Datenschutz beim digitalen Zahntechnikauftrag: Daten, Rollen, Maßnahmen
Datenschutz Digitaler Zahntechnikauftrag im Überblick
Rund um Datenschutz Digitaler Zahntechnikauftrag stellt sich Dentallaboren vor allem eine Frage: Welche Pflichten gelten bei digitalen Aufträgen? Die folgenden Abschnitte ordnen Datenschutz Digitaler Zahntechnikauftrag Schritt für Schritt ein.
Ob Datenschutz Digitaler Zahntechnikauftrag sinnvoll ist, zeigt sich an Auslastung, Personal und Fertigungstiefe. Wer Datenschutz Digitaler Zahntechnikauftrag sauber plant, prüft Kapazität, Qualität und Kosten vor der ersten Bestellung. Die Antworten zu Datenschutz Digitaler Zahntechnikauftrag stützen sich auf die Abläufe bei get.dental. Bei Fragen zu Datenschutz Digitaler Zahntechnikauftrag hilft der Kontakt weiter.
Welche Daten im Zahntechnikauftrag anfallen
- Regelmäßig erforderlich: Fallkennung, Arbeitsart, Zahnschema, Material, Farbangaben, technische Ausgangsdaten, Liefertermin.
- Häufig enthalten, selten erforderlich: vollständiger Patientenname, Geburtsdatum, Versichertennummer, Anschrift.
- Besondere Kategorie: Gesundheitsbezogene Angaben, zu denen auch Scans, Modelle und Befundhinweise gehören.
Dabei geht es um besonders geschützte Angaben. Die DSGVO definiert Gesundheitsdaten als „personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person, einschließlich der Erbringung von Gesundheitsdienstleistungen, beziehen“ (DSGVO, Art. 4 Nr. 15), und verlangt, Daten „auf das für die Zwecke der Verarbeitung notwendige Maß“ zu beschränken (DSGVO, Art. 5 Abs. 1 Buchst. c).
Der praktisch wirksamste Schritt ist deshalb keine technische Maßnahme, sondern eine Reduktion: Übermitteln Sie nur, was für die Fertigung gebraucht wird. Wie das im Ablauf aussieht, steht unter Auftragsdaten pseudonymisieren.
Einordnung vorab
Dieser Beitrag ordnet die typischen Fragen aus dem Laboralltag ein und ersetzt keine Rechtsberatung. Für die verbindliche Bewertung Ihres Betriebs ist fachkundiger Rat erforderlich, insbesondere bei Verträgen und Auslandsbezug.
Rollen und Rechtsgrundlagen
Zwischen Praxis und Labor stellt sich die Frage, ob Ihr Labor eigenständig verantwortlich ist oder im Auftrag der Praxis verarbeitet. In der Fachdiskussion wird für Dentallabore überwiegend eine eigene Verantwortlichkeit angenommen, weil eine eigene fachliche Leistung erbracht wird und nicht lediglich weisungsgebunden verarbeitet wird. Die Einordnung hängt von der konkreten Ausgestaltung ab und sollten Sie einmal prüfen und dokumentieren.
Dieselbe Frage stellt sich erneut zwischen Ihrem Labor und dem Fertigungspartner. Auch hier entscheidet die tatsächliche Rollenverteilung, nicht die Bezeichnung im Vertrag. Wichtig ist, dass die Zuordnung schriftlich festgehalten ist und zu Ihrem gelebten Ablauf passt.
Unabhängig davon gelten die allgemeinen Pflichten: Verarbeitungsverzeichnis, Informationspflichten, Löschkonzept, Meldewege bei Datenpannen und die Verpflichtung der Beschäftigten auf Vertraulichkeit.
Zwei dieser Pflichten im Wortlaut: „Jeder Verantwortliche und gegebenenfalls sein Vertreter führen ein Verzeichnis aller Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen.“ (DSGVO, Art. 30 Abs. 1) Eine Datenpanne meldet der Verantwortliche „unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde“ (DSGVO, Art. 33 Abs. 1).
Praktikable Maßnahmen
| Bereich | Maßnahme | Aufwand |
|---|---|---|
| Datenmenge | Pflichtfelder auf das Erforderliche begrenzen, Freitext einschränken | Einmalig, hoher Effekt |
| Übermittlung | Verschlüsselte Übertragung statt Mailanhang | Einmalige Einrichtung |
| Zugriff | Persönliche Zugänge, Rollen statt Sammelkonten | Gering, oft übersehen |
| Aufbewahrung | Löschfristen je Datenart festlegen und umsetzen | Einmalig, dann automatisiert |
| Papier | Auftragszettel mit Patientendaten nicht offen ablegen | Organisatorisch |
| Nachweis | Kurze Dokumentation der Entscheidungen und Verträge | Einmalig, entscheidend im Prüffall |
Wenn im Ausland gefertigt wird
Bei Fertigung außerhalb der EU kommt die Frage der Übermittlung in ein Drittland hinzu. Maßgeblich ist, ob für das Zielland ein Angemessenheitsbeschluss vorliegt oder ob geeignete Garantien vereinbart sind, etwa Standardvertragsklauseln mit ergänzender Risikobewertung.
Der praktische Weg führt auch hier über die Datenmenge: Wenn Ihr Fertigungspartner keine identifizierenden Angaben erhält, sondern eine Fallkennung, verschiebt sich das Risiko deutlich. Vollständig entfällt der Personenbezug dadurch meist nicht, weil Sie die Zuordnung herstellen können. Die Bewertung gehört deshalb ebenfalls in die dokumentierte Prüfung.
So sieht es auch die Verordnung: Pseudonymisierte Daten, „die durch Heranziehung zusätzlicher Informationen einer natürlichen Person zugeordnet werden könnten“, „sollten als Informationen über eine identifizierbare natürliche Person betrachtet werden“ (DSGVO, Erwägungsgrund 26).
Zu den fachlichen Anforderungen bei internationaler Fertigung siehe Qualitätsmanagement bei internationaler Zahntechnik und zur Kennzeichnung Deklaration und Dokumentation.
Quellen
- Verordnung (EU) 2016/679 (DSGVO), Art. 4 Nr. 15 – Europäische Union (EUR-Lex)
- Verordnung (EU) 2016/679 (DSGVO), Art. 5 Abs. 1 Buchst. c – Europäische Union (EUR-Lex)
- Verordnung (EU) 2016/679 (DSGVO), Art. 30 Abs. 1 – Europäische Union (EUR-Lex)
- Verordnung (EU) 2016/679 (DSGVO), Art. 33 Abs. 1 – Europäische Union (EUR-Lex)
- Verordnung (EU) 2016/679 (DSGVO), Erwägungsgrund 26 – Europäische Union (EUR-Lex)
Häufige Fragen
Darf der Patientenname auf dem Auftrag stehen?
Erforderlich ist er für die Fertigung in der Regel nicht. Für die Zuordnung in Ihrem Labor kann er sinnvoll sein, für die Übermittlung an einen Fertigungspartner meist nicht. Eine Fallkennung erfüllt denselben Zweck mit geringerem Risiko.
Braucht es eine Einwilligung des Patienten?
Die Verarbeitung im Rahmen der Behandlung stützt sich üblicherweise nicht auf eine Einwilligung, sondern auf die Regelungen für Gesundheitsdaten im Behandlungskontext. Für darüber hinausgehende Zwecke kann das anders sein. Die Prüfung gehört in die Datenschutzdokumentation der Praxis und Ihres Labors.
Wie lange dürfen Scandaten aufbewahrt werden?
So lange, wie sie für Gewährleistung, Nachfertigung und gesetzliche Nachweispflichten benötigt werden. Sinnvoll ist eine festgelegte Frist je Datenart statt einer pauschalen Dauerarchivierung, verbunden mit einem automatischen Löschlauf.
Was ändert sich, wenn im Ausland gefertigt wird?
Bei Fertigung außerhalb der EU kommt die Übermittlung in ein Drittland hinzu: Maßgeblich ist, ob ein Angemessenheitsbeschluss vorliegt oder geeignete Garantien wie Standardvertragsklauseln mit ergänzender Risikobewertung vereinbart sind. Der praktische Hebel bleibt die Datenmenge: Erhält Ihr Fertigungspartner nur eine Fallkennung statt identifizierender Angaben, verschiebt sich das Risiko deutlich.
Nächster Schritt
Bestellprozess ansehen und prüfen, welche Angaben tatsächlich benötigt werden.
Das Wichtigste in Kürze
Datenschutz beim digitalen Zahntechnikauftrag betrifft vor allem die Patientendaten im Auftrag: Das Labor gibt nur die für die Fertigung nötigen Angaben weiter, idealerweise pseudonymisiert, und regelt die Verarbeitung vertraglich. Bei get.dental läuft der Auftrag strukturiert über das Bestellportal des Laborkontos. Die Verantwortung für die Datenweitergabe bleibt beim Labor als Auftraggeber.
Weiterführende Themen