Telematikinfrastruktur und Datenschutz

§ 307 SGB V verteilt die Verantwortung auf mehrere Stellen. Die Praxis ist für die Verarbeitung mit ihren dezentralen Komponenten verantwortlich, soweit sie diese zur Authentifizierung und Signatur nutzt und über die Mittel der Verarbeitung mitentscheidet. Der Zugangsdienst verantwortet seinen Betrieb, der beauftragte Anbieter die Übertragung im gesicherten Netz und der jeweilige Anwendungsanbieter die Verarbeitung innerhalb seines Dienstes. Die gematik ist verantwortlich, soweit sie selbst die Mittel der Verarbeitung bestimmt und keine vorrangige Zuständigkeit greift.

Über den Umfang dieser Verantwortung gibt es unterschiedliche Behördenpositionen. Der Bundesbeauftragte für den Datenschutz sieht die Verantwortung für dezentrale Komponenten bei den Leistungserbringern. Die Datenschutzkonferenz betont daneben eine Mitverantwortung der gematik. Die gematik vertritt für die bestimmungsgemäße Nutzung zugelassener Komponenten eine andere Position.

Für die Praxis ist die sichere Linie: Nehmen Sie die dezentralen Komponenten in das Verzeichnis der Verarbeitungstätigkeiten auf und dokumentieren Sie die technischen Maßnahmen. Die IT-Sicherheitsrichtlinie nach § 390 SGB V ist für Vertragszahnarztpraxen verbindlich.

Für dezentrale TI-Komponenten gilt eine Besonderheit: Die Regelung, nach der eine Datenschutz-Folgenabschätzung zugleich zur Benennung eines Datenschutzbeauftragten führen kann, ist hier ausdrücklich nicht anwendbar, weil die Folgenabschätzung gesetzlich erfolgt. Die allgemeine Benennungspflicht erklären wir unter Datenschutz in der Zahnarztpraxis.