Datenschutzfolgeabschätzung (DSFA) für die Verwendung von PATFAK

Die Datenschutzfolgeabschätzung dient als Vorlage zur Anpassung an die eigenen Nutzung und IT-Umgebung.

Allgemeine Informationen

• Bearbeitung: Maja Hansen

• Auswertung: Mark Rüdlin

• Überprüfung: Mark Rüdlin

• Erstellt: 27.01.2025

• Status: einfache Bestätigung

Überprüfung

Risikoarretierung

Aktionsplan

Übersicht

Bewertung : akzeptable Maßnahmen

Grundlegende Prinzipien

• Kein Aktionsplan festgelegt.

Bestehende oder geplante Maßnahmen

• Kein Aktionsplan festgelegt.

Risiken

• Kein Aktionsplan festgelegt.

Stellungnahme des Datenschutzbeauftragten und der
Betroffenen

Name des DSB

Rechtsanwalt und Datenschutzbeauftragter Mark Rüdlin

Feststellung des DSB

Die Verarbeitung kann umgesetzt werden.

Gutachten des DSB

Ergreift der Verantwortliche alle erforderlichen technischen und organisatorischen Maßnahmen, ist davon auszugehen, dass von der Verarbeitung kein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen ausgehen.

Einholung der Meinung der Betroffenen

Meinung der Betroffenen wurde nicht eingeholt.

Grund, warum die Meinung der Betroffenen nicht erfragt wurde

Die Meinung der Betroffenen wurde nicht eingeholt.

Kontext

Überblick

Welche Verarbeitung ist geplant?

PATFAK ist eine Lösung für stationäre Einrichtungen zur Führung einer umfänglichen, digitalen
Klient*innen-Akte. Dazu gehört unter anderem die Datenverwaltung, Leistungsabrechnung,
Leistungserfassung, Dokumentation und Statistik.
PATFAK ambu bietet Software-Lösungen für den ambulanten Bereich. Zudem wird eine
PATFAK App für mobile Endgeräte angeboten.
PATFAK ist eine Client-Server-Anwendung. Neben dem Arbeitsplatz, auf dem der PATFAK Client und ein DB-OLE Treiber installiert und ausgeführt wird, werden verschiedene Serverdienste für den Betrieb benötigt. Zusätzlich zu einem PATFAK-Ordner auf einer, von allen Clients erreichbaren, Datei-Freigabe wird ein Microsoft SQL-Server als Datenbank benötigt. Darüber hinaus ist für die Nutzung der PATFAK App (PLINK) ein Microsoft Internet Information Server erforderlich.

Welche Zuständigkeiten bestehen für die Verarbeitung?

Der Hersteller der Software stellt lediglich die Client-Server-Anwendung zur Verfügung. Zwischen dem Hersteller und der stationären bzw. ambulanten Einrichtung besteht ein Auftragsverarbeitungsverhältnis. Verantwortlicher ist die Einrichtung.

Gibt es Normen oder Standards für die Verarbeitung?

Der Hersteller nimmt regelmäßig eine eigene, selbstständige Bewertung durch PIA vor.
PATFAK ist für eine Vielzahl von Dokumentationssystemen zertifiziert, u.a.:

• § 21 KHEntgG

• AG Stado

• BADO Hamburg

• BIH Statistik

• Entlassmanagement

• KDS 3.0

• Weitere: https://www.redline-data.de/patfak/therapie/

Bewertung : akzeptabel

Daten, Prozesse und Unterstützung

Welche Daten werden verarbeitetet?

Betroffene Personen:

• Klienten

• Mitarbeitende

• Angehörige

• Betreuer/Bevollmächtigte

• Bezugspersonen

• Kooperationspartner

• Leistungsträger
  Datenkategorien:

• Stammdaten (z.B. Name, Anschrift, Geburtstag, Geschlecht, Religion, Hausarzt, Bankverbindung,
  Angaben zur Krankenversicherung sowie Versichertenart (Mitglied, Familie, usw.),
  Krankenversicherten-Nr. sowie Gültigkeit der Versichertenkarte, Titel, Kontaktdaten)

• Aufnahmedaten und administrative Daten (Aufnahmetag, Aufnahmegrund, Aufnahmeart, etc.)

• Medizinische Daten (Befunde, Diagnosen, Behandlungsmaßnahmen, Arztbriefe, Angaben zur
  Entlassung oder Verlegungen, Rechnungsdaten, physiologische Auffälligkeiten, klinische Daten aus
  Anamnese, Diagnose, Therapie, Follow-Up-Daten, etc.)

• Beschäftigtendaten (Job-Beschreibung, dienstliche Anschrift, dienstliche Kontaktdaten, Abteilung,
  Name, Vorname, Geburtsdatum, Berechtigungsprofil, Aktions-Protokolle, Terminpläne etc.)

• Protokollierungsdaten (User-ID, IP-Adresse, Datum/Uhrzeit von Zugriffen)

Wie verläuft der Lebenszyklus von Daten und Prozessen?

Beschäftigtendaten werden bei Einstellung erhoben und in PATFAK eingepflegt, wenn ein Vorgesetzter der beschäftigten Person einen Antrag auf Zugriff von in PATFAK gespeicherten Daten der im Berechtigungskonzept vorgeschriebenen Rahmenbedingungen stellt. Während der Arbeit erfolgt eine Protokollierung der schreibenden Daten im Programm. Desgleichen wird jeder Zugriff auf Klientendaten protokolliert, der von außerhalb der Behandlungseinheit des Klienten erfolgt. Weitere Informationen finden sich im Protokollierungskonzept. Stammdaten werden bei Aufnahme des Klienten erhoben (direkt beim Klienten oder - im Falle der Nicht-Ansprechbarkeit - bei Angehörigen oder anderen, den Patienten begleitenden Personen), alle anderen im Rahmen der Behandlung auftauchenden Daten werden zum Zeitpunkt ihres Anfallens in PATFAK gespeichert, sofern dies im Behandlungs-/Betreuungskontext erforderlich ist. Da die Verarbeitung der Beschäftigtendaten zur Gewährleistung der Rechenschaftspflicht bzgl. der Verarbeitung der Klientendaten erfolgt, richtet sich die Speicherdauer der Beschäftigtendaten nach der Speicherdauer der entsprechenden Klientendaten. Die Speicherdauer der Klientendaten richtet sich nach den gesetzlichen Vorgaben, d.h. i.d.R. zehn Jahre entsprechend § 630f BGB, soweit nicht nach anderen Vorschriften andere Aufbewahrungsfristen bestehen. Allerdings kann nach einer Risikobewertung eine längere Aufbewahrung von bis zu 30 Jahren (§ 199 Abs. 2 BGB) erfolgen, damit im Falle eines Zivilprozesses die Möglichkeit des Nachweises einer ordnungsgemäßen Behandlung geführt werden kann.

Mit Hilfe welcher Betriebsmittel erfolgt die Datenverarbeitung?

Die Daten werden je nach Situation innerhalb der PATFAK-Plattform direkt erhoben und in Ausnahmefällen von anderen Systemen innerhalb der Einrichtung erhoben und an PATFAK transportiert.

Bewertung : akzeptabel

Grundlegende Prinzipien

Verhältnismäßigkeit und Notwendigkeit

Sind die Verarbeitungszwecke eindeutig definiert und rechtmäßig?

Die Datenerfassung erfolgt mit dem Ziel, die Behandlung, Versorgung und Dokumentation von Klienten zu erleichtern, dokumentieren und darzustellen. Damit soll den Klienten gegenüber eine entsprechende Protokollierung der Handlungen, Versorgung, Behandlung, Abrechnung usw. nachvollziehbar dargelegt werden. Die gesetzlichen Nachweispflichten werden dabei eingehalten. Die Datenverarbeitung durch PATFAK erweitert die Möglichkeit der Behandlung und Versorgung durch einen schnelleren Datenaustausch mit Drittsystemen. Die Daten werden ausschließlich zu den dargestellten Zwecken verarbeitet.

Bewertung : akzeptabel

Aufgrund welcher Rechtsgrundlage erfolgt die Verarbeitung?

Für Beschäftigtendaten erfolgt die Verarbeitung im Rahmen der beruflichen Tätigkeit. Die Rechtsgrundlage ergibt sich aus Art. 6 Abs. 1 lit. b DSGVO iVm § 26 Abs. 1 BDSG. Klientendaten werden zur Behandlung sowie zur Abrechnung der erbrachten Leistungen benötigt. Rechtsgrundlage für diese Zwecke ist Art. 9 Abs. 2 lit. h iVm Art. 9 Abs. 3 DSGVO iVm § 630a ff. BGB. Zur Mit- und Weiterbehandlung werden die erforderlichen Daten an Mit-/Nachbehandler weitergegeben. Rechtsgrundlage hierfür ist Art. 9 Abs. 2 lit. h iVm Art. 9 Abs. 3 DSGVO. Weiterhin werden zur Abrechnung die hierfür erforderlichen Daten genutzt. Rechtsgrundlage hierfür ist Art. 9 Abs. 2 lit. f, h DSGVO. In seltenen Fällen kann es vorkommen, dass Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen wie beispielsweise der Verteidigung der behandelnden Person vor Gericht oder der Einklagung ausstehender Bezahlung von erbrachten Leistungen verarbeitet werden müssen. In diesen Fällen besteht die Rechtsgrundlage in Art. 9 Abs. 2 lit. f DSGVO.

Bewertung : akzeptabel

Sind die erhobenen Daten erforderlich, relevant und auf das für die Datenverarbeitung
Notwendige beschränkt?

Im Rahmen der Software werden ausschließlich solche Daten verarbeitet, die für die Erfüllung des Zwecks notwendig, erforderlich und relevant sind. Ein Austausch mit Drittsystemen erfolgt nur nach manueller Zustimmung durch den Verwender selbst.

Bewertung : akzeptabel

Sind die Daten korrekt und auf dem neuesten Stand?

Die erhobenen Daten werden grundsätzlich zunächst beim Klienten selbst erhoben, sodass von der Korrektheit und Aktualität auszugehen ist. Während der Behandlung werden stets aktuelle und auf Korrektheit geprüfte Daten der Behandlungsakte hinzugefügt.
PATFAK setzt voraus, dass die Daten korrekt und eindeutig im Sinne der Datenfelder erfasst werden. Die Einrichtung trägt die Verantwortung dafür, dass entsprechende Arbeitsstrukturen und Organisationsprozesse vorhanden sind, um eine fehlerhafte Erhebung zu vermeiden. Sollte es zu Abweichungen kommen, ist eine unverzügliche Berichtigung nach Bekanntwerden möglich.

Bewertung : akzeptabel

Welche Speicherdauer haben die Daten?

Da die Verarbeitung der Beschäftigtendaten zur Gewährleistung der Rechenschaftspflicht bzgl. der Verarbeitung der Klientendaten erfolgt, richtet sich die Speicherdauer der Beschäftigtendaten nach der Speicherdauer der entsprechenden Klientendaten. Die Speicherdauer der Klientendaten richtet sich nach den gesetzlichen Vorgaben, d.h. i.d.R. zehn Jahre entsprechend § 630f BGB, soweit nicht nach anderen Vorschriften andere Aufbewahrungsfristen bestehen. Allerdings kann nach einer Risikobewertung eine längere Aufbewahrung von bis zu 30 Jahren (§ 199 Abs. 2 BGB) erfolgen, damit im Falle eines Zivilprozesses die Möglichkeit des Nachweises einer ordnungsgemäßen Behandlung geführt werden kann.

Bewertung : akzeptabel

Maßnahmen zum Schutz der Persönlichkeitsrechte der betroffenen Personen

Wie werden die betroffenen Personen über die Verarbeitung informiert?

Bei Aufnahme in der Einrichtung bzw. beim erstmaligen Besuch der Einrichtung erhält jeder Patient eine Information, in welcher die notwendigen Angaben entsprechend der Informationspflichten gem. Art. 13, 14 DSGVO enthalten sind.

Bewertung : akzeptabel

Wenn anwendbar, wie wird die Einwilligung der betroffenen Personen eingeholt?

Einwilligungen werden schriftlich oder zumindest nachweisbar dokumentiert.

Bewertung : akzeptabel

Wie können Betroffene ihre Recht auf Auskunft und Datenübertragbarkeit ausüben?

Die betroffene Person kann durch einfache Anfrage gegenüber dem Verantwortlichen ihr Recht auf Auskunft und Datenübertragbarkeit ausüben. Die Daten lassen sich sodann aus PATFAK duplizieren.

Bewertung : akzeptabel

Wie können betroffene Personen ihr Recht auf Berichtigung und Löschung (Recht auf Vergessenwerden) ausüben?

Betroffene Personen können durch einfache Mitteilung ihr Recht auf Berichtigung und Löschung fordern. PATFAK ermöglicht die Korrektur und Löschung fehlerhafter Daten.

Bewertung : akzeptabel

Wie können betroffene Personen ihre Rechte auf Einschränkung oder Widerspruch der Verarbeitung ausüben?

Betroffene Personen können durch einfache Mitteilung ihr Recht auf Einschränkung der Verarbeitung oder Widerspruch der Verarbeitung ausüben. Der Klient wird darauf hingewiesen, dass ein Widerspruchsrecht ggf. durch gesetzliche Regelungen eingeschränkt wird, z.B. gesetzliche Bestimmungen.

Bewertung : akzeptabel

Sind die Verpflichtungen der Auftragsverarbeiter klar definiert und vertraglich geregelt?

Mit dem Hersteller ist ein Auftragsverarbeitungsvertrag abzuschließen, aus welchem die Verantwortlichkeiten hervorgehen. Die Einrichtung ist Verantwortlicher der Datenverarbeitung, während der Hersteller den PATFAK-Client bereitstellt.

Bewertung : akzeptabel

Soweit Datenübermittlungen in Länder außerhalb der Europäischen Union stattfinden, werden die Daten angemessen geschützt?

Datenübermittlungen in Länder außerhalb der Europäischen Union sind nicht vorgesehen.

Bewertung : akzeptabel

Risiken

Maßnahmen zum Schutz der Persönlichkeitsrechte der betroffenen Personen

Wie werden die betroffenen Personen über die Verarbeitung informiert?

Bei Aufnahme in der Einrichtung bzw. beim erstmaligen Besuch der Einrichtung erhält jeder Patient eine Information, in welcher die notwendigen Angaben entsprechend der Informationspflichten gem. Art. 13, 14 DSGVO enthalten sind.

Bewertung : akzeptabel

Verschlüsselung

Verschlüsslung zwischen PATFAK Anwendung und Datenbankserver (TLS 1.2); weitere Maßnahmen zur Verschlüsselung sind durch den Verantwortlichen zu treffen

Bewertung : akzeptabel

Rückverfolgbarkeit (Protokollierung)

Protokollierung aller Zugriffe (revisionssicher), Protokollierungskonzept (durch den Verantwortlichen bereitzustellen)

Bewertung : akzeptabel

Logische Zugriffskontrolle

Dem Verantwortlichen obliegen die Maßnahmen der Zugriffskontrolle, z.B.: Zugriffe anhand des Rollen- und Rechtekonzept; Passwortrichtlinie, Zuweisung von Benutzerprofilen, Verfahren bei Ausscheiden von Mitarbeitenden

Bewertung : akzeptabel

Bekämpfung von Malware

Dem Verantwortlichen obliegen die Maßnahmen: z.B. Anti-Malware-Programme auf allen Systemen.

Bewertung : akzeptabel

Umgang mit Datenschutzverletzungen

Dem Verantwortlichen obliegen die Maßnahmen: z.B. etabliertes Verfahren zur Meldung und Aufarbeitung von Datenschutzverletzungen; Einbeziehung des Datenschutzbeauftragten; Schulungen durch den Datenschutzbeauftragten

Bewertung : akzeptabel

Datensicherungen

Dem Verantwortlichen obliegen die Maßnahmen: z.B. regelmäßige Back-Ups anhand eines Backup- und Recovery-Konzepts

Bewertung : akzeptabel

Auftragsverarbeitungsvertrag

Abschluss von einem Auftragsverarbeitungsvertrag mit dem Hersteller.

Bewertung : akzeptabel

Netzwerksicherheit

Dem Verantwortlichen obliegen die Maßnahmen: z.B. Anti-Viren-Systeme, Anti-Malware-Systeme, Firewalls.

Bewertung : akzeptabel

Zugangskontrolle

Dem Verantwortlichen obliegen die Maßnahmen: z.B. Besucherregelung, Besucher in ständiger Begleitung.

Bewertung : akzeptabel

Datenschutzorganisation

Dem Verantwortlichen obliegen die Maßnahmen: z.B. Einbeziehung des externen
Datenschutzbeauftragten

Bewertung : akzeptabel

Sensibilisierungsmaßnahmen

Dem Verantwortlichen obliegen die Maßnahmen: z.B. regelmäßige Schulungen durch den externen Datenschutzbeauftragten für neue und bestehende Mitarbeitende

Bewertung : akzeptabel

Hardware-/ Gerätewartung

Dem Verantwortlichen obliegen die Maßnahmen: z.B. sämtliche Geräte werden regelmäßig gewartet und geupdated.

Bewertung : akzeptabel

Unrechtmäßiger Zugriff auf Daten

Was könnten die wesentlichen Auswirkungen für die betroffenen Personen sein, wenn das Risiko eintritt?

Psychische Belastungen, Diskriminierung, Arbeitsrechtliche Konsequenzen, Vertrauensverlust, Demütigung, Falschbehandlung

Was sind die Hauptbedrohungen, die zu dem Risiko führen könnten?

Menschliches Fehlverhalten, Technische Angriffe, Hacking, Phishing, Ungenügende technische und organisatorische Maßnahmen

Was sind die Risikoquellen?

Mitarbeiter, Hacker, böswillige Dritte, Stromausfall, Technische Fehler

Welche der identifizierten Maßnahmen tragen zur Bewältigung des Risikos bei?

Verschlüsselung, Rückverfolgbarkeit (Protokollierung), Logische Zugriffskontrolle, Bekämpfung von
Malware, Umgang mit Datenschutzverletzungen, Datensicherungen, Auftragsverarbeitungsvertrag,
Netzwerksicherheit, Zugangskontrolle, Sensibilisierungsmaßnahmen, Hardware-/ Gerätewartung

Wie schätzen Sie den Risikoschweregrad ein, insbesondere hinsichtlich der möglichen
Auswirkungen und geplanten Maßnahmen?

Überschaubar, Der Risikoschweregrad wird als überschaubar eingestuft.

Wie schätzen Sie die Eintrittswahrscheinlichkeit des Risikos ein, insbesondere
hinsichtlich der Bedrohungen, Risikoquellen und geplante Maßnahmen?

Geringfügig, Ergreift der Verantwortliche alle notwendigen technischen und organisatorischen
Maßnahmen, ist von einer geringfügigen Eintrittswahrscheinlichkeit auszugehen.

Bewertung : akzeptabel

Unerwünschte Veränderung von Daten

Was könnten die wesentlichen Auswirkungen für die betroffenen Personen sein, wenn
das Risiko eintritt?

Demütigung, Diskriminierung, Falschbehandlung, Psychische Belastungen, Vertrauensverlust

Was sind die Hauptbedrohungen, die zu dem Risiko führen könnten?

Hacking, Menschliches Fehlverhalten, Phishing, Technische Angriffe, Ungenügende technische und
organisatorische Maßnahmen

Was sind die Risikoquellen?

Hacker, Mitarbeiter, Stromausfall, Technische Fehler, böswillige Dritte

Welche der identifizierten Maßnahmen tragen zur Bewältigung des Risikos bei?

Verschlüsselung, Rückverfolgbarkeit (Protokollierung), Logische Zugriffskontrolle, Bekämpfung von Malware, Datensicherungen, Netzwerksicherheit, Zugangskontrolle, Datenschutzorganisation, Sensibilisierungsmaßnahmen, Hardware-/ Gerätewartung

Wie schätzen Sie den Risikoschweregrad ein, insbesondere hinsichtlich der möglichen Auswirkungen und geplanten Maßnahmen?

Geringfügig, Der Risikoschweregrad wird als geringfügig angesehen. Aufgrund des Rollen- und
Rechtekonzepts und der Protokollierung ist es unwahrscheinlich, dass eine unerwünschte
Veränderung von Daten nicht schnellstmöglich erkannt wird.

Wie schätzen Sie die Eintrittswahrscheinlichkeit des Risikos ein, insbesondere
hinsichtlich der Bedrohungen, Risikoquellen und geplante Maßnahmen?

Geringfügig, Ergreift der Verantwortliche alle notwendigen technischen und organisatorischen Maßnahmen ist von einer geringfügigen Eintrittswahrscheinlichkeit auszugehen

Bewertung : akzeptabel

Datenverlust

Was könnten die wesentlichen Auswirkungen für die betroffenen Personen sein, wenn das Risiko eintritt?

Demütigung, Diskriminierung, Falschbehandlung, Psychische Belastungen, Vertrauensverlust

Was sind die Hauptbedrohungen, die zu dem Risiko führen könnten?

Hacking, Menschliches Fehlverhalten, Technische Angriffe, Ungenügende technische und organisatorische Maßnahmen

Was sind die Risikoquellen?

Hacker, Mitarbeiter, Stromausfall, Technische Fehler, böswillige Dritte

Welche der identifizierten Maßnahmen tragen zur Bewältigung des Risikos bei?

Rückverfolgbarkeit (Protokollierung), Logische Zugriffskontrolle, Bekämpfung von Malware, Verschlüsselung, Umgang mit Datenschutzverletzungen, Datensicherungen, Auftragsverarbeitungsvertrag, Netzwerksicherheit, Zugangskontrolle, Datenschutzorganisation, Sensibilisierungsmaßnahmen, Hardware-/ Gerätewartung

Wie schätzen Sie den Risikoschweregrad ein, insbesondere hinsichtlich der möglichen Auswirkungen und geplanten Maßnahmen?

Geringfügig, Bei Implementierung eines geeigneten Backup- und Recoverykonzepts wird der Risikoschweregrad als geringfügig bewertet.

Wie schätzen Sie die Eintrittswahrscheinlichkeit des Risikos ein, insbesondere hinsichtlich der Bedrohungen, Risikoquellen und geplante Maßnahmen?

Geringfügig, Ergreift der Verantwortliche alle notwendigen technischen und organisatorischen Maßnahmen, ist von einer geringfügigen Eintrittswahrscheinlichkeit auszugehen.

Bewertung : akzeptabel