M\u00fcssen kleinere Arztpraxen, Apotheken und Anwaltskanzleien einen Datenschutzbeauftragten bestellen, weil sie in gr\u00f6\u00dferem Umfang sensible Daten verarbeiten (Art. 37 Abs. 1 lit. c DSGVO)?
\nIch meine: eindeutig nein. Und w\u00fcnsche mir mehr Klartext von Datensch\u00fctzern aller Couleur. Von den Aufsichtsbeh\u00f6rden, aber auch von Beratern, Kommentatoren und anderen Kollegen.<\/p>\n
Keine <\/strong>Bestellpflicht nach DSGVO wegen Kernt\u00e4tigkeit<\/strong><\/p>\n Arztpraxen, Apotheken und Anwaltskanzleien sind nach der Terminologie des Datenschutzrechts „nicht-\u00f6ffentliche Stellen“ und m\u00fcssen daher einen Datenschutzbeauftragten bestellen, wenn mindestens zehn Personen mit der Datenverabeitung besch\u00e4ftigt sind. In vielen Kanzleien und Praxen wird diese Zahl nicht erreicht, sodass sich die Frage stellt, ob sich eine Bestellpflicht m\u00f6glicherweise aus Art. 37 Abs. 1 lit. c DSGVO<\/strong> ergibt. Dies bestimmt sich danach, ob<\/p>\n „die Kernt\u00e4tigkeit <\/em>des Verantwortlichen oder des Auftragsverarbeiters in der umfangreichen Verarbeitung besonderer Kategorien von Daten gem\u00e4\u00df Artikel 9 oder von personenbezogenen Daten \u00fcber strafrechtliche Verurteilungen und Straftaten gem\u00e4\u00df Artikel 10 besteht.“ Ich w\u00fcrde zu keinem Arzt gehen, dessen „Kernt\u00e4tigkeit<\/em>“ die Datenverarbeitung ist. Und ich w\u00fcrde keinen Sozialrechtler oder Medizinrechtler als Anwalt empfehlen, der sich „im Kern<\/em>“ mit Datenverarbeitung befasst. Auch die kleinen Apotheken meiner Wahl verarbeiten zwar Gesundheitsdaten, verstehen sich jedoch nicht prim\u00e4r als Datenverarbeiter. Daher meine ich, dass Art. 37 Abs. 1 lit.c DSGVO auf Anw\u00e4lte, Apotheker und \u00c4rzte nicht anwendbar<\/strong> ist. Kleinere Arztpraxen, Apotheken und Anwaltskanzleien m\u00fcssen keinen Datenschutzbeauftragten bestellen.<\/p>\n Klare Aussage im Mandat<\/strong><\/p>\n Nat\u00fcrlich l\u00e4sst sich nicht ausschlie\u00dfen, dass ich mich irre und ein europ\u00e4isches Gericht den Begriff der „Kernt\u00e4tigkeit<\/em>“ eines Tages anders versteht als ich. Wahrheiten gibt es bei der Gesetzesauslegung nie. Und dies erst recht\u00a0nicht bei einem neuen Gesetzeswerk, zu dem es noch keine einzige gerichtliche Entscheidung gibt. Dennoch meine ich, dass Klienten von uns Beratern klare Aussagen erwarten d\u00fcrfen.<\/p>\n Klare Aussage im Kommentar?<\/strong><\/p>\n Klarheit lassen leider auch die Kommentierungen des Art. 37 DSGVO vermissen. In keinem einzigen der \u00e4u\u00dferst zahlreichen DSGVO-Kommentare findet man eine brauchbare Antwort auf die Frage, ob eine kleine Arztpraxis einen Datenschutzbeauftragten bestellen muss. Stattdessen findet man Gewundendes bis Unverst\u00e4ndliches. Nur exemplarisch ein Zitat aus dem frisch in 2. Auflage erschienenen Kommentar von Ehmann\/Selmayr<\/em>:<\/p>\n „Die Verarbeitung dieser sensiblen Daten muss, um die Benennungspflicht auszul\u00f6sen, die Kernt\u00e4tigkeit b<\/em>etreffen. Das ist an sich der Fall bei der Verarbeitung von Patienten- oder Mandantendaten, da deren Behandlung, Beratung oder Vertretung dem Gesch\u00e4ftszweck des Arztes oder Anwalts zuzuordnen ist. Jedoch setzt auch diese Fallgruppe voraus, dass die Verarbeitung der sensiblen Daten umfangreich<\/em> ist. Die Fallgruppe des Buchst. c entspricht damit der des Art. 35 Abs. 3<\/span> Buchst. b, die f\u00fcr eine solche Datenverarbeitung die Durchf\u00fchrung einer Datenschutz-Folgenabsch\u00e4tzung erfordert. Beispiele f\u00fcr eine solche umfangreiche Verarbeitung sind die Verarbeitung von Gesundheitsdaten und anderen personenbezogenen Daten durch ein Krankenhaus, einen Anbieter von DNA-Analysen oder eine Kranken- oder Lebensversicherung. Hingegen handelt es sich bei der Verarbeitung personenbezogener Daten von Patienten oder von Mandanten durch einen einzelnen Arzt oder von Angeh\u00f6rigen von Gesundheitsberufen oder einen Rechtsanwalt regelm\u00e4\u00dfig nicht um eine \u201eumfangreiche\u201c Datenverarbeitung.“ Klare Aussage der DSK<\/em>?<\/strong><\/p>\n Wenig hilfreich ist in diesem Punkt auch das Kurzpapier der Datenschutzkonferenz<\/em> (DSK<\/em>). Der geneigte Leser erf\u00e4hrt nicht viel mehr als das gef\u00fcrchtete „Es kommt darauf an“:<\/p>\n „Erfolgt eine Verarbeitung von Patienten- oder Man-dantendaten durch einen einzelnen Arzt, sonstigen Angeh\u00f6rigen eines Gesundheitsberufs oder Rechts-anwalt, handelt es sich regelm\u00e4\u00dfig nicht um eine die Benennungspflicht ausl\u00f6sende umfangreiche Datenverarbeitung (siehe ErwGr. 91). Unter Ber\u00fccksichtigung der Umst\u00e4nde des Einzelfalls und der konkreten Elemente einer umfangreichen Verarbei-tung im Sinne des ErwGr. 91 \u2013 beispielsweise bei einer Anzahl von Betroffenen, die erheblich \u00fcber den Betroffenenkreis eines durchschnittlichen, durch ErwGr. 91 Satz 4 privilegierten Einzelarztes hinaus geht \u2013 kann eine umfangreiche Verarbeitung gegeben sein, sodass ein DSB zu benennen ist.“ Klare Aussage des BayLDA<\/em><\/strong><\/p>\n Dass es klipp und klar auch anders geht, zeigt das Bayerische Landesamt f\u00fcr Datenschutz.<\/em> In einem Hinweisblatt f\u00fcr Arztpraxen hei\u00dft es:<\/p>\n „In der Arztpraxis findet in aller Regel keine umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten statt, die zu einer Benennungspflicht f\u00fchrt. Es ist daher ein DSB nur zu benennen, wenn mindestens 10 Personen<\/em> st\u00e4ndig mit der automatisierten Verarbeitung personenbezogener Daten besch\u00e4ftigt sind.“ <\/p>\n M\u00fcssen kleinere Arztpraxen, Apotheken und Anwaltskanzleien einen Datenschutzbeauftragten bestellen, weil sie in gr\u00f6\u00dferem Umfang sensible Daten verarbeiten (Art. 37 Abs. 1 lit. c DSGVO)? Ich meine: eindeutig nein. Und w\u00fcnsche mir mehr Klartext von Datensch\u00fctzern aller Couleur. Von den Aufsichtsbeh\u00f6rden, aber auch von Beratern, Kommentatoren und anderen Kollegen. Keine Bestellpflicht nach DSGVO wegen Kernt\u00e4tigkeit Arztpraxen, […]<\/p>\n","protected":false},"author":3,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":[],"categories":[34,9,51],"tags":[644,667,504,646,145,515],"_links":{"self":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/4100"}],"collection":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/comments?post=4100"}],"version-history":[{"count":5,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/4100\/revisions"}],"predecessor-version":[{"id":4118,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/posts\/4100\/revisions\/4118"}],"wp:attachment":[{"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/media?parent=4100"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/categories?post=4100"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.cr-online.de\/blog\/wp-json\/wp\/v2\/tags?post=4100"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n(Hervorhebung hinzugef\u00fcgt)<\/p><\/blockquote>\n
\n(Heberlein <\/em>in Ehmann\/Selmayr, DSGVO, 2. Aufl. 2018, Art. 37, Rdnr. 27)<\/p><\/blockquote>\n
\n(DSK-Kurzpapier Nr. 12 – Datenschutzbeauftragte bei Verantwortlichen und Auftragsverarbeitern<\/a>)<\/p><\/blockquote>\n
\n(BayLDA<\/em>, „Anforderungen der Datenschutz-Grundverordnung (DS-GVO) an kleine Unternehmen, Vereine, etc.“, Muster 5: Arztpraxis, Erl\u00e4uterung A auf Seite 2<\/a>)<\/p>\n