Datenschutz · Auftragsdaten
Datenschutz beim digitalen Zahntechnikauftrag: Daten, Rollen, Maßnahmen
Zahntechnische Aufträge enthalten Gesundheitsdaten. Das klingt nach Aufwand, führt in der Praxis aber zu wenigen konkreten Fragen: Welche Angaben müssen wirklich mit, wer ist wofür verantwortlich und was passiert bei Fertigung im Ausland.
Einordnung vorab
- Dieser Beitrag ordnet die typischen Fragen aus dem Laboralltag ein und ersetzt keine Rechtsberatung. Für die verbindliche Bewertung des eigenen Betriebs ist fachkundiger Rat erforderlich, insbesondere bei Verträgen und Auslandsbezug.
Welche Daten anfallen
Ein zahntechnischer Auftrag enthält regelmäßig mehr personenbezogene Angaben als nötig. Ein Blick auf einen tatsächlichen Auftragszettel zeigt das meist sofort.
- Regelmäßig erforderlich: Fallkennung, Arbeitsart, Zahnschema, Material, Farbangaben, technische Ausgangsdaten, Liefertermin.
- Häufig enthalten, selten erforderlich: vollständiger Patientenname, Geburtsdatum, Versichertennummer, Anschrift.
- Besondere Kategorie: Gesundheitsbezogene Angaben, zu denen auch Scans, Modelle und Befundhinweise gehören.
Der praktisch wirksamste Schritt ist deshalb keine technische Maßnahme, sondern eine Reduktion: nur übermitteln, was für die Fertigung gebraucht wird. Wie das im Ablauf aussieht, steht unter Auftragsdaten pseudonymisieren.
Rollen und Rechtsgrundlagen
Zwischen Praxis und Labor stellt sich die Frage, ob das Labor eigenständig verantwortlich ist oder im Auftrag der Praxis verarbeitet. In der Fachdiskussion wird für Dentallabore überwiegend eine eigene Verantwortlichkeit angenommen, weil eine eigene fachliche Leistung erbracht wird und nicht lediglich weisungsgebunden verarbeitet wird. Die Einordnung hängt von der konkreten Ausgestaltung ab und sollte einmal geprüft und dokumentiert werden.
Dieselbe Frage stellt sich erneut zwischen Labor und Fertigungspartner. Auch hier entscheidet die tatsächliche Rollenverteilung, nicht die Bezeichnung im Vertrag. Wichtig ist, dass die Zuordnung schriftlich festgehalten ist und zur gelebten Praxis passt.
Unabhängig davon gelten die allgemeinen Pflichten: Verarbeitungsverzeichnis, Informationspflichten, Löschkonzept, Meldewege bei Datenpannen und die Verpflichtung der Beschäftigten auf Vertraulichkeit.
Praktikable Maßnahmen
| Bereich | Maßnahme | Aufwand |
|---|---|---|
| Datenmenge | Pflichtfelder auf das Erforderliche begrenzen, Freitext einschränken | Einmalig, hoher Effekt |
| Übermittlung | Verschlüsselte Übertragung statt Mailanhang | Einmalige Einrichtung |
| Zugriff | Persönliche Zugänge, Rollen statt Sammelkonten | Gering, oft übersehen |
| Aufbewahrung | Löschfristen je Datenart festlegen und umsetzen | Einmalig, dann automatisiert |
| Papier | Auftragszettel mit Patientendaten nicht offen ablegen | Organisatorisch |
| Nachweis | Kurze Dokumentation der Entscheidungen und Verträge | Einmalig, entscheidend im Prüffall |
Wenn im Ausland gefertigt wird
Bei Fertigung außerhalb der EU kommt die Frage der Übermittlung in ein Drittland hinzu. Maßgeblich ist, ob für das Zielland ein Angemessenheitsbeschluss vorliegt oder ob geeignete Garantien vereinbart sind, etwa Standardvertragsklauseln mit ergänzender Risikobewertung.
Der praktische Weg führt auch hier über die Datenmenge: Wenn der Fertigungspartner keine identifizierenden Angaben erhält, sondern eine Fallkennung, verschiebt sich das Risiko deutlich. Vollständig entfällt der Personenbezug dadurch meist nicht, weil das Labor die Zuordnung herstellen kann. Die Bewertung gehört deshalb ebenfalls in die dokumentierte Prüfung.
Zu den fachlichen Anforderungen bei internationaler Fertigung siehe Qualitätsmanagement bei internationaler Zahntechnik und zur Kennzeichnung Deklaration und Dokumentation.
Häufige Fragen
Darf der Patientenname auf dem Auftrag stehen?
Erforderlich ist er für die Fertigung in der Regel nicht. Für die Zuordnung im eigenen Labor kann er sinnvoll sein, für die Übermittlung an einen Fertigungspartner meist nicht. Eine Fallkennung erfüllt denselben Zweck mit geringerem Risiko.
Braucht es eine Einwilligung des Patienten?
Die Verarbeitung im Rahmen der Behandlung stützt sich üblicherweise nicht auf eine Einwilligung, sondern auf die Regelungen für Gesundheitsdaten im Behandlungskontext. Für darüber hinausgehende Zwecke kann das anders sein. Die Prüfung gehört in die Datenschutzdokumentation der Praxis und des Labors.
Wie lange dürfen Scandaten aufbewahrt werden?
So lange, wie sie für Gewährleistung, Nachfertigung und gesetzliche Nachweispflichten benötigt werden. Sinnvoll ist eine festgelegte Frist je Datenart statt einer pauschalen Dauerarchivierung, verbunden mit einem automatischen Löschlauf.
Nächster Schritt
Bestellprozess ansehen und prüfen, welche Angaben tatsächlich benötigt werden.