DSGVO

DSGVO steht für Datenschutz-Grundverordnung, den deutschen Namen für die EU-Datenschutz-Grundverordnung. Gesundheitsdaten gehören darin zu einer besonderen Kategorie, weshalb die Bedingungen für den Umgang mit einem Blutergebnis strenger sind als die für einen Namen und eine E-Mail-Adresse.

Ein Diagnostikanbieter, der Bestellungen, Proben und Ergebnisse von dir erhält, verarbeitet diese Daten in deinem Auftrag, weshalb das Verhältnis zwischen den beiden Unternehmen in einem Vertrag festgehalten und nicht einfach vorausgesetzt wird. Der deutsche Name für diesen Vertrag ist Auftragsverarbeitungsvertrag oder AVV, also die Vereinbarung zwischen dem Verantwortlichen und dem Auftragsverarbeiter. Darin werden Zweck, Datenkategorien, Speicherfrist und technische Maßnahmen genannt sowie die vom Anbieter genutzten Unterauftragnehmer aufgelistet. Aniva liefert standardmäßig einen AVV mit und verarbeitet Daten aus der EU auf Infrastrukturen, die in Deutschland gehostet werden.

Die überprüfbaren Punkte in einem Gespräch mit Anbietern sind überschaubar, frage sie also am besten frühzeitig an.

• Frage nach, wo die Daten gespeichert werden, und lasse dir für jedes System das Land und den Anbieter nennen.
• Frage nach der aktuellen Liste der Unterauftragnehmer und wie du über Änderungen daran informiert wirst.
• Frage, welche Angaben über deinen Kunden der Anbieter erhält, denn ein Anbieter, der weniger Angaben benötigt, ist leichter zu überprüfen.
• Frage, wie lange die Ergebnisse gespeichert werden und was nach dem Ende eines Vertrags mit ihnen geschieht.
• Frage, wer innerhalb des Anbieters ein Ergebnis einsehen kann und wie diese Zugriffe protokolliert werden.

All dies ersetzt keine eigene Datenschutzberatung, denn was für dich gilt, hängt von deinem Produkt und deiner Rolle bei der Verarbeitung ab. Die oben genannten Dokumente sind der Teil, den ein Käufer lesen und vergleichen kann, weshalb sie eher in das erste als in das letzte Gespräch mit dem Anbieter gehören.

In diesem Glossar deckt LIMS das Laborsystem ab, das die Probendaten verwaltet, während ISO 27001 beschreibt, wie ein Anbieter die Informationssicherheit organisiert, und Partner-Portal regelt, wer in deinem Team ein Ergebnis einsehen kann.