Datenschutzgrundverordnung (DSGVO) – Schreckgespenst oder echte Bedrohung?

Die Datenschutzgrundverordnung (DSGVO) wurde mit Ablauf der Übergangsfrist am 25.5.2018 direkt geltendes Recht, sie ist in jedem EU-Mitgliedstaat unmittelbar wirksam und geht nationalem Recht vor. Ziel dieser „Durchgriffswirkung“ ist die Einheitlichkeit des Datenschutzrechts in allen EU-Ländern. Da das deutsche Datenschutzrecht zuvor ohnehin eines der strengsten Datenschutzrechte Europas war, sind die Änderungen für die Betroffenen im Gegensatz zu anderen europäischen Ländern nicht gravierend. Allerdings ist der Datenschutz nun in Deutschland aus dem Bereich der Grauzone herausgetreten und wird ernst(er) genommen, wohl auch wegen der erheblichen Sanktionsmöglichkeiten von bis zu 20 Mio. Euro oder 4% des Gesamtumsatzes des Unternehmens.

Umsetzung in einer osteopathischen Praxis

Jeder Inhaber einer osteopathischen Praxis ist ein „Verantwortlicher“ im Sinne der DSGVO (Art. 4 Nr. 7 DSGVO), da in der Praxis „personenbezogenen Daten“ verarbeitet werden. Hierbei ist zu beachten: Nach Art. 4 Nr. 1 DSGVO ist jede Information über eine natürliche Person ein personenbezogenes Datum. Als natürliche Person kommt in der osteopathischen Praxis Patienten und Mitarbeiter in Betracht.

Es gibt keine Praxis, die keine personenbezogenen Daten erhebt, speichert oder auf eine andere Art damit umgeht. Jeder Umgang mit den Daten ist eine „Verarbeitung“ im Sinne der DSGVO (Art. 4 Nr. 2 DSGVO). Das bedeutet: Ausnahmslos jede Praxis ist zur Umsetzung der DSGVO verpflichtet.

1. Schritt: Datenschutzgrundsätze beachten

Daten müssen unabhängig von der berufsrechtlichen Tätigkeitsbefugnis des Therapeuten auf Basis einer datenschutzrechtlichen Rechtsgrundlage verarbeitet werden (Grundsatz der Rechtmäßigkeit). Dafür kommen regelmäßig 3 Rechtsgrundlagen in Betracht:

-Einwilligung der betroffenen Person (Art. 6 Abs. 1 lit. a DSGVO): Beispiel: Ein Patient erhält regelmäßig einen Newsletter, in dem er über Dinge rund um die Praxis und Therapierichtung informiert wird und weitere Dienste der Praxis angeboten werden.
-Verarbeitung zur Umsetzung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO) bzw. Behandlungsvertrags (Art. 9 Abs. 2 lit. h DSGVO): Beispiel: Der Kunde eines Yoga-Studios bucht einen Yoga-Kurs. Für Buchung, Abwicklung und Berechnung des vereinbarten Preises benötigt das Yoga-Studio keine Einwilligung des Kunden, das Datenschutzrecht erlaubt dies auf Basis des Art. 6 Abs. 1 lit. b DSGVO.
-Verarbeitung zur Wahrung eines berechtigten Interesses nach Interessenabwägung (Art. 6 Abs. 1 lit. f DSGVO): Beispiel: Der Besucher der Webseite hinterlässt dabei personenbezogene Daten, auch ohne konkreten Eintrag in ein Kontaktformular. Die Verarbeitung dieser Daten durch den Webseiteninhaber zur Ermöglichung des Besuchs erfolgt auf Basis eines berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO. Ein überwiegendes entgegenstehendes Interesse des Besuchers besteht nicht, sodass die Datenverarbeitungen zulässig sind. Dies kann allerdings anders aussehen, wenn sog. Tracking Tools verwendet werden, durch die das Besuchsverhalten des Besuchers analysiert wird.

Entgegen vieler Gerüchte bedarf also auch nach der DSGVO nicht jede Datenverarbeitung der Einwilligung der betroffenen Person, denn, wie beispielhaft aufgezeigt, erlaubt die DSGVO bei der Verarbeitung zur Umsetzung eines Vertrags die Datenverarbeitung auch ohne Einwilligung.

Problematisiert wurde die Frage, ob nach Art. 9 Abs. 2 lit. h DSGVO auch die Datenverarbeitung zum Zweck der Umsetzung des Behandlungsvertrags zwischen dem Patienten und dem Heilpraktiker zulässig ist. Nach Art. 9 Absatz 3 des DSGVO wird verlangt, dass der Behandler einem Berufsgeheimnis unterliegt oder sonst nach nationalem Recht oder Unionsrecht einer Geheimhaltungspflicht unterliegt. Der Heilpraktiker ist zwar kein Berufsgeheimnisträger, unterliegt allerdings doch einer zivilrechtlichen Geheimhaltungspflicht. Aus diesem Grund hält die Mehrzahl der angefragten Landesaufsichtsbehörden Datenverarbeitungen zur Umsetzung des Behandlungsvertrags durch einen Heilpraktiker nach Art. 9 Abs. 2 lit. h DSGVO für zulässig, sodass eine zusätzliche Einwilligung des Patienten hierfür nicht erforderlich ist. Eine einheitliche Position haben die Aufsichtsbehörden dazu leider aber bislang nicht eingenommen. Rechtssicherheit ist daher nur durch eine Anfrage bei der für die jeweilige Praxis zuständigen Landesaufsichtsbehörde zu erhalten.

Lesen Sie den gesamten Beitrag hier Datenschutzgrundverordnung (DSGVO) – Schreckgespenst oder echte Bedrohung?

Aus der Zeitschrift DO – Deutsche Zeitschrift für Osteopathie 4/2018