Transparenzerklärung, Einwilligungserklärung, revisionssichere Archivierung: Seit dem 25. Mai 2018 ist die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union für alle verpflichtend. Seither ist sie in aller Munde. Dennoch herrscht auch heute vielerorts noch Unsicherheit darüber, wie die Anforderungen in der Arztpraxis oder in der Klinik umzusetzen sind.
Die Europäische Datenschutz-Grundverordnung (DSGVO)
In Kraft getreten ist die europäische „Datenschutz-Grundverordnung (DSGVO)“ bereits im Jahr 2016, in der öffentlichen Aufmerksamkeit angekommen ist sie erst 2018. Denn nach zweijähriger Übergangsfrist sind die Vorgaben erst seit dem 25. Mai 2018 unmittelbar geltendes Recht und für alle verpflichtend – auch für Arztpraxen und Krankenhäuser. Seither hat die DSGVO für viel Verunsicherung, Verärgerung und ein Mehr an Bürokratie gesorgt.
Früher regelte jeder EU-Staat den Datenschutz durch nationale Gesetze, was zu erheblichen Unterschieden in der Datenschutzgesetzgebung führte. Um einheitliche und dem Internetzeitalter angemessene Standards einzuführen, wurde die europaweit geltende Datenschutz-Grundverordnung verabschiedet. Die DSGVO löst die davor geltende EU-Datenschutzrichtlinie aus dem Jahr 1995 ab, die noch aus den Anfangsjahren des Internets stammt. Damals existierten Konzerne wie Google oder Facebook noch nicht, ebenso wenig wie Cloud-Computing und mobile Apps. Nun sollen EU-weit einheitliche Datenschutzstandards gelten, die den Anforderungen des digitalen Wandels Rechnung tragen.
Daneben gelten allerdings auch weiterhin deutsche Gesetze, was das Ganze recht kompliziert macht: So haben auch das „IT-Sicherheitsgesetz 2.0“ in seiner zweiten Form aus dem Jahr 2021 und das „E-Health-Gesetz“ aus dem Jahr 2015 Auswirkungen auf Datenschutzanforderungen im medizinischen Bereich – sowie die neue Fassung des Bundesdatenschutzgesetzes (BDSG-neu), das parallel zur europäischen DSGVO in Kraft getreten ist.
Beweislastumkehr und Rechenschaftspflichten
In vielerlei Hinsicht wiederholt die EU-Datenschutz-Grundverordnung das, was seit dem Bundesdatenschutzgesetz in Deutschland schon seit Langem gilt: Daten müssen sicher aufbewahrt werden, sind nur im Umfang des Notwendigen zu erheben und dürfen generell nur für den ursprünglich vorgesehenen Zweck verwendet werden. Neu sind Auskunft- und Rechenschaftspflichten, die dazu führen, dass die Praxis bzw. Klinik jederzeit in der Lage sein muss nachzuweisen, dass die Grundsätze und Vorschriften der DSGVO eingehalten werden. Am einfachsten lässt sich diese Nachweispflicht gegenüber den Aufsichtsbehörden mit einem Datenschutzhandbuch erfüllen, das regelmäßig gepflegt wird. Bei Verstößen drohen Zivilklagen durch Betroffene oder Wettbewerber und hohe Bußgelder.
Verarbeitung personenbezogener Daten
Im Zentrum der Datenschutzregelungen stehen personenbezogene Daten, die zum Wohle der Betroffenen vor Missbrauch geschützt werden sollen. Personenbezogene Daten sind alle Informationen, die einer konkreten Person – eventuell mithilfe Dritter – zugeordnet werden können: Die Vorschriften umfassen nicht nur „heikle“ Daten, wie Gesundheitsdaten, genetische und biometrische Daten, Sozialdaten, Befunde und Röntgenaufnahmen (auch ohne Angabe eines Namens). Aber selbst triviale Daten, wie eine IP-Adresse, die man beim Besuch der Praxiswebsite hinterlässt, sollen vom Schutz erfasst sein. Gerade im medizinischen Kontext fallen viele Informationen an, die das Gesetz als „besondere Kategorie von personenbezogenen Daten“ noch stärker schützen will. Denn Patientendaten sind besonders sensible Daten.
Neben diesen „sensiblen“ Daten werden in jeder Praxis auch Daten von Beschäftigten, Lieferanten und Dienstleistern verarbeitet; auch hier kann eine erhöhte Sensibilität in Bezug auf die Verarbeitung gelten – völlig unabhängig von der Frage, ob der Arzt oder die Ärztin selbst oder Mitarbeitende mit ihnen umgehen.
Zudem ist der Begriff „Verarbeitung“ ebenso wie der Begriff der personenbezogenen Daten sehr weit gefasst: Gemeint ist jede Art von Erheben, Ändern, Speichern und Übermitteln, unabhängig von der Art und Weise. Elektronische und analoge Datensammlungen sind gleichgestellt. Damit ist also auch die herkömmliche, auf Karteikarten geführte, analoge Patientenakte gemeint.
Rechte von Patientinnen und Patienten
Eine der Ziele der DSGVO ist es, für mehr Transparenz im Umgang mit Daten von Patientinnen und Patienten zu sorgen. Kapitel 3 der DSGVO regelt die „Rechte der betroffenen Person“, deren Daten erhoben, verwendet und gespeichert werden. Das bedeutet: Ihre Patientinnen und Patienten haben vorab ein Recht darauf, zu erfahren, welche Daten zu ihrer Person zu welchem Zweck erhoben und verarbeitet werden – und wie lange diese Daten gespeichert werden.
Zudem können sie unter bestimmten Voraussetzungen verlangen, dass ihre Daten berichtigt oder gelöscht werden; und sie haben neben dem Recht auf Information, Auskunft und Berichtigung bzw. Löschung (Vergessenwerden) unter bestimmten Voraussetzungen auch ein Widerspruchsrecht gegen die Verarbeitung ihrer Daten. Zudem gibt es die Verpflichtung seitens der datenverarbeitenden Stelle, bei Datenpannen innerhalb von 72 Stunden die Betroffene bzw. den Betroffenen und die Aufsichtsbehörde zu informieren.
Patienteninformation zum Datenschutz – Informationspflicht gemäß Art. 13 DSGVO
Der in Kapitel 3 enthaltene Art. 13 der DSGVO legt der datenerhebenden Stelle eine „Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person“ auf. Damit sind Sie als Praxisinhaberin bzw. -inhaber oder Klinikleitung verpflichtet, Ihre Patientinnen und Patienten über deren diesbezügliche Rechte aufzuklären.
Zu diesem Zweck sollten Sie ein Informationsblatt „Datenschutzinformation gemäß Art. 13 DSGVO“ (Transparenzerklärung, Patienteninformation zum Datenschutz) erstellen, welches die Datenverarbeitungsprozesse in Ihrer Praxis oder Klinik beschreibt und die Patientinnen und Patienten über ihre Rechte aufklärt. Die Privatärztlichen Verrechnungsstellen (PVS) haben für ihre Mitglieder Mustervorlagen erstellt, welche die Anforderungen der DSGVO vollumfänglich erfüllen.
Diese „Datenschutzinformation gemäß Art. 13 DSGVO“ sollten Sie in Ihrer Praxis oder Klinik mindestens auslegen, aushängen oder den Patientinnen bzw. Patienten mit dem Anamnesebogen aushändigen. Noch sicherer ist es natürlich, sich das Informationsblatt kurz mit Datumsangabe unterschreiben zu lassen. Denn Sie sind in der Nachweispflicht und müssen im Zweifel belegen können, dass die Patientin bzw. der Patient die vorgeschriebenen Informationen zur Kenntnis nehmen konnte.
Das frühere Einverständnis heißt heute „Einwilligung“
Ein weiterer wichtiger Aspekt bei der privatärztlichen Behandlung ist das Einverständnis der Patientin bzw. des Patienten, dass die für die Rechnungserstellung benötigten Daten an die PVS weitergegeben werden dürfen – dies war früher die sogenannte „Einverständniserklärung“.
Seit Inkrafttreten der DSGVO ist stattdessen eine „Einwilligung“ erforderlich. Eine Einwilligungserklärung muss immer dann eingeholt werden, wenn es gesetzlich vorgeschrieben ist und wenn sich die Notwendigkeit zur Datenverarbeitung oder -weiterleitung nicht schon aus dem Behandlungsvertrag ableitet. Umstritten ist, ob nur mit Einwilligung der Patientin bzw. des Patienten, also unterschriebener Einwilligungserklärung, die Patientendaten für Abrechnung und Forderungsabtretung an die PVS übergeben werden. Wer auf Nummer sicher gehen will: Auch für die Einwilligungserklärung erhalten Sie eine Mustervorlage bei Ihrer PVS.
Falls die Patientin oder der Patient früher schon einmal eine alte Version der Einverständniserklärung unterzeichnet hat, sollten Sie sich unbedingt die neue Fassung der Einwilligungserklärung unterschreiben lassen und bei der Gelegenheit über die Möglichkeit des Widerrufs der Einwilligung und deren Freiwilligkeit informieren. Wichtig ist die Einwilligung auch bei jedem stationären Aufenthalt. Im ambulanten Bereich empfiehlt es sich, die Einwilligungserklärung mindestens einmal pro Jahr einzuholen, um auf der sicheren Seite zu sein.
Was tun, wenn die Patientin oder der Patient nicht unterschreiben möchte? Dann sollten Sie das Gespräch suchen, um Missverständnisse auszuräumen. So ist es beispielsweise hilfreich, darauf hinzuweisen, dass die Mitarbeitenden der PVS als ärztliche Gemeinschaftseinrichtung ebenso der Schweigepflicht unterliegen wie Ärztin oder Arzt selbst. Das schafft Vertrauen.
Revisionssichere Archivierung im PDF/A-Format
Die Einwilligungserklärungen sind Bestandteil der Patientenakte und sollten ebenso lange aufbewahrt werden wie die Akte selbst. Dies kann auch digital erfolgen, die Archivierung muss allerdings unbedingt revisionssicher sein. „Revisionssicher“ bedeutet, dass die Dokumente unveränderbar sind. Eine revisionssichere Archivierung muss sicherstellen, dass die gespeicherten Daten vor nachträglicher Abänderung, Fälschung oder Manipulation geschützt sind.
Die meisten der heute in Praxen oder Kliniken eingesetzten Datenmanagementsysteme gewährleisten diese Revisionssicherheit in der Regel. Wer kein Datenmanagementsystem verwendet, dem sei der sogenannte „PDF/A-Standard“ für die fälschungssichere Archivierung empfohlen. PDF/A-Dokumente sind grundsätzlich unveränderbar. Sollte es dennoch gelingen, die Datei zu verändern, wird ein Hinweis auf diese Veränderung gespeichert.
Datenaustausch mit externen Dienstleistern (Datenportierung)
Heutzutage werden im Rahmen der medizinischen Behandlung Patientendaten an unterschiedlichsten Stellen erhoben, aufbewahrt, gespeichert und an Dritte übermittelt: etwa beim Röntgen im Diagnosezentrum, für das Blutbild im Labor oder nach der Überweisung an eine Facharztpraxis. Spätestens wenn Patientinnen oder Patienten die behandelnde Praxis wechseln wollen, kommt es zur Übermittlung von Daten an Externe außerhalb der eigenen Praxis oder Klinik. Man spricht in diesem Zusammenhang von Datenportabilität oder Datenübertragbarkeit.
Auch der Aspekt der Datenportabilität wurde mithilfe der DSGVO geregelt: Durch besondere Regelungen in Art. 9 DSGVO („Verarbeitung besonderer Kategorien personenbezogener Daten“) soll europaweit sichergestellt werden, dass nicht falsche Personen oder Stellen an sensible Patientendaten gelangen. Vor allem im Gesundheitsbereich hat man aber den Mitgliedstaaten erlaubt, eigene Regeln zu verabschieden.
Von dieser Möglichkeit hat der deutsche Gesetzgeber mit § 22 der neuen Fassung des Bundesdatenschutzgesetzes (BDSG-neu) Gebrauch gemacht. Das deutsche BDSG-neu ist parallel zur europäischen DSGVO in Kraft treten und mit ihr zusammen anwendbar. In § 22 BDSG-neu, ebenfalls mit dem Titel „Verarbeitung besonderer Kategorien personenbezogener Daten“, wird präzisiert, wann eine Verarbeitung zulässig ist und was Gesundheitsdienstleister als „angemessene und spezifische Maßnahmen zur Wahrung der Interessen der betroffenen Person vorzusehen“ haben.
Demnach müssen Unveränderbarkeit, Vertraulichkeit und Datenschutz nicht nur bei der Archivierung auf dem eigenen System gewährleistet werden, sondern auch bei der Datenportierung – also beim Datenaustausch mit anderen Praxen, medizinischen Versorgungszentren oder sonstigen Dienstleistern: Die Patientendaten müssen die behandelnde Arztpraxis oder Klinik rechtssicher verlassen und wechseln können. Selbstverständlich gehört dazu auch eine sichere Verschlüsselung der elektronischen Kommunikation.
Gegenüber externen Dienstleistern hat die Ärztin bzw. der Arzt durch entsprechende Verträge zudem die Verantwortlichkeit für die Einhaltung des Datenschutzes sicherzustellen. Sofern die Externen nicht selbst dem Berufsgeheimnis unterliegen, muss die Praxisinhaberin bzw. der Praxisinhaber diese vertraglich ausdrücklich dazu verpflichten, sich an Patientengeheimnis und Vertraulichkeit zu halten. Dies betrifft nicht nur zukünftige Vertragsabschlüsse, sondern auch alle vorhandenen und noch laufenden Verträge. Es gilt daher, alle Verträge mit Dienstleistern zu überprüfen und falls erforderlich anzupassen, denn Ärztinnen und Ärzte fungieren als Verantwortliche und können bei Nichteinhaltung der datenschutzrechtlichen Standards selbst haftbar gemacht werden.
Das Verzeichnis von Verarbeitungstätigkeiten (früher: Verfahrensverzeichnis)
Eine zentrale Vorschrift der DSGVO ist die Führung eines Verzeichnisses über die Verarbeitung der personenbezogenen Daten. Früher nannte man dies „Verfahrensverzeichnis“, heute „Verzeichnis von Verarbeitungstätigkeiten“ (Art. 30 DSGVO). Das Verzeichnis dient dem eigenen Datenschutzmanagement und ist gleichzeitig ein Kontrollinstrument der Aufsichtsbehörden. Es bedarf der Schriftform, kann aber auch digital geführt werden, etwa als Excel- oder Worddatei.
Eine vorgeschriebene Form gibt es dafür nicht. Mindestens aufzulisten sind Namen und Kontaktdaten der Verantwortlichen (also von Praxis und verantwortlicher Ärztin bzw. verantwortlichem Arzt) sowie falls vorhanden der oder des Datenschutzbeauftragten – und die Zwecke der Verarbeitung. Weiterhin sind die Kategorien der betroffenen Personen und der personenbezogenen Daten zu beschreiben, ebenso wie die Empfänger, gegenüber denen die Daten offengelegt werden. Falls Datenübermittlungen an ein Drittland oder eine internationale Organisation erfolgen, müssen Sie auch dies angeben (Nennung des Landes oder der Organisation). Ferner sollten möglichst die vorgesehenen Fristen zur Löschung der Daten und eine Beschreibung der „Sicherheit der Prozesse“ (Art. 32 DSGVO) genannt werden. Übrigens: Auch die Verarbeitungsprozesse auf beruflich genutzten Smartphones und Tablets gehören in dieses Verzeichnis!
Physischer Zugang und IT-Sicherheitskonzept
Entsprechend des im § 22 BDSG-neu enthaltenen Pflichtenkatalogs sind Patientendaten vor dem Zugriff durch Unbefugte zu schützen. Und der Datenschutz beginnt schon am Empfang der Arztpraxis oder Klinik: Hier sollte z.B. nach Verlassen des Rechners innerhalb kürzester Zeit ein Bildschirmschoner mit Passwortschutz aktiviert werden. Auch der physische Zugang zu Patientenakten oder -daten sollte geschützt werden, etwa durch abgeschlossene Türen zu Server-Räumen und verschlossene Aktenschränke.
Des Weiteren muss festgelegt und dokumentiert werden, wer wann unter welchen Umständen auf welche EDV-Daten zugreifen darf. Eine übliche Maßnahme ist die Vergabe von Benutzernamen und wechselnden Pass- bzw. Kennwörtern. Durch Verschlüsselung der Speichermedien und Einrichtung von Zugriffsberechtigungen können Sie sicherstellen, dass die Datenverarbeitungssysteme nur von autorisierten Mitarbeiterinnen oder Mitarbeitern genutzt werden.
Ein sicheres Passwort sollte aus Groß- und Kleinbuchstaben bestehen, Zahlen und Sonderzeichen enthalten, nicht in einem Wörterbuch zu finden sein und mindestens zehn Zeichen lang sein. Sie können die Passwörter selbst gemäß diesen Vorgaben anlegen – oder sogenannte Passwortdienste bzw. -generatoren nutzen, die man im Internet findet (zum Beispiel unter www.passwort-generator.com); oder Sie investieren in eine Passwort-Verwaltungssoftware wie etwa www.1password.com.
Im Rahmen des praxiseigenen IT-Sicherheitskonzepts muss sich außerdem nachträglich, beispielsweise durch Protokollierung, feststellen lassen, ob und von wem personenbezogene Daten in die EDV eingegeben, verändert oder entfernt wurden. Aufsichtsbehörden können jederzeit eine Prüfung der Datenschutzkonzepte und -verfahren durchführen. Auch wenn die Aufsichtsbehörden kein Recht haben, die Praxis zu betreten: Auf Anfrage muss man sowohl das „Verzeichnis von Verarbeitungstätigkeiten“ vorlegen können als auch ein aktuelles „Handbuch“, in dem die Konzepte, ergriffenen Maßnahmen und mitgeltenden Unterlagen dokumentiert sind.
Viele Ärztinnen und Ärzte werden bei der Erstellung und Pflege ihres IT-Sicherheitskonzepts vermutlich auf die Dienstleistungen externer Softwareanbieter zurückgreifen müssen, um sämtlichen Anforderungen des Datenschutzes zu entsprechen. Hilfreich ist es, wenn diese Anbieter ihre Prozesse einem Audit oder einer Zertifizierung unterzogen haben.
„Joint Controllership“ statt reiner Auftragsdatenverarbeitung
Die Datenschutz-Grundverordnung hat auch das Verhältnis zwischen Arztpraxis bzw. Krankenhaus und PVS neu definiert. So wurde mit Art. 26 DSGVO klargestellt, dass es sich hierbei nicht mehr nur um ein Verhältnis zur „Auftragsdatenverarbeitung“ handeln kann, sondern um ein sogenanntes „Joint Controllership“ („Gemeinsam Verantwortliche“). Bei einem Joint Controllership legen mehrere Verantwortliche gemeinsam Zwecke und Mittel der Datenverarbeitung fest. Während es bei der Auftragsdatenverarbeitung um eine reine Hilfs- und Unterstützungsfunktion ging, bei welcher der Auftragnehmer keinen inhaltlichen Entscheidungsspielraum hatte, tragen im Joint Controllership die Beteiligten die Verantwortung für die ihnen zugeordneten Datenverarbeitungsvorgänge gemeinsam. Und genau das ist im Verhältnis von Praxis bzw. Klinik und PVS der Fall. Die PVS hat deshalb entsprechende Verträge (Joint Controllership Agreements) aufgesetzt, in denen die Verantwortlichkeiten beschrieben sind.
Wann brauche ich einen Datenschutzbeauftragten?
Nach §38 BDSG müssen Sie eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten für Ihre Praxis benennen, wenn mindestens 20 Personen regelmäßig mit der Datenverarbeitung beschäftigt sind. Nicht einmal ein Anstellungsverhältnis ist dafür notwendig, Krankheit und Urlaub unterbrechen die Regelmäßigkeit nicht, auch Teilzeitkräfte zählen mit und Sie als Ärztin bzw. Arzt ebenfalls. Unabhängig davon kann es erforderlich sein, eine Person für den Datenschutz zu beauftragen, wenn Ihre Daten in Prozessen verarbeitet werden, die eine „Datenschutz-Folgenabschätzung (DSFA)“ notwendig machen – das ist aber nur sehr selten der Fall.
Datenschutzbeauftragte(r) kann sowohl eine Mitarbeiterin bzw. ein Mitarbeiter der Arztpraxis oder Klinik als auch eine externe Person sein. Praxisinhaberin bzw. -inhaber oder Personen aus der Klinikleitung selbst scheiden dagegen regelmäßig aus. Die DSGVO bestimmt ansonsten lediglich, dass die Person aufgrund von beruflicher Qualifikation und Fachwissen auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis sowie der Fähigkeit zur Erfüllung der Aufgaben benannt wird.
Soweit Praxis oder Klinik bestimmte Prozesse gemeinsam mit einem Dienstleister verantworten, also etwa die Rechnungsstellung durch eine privatärztliche Verrechnungsstelle erfolgt, kann die Datenschutzsicherstellung für diese Verfahren auch durch die Datenschutzbeauftragte bzw. den Datenschutzbeauftragten der jeweiligen PVS mit erledigt werden. Das Konzept des „Joint Controllership“ kann Ärztinnen und Ärzten hier also spürbar entlasten.
Datenschutzverletzung: was bei Verstößen droht
Grundsätzlich sind Sie verpflichtet, Verletzungen der Vorgaben zum Schutz personenbezogener Daten der zuständigen Aufsichtsbehörde unverzüglich, spätestens binnen 72 Stunden zu melden. Eine Verletzung liegt vor, wenn Daten vernichtet, verändert oder unbefugt offengelegt wurden oder unbefugt auf sie zugegriffen wurde. Sonst drohen hohe Bußgelder – bis zu 20 Millionen Euro oder 4 Prozent des Jahresumsatzes. Zudem steht den Aufsichtsbehörden eine Reihe weiterer Sanktionsmöglichkeiten zur Verfügung, die faktisch zur Einstellung des Praxisbetriebs führen könnten.
Nicht nur die Betroffenen, also die Patientinnen und Patienten selbst, sondern auch Wettbewerber und Verbände können Abmahnungen und Zivilklagen veranlassen, falls offensichtliche Versäumnisse oder Verstöße gegen den Datenschutz nachweisbar sind. Prüfen Sie in Ihrem eigenen Interesse daher auch Verträge mit Dienstleistern, die Zugriff auf personenbezogene Daten haben.
Mit datenschutzkonformer Umsetzung auf der sicheren Seite
Lange Zeit war nicht ohne Grund befürchtet worden, dass mit Inkrafttreten der DSGVO eine große Abmahnwelle einsetzen würde. Denn Selbstständige, Vereine und kleine Unternehmen waren mit der Umsetzung der neuen Vorgaben häufig überfordert. Doch die Politik reagierte. Im Oktober 2020 wurde ein Gesetzesentwurf gegen den Abmahnmissbrauch vorgelegt, am 2. Dezember 2020 ist das „Gesetz zur Stärkung des fairen Wettbewerbs“ in Kraft getreten. Serien- und Bagatellabmahnungen werden damit deutlich erschwert, wodurch insbesondere Selbstständige und kleine Unternehmen besser geschützt sind. Auch sieht die Rechtsprechung vor allem die Aufsichtsbehörden in der Verantwortung einer Kontrolle und akzeptiert individuelle Ansprüche dagegen kaum.
Politisch hatte man mit der DSGVO vor allem internationale Konzerne wie Facebook oder Google im Blick, sodass sich viele der recht hohen und bürokratischen Anforderungen an den Möglichkeiten dieser großen Unternehmen orientieren. Dennoch ist das Gesundheitswesen ein Bereich mit großer persönlicher Betroffenheit vieler Menschen, auch unberechtigte Vorwürfe oder kleinere Vergehen können hier schnell eine hohe Aufmerksamkeit erregen. Und lokale Datenschutzbehörden werden vermutlich eher die örtliche Arztpraxis unter die Lupe nehmen wollen als Facebook & Co., die große Rechtsabteilungen unterhalten.
Den besten Schutz bietet daher nach wie vor die datenschutzkonforme Umsetzung aller Vorgaben: Wer Patientinnen und Patienten transparent informiert, die eigene Belegschaft für den Datenschutz sensibilisiert, das Verzeichnis von Verarbeitungstätigkeiten führt und in der Praxis und auf der Website eine rechtskonforme Datenschutzinformation bereithält, ist schon weitestgehend auf der sicheren Seite. Zudem raten Datenschutzfachleute dazu, das eigene IT-Sicherheitskonzept zu überprüfen bzw. neu zu entwickeln, bestehende Prozesse in Praxis oder Klinik zu überprüfen, Schwachstellen zeitnah zu beseitigen und sicherzustellen, dass es eine vorzeigbare aktuelle Dokumentation gibt. Da die meisten Ärztinnen und Ärzte selbst weder Kapazitäten noch das Know-how haben werden, sich mit allen Vorschriften immer angemessen auseinanderzusetzen, kann es sinnvoll sein, sich hier Hilfe von externen Dienstleistern zu holen.
Die Privatärztlichen Verrechnungsstellen (PVS) haben gemeinsam mit dem Verband der Privatärztlichen Verrechnungsstellen e. V. (PVS Verband) eine Reihe von Unterlagen zu Ihrer Unterstützung vorbereitet und stehen Ihnen bei allen Fragen rund um die Umsetzung der DSGVO-Anforderungen jederzeit mit Rat und Tat zur Seite.