AVV richtig abschließen: Datenschutzpflicht bei jedem Software-Anbieter
Ein Auftragsverarbeitungsvertrag (AVV) klingt nach Bürokratie — ist aber eine der wichtigsten Schutzmaßnahmen für Berliner Arztpraxen. Ohne AVV haften Sie als Praxisinhaber persönlich für Datenschutzverletzungen, die durch externe Dienstleister verursacht werden. Die gute Nachricht: Mit dem richtigen Wissen lässt sich diese Lücke schnell schließen.
Was ist ein AVV und wann ist er Pflicht?
Nach Art. 28 DSGVO ist ein Auftragsverarbeitungsvertrag immer dann erforderlich, wenn ein externer Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet. Für Arztpraxen betrifft das nahezu jeden IT-nahen Dienstleister:
- Praxissoftware-Anbieter: Jeder Anbieter, der cloudbasierte Dienste anbietet oder Remote-Support ermöglicht, braucht einen AVV — also praktisch alle modernen PVS-Anbieter.
- IT-Dienstleister: Wer Fernwartung durchführt oder Systeme mit Patientendaten wartet, verarbeitet Daten in Ihrem Auftrag.
- E-Mail- und Hosting-Anbieter: Auch wenn nur der Anmeldename eines Patienten in einer E-Mail vorkommt, ist ein AVV erforderlich.
- Abrechnungsdienstleister: Externe Abrechnungsstellen verarbeiten hochsensible Patientendaten — hier ist ein AVV besonders kritisch.
- Telefonanlagen mit Anrufprotokollierung: Sobald Rufnummern gespeichert werden, die Rückschlüsse auf Patienten zulassen, gilt die Pflicht.
- Backup- und Cloud-Dienste: Wer Ihre Datensicherung extern speichert, braucht einen AVV.
Wichtig: Die Pflicht gilt auch dann, wenn der Dienstleister noch nie tatsächlich auf Patientendaten zugegriffen hat — die technische Möglichkeit reicht aus.
Was muss ein AVV für Arztpraxen enthalten?
Ein rechtskonformer AVV muss nach Art. 28 Abs. 3 DSGVO mindestens folgende Punkte regeln:
- Gegenstand und Dauer der Verarbeitung
- Art und Zweck der Verarbeitung
- Art der personenbezogenen Daten und Kategorien betroffener Personen
- Pflichten und Rechte des Verantwortlichen (Ihrer Praxis)
- Weisungsbindung des Auftragsverarbeiters
- Regelungen zu Unterauftragsverarbeitern (wichtig bei Cloud-Diensten!)
- Technische und organisatorische Maßnahmen (TOM) des Dienstleisters
- Unterstützungspflichten bei Datenpannen und Betroffenenanfragen
Praxistipp: Viele Software-Anbieter stellen AVV-Muster auf ihrer Website bereit. Prüfen Sie, ob diese alle DSGVO-Anforderungen erfüllen, und lassen Sie im Zweifel einen Datenschutzexperten gegenzeichnen. Achten Sie besonders auf die Regelung zu Unterauftragsverarbeitern: Ein Software-Anbieter, der seinen Betrieb in AWS-Rechenzentren in den USA betreibt, kann für eine Berliner Arztpraxis ein Problem darstellen — medizinische Daten dürfen nicht in US-Clouds.
Haben Sie Fragen zu IT oder Datenschutz in Ihrer Praxis? Nehmen Sie Kontakt auf — wir beraten Berliner Arztpraxen kostenlos und unverbindlich.
