Verzeichnis von Verarbeitungstätigkeiten: Schritt-für-Schritt für Arztpraxen
Das Verzeichnis von Verarbeitungstätigkeiten (VVT) ist eines der wichtigsten Dokumente, die eine Berliner Arztpraxis für die DSGVO-Konformität braucht — und gleichzeitig eines der am häufigsten vernachlässigten. Art. 30 DSGVO schreibt es vor, und Datenschutzbehörden fragen danach als Erstes. Dieser Artikel zeigt, wie ein VVT für Arztpraxen konkret aussieht.
Was ins VVT einer Arztpraxis gehört
Ein VVT muss alle Verarbeitungstätigkeiten dokumentieren, bei denen personenbezogene Daten verarbeitet werden. Für eine typische Berliner Arztpraxis sind das unter anderem:
- Patientenbehandlung: Erhebung und Verarbeitung von Patientenstammdaten, Anamnese, Diagnosen, Therapiepläne, Medikation.
- Terminverwaltung: Patientenname, Kontaktdaten, Termingrund — auch wenn nur am Telefon oder per Online-Buchungssystem erfasst.
- Abrechnung: KV-Abrechnung mit personenbezogenen und leistungsbezogenen Daten, Privatrechnungen, Mahnwesen.
- Kommunikation: E-Mails, KIM-Nachrichten, Arztbriefe, Überweisungen — alle Kommunikationsvorgänge mit personenbezogenem Bezug.
- Personaldaten: Bewerbungen, Arbeitsverträge, Lohnbuchhaltung, Krankmeldungen des Praxispersonals.
- Website und Online-Formulare: Kontaktformulare auf der Praxis-Website, Cookie-Tracking (wenn vorhanden), Newsletterversand.
- Videoüberwachung: Falls in der Praxis Kameras vorhanden sind, müssen diese dokumentiert werden.
Für jeden Verarbeitungsvorgang muss das VVT folgende Informationen enthalten: Bezeichnung und Zweck der Verarbeitung, Rechtsgrundlage, Kategorien betroffener Personen und Datenkategorien, Empfänger (intern und extern), Übermittlungen in Drittländer (sollten keine stattfinden), Aufbewahrungsfristen, technische und organisatorische Maßnahmen.
VVT erstellen: So gehen Sie vor
- Schritt 1 — Bestandsaufnahme: Gehen Sie alle Bereiche Ihrer Praxis durch und listen Sie auf, wo personenbezogene Daten verarbeitet werden. Sprechen Sie mit Mitarbeitern — oft wissen Sie am besten, welche Daten wo fließen.
- Schritt 2 — Kategorisieren: Gruppieren Sie die gefundenen Verarbeitungsvorgänge nach logischen Kategorien (Patientenversorgung, Abrechnung, Personal etc.).
- Schritt 3 — Dokumentieren: Tragen Sie alle erforderlichen Informationen für jeden Verarbeitungsvorgang in eine Tabelle oder ein VVT-Tool ein. Kostenlose Vorlagen bietet die BlnBDI auf ihrer Website.
- Schritt 4 — Rechtsgrundlagen zuordnen: Für jede Verarbeitung muss eine Rechtsgrundlage nach DSGVO Art. 6 (und für Gesundheitsdaten Art. 9) angegeben werden. Bei Patientendaten ist das in der Regel die Erfüllung des Behandlungsvertrags in Verbindung mit spezialgesetzlichen Regelungen.
- Schritt 5 — Regelmäßig aktualisieren: Das VVT ist kein Einmaldokument. Bei jeder neuen Software, jedem neuen Dienstleister oder geänderten Prozessen muss es angepasst werden.
Wir helfen Berliner Arztpraxen beim Erstellen und regelmäßigen Aktualisieren ihres VVT — pragmatisch, rechtssicher und auf die Praxis zugeschnitten.
Haben Sie Fragen zu IT oder Datenschutz in Ihrer Praxis? Nehmen Sie Kontakt auf — wir beraten Berliner Arztpraxen kostenlos und unverbindlich.
