Am 25.05.2018 endete die Übergangsfrist für die EU-Datenschutzgrundverordnung (DSGVO). Damit gilt die DSGVO ab diesem Zeitpunkt auch in Deutschland. Zum gleichen Datum trat eine Vielzahl von Änderungen gesetzlicher Regelungen für den Datenschutz in Kraft, insbesondere ein völlig neu gestaltetes Bundesdatenschutzgesetz (BDSG). Weitere Änderungen sind vom Gesetzgeber angekündigt, aber noch nicht erlassen worden.

Im Hinblick auf die geänderten bzw. neuen Normen sind auch der zwischen Mitglied/Arzt und der PVS bestehende Vertrag sowie Neuverträge an die neue gesetzliche Grundlage anzupassen. Diese Änderungen ergeben sich aufgrund der geänderten Regelungen zum Datenschutz und sollen ansonsten keine Änderungen bestehender Grundlagen unserer Zusammenarbeit beschreiben. Diese gelten vielmehr unverändert fort.

Da dieses Dokument zugleich der Beschreibung des Abrechnungsprozesses mit der PVS dient, sollte jedes Mitglied/Arzt dieses Ihren Nachweisen zu Ihrem Verarbeitungsverzeichnis hinzufügen, um es im Falle einer Nachfrage der Datenschutzbehörden oder den Patienten gegenüber transparent machen zu können. Alle wesentlichen Inhalte können Sie auch in der Transparenzerklärung der PVS auf unserer Website unter https://pvs-niedersachsen.de/datenschutz-transparenz/ abrufen.

Um unseren Vertragspartnern (Mitglied/Arzt) den Umgang in der Praxis zu erleichtern, haben wir den Abrechnungsprozess ab dem 25.05.2018 mit Ihnen in gemeinsamer Verantwortung gemäß den Vorschriften des Art. 26 Abs. 3 DSGVO gestaltet (Joint Controlling). Gemeinsam legen wir daher die Zwecke und die Mittel zur Verarbeitung der Patientendaten zu Abrechnungszwecken fest. Der Betroffene kann bezüglich dieses Prozesses seine aus der DSGVO resultierenden Rechte gegenüber jedem von uns als verantwortliche Stelle geltend machen. 

1. Formulare und Informationen für Patienten

Es gelten die an die neue DSGVO angepassten Formulare für die Einwilligungserklärungen der Patienten. Da zwischen den zuständigen Datenschutzaufsichtsbehörden des Bundes und der Länder leider in einigen für den Gesundheitsbereich wichtigen Fragen noch keine Einigung besteht, haben wir uns entschieden, auf die Einholung dieser Einwilligungen trotz geänderter Gesetzeslage zunächst nicht verzichten zu können. Wir gehen aber weiter davon aus, dass Rechtsgrundlage der Verarbeitung der Patientendaten durch Ihre Praxis der jeweilige Behandlungsvertrag gem. § 630a BGB ist und dieser bereits gem. Art. 9 Abs. 2 lit. h i.V.m Art. 9 Abs. 3 DSGVO i.V.m. § 22 Abs. 1 Nr. 1b BDSG auch die Weitergabe aller für die Abrechnung mit dem Patienten notwendigen Daten an die PVS ermöglicht.

Wie bisher auch, bleibt es daher in Ihrer alleinigen Verantwortung, alle Ihre Patientinnen und Patienten auf nachweisbare Weise über die in Ihrer Praxis stattfindenden Datenverarbeitungen zu informieren (Musterinformation zum Datenschutz KBV) und die von uns zur Verfügung gestellten Muster-Einwilligungserklärungen, versehen mit Ihrem Praxisstempel, von jedem Patienten vor Weitergabe der Daten an uns, unterschreiben zu lassen. Die Dokumentation der Einwilligung des Patienten haben Sie mit der Patientenakte zu verwahren und auf Verlangen jederzeit an uns oder gegebenenfalls auch an eine Aufsichtsbehörde zu übermitteln. Eine digitale Verwahrung ist möglich, wenn Sie die aktuellen Vorgaben zum beweissicheren Scannen einhalten. Dabei sind die Sicherheitsziele „Integrität“, „Authentizität“, „Lesbarkeit“, „Vollständigkeit“, „Nachvollziehbarkeit“, „Verfügbarkeit“, „Verkehrsfähigkeit“, „Vertraulichkeit“ und „Löschbarkeit“ einzuhalten. Die Information des Patienten müssen Sie gegebenenfalls nachweisen können, z.B. durch Vermerk in der Patientenakte oder Bestätigung durch Ihr Personal. Eine Veröffentlichung auf der Website, ein Aushang in der Praxis oder das Auslegen dieser Dokumente allein reicht dagegen nicht aus, kann aber ergänzend vorgenommen werden, was wir Ihnen auch empfehlen.

2. Erhebung und Übermittlung von Abrechnungsinformationen an die PVS zur Erfüllung des Behandlungsvertrags

Legen zwei oder mehr Verantwortliche gemeinsam die Zwecke und die Mittel zur Verarbeitung fest, so agieren sie als „gemeinsam für die Verarbeitung Verantwortliche (Art 26 DSGVO)“. Damit ein Betroffener die aus der DSGVO resultierenden Rechte gegenüber jedem Einzelnen der Verantwortlichen geltend machen kann, bedarf es einer konkreten Festlegung der Zwecke und Zuständigkeiten.

2.1 Ihre Verantwortlichkeit

Die Erhebung und Verarbeitung von Daten durch Sie erfolgt zu Zwecken der Heilbehandlung und im Rahmen der Durchführung des Behandlungsvertrages. Dies sind insbesondere Name, Geburtsdatum, Anschrift, Diagnose, Gesundheitsdaten, der Untersuchungs- und Behandlungsdaten sowie abrechnungsrelevanten Daten des Patienten. Ihre Datenverarbeitung dient in erster Linie Zwecken der Dokumentation einer Diagnose und der Behandlung des Patienten. Ebenso können der Verlauf der Therapie, die Krankengeschichte, Vorbefunde, Medikamentenpläne oder Aufnahmen verarbeitet werden. Darüber hinaus werden von Ihnen Daten erhoben, um Termine zu verwalten und mit dem Patienten kommunizieren zu können. Soweit Sie solche Daten nicht zu Abrechnungszwecken an die PVS weitergeben oder sie im Rahmen der (gegebenenfalls gerichtlichen) Begründung einer Rechnung auch für die PVS erforderlich sind, bleiben ausschließlich Sie für alle Datenverarbeitungen verantwortlich. Insoweit bleibt Ihre Praxis allein verantwortliche Stelle der Datenverarbeitung und Ansprechpartner für den betroffenen Patienten (s. hierzu auch Ziff. 1).

2.2 Verantwortlichkeit der PVS

Zur ordnungsgemäßen Abrechnung von Privatleistungen des Behandlungsvertrages ist es darüber hinaus erforderlich, zur Erstellung der Rechnungen und ihrer Verwaltung, sowie gegebenenfalls der Abtretung von Forderungen an die PVS, Daten zur weiteren Verarbeitung an die PVS weiterzugeben.  Bei Vorliegen der Voraussetzungen werden die erforderlichen Daten zudem auch zum Zweck der Vorfinanzierung ärztlicher Honorarrechnungen sowie des Forderungseinzugs an die PVS weitergegeben.

Die PVS erstellt eine Honorarrechnung aus privatärztlicher Behandlung auf Grundlage der jeweils geltenden Gebührenordnungen anhand der vollständig von Ihnen übermittelten Patienten- und Behandlungsdaten zu den abrechnungsfähigen Leistungen. Dabei müssen zum Zwecke der Rechnungsstellung insbesondere Name, Geburtsdatum, Anschrift, Diagnose, Untersuchungs- und Behandlungsdaten des Patienten an uns weitergegeben werden.

Für die oben beschriebene Datenverarbeitung zum Zwecke der Erstellung einer Abrechnung und Verwaltung der erbrachten Leistungen, sowie des Forderungsmanagements, ist die PVS verantwortliche Stelle der Datenverarbeitung und Ansprechpartner für den Patienten. Soweit gegebenenfalls zum Zwecke der Vorfinanzierung und des Forderungseinzugs ist dies ebenfalls die PVS.

2.3 Erhebung und Weitergabe aufgrund der Einwilligung

Rechtsgrundlage der Erhebung und Verarbeitung der Daten des Patienten ist Art. 9 Abs. 2 lit. h i.V.m Art. 9 Abs. 3 DSGVO i.V.m. § 22 Abs. 1 Nr. 1b BDSG, da diese zur Erfüllung des Behandlungsvertrages notwendig sind. Das schließt die Verarbeitung der Daten in gemeinsamer Verantwortung mit der PVS zu Zwecken der Abrechnung mit ein, da ein Anspruch auf eine ordnungsgemäße Abrechnung der ärztlichen Rechnungen genauso besteht, wie die Zahlung der Gegenleistung in Erfüllung des Behandlungsvertrages.

Soweit der Patient darüber hinaus eine freiwillige Einwilligung zur Verarbeitung seiner Daten für bestimmte Zwecke erteilt, ist die Weitergabe und Verarbeitung der Daten zwischen Ihnen und der PVS daneben auch auf Rechtsgrundlage des Art. 6 Abs. 1 lit. a /Art. 9 Abs. 2 lit. a DSGVO rechtmäßig.

3. Betroffenenrechte

3.1 Erteilung der Information über die Betroffenenrechte nach Art 13 DSGVO

Die Zuständigkeit für die Erteilung der Information über die Betroffenenrechte liegt bei Ihnen, da Sie den direkten Kontakt zu dem Patienten pflegen. Die Information können Sie durch die Vorlage der von uns zur Verfügung gestellten und für Ihre Praxis ergänzten Patienteninformation zum Datenschutz (Muster KBV) erteilen. Hierbei ist es ausreichend, aber auch erforderlich, dass Sie diese Information jedem Patienten einmalig aushändigen. Eine beweissichere Dokumentation in der Patientenakte wird empfohlen.

3.2 Zuständigkeit für Umsetzung der Betroffenenrechte

Grundsätzlich hat der Patient gemäß Art. 26 Abs. 3 DSGVO ein Wahlrecht, ob er seine Betroffenenrechte bei Ihnen oder bei der PVS geltend macht. Die Umsetzung der Betroffenenrechte in Bezug auf die von der PVS zur Rechnungserstellung verwendeten Daten erfolgt ausschließlich durch die PVS. In allen übrigen Fällen erfolgt die Umsetzung durch Sie als Vertragspartner und Inhaber der Patientenakte.  Bei Ausübung von Berichtigungsrechten durch den Patienten, ist der andere Verantwortliche jeweils unverzüglich zu unterrichten und die Berichtigung wechselbezüglich bei Ihnen und bei der PVS durchzuführen. Dies gilt ebenso bei allen anderen geltend gemachten Betroffenenrechten, wie etwa Auskunft, Löschung, Widerruf oder Widerspruch.

3.3 Erhebung und Weitergabe aufgrund der Einwilligung (Art. 6 Abs. 1 lit. a /Art. 9 Abs. 2 lit. a DSGVO)

Soweit der Patient eine freiwillige Einwilligung zur Verarbeitung seiner Daten für bestimmte Zwecke erteilt hat, kann er diese jederzeit im gesetzlichen Umfang mit Wirkung für die Zukunft und ohne Begründung widerrufen. Der Widerruf einer Einwilligung kann sowohl gegenüber Ihnen, als auch gegenüber der PVS erfolgen.  Hierüber ist der jeweils andere Verantwortliche unverzüglich zu unterrichten.

3.4 Widerspruchsrecht

Dem Patienten steht auch im gesetzlichen Rahmen (Art. 21 DSGVO) ein Widerspruchsrecht gegen Datenverarbeitungen zu, welche auf Grundlage des Art. 6 Abs. 1 lit. e oder lit. f DSGVO erfolgt. Die Bearbeitung von Widersprüchen erfolgt in Bezug auf abrechnungsrelevante Daten durch die PVS. Im Übrigen erfolgt die Bearbeitung durch Sie.

4. Dauer der Speicherung

Sowohl bei Ihnen als auch bei der PVS unterliegen Gesundheitsdaten gesetzlichen Aufbewahrungspflichten. Für allgemeine Behandlungen, Rechnungen usw. betragen diese 10 Jahre. Zudem besteht bei Ihnen ein berechtigtes Interesse, zur Abwehr eventueller Schadensersatzansprüche, solche Daten auch länger, bis zu 30 Jahren nach Ende einer Behandlung, zu speichern. Insoweit kann eine Berechtigung bestehen, auch bei entsprechendem Antrag eines Patienten, ein Löschungsbegehren zurückzuweisen und gegebenenfalls lediglich die Verarbeitung zu beschränken.

Auch die PVS unterliegt bezüglich der zur Abrechnung benötigten Daten gesetzlichen Aufbewahrungspflichten. Für allgemeine Behandlungen, Rechnungen usw. betragen diese 10 Jahre. Zudem besteht auch für die PVS ein berechtigtes Interesse, Abrechnungs- und Vertragsdaten auch länger zu speichern. In diesem Fall erfolgt eine Löschung entsprechend des Löschkonzepts der PVS, das mit allen Einzelheiten unter datenschutz@pvs-niedersachsen.de angefordert werden kann.

5. Datenschutzfolgenabschätzung

Sollte eine Datenschutzfolgenabschätzung erforderlich sein, erfolgt diese in Bezug auf den in gemeinsamer Verantwortung gestalteten Rechnungsprozess durch den Datenschutzbeauftragten der PVS. Im Übrigen hat eine gegebenenfalls notwendige Datenschutzfolgenabschätzung durch Sie beziehungsweise gegebenenfalls durch Ihren Datenschutzbeauftragten zu erfolgen.

6. Technisch-organisatorische Maßnahmen und Verarbeitungsverzeichnis.

Sowohl Sie als auch die PVS treffen geeignete technisch-organisatorische Maßnahmen zur Gewährleistung eines angemessenen Schutzniveaus. Diese sind entsprechend der gesetzlichen Vorschriften zu dokumentieren und auf Verlangen wechselseitig vorzulegen sowie regelmäßig zu überprüfen und zu aktualisieren.

Gemäß Art. 30 DSGVO sind Sie sowie auch die PVS zur Führung eines Verzeichnisses der Verarbeitungstätigkeiten verpflichtet.

7. Zusammenarbeit bei der Feststellung, Behandlung und Meldung von Datenschutzverletzungen; Behördenanfragen

Bei Feststellung einer Datenschutzverletzung hat der jeweilige Verantwortliche den jeweils anderen unverzüglich hierüber zu informieren. Die Information kann nur unterbleiben, wenn feststeht, dass die Datenschutzverletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt (Art. 33 DSGVO).

Betrifft eine festgestellte Datenschutzverletzung die Verletzung von abrechnungsrelevanten Daten, ist die PVS verantwortlich für die Meldung an die Aufsichtsbehörde, sowie für eine Benachrichtigung des Betroffenen. In den übrigen Fällen bleiben Sie verantwortlich. Bestehen Zweifel über die Zuständigkeit, sind diese mit dem Datenschutzbeauftragten der PVS zu klären.

Bei Anfragen der Aufsichtsbehörden ist unverzüglich der Datenschutzbeauftragte der PVS zu informieren. Betrifft die Anfrage die Weitergabe oder Verarbeitung von Abrechnungsdaten ist die PVS für die Beantwortung von Behördenanfragen verantwortlich.

8. Einschaltung von Auftragsverarbeitern

Soweit Sie Auftragsverarbeiter beauftragen, sind Sie für die Einhaltung der gesetzlichen Bestimmungen und Voraussetzungen für die Auftragsverarbeitung sowie dessen Überprüfung verantwortlich. Soweit die PVS sich eines Auftragsverarbeiters bedient, ist die PVS für die Einhaltung und Überprüfung der Voraussetzungen und gesetzlichen Bestimmungen verantwortlich.

9. Änderungen

Soweit rechtliche Änderungen die Anpassung der zur Verfügung gestellten Formulare erfordern, verpflichten Sie sich, die neu gefertigten Formulare der PVS zu benutzen und die Patienten entsprechend zu informieren.

10. Sonstiges

Nehmen Sie bitte dieses Dokument und die weiteren Unterlagen in Ihr Verarbeitungsverzeichnis auf.