​1. Beschreibung und Umfang der Datenverarbeitung
Für die interne Organisation unserer Praxis, das Erstellen von Informationsmaterialien zur Patientenaufklärung, das Praxismanagement sowie für die sichere digitale Kommunikation (z. B. via E-Mail oder verschlüsselte Dokumentenfreigabe) nutzen wir den Cloud-Dienst Google Workspace. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Mutterunternehmen: Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA).

Hierbei können je nach Kommunikationsweg personenbezogene Daten sowie besondere Kategorien personenbezogener Daten (Gesundheitsdaten wie Diagnosen, Befunde oder Behandlungsnotizen) verarbeitet und in den Cloud-Systemen von Google gespeichert werden.

2. Rechtsgrundlage der Datenverarbeitung
Die Verarbeitung der regulären personenbezogenen Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Erfüllung eines Vertrages bzw. Durchführung vorvertraglicher Maßnahmen, hier: der Behandlungsvertrag).
Die Verarbeitung von Gesundheitsdaten erfolgt streng auf Grundlage von Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 22 Abs. 1 Nr. 1 lit. b BDSG (Verarbeitung für Zwecke der Gesundheitsvorsorge, der medizinischen Diagnostik, der Versorgung oder Behandlung im Gesundheits- oder Sozialbereich).

3. Garantien und Datensicherheit
Wir haben mit Google Ireland Limited ein Cloud Data Processing Addendum (CDPA) geschlossen, welches den strengen Anforderungen des Art. 28 DSGVO (Auftragsverarbeitung) entspricht.

Da im Rahmen der Praxisorganisation auch Gesundheitsdaten verarbeitet werden, haben wir mit Google zusätzlich das Google Workspace HIPAA Business Associate Amendment (BAA) vereinbart. Dieses verpflichtet Google vertraglich dazu, erweiterte technische und organisatorische Sicherheitsmaßnahmen (wie Ende-zu-Ende-Verschlüsselungen und dedizierte Zugriffskontrollen) zu implementieren, um das Patientengeheimnis gemäß § 203 StGB vollumfänglich zu wahren.

Wir haben die Datenregion in den Administrations-Einstellungen verbindlich auf Europa festgelegt, sodass die primäre Datenspeicherung auf Servern innerhalb der Europäischen Union erfolgt. Für den Fall einer potenziellen Datenübermittlung in die USA ist Google LLC nach dem EU-US Data Privacy Framework zertifiziert.

4. Dauer der Speicherung
Die Daten werden gelöscht, sobald sie für die Erreichung des Zweckes ihrer Erhebung nicht mehr erforderlich sind. Medizinische Daten und Behandlungsdokumentationen unterliegen den gesetzlichen Aufbewahrungsfristen (in der Regel 10 Jahre nach Abschluss der Behandlung gemäß § 630f BGB).

5. Widerspruchs- und Beseitigungsmöglichkeit
Sie haben jederzeit das Recht, der Nutzung dieses Kommunikations- und Organisationsweges zu widersprechen. In diesem Fall nutzen wir für Sie ausschließlich analoge oder lokale Kommunikationswege in unserer Praxis. Ihre Rechte auf Auskunft, Berichtigung oder Löschung bleiben hiervon unberührt.

 

Verantwortlich:

• Jean-Marie Buerstedde

       Bernwardstr. 5, 31134 Hildesheim

 

• Landesbeauftragte für den Datenschutz Niedersachsen

       Prinzenstraße 5, 30159 Hannover
       E-Mail: poststelle@lfd.niedersachsen.de