Blog: Hartmann Rechtsanwälte
9.10.2018

Keine Auftragsverarbeitung bei der Fertigung individueller medizinsicher Produkte, Hilfsmittel, Prothesen etc. für Versicherte von Leistungserbringern

Nach wie vor stellt die Datenschutzgrundverordnung (DSGVO) viele Leistungserbringer und Hersteller vor Herausforderungen. Ein sehr brisantes Thema ist das der Auftragsverarbeitung. Diese wird vermehrt dann angenommen, wenn bei einer individuellen Fertigung von Hilfsmitteln der Leistungserbringer Versichertendaten, wie beispielsweise Maßblätter, an den Hersteller übersendet.

Es stellt sich allerdings die Frage, ob dann tatsächlich eine Auftragsverarbeitung vorliegt. Beachtlich ist nämlich die Rechtsfolge, die sich aus dieser Auffassung ergibt.

Maßgeblich ist die Bewertung der Datenweitergabe an eine weitere Partei. Sofern der Hersteller in diesen Fällen „Dritter“ im Sinne des Art. 4 Nr. 10 DSGVO ist, hat der Leistungserbringer die Versichertendaten nur nach Einwilligung des Versicherten weiterzugeben. Handelt es sich bei dem Hersteller hingegen nicht um einen „Dritten“, ist er ein externer Dienstleister des Leistungserbringers, ein Subunternehmer, mit dem ein Auftragsverarbeitungsvertrag abzuschließen ist.

Der eklatante Unterschied besteht darin, dass der Leistungserbringer dann weiterhin „Verantwortlicher“ bei Fertigung des Hilfsmittels bleibt. Er haftet dann dafür, dass nach Weitergabe der Versichertendaten, diese bei dem Hersteller in datenschutzrechtlicher Weise verarbeitet werden. Er muss also, wie in seinem eigenen Haus, dafür Sorge tragen, dass der Hersteller die Daten rechtskonform schützt.

Doch passt das? Ist der Hersteller tatsächlich lediglich als externer Dienstleister des Leistungserbringers zu bewerten und diesem bei der Fertigung des Hilfsmittels weisungsgebunden? Nein. Vielmehr verarbeitet er doch die ihm übersandten Versichertendaten zu eigenen Zwecken und ist damit selbst Verantwortlicher.

Dazu hat sich das Bayerische Landesamt für Datenschutzaufsicht explizit geäußert und in seinen FAQs zur DSGVO klargestellt, dass in diesen Fällen regelmäßig keine Auftragsverarbeitung im Sinne des Art. 4 Nr. 8 DSGVO vorliegt, sondern eine eigene Verantwortlichkeit. Es ist davon auszugehen, dass bei einer solchen elementaren Fragestellung auch die anderen Aufsichtsbehörden gleichziehen werden.

Das bedeutet, dass bei der Übersendung der Versichertendaten eine Datenweitergabe an einen Dritten stattfindet und eine Einwilligung des Versicherten dazu einzuholen ist. Ein aufwendiger Auftragsverarbeitungsvertrag zwischen Leistungserbringer und Hersteller ist hingegen nicht abzuschließen.

Lassen Sie sich also von dem Versicherten unterschreiben, dass Sie die Daten zur Fertigung des Hilfsmittels weitergeben dürfen.

The following two tabs change content below.

Rechtsanwältin