Datenschutzbeauftragter in Praxis & Apotheke: Ab wann Pflicht?
„Wir arbeiten doch mit Patientendaten – brauchen wir da nicht automatisch einen Datenschutzbeauftragten?“ Diese Annahme hält sich hartnäckig, ist aber so pauschal falsch. Ob eine Apotheke, Arzt- oder Zahnarztpraxis eine oder einen Datenschutzbeauftragten (DSB) bestellen muss, hängt an zwei klar benannten Auslösern. Dieser Beitrag erklärt sie – und warum die Datenschutzpflichten auch ohne DSB in vollem Umfang bestehen bleiben.
Auslöser 1: Die 20-Personen-Grenze (§ 38 BDSG)
Nach § 38 Abs. 1 BDSG muss ein Verantwortlicher einen Datenschutzbeauftragten benennen, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Entscheidend ist die Kopfzahl, nicht die Zahl der Vollzeitstellen: Auch Teilzeitkräfte, Aushilfen und die Inhaberin selbst zählen, wenn sie regelmäßig am PC mit personenbezogenen Daten arbeiten – also mit Praxisverwaltungs- oder Warenwirtschaftssystem, Terminplaner, Abrechnung oder E-Mail. In einer größeren Gemeinschaftspraxis oder Apotheke mit Filialen ist diese Schwelle schnell erreicht.
Auslöser 2: Umfangreiche Verarbeitung von Gesundheitsdaten
Unabhängig von der Personenzahl verlangt Art. 37 Abs. 1 lit. c DSGVO einen DSB, wenn die Kerntätigkeit in einer umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten besteht – dazu gehören Gesundheitsdaten. Der Knackpunkt ist das Wort „umfangreich“. Der Erwägungsgrund 91 zur DSGVO nennt ausdrücklich, dass die Verarbeitung durch einen einzelnen Arzt oder Angehörigen eines Gesundheitsberufs gerade nicht als umfangreich gilt. Die deutschen Datenschutzbehörden folgen dem: Eine einzelne Praxis oder Apotheke löst über diesen Weg regelmäßig keine Bestellpflicht aus – wohl aber große Medizinische Versorgungszentren, Kliniken, Labore oder überregionale Verbünde.
| Konstellation | 20-Personen-Grenze | Umfangreiche Verarbeitung | DSB nötig? |
|---|---|---|---|
| Einzelpraxis / kleine Apotheke, < 20 Personen am System | nein | regelmäßig nein | in der Regel nein |
| Gemeinschaftspraxis / Apotheke ab 20 Personen am System | ja | — | ja (über § 38 BDSG) |
| Großes MVZ, Klinik, Labor | meist ja | kann bejaht werden | ja |
Interner oder externer Datenschutzbeauftragter?
Besteht die Pflicht, kann der DSB eine geschulte Person aus dem eigenen Haus sein (intern) oder extern beauftragt werden. In kleinen Teams ist die externe Lösung verbreitet, weil das nötige Fachwissen und die geforderte Unabhängigkeit intern schwer darzustellen sind: Der DSB darf sich nicht selbst kontrollieren, also nicht zugleich für die Verarbeitungen verantwortlich sein (kein Inhaber, keine IT-Leitung). Die oder der Bestellte muss über datenschutzrechtliches und praxisbezogenes Fachwissen verfügen, ist vor Benachteiligung geschützt und der Aufsichtsbehörde zu melden; die Kontaktdaten sind zu veröffentlichen.
Wichtig: Ohne DSB bleiben alle Pflichten bestehen
Keine Bestellpflicht bedeutet nicht „kein Datenschutz“. Auch die kleinste Praxis muss die DSGVO vollständig einhalten – ein DSB ist nur eine von vielen Pflichten und keineswegs die Voraussetzung für die anderen.
- Verzeichnis von Verarbeitungstätigkeiten führen (Art. 30 DSGVO).
- Technische und organisatorische Maßnahmen umsetzen: Zugriffsrechte, Verschlüsselung, verschlossene Aktenschränke, Bildschirmsperren.
- Beschäftigte auf Vertraulichkeit verpflichten und schulen; die ärztliche bzw. berufliche Schweigepflicht kommt hinzu.
- Auftragsverarbeiter vertraglich binden (z. B. IT-Dienstleister, Rechenzentrum, Abrechnungsstelle).
- Datenpannen binnen 72 Stunden an die Aufsichtsbehörde melden (Art. 33 DSGVO) und Betroffenenrechte gewährleisten.
Ein häufig übersehener Berührungspunkt ist die Zeiterfassung: Auch Arbeitszeitdaten der Beschäftigten sind personenbezogen und unterliegen der DSGVO. Welche Grundsätze – Zweckbindung, Datenminimierung, Löschfristen – dabei gelten, erklärt Datenschutz bei der Zeiterfassung. Steht die Einführung eines Systems an und besteht ein Betriebsrat, greift zusätzlich die Mitbestimmung (siehe Betriebsvereinbarung zu Arbeitszeit & Dienstplan). Im apotower-Vergleich achten wir darauf, dass die vorgestellten Lösungen wie Aplano Beschäftigtendaten datensparsam und mit klaren Zugriffsrechten verarbeiten.
Häufige Fragen
Muss jede Arztpraxis einen Datenschutzbeauftragten haben?
Nein. Allein weil Gesundheitsdaten verarbeitet werden, entsteht keine Bestellpflicht. Maßgeblich sind die 20-Personen-Grenze des § 38 BDSG und die Frage, ob die Kerntätigkeit eine umfangreiche Verarbeitung besonderer Datenkategorien ist – was für eine einzelne kleine Praxis regelmäßig verneint wird.
Wer zählt bei der 20-Personen-Grenze mit?
Alle Personen, die ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind – also am PC mit Praxis-/Warenwirtschaftssystem, Terminplaner, Abrechnung oder E-Mail arbeiten. Gezählt werden Köpfe einschließlich Teilzeitkräften und der Inhaberin, nicht Vollzeitstellen.
Darf die Praxisinhaberin selbst Datenschutzbeauftragte sein?
Nein. Der DSB muss unabhängig sein und darf sich nicht selbst kontrollieren. Wer über Zwecke und Mittel der Verarbeitung entscheidet – also Inhaberin oder IT-Verantwortliche – kommt wegen Interessenkonflikts nicht in Betracht. Häufig wird deshalb extern bestellt.
Was gilt, wenn keine Bestellpflicht besteht?
Alle übrigen Pflichten der DSGVO bleiben bestehen: Verarbeitungsverzeichnis, technische und organisatorische Maßnahmen, Verpflichtung und Schulung der Beschäftigten, Verträge mit Auftragsverarbeitern und die Meldung von Datenpannen. Ein fehlender DSB entbindet von nichts davon.
Vergleichen Sie Dienstplan- und Zeiterfassungs-Lösungen – mit Empfehlungen für Ihre Branche.