Datenschutz und Umgang mit Daten in Ordinationen

Grundsätzlich muss jede Datenschutzverletzung (sog. "data breach") binnen einer Frist von 72 Stunden an die Datenschutzbehörde gemeldet werden. Die Datenschutzbehörde hat hier ein eigenes Meldeformular zur Verfügung gestellt.

Als Datenschutzverletzung gilt grundsätzlich jede Verletzung des Schutzes personenbezogener Daten. Insbesondere kann dies eine Verletzung der Vertraulichkeit (wenn Daten gestohlen oder kopiert wurden), eine Verletzung der Integrität (wenn Daten unautorisiert geändert wurden) oder eine Verletzung der Verfügbarkeit (wenn Daten gelöscht wurden oder aus anderen Gründen nicht mehr verfügbar sind) sein.

Als Datenschutzverletzung gilt z.B. der Verlust des Ordinationslaptops oder eines Speichermediums (USB-Stick, Festplatte), aber auch z.B. die irrtümliche Löschung von Patient*innenakten oder die Vertauschung von Befunden. Irrelevant ist hierbei, ob es sich um elektronisch gespeicherte Daten oder aber um eine manuell geführte Patient*innendokumentation handelt. Besteht ein hohes Risiko für die persönlichen Rechte der betroffenen Patient*innen, müssen auch diese selbst von der Datenschutzverletzung benachrichtigt werden.

Bitte kontaktieren Sie uns bei einer möglichen oder tatsächlichen Datenschutzverletzung, damit wir Ihnen bei gegebenenfalls erforderlichen Maßnahmen behilflich sein können. 

Ärzt*innen sind keine Auftragsverarbeiter für andere Ärzt*innen (z.B. in der Zusammenarbeit mit Labors) und benötigen daher untereinander keine Auftragsverarbeitervereinbarung.

Patient*innendaten 

Was passiert mit den Patient*innendaten, wenn eine Ordination übernommen wird?

Gemäß § 51 Abs. 4 Ärztegesetz ist der*die Kassenplanstellennachfolger*in bzw. der*die Ordinationsstättennachfolger*in verpflichtet, die Dokumentation von seinem*ihrer Vorgänger*in zu übernehmen und für die der Aufbewahrungspflicht entsprechende Dauer aufzubewahren. Eine Einwilligung des*der Patient*in ist hierfür nicht notwendig. Eine Weiterverwendung durch den*die Nachfolger*in ist nur zulässig, wenn der*die jeweilige Patient*in in die Weiterverwendung eingewilligt hat.

Für den*die jeweilige*n Ärzt*in bedeutet dies, dass er*sie bei (vom Vorgänger*der Vorgängerin) übernommenen Patient*innen vor Beginn der Behandlung fragen muss, ob er*sie in die alte Patient*innenakte Einsicht nehmen darf.

In welchem Verhältnis steht die Pflicht zur Löschung von personenbezogenen Daten zur Aufbewahrungspflicht laut Ärztegesetz bzw. steuerlichen Verpflichtungen?

Grundsätzlich sieht die Datenschutzgrundverordnung vor, dass Daten zu löschen sind, wenn sie für den jeweiligen Zweck nicht mehr notwendig sind. Darüber hinaus sind Daten solange zu speichern (aufzubewahren), als einfachgesetzliche Regeln die Speicherung vorsehen. Die Dokumentationspflicht gemäß dem Ärztegesetz verpflichtet zur Speicherung der personenbezogenen Daten für „mindestens“ zehn Jahre. Da die Dokumentationspflicht vorsieht, dass die Unterlagen „mindestens" zehn Jahre aufzubewahren sind, besteht die Möglichkeit die Daten auch länger zu speichern.

Wann und wie müssen Patient*innendaten gelöscht werden?

Die Löschung von personenbezogenen Daten muss unmittelbar nach Wegfall des Zwecks erfolgen. Das bedeutet, dass der*die Ärzt*in in regelmäßigen Abständen prüfen muss, welche Patient*innendaten zu löschen sind. Löschen bedeutet, dass die Daten durch niemanden mehr abrufbar sind.

Der Löschvorgang kann auch durch eine Anonymisierung erfolgen. Bei der Anonymisierung werden sämtliche Personenbezüge entfernt, sodass die jeweilige Information nicht mehr einer konkreten Person zugeordnet werden kann. Da das Anonymisieren meist aufwendig ist, ist die Anonymisierung nicht zu empfehlen.

Darf im Rahmen des Behandlungsvertrags ein Risikoaufklärungsbogen des*der Patient*in angelegt werden?

Da die Aufklärung Teil des Behandlungsvertrages ist, ist es rechtlich geboten, allfällige Aufklärungsbögen aufzubewahren. 

Welche Daten müssen im Rahmen des Auskunftsrechts der*des Patient*in an den*die Patient*in übergeben werden?

Gemäß Art. 15 DSGVO hat jede betroffene Person (somit jede*r Patient*in) das Recht, vom*von der Verantwortlichen (hier: dem*der Ärzt*in) eine Bestätigung darüber zu verlangen, ob und welche personenbezogenen Daten über den*die Betroffene*n verarbeitet werden. Gleichzeitig kann die betroffene Person eine Kopie der verarbeiteten personenbezogenen Daten verlangen. Praktisch wird der*die Patient*in bei dem*der Ärzt*in einen Antrag stellen, Auskunft über die verarbeiteten Daten zu erhalten.  Allenfalls ist mit dem*der Patient*in zu klären, ob er*sie tatsächlich ein Auskunftsbegehren nach der DSGVO stellt oder er*sie doch (nur) Interesse an den Patient*innenakten hat. 

Technische und organisatorische Maßnahmen
 

Müssen Backups grundsätzlich verschlüsselt werden?

Gemäß der Datenschutzgrundverordnung sind Datensicherheitsmaßnahmen zu ergreifen, welche auch die Wiederherstellbarkeit der Daten sicherstellen. Da Backups problemlos „mitgenommen" werden können, müssen diese gesichert werden.

Falls der*die niedergelassene Ärzt*in nicht sicherstellen kann, dass ein unberechtigter Zugriff auf die Daten unmöglich ist, ist eine Verschlüsselung des Backups erforderlich.

Darf ich personenbezogene Daten in der Cloud speichern?

Grundsätzlich sollten Sie gesundheits- bzw. personenbezogene Daten niemals in der Cloud speichern, weil Sie nicht wissen, wie und wo ein Cloudanbieter mit den Daten umgeht - außer Sie sind sich sicher, dass das Cloudprodukt nach der DSGVO handelt und die Speicherung der Daten jedenfalls auf EU-Ebene (Europäisches Datenschutzrecht) und nicht in Amerika (oder einem Drittland ohne angemessenem Schutzniveau) erfolgt.

Erfragen Sie diese Grundlagen bitte bei dem*der jeweiligen Anbieter*in und lassen Sie sich die Rahmenbedingungen bei Nutzung schriftlich bestätigen.

Ist die Nutzung des Google-Kalenders datenschutzkonform?

Die Nutzung der Terminplanung des Google-Kalenders ist unzulässig, da Sie Google – im Rahmen der Gratisversion des Google-Kalenders – das Recht einräumen, den Inhalt des Kalenders (sowie der E-Mails) zu analysieren. Dies ist mit der Geheimhaltungspflicht der Ärzt*innen nicht in Einklang zu bringen.

Welcher E-Mail-Provider ist DSGVO-konform?

Die Datenverarbeitung von gratis E-Mail-Anbieter*innen erfolgt in der Regel in Drittländern und ist somit nicht DSGVO-konform. Wir raten Ihnen daher von der beruflichen Verwendung von gratis E-Mail-Providern ab.

Einige Arztsoftwarehersteller*innen bieten Module zur verschlüsselten elektronischen Kommunikation für die Übermittlung von Gesundheitsdaten innerhalb der jeweiligen Arztsoftware an. Eine beispielhafte Auflistung (ohne Testung, Wertung und Empfehlung) von möglichen Diensten zur verschlüsselten elektronischen Kommunikation stellen wir Ihnen  hier  zur Verfügung.

Wie vernichte ich in Zukunft haptische Unterlagen, die personenbezogene Daten enthalten?

Sie vernichten die Dokumente mithilfe eines Aktenvernichters mit Schutzklasse 3 (sehr hoher Schutzbedarf), oder Sie übergeben die betreffenden Unterlagen an ein Unternehmen, das die Vernichtung entsprechend für Sie durchführt.

Wie darf ich Patient*innen in meiner Ordination aufrufen?

Als Verantwortliche*r stellen Sie sicher, dass Patient*innen diskret aufgerufen werden. Dazu werden der*die verantwortliche Ärzt*in oder dessen*deren Mitarbeiter*innen lediglich den Nachnamen der Patient*innen aufrufen. Die Verantwortlichen und deren Mitarbeiter*innen werden so mit den Patient*innen kommunizieren, dass ein Dritter keine Kenntnis über den Inhalt der Kommunikation erhält. Eine alternative sehr diskrete Möglichkeit wäre, Patient*innen über ein Nummernsystem aufzurufen.

Ist eine Videoüberwachung zulässig?

Grundsätzlich ist eine Bildaufnahme zulässig ist, wenn im Einzelfall überwiegende berechtigte Interessen des*der Verantwortlichen oder eines Dritten bestehen und die Verhältnismäßigkeit gegeben ist. Eine Bildaufnahme ist insbesondere dann zulässig, wenn

1. sie dem vorbeugenden Schutz von Personen oder Sachen auf privaten Liegenschaften, die ausschließlich von den Verantwortlichen genutzt werden, dient, und räumlich nicht über die Liegenschaft hinausreicht, mit Ausnahme einer zur Zweckerreichung allenfalls unvermeidbaren Einbeziehung öffentlicher Verkehrsflächen,

2. sie für den vorbeugenden Schutz von Personen oder Sachen an öffentlich zugänglichen Orten, die dem Hausrecht der Verantwortlichen unterliegen, aufgrund bereits erfolgter Rechtsverletzungen oder eines in der Natur des Ortes liegenden besonderen Gefährdungspotenzials erforderlich ist und kein gelinderes geeignetes Mittel zur Verfügung steht, oder

3. sie ein privates Dokumentationsinteresse verfolgt, das nicht auf die identifizierende Erfassung unbeteiligter Personen oder die gezielte Erfassung von Objekten, die sich zur mittelbaren Identifizierung solcher Personen eignen, gerichtet ist.

Die Überwachung von öffentlichem Grund (Straßen) ist nicht zulässig, abgesehen von einem kleinen Stück im Rahmen einer zulässigen Videoüberwachung (siehe oben). Die Überwachung (auch eine ledigliche Echtzeitüberwachung) ist jedenfalls zu kennzeichnen.

Der*Die Verantwortliche hat geeignete Sicherheitsmaßnahmen zu treffen, dass der Zugang zur Bildaufnahme durch Unbefugte ausgeschlossen ist. Außerdem muss der*die Verantwortliche – außer bei der Echtzeitüberwachung – jeden Verarbeitungsvorgang protokollieren. Wenn die Aufnahmen länger als 72 Stunden aufbewahrt werden, so muss dies verhältnismäßig sein und ist gesondert zu protokollieren und zu begründen.

Videoüberwachung im Behandlungszimmer:

Videoüberwachungen dürfen, wie bereits beschrieben, immer nur dann erfolgen, wenn es dafür einen bestimmten begründeten Zweck gibt. In der Regel ist dies ein Überwachungszweck, etwa gegen Diebstahl. Es müssen im Einzelfall überwiegende berechtigte Interessen der Verantwortlichen oder eines*einer Dritten bestehen und die Verhältnismäßigkeit muss gegeben sein. In den Behandlungsräumen ist dies eher schwer argumentierbar. Aufzeichnungen im Behandlungs- und Umkleidebereich sind aus Schutz der Privatsphäre von Patient*innen nicht zulässig.

Für nähere Informationen zur Videoüberwachung kontaktieren Sie bitte direkt die Datenschutzbehörde (https://www.dsb.gv.at/kontakt).

Wie halte ich die Verschwiegenheitspflicht meiner Mitarbeiter*innen fest?

Ein allumfassendes und datenschutzrechtlich aktualisiertes Muster für eine Verpflichtungserklärung zur Einhaltung des Datengeheimnisses für Ihre Mitarbeiter*innen finden Sie als .pdf und als Word-Dokument bei den Downloads rechts auf dieser Seite. Die Generelle Weisung des*der Dienstgebers*in, die Sie auf Seite 3 finden, können Sie Ihren Mitarbeiter*innen gesammelt per E-Mail zukommen lassen oder per Ausdruck überreichen.

Kommunikation mit vertraulichen Informationen
 

Was sind vertrauliche Informationen?
 

 
Ist eine elektronische Übermittlung an die Krankenkassen nach der DSGVO überhaupt noch zulässig?

Gemäß § 51 Abs. 2 Ärztegesetz sind Ärzt*innen berechtigt, die Dokumentation an die Sozialversicherungsträger und Krankenfürsorgeanstalten zu übermitteln. Eine gesonderte Datenschutzerklärung oder Ähnliches sind nicht notwendig.

Ist eine Einwilligungserklärung zur Übermittlung von vertraulichen Informationen von Patient*innen an andere Ärzt*innen bzw. Gesundheitseinrichtungen im Rahmen des Behandlungsvertrages erforderlich?

Nein!
Man – Ärztekammer und Dachverband der Sozialversicherungsträger - ist einvernehmlich zum Schluss gekommen, dass eine Einwilligung der Datenweitergabe an andere Ärzt*innen bzw. Gesundheitseinrichtungen im Rahmen einer medizinischen Behandlung keine Voraussetzung darstellt. Eine Übermittlung von Patient*innendaten an andere Ärzt*innen oder medizinische Einrichtungen ist daher auch ohne dokumentierte Einwilligung des*der Patient*in möglich, soweit sich der*die Patient*in – infolge der potenziellen Erweiterung des Behandlungsvertrages – in der Behandlung des*der Empfänger*in befindet. Dies schließt auch die Übermittlung medizinischer Proben zwecks Labordiagnostik ein, soweit die Analysen medizinisch objektiv notwendig sind, sowie Über- bzw. Zuweisungen, auf denen zwingend Diagnosen angeführt werden.

In allen anderen Fällen ist die Zulässigkeit der Weitergabe von Patient*innendaten ohne vorangehende Einwilligung auch weiterhin im Einzelfall zu prüfen und im Zweifelsfall unzulässig.

Wie übermittle ich vertrauliche Informationen an Verantwortliche?

Ärzt*innen als Verantwortliche verpflichten sich, vertrauliche Informationen (etwa Gesundheitsdaten) an zulässige Übermittlungsempfänger (etwa: Apotheken, Ärzt*innen, Krankenhäuser, Pflegeheime, Krankenversicherungen) ausschließlich mittels verschlüsselter elektronischer Kommunikation oder mittels Fax zu senden.

Einige Arztsoftwarehersteller*innen bieten Module zur verschlüsselten elektronischen Kommunikation innerhalb der Arztsoftware an. Eine beispielhafte Auflistung (ohne Testung, Wertung und Empfehlung) von möglichen Diensten zur verschlüsselten elektronischen Kommunikation stellen wir Ihnen hier zur Verfügung.

Wie kann ich meinen Patient*innen vertrauliche Informationen übermitteln?

Vertrauliche Informationen dürfen nur persönlich übergeben, per Post versandt oder per verschlüsselter elektronischer Kommunikation übermittelt werden, bzw. siehe nächster Punkt „Darf ich meinen Patient*innen E-Mails schicken?"

Darf ich meinen Patient*innen E-Mails schicken?

Eine Zusendung von E-Mails, die nicht der Direktwerbung dienen, ist auch ohne Einwilligung zulässig. Die frühere Beschränkung auf maximal 50 Empfänger*innen gibt es seit Dezember 2018 nicht mehr. Damit sind E-Mails ohne Werbecharakter unabhängig von der Empfänger*innenzahl zulässig.

Eine von der Datenschutzbehörde ergangene Entscheidung hält aber fest, dass eine Einwilligungserklärung in unverschlüsselten elektronischen Versand (Mailversand) von Gesundheitsdaten an Patient*innen rechtsunwirksam ist. Daher wird das bisher zur Verfügung gestellte Einwilligungsformular in der  Checkliste DSGVO für die niedergelassenen Ärzt*innen nicht weiter empfohlen und folglich auch nicht mehr zur Verfügung gestellt.

Die elektronische Übermittlung von Gesundheitsdaten im Rahmen der Arzt*innen-Patient*innen-Kommunikation wird daher jedenfalls nur verschlüsselt empfohlen (z.B. mit Passwort geschützt). Ebenso kommt die Bereitstellung über eine dem Stand der Technik entsprechende Befundplattform in Betracht.

Einige Arztsoftwarehersteller*innen bieten Module zur verschlüsselten elektronischen Kommunikation innerhalb der Arztsoftware an. Eine beispielhafte Auflistung (ohne Testung, Wertung und Empfehlung) von möglichen Diensten zur verschlüsselten elektronischen Kommunikation stellen wir Ihnen hier zur Verfügung.

Darf ich meinen Patient*innen eine SMS zur Terminerinnerung schicken?

SMS lediglich zu Zwecken der Terminerinnerung sind grundsätzlich zulässig, allerdings wird auch hier empfohlen, vorab eine Einwilligung der Patient*innen einzuholen bzw. diesen die Möglichkeit der Ablehnung zu geben.

Was darf ich am Telefon mit meinen Patient*innen besprechen?

Um vertrauliche Information telefonisch bekanntzugeben bzw. zu besprechen, müssten Sie vorab mit den Patient*innen ein telefonisches Passwort festlegen, das Sie dann am Telefon abfragen (das Geschlecht des*der Patient*in muss dem*der Patient*in entsprechen – also keine Bekanntgabe von vertraulichen Informationen einer Patientin an eine Männerstimme mit richtigem Passwort, außer dies wurde vorab so festgehalten). Falls kein Passwort vorliegt und ein dringendes Gespräch mit vertraulichen Inhalten mit dem*der Patient*in erforderlich ist, können Sie diese*n telefonisch um eine Konsultation in der Ordination bitten oder die Informationen postalisch übermitteln. Terminerinnerungen per E-Mail, SMS, Telefax oder Telefonanruf durch Ärzt*innen bedürfen vorab der schriftlichen Einwilligung der Patient*innen, die jederzeit widerrufen werden kann.

Darf ich per WhatsApp mit meinen Patient*innen kommunizieren?

Sie dürfen weder per WhatsApp mit Ihren Patient*innen kommunizieren, noch sollten Sie WhatsApp auf dem Mobiltelefon installiert haben, das Sie für berufliche Zwecke nutzen, da WhatsApp Zugriff auf Ihre gesamten Kontakte auf Ihrem Mobiltelefon hat und diese analysiert. Die Übermittlung von Gesundheitsdaten per Messengerdiensten – insb. WhatsApp – ist datenschutzwidrig.

Wer darf Rezepte, Bestätigung oder Befunde in der Ordination entgegennehmen?

Die betreffenden Patient*innen selbst, oder eine dazu bevollmächtigte Person (Verwandte, Pfleger*innen, Heime, …).

Was muss ich bei meiner Homepage beachten?

Erfülle ich die Vorgaben laut E-Commerce-Gesetz?

Die Vorgaben laut E-Commerce-Gesetz für Webseiten finde Sie hier.

Welche Informationspflichten habe ich bezüglich meiner Website?

Nach der Datenschutzgrundverordnung sind grundsätzlich alle niedergelassenen Ärzt*innen dazu verpflichtet, eine Speicherung von Daten der betroffenen Person transparent zu machen. Es ist gelungen, für Ärzt*innen als datenschutzrechtliche Verantwortliche von dieser Pflicht jedoch eine grundsätzliche Ausnahme im Ärztegesetz zu verankern. Erhebungen und Verarbeitungen personenbezogener Daten, die im Zusammenhang bzw. im Rahmen des Behandlungsvertrags erfolgen, bedürfen daher keiner gesonderten Informationspflicht den Patient*innen gegenüber; d.h. Ärzt*innen müssen nicht bei jeder Behandlung die Patient*innen unterschreiben lassen, dass Daten gespeichert werden.

Lediglich für Datenanwendungen im Zusammenhang mit Websites gilt diese Ausnahme von den Informationspflichten nicht! Daraus folgt, dass auch Ärzt*innen, sofern sie Websites betreiben und dort personenbezogene Daten verarbeiten, darüber informieren müssen, was mit diesen erhobenen Daten passiert. Nähere Informationen darüber können diesem Schreiben der Bundeskurie niedergelassene Ärzte der Österreichischen Ärztekammer entnommen werden und ein Muster für eine solche Datenschutzerklärung finden Sie als .pdf und als Word-Dokument bei den Downloads rechts auf dieser Seite. Die Ärztekammer für Wien rät - falls Websites betrieben werden - diese mit den Webdesignern durchzugehen, und dann mit deren Hilfe eine individuell geeignete Datenschutzerklärung auf Basis der personenbezogenen Daten, die auf der Website verarbeitet werden, zu erstellen.