Seit Mai 2018 gilt EU-weit die Datenschutzgrundverordnung (DSGVO). Diese soll einen europaweiten einheitlichen Datenschutzstandard ermöglichen. Nach der DSGVO sind wir verpflichtet, Sie darüber zu informieren, zu welchem Zweck unsere Praxis Daten erhebt, speichert oder weitergibt. Unserer Datenschutzerklärung können Sie auch entnehmen, welche Rechte Ihnen in puncto Datenschutz zustehen. Im Zusammenhang mit der beruflichen Tätigkeit unserer Ärzte verarbeiten wir insbesondere personenbezogene Daten von (potenziellen) Patienten – für den Fall einer Familienversicherung die Daten des Hauptversicherten – und die Daten unserer Mitarbeiter und Bewerber. Der Schutz personenbezogener Daten ist uns ein wichtiges Anliegen. Wir verarbeiten personenbezogene Daten nur im Einklang mit den anwendbaren datenschutzrechtlichen Anforderungen, insbesondere dem deutschen Bundesdatenschutzgesetz (BDSG), der Datenschutzgrundverordnung (DSGVO) sowie dem Digitale-Dienste-Gesetz (DDG).

I. Was sind personenbezogene Daten?

Personenbezogene Daten sind sämtliche Informationen, die Ihnen individuell zugeordnet werden können. Das sind z.B. Ihr Name, Ihre Anschrift, Ihr Geburtsdatum, Ihre E-Mail-Adresse und Ihre Telefonnummer. Als Team von Ärzten verarbeiten wir darüber hinaus auch personenbezogene Gesundheitsdaten. Dazu zählen solche Daten, die sich auf den Gesundheitszustand einer betroffenen Person beziehen und aus denen Informationen über den früheren, gegenwärtigen und künftigen körperlichen oder geistigen Gesundheitszustand der Person hervorgehen (vgl. Art.9Abs.1DSGVO).

II. Informationen über den Verantwortlichen der Datenverarbeitung

Verantwortliche Stelle der Datenverarbeitung i.S.d. DSGVO ist:

Internistische Praxisgemeinschaft Rheumatologie Nephrologie, vertreten durch Dr. med. Michael Broll, Prof. Dr. med. Stefan Kleinert, Dr. med. Alina Ramming, Dr. med. Praxedis Rapp, Dr. med. Petra Reis, Dr. med. Monika Ronneberger, Dr. med. Florian Schuch, Dr. med. Jörg Wendler, Dr. med. Christian Wulff.
Möhrendorfer Straße 1 C
91056 Erlangen
Telefon: +49 (0) 9131 89 000
Telefax: +49 (0) 9131 89 0050
E-Mail: service@pgrn.de

Kontaktdaten des Datenschutzbeauftragten:
Dr. Christopher Lieb
c/o LIEB.Consultants GmbH
Bayreuther Straße 24
91054 Erlangen
Telefon: +49 (0) 9131 88 53 23
E-Mail: info@lieb-datenschutz.de

III. Zweck der Datenverarbeitung

Die Datenverarbeitung erfolgt aufgrund gesetzlicher Vorgaben, um den Behandlungsvertrag zwischen Ihnen und Ihrem Arzt und die damit verbundenen Pflichten zu erfüllen (vgl. Art.6Ilit.bDSGVO) und diesbezüglich die Kommunikation mit Ihnen zu führen. Darunter sind Vorgänge von der ersten Kontaktaufnahme bis zur Abrechnung zu verstehen. Hierzu verarbeiten wir Ihre personenbezogenen Daten, insbesondere Ihre Gesundheitsdaten. Dazu zählen Anamnesen, Diagnosen, Therapievorschläge und Befunde, die wir oder andere Ärzte erheben. Zu diesen Zwecken können uns auch andere Ärzte oder Psychotherapeuten, bei denen Sie in Behandlung sind, Daten zur Verfügung stellen (z.B. in Arztbriefen). Des Weiteren verarbeiten wir Ihre personenbezogenen Daten, sofern dies zur Erfüllung gesetzlicher Pflichten erforderlich ist. Wenn Sie familienversichert sind, werden gegebenenfalls auch Daten des Hauptversicherten (Name, Vornamen, Geburtsdatum, Adresse, Telefonnummer, E-Mail-Adresse) verarbeitet, soweit dies für die Abwicklung des Behandlungsvertrages erforderlich ist. Die Erhebung Ihrer Daten ist Voraussetzung für Ihre Behandlung. Werden die notwendigen Informationen nicht bereitgestellt, kann eine sorgfältige Behandlung nicht erfolgen.

IV. Speicherung der Daten

Wir halten uns an den Grundsatz der Datensparsamkeit. Ihre personenbezogenen Daten werden von uns daher grundsätzlich nur so lange gespeichert, wie es für die Erreichung des Zwecks, für die sie verarbeitet werden, erforderlich ist. Zu einer längeren Speicherung kann es kommen, sofern dies zur Erfüllung einer rechtlichen Verpflichtung nach dem Recht der Union oder eines EU-Mitgliedstaates erforderlich ist (z.B. zur Einhaltung etwaiger steuer- oder handelsrechtlicher Aufbewahrungspflichten) oder sofern dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Aufgrund rechtlicher Vorgaben sind wir dazu verpflichtet, Ihre Daten in der Regel für 10 Jahre nach Abschluss der Behandlung aufzubewahren (vgl. §630f III BGB). Längere Aufbewahrungspflichten ergeben sich für Aufzeichnungen über eine Strahlen- oder Röntgenbehandlung gem. § 72 I Nr. 2 lit. b i.V.m. § 85 II Nr. 1 StrlSchG.

Im Anschluss werden Ihre personenbezogenen Daten gelöscht.

V. Übertragung Ihrer Daten

Im Rahmen unserer Geschäftstätigkeit arbeiten wir mit verschiedenen externen Stellen zusammen. Dabei ist teilweise auch eine Übermittlung von personenbezogenen Daten an diese externen Stellen erforderlich. Wir geben personenbezogene Daten nur dann an externe Stellen weiter, wenn dies im Rahmen einer Vertragserfüllung erforderlich ist, wenn wir gesetzlich hierzu verpflichtet sind (z.B. Weitergabe von Daten an Steuerbehörden), wenn wir ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO an der Weitergabe haben oder wenn eine sonstige Rechtsgrundlage die Datenweitergabe erlaubt. Beim Einsatz von Auftragsverarbeitern geben wir personenbezogene Daten unserer Kunden nur auf Grundlage eines gültigen Vertrags über Auftragsverarbeitung weiter. Im Falle einer gemeinsamen Verarbeitung wird ein Vertrag über gemeinsame Verarbeitung geschlossen.

VI. Zusammenarbeit mit der Nelly Solutions GmbH

Außerdem werden die von Ihnen im Rahmen der Patientenaufnahme angegebenen Daten an die Nelly Solutions GmbH („Nelly“) übermittelt, sofern Sie Ihre ausdrückliche Einwilligung dahingehend erteilt haben. Nelly wird von uns als Servicedienstleister für digitale Signaturen und Datenmanagement- und Archivierungssysteme, sowie zur Abrechnung von Selbstzahlerleistungen und im Rahmen der Abrechnung bei Bestehen einer privaten Krankenversicherung genutzt. Bei aufkommenden Fragen diesbezüglich wenden Sie sich gerne an unsere Praxismitarbeiter. Wir haben mit Nelly einen Vertrag über die Auftragsdatenverarbeitung nach Art. 28 DSGVO abgeschlossen unter dem Nelly nur nach unserer Weisung Daten verarbeitet. Nelly setzt zur Erfüllung der von uns beauftragten Verarbeitungsvorgänge wiederum Unterauftragsverarbeiter ein. Bei Fragen hierzu, können Sie sich jederzeit an info@nelly-solutions.com wenden. Weitere Informationen zu der Datenverarbeitung von Nelly finden Sie unter https://www.nelly-solutions.de/datenschutzerklaerung Unsere Auftragsverarbeiter haben wir durch den datenschutzrechtlich erforderlichen Vertrag an uns gebunden, welcher insbesondere sicherstellt, dass der Auftragsverarbeiter die Vertraulichkeit wahrt, strikt weisungsgebunden handelt und angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten ergriffen hat.

VII. Personenbezogene Daten, die Sie selbst zur Verfügung stellen

Ferner kann es zu einer Verarbeitung personenbezogener Daten kommen, wenn Sie diese selbst zur Verfügung stellen, z.B. wenn Sie eine E-Mail schicken. Wir verarbeiten diese personenbezogenen Daten, um Ihre Anfrage zu beantworten und abzuwickeln. Rechtsgrundlage für die Verarbeitung der Daten, die uns im Zuge einer Kontaktanfrage übersendet werden, ist Art. 6 Abs.1 lit. f DSGVO (unsere berechtigten Interessen als Verantwortlicher). Zielt Ihre Kontaktanfrage auf den Abschluss eines Vertrages ab, so ist zusätzliche Rechtsgrundlage für die Verarbeitung Art. 6 Abs. 1 lit. b DSGVO (Erfüllung eines Vertrages). Die uns zur Verfügung gestellten Daten werden gelöscht, sobald sie für die Erreichung des Zwecks nicht mehr erforderlich sind. Bei Kontaktanfragen ist dies grundsätzlich dann der Fall, wenn der Sachverhalt abschließend geklärt und die jeweilige Konversation damit beendet ist.

VIII. E-Mail-Kommunikation (organisatorische Zwecke):

Wenn Sie uns Ihre E-Mail-Adresse mitteilen, speichern wir diese zur Kontaktaufnahme in organisatorischen Angelegenheiten (z. B. Terminbestätigung, Terminverschiebung, Rückfragen zu Unterlagen). Treten Sie bzgl. Fragen jeglicher Art per E-Mail oder Kontaktformular mit uns in Kontakt, erteilen Sie uns zum Zwecke der Kontaktaufnahme Ihre freiwillige Einwilligung. Hierfür müssen Sie persönliche Daten eingeben, damit wir Ihre Anfrage mit Ihrer Patientenakte in Verbindung bringen können. Daten außerhalb Ihrer Patientenakte werden alle 3 Monaten gelöscht. Es werden keine medizinischen oder gesundheitsbezogenen Inhalte per E-Mail übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Kommunikation) bzw. bei freiwilliger Mitteilung Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie können der Nutzung Ihrer E-Mail-Adresse jederzeit widersprechen oder Ihre Einwilligung widerrufen.

IX. Ihre Rechte

Je nach Gegebenheit des konkreten Einzelfalles folgende Rechte nach der DSGVO:

• Recht auf Auskunft:Unter den Voraussetzungen von Ar. 15SGVO haben Sie ein Recht auf Auskunft. Sie können Zugang zu Ihren personenbezogenen Daten und/oder Kopien dieser Daten verlangen. Dies schließt Auskünfte über den Zweck der Nutzung, die Kategorie der genutzten Daten, deren Empfänger und Zugriffsberechtigte sowie, falls möglich, die geplante Dauer der Datenspeicherung oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer, ein. Ein Auskunftsrecht besteht nicht im Hinblick auf Daten, welche lediglich aufgrund gesetzlicher oder satzungsmäßiger Aufbewahrungsvorschriften nicht gelöscht werden dürfen oder die ausschließlich den Zwecken der Datensicherung oder Datenschutzkontrolle dienen.
• Recht auf Berichtigung: Als betroffene Person haben Sie unter den Voraussetzungen von Art.16SGVO ein Recht auf Berichtigung. Dies bedeutet insbesondere, dass Sie ein Recht darauf haben, von uns die Berichtigung Sie betreffender unrichtiger personenbezogener Daten sowie die Vervollständigung unvollständiger personenbezogener Daten zu verlangen.
• Recht auf Löschung: Unter den Voraussetzungen des Art.17SGVO können Sie ein Recht auf Löschung geltend machen. Das bedeutet, dass Sie grundsätzlich das Recht haben, dass die Sie betreffenden personenbezogenen Daten unverzüglich von uns gelöscht werden, sofern einer der in Art.17 ISGVO aufgeführten Gründe zutrifft. Das Recht auf Löschung gilt jedoch ausnahmsweise dann nicht, wenn die Verarbeitung der personenbezogenen Daten aus den in Art.17IIISGVO aufgeführten Gründen erforderlich ist. Das kann zum Beispiel der Fall sein, wenn die Verarbeitung der Daten zur Erfüllung einer rechtlichen Verpflichtung oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.
• Recht auf Einschränkung: Art.18SGVO sieht das Recht auf Einschränkung der Datenverarbeitung vor. Sie haben das Recht von uns die Einschränkung der Verarbeitung zu verlangen, wenn eine der in Art.18ISGVO genannten Voraussetzungen vorliegt. Das kann zum Beispiel der Fall sein, wenn Sie die Richtigkeit der personenbezogenen Daten bestreiten. Eine Einschränkung der Verarbeitung findet dann für die Dauer statt, die es uns ermöglicht, die Korrektheit der personenbezogenen Daten zu prüfen.
• Recht auf Übertragbarkeit der Daten: Als betroffene Person haben Sie unter den Voraussetzungen des Art.20DSGVO ein Recht auf Datenübertragbarkeit. Sofern Art.20SGVO einschlägig ist, haben Sie das Recht, die Sie betreffenden personenbezogenen Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu verlangen und diese Daten einem anderen Verantwortlichen ohne Behinderung durch uns zu übermitteln. Sie haben gegebenenfalls auch das Recht zu verlangen, dass wir die personenbezogenen Daten direkt einem anderen Verantwortlichen übermitteln, soweit dies technisch machbar ist.
• Recht auf Widerspruch: Unter den Voraussetzungen des Art.21SGVO haben Sie ein Recht auf Widerspruch. Auf das Recht zum Widerspruch werden Sie als betroffene Person explizit von uns hingewiesen. Sie haben das Recht, der Datenverarbeitung zu widersprechen, welche auf berechtigtem Interesse basiert, es sei denn wir können nachweisen, dass zwingende schutzwürdige Gründe, Ihre Interessen, Rechte und Freiheiten überwiegen. Werden personenbezogene Daten verarbeitet, um Direktwerbung zu betreiben, so haben Sie das Recht, jederzeit Widerspruch gegen die Verarbeitung Sie betreffender personenbezogener Daten zum Zwecke derartiger Werbung einzulegen.
• Recht auf Widerruf von Einwilligungen:Basiert die Verarbeitung der personenbezogenen Daten auf einer Einwilligung, haben Sie das Recht nach Art.7IIISGVO Ihre Einwilligung jederzeit zu widerrufen. Durch den Widerruf der Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt.
• Recht zur Beschwerde bei einer Aufsichtsbehörde:Sie können sich bei einer zuständigen Aufsichtsbehörde beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung der Sie betreffenden personenbezogenen Daten gegen die DSGVO verstößt. Sie können dieses Recht bei der Aufsichtsbehörde in dem Mitgliedstaat ihres gewöhnlichen Aufenthaltsortes, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes geltend machen. Die für uns zuständige Aufsichtsbehörde ist:
  Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
  Postfach 1349, 91504 Ansbach
  Tel: 0981 / 180099-0
  Fax: 0981 / 180093-800
  E-Mail: poststelle@lda.bayern.de
  
• Bitte wenden Sie sich zur Ausübung Ihrer Rechte an: service@pgrn.de oder an info@lieb-datenschutz.de

X. Sicherheit der Verarbeitung

Wir setzen angemessene technische und organisatorische Sicherheitsmaßnahmen ein, um anfallende oder erhobene personenbezogene Daten zu schützen, insb. gegen zufällige oder vorsätzliche Manipulation, Verlust, Zerstörung oder gegen den Angriff unberechtigter Personen. Unsere Sicherheitsmaßnahmen werden entsprechend der technologischen Entwicklung fortlaufend verbessert. Bei der Nutzung unserer Website werden Ihre personenbezogenen Daten per SSL/TLS-Technik verschlüsselt, um Zugriffe unberechtigter Dritter zu verhindern. Bitte beachten Sie, dass die Datenübertragung im Internet (z.B. bei der Kommunikation per E-Mail) Sicherheitslücken aufweisen kann. Ein lückenloser Schutz der Daten vor dem Zugriff durch Dritte ist leider nicht möglich.

XI. Webserver-Protokolle

Wenn Sie unsere Website besuchen, erfasst unser Webserver technisch zwingend Ihre IP-Adresse, das Datum und die Uhrzeit, zu denen Sie auf der Website sind, die von Ihnen auf der Website besuchten Seiten, die Internetseite, auf der Sie zuvor waren, den von Ihnen verwendeten Browser (z.B. Mozilla Firefox, Google Chrome etc.), das von Ihnen verwendete Betriebssystem (z.B. Windows 10) sowie den Domainnamen und die Adresse Ihres Internet-Providers (z.B. Deutsche Telekom). Diese Angaben werden für die Durchführung und Erleichterung der Übertragung der angeforderten Websites verwendet. Die vom Webserver erfassten Informationen können im Falle eines Systemmissbrauchs in Zusammenarbeit mit Ihrem Internet-Provider und/oder Behörden vor Ort verarbeitet werden, um den Urheber dieses Missbrauchs zu ermitteln. Rechtsgrundlage für diese Verarbeitungen sind unsere berechtigten Interessen (Art.6 Abs. 1 lit. f DSGVO) an der Sicherstellung der Datenübertragung und der Integrität der Website und unserer Systeme. Wir gehen davon aus, dass die Interessen unserer Nutzer gleichgelagert sind, da nur so ein Aufruf der Website und die Sicherstellung der Funktionalitäten möglich ist. Die genannten Daten werden gelöscht, sobald sie für den Zweck ihrer Erhebung nicht mehr erforderlich sind. Im Falle der Erfassung der Daten zum Aufruf der Website ist dies dann der Fall, wenn die jeweilige Sitzung beendet ist.

Verwendung von Google Maps, Deutsche Bahn, Verkehrsverbund

Diese Webseite verwendet Google Maps API, um geographische Informationen visuell darzustellen. Bei der Nutzung von Google Maps werden von Google auch Daten über die Nutzung der Kartenfunktionen durch Besucher erhoben, verarbeitet und genutzt. Nähere Informationen über die Datenverarbeitung durch Google können Sie den Google-Datenschutzhinweisen entnehmen. Dort können Sie im Datenschutzcenter auch Ihre persönlichen Datenschutz-Einstellungen verändern.

XII. Cookies

Cookies sind kleine Dateien, die es ermöglichen, auf dem Zugriffsgerät der Nutzer (PC, Smartphone o.ä.) spezifische, auf das Gerät bezogene Informationen zu speichern. Diese Informationen (Server-Logfiles) beinhalten etwa die Art des Webbrowsers, das verwendete Betriebssystem, den Domainnamen Ihres Internet-Service-Providers und ähnliches. Hierbei handelt es sich ausschließlich um Informationen, welche keine Rückschlüsse auf Ihre Person zulassen Beim Besuch unserer Website werden sog. Session-Cookies von unserem Server auf Ihr Computersystem überspielt. „Session-Cookies“ zeichnen sich dadurch aus, dass diese automatisch nach Ende der Browser-Sitzung wieder von Ihrer Festplatte gelöscht werden. Andere Cookies verbleiben auf Ihrem Computersystem und ermöglichen es uns, Ihr Computersystem bei Ihrem nächsten Besuch wieder zu erkennen (sog. dauerhafte Cookies). Ein dauerhaftes Cookie bleibt auf Ihrem Computer, bis es gelöscht wird. Sie können dauerhaft installierte Cookies über die Einstellungen Ihres Browsers löschen. Die meisten Browser akzeptieren Cookies automatisch – falls Sie also den Einsatz von Cookies unterdrücken möchten, müssen Sie möglicherweise Cookies aktiv löschen oder blockieren oder die Speicherung der Cookies durch eine Einstellung Ihrer Browser-Software verhindern. Beachten Sie jedoch, dass diese Informationen technisch notwendig sind, um die von Ihnen angeforderte Inhalte der Webseiten korrekt auszuliefern und fallen bei Nutzung des Internets zwingend an. Sie werden insbesondere zu folgenden Zwecken verarbeitet: Sicherstellung eines problemlosen Verbindungsaufbaus der Website, Sicherstellung einer reibungslosen Nutzung unserer Website, Auswertung der Systemsicherheit und -stabilität sowie zu weiteren administrativen Zwecken. Die Verarbeitung Ihrer personenbezogenen Daten basiert auf unserem berechtigten Interesse aus den vorgenannten Zwecken zur Datenerhebung. Wir verwenden Ihre Daten nicht, um Rückschlüsse auf Ihre Person zu ziehen. Empfänger der Daten sind nur die verantwortliche Stelle und ggf. Auftragsverarbeiter. Anonyme Informationen dieser Art werden von uns ggfs. statistisch ausgewertet, um unseren Internetauftritt und die dahinterstehende Technik zu optimieren. Beachten Sie jedoch, dass Sie, wenn Sie die Verwendung von Cookies ablehnen, unsere Website zwar weiter besuchen können, einige Funktionen jedoch in ihrer Arbeitsweise beeinträchtigt sein könnten.

XIII. Ergänzender Datenschutzhinweis der Praxis zur Nutzung der elektronischen Patientenakte (ePA)

Wichtig – Ihre Wahlrechte (Opt-out) auf einen Blick:

• ePA ist freiwillig. Sie können die Nutzung jederzeit widersprechen (Opt-out) oder erteilte Zugriffsrechte widerrufen, ohne Nachteile für Ihre Behandlung in unserer Praxis.
• Feingranular steuern: Sie entscheiden wer welche Dokumente wann sieht; Sie können Dokumente verbergen oder löschen.
• Sensible Inhalte: Für besonders sensible Informationen (z.B. sexuell übertragbare Infektionen, Schwangerschaftsabbruch, genetische Befunde) empfehlen wir eine bewusste Einzelfallentscheidung.
• Kurz gesagt: Ohne Ihr Zutun stellen wir keine genetischen Befunde in Ihre ePA ein. Nur nach Ihrer Einwilligung erfolgt ein Upload.

1. Verantwortlichkeiten und Rollen

Wer ist Verantwortlicher für die ePA?

Für die Verarbeitung personenbezogener Daten innerhalb der ePA ist die Krankenkasse des Versicherten Verantwortliche (Art. 4 Nr. 7 DSGVO i.V.m. §§ 341 Abs. 4, 307 Abs. 4 SGB V). Die Krankenkasse stellt die ePA bereit („Anwendung der Telematikinfrastruktur“). Sie hat keinen Zugriff auf die Inhalte der ePA, ist gleichwohl datenschutzrechtlich verantwortlich für die Anwendung.

Wann ist die Praxis Verantwortliche?

Für die Übermittlung (Upload) von Dokumenten aus unserem Praxisverwaltungssystem (PVS) in die ePA sowie für den Abruf/ Download aus der ePA in unser PVS sind wir, Praxisgemeinschaft Rheumatologie Nephrologie, vertreten durch Dr. med. Michael Broll, Prof. Dr. med. Stefan Kleinert, Dr. med. Alina Ramming, Dr. med. Petra Reis, Dr. med. Praxedis Rapp, Dr. med. Monika Ronneberger, Dr. med. Florian Schuch, Dr. med. Jörg Wendler, Dr. med. Christian Wulff, Möhrendorfer Straße 1 C, 91056 Erlangen, Telefon: +49 (0) 9131 89 000, Telefax: +49 (0) 9131 89 0050, E-Mail: service@pgrn.de, Verantwortliche (Art. 4 Nr. 7 DSGVO; Art. 6, 9 DSGVO; § 22 Abs. 1 Nr. 1 lit. b BDSG). Die von uns in der Praxis geführte Patientenakte bleibt hiervon unberührt.

Kontaktdaten

Praxis:

Siehe II. Informationen über den Verantwortlichen der Datenverarbeitung

Datenschutzbeauftragter:

Siehe II. Informationen über den Verantwortlichen der Datenverarbeitung

2. Zweck, Datenkategorien & Quellen

Zwecke der Verarbeitung:

• Behandlung, Diagnostik, Dokumentation und Versorgung (einschließlich TI-gestützter Anwendungen, z. B. Medikationsplan, Notfalldatensatz)
• Übermittlung ausgewählter Arztbriefe/Befunde in die ePA auf Wunsch der Patientin/des Patienten
• Abruf von ePA-Inhalten zur Behandlung im Behandlungskontext

Datenkategorien:

Stammdaten (z. B. Name, KV-Nummer), medizinische Dokumente (Arztbriefe, Befunde, Diagnosen, Verordnungen), Metadaten (Zeitpunkt, Praxis-ID) sowie Protokolldaten über Zugriffe.

Genetische Daten sind besonders schützenswerte Gesundheitsdaten.

Herkunft der Daten:

• Aus unserer Praxisdokumentation
• Aus der ePA (von Patienten oder anderen Leistungserbringern bereitgestellt)

3. Rechtsgrundlagen

Abruf/ Upload durch die Praxis: Art. 9 Abs. 2 lit. h DSGVO (Gesundheitsversorgung) i.V.m. § 22 Abs. 1 Nr. 1 lit. b BDSG; §§ 341 ff. SGB V.

Führen/ Anbieten der ePA: Verantwortlichkeit der Krankenkasse nach §§ 341, 342, 343, 307 Abs. 4 SGB V (Opt-out-Regelung „ePA für alle“).

Einwilligungen: Soweit Sie uns ausdrücklich um Upload bestimmter Dokumente bitten oder granulare Zugriffe freischalten, ist Rechtsgrundlage Ihre Einwilligung (Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO), die Sie jederzeit mit Wirkung für die Zukunft widerrufen können.

4. Zugriff und Behandlungskontext

Ein Zugriff der Praxis auf Ihre ePA ist nur im Behandlungskontext möglich (Authentisierung mittels eGK). Standardmäßig besteht nach Authentisierung ein zeitlich begrenztes Zugriffsfenster; dieses kann durch Sie in der ePA-App angepasst werden. Alle Zugriffe werden protokolliert und sind für Sie einsehbar.

5. Pflichtinformationen gem. Art. 13/ 14 DSGVO (Auszug)

Empfänger/ Kategorien von Empfängern: Andere an Ihrer Versorgung beteiligte Leistungserbringer, sofern Sie Zugriffe erlauben; von Ihnen bestimmte Vertreter; ePA-Dienst der Krankenkasse (als Anwendung).

Übermittlungen in Drittländer: Nicht vorgesehen.

Speicherdauer: In der ePA bestimmen Sie die Löschungen (Dokumente können von Ihnen gelöscht werden). In unserem PVS gelten die gesetzlichen Aufbewahrungsfristen für Behandlungsdokumentation (regelmäßig 10 Jahre ab Abschluss der Behandlung, soweit spezialgesetzlich nichts anderes gilt). Protokolldaten unterliegen den gesetzlichen Vorgaben.

Ihre Rechte: siehe IX. Ihre Rechte

Erforderlichkeit/ Bereitstellung: Die Nutzung der ePA ist freiwillig; medizinisch notwendige Behandlung ist auch ohne ePA möglich.

6. Opt-out / Information zur „ePA für alle“

Sie können jederzeit widersprechen, Zugriffsrechte feingranular steuern und Einwilligungen widerrufen. In der ePA-App können Sie Dokumente verbergen oder löschen. Für Rückfragen unterstützt Sie Ihre Krankenkasse.

Praktische Wege für Ihren Widerspruch/ Widerruf:

• In unserer Praxis: Sagen Sie es uns, wir dokumentieren Ihren Wunsch und unterlassen Uploads.
• In Ihrer ePA-App: Entziehen oder begrenzen Sie Zugriffsrechte, verbergen/ löschen Sie Dokumente.
• Gegenüber der Krankenkasse: Sie können die ePA insgesamt deaktivieren.

7. Besonderheiten bei genetischen Daten und der ePA

Genetische Untersuchungen und Befunde unterliegen dem Gendiagnostikgesetz (GenDG), DSGVO & BDSG.

• ePA-Upload nur auf ausdrückliche Zustimmung je Befund; Standard in unserer Praxis: kein Upload ohne Ihre aktive Entscheidung.

• Kinder/ Jugendliche: Bei Patienten < 15 Jahren kann die Praxis aus therapeutischen Gründen oder bei Gefährdung des Kindeswohls von einer Befüllung der ePA absehen; die Entscheidung wird in der Behandlungsdokumentation vermerkt.

8. Sicherheit der Verarbeitung

Zugriffe erfolgen ausschließlich über die Telematikinfrastruktur (TI) mit starker Authentisierung. Innerhalb der Praxis werden organisatorische und technische Maßnahmen nach Art. 32 DSGVO umgesetzt (Zugriffskonzepte, Rollenrechte, Protokollierung, Verschlüsselung, Backup- und Löschkonzepte).

XIV. Stand und Änderung dieser Datenschutzinformation

Diese Datenschutzinformation hat den Stand 11/2025. Aufgrund gesetzlicher Änderungen, technischer Weiterentwicklungen oder geänderter behördlicher Vorgaben oder bei Einführung neuer Services kann eine Anpassung der Datenschutzinformation erforderlich sein. Wir behalten uns diese ausdrücklich vor.