Lektion 8.4 · 4 Min.
§ 16 Datenschutz-Bestätigung des EDV-Unternehmens
Im Kurs öffnenmit vorgelesenen Folien, Checkliste zum Abhaken und Quiz
Auf einen Blick
- Wen es betrifft. Jedes beauftragte EDV-Unternehmen, das mit personenbezogenen Daten von Patientinnen und Patienten oder vom Team in Berührung kommt.
- Was es bestätigt. Nachweislich, dass es die DSGVO einhält, auch für die Mitarbeiterinnen und Mitarbeiter, die es einsetzt.
- Dazu der Vertrag. Verarbeitet das Unternehmen Daten in Ihrem Auftrag, verlangt die DSGVO außerdem einen Auftragsverarbeitungsvertrag.
Im Detail
Was § 16 Abs. 5 verlangt
Ein beauftragtes EDV-Unternehmen, das mit personenbezogenen Daten von Patientinnen und Patienten oder von Mitarbeiterinnen und Mitarbeitern in Berührung kommt, bestätigt nachweislich, dass die DSGVO eingehalten wird, auch hinsichtlich der Mitarbeiterinnen und Mitarbeiter, die es einsetzt § 16 Abs. 5. Arbeiten Sie ohne ein solches Unternehmen, entfällt die Bestätigung.
Wer gemeint sein kann
Die QS-VO zählt keine Unternehmen auf. In Frage kommt jedes, das bei seiner Arbeit an solche Daten kommen kann, zum Beispiel:
- der Hersteller der Arztsoftware, wenn er per Fernwartung zugreift;
- die IT-Betreuung, die Rechner und Server wartet;
- Anbieter von Datensicherung oder Cloud-Speicher.
Bestätigung und Vertrag
Unabhängig von § 16 Abs. 5 verlangt die DSGVO einen Vertrag, wenn ein Unternehmen personenbezogene Daten in Ihrem Auftrag verarbeitet DSGVO Art. 28 Abs. 3. Achten Sie darauf, dass Ihre Unterlagen beides abdecken: den Vertrag und die Bestätigung, dass auch das Personal des Unternehmens die DSGVO einhält.
Was sich als Nachweis eignet
- eine Liste der EDV-Unternehmen, die mit personenbezogenen Daten in Berührung kommen;
- je Unternehmen die schriftliche Bestätigung, mit Datum;
- der Auftragsverarbeitungsvertrag, wo das Unternehmen Daten in Ihrem Auftrag verarbeitet.
Checkliste
- Alle EDV-Unternehmen, die mit personenbezogenen Daten in Berührung kommen, sind aufgelistet.
- Von jedem liegt die Bestätigung vor, dass die DSGVO eingehalten wird, auch durch sein Personal.
- Wo ein Unternehmen Daten in Ihrem Auftrag verarbeitet, gibt es einen Auftragsverarbeitungsvertrag.
- Kommt ein neues Unternehmen dazu, wird die Bestätigung gleich eingeholt.
Quiz
Was verlangt § 16 Abs. 5 von einem EDV-Unternehmen, das mit Patientendaten in Berührung kommt?
- Einen Firmensitz in Österreich
- Eine nachweisliche Bestätigung, dass es die DSGVO einhält, auch für sein Personal
- Nichts, solange es die Daten nicht speichert
- Eine Zertifizierung nach ISO 27001
Auflösung anzeigen
Richtig ist B: Eine nachweisliche Bestätigung, dass es die DSGVO einhält, auch für sein Personal. § 16 Abs. 5: Das Unternehmen bestätigt nachweislich, auch hinsichtlich seiner Mitarbeiterinnen und Mitarbeiter, dass die DSGVO eingehalten wird. Es genügt, dass es mit den Daten in Berührung kommt.
Quellen
Die Aussagen dieser Lektion stützen sich auf:
Keine Rechtsberatung. Maßgeblich sind der Text der QS-VO 2024 im Rechtsinformationssystem des Bundes (Fassung vom 3. Oktober 2026) und die Hygieneverordnung 2014 der Österreichischen Ärztekammer. Kein Angebot der ÖQMED, des BIQG oder der Ärztekammer.