Datenschutz in der Praxis

Eine Änderung im Datenschutzrecht ist keine Besonderheit. Eine Änderung, welche auf den ersten Blick zu Lockerungen führt ist jedoch ungewöhnlich. Die Änderung im Jahr 2019 betrifft die Benennung eines Datenschutzbeauftragen. Früher musste dieser immer benannt werden, wenn in einer Praxis in der Regel mindestens 10 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftig sind. Im Jahr 2019 wurde die Zahl der Personen auf mindestens 20 erhöht vgl. § 38 I 1 BDSG. Ziel ist eine Entlastung von kleineren und mittleren Unternehmen. Jedoch bestehen die Umsetzungsverpflichtungen weiterhin. Damit diesen Pflichten weiterhin in ausreichendem Maß nachgekommen wird, besteht die Möglichkeit freiwillig einen Datenschutzbeauftragten zu bestellen. Dies kann als Präventivmaßnahme zu empfehlen sein, um Sanktionen aufgrund von Verstößen gegen das Datenschutzrechts zu vermeiden.

Wann jedoch im Einzelnen eine Pflicht besteht einen Datenschutzbeauftragten zu stellen, wird aus dem nebulösen Gesetzestext für den Laien nur schwer ersichtlich. 

Wer genau zählt zu den relevanten datenverarbeitenden Personen? Auch der Zahntechniker oder die Behandlungsassistenz? Im Folgenden sollen die einzelnen Merkmale näher erläutert werden:

§ 38 I 1 BDSG:

(…) benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.

• In der Regel bedeutet, dass es auf kurzfristige Schwankungen der Personenanzahl (z.B. Krankheitsausfälle, Vertretungen etc.) nicht ankommt, sondern die Zahl der Personen im Mittel entscheidend ist. Gezählt wird jede Person, einschließlich dem Verantwortlichen, Auszubildenden oder freiem Mitarbeiter. Auf Voll- oder Teilzeit kommt es nicht an.
• Eine automatisierte Verarbeitung liegt nicht vor, wenn Personen nur mit Papier-Karteikarten arbeiten oder mithilfe von Formularen Dokumentationspflichten erfüllen.
• Relevant ist auch das Merkmal ständig. Wohl bedeutet dies nicht, dass die Person während der gesamten Arbeitszeit mit der automatisierten Verarbeitung befasst sein muss, ausreichend ist, wenn dies einen Schwerpunkt der Tätigkeit darstellt. Ärzte oder Mitarbeiter in einer Arztpraxis, welche Terminkalender und Patientendatenverwaltung für Behandlungszwecke, zur Erfüllung von Dokumentationspflichten und zu Zwecken der Abrechnung im Schwerpunkt Patientendaten automatisiert verarbeiten, sind mitzuzählen. Nicht dazu zählen jedoch z.B. Zahntechniker, welche in erster Linie handwerkliche Aufgaben erfüllen oder Personen, welche nur im automatisierten Terminkalender nachsehen, welcher Patient als nächstes zu behandeln ist.

Fazit

In Praxen mit mindestens 20 Mitarbeiter muss näher beleuchtet werden, welche Personen ständig mit der automatisierten Verarbeitung von personenbezogenen Daten beschäftigt sind. In Praxen sind eindeutig nur solche Personen nicht erfasst, welche in erster Linie handwerkliche Tätigkeiten (z.B. Zahntechniker) erfüllen. Anders ist die bei der Assistenz im Behandlungszimmer zu beurteilen, wenn diese parallel zur Behandlung den Dokumentationspflichten am Computer nachkommt und dies einen Schwerpunkt ihrer Tätigkeit darstellt. Auch in Praxen mit einer geringeren Mitarbeiterzahl kann sich die Bestellung eines Datenschutzbeauftragten lohnen, um sicher zu gehen, dass die aktuellen rechtlichen Vorgaben umgesetzt werden.