Gesundheitswahn

[Hans H.]

Die DSGVO ist ein bürokratisches Monster.

Auch durch immer wiederkehrende Wiederholung gewinnt diese Aussage nicht an Wahrheitsgehalt. Das schreiben nur Leute, die Sinn und Zweck der Persönlichkeitsrechte nicht verstanden haben oder nicht akzeptieren wollen.

Jeder Patient/Mandant/Kunde muss darauf hingewiesen werden, dass Personalien im PC gespeichert werden.

Das war auch vorher vorgeschrieben und gilt nach wie vor nur dann, wenn es der Betroffene nicht bereits weiß.
Der Unterschied ist, dass die Information jetzt nach festgelegten Punkten (auch Speicherdauer und ggf. geplante Daten-Übermittlungen) klar strukturiert aufgebaut (dadurch oft umfangreicher, als bisher) und leicht verständlich sein muss. Und sie darf nicht in andere Themen wie Geschäftsbedingungen hinein versteckt werden. Und das gilt auch für Foren wie dieses hier!

Bei Ärzten gibt es dafür eigene Formulare.

Die gibt es für alle Unternehmen, die nur Kunden- und Mitarbeiterdaten speichern und eine eigene Webseite haben. Der einmalige Anpassungsaufwand für die eigene Firma beträgt i.d.R weniger als eine Stunde.

Die Website muss Datenschutzhinweise enthalten, die sowieso niemand durchliest,

Die waren vorher schon gesetzlich gefordert, werden aber jetzt eher gelesen, wenn die Vorschriften eingehalten werden: In einfacher Sprache, so kurz wie möglich formuliert, leicht auffindbar und nicht vermischt mit anderen Informationen. Damit wir es für die Webseitenbenutzer viel leichter zu verstehen, was mit den Daten gemacht wird - wie gesagt, wenn diese Vorschrift verstanden und eingehalten wird.

aber Abmahnanwälten zu Reichtum verhelfen.

Wie schon in anderen Threads geschrieben: Das geht nicht auf Basis der DS-GVO. Die können nach wie vor nur bei Verstößen gegen das UWG tätig werden und bei Mängeln im Impressum, bzw. wenn es fehlt (und das gilt auch für Foren wie dieses).

In der Regel muss ein Datenschutzbeauftragter bestellt werden.

Erst wenn mehr als 9 Personen Zugriff auf die personenbezogenen Daten haben, aber nicht nach der DS-GVO (da ab 200), sondern nur in Deutschland nach unserem nationalen Gesetz. Für umfassende Verarbeitungen mit besonders sensiblen Daten gilt die Personengrenze nicht. So musste theoretisch nach dem alten Gesetz jede Artztpraxis einen DSB bestellen, was aber nicht kontrolliert wurde, da nicht praktikabel. Jetzt ist klargestellt, dass der Umgang einer normalen Arztpraxis mit Patientendaten nicht dieser Bedingung der umfassenden Verarbeitung entspricht und damit die Regel ab 10 Personen auch für Arztpraxen gibt. Es besteht also endlich klare Rechtssicherheit für durchschnittliche Arztpraxen und es ist eine Erleichterung gegenüber dem vorherigen Recht.

Es müssen Aufzeichnungen erstellt werden, denen sich entnehmen lässt, dass die Auflagen beachtet ...

Der Kernpunkt ist das "Verzeichnis der Verarbeitungstätigkeiten" und auch das war bereits seit >25 Jahren vorgeschrieben! Erleichterung gegenüber vorher: Firmen, die nur Kunden- und Mitarbeiterdaten verarbeiten brauchen das jetzt erst ab einer Größe von 200 Mitarbeitern. Für med. Daten braucht es wie bereits vorher jeder Betrieb, inkl. Arzt. Aber auch dafür gibt es sehr gute Vorlagen, die mit sehr wenig Aufwand an die eigenen Gegebenheiten anzupassen sind.
Wer dieses Verzeichnis nicht braucht, muss zumindest ein Datenschutzkonzept mit Risikobetrachtung erstellen. Das ist auch mit verfügbaren Vorlagen für alle Unternehmen, die nur Kunden- und Mitarbeiterdaten speichern, kein nennenswerter Aufwand. Eigenartigerweise stolpern nun fast alle über die Forderung, die Speicherdauer festzulegen und rechtlich zu begründen und die Einhaltung der Löschfrist organisatorisch oder technisch sicherzustellen. Da ist nun die Dokumentation der Entsorgung von Gefahrgut oder infektiösem Material seit vielen Jahren selbstverständlich, und hier wird von Bürokratie gesprochen, wenn man die Einhaltung der Persönlichkeitsrechte sicherstellen will, indem man endlich die Löschung nicht mehr benötigter Daten für alle Unternehmen durchsetzen will? ("kopfschüttel"!)

... und die Angestellten unterwiesen werden ...

Das ist schon seit >25 Jahren gefordert (natürlich mit Dokumentation der Themen und Teilnehmer)! Während es für Gefahrstoffschulungen etc. selbstverständlich und jährlich gefordert ist, soll es hier ein Problem sein, wenn in normalen Betrieben ein 5-Jahressabstand reicht und in medizinischen Bereichen 2-3 Jahre? Außerdem darf e-Learning durchgeführt werden im Gegensatz zur Gefahrstoffschulung e.t.c.

Das bricht zwar keinem Arzt oder anderem Selbstständigen das Genick, bringt jedoch garantiert NICHTS und sorgt für erhebliche Risiken und für einen großen Verwaltungsaufwand.

Nein, es bricht niemandem das Genick und der Verwaltungsaufwand lag für Arztpraxen bei einmalig < 1 Tag, für kleine Betriebe mit neu zu fassenden Anweisungen für die Werbung und den Umgang mit Kundendaten (<200 Mann) bei < 3 Arbeitstagen für die Einführung, wenn kein bürokratischer Unsinn betrieben wurde, der nicht aus der Verordnung abzuleiten ist, aber in vielen nicht maßgeblichen Veröffentlichungen (sogar in manchen Weiterbildungen) behauptet wird.

Alles mag gut gemeint seint, läuft jedoch an der Praxis vorbei. Die, die diszipliniert werden sollen, etwa internationale Großkozerne, kratzt das nicht.

Niemand redet über die erheblichen Vereinfachungen im inner-europäischen Datenverkehr, der jetzt in gleicher Art und mit denselben Regeln wie innerhalb eines Landes möglich ist.

An der Praxis vorbei gehen nur manche (keinesfalls alle!) Interpretationen der Datenschutzkonferenz (der deutschen Behörden) und einige Veröffentlichungen der tonangebenden Datenschutzfachleute in D.-land. Wenn man das alles so umsetzt, wie die schreiben, hat man eine Menge zu tun, was niemand in anderen EU-Ländern macht. Aber die haben dieselbe Verordnung und lachen bereits über die deutsche Sicht, wie man manches umsetzen müsste. Deshalb gibt es da schon Widersprüche seitens der Unternehmerverbände und des Wirtschaftsministeriums. Z.B. die Datenschutzfolgenabschätzung (DFSA), die nach der DS-GVO mit einem klaren Konzept (z.B. des BSI) aus den bisherigen IT-Risikoanalysen mit Erweiterung um die Sicht der Persönlichkeitsrechte recht einfach gemacht ist, benötigt nach deutscher Sicht ein Team mit einem verantwortlichen Teamleiter, eine umfassende Anweisung, was die genau zu tun haben, und dann eine Vielzahl an Projektsitzungen. Das ist aber eine extreme Übererfüllung.

Und: im Gegensatz zu vielen Internetkommentaren braucht die normale Arztpraxis keine DFSA, die normalen Firmen auch nicht, wenn sie keine Massen-Datensammlung und kein Scoring betreiben. Ausnahme: Videoüberwachung in öffentlich zugänglichen Räumen - und da mussten die Begründung und Rechtsgrundlage der Erlaubnis und die Sicherheitsmaßnahmen zur Einhaltung der Persönlichkeitsrechte auch vorher ebenso gut dokumentiert werden.

Und: die Großkonzerne kratzt es sehr wohl, denn die haben wegen der Vielfalt an total verschiedenen Datenverarbeitungen einen vielfach höheren Dokumentations- und internen Regelungsaufwand (bei Unternehmen wie der Telekom oder Allianz haben die internen verbindlichen Datenschutzrichtlinien deutlich über 100 Seiten!) und diese Unternehmen werden bereits jetzt intensiv kontrolliert. Im Vergleich: für ein Unternehmen mit mehreren tausend Mitarbeitern, über 60 verschiedenen Datenverarbeitungen an knapp 30 Standorten lag der Zusatzaufwand bei etwa 35 Arbeitstagen, also kein Vergleich mit Arztpraxen und kleinen Firmen. Eine ganze Reihe an Bußgelden bis zu 6-stelliger Höhe auf Basis der DS-GVO gab es auch bereits. Betroffen waren nur Großunternehmen und eine große Klinik in Portugal. (Letztere legt Revision ein - mit einem Teil der Punkte dürfte sie dabei Recht haben - mal abwarten, bin gespannt).

[Aria]

Die DSGVO ist ein bürokratisches Monster.

Nein, DSGVO ist notwendig geworden, um den Erfordernissen der digitalen Welt auf Augenhöhe zu begegnen.

Jeder Patient/Mandant/Kunde muss darauf hingewiesen werden, dass Personalien im PC gespeichert werden.

Das ist auch richtig so.

Die Website muss Datenschutzhinweise ennthalten, die sowieso niemand durchliest, aber Abmahnanwälten zu Reichtum verhelfen.

Blödsinn – auch ein Abmahnanwalt muss mindestens einen Geschädigten vorweisen, was bei korrekter Anwendung des DSGVO in einem Unternehmen schlicht nicht möglich ist.

In der Regel muss ein Datenschutzbeauftragter bestellt werden.

Nein, es muss lediglich ein Datenschutzbeauftragter genannt werden.

Es müssen Aufzeichnungen erstellt werden, denen sich entnehmen lässt, dass die Auflagen beachtet und die Angestellten unterwiesen werden ...

Ja, das ist wichtig, muss aber nur einmal geschehen – wo ist das Problem?

Das bricht zwar keinem Arzt oder anderem Selbstständigen das Genick, bringt jedoch garantiert NICHTS und sorgt für erhebliche Risiken und für einen großen Verwaltungsaufwand.

Das bringt schon was und der Verwaltungsaufwand entsteht, wie bei allen Neuerung, nur am Anfang, im laufenden Betrieb ist er minimal.

Die, die diszipliniert werden sollen, etwa internationale Großkozerne, kratzt das nicht.

Das ist eine Behauptung, die mit nichts belegt ist. Das Gegenteil: DSVGO hat z.B. dazu geführt, dass Facebook seine Datenschutzeinstellungen überarbeiten und den Nutzern mehr Kontrolle hinsichtlich der Datenerfassung und -verarbeitung geben musste. Trotzdem haben inzwischen viele Nutzer Facebook verlassen. Weil ihnen die Sammelwut des Konzerns suspekt wurde. Es waren vor allem junge Leute, die das taten; bei ihnen gilt Facebook mittlerweile als out.

[Tim007]

Auch wenn Du gleich wieder beleidigt bist:
Du hast keine Ahnung.

Glaub's mir: ich bin selbstständig, und es ist genauso, wie ich es geschildert habe: ein bürokratischer Wahnsinn ohne jeden Nutzen. Ich kenne keinen einzigen Fall, in dem die Maßnahmen zu mehr Datensicherheit geführt haben. Keinen einzigen.

Währenddessen rätsele ich weiter über den qualitativen Unterschied zwischen der Bestellung und der Ernennung eines Datenschutzbeauftragten und ob Du, was Mahnanwälte anbelangt, wirklich so naiv bist.

[Hans H.]

Tim, dann hattest Du definitiv die falschen Berater. Ich habe recht große Zahl von Firmen und medizinischen Einrichtungen (auch Arztpraxen) beim Weg auf der Umstellung auf die DS-GVO begleitet und in allen Fällen hat es Verbesserungen in der Sicherheit der Beachtung der Persönlichkeitsrechte gegeben. Ich rede nicht von Datensicherheit. Das ist ein anderes Thema und wird in den Grundsätzen des BSI beschrieben. Wer die beachtet hat, hat mit der DS-GVO nicht die Datensicherheit verbessert. Datenschutz im Hinblick auf die Persönlichkeitsrechte ist etwas anderes. Aber da der Nachweis der Datensicherheit nun auch zu den Pflichten nach der DS-GVO gehört, gibt es eine sehr große Zahl an Unternehmen, bei denen die Verordnung auch da zur Verbesserung geführt hat. Jetzt muss ich gerade unterbrechen und kann gerade nicht auf die weiteren Argumente eingehen. Aber noch einmal: Abmahnungen auf Basis der DS-GVO kann es rein rechtlich nicht geben.

[Tim007]

Das ist leider nicht richtig, Hans.

Mittlerweile gibt es diverse Gerichtsentscheidungen, die Unterlasssungsansprüche von Mitbewerbern gegen Konkurrenten etwa wegen fehlender oder fehlerhafter Datenschutzerklärungen nach der DSGVO als gegeben angesehen haben.

Als m.W. erstes Gericht hat das Landgericht Würzburg eine Abmahnbarkeit von DSGVO-Verstößen auf Internetseiten festgestellt (LG Würzburg, Beschluss vom 13.09.2018, Az. 11 O 1741/18 UWG).

Dem folgt mittlerweile auch das OLG Hamburg, wonach DSGVO-Verstöße grundsätzlich abmahnbar sind.

In der Praxis ist der nichtsbringende Verwaltungsaufwand genauso ärgerlich wie die unklare Rechtslage. Nichtsbringend deshalb, weil etwa Ärzte oder Anwälte ohnehin zur Verschwiegenheit verpflichtet sind und ich mir nicht vorstellen kann, dass sich ein Patient oder Mandant oder Kunde diese Belehrungen durchliest oder seine Unterschrift auf den Erklärungen verweigert.

[ostfriesenpaar]

Mittlerweile gibt es diverse Gerichtsentscheidungen, die Unterlasssungsansprüche von Mitbewerbern gegen Konkurrenten etwa wegen fehlender oder fehlerhafter Datenschutzerklärungen nach der DSGVO als gegeben angesehen haben.

So ist es. Es gibt leider solche "Spezialisten", die zwar fachlich und menschlich inkompetent sind, aber alle Mittel ausschöpfen, um sich ihre lästige Konkurrenz vom Hals zu schaffen. Nach dem Motto.
.....Schaut mal ich bin DSGVO - zertifiziert, aber mein Mitbewerber und Konkurrent nicht.

In der Praxis ist der nichtsbringende Verwaltungsaufwand genauso ärgerlich wie die unklare Rechtslage. Nichtsbringend deshalb, weil etwa Ärzte oder Anwälte ohnehin zur Verschwiegenheit verpflichtet sind und ich mir nicht vorstellen kann, dass sich ein Patient oder Mandant oder Kunde diese Belehrungen durchliest oder seine Unterschrift auf den Erklärungen verweigert.

... eben, einfach überflüssig.
.....und wenn wir uns dann damit strafbar machen, dass wir unsere Patienten mit Namen ansprechen, weil weitere Patienten das hören könnten, dann kann doch irgendetwas nicht mehr stimmen in diesem Land.

[hajo]

...ich mir nicht vorstellen kann, dass sich ein ... Mandant ... diese Belehrungen durchliest oder seine Unterschrift auf den Erklärungen verweigert.

Was nicht heißen muss, dass das nicht eintritt.
ICH bin so jemand, der deinen Vorstellungen - wohl mal wieder - nicht entspricht.

[Aria]

Mittlerweile gibt es diverse Gerichtsentscheidungen, die Unterlasssungsansprüche von Mitbewerbern gegen Konkurrenten etwa wegen fehlender oder fehlerhafter Datenschutzerklärungen nach der DSGVO als gegeben angesehen haben.

Als m.W. erstes Gericht hat das Landgericht Würzburg eine Abmahnbarkeit von DSGVO-Verstößen auf Internetseiten festgestellt (LG Würzburg, Beschluss vom 13.09.2018, Az. 11 O 1741/18 UWG).

In diesem Fall war die Datenschutzerklärung nicht DSGVO konform. Und geklagt hat ein Konkurrent, der sich dadurch benachteiligt fühlte. Das sind natürlich zulässige Gründe.

Aber ein typischer Abmahnanwalt, der die Seiten im Netzt durchstöbert, um Fehler in der Datenschutzerklärungen zu finden, hat keine Chance auf Erfolg, wenn er nicht selbst benachteiligt ist – siehe den von dir genannten Gerichtsbeschluss.

[Hans H.]

Das ist leider nicht richtig, Hans.

- schreibst Du, und bringst Beispiele, mit denen Du die Richtigkeit meiner Aussagen nicht widerlegen kannst. Das ist die Typische Art, mit Halbwissen zu diskutieren. Nur besser wäre es, dann die eigenen Meinungen nicht gleich als Fakten darzustellen. Ich brauche das jetzt nicht mehr zu begründen, weil Aria bereits den Unterschied deutlich gemacht hat
- Danke Aria - das spart mir Text.

Ansonsten, lies den Artikel 80, um zu verstehen, unter welchen Bedingungen Organisationen für die Rechte der Betroffenen tätig werden können. Da ist eindeutig, dass es keine Abmahnanwälte sein können ("ohne Gewinnerzielungsabsicht"). Dann Art. 77 über das Recht der Beschwerde bei der Aufsichtsbehörde und Art. 83 zu den Bedingungen zur Verhängung von Geldbußen. Wie jetzt mehrfach geschrieben (auch in anderen Threads) kommt das UWG hinzu, wenn sich ein Unternehmen benachteiligt fühlt, weil ein Konkurrent bei seiner Internetwerbung Aufwand spart, und notwendige Regeln nicht richtig umzusetzt - egal welche. Deshalb sind UWG-Klagen und auch Abmahnungen immer möglich bei rechtlichen Mängeln auf Internetseiten, auf denen Produkte angeboten werden. So kann die Vernachlässigung der Datenschutzinformationen völlig gleichwertig mit der Vernachlässigung des Impressums ein Verstoß gegen das Wettbewerbsrechts sein, so dass Abmahnungen und Klagen auf Basis des UWG möglich werden. Der logische Schluss ist zwar sachlich zu verstehen, aber für Laien in diesem Gebiet nicht mehr so ganz einfach nachvollziehbar. Daraus folgt dann die immer wiederkehrende, aber falsche Behauptung, es gäbe Abmahnungen auf Basis des UWG.

Ansonsten hoffe ich, dass Du auch meinen Beitrag oben vor dem vorletzten von Aria gelesen hast, denn darauf und meine Entgegnungen zu Deinen vorherigen Behauptungen bist Du ja nicht mehr eingegangen.

[Hans H.]

In der Praxis ist der nichtsbringende Verwaltungsaufwand genauso ärgerlich wie die unklare Rechtslage. Nichtsbringend deshalb, weil etwa Ärzte oder Anwälte ohnehin zur Verschwiegenheit verpflichtet sind und ich mir nicht vorstellen kann, dass sich ein Patient oder Mandant oder Kunde diese Belehrungen durchliest oder seine Unterschrift auf den Erklärungen verweigert.

Wie ich zuvor schon schrieb, ist gerade für Ärzte die Rechtslage endlich nicht mehr unklar. Und zu der unsinnigen Behauptung "der nichtsbringende Verwaltungsaufwand" s. meinen Beitrag weiter oben.
- Und von welcher Unterschrift auf Erklärungen sprichst Du?

Eine Unterschrift ist im med. Bereich ausschließlich für Einwilligungen zur Datenspeicherung vorgesehen, die nicht aufgrund einer Rechtsvorschrift und nicht zur Durchführung eines Vertragsverhältnisses erforderlich sind. Die Information zur Datenverarbeitung nach Art.13 ist für letzteres erforderlich und kann beim Arzt z.B. im Wartezimmer ausgehängt werden (gefordert ist, dass sie zur Verfügung steht, mehr nicht). Wer die unterschreiben lässt, hat die Sache nicht verstanden - es gibt gem. DS-GVO keine Einwilligung zur Datenspeicherung beim behandelnden Arzt.

Einwilligen muss aber der Patient z.B. wenn der Arzt die Abrechnungen nicht selbst macht, sondern einer Rechnungsstelle übergibt (weil nicht unbedingt zur Durchführung des Vertragsverhältnisses nötig). Die Information auf dem Text zu dieser Einwilligung hat nichts mit der Information zur Datenverarbeitung nach Art. 13 zu tun und darf gar nicht mit dieser vermischt werden. Die Information über der Einwilligung muss sich genau und nur auf diese beziehen, so dass der Patient versteht, dass die Daten an die Rechnungsstelle weitergegeben werden und er von dieser die Rechnung bekommt. Wenn das korrekt gemacht wird, liest jeder, was er da unterschreibt, weil der Text recht kurz ist und in der Überschrift erkennbar, worum es geht.

Wenn das mal die Praxen und deren Berater verstehen würden, könnten die eine gut strukturierte Dokumentation auch recht einfach halten und würden verstehen, dass der Aufwand gering ist (s. zum tatsächlichen Aufwand in praktischen Fällen meinen Beitrag weiter oben). Was auch endlich mal kapiert werden sollte: Die Information zur Datenverarbeitung nach Art. 13 ist keine Datenschutzerklärung! In letzterer kann man freiwillig erklären, dass und wie man den Datenschutz einhält. Die Pflichtinformationen nach Art. 13 sind andere und dürfen weder mit einer solchen Datenschutzerklärung noch mit Informationen für Einwilligungen vermengt werden.

Das Chaos entsteht durch die unreflektierte Vermengung aller Arten von Informationen, die man irgendwo (oft im Internet) aufgeschnappt hat, übernimmt und mit noch weiteren Informationen erweitert, von denen man gehört hat, dass man sie brauchen könnte - nur immer ohne den Kontext zu beachten, wann man was braucht. Eine klare Strukturierung genau nach den jeweiligen Notwendigkeiten erleichtert die Dokumentation ungemein und lässt den Aufwand auf ein gut überschaubares Maß schrumpfen.