StartseiteRatgeber
Patientendaten in der Zahnarztpraxis
Patientenakten, Röntgenbilder und Abrechnungsunterlagen haben unterschiedliche Fristen. Ihr Löschkonzept muss sie auseinanderhalten.
Ein Ehemann fragt nach dem Termin seiner Frau. Eine Patientin möchte ihre Akte. Ein Kollege bittet um einen Befund. Ein Röntgenbild ist zwölf Jahre alt und niemand weiß, ob es gelöscht werden darf. Für solche Situationen braucht das Team klare Regeln.
Welche Patientendaten verarbeitet werden dürfen
Gesundheitsdaten gehören zu den besonders geschützten Daten. Ihre Verarbeitung ist nach Artikel 9 DSGVO grundsätzlich untersagt und nur in den dort geregelten Fällen zulässig. Für die zahnärztliche Behandlung gilt die Ausnahme für Gesundheitsvorsorge, Diagnostik, Versorgung und Behandlung, sofern Fachpersonal unter Berufsgeheimnis die Daten verarbeitet oder die Verarbeitung unter dessen Verantwortung erfolgt. Ergänzende nationale Vorgaben stehen in § 22 BDSG.
Für Behandlungszwecke ist deshalb in der Regel keine Einwilligung als Rechtsgrundlage erforderlich. Zusätzliche Zwecke wie Newsletter, Fotos für die Website, werbliche Erinnerungen oder Bewertungsbitten müssen gesondert geprüft werden. Wird dafür eine Einwilligung genutzt, muss die Praxis sie nachweisen können.
Schweigepflicht am Empfang und am Telefon
Zahnärzte sind Berufsgeheimnisträger nach § 203 StGB. Das unbefugte Offenbaren eines Patientengeheimnisses kann mit Freiheitsstrafe bis zu einem Jahr oder Geldstrafe geahndet werden; die Schweigepflicht gilt auch nach dem Tod des Patienten fort.
Das eigene Praxispersonal darf Patientengeheimnisse erfahren, soweit es diese für seine Arbeit benötigt. Zusätzlich muss die Praxisleitung alle Beschäftigten über die Verschwiegenheitspflicht belehren und dies dokumentieren. Maßgeblich ist die Berufsordnung der jeweiligen Landeszahnärztekammer. Mehr zur Datenschutzschulung
Am Empfang. Der niedersächsische Landesbeauftragte empfiehlt, Warte- und Empfangsbereich zu trennen. Patienten sollten vorab darüber informiert werden, wenn sie mit Namen aufgerufen werden; auf Wunsch ist ein diskreter Aufruf möglich. Dies ist eine Behördenauffassung. Verbindlich verlangt die IT-Sicherheitsrichtlinie, den Rechner beim Verlassen des Arbeitsplatzes zu sperren oder den Benutzer abzumelden.
Bei Sprachnachrichten. Eine Mailbox beim Telekommunikationsanbieter wird vom Bayerischen Landesamt für Datenschutzaufsicht nicht als Auftragsverarbeitung eingeordnet. Werden Nachrichten als E-Mail weitergeleitet, muss die Übertragung nach dem Stand der Technik verschlüsselt sein und der Zugriff auf die Praxis begrenzt bleiben.
Bei Anrufen von Angehörigen. Angehörige sind gegenüber der Praxis Dritte. Ohne Befugnis oder Einwilligung dürfen keine Patientengeheimnisse bestätigt oder weitergegeben werden. Nennt ein Dritter die Daten selbst, kann die Praxis nach der Auffassung der niedersächsischen Aufsicht einen Terminwunsch aufnehmen. Beim Absagen oder Verschieben würde sie bestätigen, dass ein Termin besteht; dafür verlangt die Behörde eine Einwilligung. Eine mögliche Antwort lautet: „Ich nehme Ihre Nachricht gerne auf und melde mich direkt bei der Patientin.“
Auskunft und Kopie der Patientenakte
Patienten haben nach Artikel 15 DSGVO Anspruch auf Auskunft und auf eine Kopie ihrer personenbezogenen Daten. Zusätzlich besteht ein Anspruch auf Einsicht in die vollständige Patientenakte.
Die Praxis muss unverzüglich und grundsätzlich innerhalb eines Monats antworten. Bei einem komplexen Antrag kann die Frist um zwei Monate verlängert werden. Damit die Anfrage nicht liegen bleibt, sollte festgelegt sein, wer sie aufnimmt und die Unterlagen zusammenstellt.
Der Europäische Gerichtshof hat 2023 entschieden, dass die erste Kopie der Patientenakte unentgeltlich ist. Der Patient muss sein Verlangen nicht begründen. Für weitere Kopien kann ein angemessenes, an den Verwaltungskosten orientiertes Entgelt verlangt werden.
Ein Abrechnungsausdruck ersetzt die vollständige Patientenakte nicht. Solange die Aufbewahrungsfrist läuft, gibt die Praxis nach der Auffassung der Kassenärztlichen Vereinigung Bayerns eine Kopie und nicht die Originalakte heraus.
Weitergabe an Praxen und Dienstleister
Externe mitwirkende Personen dürfen Patientengeheimnisse nur erfahren, soweit das für ihre konkrete Tätigkeit erforderlich ist. Dazu können Beschäftigte von Software-, Telekommunikations- oder Buchhaltungsdienstleistern gehören. Die Praxis muss dafür sorgen, dass sie zur Geheimhaltung verpflichtet werden. Bei Unternehmen mit wechselndem Personal wird in der Regel das Unternehmen verpflichtet, diese Verpflichtung an seine Beschäftigten weiterzugeben.
Diese Geheimhaltungsverpflichtung besteht zusätzlich zu einem Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO. Nicht jeder Empfänger ist jedoch Auftragsverarbeiter. Die niedersächsische Aufsicht ordnet Factoring und Laboraufträge anders ein; die Kassenärztliche Vereinigung Bayerns vertritt dies auch für Steuerberater.
Für den elektronischen Versand medizinischer Daten ist KIM innerhalb der Telematikinfrastruktur vorgesehen. Normale E-Mails bieten ohne zusätzliche Schutzmaßnahmen keinen angemessenen Schutz. Für eine unverschlüsselte E-Mail an Patienten empfiehlt das Bayerische Landesamt für Datenschutzaufsicht eine vorherige schriftliche Einwilligung und verlangt, dass die Praxis auch verschlüsselte Kommunikation anbieten kann. Mehr zur Telematikinfrastruktur
Ihr Ansprechpartner: Lukasz Lepiocha
Lukasz ist DEKRA-zertifizierter Datenschutzauditor und bei neuen Anfragen Ihr erster Ansprechpartner. Auch wenn eine E-Mail falsch verschickt wurde, ein Datenträger fehlt oder Post von der Aufsichtsbehörde kommt, erreichen Sie uns direkt.
Aufbewahren und Löschen
Röntgenaufzeichnungen müssen außerdem vor unbefugtem Zugriff und Veränderungen geschützt werden. Für Konstanz- und Abnahmeprüfungen sowie jährliche Unterweisungen gelten weitere eigene Fristen. Steuerunterlagen folgen wiederum den Fristen der Abgabenordnung.
Patientenakten
Sie sind grundsätzlich zehn Jahre nach Abschluss der Behandlung aufzubewahren. Die Frist beginnt mit der letzten Behandlung.
Röntgenaufzeichnungen
Bei Behandlungen mit ionisierender Strahlung gilt eine Aufbewahrungsfrist von 30 Jahren. Bei Untersuchungen Volljähriger sind es zehn Jahre. Aufzeichnungen über Untersuchungen Minderjähriger bleiben bis zur Vollendung des 28. Lebensjahres erhalten. Entscheidend ist zuerst, ob es sich um eine Behandlung oder Untersuchung handelt. Wird ein fünfjähriges Kind mit ionisierender Strahlung behandelt, reicht die 30-jährige Frist bis zu seinem 35. Lebensjahr.
Nach Ablauf der maßgeblichen Frist sind Daten grundsätzlich zu löschen. Eine weitere Aufbewahrung kann zulässig sein, wenn Unterlagen zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind. In bestimmten Fällen tritt an die Stelle der Löschung eine Einschränkung der Verarbeitung. Die Bayerische Landeszahnärztekammer weist darauf hin, dass mit Blick auf die zivilrechtliche Verjährung im Einzelfall 30 Jahre sinnvoll sein können. Diese Fristen müssen im Löschkonzept getrennt abgebildet werden.
Wenn Patientendaten betroffen sind
Eine meldepflichtige Datenschutzverletzung muss unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die Aufsichtsbehörde gemeldet werden. Bei einer späteren Meldung ist die Verzögerung zu begründen. Bei einem voraussichtlich hohen Risiko müssen grundsätzlich auch die betroffenen Personen informiert werden. Eine Ausnahme kann gelten, wenn die Daten durch geeignete Maßnahmen für Unbefugte unzugänglich waren.
Auch eine vorübergehende Unzugänglichkeit kann eine Datenschutzverletzung sein. Alle Verletzungen müssen intern mit Auswirkungen und Abhilfemaßnahmen dokumentiert werden, auch wenn keine Meldung erforderlich war. Typische Fälle sind Schadsoftware im Praxisverwaltungssystem, falsch versendete Befunde und offene E-Mail-Verteiler.
Die 72 Stunden laufen auch am Freitagnachmittag. Legen Sie deshalb vorher fest, wer einen Vorfall aufnimmt, wer ihn bewertet und welche Aufsichtsbehörde zuständig ist.
Eine Übersicht über alle grundlegenden Pflichten finden Sie unter Datenschutz in der Zahnarztpraxis.
Ratgeber für Zahnarztpraxen
Verständliche Antworten auf die Datenschutzfragen, die uns in Zahnarztpraxen regelmäßig begegnen.
Datenschutz in der Zahnarztpraxis
Ein verständlicher Überblick über die Datenschutzthemen, die im Praxisalltag wirklich eine Rolle spielen.
Weiterlesen02WhatsApp in der Zahnarztpraxis
WhatsApp ist schnell und bequem. Bei Patientendaten braucht Ihre Praxis trotzdem klare Regeln und sichere Alternativen.
Weiterlesen03Künstliche Intelligenz in der Zahnarztpraxis
Viele Praxen nutzen bereits KI. Wir erklären, welche Pflichten daraus entstehen und was Sie dokumentieren sollten.
Weiterlesen04Praxissoftware und Datenschutz
Wer darf auf welche Daten zugreifen? Was muss im Vertrag stehen? Und was passiert bei einem Softwarewechsel?
Weiterlesen05Telematikinfrastruktur und Datenschutz
Wir ordnen die Vorgaben zur Telematikinfrastruktur ein und zeigen, was davon für Zahnarztpraxen gilt.
Weiterlesen06Online-Terminbuchung und Praxiswebsite
Schon beim ersten Seitenaufruf können Daten an externe Dienste fließen. Wir zeigen, wo Sie genau hinsehen sollten.
WeiterlesenWas im kostenlosen Check passiert
Im Check prüfen wir, wie Ihre Praxis Auskünfte, Fristen, Zugriffe und Datenschutzvorfälle organisiert.
In 45 Minuten sprechen wir über die wichtigsten Abläufe Ihrer Praxis: Anmeldung, Dokumentation, Kommunikation, Software und Abrechnung. Anschließend erhalten Sie unsere Einschätzung schriftlich.
Der Check ist kostenlos und unverbindlich. Danach wissen Sie, welche Punkte Sie selbst erledigen können und wobei Unterstützung sinnvoll wäre.
- Keine Vorbereitung nötig
- Schriftliche Zusammenfassung
- Persönlicher Ansprechpartner