Fachbeiträge & Kommentare zu Datenschutz

Kunden sind für die meisten Unternehmen das wichtigste Gut, denn ohne Nachfrage kann kein Unternehmen Waren oder Dienstleistungen absetzen. Der Schutz von Kundendaten bedeutet den Schutz von Unternehmen UND Personen. Im Einzelnen sind dies insbesondere Schutz von Daten, die im Rahmen von Geschäftsprozessen genutzt werden. So z. B. Arbeitsergebnisse, Vorlagen, übergebene Unter...mehr

Der Datenschutz gegenüber einem Lieferunternehmen ist ähnlich gelagert wie der Datenschutz gegenüber der Kundschaft. Auch hier dürfen personenbezogene Daten nur unter Beachtung der bereits genannten Voraussetzungen für den Datenschutz nach der DSGVO und dem BDSG erhoben, gespeichert oder verarbeitet werden. Bei eigenen Lieferunternehmen wird häufig übersehen, dass auch hier i...mehr

Arbeitsabläufe sowie Auswahl und Gestaltung von Datenverarbeitungssystemen sollen an dem Ziel ausgerichtet werden, so wenig personenbezogene Daten wie möglich zu erheben, zu verarbeiten oder zu nutzen ("Datenminimierung", Art. 5 Abs. 1 lit. c DSGVO). Insbesondere sind personenbezogene Daten zu anonymisieren oder zu pseudonymisieren, soweit dies nach dem Verwendungszweck mögl...mehr

Immer wieder übersehen Unternehmen, dass sie möglicherweise verpflichtet sind, einen betrieblichen Datenschutzbeauftragten zu bestellen, der auf die Einhaltung der Datenschutzvorschriften hinwirkt. Dieser Verstoß kann mit einem Bußgeld von bis zu 10.000.000 EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangene...mehr

Einführung Im betrieblichen Alltag werden Unmengen an Daten produziert und genutzt. Hierzu zählen zum einen Daten, die im Rahmen betrieblicher Prozesse produziert werden, z. B. Druckdaten für Prospekte, Schriftstücke, Programme zur Maschinensteuerung etc. Von diesen Daten sind solche zu unterscheiden, die Auskunft über eine menschliche Person geben. Die personenbezogenen Date...mehr

Im betrieblichen Alltag werden Unmengen an Daten produziert und genutzt. Hierzu zählen zum einen Daten, die im Rahmen betrieblicher Prozesse produziert werden, z. B. Druckdaten für Prospekte, Schriftstücke, Programme zur Maschinensteuerung etc. Von diesen Daten sind solche zu unterscheiden, die Auskunft über eine menschliche Person geben. Die personenbezogenen Daten von Mens...mehr

Was hinsichtlich des Datenschutzes zu tun ist, hängt von verschiedenen Faktoren ab. Zum einen gibt es allgemeine Empfehlungen, die immer beachtet werden sollten, auch wenn hierzu keine expliziten vertraglichen oder gesetzlichen Verpflichtungen bestehen. Diese Regeln dienen dem Schutz des Unternehmens vor vermeidbaren Unannehmlichkeiten durch einen Datenmissbrauch durch Dritt...mehr

Im Falle einer Verletzung des Schutzes personenbezogener Daten muss das Unternehmen nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, diese der zuständigen Aufsichtsbehörde melden. Ob eine Pflicht für Meldungen oder Benachrichtigungen besteht, ist individuell zu beurteilen. So ist z. B. der Verlust eines Speichermediums...mehr

Eine Datenschutzverletzung kann hohe Bußgelder nach sich ziehen. Die DSGVO verlangt in Art. 83, dass jede Aufsichtsbehörde sicherstellt, "dass die Verhängung von Geldbußen (...) für Verstöße gegen diese Verordnung (...) in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist." Dabei ist u. a. Folgendes gebührend zu berücksichtigen: Art, Schwere und Dauer des Verstoß...mehr

Birgt eine Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen, müssen diese unverzüglich über den Vorfall benachrichtigt werden. Die Benachrichtigungspflicht dient dazu, die Betroffenen über Datenschutzverletzungen zu informieren und ihnen die Möglichkeit zu geben, Maßnahmen zum Schutz ihrer Rech...mehr

Neben der unmittelbaren Haftung im Fall einer Datenschutzverletzung dürfen auch vertraglich vereinbarte Sanktionen nicht außer Acht gelassen werden. Das Unternehmen kann gegenüber Kundschaft, Liefer-Unternehmen oder Mitarbeitenden haften, sofern gegen vertragliche Vereinbarungen oder Pflichten verstoßen wurde. Am häufigsten kommen wohl Verstöße gegen explizit geregelte Geheim...mehr

Im Unternehmen sind insbesondere folgende Bereiche besonders sensibel für datenschutzrechtliche Belange: Interne Daten, wie Finanzdaten, Erfindungen, Businessplanning etc. Daten von Mitarbeitenden sowie Daten im Rahmen des Personalwachstums (z. B. Bewerbende) Daten von Kunden und Lieferanten Daten, die im Rahmen von Kommunikationsmaßnahmen und Internetauftritten erhoben werden Di...mehr

Eine wichtige Bedeutung kommt der Personalakte zu. Diese beinhaltet alle Daten über beschäftigte Personen, angefangen von der Bewerbung bis zum Ausscheiden aus dem Unternehmen. Der Datenschutz gilt unabhängig davon, ob die Akten elektronisch oder konventionell in Papierform geführt werden. Personalakten müssen vertraulich geführt und aufbewahrt werden. Damit ist ein wirksamer...mehr

Die Betroffenen, deren Daten verarbeitet werden bzw. erhoben und gespeichert worden sind, haben ein Recht auf Auskunftserteilung, Berichtigung oder Löschung ihrer Daten: Recht auf Auskunft über die Verarbeitung personenbezogener Daten (Art. 15) Recht auf Berichtigung unrichtiger Daten (Art. 16) Recht auf Löschung der Daten unter bestimmten Voraussetzungen (Art. 17) Recht auf Ein...mehr

Personenbezogene Daten von Mitarbeitenden dürfen nur erhoben, verarbeitet oder genutzt werden, wenn dies dem Unternehmen gestattet ist. Dabei sind die gesetzlichen und arbeitsvertraglichen Regelungen zu beachten. Auch hier gilt, dass der Betroffene auch seine Einwilligung in Bezug auf den Umgang mit seinen Daten erteilen kann. Diese Einwilligung darf aber nicht durch Druckau...mehr

Die Internet-Nutzung und E-Mail-Nutzung Mitarbeitender kann technisch umfangreich protokolliert und ausgewertet werden. Dabei können z. B. Benutzeridentifikation, IP-Adressen, Datum und Uhrzeit des Zugriffs, Datenmenge sowie Zieladresse des Zugriffs erfasst werden. Anhand dieser Daten wäre es für Arbeitgebende möglich nachzuvollziehen, wann Mitarbeitende was gelesen haben. Dies ka...mehr

Ob geschäftlicher Internetauftritt oder Direktmarketingaktionen: Überall werden Daten von Nutzern erhoben, verarbeitet oder gespeichert – wenn oftmals auch nur für wenige Augenblicke. Auch hier gelten Datenschutzvorschriften. Besonders das Gebot der Datensparsamkeit (§ 71 BDSG) bzw. Datenminimierung (Art. 5 DSGVO) wird häufig missachtet. Gerade das Internet mit seinen vielfä...mehr

Mögliche Kennzahlen zur Bewertung der Qualität des Wissensmanagements Über Wissensmanagement sollte regelmäßig berichtet werden, z. B. mithilfe von Kennzahlen, die auch in das reguläre Reporting des Betriebes aufgenommen werden sollten. Wegen der Bedeutung des Themas sollte Wissensmanagement einen eigenen Platz im Berichtswesen bekommen. Mit den Kennzahlen sollte z. B. abgefr...mehr

Rz. 24 Die gematik hat die Interessen von Patienten zu wahren und sicherzustellen, dass die Vorschriften zum Schutz personenbezogener Daten (§§ 67 ff. SGB X) sowie zur Barrierefreiheit (vgl. hierzu die Bestimmungen der Barrierefreie-Informationstechnik-Verordnung v. 12.9.2011, BGBl. I S. 1843; zuletzt geändert durch Art. 1 der Verordnung v. 21.5.2019, BGBl. I S. 738) eingeha...mehr

Rz. 14 Stellungnahme des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit zur öffentlichen Anhörung im Ausschuss für Gesundheit am 27. Mai 2020 zum Entwurf eines Gesetzes zum Schutz elektronischer Patientendaten in der Telematikinfrastruktur (Patienten-Datenschutz-Gesetz; www.bfdi.bund.de). Beyer, Neuregelungen zur Telematikinfrastruktur und ihrer Anwendung...mehr

Rz. 3 Die Telematikinfrastruktur muss für die Nutzung weiterer Anwendungen ohne Nutzung der elektronischen Gesundheitskarte nach § 327 geeignet sein (§ 306 Abs. 1 Satz 2 Nr. 2 Buchst. a). Diese Anwendungen können die Telematikinfrastruktur für das Gesundheitswesen sowie für die Gesundheitsforschung nutzen, wenn die Wirksamkeit der Maßnahmen zur Gewährleistung von Datenschutz ...mehr

Rz. 1 Die Vorschrift wurde durch Art. 1 Nr. 31 des Gesetzes zum Schutz elektronischer Patientendaten in der Telematikinfrastruktur (Patientendaten-Schutz-Gesetz – PDSG) v. 14.10.2020 (BGBl. I S. 2115) mit Wirkung zum 20.10.2020 in das SGB V eingefügt. Eine Vorgängervorschrift existiert nicht. Das PDSG hat mit den neuen Kapiteln 11 und 12 die bisherigen Regelungen zur Telemat...mehr

Rz. 16 Beyer, Neuregelungen zur Telematikinfrastruktur und ihrer Anwendungen, WzS 2021, 263. Dochow, Das Patienten-Datenschutz-Gesetz (Teil 1) – Die elektronische Gesundheitskarte und Telematikinfrastruktur, MedR 2020, 979. ders., Das Patienten-Datenschutz-Gesetz (Teil 2) – Die elektronische Patientenakte und erweiterte Datenverarbeitungsbefugnisse der Krankenkassen, MedR 2021...mehr

Rz. 2 "Geborene" Mitglieder des Digitalbeirats sind das Bundesamt für Sicherheit in der Informationstechnik (BSI) und der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI). Weitere Mitglieder können berufen werden. Der Digitalbeirat berät dauerhaft die Gesellschaft für Telematik (gematik) zu Belangen des Datenschutzes und der Datensicherheit. Datensch...mehr

Rz. 21 Soweit Fragen der Datensicherheit berührt sind, sind diese durch die gematik im Benehmen mit dem BSI zu regeln (Satz 1). Die Vorgaben nach dem BSI-Gesetz zur Einhaltung von Mindeststandards in der IT-Sicherheit und zur Meldung von IT-Störungen an das BSI sind dabei nicht zu beachten. Die Regelungen in § 311 sind für die IT-Sicherheit ausreichend. Doppelregulierungen w...mehr

Rz. 16 Die elektronische Patientenakte ist innerhalb der Telematikinfrastruktur ein Dienst der Anwendungsinfrastruktur (§ 306 Abs. 2 Nr. 3). Die Krankenkasse ist Anbieter dieses Dienstes (§ 307 Abs. 4) und für die Verarbeitung personenbezogener Daten verantwortlich (Art. 4 Nr. 7 der Verordnung – EU – 679/2016; Satz 1). Damit sind für die Krankenkasse keine Zugriffsrechte auf...mehr

Rz. 6 Daten dürfen von Berechtigten nur zu den gesetzlichen Zwecken (Abs. 1) verarbeitet werden (Satz 1). Eine anderweitige Verarbeitung ist nicht zulässig. Rz. 7 Die Datenverarbeitung darf nicht die Datensicherheit und den Datenschutz sowie die Verfügbarkeit und Nutzbarkeit der vertragsärztlichen elektronischen Verordnung beeinträchtigen (Satz 2). Die Datenverarbeitung steht...mehr

Rz. 9 Beyer, Neuregelungen zur Telematikinfrastruktur und ihrer Anwendungen – Patienten-Datenschutz-Gesetz (PDSG) und die Neuerungen insbesondere für die elektronische Patientenakte, WzS 2021, 263. BfArM (Herausg.), Das Fast-Track-Verfahren für digitale Gesundheitsanwendungen (DiGA) nach § 139e SGB V, www.bfarm.de/SharedDocs/Downloads/DE/Medizinprodukte/diga_leitfaden.pdf?__b...mehr

Rz. 2 Die Gesellschaft für Telematik (gematik) hat sich hinsichtlich ihrer Festlegungen zu Datenschutz, Datensicherheit und Nutzerfreundlichkeit den Anwendungen mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) und mit dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) ins Benehmen zu setzen und durch den Digitalbeirat (§ 318a) ber...mehr

Rz. 2 Die Telematikinfrastruktur kann für weitere elektronische Anwendungen des Gesundheitswesens sowie für die Gesundheitsforschung verwendet werden, wenn die Wirksamkeit der Maßnahmen zur Gewährleistung von Datenschutz und Datensicherheit sowie die Verfügbarkeit und Nutzbarkeit der Telematikinfrastruktur nicht beeinträchtigt werden, im Fall der Verarbeitung personenbezogen...mehr

Rz. 4 Die KBV und der GKV-Spitzenverband vereinbaren bis zum 31.3.2022 die Anforderungen an technische Verfahren zum datengestützten zeitnahen Management von Krankheiten über eine räumliche Distanz (telemedizinisches Monitoring; Satz 1). Die Vereinbarung wird im Benehmen mit dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI), dem Bundesamt für die...mehr

Rz. 20 BfArM (Herausg.), Meldestelle für Auffälligkeiten und Fehlerkonstellationen bei der Nutzung der Anwendungen der Telematikinfrastruktur, www.bfarm.de/DE/Forschung/Telematikanwendungen/_node.html (abgerufen: 21.1.2021). Beyer, Neuregelungen zur Telematikinfrastruktur und ihrer Anwendungen, WzS 2021, 263. Dochow, Grundlagen und normativer Rahmen der Telematik im Gesundheit...mehr

Rz. 3 Die Verarbeitung personenbezogener Daten mittels der Komponenten der dezentralen Infrastruktur (§ 306 Abs. 2 Nr. 1) liegt in der Verantwortung derjenigen, die diese Komponenten für die Zwecke der Authentifizierung und zur sicheren Verarbeitung von Daten über die zentrale Infrastruktur nutzen (Satz 1). Zur dezentralen Infrastruktur gehören z. B. die elektronische Gesund...mehr

Rz. 1 Die Vorschrift wurde durch Art. 1 Nr. 31 des Gesetzes zum Schutz elektronischer Patientendaten in der Telematikinfrastruktur (Patientendaten-Schutz-Gesetz – PDSG) v. 14.10.2020 (BGBl. I S. 2115) mit Wirkung zum 20.10.2020 in das SGB V eingefügt. Das PDSG hat mit den neuen Kapiteln 11 und 12 die bisherigen Regelungen zur Telematikinfrastruktur übernommen und umfassend n...mehr

Rz. 7 Die gematik ist befugt und verpflichtet, geeignete Systeme zur Erkennung von Störungen und Angriffen (§ 2 Abs. 9b BSIG) einzusetzen (Satz 1). Die Systeme werden im Benehmen mit dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit und dem BSI eingesetzt (Satz 2).mehr

Rz. 6 Beyer, Neuregelungen zur Telematikinfrastruktur und ihrer Anwendungen – Patienten-Datenschutz-Gesetz (PDSG) und die Neuerungen insbesondere für die elektronische Patientenakte, WzS 2021, 263.mehr

Rz. 24 Beyer, Neuregelungen zur Telematikinfrastruktur und ihrer Anwendungen – Patientendaten-Schutz-Gesetz (PDSG) und die Neuerungen insbesondere für die elektronische Patientenakte, WzS 2021, 262. Eichenhofer, Die Elektronische Patientenakte – aus sozial-, datenschutz- und verfassungsrechtlicher Sicht, NVwZ 2021, 1090. Schneider, Einrichtungsübergreifende elektronische Patie...mehr

Rz. 3 Die gematik setzt sich hinsichtlich ihrer Festlegungen zu Datenschutz, Datensicherheit und Nutzerfreundlichkeit der Anwendungen mit dem BSI und mit dem BfDI ins Benehmen und wird dazu durch den Digitalbeirat (§ 318a) beraten. Die Effektivität der Unterstützung wird durch das BMG bis zum 30.6.2025 evaluiert.mehr

Rz. 3 Die Verordnungsermächtigung erfasst die Anforderungen an die im Rahmen von strukturierten Behandlungsprogrammen mit digitalisierten Versorgungsprozessen erforderliche technische Ausstattung und an die Anwendungen der Leistungserbringer und Versicherten, den Nachweis, dass die erforderliche technische Ausstattung und die Anwendungen der Leistungserbringer und Versicherten...mehr

Rz. 9 Die gematik ist verpflichtet, die erforderlichen Maßnahmen spätestens bis zum 1.1.2025 durchzuführen, damit die elektronische Rechnung unter Nutzung der Telematikinfrastruktur zur Verfügung steht. Dazu setzt sie sich mit dem Bundesamt für Sicherheit in der Informationstechnik und dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit ins Benehmen.mehr

Rz. 8 Dochow, Das Patienten-Datenschutz-Gesetz (Teil 2): Die elektronische Patientenakte und erweiterte Datenverarbeitungsbefugnisse der Krankenkassen, MedR 2021, 13. Eichenhofer, Die elektronische Patientenakte – aus sozial-, datenschutz- und verfassungsrechtlicher Sicht, NVwZ 2021, 1090. Haserück, Elektronischer Heilberufsausweis: Eintrittskarte zur Datenautobahn, Ärzte-Zeit...mehr

Rz. 10 Beyer, Neuregelungen zur Telematikinfrastruktur und ihrer Anwendungen – Patienten-Datenschutz-Gesetz (PDSG) und die Neuerungen insbesondere für die elektronische Patientenakte, WzS 2021, 263. gematik (Herausg.), Interoperabilität dank ISiK, fachportal.gematik.de/informationen-fuer/isik; abgerufen: 2.4.2021. Krüger-Brand, IT-Systeme: Offene Schnittstellen werden Pflicht,...mehr

Rz. 2 Die Norm bestimmt die datenschutzrechtliche Verantwortlichkeit in den verschiedenen arbeitsteiligen Datenverarbeitungsprozessen der Telematikinfrastruktur. Art. 4 Nr. 7 HS 2 DSGVO sieht vor, dass das Recht eines Mitgliedstaats den Verantwortlichen bestimmen kann, wenn Zwecke und Mittel einer Verarbeitung durch nationales Recht vorgegeben sind. Dem entsprechen die geset...mehr

Rz. 7 Zur zentralen Infrastruktur gehört das geschlossene gesicherte Netz der Telematikinfrastruktur (§ 306 Abs. 2 Nr. 2 Buchst. b). Dieses Netz, einschließlich der für seinen Betrieb notwendigen Dienste, bildet den weiteren Teil der zentralen Infrastruktur. Zu diesen notwendigen Diensten gehören z. B. Verzeichnis- und Identifikationsdienste. Die gematik erteilt einen Auftra...mehr

Rz. 2 Die Vorschrift stellt die Ziele, die innerhalb der Telematikinfrastruktur zur Verfügung stehenden Anwendungen, deren Verknüpfung mit anderen Komponenten der Telematikinfrastruktur und ihre Entwicklungsoffenheit fest. Es handelt sich um die zentrale Vorschrift für die Schaffung der Anwendungsinfrastruktur (Hecheltjen, in: Schlegel/Voelzke, jurisPK-SGB V, 4. Aufl., § 334...mehr

Rz. 2 Die gematik überwacht den Betrieb von Komponenten und Diensten, die außerhalb der Telematikinfrastruktur betrieben werden. Die Regelung ist wegen der Öffnung der Telematikinfrastruktur für weitere Anwendungen (§ 325) erforderlich. Art und Umfang der Überwachungsmaßnahmen beziehen sich auf rein betriebstechnische Daten der jeweiligen Anwendung an den technischen Schnitt...mehr

Rz. 6 Die Anwendungen bedürfen zur Nutzung der Telematikinfrastruktur der Bestätigung durch die gematik (Satz 1). Die erforderlichen Voraussetzungen für die Nutzung der Telematikinfrastruktur werden durch die gematik im Benehmen mit dem BSI und dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) festgelegt und durch die gematik auf ihrer Internetse...mehr

Rz. 5 Weyer, Neuregelungen zur Telematikinfrastruktur und ihrer Anwendungen – Patientendaten-Schutz-Gesetz (PDSG) und die Neuerungen insbesondere für die elektronische Patientenakte, WzS 2021, 263. gematik (Herausg.), Anwendungen, www.gematik.de/anwendungen (abgerufen: 11.7.2022). gematik (Herausg.), Informationspflichten gemäß § 314, www.gematik.de/media/gematik/Medien/Rechtl...mehr

Rz. 3 KVB und GKV-Spitzenverband vereinbaren in einem öffentlich-rechtlichen Vertrag (koordinationsrechtlicher Vertrag; Kania, in: Schlegel/Voelzke, jurisPK-SGB V, 4. Aufl., § 364 Rz. 9 m. w. N.) die Anforderungen an die technischen Verfahren zur telemedizinischen Erbringung der konsiliarischen Befundbeurteilung von Röntgenaufnahmen in der vertragsärztlichen Versorgung. Sie ...mehr

Rz. 12 Dörr, Direktabrechnung? Ein Irrglaube! – Welche Bedeutung Rechenzentren im E-Rezept-Zeitalter haben werden, DAZ 2021, Nr. 28, 24. GKV-Spitzenverband (Herausg.), Informationen zum elektronischen Abrechnungsverfahren mit den gesetzlichen Krankenkassen beim Datenaustausch im Abrechnungsverfahren nach § 302 SGB V v. 17.5.2022; abgerufen: 28.6.2022. Holzbrecher-Morys/Adloff,...mehr