Datenschutzerklärung auf der Praxishomepage (Muster)

Transkript

1 Datenschutzerklärung auf der Praxishmepage (Muster) Stand: Juni 2018 Die eurpäische Datenschutzgrundverrdnung (DSGVO) sieht bei der Erhebung persnenbezgener Daten umfangreiche Infrmatinspflichten vr, um die Transparenz der Datenerhebung im Interesse der betrffenen Persn zu gewährleisten. In der Arztpraxis werden Infrmatinen über Patientinnen und Patienten swhl unmittelbar im Rahmen der Behandlung als auch im Austausch mit Dritten (z. B. mitbehandelnde Ärztinnen und Ärzte) erhben. In beiden Fällen sind im Praxisalltag die datenschutzrechtlichen Infrmatinspflichten zu beachten. 1 Darüber hinaus werden auch bei einem Besuch der Praxishmepage persnenbezgene Daten des Nutzers erhben. Dies gilt bereits für eine einfach gestaltete Hmepage (hne Drittanbieterdienste etc.), da auch beim Besuch einer slchen Internetseite Daten des aufrufenden Rechners autmatisiert erhben werden, welche dem Nutzer zuzurdnen sind und daher unter den Begriff der persnenbezgenen Daten fallen. Je nach knkreter Ausgestaltung der Hmepage und Verwendung einzelner Funktinen werden darüber hinaus ggf. weitere Daten des Nutzers erhben und ggf. an Drittanbieter weitergeleitet. Aufgrund der datenschutzrechtlichen Infrmatinspflicht (Art. 13 DSGVO) ist über die bei Nutzung der Hmepage knkret stattfindende Datenverarbeitung zu infrmieren. Zu diesem Zweck ist eine Datenschutzerklärung auf die Hmepage aufzunehmen. Diese sllte in einfacher Sprache verfasst sein und vn jedem Standrt der Hmepage aus mit maximal zwei Klicks erreichbar sein (d. h. eigener Link in der Kpf- der Fußzeile der Hmepage der Bestandteil des Impressums). 2 Das vrliegende Merkblatt sll eine Orientierung zur inhaltlichen Gestaltung der Datenschutzerklärung auf der Hmepage einer Arztpraxis bieten. Dabei werden in einem ersten Teil (A.) die allgemein erfrderlichen Inhalte wiedergegeben, die grundsätzlich jede Praxishmepage betreffen. Daran anschließend wird in einem zweiten Teil (B.) auf besndere Arten der Datenerhebung hingewiesen, hinsichtlich derer die Datenschutzerklärung ggf. je nach Verwendung der Funktinen im Einzelfall zu ergänzen ist. Aufgrund der Unterschiedlichkeit einzelner Hmepages und der Vielfältigkeit dabei anzutreffender Datenverarbeitungsvrgänge kann ein Anspruch auf Vllständigkeit nicht erhben werden. Zudem ist darauf hinzuweisen, dass bei einer Übernahme der nachstehenden Frmulierungen eine Haftung durch die Ärztekammer Berlin nicht übernmmen werden kann. Die Richtigkeit der Datenschutzerklärung ist durch den Datenschutzverantwrtlichen aufgrund der gesetzlichen Vrgaben zu prüfen. A. Allgemeine Inhalte der Datenschutzerklärung Sehr geehrter Besucher unserer Internetseite, wir möchten Sie darüber infrmieren, dass beim Besuch unserer Website persnenbezgene Daten erhben werden. Zu den persnenbezgenen Daten gehören alle Daten, die auf Sie persönlich beziehbar sind (z. B. Name, -Adresse, IP-Adresse, Nutzerverhalten). 1 Siehe Bundesärztekammer/Kassenärztliche Bundesvereinigung: Hinweise und Empfehlungen zur ärztlichen Schweigepflicht, Datenschutz und Datenverarbeitung in der Arztpraxis vm , Ziffer (Seite A 9), abrufbar hier. Vgl. auch das Muster für Patienteninfrmatinen zum Datenschutz in der Praxis, abrufbar hier. 2 Kreng/Lachenmann, Frmularhandbuch Datenschutzrecht, 2. Auflage 2018, Kap. F, I. 1.; BGH, Urteil vm , I ZR 288/03.

2 1. Datenschutzverantwrtliche/r: Für den Datenschutz ist in unserer Praxis verantwrtlich: Praxisinhaber/in Herr/Frau Dr. Mustermann der: Gemeinschaftspraxis Herr Dr. Max und Frau Dr. Erika Mustermann der: MVZ Mustermed GmbH, vertreten durch die/den Geschäftsführer/in... Adresse (Straße, Nummer, PLZ, Ort) Kntaktdaten (Telefn, Telefax, ) 2. Datenschutzbeauftragte/r: (Muss nur aufgeführt werden, wenn ein Datenschutzbeauftragter zu bestellen ist.) Name Adresse Kntaktdaten 3. Bereitstellung der Website und Erstellung vn Lgfiles: Unsere Website dient ausschließlich der Bereitstellung vn Infrmatinen über unsere Praxis, unser Behandlungsspektrum und therapeutische Möglichkeiten bei verschiedenen Erkrankungen. Bei jedem Aufruf unserer Internetseite erfasst unser System autmatisiert Daten und Infrmatinen vm Cmputersystem des aufrufenden Rechners. Flgende Daten werden hierbei erhben: IP-Adresse des Nutzers Datum und Uhrzeit der Anfrage swie Zeitzne Inhalt der Anfrderung (knkrete Seite) Website, vn der die Anfrderung kmmt Art des Brwsers swie dessen Sprache und Versin Betriebssystem Zugriffstatus/http-Statuscde Übertragene Datenmenge Die Daten werden in Lgfiles unseres Systems gespeichert. Die Erhebung dieser Daten ist ntwendig, damit Sie unsere Website angezeigt bekmmen und auf ihr navigieren können. Rechtsgrundlage für die Erhebung und vrübergehende Speicherung der Daten ist Art. 6 Abs. 1 lit. f DSGVO. Die Löschung dieser Daten erflgt, wenn diese nicht mehr zur Bereitstellung der Website erfrderlich sind bzw. die jeweilige Sitzung beendet ist. 4. Ihre Rechte: Sie haben nach der DSGVO die flgenden Rechte hinsichtlich der vn uns über Sie verarbeiteten persnenbezgenen Daten: Sie haben das Recht, über die Sie betreffenden persnenbezgenen Daten Auskunft zu erhalten. Auch können Sie die Berichtigung unrichtiger Daten verlangen. Seite 2 vn 5

3 Darüber hinaus steht Ihnen unter bestimmten Vraussetzungen das Recht auf Löschung vn Daten, das Recht auf Einschränkung der Datenverarbeitung swie das Recht auf Datenübertragbarkeit zu. Die Verarbeitung Ihrer Daten erflgt auf Basis vn gesetzlichen Berechtigungen der w slche nicht bestehen auf der Basis einer vn Ihnen erteilten Einwilligung. Im letzteren Fall haben Sie das Recht, die Einwilligung jederzeit für die zukünftige Verarbeitung zu widerrufen. Sie haben ferner das Recht, sich bei der für den Datenschutz zuständigen Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer persnenbezgenen Daten nicht rechtmäßig erflgt. Die Anschrift der für uns zuständigen Aufsichtsbehörde lautet: Berliner Beauftragte für Datenschutz und Infrmatinsfreiheit, Friedrichstraße 219, Berlin, Telefn: B. Besndere Inhalte der Datenschutzerklärung Die flgenden weiteren Inhalte der Datenschutzerklärung betreffen zusätzliche Datenverarbeitungsvrgänge, die ggf. auf einer Praxishmepage genutzt werden (Aufzählung nicht abschließend!). Die einzelnen Punkte können im bigen Aufbau (A.) zwischen der Ziffer 3 und der Ziffer 4 ergänzend aufgeführt werden. Werden die genannten (der weitere) Verarbeitungsfrmen auf der Praxishmepage verwendet, sllte in der Datenschutzerklärung zu jedem einzelnen Punkt auf die flgenden Aspekte eingegangen werden: Zweck der Datenverarbeitung: Welchem Zweck/welcher knkreten Funktin der Hmepage dient die jeweilige Verarbeitung persnenbezgener Daten? Umfang der Datenverarbeitung: Welche Daten werden dabei im Einzelnen erhben und ggf. an wen weitergeleitet? Rechtsgrundlage für die Datenverarbeitung: Diese wird in der Regel auf Art. 6 Abs. 1 DSGVO zu stützen sein; insbesndere Art. 6 Abs. 1 lit. f DSGVO bei Wahrung eines berechtigten Interesses des Unternehmens (Arztpraxis), Art. 6 Abs. 1 lit. a DSGVO bei einer Einwilligung der betrffenen Persn. Das Vrliegen einer hinreichenden Rechtsgrundlage hat der Verantwrtliche in jedem Einzelfall zu prüfen. Dauer der Datenspeicherung: Grundsätzlich hat eine Löschung der Daten zu erflgen, sbald der Zweck ihrer Erhebung erfüllt wurde; dies sllte bezgen auf den Einzelfall in der Erklärung angegeben werden. 1. Verwendung vn Ckies: Ckies sind Textdateien, die beim Besuch der Website im Internetbrwser des Nutzers bzw. auf dessen Cmputersystem gespeichert werden. Ruft der Nutzer die Website erneut auf, s sendet der Brwser die in dem Ckie gespeicherte Infrmatin an die Website, s dass der Brwser identifizierbar ist und z. B. Vreinstellungen der frühere Aktivitäten des Nutzers auf der Website berücksichtigt werden. Je nach Art der verwendeten Ckies ist durch den Verantwrtlichen zu prüfen, b eine Einwilligung der betrffenen Persn (Nutzer) erfrderlich ist. Zudem ist in der Datenschutzerklärung (neben den. g. Angaben) darauf hinzuweisen, dass der Nutzer mittels einer entsprechenden Einstellung des genutzten Internetbrwsers das Setzen vn Ckies jederzeit ver- Seite 3 vn 5

4 hindern und bereits gesetzte Ckies löschen kann, wbei in diesem Fall unter Umständen nicht alle Funktinen der Website nutzbar bleiben. 2. Kntaktfrmular zur Datenübermittlung: Teilweise werden Nutzer einer Praxishmepage im Rahmen vn zur Verfügung gestellten Online-Frmularen um Angabe persnenbezgener Daten (z. B. Name, Anschrift, - Adresse, Telefnnummer) gebeten. Dies betrifft insbesndere eine Übermittlung vn Terminwünschen und Anfragen durch (ptentielle) Patientinnen und Patienten per . Ein slches Online-Frmular der Kntaktfrmular sllte nur zur Verfügung gestellt werden, wenn die Datenübertragung mit einer hinreichend sicheren Verschlüsselung erflgt. Ebens ist die Übermittlung vn persnenbezgenen Daten und Gesundheitsdaten durch die Arztpraxis an Patientinnen und Patienten per nur mit einer hinreichend sicheren Verschlüsselung zulässig. In der Datenschutzerklärung ist (neben den ben vr 1. genannten Angaben) auf die Art der verwendeten Datenverschlüsselung hinzuweisen, z. B. gesicherter Zugriff über HTTPS/SSL- Prtkll und Verschlüsselung vn s mit PGP/GnuPG. 3. Newsletter-Tracking: Bietet die Website die Anmeldung zu einem Newsletter an, gilt für die Eingabe persnenbezgener Daten durch (ptentielle) Patientinnen und Patienten und für deren Übermittlung das Vrstehende entsprechend. Die Anmeldung zum Newsletter erflgt in der Regel im sg. Duble-pt-in-Verfahren (Registrierung der -Adresse des Nutzers, Anmeldung durch Anklicken des links in der Bestätigungs- ). Der Nutzer ist darauf hinzuweisen, dass er die Anmeldung zum Erhalt des Newsletters jederzeit über einen Klick auf die in dem Newsletter angegebene -Adresse der durch eine Nachricht an den Datenschutzverantwrtlichen widerrufen und s den Newsletter abbestellen kann. 4. Weitergabe persnenbezgener Daten an Dritte: Eine Vielzahl vn Websites nutzt Erweiterungen vn Drittanbietern. Oftmals werden dabei persnenbezgene Daten an die Drittanbieter weitergegeben der autmatisiert übermittelt. Art, Umfang, Zweck und Dauer dieser Verarbeitung vn persnenbezgenen Daten können dabei im Einzelfall unterschiedlich ausgestaltet sein. Eine umfassende Auflistung aller Situatinen, in denen persnenbezgene Daten an Dritte weitergegeben werden, ist vrliegend nicht möglich. Der Datenschutzverantwrtliche hat daher im Einzelfall zu prüfen, welche Dienste vn Drittanbietern er auf seiner Website in Anspruch nimmt und welche persnenbezgenen Daten (IP-Adresse, Brwserdaten etc.) dabei ggf. an den Drittanbieter weitergegeben werden. Dies ist in die Datenschutzerklärung nach den ben (vr 1.) genannten Vrgaben aufzunehmen. Das Vrliegen einer hinreichenden Rechtsgrundlage ist zu prüfen. Es sind insbesndere die flgenden Drittanbieterdienste zu nennen: Ggle-Maps: Darstellung vn Karten, Anfahrtsplänen etc. auf der Hmepage Yutube: Darstellung vn Vides des Anbieters auf der Hmepage Jameda: Nutzung der Dienste (Bewertung, Terminbuchung) über die Hmepage Arzttermine: Terminbuchung anderer Anbieter (arzttermine.de, dctlib.de etc.) über die Hmepage Scial-Media-Plugins: z. B. Gefällt mir -Buttn vn Facebk auf der Hmepage Websiteanalysedienste: z. B. Verwendung vn Ggle Analytics, Adbe Analytics zur Analyse der Websitenutzung Seite 4 vn 5

5 Bei der Nutzung slcher (und anderer) Drittanbieterdienste werden ftmals Plugins verwendet, die bei einem Besuch der Website Infrmatinen darüber, dass die Seite durch den betreffenden Nutzer aufgerufen wurde, an den Drittanbieter senden. Sfern der Nutzer zugleich auf der Internetseite des Drittanbieters eingelggt ist, wird der Besuch der Website zudem ftmals seinem Benutzerknt zugerdnet. Der genaue Inhalt der jeweiligen Datenübermittlung ist aufgrund der Nutzungsbedingungen der einzelnen Anbieter (veröffentlicht in deren Internetauftritt) zu prüfen. Datenschutzrechtlich prblematisch ist insbesndere die Verwendung vn Websiteanalysediensten, bei denen persnenbezgene Daten hne Transprtverschlüsselung und autmatische Löschfristen in Länder, die nicht der EU angehören, weitergeleitet und zu snstigen Zwecken (Werbung) verwendet werden. Die Ärztekammer Berlin rät dazu, sich vr der Nutzung slcher Dienste bei der Berliner Beauftragten für Datenschutz und Infrmatinsfreiheit über die Zulässigkeit nach der DSGVO zu infrmieren. Seite 5 vn 5