Ursprünglich veröffentlicht: https://www.kuketz-blog.de/datenschutz-was-patienten-zu-doctolib-und-ihren-rechten-wissen-muessen/
1. Sensible Gesundheitsdaten Wer einen Termin beim Arzt vereinbaren wollte, ist wahrscheinlich schon einmal bei Doctolib gelandet – einer populären Online-Plattform zur Terminbuchung. Oft führt der Weg dorthin automatisch über die Website der Arztpraxis, manchmal sogar ohne umfassende Informationen darüber, was mit den eingegebenen Daten passiert. Viele Patienten stört das offenbar wenig, denn Doctolib ist einfach zu bedienen und spart Zeit. Doch die Abläufe hinter der benutzerfreundlichen Oberfläche werfen Fragen auf: Datenschützer, IT-Spezialisten und zunehmend auch Ärzte sehen das System kritisch. Es geht um den Schutz sensibler Gesundheitsdaten und die Frage, wie transparent Doctolib mit diesen Informationen umgeht. In diesem…
Ich habe tatsächlich enen Arzt, der das nun laut seiner Website nutzt. Allerdings habe ich der Praxis bislang weder Handynummer noch Mailadresse gegeben, sodass ich vermutlich deshalb noch keine Terminbestätigung über die Firma bekommen habe. Ist es trotzdem sinnvoll, die Anfrage zu stellen? Ich hab’s jetzt einfach mal versucht und ne Mail mit Bitte um Auskunft geschrieben.
Mein Dermatologe nutzt den Service auch. Ich habe dort meine Handynummer hinterlegt und wurde damals gefragt ob ich per SMS einen Tag vor dem Termin erinnert werden möchte. Meine Termine mache ich immer telefonisch und habe Doctolib noch nie benutzt.
Dies habe ich verneint und nie etwas bekommen.
Ob und wer dort Zugriff auf meine Daten hat weiß ich leider nicht.
geht noch ‚besser‘ - eben habe ich einen freien kurzfristigen Termin bei einem Arzt auf Doctolib gefunden. Da ich diese Firma ablehne, habe ich dort angerufen:
„Hallo hier ist Manni, ich bin der digitale Assistent…“ - nach Aussprache von ‚Termin‘ und worum es ging, sollte ich Namen, Geburtsdatum und Krankenkasse mitteilen - habe aufgelegt.
Kurz danach kommt eine SMS „Termine können sie unter doctolib.de buchen, Ihr Praxisteam“.
Hat jemand einen Tip, wie ich solche Belästigungen und offensichtliche ungenehmigte Datenweitergaben unterbinden (und denen auch gern ans Bein pissen) kann?
Bin echt stinkesauer.
Warum?
Du wusstest doch, das die Praxis, für ihre Terminverwaltung, Doctolib nutzt.
nein, das wusste ich nicht - zumindest nicht, dass meine Mobilnummer, mit der ich ‚in der Praxis‘ anrief, dann für SMS genutzt wird.
Bei einer anderen Praxis fragt man per Kontaktformular auf deren Seite an, und erhält nach Bestätigung eine Rückmeldung von Doctolib - falls überhaupt, ist das lediglich im Klein(st)gedruckten versteckt, solche eine Weitergabe muss mMn immer aktiv vom Patienten bestätigt werden.
Auch diese Unsitte, Termine anzubieten (GKV vorausgewählt), und dann ‚‘‚nicht mehr verfügbar‘‚‘ wenn man Details eingibt, ist doch Verarschung (dann aber durch die Praxis)… Oder ausschliesslich mit Doctolib-Konto zu arbeiten, sollte mMn Ärzten verboten werden. Zum einen kann nicht jeder onlinbe buchen, will auch nicht immer Bekannte/Familie damit behelligen, oder man will es schlicht nicht. Letzteres darf aber kein Ausschlussgrund für einen Arztbesuch sein.
Im Artikel wird auf www.datenanfragen.de verwiesen, dort in der Suche finde ich doctolib nicht, wenn ich das in die Suche eingebe wird mir nur eine „Ada Health GmbH“ angezeigt.
seltsam:
Edit:
Ich hatte Sprache Deutsch und Land UK in der Einstellung. Hat sich die Seite wohl von meiner Browser-Language gezogen. Auf Deutschland umgestellt, dann gibt es auch doctolib
Ich habe den Artikel mal zum Anlass genommen so eine Anfrage an DoctoLib zu schicken.
Die Antwort ist im Prinzip „Wir sind nicht zuständig“.
In dem Artikel wird eine gemeinsame Verantwortlichkeit beschrieben. Mir ist aber nicht klar, wie ich das vernünftig in einer E-Mail formulieren kann. Hat da jemand Erfahrung?
Könnte wie folgt aussehen:
Sehr geehrte Damen und Herren,
ich beziehe mich auf Ihre Antwort bezüglich meiner Anfrage zur Ausübung meiner Betroffenenrechte gemäß DSGVO. Sie haben darauf verwiesen, dass Sie nicht zuständig seien.
Ich möchte Sie darauf aufmerksam machen, dass nach aktueller Rechtsauffassung eine gemeinsame Verantwortlichkeit gemäß Art. 26 DSGVO zwischen Ihnen und der Arztpraxis bestehen könnte. Dies wird unter anderem in einem Gutachten des Netzwerks Datenschutzexpertise dargelegt.
Sollten Sie diese gemeinsame Verantwortlichkeit bestreiten, bitte ich Sie, meine Anfrage gemäß Art. 28 Abs. 3 lit. e DSGVO an die verantwortliche Arztpraxis weiterzuleiten. Laut dieser Vorschrift müssen Sie und die Praxis vertragliche Regelungen getroffen haben, um die Ausübung der Rechte betroffener Personen zu gewährleisten.
Ich bitte Sie daher, entweder:
- Meine ursprüngliche Anfrage direkt zu bearbeiten, oder
- Meine Anfrage an die zuständige Arztpraxis weiterzuleiten und mir dies zu bestätigen.
Sollten Sie weiterhin der Ansicht sein, dass weder eine gemeinsame Verantwortlichkeit besteht noch eine Weiterleitung meiner Anfrage möglich ist, bitte ich um eine detaillierte Begründung unter Berücksichtigung der oben genannten rechtlichen Aspekte.
Ich danke Ihnen für Ihre Bemühungen und sehe Ihrer Antwort entgegen.
Mit freundlichen Grüßen
[Ihr Name]
Vielen Dank, habe ich mal direkt abgeschickt. Mal schauen was daraus wird 
Gerne.
Wenn deine Anfrage nicht zufriedenstellend bearbeitet oder mit fadenscheinigen Gründen abgewiesen wird, hast du mehrere Möglichkeiten:
1. Beschwerde bei der Datenschutzbehörde
Du kannst eine Beschwerde bei der zuständigen Datenschutzbehörde einreichen. Im Fall von Doctolib ist Berlin zuständig. Diese ist verpflichtet, deiner Beschwerde nachzugehen und kann gegebenenfalls Maßnahmen gegen Doctolib ergreifen.
2. Rechtliche Schritte
Als betroffene Person hast du das Recht, gerichtlich gegen Doctolib vorzugehen, wenn du der Meinung bist, dass deine Rechte verletzt wurden.
3. Erneute Kontaktaufnahme
Verfasse eine weitere, detailliertere E-Mail an Doctolib, in der du:
- Auf die rechtlichen Grundlagen (Art. 26 und Art. 28 DSGVO) verweist
- Die möglichen Konsequenzen einer Nichtbearbeitung erwähnst
- Um eine schriftliche, ausführliche Begründung für die Ablehnung bittest
4. Kontaktaufnahme mit der Arztpraxis
Wende dich direkt an die betreffende Arztpraxis und bitte um Unterstützung bei der Durchsetzung deiner Rechte gegenüber Doctolib.
Ich habe das nun auch mal ausprobiert und an zwei verschiedene solcher Terminbuchungsanbieter Auskunftsersuchen geschickt, die von Ärzten genutzt werden, die ich aufsuche. Beide Anbieter sind per datenanfragen.de auffindbar.
Ich habe bei keinem der beiden Anbieter jemals ein Konto angelegt und auch noch nie eine Einladungsbestätigung per Handy oder Mailadresse bekommen. Auch weiß ich nicht genau, wie die Praxen die beiden Anbieter nutzen (möglicherweise nur optional oder erst in Zukunft), nur dass sie die Anbieter nutzen, weil es auf den Praxiswebsites steht.
Einer der beiden Ärzte hat meine Mailadresse und Handynummer (Arzt A), der zweite weder die Mail noch die Handynummer (Arzt B).
In der Antwort eines der Terminbuchungsanbieter (der von Arzt B), die ich nun bekommen habe, steht vereinfach ausgedrückt genau das drin, was im Artikel im Ursprungspost von kuketzblog geschrieben wird.
Und speziell noch, man habe kein Konto unter den von mir gelieferten Daten (E-Mail und Anschrift) finden können. Meine Mailadresse sei nicht im System. Das ist nicht weiter verwunderlich, weil der betreffende Arzt die Mailadresse - wie gesagt - gar nicht hat und weil ich kein Konto bei dem Terminbuchungsunternehmen angelegt habe. Somit weiß der Terminbuchungsanbieter nicht, was er diesbezüglich löschen sollte. Soweit kann ich das nachvollziehen.
Was nun den mir bisher noch nicht bekannten Fall angeht, dass mein Arzt über den Terminbuchungsanbieter Bestätigungen oder Vorschläge an seine Patienten schicken wollte und dazu z.B. die gesamten Patientendaten seiner Praxis an den Anbieter übermitteln würde, verweist der Anbieter auf seine Rolle als Auftragsarbeiter (Art. 28 DSGVO), wozu er keine Genehmigung brauche. Man müsse sich stattdessen ggf. an die Praxis wenden, wenn man etwas gelöscht haben wolle usw.
Da weiß ich in diesem Fall (Arzt B) nicht so recht weiter. Ich bin froh, dass der Arzt weder Handynummer noch Mailadrese von mir bekommen hat, damit er sie gar nicht erst weitergeben kann. Ob er aber ggf. Stammdaten global übermittelt hat, weiß ich nicht.
Mein Zwischenfazit für diesen Fall, wo ich weder ein Konto bei dem Terminvermittler angelegt habe, noch jemals eine Bestätigung vom Arzt per Terminvermittler bekommen habe und der Arzt weder meine Handynummer noch Mailadresse hat, ist eher negativ, weil ich gar keinen echten Anhaltspunkt habe, außer dass der Arzt auf seiner Website schreibt, den Terminvermittler einzusetzen.
Zu allem Überfluss hat der Terminvermittler mit noch geschrieben, dass er meine Anfrage (Mailadresse und Adresse enthalten) speichern wird, weil er das angeblich muss.
Ich habe jetzt mal wie hier vorgeschlagen geantwortet:
Ansonsten warte ich jetzt mit Interesse auf die Antwort des zweiten Terminvermittlers (Arzt A).
Information und Verlangen an Arztpraxis
Ich habe zwei gute Erfahrungen gemacht, Ärzte direkt über Ihre rechtlich problematische Situation zu informieren und in diesem Zusammenhang die Löschung der Übermittlung meines Stammdatensatzes an doctolib zu verlangen. Mir wurde in diesen Fällen mitgeteilt, dass den Ärzten völlige datenschutzrechtliche Unbedenklichkeit vom Vertrieb doctolib bescheinigt wurde und das doctolib die Ärzte informiert hat, dass man die Patienten auch nicht um Zustimmung ersuchen müsse.
Mir wurde glaubhaft versichert, dass doctolib bei Einrichtung der Software / Schnittstelle alle Stammdaten an doctolib übertragen werden sollen, auch Stammdaten von Patienten die schon Jahre nicht mehr in der Praxis waren.
Den Ärzten ist nicht klar gewesen, dass hier ein eklatanter Verstoß gegen die Verschwiegenheitspflicht des Arztes organisiert wurde, für den sie strafrechtlich belangt werden können. Da ist ein enormes Informationsloch bei gleichzeitig hoher Organisationsbelastung in den Praxen zu vermuten.
Mir wurde damals klar, dass hier eine Methode zur Datensammlung von doctolib organisiert worden ist und man sich dagegen wehren muss.
Leider musste ich auch erfahren, dass der Datenschutzbeauftragte von Berlin hier bei Beschwerde eher untätig ist.
Gerne stelle ich bei Interesse meine Unterlagen zum Verwenden hier ein.
Hallo beisammen,
ich nutze doctolib nicht, habe dort also kein Konto. Allerdings nutzt meine Zahnarztpraxis doctolib. Als man mir die Datenschutzerklärung 2022 zur Unterschrift vorgelegt hat, habe ich den Passus mit doctolib durchgestrichen. Die Beschäftigte hat darauf nicht reagiert und daher vermut ich seither, dass Daten von mir an doctolib übermittelt werden. Eine Terminbestätigung o.ä. von doctolib habe ich allerdings nie erhalten.
Daher hatte ich doctolib im Jahr 2022 um Auskunft gemäß Artikel 15 DSGVO ersucht. Als Antwort erhielt ich lediglich die Auskunft, dass man zu meinen Daten kein Konto gefunden habe und daher keine Daten von mir verarbeitet würden. Aufgrund des neuen Artikels im kuketz-blog habe ich nun über datenfragen.de ein erneutes Auskunftsersuchen gestellt. Diesmal erhielt ich die Antwort, dass man zu meiner E-Mail Adresse keine Daten gefunden habe und daher keine Daten von mir verarbeitet würden. Das stimmt insofern, als die Praxis keine E-Mail Adresse von mir hat, wohl aber die Telefonnummer und natürlich meinen Namen.
Es wird dann noch ergänzend darauf hingewiesen, dass man möglicherweise Daten von mir als Auftragsverarbeiter verarbeite:
Zu Ihrer vollständigen Information möchten wir hinzufügen, dass Doctolib möglicherweise personenbezogene Daten von Ihnen als Auftragsverarbeiter verarbeitet, wenn Sie einen Termin bei einer Praxis vereinbart haben, die die Terminverarbeitungssoftware Doctolib zur Kalenderverwaltung nutzt. In dem Fall trägt die zuständige Fachkraft (bspw. Medizinische:r Fachangestellte:r oder Büromanager:in) auch bei telefonischer oder vor Ort Buchung des Termins den Namen und den Termin in das Doctolib System ein. Eine Einwilligung ist hierfür nicht notwendig, da die Gesundheitsfachkraft entscheidet, mit welchen technischen Mitteln er seine Termine organisiert. Die Delegierung der Kalenderverwaltung an einen externen Dienstleister (wie es Doctolib ist) ist über Art. 28 DSGVO zulässig. Die Gesundheitsfachkraft überträgt an einen Dienstleister eine Tätigkeit, nämlich hier die Terminverwaltung, die er sonst selbst vornehmen müsste. Doctolib schließt mit jeder Gesundheitsfachkraft eine Vereinbarung zur Auftragsverarbeitung (AVV) i.S.v. Art. 28 DSGVO ab.
Sofern Sie in einem solchen Fall Auskunft oder die Löschung Ihrer Daten wünschen, wenden Sie sich bitte an Ihre behandelnde Gesundheitsfachkraft als hierfür Verantwortlichen der Datenverarbeitung, da wir als Auftragsverarbeiter einerseits nur auf Weisung der Gesundheitsfachkraft handeln dürfen und andererseits durch unsere technisch-organisatorischen Maßnahmen wie zum Beispiel Pseudonymisierung keine Klarsicht Ihrer Daten haben und diese demnach nicht einzelnen Terminen/Gesundheitsfachkräften zuordnen können.
Ich bin etwas verblüfft, dass doctolib angeblich mit jeder Gesundheitsfachkraft einen eigenen Vertrag abschließen will. Die Mitarbeiter:innen in Arztpraxen sind doch abhängig Beschäftigte. Die sollen ernsthaft eigene Verträge am Arbeitgebenden vorbei abschließen?!
Im Ergebnis verweist mich doctolib also an die Zahnarztpraxis.
Meiner Meinung funktionieren die Ratschläge im kuketz-blog Artikel bei Personen ohne doctolib Konto nicht::
Ich müsste jetzt meine Zahnarztpraxis um Auskunft gemäß Artikel 15 DSGVO ersuchen. Evtl. bekommen die die geforderte Auskunft hin, evtl. auch nicht. Jedenfalls sehe ich nicht, wie ich anschließend die selektive Löschung der bei doctolib gespeicherten Daten verlangen soll, ohne dass ich gleich meinen Zahnarzt verliere. Das Terminverwaltungsprogramm von doctolib ist in das Praxismanagement eingebunden und die können meine Daten technisch vermutlich gar nicht mehr verarbeiten, wenn sie die bei doctolib verarbeiteten Daten löschen wollten. Oder anders ausgedrückt: Alles löschen, oder nichts.
Übesehe ich etwas Entscheidendes?
Viele Grüße
Marcus
Doctolib verweist auf ggf. eine Auftragsverarbeitung bzw. eine Auftragsverarbeitungs-Vereinbarung (AV-V)
Zu Ihrer vollständigen Information möchten wir hinzufügen, dass Doctolib möglicherweise personenbezogene Daten von Ihnen als Auftragsverarbeiter verarbeitet, wenn Sie einen Termin bei einer Praxis vereinbart haben, die die Terminverarbeitungssoftware Doctolib zur Kalenderverwaltung nutzt.
Sofern es eine AV-V zwischen Deinem Arzt und Doctolib gibt, wird darin in der Regel auch das Thema: Betroffenenrechte geregelt. I.d.R. nimmt die den Verantwortlichen in die Pflicht, allerdings sollte Doctolib in ihrer/seiner Auskunft allgemein auf diese Umstände bzw. derartige Pflichten hinweisen.
Du solltest daher bei Deinem Arzt die Auskunft nach Art. 15 DS-GVO anfordern.
Muster hierzu findest Du hier:
VZ
LfDIBW
Danke für die Rückmeldung. Ich werde mit der Fachangestellten bei meinem nächsten Praxisbesuch sprechen. Je nach Antwort werde ich dann wie vorgeschlagen verfahren.
Viele Grüße
Marcus