Datenschutz bei Gemeinschaftlicher Berufsausübung
Gemeinschaftspraxen
Gemeinschaftspraxen sind Berufsausübungsgemeinschaften und stellen berufsrechtlich „eine“ Praxis dar. Grundsätzlich schließt der Patient bei einer Gemeinschaftspraxis mit allen Ärzten gemeinschaftlich einen Behandlungsvertrag. Die Ärzte sind zur wechselseitigen Behandlung berechtigt und insoweit auch von der ärztlichen Schweigepflicht befreit. Gemeinschaftspraxen haben deshalb in der Regel einen gemeinsamen Patientenstamm, eine gemeinsame Dokumentation und damit verbunden auch einen gemeinsamen Datenbestand, auf den jeder Arzt im Bedarfsfall zugreifen darf. Ausnahmen liegen vor, wenn ein Patient ausdrücklich ausschließlich nur mit einem Arzt einen Behandlungsvertrag schließt oder die Gemeinschaftspraxis intern so organisiert ist, dass jeder Praxispartner über einen eigenen Patientenstamm verfügt. In diesen Fällen gilt die ärztliche Schweigepflicht auch gegenüber den Kollegen der Gemeinschaftspraxis. Dies erfordert ggf. entsprechende organisatorische und technische Maßnahmen, die eine eindeutige Zuordnung und Beschränkung der Zugriffsrechte auf die Patienten durch den behandelnden Arzt (und das Praxispersonal) ermöglichen.
Wird eine bestehende Gemeinschaftspraxis durch Aufnahme einer bisherigen Einzelpraxis erweitert oder eine überörtliche Berufsausübungsgemeinschaft gegründet, kann nicht ohne weiteres angenommen werden, dass die bisherigen Patienten der Einzelpraxen mit einer gemeinsamen Behandlung durch die Mitglieder der (neu gebildeten) Gemeinschaftspraxis einverstanden sind. Die bisher geführten Patientenkarteien müssen zunächst getrennt bleiben. Eine Zusammenführung sollte erst dann erfolgen, wenn der Patient der gemeinsamen Behandlung ausdrücklich zugestimmt hat.
Bei der Auflösung von Gemeinschaftspraxen hat der Arzt, der die Gemeinschaftspraxis verlässt und damit keinen Zugriff mehr auf die Patientenkartei hat, ein legitimes Interesse an den „gemeinsamen“ Patientendaten. Datenschutzrechtlich hat er jedoch nur einen Anspruch auf die Daten derjenigen Patienten, die ihm aus der Gemeinschaftspraxis in seine neue Praxis folgen. In den meisten Fällen ist damit erst eine nachträgliche Herausgabe der entsprechenden Patientenunterlagen bzw. Datenträger an den ausgeschiedenen Arzt gegen Empfangsbestätigung und die Löschung der Daten im EDV-System der (bisherigen) Gemeinschaftspraxis vertretbar. Wurde in der Gemeinschaftspraxis eine Trennung nach „eigenen“ Patienten vorgenommen, stellt sich dieses Problem nicht, das heißt, dem ausscheidenden Praxispartner stehen die Daten und Unterlagen der ihm zugeordneten Patienten im Original zu, diese sind im EDV- System der bisherigen Gemeinschaftspraxis zu löschen (siehe auch „Änderungen im Praxisbetrieb – Gemeinschaftliche Berufsausübung").
Praxisgemeinschaften
Bei Praxisgemeinschaften handelt es sich um reine Organisationsgemeinschaften. Jede an der Praxisgemeinschaft teilnehmende Praxis ist rechtlich selbständig und muss deshalb eine eigene Dokumentation und einen eigenen Datenbestand führen. Im Verhältnis zu den Partnern der Praxisgemeinschaft gilt die ärztliche Schweigepflicht. In Praxisgemeinschaften können deshalb nur EDV-Systeme eingesetzt werden, die technisch eine Zuordnung der Patientendaten zu dessen Arzt ermöglichen und einen Zugriff der anderen Partner der Praxisgemeinschaft ausschließen. Aufgrund der eindeutigen Zuordnung der Patienten bereitet die Auflösung von Praxisgemeinschaften keine datenschutzrechtlichen Probleme. Medizinische Versorgungszentren
Medizinische Versorgungszentren sind ärztlich geleitete Einrichtungen, in denen Ärzte, die in das Arztregister eingetragen sind, als Angestellte oder Vertragsärzte tätig sind (§ 95 Abs. 1 SGB V). Natürlich sind die Regelungen zur ärztlichen Schweigepflicht und zum Datenschutz auch von einem MVZ zu beachten. Allerdings können sich aufgrund der inneren Organisation beziehungsweise der Zusammensetzung eines MVZ besondere Anforderungen hinsichtlich des Schutzes der Patientendaten ergeben. Es wird daher empfohlen, bereits in der Planungsphase in Zusammenarbeit mit den Standesorganisationen (Ärztekammern und Kassenärztliche Vereinigungen) und den zuständigen Behörden ein individuelles Datenschutzkonzept zu erarbeiten. Diesbezüglich wird auch auf den 37. Tätigkeitsbericht, und den 38. Tätigkeitsbericht, des hessischen Landesdatenschutzbeauftragten verwiesen. Datenschutzrechtliche Verantwortlichkeit
Mit der im Mai 2018 wirksam werdenden EU Datenschutz-Grundverordnung wird das Datenschutzrecht EU-weit harmonisiert. Verstöße gegen datenschutzrechtliche Vorgaben unterliegen im Vergleich zur bisherigen Rechtslage dann einem spürbar ausgeweiteten Sanktionsrahmen. Um es im Vorfeld gar nicht so weit kommen zu lassen, ist eine eindeutige und klare Zuordnung der datenschutzrechtlichen Verantwortlichkeit für die Praxisbetreiber gerade im Falle einer gemeinschaftlichen Berufsausübung von großer praktischer Bedeutung. Über die interne personelle Zuordnung der nach Art. 24 Abs. 1 DS-GVO bestehenden Verantwortlichkeit und der damit zusammenhängenden Rechenschaftspflicht nach Art. 5 Abs. 2 DS-GVO sollten sich daher die Praxisbetreiber klar werden. Zumindest im Falle einer Praxisgemeinschaft ist darüber hinaus die Möglichkeit einer gemeinsamen Verantwortlichkeit nach Art. 26 DS-GVO zu prüfen, sofern die beteiligten Praxen gemeinsam Daten verarbeiten. Dies kann z.B. durch eine gemeinsame telefonische oder elektronische Erreichbarkeit, eine gemeinsame Empfangstheke oder eine gemeinsame Patientenverwaltung der Fall sein. CHECK
Gemeinschaftspraxen sind Berufsausübungsgemeinschaften und stellen berufsrechtlich „eine“ Praxis dar. Grundsätzlich schließt der Patient bei einer Gemeinschaftspraxis mit allen Ärzten gemeinschaftlich einen Behandlungsvertrag. Die Ärzte sind zur wechselseitigen Behandlung berechtigt und insoweit auch von der ärztlichen Schweigepflicht befreit. Gemeinschaftspraxen haben deshalb in der Regel einen gemeinsamen Patientenstamm, eine gemeinsame Dokumentation und damit verbunden auch einen gemeinsamen Datenbestand, auf den jeder Arzt im Bedarfsfall zugreifen darf. Ausnahmen liegen vor, wenn ein Patient ausdrücklich ausschließlich nur mit einem Arzt einen Behandlungsvertrag schließt oder die Gemeinschaftspraxis intern so organisiert ist, dass jeder Praxispartner über einen eigenen Patientenstamm verfügt. In diesen Fällen gilt die ärztliche Schweigepflicht auch gegenüber den Kollegen der Gemeinschaftspraxis. Dies erfordert ggf. entsprechende organisatorische und technische Maßnahmen, die eine eindeutige Zuordnung und Beschränkung der Zugriffsrechte auf die Patienten durch den behandelnden Arzt (und das Praxispersonal) ermöglichen.
Wird eine bestehende Gemeinschaftspraxis durch Aufnahme einer bisherigen Einzelpraxis erweitert oder eine überörtliche Berufsausübungsgemeinschaft gegründet, kann nicht ohne weiteres angenommen werden, dass die bisherigen Patienten der Einzelpraxen mit einer gemeinsamen Behandlung durch die Mitglieder der (neu gebildeten) Gemeinschaftspraxis einverstanden sind. Die bisher geführten Patientenkarteien müssen zunächst getrennt bleiben. Eine Zusammenführung sollte erst dann erfolgen, wenn der Patient der gemeinsamen Behandlung ausdrücklich zugestimmt hat.
Bei der Auflösung von Gemeinschaftspraxen hat der Arzt, der die Gemeinschaftspraxis verlässt und damit keinen Zugriff mehr auf die Patientenkartei hat, ein legitimes Interesse an den „gemeinsamen“ Patientendaten. Datenschutzrechtlich hat er jedoch nur einen Anspruch auf die Daten derjenigen Patienten, die ihm aus der Gemeinschaftspraxis in seine neue Praxis folgen. In den meisten Fällen ist damit erst eine nachträgliche Herausgabe der entsprechenden Patientenunterlagen bzw. Datenträger an den ausgeschiedenen Arzt gegen Empfangsbestätigung und die Löschung der Daten im EDV-System der (bisherigen) Gemeinschaftspraxis vertretbar. Wurde in der Gemeinschaftspraxis eine Trennung nach „eigenen“ Patienten vorgenommen, stellt sich dieses Problem nicht, das heißt, dem ausscheidenden Praxispartner stehen die Daten und Unterlagen der ihm zugeordneten Patienten im Original zu, diese sind im EDV- System der bisherigen Gemeinschaftspraxis zu löschen (siehe auch „Änderungen im Praxisbetrieb – Gemeinschaftliche Berufsausübung").
Praxisgemeinschaften
Bei Praxisgemeinschaften handelt es sich um reine Organisationsgemeinschaften. Jede an der Praxisgemeinschaft teilnehmende Praxis ist rechtlich selbständig und muss deshalb eine eigene Dokumentation und einen eigenen Datenbestand führen. Im Verhältnis zu den Partnern der Praxisgemeinschaft gilt die ärztliche Schweigepflicht. In Praxisgemeinschaften können deshalb nur EDV-Systeme eingesetzt werden, die technisch eine Zuordnung der Patientendaten zu dessen Arzt ermöglichen und einen Zugriff der anderen Partner der Praxisgemeinschaft ausschließen. Aufgrund der eindeutigen Zuordnung der Patienten bereitet die Auflösung von Praxisgemeinschaften keine datenschutzrechtlichen Probleme. Medizinische Versorgungszentren
Medizinische Versorgungszentren sind ärztlich geleitete Einrichtungen, in denen Ärzte, die in das Arztregister eingetragen sind, als Angestellte oder Vertragsärzte tätig sind (§ 95 Abs. 1 SGB V). Natürlich sind die Regelungen zur ärztlichen Schweigepflicht und zum Datenschutz auch von einem MVZ zu beachten. Allerdings können sich aufgrund der inneren Organisation beziehungsweise der Zusammensetzung eines MVZ besondere Anforderungen hinsichtlich des Schutzes der Patientendaten ergeben. Es wird daher empfohlen, bereits in der Planungsphase in Zusammenarbeit mit den Standesorganisationen (Ärztekammern und Kassenärztliche Vereinigungen) und den zuständigen Behörden ein individuelles Datenschutzkonzept zu erarbeiten. Diesbezüglich wird auch auf den 37. Tätigkeitsbericht, und den 38. Tätigkeitsbericht, des hessischen Landesdatenschutzbeauftragten verwiesen. Datenschutzrechtliche Verantwortlichkeit
Mit der im Mai 2018 wirksam werdenden EU Datenschutz-Grundverordnung wird das Datenschutzrecht EU-weit harmonisiert. Verstöße gegen datenschutzrechtliche Vorgaben unterliegen im Vergleich zur bisherigen Rechtslage dann einem spürbar ausgeweiteten Sanktionsrahmen. Um es im Vorfeld gar nicht so weit kommen zu lassen, ist eine eindeutige und klare Zuordnung der datenschutzrechtlichen Verantwortlichkeit für die Praxisbetreiber gerade im Falle einer gemeinschaftlichen Berufsausübung von großer praktischer Bedeutung. Über die interne personelle Zuordnung der nach Art. 24 Abs. 1 DS-GVO bestehenden Verantwortlichkeit und der damit zusammenhängenden Rechenschaftspflicht nach Art. 5 Abs. 2 DS-GVO sollten sich daher die Praxisbetreiber klar werden. Zumindest im Falle einer Praxisgemeinschaft ist darüber hinaus die Möglichkeit einer gemeinsamen Verantwortlichkeit nach Art. 26 DS-GVO zu prüfen, sofern die beteiligten Praxen gemeinsam Daten verarbeiten. Dies kann z.B. durch eine gemeinsame telefonische oder elektronische Erreichbarkeit, eine gemeinsame Empfangstheke oder eine gemeinsame Patientenverwaltung der Fall sein. CHECK
- Achten Sie darauf, dass, falls ein Patient in der Gemeinschaftspraxis nur von einem bestimmten Arzt behandelt wird, der oder die anderen Ärzte datenschutzrechtlich kein Einsichtsrecht in die Patientenakte haben dürfen?
- Beachten Sie bei einem neu eintretenden Praxispartner, dass die Zusammenführung der Patientendaten erst dann erfolgen darf, wenn der Patient der gemeinsamen Behandlung ausdrücklich zugestimmt hat?
- Haben Sie ein sogenanntes mandantenfähiges EDV-System, mit dem eine Zuordnung der Patientendaten zu dessen Arzt ermöglicht und einen Zugriff der anderen Partner der Praxisgemeinschaft ausgeschlossen werden kann?
- Ist die datenschutzrechtliche Verantwortlichkeit nach Art. 24 Abs. 1 DS-GVO geklärt?
- Empfehlungen der Bundesärztekammer und Kassenärztlicher Bundesvereinigung zur ärztlichen Schweigepflicht, Datenschutz und Datenverarbeitung in der Arztpraxis
- Broschüre "Datenschutz in der Arzt-/Psychotherapeutenpraxis – Hinweise und Antworten der Kassenärztlichen Vereinigung Bayerns zum Umgang mit Patientendaten im Praxisalltag", Tz. 7
- Broschüre "Um Antwort wird gebeten – Leitfaden zum richtigen Umgang mit Auskunftsersuchen, Anfragen und Gutachteraufträgen an den niedergelassenen Arzt" der Kassenärztlichen Vereinigung Rheinland-Pfalz
- Kurzpapier Nr. 16 der Datenschutzkonferenz zu Gemeinsam Verantwortlichen [https://www.datenschutz.rlp.de/de/themenfelder-themen/datenschutz-grundverordung/kurzpapiere-zur-auslegung-der-ds-gvo/]
12.06.2018