Der Verkauf einer Arztpraxis ist nicht nur wirtschaftlich und organisatorisch anspruchsvoll. Ein besonders sensibler Punkt ist der Umgang mit den vorhandenen Patientendaten. Denn mit dem Kauf der Praxis erhält die Nachfolgerin oder der Nachfolger nicht automatisch das Recht, die vorhandenen Patientenakten einzusehen oder für die weitere Behandlung zu verwenden.
Noch mehr Fragen zum Datenschutz? Gerne unterstützen wir Sie als externer Datenschutzbeauftragter für Ärzte und Arztpraxis
Gesundheitsdaten gehören zu den besonders geschützten personenbezogenen Daten nach Art. 9 DSGVO. Hinzu kommen die ärztliche Schweigepflicht und die gesetzlichen Dokumentationspflichten. Deshalb müssen Praxisabgabe und Datenübergabe rechtlich und technisch sauber voneinander getrennt werden.
Der Praxisverkauf ist kein Verkauf der Patientendaten
Der Landesbeauftragte für den Datenschutz Niedersachsen stellt für Praxisübernahmen klar: Allein der Erwerb einer Arztpraxis berechtigt die neue Praxisinhaberin oder den neuen Praxisinhaber nicht dazu, die vorhandenen Patientendaten einzusehen oder für eigene Zwecke zu verarbeiten.
Das ist ein zentraler Punkt für die Vertragsgestaltung. Zwar können Inventar, Geräte, Räume und andere Vermögenswerte auf die Nachfolge übergehen. Patientendaten können dagegen nicht wie ein gewöhnlicher Vermögensgegenstand übertragen werden.
Verwahrung bedeutet nicht Zugriffsrecht
In der Praxis wird deshalb regelmäßig vereinbart, dass die Nachfolgerin oder der Nachfolger die vorhandenen Patientenakten verwahrt. Ein solcher Verwahrungsvertrag ist jedoch strikt von einer Berechtigung zur Nutzung der Daten zu unterscheiden. Die Verwahrung der Akten berechtigt die Nachfolgepraxis nach Auffassung der niedersächsischen Datenschutzaufsicht gerade nicht dazu, deren Inhalt zur Kenntnis zu nehmen.
Möchte die Nachfolgepraxis die vorhandenen Daten für eigene Zwecke verwenden, insbesondere für die weitere Behandlung einer Patientin oder eines Patienten, benötigt sie hierfür eine entsprechende datenschutzrechtliche Befugnis. Die niedersächsische Aufsichtsbehörde stellt bei der Praxisübergabe auf die Einwilligung nach Art. 9 Abs. 2 Buchst. a DSGVO ab. Die praktische Konsequenz ist erheblich: Der gesamte Patientenbestand darf nicht einfach am Tag der Praxisübernahme in das frei zugängliche Praxisverwaltungssystem der Nachfolgepraxis übernommen werden.
Das Zwei-Schrank-Modell
Für Papierakten empfiehlt sich das sogenannte Zwei-Schrank-Modell. Der erste Schrank enthält die Patientenakten der bisherigen Praxis. Dieser Bestand bleibt verschlossen. Die Nachfolgepraxis führt daneben einen eigenen Bestand.
Entscheidet sich eine Patientin oder ein Patient für die Weiterbehandlung durch die Nachfolgepraxis und liegt die erforderliche Einwilligung vor, darf die betreffende Akte aus dem verwahrten Altbestand entnommen und in den eigenen Patientenbestand der neuen Praxis überführt werden. Der Schlüssel zum Altbestand darf also nicht als allgemeine Zugriffsberechtigung verstanden werden. Vertraglich sollte eindeutig geregelt werden, unter welchen Voraussetzungen auf eine konkrete Patientenakte zugegriffen werden darf.
Dieses Modell ermöglicht eine klare Trennung zwischen den lediglich verwahrten Unterlagen der bisherigen Praxis und denjenigen Daten, welche die neue Praxis für eigene Behandlungszwecke verarbeiten darf.
Elektronische Patientenakten
Bei elektronischen Patientenakten gilt derselbe Grundsatz. Ein bloß organisatorisches Zugriffsverbot reicht für eine belastbare Gestaltung nicht aus. Nach den Hinweisen des Landesbeauftragten für den Datenschutz Niedersachsen können die elektronischen Bestandsdaten der bisherigen Praxis verschlüsselt werden. Eine Entschlüsselung darf erst erfolgen, wenn die betreffende Patientin oder der betreffende Patient eingewilligt hat. Zugriffe sollten nachvollziehbar protokolliert werden. Erst anschließend wird die jeweilige Patientenakte in das eigene Praxisverwaltungssystem der Nachfolgepraxis übernommen.
Man spricht insoweit auch von einem Zwei Mandanten Modell. Entscheidend ist die technische Trennung: Die neue Praxis darf nicht bereits deshalb Zugriff auf sämtliche Altakten erhalten, weil diese technisch auf demselben Server oder innerhalb derselben Praxissoftware gespeichert werden.
Was geschieht mit Patienten, die nicht zur Nachfolgepraxis wechseln?
Nicht jede Patientin und jeder Patient wird nach einem Praxisverkauf von der Nachfolgepraxis weiterbehandelt. Die betreffenden Altakten verbleiben deshalb grundsätzlich im gesonderten, geschützten Bestand. Nach Ablauf der jeweils maßgeblichen Aufbewahrungsfristen müssen sie datenschutzkonform vernichtet beziehungsweise gelöscht werden.
Bei Papierakten bedeutet dies eine sichere Aktenvernichtung. Bei entsprechend verschlüsselten elektronischen Beständen müssen die Dateien gelöscht und die erforderlichen Schlüssel vernichtet werden. Auch dieses Vorgehen beschreibt die niedersächsische Datenschutzaufsicht ausdrücklich.
Auch die Information der Patienten muss geplant werden
Eine Praxisübergabe sollte deshalb datenschutzrechtlich bereits deutlich vor dem eigentlichen Übergabetermin vorbereitet werden. Dabei muss insbesondere festgelegt werden, wie die Patientinnen und Patienten über die Praxisübernahme informiert werden, wie die erforderlichen Erklärungen eingeholt und dokumentiert werden und wie organisatorisch beziehungsweise technisch verhindert wird, dass die Nachfolgepraxis vorzeitig auf den Altbestand zugreift.
Auch die Informationspflichten nach Art. 13 und Art. 14 DSGVO sind zu berücksichtigen. Die niedersächsische Datenschutzaufsicht weist darauf hin, dass die betroffenen Personen grundsätzlich über die maßgeblichen Umstände der Datenverarbeitung informiert werden müssen.
Darauf müssen Sie bei der Übergabe der Patientendaten achten:
• Patientendaten nicht automatisch übernehmen: Der Praxiskauf berechtigt die Nachfolgepraxis nicht zum Zugriff auf den bisherigen Patientenbestand.
• Altbestand getrennt verwahren: Papierakten nach dem Zwei Schränke Modell, elektronische Daten technisch getrennt und geschützt aufbewahren.
• Zugriff erst nach Einwilligung: Die jeweilige Patientenakte darf grundsätzlich erst nach entsprechender Einwilligung für die Weiterbehandlung übernommen werden.
• Zugriffe dokumentieren: Einwilligungen und Zugriffe auf elektronische Altakten sollten nachvollziehbar dokumentiert und protokolliert werden.
• Fristen und Löschung beachten: Nicht übernommene Altakten sind bis zum Ablauf der maßgeblichen Aufbewahrungsfrist geschützt aufzubewahren und anschließend datenschutzkonform zu vernichten oder zu löschen.
Professionelle Unterstützung für Arztpraxen
Wir beraten Arztpraxen zu allen Fragen des Datenschutzes – von der Webseite bis zur rechtssicheren Dokumentation.
