Das Verzeichnis der Bearbeitungstätigkeiten, das im nDSG vorgesehen ist und welches das frühere Register der Datensammlungen ablöst, müssen nicht alle Firmen führen: Im Gesetz ist vorgegeben, dass diejenigen Firmen ein solches Verzeichnis führen müssen, die mehr als 250 Mitarbeitende haben, wobei der Beschäftigungsgrad der einzelnen Personen keine Rolle spielt. In der Schweiz trifft das in der Gesundheitsbranche bloss auf Spitäler zu. Gleichzeitig sagt der Gesetzgeber aber auch, dass Firmen mit weniger als 250 Mitarbeitenden, welche besonders schützenswerte Personendaten in grossem Umfang bearbeiten oder ein Profiling mit hohem Risiko durchführen, ebenfalls ein solches Verzeichnis führen müssen.

Anwalt Roman Böhni sagt dazu: «Schweizer Arztpraxen werden in der Regel unter diese Pflicht fallen, da die Bearbeitung von besonders schützenswerten Personendaten eine Kerntätigkeit dieser Institutionen darstellt. Entsprechend sollte jede Arztpraxis ein solches Verzeichnis führen, was auch von der FMH empfohlen wird. Das Verzeichnis bildet das datenschutzrechtliche Fundament eines Unternehmens. Die Erstellung ist mit einem gewissen Initialaufwand verbunden, dient im Nachgang aber als wichtige Informationsquelle, beispielsweise im Rahmen der Beantwortung von Auskunftsbegehren.»

Das Bearbeitungsverzeichnis kommt aus dem Europäischen Recht und ist in der Schweiz ein Novum. Das Ziel des Gesetzgebers ist es, die Transparenz der Datenbearbeitungen innerhalb der Unternehmen zu erhöhen: Datenverarbeitungsprozesse sollen identifiziert, dokumentiert und transparent gemacht werden. Ausserdem dient das Verzeichnis im Falle einer behördlichen Überprüfung als Nachweis der Einhaltung der Datenschutzgrundsätze. Gleichzeitig schafft das Verzeichnis intern Klarheit darüber, wer welche Daten wo und wie bearbeitet und an wen diese gelangen.

Was gehört in dieses Bearbeitungsverzeichnis?
Zunächst sind sämtliche Bearbeitungstätigkeiten im Unternehmen zu identifizieren, in welchen Personendaten bearbeiten werden. In einem zweiten Schritt sind pro identifizierter Bearbeitungstätigkeiten die vom Gesetzgeber in Art. 12 nDSG geforderten Mindestangaben zu erfassen. Die FMH stellt dazu eine Vorlage und einen Leitfaden zur Verfügung, mit deren Hilfe die Arztpraxen ihren gesetzlichen Pflichten nachkommen können.

Wie detailliert eine Praxis die einzelnen Bearbeitungstätigkeiten im Bearbeitungsverzeichnis erfassen will, ist ihr weitgehend freigestellt. Roman Böhni sagt: «In kleineren Arztpraxen sind mindestens diejenigen Bearbeitungstätigkeiten abzubilden, bei welchen besonders schützenswerte Personendaten bearbeitet werden.» Auch bei der Wahl des Dokumentationstools sind die Firmen frei – sowohl Word als auch Excel ist möglich und zulässig. Zwar gibt es professionelle Tools, die Firmen kaufen können, jedoch sind diese für Arztpraxen in der Regel nicht nötig.

Beim Bearbeitungsverzeichnis handelt es sich um ein internes Dokument, welches auch den Mitarbeitenden zur Kenntnis gebracht werden kann. Allerdings muss klar sein, wer das Dokument bearbeiten darf. «Sonst entsteht schnell ein Chaos», warnt Roman Böhni.

Wer soll das Verzeichnis intern führen?
Sinnvoll ist es sicher, wenn sich eine Person um das Bearbeitungsverzeichnis kümmert, die einen guten Überblick über das gesamte Unternehmen und deren Prozesse hat. Die Verantwortung liegt am Schluss bei der Geschäftsleitung, in einer kleinen Praxis im Normalfall also beim Arzt, bei der Ärztin. Roman Böhni sagt dazu: «Natürlich muss man kein Jurist, keine Juristin sein, um dieses Verzeichnis zu führen. Aber es ist nötig, sich mit der Materie vertieft zu befassen. Eine Weiterbildung kann sinnvoll sein - oder am Anfang auch externe Hilfe.»

Die erwähnten Unterlagen der FMH zum Verzeichnis der Bearbeitungstätigkeiten finden sich auf der FMH-Webseite:

www.fmh.ch/files/pdf28/leitfaden-verzeichnis-der-bearbeitungstaetigkeiten.pdf