Doctolib für die Terminbuchung, Microsoft 365 für E-Mails, eine Praxissoftware für die Dokumentation, ein Videodienst für Online-Sitzungen und vielleicht noch ein KI-Tool für Transkription oder administrative Aufgaben. Digitale Dienste erleichtern den Praxisalltag erheblich. Gleichzeitig entsteht ein Datenökosystem, das schnell größer wird, als man auf den ersten Blick denkt.
Denn hinter einem Dienst stehen häufig weitere Dienstleister.
Ein Beispiel: In den Datenschutzinformationen von Doctolib wird AWS als Unterauftragsverarbeiter für Dienstleistungen [1] genannt. Das allein sagt noch nichts darüber aus, ob der konkrete Einsatz in einer bestimmten Praxis datenschutzrechtlich zulässig ist. Es zeigt aber sehr anschaulich, warum es sich lohnt, bei digitalen Diensten genauer hinzuschauen.
Wir haben dazu Kontakt mit dem BSI und dem BMG aufgenommen. Die Rückmeldung war eindeutig:
„Nur der Verantwortliche verfügt über die Informationen, um den Aufbau und die Konfiguration seiner Systeme sowie den Einsatz eines Produkts für die konkret verfolgten Zwecke zu prüfen. Die Verantwortung für die datenschutzrechtliche Bewertung des konkreten Einsatzes bleibt damit bei der Praxis.“
Für Psychotherapeut: innen bedeutet das: Lesen Sie die Datenschutzerklärung Ihres Anbieters. Und schauen Sie sich die Liste der Unterauftragsverarbeiter an.
Das klingt zunächst nach viel Arbeit. Es lohnt sich aber gerade bei Diensten, die mit besonders sensiblen Daten arbeiten. Welche Unternehmen sind beteiligt? Welche Funktion übernehmen sie? Wo werden Daten verarbeitet? Welche Datenkategorien sind betroffen? Und gibt es Informationen, die der Anbieter für den eigenen Zweck gar nicht benötigt?
Wenn Angaben fehlen oder unklar bleiben, sollte man beim Anbieter nachfragen.
Das gilt besonders für KI-Dienste. Wir sehen selbst immer wieder Datenschutzhinweise, in denen lediglich von einem „KI-Anbieter“ die Rede ist, ohne den konkreten Dienst eindeutig zu benennen. Für eine verantwortliche Praxis ist das wenig hilfreich. Wenn sensible Informationen an einen externen Dienst übertragen werden, sollte nachvollziehbar sein, welcher Dienst dahintersteht und welche Verarbeitung dort stattfindet.
Datensparsamkeit beginnt deshalb schon bei der Auswahl und Konfiguration digitaler Dienste. Je weniger Daten ein System für seinen konkreten Zweck benötigt, desto weniger Daten müssen wir auch durch die dahinterliegende Dienstleisterstruktur verfolgen und absichern.
Unsere Empfehlung: Nehmen Sie sich bei Ihren wichtigsten digitalen Diensten einmal die Datenschutzerklärung und die Liste der Unterauftragsverarbeiter vor. Wenn etwas nicht eindeutig ist, fragen Sie nach.
[1] https://info.doctolib.de/blog/patientendaten-alles-zu-datenschutz-weitergabe-aufbewahrung/
