Patientendaten sicher verwalten: DSGVO im Gesundheitswesen

Eine Mitarbeiterin einer Gesundheitsberatung lädt eine Patientenliste in den falschen Cloud-Ordner. Nicht aus Nachlässigkeit, sondern weil mehrere Projekte denselben Dateinamen tragen und die Zugriffsrechte über Jahre gewachsen sind. Ein einzelner Klick genügt, damit Namen, Kontaktdaten und Informationen zu Behandlungen dort liegen, wo sie nicht hingehören. Genau an diesem Punkt wird das Thema patientendaten DSGVO praktisch: Datenschutz im Gesundheitswesen beginnt nicht erst bei einem Hackerangriff, sondern bei jedem Formular, jeder E-Mail und jedem internen Prozess.

Gesundheitsdaten gehören zu den besonders geschützten personenbezogenen Daten. Wer sie verarbeitet, braucht deshalb eine klare Rechtsgrundlage, nachvollziehbare Abläufe und angemessene technische und organisatorische Maßnahmen. Das gilt für Arztpraxen ebenso wie für Telemedizin-Anbieter, Gesundheits-Startups, Beratungen, Agenturen mit Gesundheitskunden oder SaaS-Teams, die Anwendungen für medizinische Prozesse entwickeln.

Dieser Leitfaden zeigt, worauf es bei der DSGVO im Gesundheitswesen ankommt, wie sich Risiken systematisch reduzieren lassen und welche Rolle geeignete Software dabei spielen kann. Er ersetzt keine individuelle Rechtsberatung, hilft aber dabei, die richtigen Fragen zu stellen und die eigenen Prozesse belastbar aufzusetzen.

Warum Gesundheitsdaten nach der DSGVO besonders geschützt sind

Die Datenschutz-Grundverordnung definiert Gesundheitsdaten als personenbezogene Informationen über die körperliche oder geistige Gesundheit einer Person. Dazu zählen auch Daten, die im Zusammenhang mit der Erbringung von Gesundheitsdienstleistungen stehen und Rückschlüsse auf den Gesundheitszustand ermöglichen. Die Definition ist weit: Sie umfasst nicht nur Diagnosen oder Befunde, sondern je nach Kontext auch Informationen über Behandlungen, Therapien, Arbeitsfähigkeit oder medizinische Termine.

Gesundheitsdaten fallen unter die besonderen Kategorien personenbezogener Daten nach Artikel 9 DSGVO. Ihre Verarbeitung ist grundsätzlich untersagt, sofern keine ausdrücklich geregelte Ausnahme greift. Die maßgeblichen Regelungen finden sich im vollständigen Text der DSGVO auf EUR-Lex.

In der Praxis bedeutet das: Eine Einwilligung ist nicht automatisch die einzige Möglichkeit, aber jede Verarbeitung braucht eine tragfähige Rechtsgrundlage. Je nach Zweck können beispielsweise die ausdrückliche Einwilligung der betroffenen Person, gesetzliche Pflichten, medizinische Versorgung oder ein gesetzlich geregeltes öffentliches Interesse relevant sein. Welche Grundlage passt, hängt vom konkreten Prozess ab.

Besonders wichtig ist die Zweckbindung. Daten, die für eine Behandlung erhoben wurden, dürfen nicht ohne Weiteres für Marketing, Produktanalysen oder eine Weitergabe an Dritte verwendet werden. Auch eine interne Nutzung muss zum festgelegten Zweck passen und auf das notwendige Maß beschränkt bleiben.

Welche Daten als Gesundheitsdaten gelten

Viele Organisationen unterschätzen, wie schnell aus scheinbar harmlosen Informationen Gesundheitsdaten werden. Ein einzelnes Datum ist nicht immer sensibel. In Kombination mit weiteren Angaben kann es jedoch Rückschlüsse auf eine Person oder ihren Gesundheitszustand ermöglichen.

Datenart	Beispiele	Praktische Konsequenz
Direkte Gesundheitsinformationen	Diagnosen, Befunde, Medikationspläne, Therapieinhalte	Besonders restriktive Verarbeitung und klarer Zweck erforderlich
Informationen über Versorgung	Behandlungstermine, Fachrichtung, Überweisungen, Pflegeleistungen	Zugriff nur für Personen mit nachvollziehbarem Arbeitsbezug
Arbeits- und Eignungsdaten	Ärztliche Stellungnahmen, Arbeitsunfähigkeitsinformationen, Gesundheitszeugnisse	Trennung von Personal- und Gesundheitsinformationen prüfen
Indirekte Angaben	Teilnahme an einer bestimmten Therapie, regelmäßige Besuche einer Fachpraxis	Kontext und Kombinationswirkung bewerten
Technische oder organisatorische Metadaten	Zugriffsprotokolle, Nutzerkonten, Formulare mit medizinischem Inhalt	Auch Nebendaten in Verzeichnissen und Logs berücksichtigen

Die Abgrenzung sollte nicht nur auf einzelne Felder schauen. Entscheidend ist, welche Informationen eine Person oder ein Team aus dem gesamten Datensatz ableiten kann. Der Europäische Gerichtshof stellt ebenfalls darauf ab, ob Daten Rückschlüsse auf den körperlichen oder geistigen Gesundheitszustand erlauben. Eine entsprechende Einordnung findet sich in der Rechtsprechung des Europäischen Gerichtshofs zu Gesundheitsdaten.

DSGVO im Gesundheitswesen: Die wichtigsten Pflichten

Rechtsgrundlage und Zweck dokumentieren

Vor der Erhebung sollte feststehen, warum die Daten benötigt werden und auf welcher Grundlage die Verarbeitung erfolgt. Eine pauschale Formulierung wie „zur Optimierung unserer Leistungen“ reicht für sensible Daten regelmäßig nicht als belastbare Prozessbeschreibung. Besser ist eine konkrete Zweckangabe: etwa die Organisation einer medizinischen Beratung, die Abrechnung einer Leistung oder die Erfüllung einer gesetzlichen Dokumentationspflicht.

Die Entscheidung muss nachvollziehbar bleiben. Dazu gehören der Zweck, die betroffenen Datenkategorien, die zugriffsberechtigten Rollen, die Speicherdauer und mögliche Empfänger. Diese Informationen gehören in die internen Datenschutzdokumentationen und, soweit erforderlich, in das Verzeichnis der Verarbeitungstätigkeiten.

Datenminimierung konsequent umsetzen

Ein Formular sollte nicht alles abfragen, was irgendwann nützlich sein könnte. Jede zusätzliche Angabe erhöht den Schutzbedarf, den Aufwand und das Risiko eines Fehlers. Für einen Termin kann beispielsweise zunächst die Kontaktmöglichkeit genügen. Eine detaillierte Krankengeschichte gehört nur dann in den Prozess, wenn sie für den konkreten Zweck tatsächlich erforderlich ist.

Ein guter Test lautet: Würde der Prozess auch funktionieren, wenn dieses Feld leer bleibt? Wenn ja, sollte die Erhebung zumindest begründet oder optional gestaltet werden.

Betroffenenrechte ermöglichen

Betroffene Personen haben unter anderem Rechte auf Auskunft, Berichtigung und unter bestimmten Voraussetzungen Löschung oder Einschränkung der Verarbeitung. In Organisationen muss deshalb klar sein, wo relevante Daten liegen und wie eine Anfrage bearbeitet wird. Verstreute Tabellen, private Postfächer und unstrukturierte Dateiablagen machen diesen Prozess unnötig schwierig.

Die Informationsbroschüre des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit zu DSGVO und BDSG erläutert die rechtlichen Grundlagen und den Umgang mit besonderen Kategorien personenbezogener Daten.

Auftragsverarbeitung prüfen

Wenn ein externer Dienstleister personenbezogene Daten im Auftrag verarbeitet, ist zu prüfen, ob eine Vereinbarung zur Auftragsverarbeitung erforderlich ist. Das kann etwa bei Cloud-Diensten, Hosting, Supportsystemen, Formularanbietern oder Kommunikationsplattformen relevant sein. Die Prüfung sollte nicht bei der Vertragsunterzeichnung enden: Anbieter, Verarbeitungsorte, Subunternehmer und Sicherheitsmaßnahmen können sich ändern.

Ein Anbieterlogo oder die Aussage „DSGVO-konform“ ersetzt keine eigene Prüfung. Entscheidend sind die konkreten Datenflüsse und die tatsächlich angebotenen Schutzmaßnahmen.

Technische und organisatorische Maßnahmen für Patientendaten

Datenschutz gesundheitswesen ist kein reines Dokumentationsthema. Die technischen und organisatorischen Maßnahmen müssen zum Risiko passen. Artikel 32 DSGVO nennt unter anderem die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit von Verarbeitungssystemen. Daraus folgt kein einzelner Pflichtkatalog für jede Organisation. Die angemessenen Maßnahmen hängen von Datenart, Umfang, Zweck und Bedrohungslage ab.

• Zugriffssteuerung: Rollen und Berechtigungen so gestalten, dass Mitarbeitende nur die für ihre Aufgaben erforderlichen Informationen sehen.
• Authentifizierung: Starke Passwörter, individuelle Konten und – wo verfügbar – zusätzliche Authentifizierungsfaktoren einsetzen.
• Verschlüsselung: Übertragungen und gespeicherte Daten gegen unbefugtes Mitlesen schützen.
• Gerätesicherheit: Dienstgeräte aktualisieren, absichern und bei Verlust sperren oder löschen können.
• Sichere Kommunikation: Vor dem Versand prüfen, ob Empfänger, Inhalt und Übertragungsweg zusammenpassen.
• Backups: Sicherungskopien regelmäßig erstellen und Wiederherstellungen testen.
• Protokollierung: Kritische Zugriffe und Änderungen nachvollziehbar machen, ohne mehr Protokolldaten als nötig zu sammeln.
• Löschkonzept: Aufbewahrungsfristen festlegen und Daten nach Ablauf sicher löschen oder anonymisieren.
• Schulungen: Mitarbeitende anhand echter Alltagssituationen sensibilisieren, etwa bei Fehlversand, Phishing oder gemeinsam genutzten Konten.

Die Verschlüsselung einer Anwendung ist wertvoll, aber sie löst nicht jedes Problem. Wenn ein Konto von mehreren Personen verwendet wird, eine Liste per ungeschütztem E-Mail-Anhang verschickt wird oder ein ausgeschiedenes Teammitglied weiter Zugriff besitzt, bleibt das Gesamtrisiko hoch.

Patientendaten sicher verwalten: eine praktische Schritt-für-Schritt-Anleitung

1. Datenflüsse aufnehmen: Liste alle Stellen auf, an denen Patientendaten entstehen, eingegeben, exportiert, geteilt oder gelöscht werden. Dazu gehören Formulare, E-Mail, Telefonnotizen, Kalender, Dateien, Abrechnung und Support.
2. Datenarten klassifizieren: Markiere Gesundheitsdaten und andere besonders schützenswerte Informationen. Berücksichtige auch Kombinationen aus Kontaktdaten, Terminen und Leistungsinformationen.
3. Zwecke festlegen: Beschreibe für jeden Prozess, warum die Daten erforderlich sind. Trenne Versorgung, Verwaltung, Abrechnung, Qualitätssicherung und Kommunikation.
4. Rechtsgrundlage prüfen: Ordne jedem Zweck eine passende Rechtsgrundlage zu. Bei Gesundheitsdaten ist zusätzlich die besondere Voraussetzung nach Artikel 9 DSGVO zu berücksichtigen.
5. Berechtigungen reduzieren: Definiere Rollen statt pauschaler Vollzugriffe. Prüfe regelmäßig, ob Rechte noch benötigt werden.
6. Speicherorte vereinheitlichen: Vermeide parallele Ablagen in lokalen Ordnern, privaten Konten und unkontrollierten Tabellen. Ein nachvollziehbarer, abgesicherter Prozess ist leichter zu schützen.
7. Löschfristen festlegen: Dokumentiere, welche Daten wie lange benötigt werden und wer die Löschung ausführt oder kontrolliert.
8. Verträge und Anbieter prüfen: Kläre Verarbeitungsort, Auftragsverarbeitung, Unterauftragnehmer, Sicherheitsmaßnahmen und Supportzugriffe.
9. Notfallprozess definieren: Lege fest, was bei Verlust eines Geräts, Fehlversand, unberechtigtem Zugriff oder einem Ausfall passiert. Zuständigkeiten sollten vor dem Vorfall klar sein.
10. Regelmäßig testen: Führe Berechtigungsreviews, Wiederherstellungstests und kurze Phishing- oder Fehlversandübungen durch.

Diese Reihenfolge ist bewusst pragmatisch: Erst Transparenz schaffen, dann Risiken priorisieren. Wer sofort ein neues Tool einführt, ohne Datenflüsse und Zwecke zu verstehen, digitalisiert häufig nur bestehende Unklarheit.

Typische Fehler bei der DSGVO-konformen Verarbeitung

„Wir speichern nichts Sensibles“

Auch kleine Organisationen verarbeiten schnell Gesundheitsdaten. Ein Termin bei einer Fachrichtung, eine Notiz zur Arbeitsfähigkeit oder ein Formular mit Therapieangabe kann bereits besonders schutzwürdig sein. Die Größe des Unternehmens ändert nichts an der Sensibilität der Daten.

Gemeinsame Konten und Sammelpasswörter

Gemeinsame Zugänge sind bequem, verhindern aber eine saubere Zuordnung von Zugriffen und Änderungen. Außerdem lassen sie sich beim Rollenwechsel schlecht kontrollieren. Individuelle Nutzerkonten und ein geregelter Prozess für Ein- und Austritte sind die bessere Grundlage.

Zu viele Daten in Freitextfeldern

Freitext wirkt flexibel, führt aber leicht zu unnötigen oder unstrukturierten Angaben. Mitarbeitende schreiben dort möglicherweise mehr, als für den Zweck erforderlich ist. Strukturierte Felder, klare Eingabehinweise und Schulungen reduzieren dieses Risiko.

Unverschlüsselte E-Mail-Anhänge

Der Versand einer Patientenliste an eine falsche Adresse ist ein klassischer Fehler. Vor jedem Versand sollte die Empfängeradresse geprüft werden. Für sensible Informationen müssen sichere Übertragungswege und gegebenenfalls zusätzliche Schutzmaßnahmen vorgesehen werden.

„Die Software ist DSGVO-konform, also sind wir fertig“

Eine dsgvo konforme software kann Prozesse unterstützen, aber sie ersetzt weder die Rechtsgrundlage noch die organisatorische Verantwortung. Falsch konfigurierte Berechtigungen, unnötige Exporte oder zu lange Speicherzeiten bleiben auch in einer sicheren Plattform problematisch.

Wie cashwerk beim sicheren Organisationsrahmen einzuordnen ist

Für moderne Service-Unternehmen und Teams kann es sinnvoll sein, geschäftliche Informationen nicht über zahlreiche Einzellösungen zu verteilen. cashwerk verarbeitet und speichert Daten auf Google Cloud in der EU, konkret in der Region europe-west4 in den Niederlanden. Die Daten bleiben damit innerhalb der EU. Eine verschlüsselte Verbindung zu cashwerk sowie verschlüsselt gespeicherte Daten gehören zu den von cashwerk angegebenen Sicherheitsmaßnahmen.

Die Details zum Umgang mit personenbezogenen Daten, zu Verarbeitungszwecken und zum Datenstandort finden sich in der Datenschutzerklärung von cashwerk. Weitere Informationen zu den beschriebenen Sicherheitsmaßnahmen stehen auf der Seite Sicherheit bei cashwerk.

Für die eigene Bewertung bleibt der konkrete Anwendungsfall entscheidend. Patientendaten sollten nur dann in einem System verarbeitet werden, wenn Zweck, Rechtsgrundlage, Rollen, Aufbewahrung und vertragliche Voraussetzungen geprüft sind. Eine Plattform kann dabei die Organisation von Informationen unterstützen; sie nimmt dem verantwortlichen Unternehmen diese Prüfung nicht ab.

cashwerk gibt es dauerhaft kostenlos für einen Nutzer. Starter und Business können 14 Tage kostenlos getestet werden. Die Preise gelten pro aktivem Nutzer und netto zuzüglich 19 Prozent Mehrwertsteuer; eine Einrichtungsgebühr fällt laut den bereitgestellten Produktinformationen nicht an. Wer zunächst nur einen internen Prozess strukturieren möchte, kann cashwerk kostenlos starten oder die Tarife und Preise ansehen.

Checkliste für die nächste Datenschutzprüfung

• Ist dokumentiert, welche Gesundheitsdaten verarbeitet werden?
• Ist für jeden Verarbeitungsschritt ein konkreter Zweck festgelegt?
• Ist die Rechtsgrundlage einschließlich der Anforderungen für besondere Datenkategorien geprüft?
• Sind nur die erforderlichen Datenfelder verpflichtend?
• Verfügt jede berechtigte Person über ein eigenes Konto?
• Werden Berechtigungen bei Rollenwechseln und Austritten zeitnah angepasst?
• Sind Datenübertragung und Speicherung angemessen geschützt?
• Ist der Standort der Verarbeitung bei Cloud-Anbietern bekannt?
• Gibt es erforderliche Vereinbarungen zur Auftragsverarbeitung?
• Sind Lösch- und Aufbewahrungsfristen dokumentiert?
• Ist ein Prozess für Datenschutzverletzungen bekannt?
• Wissen Mitarbeitende, wie sie Fehlversand und verdächtige Nachrichten melden?

Die Liste ist kein Zertifikat und keine vollständige Datenschutzprüfung. Sie eignet sich als Startpunkt für ein internes Review. Bei umfangreicher Verarbeitung besonderer Kategorien oder hohem Risiko sollte zusätzlich fachkundige Datenschutzberatung einbezogen werden.

Häufig gestellte Fragen (FAQ)

Was bedeutet „Patientendaten DSGVO-konform verwalten“?

DSGVO-konforme Verwaltung bedeutet, Patientendaten rechtmäßig, zweckgebunden, transparent und sicher zu verarbeiten. Dazu gehören eine passende Rechtsgrundlage, die zusätzlichen Anforderungen für Gesundheitsdaten, Datenminimierung, angemessene Sicherheitsmaßnahmen und geregelte Löschfristen. Außerdem müssen Betroffenenrechte praktisch erfüllbar sein. Der Begriff bedeutet nicht, dass eine Software oder ein Unternehmen automatisch für jeden denkbaren Prozess konform ist. Entscheidend sind immer die konkrete Verarbeitung, die Konfiguration, die beteiligten Dienstleister und die Arbeitsweise der Organisation. Eine strukturierte Dokumentation hilft, Entscheidungen später nachvollziehbar zu machen.

Sind Gesundheitsdaten nach der DSGVO immer verboten?

Nein. Artikel 9 DSGVO enthält zunächst ein grundsätzliches Verbot der Verarbeitung besonderer Kategorien, sieht aber mehrere Ausnahmen vor. Dazu können je nach Fall beispielsweise eine ausdrückliche Einwilligung, medizinische Versorgung, arbeitsmedizinische Zwecke oder gesetzliche Verpflichtungen gehören. Welche Ausnahme greift, hängt vom konkreten Zweck und vom anwendbaren nationalen Recht ab. Gesundheitsdaten dürfen deshalb nicht einfach verarbeitet werden, nur weil die betroffene Person sie freiwillig übermittelt hat. Die Rechtsgrundlage und die zusätzlichen Voraussetzungen müssen für den konkreten Vorgang geprüft und dokumentiert werden.

Reicht eine Einwilligung für die Verarbeitung von Patientendaten?

Eine Einwilligung kann eine geeignete Grundlage sein, wenn sie freiwillig, informiert, eindeutig und für den konkreten Zweck erteilt wird. Bei Gesundheitsdaten gelten zusätzliche Anforderungen. Die Einwilligung darf außerdem nicht als pauschaler Freibrief für spätere, nicht klar beschriebene Zwecke verstanden werden. Sie muss widerrufbar sein, wobei der Widerruf die Rechtmäßigkeit der bisherigen Verarbeitung nicht automatisch beseitigt. In manchen Versorgungssituationen kann eine andere Rechtsgrundlage passender sein. Deshalb sollte nicht reflexartig jede Verarbeitung über ein Einwilligungsformular gelöst werden.

Welche technischen Maßnahmen sind für Gesundheitsdaten besonders wichtig?

Wichtig sind vor allem individuelle Zugänge, restriktive Berechtigungen, sichere Authentifizierung, Verschlüsselung, regelmäßige Updates, belastbare Backups und ein geregeltes Berechtigungsmanagement. Hinzu kommen organisatorische Maßnahmen wie Schulungen, klare Zuständigkeiten, ein Löschkonzept und ein Notfallprozess. Die Auswahl muss risikobasiert erfolgen. Eine kleine Organisation mit wenigen Fällen hat andere Anforderungen als eine Plattform, die große Mengen an Gesundheitsdaten verarbeitet. Entscheidend ist das Zusammenspiel: Verschlüsselung allein schützt nicht vor falsch vergebenen Zugriffsrechten oder einem Fehlversand.

Ist Cloud-Software im Gesundheitswesen grundsätzlich erlaubt?

Cloud-Software ist nicht automatisch verboten. Vor der Nutzung müssen jedoch unter anderem Zweck, Datenkategorien, Verarbeitungsort, Sicherheitsmaßnahmen, Zugriffe des Anbieters und vertragliche Grundlagen geprüft werden. Bei einer Auftragsverarbeitung kann eine entsprechende Vereinbarung erforderlich sein. Außerdem muss die Organisation sicherstellen, dass die Anwendung passend konfiguriert und im Alltag korrekt genutzt wird. Aussagen wie „Cloud ist sicher“ oder „Cloud ist unsicher“ greifen zu kurz. Maßgeblich ist die konkrete Architektur und die eigene Risikobewertung.

Was sollte bei einem Datenschutzvorfall passieren?

Ein Vorfall sollte sofort intern gemeldet und dokumentiert werden, auch wenn zunächst unklar ist, wie groß das Risiko ist. Beispiele sind ein falsch versendeter Befund, ein verlorenes Gerät, ein kompromittiertes Konto oder ein unberechtigter Zugriff. Die zuständige Stelle muss den Sachverhalt bewerten, betroffene Daten und Personen identifizieren und erforderliche Maßnahmen einleiten. Je nach Risiko können Meldepflichten gegenüber der Aufsichtsbehörde und Informationspflichten gegenüber Betroffenen bestehen. Ein vorher definierter Notfallprozess verhindert, dass in der kritischen Situation Zuständigkeiten und Fristen erst gesucht werden.

Kann eine dsgvo konforme software die Datenschutzpflichten übernehmen?

Nein. Software kann bei Zugriffsschutz, Strukturierung, Verschlüsselung oder nachvollziehbaren Abläufen unterstützen. Die Verantwortung für Zweck, Rechtsgrundlage, Datenminimierung, Fristen und korrekte Nutzung bleibt jedoch beim verantwortlichen Unternehmen. Auch eine technisch gut abgesicherte Anwendung wird problematisch, wenn zu viele Personen Zugriff erhalten oder Daten für einen neuen Zweck exportiert werden. Vor der Auswahl sollten deshalb nicht nur Funktionslisten, sondern auch Datenflüsse, Vertragsunterlagen, Speicherorte und Konfigurationsmöglichkeiten geprüft werden.

Fazit

Patientendaten nach der DSGVO sicher zu verwalten, ist weniger eine Frage einzelner Checkboxen als eine Frage sauberer Prozesse. Organisationen müssen wissen, welche Gesundheitsdaten sie verarbeiten, warum sie sie benötigen, wer darauf zugreifen darf und wann sie gelöscht werden. Dazu kommen passende Rechtsgrundlagen, sichere Systeme, geschulte Mitarbeitende und ein klarer Notfallplan.

Die wirksamste Verbesserung ist oft nicht spektakulär: weniger unkontrollierte Dateien, individuelle Zugänge, klare Rollen und eine zentrale, nachvollziehbare Arbeitsweise. Software kann diesen Rahmen unterstützen, wenn sie zum Risiko und zum konkreten Zweck passt. Bei cashwerk liegen die Daten laut den bereitgestellten Produktinformationen auf Google-Cloud-Servern in der EU, in der Region europe-west4 in den Niederlanden; Verbindung und gespeicherte Daten sind verschlüsselt. Details sollten vor einer Nutzung immer anhand der Datenschutzerklärung und des eigenen Verarbeitungsszenarios geprüft werden.

Wer die eigenen Abläufe zunächst mit einem kleinen Team strukturieren möchte, kann cashwerk dauerhaft kostenlos für einen Nutzer starten. Für Starter und Business steht ein 14-tägiger kostenloser Test zur Verfügung. Der erste sinnvolle Schritt bleibt jedoch die Bestandsaufnahme: Welche Daten fließen heute wohin – und wer muss sie wirklich sehen?

Quellen und weiterführende Literatur

1. Datenschutz-Grundverordnung (DSGVO), EUR-Lex
2. Europäischer Gerichtshof: Einordnung von Gesundheitsdaten
3. BfDI: DSGVO – BDSG
4. BfDI: FAQ Beschäftigtendatenschutz
5. BfDI: Gesundheitsdatenschutz und Gesundheitsdatennutzbarkeit
6. BfDI: Neue Entwicklungen in der Forschung mit Gesundheitsdaten
7. cashwerk: Datenschutzerklärung
8. cashwerk: Sicherheit