DSGVO-Audit für Arztpraxen

Haben Sie einen schriftlichen Datenschutzbeauftragten (DSB) bestellt oder einen externen DSB beauftragt? Hohe Bussgeldfrist

Führen Sie ein Verzeichnis der Verarbeitungstaetigkeiten (VVT) gemäß Art. 30 DSGVO? Pflicht ab 1 MA

Wurden alle Mitarbeiter nachweislich auf den Datenschutz verpflichtet (schriftliche Verpflichtungserklaerung)? Haftungsrisiko

Liegt eine aktuelle Datenschutzerklärung auf Ihrer Website vor, die Arztpraxis-spezifische Verarbeitungen (Terminbuchung, Kontaktformular) erwaehnt? Website-Pflicht

Haben Sie Datenpannen-Meldeprozesse definiert? (Wer meldet an wen innerhalb von 72 Stunden an die Behoerde?) 72h-Frist

Haben Sie mit Ihrem PVS-Anbieter (Praxisverwaltungssystem, z.B. Medistar, Albis, x.comfort) einen gueltigen AVV abgeschlossen? Pflicht!

Besteht ein AVV mit dem IT-Dienstleister, der Zugang zu Patientendaten hat (Fernwartung, Server-Betreuung)? Haftungsfalle

Haben Sie AVVs mit allen Cloud-Diensten und Softwareanbietern geschlossen, die Patientendaten verarbeiten (E-Mail-Dienst, Online-Terminbuchung, Abrechnungssoftware)? Cloud-Pflicht

Sind alle Auftragsverarbeiter auf der EU-DSGVO-Whitelist (Verarbeitung ausschliesslich im EU/EWR-Raum oder mit Standardvertragsklauseln)? US-Cloud verboten

Ist Ihr TI-Konnektor auf dem aktuellen Firmware-Stand und werden Sicherheitsupdates zeitnah eingespielt? gSMC-K Ablauf!

Sind PVS-Arbeitsplätze und Empfang vom Internet getrennt (Netzwerksegmentierung / separate VLANs oder Firewall-Regeln)? KBV-Anforderung

Nutzen Sie KIM (Kommunikation im Medizinwesen) für den sicheren E-Mail-Austausch (keine unverschlüsselten E-Mails mit Patientendaten)? TI-Pflicht

Werden Datensicherungen (Backups) regelmäßig erstellt, verschlüsselt gespeichert und auf Wiederherstellbarkeit getestet? Praxis-Lebensader

Sind alle Endgeräte (PCs, Laptops, Tablets) mit aktuellen Betriebssystemen, Antivirensoftware und Festplattenverschlüsselung ausgestattet? Geräteschutz

Haben Sie einen Prozess für Auskunftsersuchen von Patienten (Art. 15 DSGVO)? Können Sie innerhalb von 30 Tagen alle gespeicherten Daten einer Person herausgeben? 30-Tage-Frist

Werden Patienten beim ersten Besuch über die Datenverarbeitung informiert (Informationsblatt gem. Art. 13 DSGVO am Empfang ausgelegt oder ausgehaendigt)? Informationspflicht

Gibt es klare Loeschfristen für Patientendaten, die nicht mehr benötigt werden (z.B. nach 10 Jahren gemäß Musterberufsordnung)? Datenminimierung

Werden Einwilligungen für besondere Zwecke (Foto auf Website, Patientenbefragungen, Marketing-E-Mails) schriftlich eingeholt und dokumentiert? Einwilligung

Werden Patientenakten und Rezepte sicher aufbewahrt (verschlossene Schraenke, kein freier Zugang für unbefugte Dritte, kein Einsehen durch Wartebereich)? Schweigepflicht

Haben alle Mitarbeiter individuelle Benutzerkonten im PVS und PC (kein gemeinsames Passwort)? Protokollierbarkeit

Werden Dokumente mit Patientendaten datenschutzkonform vernichtet (Shredder Sicherheitsstufe P-4 oder zertifizierter Entsorger)? Vernichtungspflicht

Gibt es Bildschirmsperren auf allen Arbeitsplätzen (automatische Sperrung nach Inaktivität), sodass Patienten im Wartezimmer keine Daten einsehen können? Sichtschutz

Wurde in den letzten 12 Monaten eine Datenschutz-Schulung für alle Mitarbeiter durchgefuehrt und dokumentiert? Jährlich empfohlen