Eine freundliche Demo ist noch keine datenschutzrechtliche Freigabe für Patientenanrufe. Für eine Arztpraxis muss die konkrete Verarbeitung geprüft werden: Welche Angaben werden benötigt, wer erhält Zugriff und wie werden Betroffene informiert? Dieser Ratgeber ist eine Vorbereitung für das Gespräch mit Ihren Datenschutzverantwortlichen, keine Rechtsberatung.
1. Den tatsächlichen Datenumfang beschreiben
Gesundheitsdaten gehören nach Artikel 9 DSGVO zu besonders geschützten Daten. Auch ein vermeintlich organisatorischer Anruf kann solche Angaben enthalten. Erfassen Sie deshalb vor dem Einsatz, welche Informationen an welcher Stelle verarbeitet werden, statt nur auf die spätere Zusammenfassung zu schauen.
Hilfreiche Prüffragen sind: Was wird im Gespräch abgefragt? Entsteht eine Aufnahme oder ein Gesprächsprotokoll? Was sieht das Team anschließend? Welche Angaben sind für den Zweck wirklich erforderlich? Das Weglassen einzelner Felder aus einer Ansicht beweist noch nicht, dass diese Informationen an anderer Stelle nicht verarbeitet werden.
2. Rechtsgrundlage, Information und Vertraulichkeit prüfen
Prüfen Sie mit den zuständigen Fachpersonen die Rechtsgrundlage und die zusätzlichen Voraussetzungen für die Verarbeitung von Gesundheitsdaten. Hinzu kommen die Informationspflichten und die ärztliche Schweigepflicht. Ob eine Einwilligung benötigt wird und wie sie gegebenenfalls eingeholt werden muss, lässt sich nicht allein aus der Produktbezeichnung KI-Telefonassistenz ableiten.
Verständliche Hinweise sollen den tatsächlichen Ablauf beschreiben. Eine allgemeine Website-Datenschutzerklärung oder die Aussage „DSGVO-konform“ ersetzt keine Prüfung Ihrer konkreten Nutzung. § 203 StGB und die datenschutzrechtlichen Vorgaben sind dabei gemeinsam zu berücksichtigen.
3. Dienstleister und Zugriff nachvollziehbar klären
Klären Sie, welche Stellen an der Verarbeitung beteiligt sind, welche Rollen sie haben und welche vertraglichen Regelungen benötigt werden. Bei Auftragsverarbeitung gehören insbesondere Weisungen, Vertraulichkeit, weitere Auftragsverarbeiter und Nachweise der Schutzmaßnahmen in die Prüfung.
Erfragen Sie auch Datenstandorte, mögliche Übermittlungen und Supportzugriffe. Innerhalb der Praxis sollten Zugriffe zum tatsächlichen Arbeitsbedarf passen. Besprechen Sie, wie Mitarbeitende hinzukommen, wie ausgeschiedene Personen ihren Zugang verlieren und wie unbefugter Zugriff verhindert wird.
4. Aufbewahrung und Löschung getrennt betrachten
Für Telefonaufgaben, etwaige Aufnahmen und die medizinische Dokumentation können unterschiedliche Anforderungen gelten. Halten Sie fest, was zu welchem Zweck aufbewahrt wird und wie die geltenden Fristen ermittelt werden. Eine allgemeine Aussage „wird gelöscht“ genügt nicht, um den vollständigen Ablauf zu verstehen.
Die spätere ärztliche Dokumentation ist nicht mit der organisatorischen Telefonaufgabe gleichzusetzen. Klären Sie außerdem, wie Kopien, Sicherungen und Daten bei beteiligten Dienstleistern berücksichtigt werden. Vereinbaren Sie, wer eine Löschung ausführt und wie sich prüfen lässt, dass die vorgesehenen Regeln tatsächlich greifen.
5. Vor der Freigabe praktisch prüfen
Ein kurzer Test mit ausschließlich fiktiven Daten kann zeigen, ob Ihr Team den geplanten Ablauf versteht. Er beantwortet aber nicht automatisch alle Rechts- und Sicherheitsfragen. Legen Sie vorab fest, welche Nachweise für die Freigabe vorliegen müssen.
- Sind Datenumfang, beteiligte Stellen und Zuständigkeiten dokumentiert?
- Sind die erforderlichen Verträge und Patienteninformationen geprüft?
- Sind Zugriffsrechte, Schutzmaßnahmen und Löschabläufe nachvollziehbar?
- Ist geprüft, ob eine Datenschutz-Folgenabschätzung erforderlich ist?
- Weiß das Team, wie es bei Fehlern, Auskunftsersuchen oder einer Datenpanne vorgeht?
Was das für einen PraxisFuchs-Test bedeutet
Im Erstgespräch beschreiben Sie zunächst Ihre organisatorischen Abläufe, nicht einzelne Patientenfälle. Für den Praxischeck und die Browser-Demo sind keine echten Patientendaten erforderlich. Verwenden Sie dafür keine Namen, Befunde, Medikamentenlisten oder anderen Angaben realer Personen.
Vor einem Einsatz mit echten Patientenanrufen werden der konkrete Umfang und die Datenschutzanforderungen Ihrer Praxis abgestimmt. Die Entscheidung über diesen Einsatz erfolgt anhand der notwendigen Prüfung und Freigabe, nicht allein aufgrund dieses Ratgebers oder einer gelungenen Demo.