Datenpanne in der Arztpraxis: Meldepflicht, Fristen und erste Schritte
Ein gestohlenes Laptop mit Patientendaten, ein Ransomware-Angriff auf die Praxissoftware, eine versehentlich an den falschen Patienten versendete E-Mail — Datenpannen passieren auch in gut geführten Berliner Arztpraxen. Entscheidend ist dann nicht nur die technische Reaktion, sondern die korrekte rechtliche Handlung innerhalb enger Fristen.
Die 72-Stunden-Frist: Was sie bedeutet und wie sie gilt
Nach Art. 33 DSGVO müssen Verantwortliche — also Sie als Praxisinhaber — eine Verletzung des Schutzes personenbezogener Daten innerhalb von 72 Stunden nach Bekanntwerden bei der zuständigen Datenschutzbehörde melden. In Berlin ist das die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI). Die Meldung erfolgt über das Online-Portal der BlnBDI.
Die 72 Stunden beginnen, sobald Sie — oder einer Ihrer Mitarbeiter — von der Panne erfahren. Wichtig: Es gilt der Zeitpunkt der Kenntnisnahme, nicht der Zeitpunkt der Panne selbst. Eine Meldung ist nur dann nicht erforderlich, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt — das ist bei Patientendaten praktisch nie der Fall.
Zusätzlich zur Behördenmeldung müssen betroffene Patienten nach Art. 34 DSGVO benachrichtigt werden, wenn ein hohes Risiko für ihre Rechte besteht. Das ist bei Gesundheitsdaten fast immer anzunehmen.
Erste Schritte nach einer Datenpanne — die richtigen Maßnahmen
- Sofortmaßnahme: Stoppen Sie den Schaden, soweit möglich. Gestohlenes Laptop remotely sperren oder löschen, kompromittierte Accounts sperren, Ransomware-infizierte Systeme vom Netz trennen.
- Dokumentieren: Notieren Sie sofort, was passiert ist, wann Sie es erfahren haben und welche Daten betroffen sind. Diese Dokumentation ist für die Meldung und mögliche Untersuchungen unbedingt erforderlich.
- Intern melden: Informieren Sie umgehend den Datenschutzbeauftragten Ihrer Praxis — falls vorhanden. Dieser muss über alle Datenpannen informiert sein.
- BlnBDI benachrichtigen: Nutzen Sie das Meldeformular auf der Website der BlnBDI. Sie brauchen: Art der Panne, betroffene Datenkategorien, Anzahl betroffener Personen, wahrscheinliche Folgen, ergriffene Maßnahmen.
- Patienten informieren: Bei hohem Risiko müssen betroffene Patienten direkt kontaktiert werden — klar, verständlich, und ohne unnötige Verzögerung.
- Prävention verbessern: Analysieren Sie nach der akuten Phase, wie die Panne entstanden ist, und schließen Sie die Sicherheitslücke.
Jede Arztpraxis sollte einen schriftlichen Datenpannen-Reaktionsplan haben, der im Ernstfall schnell gefunden und befolgt werden kann. Dieser Plan gehört zu den technischen und organisatorischen Maßnahmen (TOM), die die DSGVO vorschreibt. Wir helfen Berliner Praxen beim Erstellen solcher Pläne.
Haben Sie Fragen zu IT oder Datenschutz in Ihrer Praxis? Nehmen Sie Kontakt auf — wir beraten Berliner Arztpraxen kostenlos und unverbindlich.
