Die Konferenz der unabh\u00e4ngigen Datenschutzbeh\u00f6rden des Bundes hat am 26. April 2018 eine gemeinsame Position zur Frage beschlossen, wann in einer Arztpraxis, Apotheke oder sonstigen Angeh\u00f6rigen eines Gesundheitsberufs, also beispielsweise einer Physiotherapiepraxis, ein Datenschutzbeauftragter bestellt werden muss.<\/p>\n
Danach ist in aller Regel in solchen Einrichtungen nicht von einer umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten auszugehen. Ein Datenschutzbeauftragter muss daher grunds\u00e4tzlich nur dann bestellt werden, wenn in der Regel mindestens 10 Personen st\u00e4ndig mit der Verarbeitung personenbezogener Daten besch\u00e4ftigt sind. Der bzw. die Inhaber sind bei der Ermittlung der Besch\u00e4ftigtenanzahl zu ber\u00fccksichtigen.<\/p>\n
Bemerkenswert daran ist unter Anderem, dass der Beschluss \u2013 anders als die entsprechende Regelung in \u00a7 38 Abs. 1 S. 1 BDSG \u2013 seinem Wortlaut nach nur von der \u201eVerarbeitung personenbezogener Daten\u201c, nicht aber von der \u201eautomatisierten Verarbeitung\u201c solcher Daten spricht. Da dies eine Versch\u00e4rfung der gesetzlichen Regelung bedeutet und eine solche nicht in der Zust\u00e4ndigkeit der DSK liegt, kann man diesen Umstand wohl als redaktionelle Unachtsamkeit des Beschlussverfassers deuten. Zudem ist die Frage, ob der Inhaber mitzuz\u00e4hlen ist, durchaus umstritten, die Auffassung der DSK hierzu wird sicherlich bei Gelegenheit gerichtlich \u00fcberpr\u00fcft werden.<\/p>\n
Ausnahmen sind dann denkbar, wenn Verarbeitungen vorgenommen werden, die voraussichtlich ein hohes Risiko f\u00fcr die Rechte und Freiheiten von nat\u00fcrlichen Personen erwarten lassen und daher eine Datenschutzfolgenabsch\u00e4tzung erforderlich machen. Dann ist zwingend ein Datenschutzbeauftragter zu bestellen. Dies kann neben einer umfangreichen Verarbeitung \u2013 der Beschluss spricht hier von \u201egro\u00dfen Praxisgemeinschaften\u201c \u2013 beispielsweise beim Einsatz neuer Technologien der Fall sein. Auch hier ist der Beschluss bedauerlicherweise \u2013 wenigstens \u2013 ungl\u00fccklich formuliert: In einer Praxisgemeinschaft findet n\u00e4mlich allenfalls eine Verarbeitung von Mitarbeiter- und sonstigen Daten statt. Gesundheitsdaten aber haben in einer Praxisgemeinschaft nichts zu suchen, diese werden vielmehr auf Ebene der Praxen verarbeitet, die sich zu einer Praxisgemeinschaft zusammengeschlossen haben. Insofern sollte auch bei gro\u00dfen Gemeinschaftspraxen, wobei bedauerlicherweise offen bleibt, was \u201egro\u00df\u201c in diesem Zusammenhang hei\u00dft, von einer umfangreichen Verarbeitung und damit der Notwendigkeit eines Datenschutzbeauftragten ausgegangen werden. In aller Regel werden solche Praxen aber mehr als 10 Mitarbeiter besch\u00e4ftigen und damit ohnehin der Pflicht zur Bestellung eines Datenschutzbeauftragten unterliegen.<\/p>\n