Praxisinformationen
Grenzstraße 4, 26382 Wilhelmshaven
info@havenmed.de
Datenschutzinformationen für Patient:innen
[Version 1.0, Stand: Oktober 2025]
Liebe Patientin, lieber Patient,
der Schutz Ihrer personenbezogenen Daten und der sichere, gesetzeskonforme Umgang damit liegen uns sehr am Herzen. Nach der Datenschutz-Grundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG) informieren wir Sie darüber, zu welchem Zweck unsere Praxis personenbezogene Daten erhebt, speichert oder weiterleitet und welche Rechte Ihnen zustehen.
1. Verantwortlichkeit für die Datenverarbeitung
Verantwortlich für die Datenverarbeitung ist:
MVZ havenmed GmbH
Grenzstraße 4
26382 Wilhelmshaven
04421 7582780
info@havenmed.de
Vertreten durch die Geschäftsführung: Andreas Lang, Robin Knijn
Den/die zuständige/n Datenschutzbeauftragte/n erreichen Sie unter: Melanie Koopmann (melanie.koopmann@doktor.de), Suzan Amon (suzan.ammon@doktor.de)
2. Zu welchem Zweck verarbeiten wir Ihre personenbezogenen Daten und auf welcher Rechtsgrundlage?
Wir verarbeiten Ihre personenbezogenen Daten, insbesondere Gesundheitsdaten, zur Erfüllung des Behandlungsvertrages und zur Einhaltung gesetzlicher Pflichten.
Verarbeitete Datenkategorien:
- Stammdaten (Name, Anschrift, Kontaktdaten, Geburtsdatum)
- Versicherungsdaten (Versichertennummer, Kostenträger, Abrechnungsinformationen)
- Gesundheitsdaten (Anamnesen, Diagnosen, Befunde, Therapievorschläge, Arztbriefe, Laborwerte)
- Termin- und Kommunikationsdaten (Terminvereinbarung, Terminerinnerungen, Kontaktverlauf)
Zwecke der Verarbeitung:
- Medizinische Behandlung und Dokumentation
- Abrechnung mit gesetzlichen und privaten Krankenkassen bzw. Verrechnungsstellen
- Terminverwaltung und optional Terminerinnerungen
- Qualitätsmanagement und Erfüllung gesetzlicher Melde- und Nachweispflichten
Rechtsgrundlagen:
- Erfüllung des Behandlungsvertrags: Art. 6 Abs. 1 lit. b DSGVO
- Verarbeitung besonderer Kategorien (Gesundheitsdaten) im Gesundheitsbereich: Art. 9 Abs. 2 lit. h DSGVO i. V. m. § 22 Abs. 1 Nr. 1 lit. b BDSG
- Gesetzliche Pflichten: Art. 6 Abs. 1 lit. c DSGVO (z. B. Dokumentations- und Aufbewahrungspflichten)
- Einwilligung (z. B. Terminerinnerungen oder optionale Leistungen): Art. 6 Abs. 1 lit. a DSGVO, Art. 9 Abs. 2 lit. a DSGVO
Wichtig: Die Erhebung von Gesundheitsdaten ist Voraussetzung für Ihre Behandlung. Ohne diese Informationen können wir unsere Pflichten aus dem Behandlungsvertrag nicht erfüllen und keine sorgfältige Behandlung gewährleisten.
3. Wer erhält Ihre Daten?
Wir übermitteln personenbezogene Daten nur, wenn eine gesetzliche Grundlage dies erlaubt oder Sie ausdrücklich eingewilligt haben.
Mögliche Empfänger:
- Andere behandelnde Ärztinnen/Ärzte und Psychotherapeutinnen/Psychotherapeuten
- Kassenärztliche Vereinigungen (KV), Ärztekammern
- Gesetzliche und private Krankenversicherungen, Medizinischer Dienst
- Privatärztliche Verrechnungsstellen/Abrechnungsdienstleister
- Diagnostik- und Labordienstleister
- IT-Dienstleister und Anbieter von Praxis- und Terminverwaltungssystemen als Auftragsverarbeiter (vertraglich gebunden, Verarbeitung nur nach unserer Weisung)
Hinweis zu Drittstaatenübermittlungen:
Eine Übermittlung in Länder außerhalb der EU/des EWR erfolgt grundsätzlich nicht. Sollte im Einzelfall eine Drittlandsübermittlung erforderlich sein (z. B. durch IT-Dienstleister), stellen wir geeignete Garantien nach Art. 44 ff. DSGVO sicher und informieren Sie gesondert.
4. Wie lange speichern wir Ihre Daten?
Wir speichern Ihre personenbezogenen Daten so lange, wie dies für die Durchführung der Behandlung erforderlich ist und wie wir gesetzlich dazu verpflichtet sind.
- Medizinische Behandlungsdokumentation: in der Regel mindestens 10 Jahre nach Abschluss der Behandlung (§§ 630a ff. BGB, Art. 9 Abs. 2 lit. h DSGVO )
- Spezialvorschriften können längere Fristen vorsehen (z. B. Dokumentation nach Strahlenschutzrecht)
- Vor Ablauf gesetzlicher Aufbewahrungsfristen besteht kein Anspruch auf Löschung
5. Welche Rechte haben Sie?
Sie haben folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:
- Auskunft über die Sie betreffenden personenbezogenen Daten (Art. 15 DSGVO)
- Berichtigung unrichtiger Daten (Art. 16 DSGVO)
- Löschung der verarbeiteten Daten (Art. 17 DSGVO), soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
- Widerspruch (Art. 21 DSGVO), soweit die Verarbeitung auf einer Interessenabwägung beruht
- Widerruf von Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
- Beschwerderecht: Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, wenn Sie die Verarbeitung Ihrer personenbezogenen Daten für unrechtmäßig halten. Zuständig ist die Aufsichtsbehörde am Sitz der Praxis.
Landesbeauftragter für den Datenschutz Niedersachsen
Prinzenstraße 5
30159 Hannover
0511 120-4500
poststelle@lfd.niedersachsen.de
6. Pflicht zur Bereitstellung der Daten
Die Bereitstellung Ihrer Gesundheitsdaten ist für die Durchführung des Behandlungsvertrages erforderlich. Ohne diese Daten ist eine Behandlung nicht möglich.
7. Woher stammen die Daten?
In der Regel erheben wir die Daten direkt bei Ihnen. Zusätzlich können Daten von anderen behandelnden Stellen, Laboren, Krankenhäusern oder Ihrer Krankenversicherung übermittelt werden (z. B. Arztbriefe, Befunde).
8. Technische und organisatorische Maßnahmen (Kurzinfo)
Wir treffen angemessene technische und organisatorische Maßnahmen zum Schutz Ihrer Daten, z. B. rollenbasierte Zugriffskontrollen, Verschlüsselung, Protokollierung, regelmäßige Schulungen und Auftragsverarbeitungsverträge mit Dienstleistern.
Herzlich grüßt Sie Ihr Praxisteam
Interne Meldestelle nach dem Hinweisgeberschutzgesetz (HinSchG)
Unsere interne Meldestelle nimmt vertraulich Hinweise auf mögliche Rechtsverstöße im Sinne des § 2 HinSchG entgegen und bearbeitet diese gesetzeskonform. Ziel ist es, Risiken frühzeitig zu erkennen, aufzuklären und geeignete Maßnahmen zu ergreifen – bei gleichzeitigem Schutz der hinweisgebenden Person vor Repressalien.
Kontakt der internen Meldestelle
Marlene Schlichtung
General Counsel, Syndikusrechtsanwältin
Doktorde GmbH
hinweise@doktor.de
+49 (0)160 339 659 1
Auf Wunsch wird innerhalb angemessener Frist ein persönliches Gespräch angeboten.
Wer kann eine Meldung vornehmen?
Die Verfahrensordnung gilt für alle Beschäftigten (inkl. Ärzt:innen, Medizinische:r Fachangestellte:r, Verwaltung, Auszubildende, Praktikant:innen), ehemaligen Beschäftigten, Bewerber:innen, Dienstleister, Lieferanten sowie andere Personen mit beruflichem Bezug zu unserer Praxis. Patient:innen können Hinweise geben, wenn ein beruflicher Kontext zur Praxis vorliegt, etwa bei Abrechnungsfragen.
Was kann gemeldet werden?
Meldungen sollen sich auf Rechtsverstöße beziehen. Hierzu zählen insbesondere Straftaten (z. B. Korruption, Betrug, Diebstahl), Verstöße gegen Arbeitsschutz, Gesundheitsschutz und Patientensicherheit, und IT‑Sicherheitsverletzungen, abrechnungs- und berufsrechtliche Verstöße sowie Verstöße gegen Wettbewerbs‑, Verbraucher‑ und Umweltschutzvorschriften. Allgemeine Beschwerden ohne Rechtsbezug (z. B. Terminärgernisse oder Servicefragen) oder potenzielle Datenschutzverstöße sind nicht Gegenstand der internen Meldestelle; hierfür stehen die üblichen Praxiskontakte zur Verfügung.
Meldungen über privates Fehlverhalten ohne Bezug zur beruflichen Tätigkeit oder unbegründete Spekulationen oder Gerüchte wie auch falsche Verdächtigungen (§ 9 Abs. 1 HinSchG) sind nicht geschützt.
Welche Rolle und Verantwortung trägt die interne Meldestelle?
Die interne Meldestelle nimmt Hinweise entgegen, koordiniert die Prüfung, steuert Folgemaßnahmen und kommuniziert mit Hinweisgebenden. Die Meldestellenleitung stellt Unabhängigkeit, angemessene Ressourcen sowie Schulungen sicher. Diese Verfahrensordnung wird mindestens jährlich oder anlassbezogen (insbesondere bei Gesetzesänderungen) überprüft und bei Änderungen bekanntgegeben.
Nach welchen Grundsätzen handelt die interne Meldestelle?
Die interne Meldestelle handelt unabhängig und weisungsunabhängig in Bewertung und Verfahren. Vertraulichkeit und die Rechte der betroffenen Personen (einschließlich der Unschuldsvermutung) werden gewahrt. Maßnahmen sind verhältnismäßig und orientieren sich an Schwere, Relevanz und Risiko. Jede fallbezogene Kommunikation wird sorgfältig dokumentiert. In regelmäßigen Abständen berichtet die Meldestelle anonymisiert über Erkenntnisse, Trends und Präventionsmaßnahmen an die Geschäftsführung, ohne Rückschlüsse auf die Identität von Hinweisgebenden zu ermöglichen.
Wie ist das Meldeverfahren gestaltet?
- Art der Meldung und Vertraulichkeit
Meldungen können vertraulich oder anonym erfolgen.
- Anonyme Meldungen:
- Es sollten keine personenbezogenen Angaben gemacht werden, die Rückschlüsse auf die Identität zulassen.
- Vertrauliche (namentliche) Meldungen:
- Die Identität der hinweisgebenden Person wird strikt vertraulich behandelt.
- Offenlegung erfolgt nur, wenn dies rechtlich zwingend erforderlich ist (z. B. gesetzliche Auskunftspflichten, behördliche Anforderungen).
- Need-to-know-Prinzip:
- Zugriff auf Hinweise und Identitätsdaten erhalten ausschließlich Personen, die für die Bearbeitung erforderlich sind.
- Inhaltliche Anforderungen an Meldungen
Für eine sachgerechte Prüfung wird empfohlen, den Sachverhalt so konkret wie möglich zu schildern:
- Was ist geschehen?
- Wann und wo?
- Wer war beteiligt?
- Welche Belege existieren? (Dokumente, E-Mails, Fotos, Logs etc.)
- Ggf. Einschätzung zu Risiken (Patientensicherheit, IT-Sicherheit, strafrechtliche Relevanz).
- Eingangsbestätigung
Sofern eine Kontaktaufnahme möglich ist, erhält die hinweisgebende Person eine Eingangsbestätigung unverzüglich, spätestens innerhalb von 7 Kalendertagen nach Eingang des Hinweises.
- Vorprüfung durch die interne Meldestelle
Im Rahmen der Vorprüfung prüft die interne Meldestelle zunächst, ob der Hinweis in den Anwendungsbereich des Hinweisgeberschutzgesetzes fällt. Anschließend erfolgt eine Plausibilitätsprüfung, in der die Stichhaltigkeit und Vollständigkeit der Angaben erstmals bewertet werden. Darauf aufbauend nimmt die interne Meldestelle eine erste rechtliche Würdigung sowie eine Risikobewertung vor, wobei insbesondere die Relevanz für die Patientensicherheit, die IT-Sicherheit, den Arbeits- und Gesundheitsschutz, den Datenschutz sowie etwaige strafrechtliche Aspekte betrachtet wird. Abschließend legt die interne Meldestelle das weitere Vorgehen fest und entscheidet, ob die Bearbeitung an die zuständige operative Einheit (die betroffene Praxis bzw. Einheit) übergeben wird oder ob sie aufgrund besonderer Konstellationen durch die interne Meldestelle selbst erfolgt (siehe Abschnitt 6).
- Hinweisbearbeitung durch die zuständige operative Einheit
Die interne Meldestelle bereitet den Hinweis inhaltlich auf und übergibt ihn anschließend an die unmittelbar betroffene operative Einheit, zum Beispiel an die jeweilige Praxis. Die operative Einheit ist verpflichtet, den Sachverhalt sorgfältig aufzuklären, angemessene Abhilfe- und Sicherungsmaßnahmen einzuleiten und der internen Meldestelle über die Ergebnisse sowie die ergriffenen Maßnahmen Bericht zu erstatten. Nimmt die Bearbeitung ab dem Zeitpunkt der Weitergabe mehr als zwei Monate in Anspruch, erstellt die operative Einheit einen Zwischenbericht. Bei Bedarf werden fachkundige Stellen wie IT, Arbeitsschutz, Datenschutz oder die Medizinische Leitung hinzugezogen; dies erfolgt stets nach dem Need-to-know-Prinzip und unter Wahrung der Vertraulichkeit.
- Hinweisbearbeitung in besonderen Fällen durch die interne Meldestelle
Die interne Meldestelle bearbeitet Hinweise direkt, wenn:
- kein Einzelsachverhalt vorliegt (mehrere oder strukturelle Fälle),
- die Geschäftsführung oder Leitung einer operativen Einheit betroffen sein könnte,
- der Sachverhalt durch die strategische Ausrichtung oder zentrale Prozesse von Doktor.De bedingt sein könnte,
- oder wenn besondere rechtliche/forensische Anforderungen dies gebieten.
- Maßnahmen bei Gefahr im Verzug
Bei Gefahr im Verzug werden sofort Sicherungsmaßnahmen eingeleitet. Dazu zählen IT-Notfälle (Zugriffe entziehen, Systeme isolieren, Passwörter zurücksetzen), Patientenschutz (Abläufe sofort anpassen, riskante Prozesse stoppen) und Arbeitsschutzmaßnahmen. Alle Notfallschritte werden dokumentiert. Danach erfolgt die reguläre Bearbeitung des Hinweises.
- Kommunikation mit der hinweisgebenden Person
Die Kommunikation mit der hinweisgebenden Person erfolgt ausschließlich durch die interne Meldestelle. Spätestens innerhalb von drei Monaten nach der Eingangsbestätigung informiert die interne Meldestelle über geplante oder bereits ergriffene Folgemaßnahmen, soweit dies rechtlich zulässig ist und den Untersuchungszweck nicht gefährdet. Dauert die Bearbeitung länger als zwei Monate, versendet die interne Meldestelle in diesen Abständen Zwischennachrichten. Die Detailtiefe der Rückmeldungen richtet sich nach den rechtlichen Vorgaben und dem Schutz des laufenden Verfahrens.
- Abschluss, Dokumentation und Prävention
Die interne Meldestelle dokumentiert Ergebnisse, Maßnahmen und die Schlussbewertung des Verfahrens. Die Berichte enthalten die Art des Hinweises, die Schritte der Sachverhaltsaufklärung sowie die ergriffenen Abhilfemaßnahmen. Die gewonnenen Erkenntnisse fließen regelmäßig in Risikoanalysen und Risikobewertungen ein. Aus den Erkenntnissen werden Präventions- und Verbesserungsmaßnahmen abgeleitet und umgesetzt, beispielsweise durch angepasste Prozesse, Schulungen und technische Kontrollen.
Wie werden Hinweisgebende geschützt?
Hinweisgebende sind vor Repressalien geschützt. Benachteiligungen – insbesondere Kündigung, Versetzung, Mobbing oder Rufschädigung – aufgrund einer Meldung in gutem Glauben sind unzulässig. Der Schutz gilt auch, wenn sich ein Hinweis später nicht bestätigt. Offenkundig missbräuchliche Meldungen in Schädigungsabsicht können arbeits-, zivil- oder strafrechtliche Konsequenzen nach sich ziehen. Personen, die von einem Hinweis betroffen sind, wirken nicht an der Prüfung oder Entscheidung in eigener Sache mit.
Wie werden die Daten der Hinweisgebenden geschützt?
Die Datenverarbeitung erfolgt zweckgebunden, dem Grundsatz der Datenminimierung folgend und unter Beachtung angemessener technischer und organisatorischer Maßnahmen (Zugriffsbeschränkungen für autorisierte Mitarbeitende der Meldestelle, Rollen und Berechtigungskonzepte, Verschlüsselung, Protokollierung).
Rechtsgrundlagen sind insbesondere das Hinweisgeberschutzgesetz sowie die DSGVO (Art. 6 Abs. 1 lit. c, ggf. lit. f; § 26 BDSG für Beschäftigtendaten; Art. 9 Abs. 2 DSGVO für besondere Kategorien personenbezogener Daten, soweit erforderlich und zulässig). Eine Speicherung erfolgt nur solange, wie es für die Durchführung des Verfahrens und die Erfüllung gesetzlicher Pflichten erforderlich ist. Spätestens drei Jahre nach Abschluss des Verfahrens werden die Daten gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten oder anhängige Verfahren entgegenstehen (§ 11 Abs. 5 HinSchG). Betroffenenrechte (Auskunft, Berichtigung, Löschung, Einschränkung gem. Art. 15 ff. DSGVO) werden im Rahmen der gesetzlichen Grenzen gewahrt; zugleich wird die Vertraulichkeit und Integrität des Verfahrens sichergestellt.
Gibt es auch externe Meldestellen?
Hinweisgebende können sich jederzeit auch an externe Meldestellen wenden. Zuständig ist insbesondere die zentrale externe Meldestelle beim Bundesamt für Justiz. Je nach Sachverhalt kommen weitere externe Meldestellen mit Sonderzuständigkeiten bei der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) und beim Bundeskartellamt in Betracht.