Datenschutz & DSGVO im PVS: Was Augenärztinnen und Augenärzte beachten müssen
Ein modernes Praxisverwaltungssystem (PVS) ist aus der Augenheilkunde nicht mehr wegzudenken – es vernetzt Diagnostik, Dokumentation, Abrechnung und Kommunikation. Dabei werden täglich personenbezogene Daten inklusive hochsensibler Gesundheits- und Bilddaten verarbeitet, deren Schutz höchste Priorität haben muss. Die Datenschutz-Grundverordnung (DSGVO) stellt Augenärztinnen und Augenärzte deshalb vor komplexe Anforderungen, die sowohl technische als auch organisatorische Aspekte betreffen.
Wer diese Anforderungen versteht und konsequent umsetzt, minimiert nicht nur Haftungsrisiken, sondern stärkt auch das Vertrauen der Patient:innen. Dieser Leitfaden zeigt, wie Sie Ihr Praxisverwaltungssystem DSGVO-konform, sicher und effizient betreiben – mit praxisnahen Beispielen, rechtlichen Grundlagen und konkreten Handlungsempfehlungen.
Warum ist der Datenschutz in der Augenheilkunde besonders wichtig
Augenärztliche Praxen erfassen täglich hochsensible Daten: Sehschärfe-Messungen, Bilddaten aus OCT, Funduskamera oder Hornhaut-Topografie, Diagnosen (z. B. Glaukom, Makuladegeneration) und Behandlungsverläufe.
Diese Gesundheitsdaten fallen unter Art. 9 Abs. 1 DSGVO („besondere Kategorien personenbezogener Daten“) und erfordern maximale Sicherheitsstandards.
Das PVS ist dabei nicht nur Verwaltungstool, sondern Daten-Drehscheibe: von der Anamnese über die Gerätedokumentation bis zur Abrechnung und Kommunikation mit Labor und Telematikinfrastruktur. Damit stehen Augenärzt:innen vor einer doppelten Aufgabe: medizinische Exzellenz gewährleisten und Datenschutz nachweisbar erfüllen.
Rechtsgrundlagen nach DSGVO für Augenärzt:innen
Art. 6 und 9 DSGVO: Rechtsgrundlage für Erhebung und Verarbeitung
- Art. 6 DSGVO: Rechtsgrundlage (z. B. Vertragserfüllung Behandlungsvertrag oder gesetzliche Pflicht).
- Art. 9 DSGVO: Ausnahme vom Verarbeitungsverbot für Gesundheitsdaten, wenn sie „zur Gesundheitsversorgung erforderlich“ sind (lit. h).
Damit dürfen Augenärzt:innen nur die Daten verarbeiten, die für Diagnose, Therapie oder Abrechnung notwendig sind (z. B. Visus-Messung, OCT-Bilder, Befunde, Rezeptdaten).
Pflichten im Überblick
- Art. 30: Verzeichnis der Verarbeitungstätigkeiten (z. B. Patientenaufnahme, Gerätedatenimport, Abrechnung).
- Art. 32: Technische und organisatorische Maßnahmen (TOM).
- Art. 35: Datenschutz-Folgenabschätzung (DSFA) bei hohem Risiko (z. B. Cloud-Hosting oder KI-gestutzte Bildauswertung).
- Art. 28: Auftragsverarbeitung (z. B. IT-Dienstleister, Telematikanbieter).
- Art. 13 ff.: Informations- und Auskunftspflichten gegenüber Patient:innen.
Betroffenenrechte und Patientenkommunikation
Patientenrechte nach Art. 12–22 DSGVO
Augenärztliche Praxen müssen Patient:innen über Verarbeitung, Zwecke und Speicherfristen informieren und deren Rechte operativ umsetzen:
- Auskunft (Art. 15): Das PVS soll Daten strukturiert exportieren (z. B. Befundbericht, OCT-Daten).
- Löschung (Art. 17): Nach Ablauf gesetzlicher Aufbewahrung (10 Jahre gemäß § 630f BGB) Löschkonzept initiieren.
- Berichtigung (Art. 16): Fehler direkt im PVS korrigieren und protokollieren.
- Datenübertragbarkeit (Art. 20): Maschinenlesbares Format (CDA, XML) bereitstellen.
- KBV-Hinweis: Patient:innen sind über ihre Rechte schriftlich oder digital aufzuklären – Muster stehen bereit.
Organisation und Kultur in der Augenpraxis
Datenschutzbeauftragte:r
Nach § 38 BDSG muss eine Augenpraxis eine:n Datenschutzbeauftragte:n benennen, wenn mind. 20 Personen regelmäßig mit Patientendaten im PVS arbeiten oder umfangreiche Gesundheitsdaten verarbeitet werden (z. B. Verbundpraxis oder MVZ).
Schulung und Sensibilisierung
Mitarbeitende sind regelmäßig zu schulen (z. B. Umgang mit Befunden, Nutzung mobiler Geräte, Kommunikation über KIM). Empfehlenswert ist eine jährliche Auditierung des IT-Grundschutzes nach BSI-Standard 200-2 oder vergleichbar.
Datenschutz als Markenwert
Gerade in der Augenheilkunde haben Patient:innen hohe Erwartungen an Seriosität und Vertrauen. Ein transparent kommunizierter Datenschutz (z. B. auf der Website oder im Wartebereich) stärkt das Vertrauen und reduziert Abwanderungsrisiken – ein psychologisch belegter „Trust-Transfer-Effekt“.
Checkliste für Augenärzt:innen
Fazit
Datenschutz in der Augenheilkunde ist mehr als Pflicht – er ist Teil der medizinischen Qualität. Ein gut konfiguriertes, DSGVO-konformes PVS sichert nicht nur die rechtliche Compliance, sondern schützt auch Patientenvertrauen und Praxisreputation.
Wer Datenschutz systematisch umsetzt, handelt nicht bürokratisch, sondern professionell – und setzt ein starkes Signal für digitale Verantwortung in der Augenheilkunde.
Quellen:
-
Bundesamt für Sicherheit in der Informationstechnik (BSI). (2022). IT-Grundschutz-Kompendium (Edition 2022).https://www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/Grundschutz/International/bsi_it_gs_comp_2022.pdf
-
Bundesamt für Sicherheit in der Informationstechnik (BSI). (2021). BSI-Standard 200-2: IT-Grundschutz-Methodik.https://www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/Grundschutz/International/bsi-standard-2002_en_pdf.pdf
-
Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (BfDI). (o. J.). Datenschutz-Folgenabschätzungen und Listen von Verarbeitungstätigkeiten. https://www.bfdi.bund.de/DE/Fachthemen/Inhalte/Technik/Datenschutz-Folgenabschaetzungen.html
-
Datenschutzkonferenz (DSK). (2018). Liste der Verarbeitungstätigkeiten, für die eine DSFA durchzuführen ist (Version 1.1). https://www.datenschutz.rlp.de/fileadmin/datenschutz/Dokumente/Orientierungshilfen/DSK_DSFA_Muss-Liste_Version_1.1_Deutsch.pdf
-
European Parliament & Council. (2016). Regulation (EU) 2016/679 (General Data Protection Regulation). Official Journal of the European Union, L 119. https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX%3A32016R0679
-
Kassenärztliche Bundesvereinigung (KBV). (2019). Datenschutz-Grundverordnung in der Praxis – Was Praxen wissen müssen. https://www.kbv.de/praxis/praxisfuehrung/datenschutz
-
Kassenärztliche Bundesvereinigung (KBV). (2018). Verzeichnis von Verarbeitungstätigkeiten – Ausfüllbeispiel.https://www.kbv.de/documents/praxis/praxisfuehrung/datenschutz/datenschutz-verarbeitungsverzeichnis-ausfuellbeispiel.pdf