Ab 25. Mai 2018 gilt die Datenschutzgrundverordnung (DSGVO). Rechtsanwalt Burkhard Goßens berichtete GP anlässlich der OTWorld in Leipzig, dass in diesem Zusammenhang immer noch erhebliche Unsicherheiten bestünden. Dabei ginge es u.a. um die Frage, ob auch Kleinbetriebe zur Bestellung eines internen oder externen Datenschutzbeauftragten verpflichtet sind.
Verschiedentlich werde nicht nur im Bereich der Hilfsmittelversorgung unter Bezugnahme auf § 38 BDSG n.F. dargestellt, dass für den angesprochenen Adressatenkreis der Gesundheitsberufe unabhängig von der Anzahl relevanter Mitarbeiter künftig immer ein Datenschutzbeauftragter zu bestellen sei. Laut Goßens sei jedoch eine differenzierte Betrachtung erforderlich. Demnach sei ein Datenschutzbeauftragter zu bestellen ist, wenn
1. die Kerntätigkeit des Verantwortlichen in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Artikel 9 (= z. B. Gesundheitsdaten) besteht;
2. der Verantwortliche in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt;
3. unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen, wenn der Verantwortliche Verarbeitungen vornimmt, die einer Datenschutz-Folgenabschätzung nach Artikel 35 der DSGVO unterliegt. Eine solche Datenschutz-Folgenabschätzung sei aber ebenfalls nur dann erforderlich, wenn beim Verantwortlichen die umfangreiche Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Artikel 9 Absatz 1 DSGVO – z. B. Gesundheitsdaten – erfolgt.
DSGVO: Datenmenge nicht umfangreich
Der Umgang mit Gesundheitsdaten kann laut Goßens sicherlich dem Kernbereich der Hilfsmittelversorgung zugeordnet werden. Jedoch dürfte die Menge der verarbeiteten Daten in Kleinbetrieben regelmäßig nicht umfangreich ausfallen. Es genüge nicht bereits jede Befassung mit sensiblen Daten. Konkrete Kriterien zu dieser Frage fehlten bisher jedoch. Jedoch bestätige ein Beschluss der für Deutschland zuständigen Nationale Datenschutzkonferenz vom 26. April 2018, dass in Kleinbetrieben in der Regel nicht von einer umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten auszugehen ist und somit grundsätzlich auch kein Datenschutzbeauftragter zu benennen ist, wenn weniger als zehn Personen mit der Verarbeitung personenbezogener Daten beschäftigt sind. Allerdings müsse die Branche die weitere Entwicklung beobachten.
