DSGVO-AVV mit IT-Dienstleistern: Worauf Praxen achten müssen

# DSGVO-AVV mit IT-Dienstleistern: Worauf Praxen achten müssen

Sobald ein externer IT-Dienstleister Zugriff auf Patientendaten hat, greift die Auftragsverarbeitungs-Regelung der Datenschutz-Grundverordnung. Der Auftragsverarbeitungsvertrag (AVV) ist dabei keine Formsache, sondern eine rechtliche Pflicht nach Art. 28 DSGVO. Fehlt dieser Vertrag oder ist er unvollständig, drohen Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist.

Wann ist ein AVV mit IT-Dienstleistern erforderlich?

Ein AVV wird immer dann verpflichtend, wenn ein Dienstleister personenbezogene Daten im Auftrag der Praxis verarbeitet. Das betrifft nahezu alle typischen IT-Services:

• Wartung und Support der Praxisverwaltungssoftware
• Hosting von Cloud-Lösungen oder Servern
• E-Mail-Dienste mit Patientenkorrespondenz
• Backup- und Archivierungsdienste
• Online-Terminbuchungssysteme
• Videosprechstunden-Plattformen
• Digitale Röntgenbildspeicherung

Die Praxis bleibt dabei stets "Verantwortlicher" im Sinne der DSGVO, während der IT-Dienstleister als "Auftragsverarbeiter" tätig wird. Diese Rollenverteilung ist entscheidend: Die datenschutzrechtliche Verantwortung bleibt bei der Praxis, auch wenn technische Aufgaben ausgelagert werden.

Pflichtinhalte eines DSGVO-konformen AVV

Art. 28 Abs. 3 DSGVO definiert zehn Mindestinhalte, die jeder AVV enthalten muss:

Gegenstand und Dauer der Verarbeitung müssen konkret benannt werden. Allgemeine Formulierungen wie "IT-Support" reichen nicht aus – erforderlich sind präzise Angaben wie "Wartung der Praxissoftware Praxis-IT inklusive Datenbankzugriff".

Art und Zweck der Verarbeitung sowie die Art der personenbezogenen Daten sollten spezifisch aufgeführt werden: Patientenstammdaten, Diagnosen, Abrechnungsdaten oder Laborwerte.

Weisungsbefugnis der Praxis muss klar geregelt sein, idealerweise mit einem Verfahren für dokumentierte Einzelweisungen.

Technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO müssen konkret beschrieben oder als Anlage beigefügt werden. Hier geht es um Verschlüsselung, Zugangskontrollen, Backup-Konzepte und Löschfristen.

Pflichten bei Sub-Auftragsverarbeitern regeln, ob und unter welchen Bedingungen der Dienstleister weitere Dienstleister einbinden darf.

Unterstützungspflichten bei Betroffenenanfragen und Datenschutzvorfällen sowie die Löschung oder Rückgabe aller Daten nach Vertragsende müssen vereinbart werden.

Audit- und Kontrollrechte der Praxis sind zwingend vorzusehen, ebenso die Mitteilungspflicht bei Datenschutzverletzungen.

Häufige Fehler und rechtliche Fallstricke

In der Praxis zeigen sich immer wieder typische Schwachstellen:

Fehlende oder veraltete Verträge: Viele Praxen nutzen seit Jahren IT-Services, ohne jemals einen AVV abgeschlossen zu haben. Bestehende Verträge stammen oft noch aus der Zeit vor der DSGVO (vor Mai 2018) und entsprechen nicht mehr den aktuellen Anforderungen.

Pauschale Standard-Klauseln: Manche Dienstleister verwenden unspezifische Musterverträge, die die konkreten Verarbeitungsvorgänge nicht abbilden. Die Aufsichtsbehörden fordern jedoch praxisspezifische Beschreibungen.

Unklare Sub-Auftragsverarbeiter-Regelungen: Wenn der IT-Dienstleister seinerseits Cloud-Dienste, Rechenzentren oder spezialisierte Support-Firmen einbindet, müssen diese vorab bekannt gegeben werden. Eine Generalklausel "Der Auftragsverarbeiter darf Subunternehmer einsetzen" ist nicht ausreichend. Die Praxis muss einer konkreten Liste zustimmen und bei Änderungen informiert werden – mit der Möglichkeit zum Widerspruch.

Fehlende TOM-Dokumentation: Ohne detaillierte Beschreibung der Sicherheitsmaßnahmen kann die Praxis ihrer Nachweispflicht nicht nachkommen. Insbesondere bei Datenpannen fragt die Aufsichtsbehörde gezielt nach diesen Vereinbarungen.

Audit-Recht und praktische Kontrolle

Das Audit-Recht nach Art. 28 Abs. 3 lit. h DSGVO erlaubt der Praxis, die Einhaltung der Datenschutzbestimmungen beim Dienstleister zu überprüfen. In der Praxis lässt sich dies auf drei Arten umsetzen:

Vor-Ort-Inspektionen sind theoretisch möglich, praktisch aber für Arztpraxen kaum realisierbar. Sie verfügen selten über die technische Expertise für aussagekräftige Vor-Ort-Audits beim IT-Dienstleister.

Zertifikate und Testate bieten eine praktikable Alternative. ISO 27001-Zertifizierungen, Prüfberichte nach IDW PS 951 oder branchenspezifische Zertifikate können das Audit-Recht erfüllen. Der AVV sollte festlegen, dass der Dienstleister solche Nachweise regelmäßig vorlegt.

Fragebogen-Audits als schriftliche Überprüfung sind ein Kompromiss: Die Praxis stellt konkrete Fragen zu Sicherheitsmaßnahmen, Zugriffsrechten und Löschkonzepten, die der Dienstleister dokumentiert beantwortet.

Wichtig: Die Kosten für externe Auditoren dürfen im AVV nicht pauschal der Praxis auferlegt werden. Üblich ist, dass anlassbezogene Audits (etwa nach Datenpannen) vom Dienstleister getragen werden, während anlasslose Kontrollen Verhandlungssache sind.

Vertragspraxis und Update-Pflichten

Ein AVV ist kein statisches Dokument. Bei wesentlichen Änderungen der Datenverarbeitung – etwa durch neue Software-Module, zusätzliche Cloud-Dienste oder geänderte Sub-Auftragsverarbeiter – muss der Vertrag angepasst werden.

Praxen sollten jährlich prüfen, ob der AVV noch alle aktuellen IT-Services abdeckt. Besonders bei Hybrid-Lösungen, bei denen lokale Server und Cloud-Komponenten kombiniert werden, ergeben sich oft Lücken.

Die Dokumentationspflicht gilt in beide Richtungen: Sowohl die Praxis muss den AVV vorhalten können, als auch der IT-Dienstleister. Bei Aufsichtsprüfungen gehört die AVV-Dokumentation zu den ersten angefragten Unterlagen.