfall bestehen. Die Aufsichtsbehörden empfehlen Praxisverantwortlichen, eingesetzte Dienstleister regelmäßig auf ihre Datenschutz-Compliance zu prüfen und alle Prozesse sowie Informationspflichten transparent zu dokumentieren. Die Verantwortung für die Einhaltung der Datenschutzvorgaben verbleibt auch bei externer Unterstützung stets bei der verantwortlichen Praxis.

(Foto: Liubomir – stock.adobe.com)

Letztes Update:18.06.25

  • Datenschutzkonforme KI Entwicklung

    DSK veröffentlicht Orientierungshilfe für datenschutzkonformen KI‑Einsatz

    Die Datenschutzkonferenz (DSK) hat im Mai 2025 die erste innerhalb der DSK abgestimmte Orientierungshilfe zum Einsatz künstlicher Intelligenz im Einklang mit der DS-GVO vorgestellt. Sie dient Verantwortlichen in Behörden und Unternehmen als Checkliste entlang der drei Phasen: Konzeption und Auswahl, Implementierung sowie Nutzung von KI-Systemen. Zentral ist dabei die Analyse von Risiken für Betroffenenrechte, insbesondere

    Mehr erfahren
  • Stand der Technik

    TeleTrusT aktualisiert „Stand der Technik in der IT‑Sicherheit“

    Der Bundesverband IT-Sicherheit e. V. (TeleTrusT) hat am 17. Juni 2025 eine vollständig aktualisierte Fassung seiner bewährten Orientierungshilfe „Stand der Technik in der IT-Sicherheit“ veröffentlicht. Die überarbeitete Ausgabe reflektiert aktuelle Entwicklungen in der Bedrohungslage, neue regulatorische Anforderungen sowie praktische Herausforderungen bei der Umsetzung technischer und organisatorischer Maßnahmen. Die Publikation versteht sich als praxisnahe Handreichung für Verantwortliche

    Mehr erfahren
  • Da­ten­schutz-Auf­wand für KMU re­du­zie­ren

    Da­ten­schutz-Auf­wand für KMU re­du­zie­ren

    Der „DataAgenda Datenschutz Manager“ unterstützt Sie dabei, Datenschutz im Unternehmen oder Konzern gemeinsam im Sinne der DS-GVO zu gestalten.

    Mehr erfahren
WordPress Cookie Hinweis von Real Cookie Banner