Datenschutz in der Praxis
Datenschutzerklärung (AGV)
Gemäß der Datenschutzgrundverordnung (DSGVO) wurde für die Praxis eine Datenschutzerklärung erstellt. Diese lautet wie folgt:
DSGVO-Bestimmungen - Datenschutzrichtlinie Osteopathiepraxis Kalter bv - Datenschutzerklärung
Am 25. Mai 2018 tritt das neue Datenschutzgesetz in Kraft. Es umfasst die Datenschutzrichtlinie (95/46/EG) und die Richtlinie zum Schutz der Privatsphäre in der elektronischen Kommunikation (2002/58/EG), die nationalen Gesetze zur Umsetzung dieser Richtlinien und/oder gegebenenfalls die Verordnung (EU) 2016/679 (die „Datenschutz-Grundverordnung“). Diese Gesetze werden zusammenfassend als DSGVO bezeichnet. Sie ersetzen das Gesetz zum Schutz personenbezogener Daten. Die DSGVO erfordert von allen Organisationen, die personenbezogene Daten verarbeiten, eine aktivere Rolle. Die wichtigsten Änderungen sind:
– Stärkung und Ausweitung der Datenschutzrechte;– mehr Verantwortung für Organisationen;– gleiche, umfassende Befugnisse für alle europäischen Datenschutzaufsichtsbehörden, beispielsweise die Möglichkeit, Geldbußen von bis zu 20 Millionen Euro zu verhängen.
Die niederländische Datenschutzbehörde (nachfolgend AP) überwacht weiterhin die Einhaltung der Gesetze durch Organisationen, wie bereits beim Datenschutzgesetz. Zur Vorbereitung auf die neuen Vorschriften hat die AP einen Stufenplan erstellt:
Der 10-Schritte-Plan der DSGVO: 1 Bewusstsein 2 Rechte der betroffenen Personen 3 Überblick über die Verarbeitung 4 Datenschutz-Folgenabschätzung (DSFA) 5 Datenschutz durch Technikgestaltung & Datenschutz durch datenschutzfreundliche Voreinstellungen 6 Datenschutzbeauftragter 7 Meldepflicht bei Datenschutzverletzungen 8 Auftragsverarbeitervereinbarungen 9 Federführende Aufsichtsbehörde 10 Einwilligung
Die weitere Ausarbeitung dieses Stufenplans und seine praktische Umsetzung sollen sicherstellen, dass die Osteopathiepraktijk Kalter bv die neue DSGVO-Gesetzgebung bestmöglich einhalten kann. Im Folgenden werden die einzelnen Schritte erläutert. Wir untersuchen, inwieweit diese Punkte auf die Osteopathiepraktijk Kalter bv zutreffen, welche Herausforderungen sich ergeben und wie die Osteopathiepraktijk Kalter bv die „neuen“ Verpflichtungen verantwortungsvoll erfüllen kann.
1 Bewusstsein
1.1 Osteopathiepraktijk Kalter bv ist eine Praxis, in der Martin Kalter Osteopathie als Dienstleistung anbietet. Um dieses Ziel zu erreichen, muss Osteopathiepraktijk Kalter bv im Rahmen seiner täglichen Geschäftstätigkeit personenbezogene Daten von Patienten verarbeiten und nutzen.
1.2 Die dokumentierten Daten sind datenschutzrelevant. Es handelt sich um personenbezogene Daten, die zur direkten und indirekten Identifizierung der betroffenen Person verwendet werden können. Um einen verantwortungsvollen Umgang mit diesen Daten und die Einhaltung der am 25. Mai 2018 in Kraft tretenden Datenschutzgesetze zu gewährleisten, hat sich Osteopathiepraktijk Kalter bv entschieden, mithilfe dieses Protokolls und des DSGVO-Schritt-für-Schritt-Plans (siehe oben) die Umsetzung der DSGVO zu erläutern.
1.3 Es handelt sich hierbei um die Erfassung personenbezogener Daten mit einem berechtigten Interesse. Schließlich registrieren sich Patienten bei der Osteopathiepraktijk Kalter bv. Sie möchten sich wegen ihrer Beschwerden vom Osteopathen behandeln lassen.
2 Betroffenenrechte
2.2 Ein Patient oder ehemaliger Patient (die betroffene Person) kann die oben genannten Informationen anfordern. Die betroffene Person kann dies per E-Mail an info@martinkalter.nl tun. Die betroffene Person muss sich identifizieren, damit Osteopathiepraktijk Kalter bv mit ausreichender Sicherheit feststellen kann, dass es sich bei der anfragenden Person tatsächlich um die betroffene Person handelt.
2.3 Osteopathiepraktijk Kalter bv informiert die betroffene Person innerhalb eines Monats nach Eingang des Antrags über die Bearbeitung. Bei komplexen oder mehreren Anträgen kann sich diese Frist um bis zu zwei Monate verlängern. In diesen Fällen wird die betroffene Person über die verlängerte Bearbeitungsfrist informiert. Diese Information erfolgt in der Regel schriftlich.
2.4 In einigen Fällen kann Osteopathiepraktijk Kalter bv eine Anfrage zur Bereitstellung von Daten ablehnen oder dafür eine Gebühr verlangen. Dies ist der Fall, wenn die betroffene Person übermäßige oder unbegründete Anfragen stellt (z. B. mehrere aufeinanderfolgende Anfragen nach denselben Daten oder wenn eines der in der DSGVO festgelegten Schutzkriterien zutrifft, beispielsweise im Rahmen einer (strafrechtlichen) Untersuchung gegen die betroffene Person). Lehnt Osteopathiepraktijk Kalter bv die Anfrage ab, wird Osteopathiepraktijk Kalter bv dies begründen und die betroffene Person über ihr Recht auf Beschwerde bei der DSGVO-Aufsichtsbehörde informieren.
2.5 Osteopathiepraktijk Kalter bv ist sich darüber im Klaren, dass eine schriftliche Entscheidung im Rahmen der Ausübung der Rechte der betroffenen Person als Entscheidung im Sinne des Allgemeinen Verwaltungsrechtsgesetzes gilt.
2.6 In einigen Fällen muss die Osteopathiepraxis Kalter bv den betroffenen Patienten von sich aus informieren. Dies ist der Fall, wenn: – Daten ohne das Wissen der betroffenen Person erlangt werden; – Daten für einen anderen Zweck verwendet werden sollen als den, für den sie ursprünglich bereitgestellt wurden. In solchen Fällen wird die Osteopathiepraxis Martin Kalter die betroffene Person innerhalb eines Monats informieren.
2.7 Nach Beendigung der Behandlung des Patienten speichert die Osteopathiepraxis Kalter bv die personenbezogenen Daten noch einige Zeit in ihrem System. Das niederländische Gesetz über medizinische Behandlungsverträge (Wgbo) schreibt eine Aufbewahrungsfrist für medizinische Unterlagen von 15 Jahren vor. Die Osteopathiepraxis Martin Kalter hält diese Aufbewahrungsfrist ein. Die Unterlagen werden nach 15 Jahren vernichtet. Die Unterlagen enthalten auch nicht-medizinische Daten.
2.8 Um sicherzustellen, dass die betroffene Person vollständig versteht, wie, zu welchem Zweck und auf welcher Grundlage (berechtigtes Interesse) ihre personenbezogenen Daten verarbeitet werden, erhält jede betroffene Person bei der Registrierung Zugriff auf diese Datenschutzerklärung und die dazugehörigen Dokumente. Osteopathiepraktijk Kalter bv veröffentlicht diese Informationen auf der Website und verweist jede betroffene Person auf diese Stelle.
3. Verzeichnis der Verarbeitungstätigkeiten
3.1 Osteopathiepraktijk Kalter bv verarbeitet personenbezogene Daten von Patienten. Folgende personenbezogene Daten dieser Mitglieder werden verarbeitet. Für alle diese Formen der Verarbeitung personenbezogener Daten führt Osteopathiepraktijk Kalter bv ein Register der Verarbeitungstätigkeiten. In diesem Register sind alle Arten personenbezogener Daten aufgeführt, die verarbeitet werden.
3.2 Wenn der Patient eine Beschwerde gegen den Osteopathen einreicht, werden diese Daten auch von Osteopathiepraktijk Kalter bv verarbeitet.
4 DSFA (Datenschutz-Folgenabschätzung)
4.1 DPIA steht für Datenschutz-Folgenabschätzung. Eine DPIA ist nur dann obligatorisch, wenn die Datenverarbeitung voraussichtlich ein hohes Datenschutzrisiko birgt. Die DSGVO nennt drei Situationen, in denen ein erhöhtes Risiko besteht: – systematische und umfassende Bewertung persönlicher Aspekte – Verarbeitung sensibler personenbezogener Daten in großem Umfang – großflächige Verfolgung von Personen in einem öffentlich zugänglichen Bereich
4.2 Zusätzlich zu den Kriterien der DSGVO selbst hat die Europäische Datenschutzgruppe eine Liste mit neun Kriterien zusammengestellt, um die Notwendigkeit einer Datenschutz-Folgenabschätzung (DSFA) zu beurteilen. Zu den Kriterien, die für Osteopathen gelten könnten, gehören: – Verarbeitung sensibler Daten – Verarbeitung umfangreicher Daten – Verarbeitung von Daten über schutzbedürftige Personen
4.3 Die Datenschutzaufsichtsbehörden betrachten die Verarbeitung besonderer personenbezogener Daten durch einzelne Ärzte nicht als umfangreich. Daher sind einzelne Ärzte nicht verpflichtet, eine Datenschutz-Folgenabschätzung durchzuführen. Es ist offensichtlich, dass auch die Datenverarbeitung durch einzelne Osteopathen keine Datenschutz-Folgenabschätzung erfordert. Daher wird Osteopathiepraktijk Kalter bv keine Datenschutz-Folgenabschätzung durchführen.
4.4 Osteopathiepraktijk Kalter bv ist sich jedoch bewusst, dass es sich hierbei um besondere personenbezogene Daten handelt. Der Inhalt einer Krankenakte ist für die betroffene Person sensibel und erfordert ein hohes Maß an Vertraulichkeit. Osteopathiepraktijk Kalter bv wird daher alle Anstrengungen unternehmen, um die Vertraulichkeit dieser Daten zu gewährleisten.
4.5 Die von der Osteopathiepraktijk Kalter bv erfassten Daten sind ausschließlich für den internen Gebrauch bestimmt. Diese personenbezogenen Daten werden verwendet, um sicherzustellen, dass der Osteopath dem Patienten die bestmögliche Behandlung bieten kann. Dazu gehört die Unterstützung bei der Lösung von Beschwerden und die Sicherstellung einer möglichst hohen Kostenerstattung durch die Krankenkasse.
4.6 Die niederländische Datenschutzbehörde (DPA) wird in Zukunft eine Liste der Verarbeitungsvorgänge veröffentlichen, für die eine Datenschutz-Folgenabschätzung (DSFA) vorgeschrieben ist. Sobald diese Liste vorliegt, wird Osteopathiepraktijk Kalter bv die Verarbeitung personenbezogener Daten erneut bewerten, um festzustellen, ob weitere Maßnahmen erforderlich sind.
5 Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen
5.1 Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen für Hersteller. Osteopathiepraktijk Kalter bv bietet einen Service an, der durch die Verarbeitung personenbezogener Daten unterstützt wird. Daher berücksichtigt Osteopathiepraktijk Kalter bv bei der Entwicklung und Implementierung dieses Services das Recht auf Schutz personenbezogener Daten. Unter Berücksichtigung des neuesten Stands der Technik stellt Osteopathiepraktijk Kalter bv sicher, dass Verantwortliche und Auftragsverarbeiter ihren Datenschutzverpflichtungen nachkommen können.
5.2 Die Osteopathiepraxis Kalter bv achtet auf:
6 Datenschutzbeauftragter
6.1 Wie bei der Datenschutz-Folgenabschätzung betrachtet die niederländische Datenschutzbehörde (DPA) die Praxis eines einzelnen Osteopathen nicht als Großverarbeiter. Die Einrichtung eines Datenschutzbeauftragten ist nicht erforderlich, auch wenn es sich um besondere personenbezogene Daten handelt. Osteopathiepraktijk Kalter bv weist darauf hin, dass es sich um die Verarbeitung personenbezogener Daten auf Wunsch des Patienten handelt, da dieser die bestmögliche Behandlung wünscht. Osteopathiepraktijk Kalter bv verarbeitet personenbezogene Daten nicht für kommerzielle Zwecke. Patienten werden von Osteopathiepraktijk Kalter bv nicht anhand ihrer personenbezogenen Daten verfolgt.
6.2 Osteopathiepraktijk Kalter bv weist erneut darauf hin, dass personenbezogene Daten streng vertraulich behandelt werden. Osteopathiepraktijk Kalter bv ist jedoch der Ansicht, alle erforderlichen Maßnahmen ergriffen zu haben, um sicherzustellen, dass die personenbezogenen Daten der Patienten nicht für andere als die vorgesehenen Zwecke verwendet werden.
7. Meldepflicht bei Datenschutzverletzungen
7.1 Eine Datenpanne im Sinne der DSGVO ist eine Verletzung des Schutzes personenbezogener Daten. Es handelt sich um eine Sicherheitsverletzung, die zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugriff auf übermittelte, gespeicherte oder anderweitig verarbeitete personenbezogene Daten führt.
7.2 Böswillige Absicht ist für die Einstufung einer „Datenschutzverletzung“ nicht relevant. Neben dem „Hacking“ personenbezogener Daten kommen auch Daten auf einem verlorenen Laptop oder eine geschlossene Website mit personenbezogenen Daten, die versehentlich geöffnet bleibt, in Betracht. Eine Sicherheitsverletzung bedeutet, dass tatsächlich ein Sicherheitsvorfall eingetreten ist. Es ist nicht nur eine Bedrohung oder eine Sicherheitslücke (auch Schwachstelle genannt), die zu einem Sicherheitsvorfall führen kann. Es liegt ein tatsächlich eingetretener Sicherheitsvorfall vor, und die ergriffenen Präventivmaßnahmen waren nicht ausreichend, um ihn zu verhindern.
7.3 Osteopathiepraktijk Kalter bv meldet Datenschutzverletzungen der niederländischen Datenschutzbehörde (AP), es sei denn, es ist unwahrscheinlich, dass die Verletzung ein Risiko für die Rechte und Freiheiten natürlicher Personen darstellt. Osteopathiepraktijk Kalter bv benachrichtigt die AP innerhalb von 72 Stunden nach Entdeckung, auch wenn noch nicht alle Informationen vorliegen.
7.4 Darüber hinaus wird Osteopathiepraktijk Kalter bv die betroffenen Personen unverzüglich über die Datenschutzverletzung informieren, wenn die Verletzung des Schutzes personenbezogener Daten ein hohes Risiko darstellt. Um festzustellen, ob ein hohes Risiko besteht, kann Osteopathiepraktijk Kalter bv zunächst weitere Untersuchungen durchführen.
7.5 Die Datenschutzverletzung wird von der Osteopathiepraktijk Kalter bv in einer Übersicht der bei der Osteopathiepraktijk Kalter bv aufgetretenen Datenschutzverletzungen dokumentiert. In dieser Übersicht werden nicht nur die Fakten rund um die Verletzung und ihre Folgen, sondern auch die ergriffenen Korrekturmaßnahmen dokumentiert.
8 Auftragsverarbeitungsverträge
8.3 Osteopathiepraktijk Kalter bv nutzt neben Crossuite BvbA keine anderen Auftragsverarbeiter. Osteopathiepraktijk Kalter bv beschäftigt jedoch einen Buchhalter. Dieser verarbeitet keine Patientendaten, hat jedoch Zugriff auf bestimmte personenbezogene Daten. Insbesondere hat der Buchhalter Zugriff auf Zahlungsdaten. Daher hat der Buchhalter eine Vertraulichkeitsvereinbarung unterzeichnet. Diese Vereinbarung besagt nicht nur, dass der Buchhalter alle personenbezogenen Daten, die er von Patienten von Osteopathiepraktijk Kalter bv erhält, vertraulich behandelt, sondern auch, dass die Mitarbeiter und Drittparteien, die der Buchhalter einsetzt, derselben Vertraulichkeitsverpflichtung unterliegen. Darüber hinaus besagt die Vereinbarung, dass der Buchhalter keine personenbezogenen Patientendaten verarbeitet.
9 Leitender Betreuer
9.1 Die Osteopathiepraxis Kalter bv muss bestimmen, welcher Aufsichtsbehörde sie unterliegt. Die Osteopathiepraxis Kalter bv hat zwei Standorte in Losser und Holten. Diese befinden sich in den Niederlanden. Die Aktivitäten der Osteopathiepraxis Kalter bv werden auf niederländischem Boden durchgeführt. Die federführende Aufsichtsbehörde für die Osteopathiepraxis Kalter bv ist daher die niederländische Datenschutzbehörde.
10 Einwilligung
10.1 Die Verarbeitung bestimmter Daten erfordert die Einwilligung der betroffenen Person. Dies ist der Fall, wenn es sich um besondere Kategorien personenbezogener Daten und um personenbezogene Daten strafrechtlicher Natur handelt. Auch die nationale Identifikationsnummer (BSN) ist ein Thema, für dessen Verarbeitung die ausdrückliche Einwilligung der betroffenen Person erforderlich ist. Osteopathiepraktijk Kalter bvv verarbeitet die BSN-Nummer seiner Patienten, da Osteopathen diese Nummer nun im Schriftverkehr mit anderen Gesundheitsdienstleistern verwenden müssen. Auch die Verarbeitung von Gesundheitsdaten betrifft eine besondere Kategorie von Daten, für die die Einwilligung des Patienten erforderlich ist. Es ist jedoch dringend zu empfehlen, die Verarbeitung aller personenbezogenen Daten im Voraus mit den Patienten zu besprechen und ausdrücklich anzugeben, ob der Patient dieser Verarbeitung zugestimmt hat.
10.2 Die Osteopathiepraktijk Kalter bv kommt dieser erforderlichen Einwilligung folgendermaßen nach. Neben der Erstellung eines Behandlungsplans wird bei der Patientenaufnahme eine Terminübersicht erstellt. Diese wird mit dem Patienten besprochen und ihm anschließend ausgehändigt oder per E-Mail mit dem Hinweis zugesandt, dass es sich um eine Bestätigung der vereinbarten Termine handelt. Der Patient wird um eine Empfangsbestätigung gebeten. Diese „Auftragsbestätigung“ enthält die wichtigsten Informationen darüber, was der Patient vom Osteopathen erwarten kann. Dazu gehören:
– dass der Patient darüber informiert wurde, dass personenbezogene Daten verarbeitet werden und um welche personenbezogenen Daten es sich handelt;– dass der Patient dieser Verarbeitung ausdrücklich zugestimmt hat;– dass der Patient in Bezug auf die Verarbeitung personenbezogener Daten Rechte hat und dass der Patient diese und die weiteren Arbeitsweisen von Osteopathiepraktijk Kalter bv in Bezug auf diese personenbezogenen Daten in den aktuellen Bestimmungen, wie auf der Website von Osteopathiepraktijk Kalter bv angegeben, lesen kann;– dass der Patient über die Aufbewahrungsfrist(en) der personenbezogenen Daten informiert wird;– dass der Patient die Möglichkeit hat, bei der NRO oder NOF Beschwerde gegen die Osteopathiepraxis Martin Kalter einzureichen;– wie hoch die Beratungsgebühr von Osteopathiepraktijk Kalter bv ist;
11 Schlussworte
11.1 Osteopathiepraktijk Kalter bv geht davon aus, dass diese Datenschutzrichtlinie alle Anforderungen der neuen DSGVO-Verordnung erfüllt. Osteopathiepraktijk Kalter bv ist sich bewusst, dass neue Vorschriften in Kraft sind und daher noch nicht alle Aspekte leicht verständlich sind. Osteopathiepraktijk Kalter bv wird die Anpassungen, Entscheidungen und sonstigen Neuigkeiten der niederländischen Datenschutzbehörde (AP) verfolgen, um rechtzeitig Maßnahmen zur weiteren Verschärfung oder Anpassung dieser Richtlinien ergreifen zu können.
