Ein neues Praxisverwaltungssystem geht live, ein Arzt arbeitet zusätzlich an einem weiteren Standort, die Personalabteilung nutzt eine Cloud und im Wartebereich hängt eine Kamera. Wer Datenschutz im MVZ umsetzen will, hat selten ein einzelnes Problem zu lösen. Es geht um viele Prozesse, Beteiligte und Systeme, die täglich mit Gesundheitsdaten arbeiten. Genau dort entstehen die Risiken: nicht in der Datenschutzrichtlinie im Ordner, sondern an Anmeldung, Empfang, Telefon, Arbeitsplatz und Schnittstellen.
Für Geschäftsführung und Praxismanagement zählt deshalb nicht, ob ein Datenschutzkonzept gut klingt. Es muss im Betrieb funktionieren, Verantwortlichkeiten eindeutig regeln und bei einer Prüfung sofort nachweisbar sein. Datenschutz im MVZ ist keine Nebenaufgabe für die Verwaltung. Er ist Teil der Betriebsorganisation.
Warum Datenschutz im MVZ besonders anspruchsvoll ist
Ein Medizinisches Versorgungszentrum bündelt häufig mehrere Fachrichtungen, Standorte, Berufsgruppen und IT-Anwendungen. Patientendaten fließen zwischen Anmeldung, Behandlung, Abrechnung, Labor, Bildgebung, Terminsoftware und externen Dienstleistern. Hinzu kommen Beschäftigtendaten, Bewerbungen, Kommunikationsdaten und gegebenenfalls Daten aus Videosprechstunden oder digitalen Anamnesen.
Gesundheitsdaten gehören zu den besonders geschützten personenbezogenen Daten. Ein unbefugter Einblick in den Terminkalender, ein offen liegender Arztbrief oder ein falsch adressierter Befund kann bereits ein Datenschutzvorfall sein. Die Folgen reichen von Beschwerden und Rückfragen der Aufsicht bis zu Reputationsschäden. Im medizinischen Bereich kommt die berufsrechtliche Schweigepflicht hinzu. Datenschutz und Vertraulichkeit müssen daher gemeinsam organisiert werden.
Die größte Schwachstelle ist oft gewachsene Praxisorganisation. Ein Standort arbeitet mit eigenen Excel-Listen, ein anderer verschickt Befunde per unverschlüsselter E-Mail. Mitarbeitende stimmen sich über private Messenger ab, weil es schnell geht. Dienstleister erhalten Zugänge, ohne dass klar geregelt ist, wer welche Daten verarbeitet und wie lange ein Zugriff nötig bleibt. Solche Abläufe sind verständlich. Sie sind aber kein belastbares Datenschutzkonzept.
Datenschutz im MVZ umsetzen: Erst den tatsächlichen Betrieb erfassen
Der richtige Einstieg ist keine Sammlung allgemeiner Vorlagen. Zuerst muss klar sein, welche Daten an welchen Stellen verarbeitet werden, wer beteiligt ist und welche Systeme im Einsatz sind. Nur so lassen sich Lücken erkennen und passende Maßnahmen festlegen.
Eine Bestandsaufnahme sollte insbesondere die folgenden Bereiche erfassen:
- Patientenaufnahme, Behandlung, Dokumentation, Abrechnung und Kommunikation mit Zuweisern
- eingesetzte Praxis-, Termin-, Labor-, Diktat-, Cloud- und Telemedizinlösungen
- Zugriffsrechte von Ärzten, MFA, Auszubildenden, Verwaltung, IT und externen Dienstleistern
- Personalverwaltung, Bewerberprozesse, Dienstplanung und gegebenenfalls Videoüberwachung
- Datenübermittlungen zwischen Standorten, Gesellschaften, Kooperationspartnern und Auftragsverarbeitern
Entscheidend ist der Blick auf die Realität. Nicht jede Verarbeitung ist im Organigramm sichtbar. Ein gutes Beispiel sind private Endgeräte oder Messenger. Wenn Termine, Befunde oder Patientenfotos darüber ausgetauscht werden, genügt ein Verbot auf Papier nicht. Das MVZ braucht eine sichere, alltagstaugliche Alternative, eine klare Vorgabe und eine nachvollziehbare Unterweisung.
Pflichtdokumentation muss zum MVZ passen
Die DSGVO verlangt keine Dokumentation um ihrer selbst willen. Sie verlangt den Nachweis, dass Verantwortliche ihre Verarbeitung beherrschen. Bei einer Behördenanfrage oder Beschwerde wird genau dieser Nachweis erwartet. Fehlt er, hilft auch ein grundsätzlich sorgfältiger Umgang mit Daten nur begrenzt.
Zum belastbaren Fundament gehören ein aktuelles Verzeichnis der Verarbeitungstätigkeiten, ein Berechtigungskonzept, technische und organisatorische Maßnahmen, Datenschutzinformationen für Patienten und Beschäftigte sowie ein Löschkonzept. Auch die Prozesse für Auskunftsersuchen, Berichtigung, Löschung und den Umgang mit Datenschutzvorfällen müssen definiert sein.
Besondere Aufmerksamkeit verdienen Auftragsverarbeitungsverträge. Cloud-Anbieter, IT-Betreuer, Terminplattformen, Abrechnungsdienstleister oder externe Archivierungsanbieter verarbeiten häufig Daten im Auftrag des MVZ. Ein Vertrag allein reicht nicht aus. Vorher muss geprüft werden, ob die Rollen korrekt eingeordnet sind, welche Daten fließen, welche Sicherheitsmaßnahmen vereinbart wurden und ob Unterauftragnehmer oder Drittlandtransfers eine Rolle spielen.
Bei MVZ mit mehreren Standorten stellt sich zusätzlich die Frage, wer datenschutzrechtlich verantwortlich ist. Das hängt von Gesellschaftsstruktur, Entscheidungsbefugnissen und den konkreten Verarbeitungen ab. Einheitliche Systeme bedeuten nicht automatisch eine einheitliche Verantwortlichkeit. Diese Einordnung muss vor der Erstellung von Informationen, Verträgen und Verzeichnissen sauber geklärt werden.
Der Datenschutzbeauftragte braucht Zugang zum Alltag
Ein MVZ verarbeitet im Kern umfangreich Gesundheitsdaten. Deshalb ist in der Regel ein Datenschutzbeauftragter zu benennen. Seine Aufgabe ist nicht, einmal jährlich eine Checkliste zu verschicken. Er muss unabhängig beraten, Risiken bewerten, auf die Einhaltung der Vorgaben hinwirken und Ansprechpartner für Leitung, Mitarbeitende und Aufsichtsbehörden sein.
Interne Lösungen scheitern häufig nicht am Engagement, sondern an Zeit und Interessenkonflikten. Wer zugleich IT verantwortet, Personal führt oder den Praxisbetrieb steuert, kann die erforderliche Unabhängigkeit und laufende Begleitung nur schwer sicherstellen. Ein externer Datenschutzbeauftragter bringt fachliche Distanz, branchenspezifische Erfahrung und feste Prozesse. Das entlastet die Leitung, sofern die Zusammenarbeit aktiv angelegt ist und nicht bei einem Jahresbericht endet.
Das INSTITUT FÜR DATENSCHUTZ begleitet Gesundheitseinrichtungen deshalb nicht nur mit Dokumenten, sondern mit prüfungsfähigen Abläufen: von der Bestandsaufnahme über Verträge und Schulungen bis zur Unterstützung bei Beschwerden, Vorfällen oder Prüfungen. Denn ein Dokument ist nur dann wertvoll, wenn die Mitarbeitenden wissen, was sie im konkreten Moment tun müssen.
Mitarbeitende entscheiden über die tatsächliche Sicherheit
Die beste Berechtigungsmatrix schützt nicht, wenn sich Mitarbeitende am Empfang gegenseitig mit demselben Benutzerkonto anmelden. Und die ausführlichste Richtlinie hilft nicht, wenn eine MFA einen Angehörigen am Telefon nicht eindeutig identifiziert. Datenschutzschulungen müssen deshalb typische Situationen aus dem MVZ aufgreifen.
Dazu gehören Gespräche am Empfang, der Umgang mit wartenden Patienten, Telefonanfragen von Angehörigen, E-Mail-Versand, Ausdrucke am Multifunktionsgerät, Bildschirmarbeitsplätze und mobile Arbeit. Auch neue Mitarbeitende, Auszubildende und Aushilfen benötigen eine dokumentierte Unterweisung vor oder zu Beginn ihrer Tätigkeit. Wiederholungen sind sinnvoll, wenn sich Verfahren ändern oder auffällige Fehler auftreten.
Schulung bedeutet nicht, Mitarbeitende mit Gesetzestexten zu überfordern. Gute Schulungen geben klare Handlungsregeln. Wer darf am Telefon welche Auskunft erhalten? Wann darf eine E-Mail versendet werden? Was passiert bei einem falsch ausgegebenen Rezept oder einer versehentlich offenen Patientenakte? Solche Antworten reduzieren Unsicherheit und verhindern, dass im Zeitdruck improvisiert wird.
Technik und Prozesse müssen zusammenpassen
Technische und organisatorische Maßnahmen sind im MVZ besonders sichtbar. Bildschirmsperren, individuelle Benutzerkonten, starke Passwörter, Mehr-Faktor-Authentifizierung bei externen Zugängen, verschlüsselte Datenträger und geregelte Berechtigungen gehören zum Standard. Ebenso wichtig sind sichere Backups, Patch-Management und ein Plan für IT-Ausfälle. Eine Ransomware-Attacke ist nicht nur ein IT-Problem, wenn Behandlungsdaten nicht verfügbar sind oder unbefugt abfließen.
Es kommt jedoch auf die Angemessenheit an. Ein kleines MVZ braucht nicht dieselbe technische Architektur wie ein großer Klinikverbund. Es braucht aber ein begründetes Sicherheitsniveau, das zu Datenmenge, Risiko, eingesetzten Systemen und Organisationsgröße passt. Besonders kritisch sind gemeinsame Konten, dauerhaft aktive Zugänge ehemaliger Mitarbeitender und Fernwartungen ohne klare Freigabe.
Auch KI-Anwendungen verdienen eine vorherige Prüfung. Werden Diktate transkribiert, Arztbriefe zusammengefasst oder Terminfragen automatisiert beantwortet, muss vor dem Einsatz geklärt werden, welche Daten verarbeitet werden, wo sie verarbeitet werden und welche Verträge sowie Schutzmaßnahmen erforderlich sind. Eine kostenlose Anwendung mit unklarer Datenverwendung ist keine akzeptable Abkürzung.
Vorfälle nicht verstecken, sondern beherrschen
Ein Datenschutzvorfall kann durch einen verlorenen Laptop, eine Fehladressierung, einen unberechtigten Zugriff oder einen Angriff auf die IT entstehen. Dann zählt jede Stunde. Das MVZ muss intern wissen, wer informiert wird, wie der Sachverhalt gesichert und bewertet wird und wer Entscheidungen zur Meldung trifft. Für meldepflichtige Verletzungen personenbezogener Daten gilt regelmäßig eine Frist von 72 Stunden gegenüber der Aufsichtsbehörde.
Panik ist dabei genauso schädlich wie Abwarten. Nicht jeder Fehler ist meldepflichtig. Jeder relevante Vorfall muss aber dokumentiert, geprüft und mit passenden Folgemaßnahmen bearbeitet werden. Ohne festgelegten Prozess gehen Informationen verloren, Fristen werden übersehen und dieselben Fehler wiederholen sich.
Prüfungsfähigkeit entsteht nicht durch hektische Vorbereitung, wenn die Behörde, der Medizinische Dienst oder ein Beschwerdeführer bereits Fragen stellt. Sie entsteht, wenn Zuständigkeiten, Nachweise und Abläufe im Alltag gepflegt werden. Beginnen Sie daher nicht mit einem Musterordner. Beginnen Sie mit den Wegen, die Patientendaten heute durch Ihr MVZ nehmen – und machen Sie jeden dieser Wege klar, sicher und nachvollziehbar.
