F+A: Anhebung der Beschäftigtenzahl für Bestellpflicht eines Datenschutzbeauftragten

Frage:

Ein niedergelassener Arzt fragt an, ob es richtig sei, dass eine Arztpraxis erst ab 20 Beschäftigten einen Datenschutzbeauftragten bestellen muss.

Antwort:

Aufgrund des Gesetzesentwurfs der Bundesregierung hat der Bundesrat nunmehr am 20.09.2019 diesem zugestimmt, wonach die Beschäftigtenanzahl für die Bestellpflicht eines Datenschutzbeauftragten angehoben wurde, sodass künftig ab Inkrafttreten des Gesetzes in der Regel erst bei mehr als 20 Beschäftigten in der Datenverarbeitung eine Bestellpflicht für einen betrieblichen Datenschutzbeauftragten gilt. Das Gesetz muss nun noch vom Bundespräsidenten unterzeichnet werden und tritt dann am Tag nach der Verkündung im Bundesgesetzblatt in Kraft.

Allerdings kann eine Bestellpflicht nach § 38 BDSG und Art. 37 Abs. 1 lit. c, Art. 35 DSGVO auch unabhängig von der Beschäftigtenzahl bestehen, nämlich dann, wenn in der Arztpraxis umfangreich Verarbeitungen von Gesundheitsdaten vorgenommen werden bzw. eine Datenschutzfolgeabschätzung notwendig ist.

Die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder hat zwischenzeitlich beschlossen, dass :

1.bei Ärzten, die zu mehreren in einer Berufsausübungsgemeinschaft (Praxisgemeinschaft) bzw. Gemeinschaftspraxis zusammengeschlossen sind oder die ihrerseits weitere Ärzte bzw. sonstige Angehörige eines Gesundheitsberufs beschäftigt haben, in der Regel nicht von einer umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten im Sinne von Art. 37 Abs. 1 lit. c DSGVO auszugehen ist und

2.bei Ärzten i. S. d. Ziffer 1, bei denen ein hohes Risiko für die Rechte und Freiheiten bei der Verarbeitung personenbezogener Daten zu erwarten ist, eine Datenschutzfolgenabschätzung vorgeschrieben und damit zwingend ein Datenschutzbeauftragter zu benennen ist. Ein solches Risiko kann neben einer umfangreichen Verarbeitung (z. B. bei großen Praxisgemeinschaften/Gemeinschaftspraxen), die ohnehin zu einer Benennungspflicht führt, beispielsweise beim Einsatz von neuen Technologien (z. B. Telemedizin), die ein hohes Risiko mit sich bringen, gegeben sein. In diesem Fall wäre eine Benennungspflicht dann auch bei weniger als künftig 20 Beschäftigten gegeben.

Dies bedeutet letztendlich, dass sobald mehrere Ärzte (BAG, PG, Angestellte) in einer Praxis tätig sind, die Pflicht zur Bestellung eines Datenschutzbeauftragten im Einzelfall geprüft werden muss und gemäß Ziffer 2 abhängig ist entweder von der Größe der Praxis, wenn eine umfangreiche Verarbeitung vorliegt, oder ob eine Datenschutzfolgenabschätzung notwendig ist.

Bei weniger als 20 Beschäftigten dürfte aus Sicht des Verfassers wohl künftig bei einer Mehrarztpraxis nach obigem Beschluss in der Regel nicht von einer umfangreichen Datenverarbeitung auszugehen sein, sodass künftig auch bei mehr als einem Arzt und Nichterreichen der Beschäftigtenzahl keine Bestellpflicht gegeben wäre, es sei denn, es liegt eine überdurchschnittlich große Praxis vor bzw. es ist eine Datenschutzfolgenabschätzung notwendig. Nicht abschließend geklärt ist allerdings, wann von einer solch großen Praxisgemeinschaft/Gemeinschaftspraxis auszugehen ist. Auch wird fraglich sein, ob die Konferenz der unabhängigen Datenschutzbehörden des Bundes den genannten Beschluss nicht aufgrund der künftigen Gesetzesänderung in Zukunft anpassen wird, sodass eine abschließend gesicherte Rechtsauskunft für die Zukunft leider nicht erteilt werden kann.

Nach Auffassung des Bayerischen Landesamts für Datenschutzaufsicht ist bei einer normalen Arztpraxis in der Regel auch keine Datenschutzfolgenabschätzung durchzuführen, sodass – außer es liegt ein Ausnahmefall vor – auch hier nach Auffassung des Verfassers bei einer normalen Mehrarztpraxis, worunter der Verfasser jedenfalls lediglich zwei oder drei Ärzte verstehen würde, keine Bestellpflicht bei künftig unter 20 Beschäftigten gegeben wäre.

Im Zweifel ist aus Gründen der Rechtssicherheit jedoch dringend zu empfehlen, sich bezüglich dieser Voraussetzungen stets mit dem jeweils zuständigen Landesdatenschutzbeauftragten in Verbindung zu setzen und dies im Einzelfall konkret abzuklären.

Heberer J. F+A: Anhebung der Beschäftigtenzahl für Bestellpflicht eines Datenschutzbeauftragten. 2019 November; 9(11): Artikel 04_09.