Datenschutzbeauftragter Arztpraxis: Pflicht, DSGVO und Praxisalltag

Braucht eine Arztpraxis einen Datenschutzbeauftragten?

Eine Arztpraxis braucht einen Datenschutzbeauftragten, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 Satz 1 BDSG). Unabhängig von der Personenzahl ist er Pflicht, wenn die Praxis Verarbeitungen vornimmt, die einer Datenschutz-Folgenabschätzung unterliegen (§ 38 Abs. 1 Satz 2 BDSG). Für die meisten kleineren Praxen besteht deshalb keine Benennungspflicht. Alle übrigen Datenschutzpflichten gelten trotzdem vollständig.

Wer zählt mit?

Gezählt werden Personen, nicht Vollzeitstellen: Ärztinnen und Ärzte, Medizinische Fachangestellte, Auszubildende, Teilzeitkräfte und freie Mitarbeitende. Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) zählt alle mit, die im Schwerpunkt Patientendaten am Computer verarbeiten, etwa für Termine, Dokumentation und Abrechnung. Nicht mit zählen nach Auffassung des BayLDA zum Beispiel ein Zahntechniker mit überwiegend handwerklicher Arbeit oder Beschäftigte, die nur im Kalender nachsehen, wer als Nächstes kommt.

Art. 37 DSGVO: Ist die Praxis eine umfangreiche Verarbeitung?

Nach Art. 37 Abs. 1 lit. c DSGVO ist ein Datenschutzbeauftragter auch dann zu benennen, wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien von Daten besteht. Gesundheitsdaten gehören dazu (Art. 9 Abs. 1 DSGVO), und in einer Praxis ist ihre Verarbeitung Kerntätigkeit. Entscheidend ist also das Wort umfangreich.

Erwägungsgrund 91 DSGVO stellt klar, dass die Verarbeitung von Patientendaten durch einen einzelnen Arzt nicht als umfangreich gelten soll. Die Datenschutzkonferenz folgt dem in ihrem Kurzpapier Nr. 12: Beim Einzelarzt liegt regelmäßig keine umfangreiche Verarbeitung vor. Geht der Kreis der Betroffenen aber erheblich über den eines durchschnittlichen Einzelarztes hinaus, kann das anders sein.

Die Aufsichtsbehörden der Länder konkretisieren das unterschiedlich. Das BayLDA, zuständig für Praxen in München und ganz Bayern, geht auch bei Gemeinschaftspraxen und Berufsausübungsgemeinschaften in der Regel nicht von einer umfangreichen Verarbeitung aus. Der Landesbeauftragte für den Datenschutz Niedersachsen zieht die Grenze bei zehn Personen, die Patientendaten verarbeiten. Er nennt zudem Besonderheiten, die auch kleinere Praxen betreffen können, etwa die regelmäßige Nutzung telemedizinischer Anwendungen oder einen überproportional großen Patientenstamm.

Datenschutz in der Arztpraxis: DSGVO und Schweigepflicht

In der Praxis gelten zwei Regelwerke nebeneinander. Die DSGVO regelt, ob und wie Daten verarbeitet werden dürfen. Die ärztliche Schweigepflicht schützt Patientengeheimnisse zusätzlich und ist strafbewehrt.

• Art. 9 DSGVO: Gesundheitsdaten dürfen grundsätzlich nicht verarbeitet werden. Erlaubt ist es unter anderem für Diagnostik, Versorgung und Behandlung, wenn Personal mit Berufsgeheimnis die Daten verarbeitet (Art. 9 Abs. 2 lit. h und Abs. 3 DSGVO, § 22 Abs. 1 Nr. 1 lit. b BDSG). Grundlage ist in der Regel der Behandlungsvertrag. Eine Einwilligung braucht die Praxis dafür nicht.
• § 203 StGB: Wer als Arzt, Zahnarzt oder Angehöriger eines anderen Heilberufs ein Patientengeheimnis unbefugt offenbart, macht sich strafbar. Die Weitergabe an das eigene Praxispersonal ist kein Offenbaren. Externen Dienstleistern wie dem IT-Betreuer dürfen Geheimnisse zugänglich werden, soweit das für ihre Tätigkeit erforderlich ist (§ 203 Abs. 3 StGB). Die Praxis muss sie dann zur Geheimhaltung verpflichten, sonst kann sie sich selbst strafbar machen (§ 203 Abs. 4 Satz 2 Nr. 1 StGB).
• § 630f BGB: Die Behandlungsakte ist zehn Jahre nach Abschluss der Behandlung aufzubewahren, soweit andere Vorschriften keine anderen Fristen vorsehen.

Mehr zu den Grundlagen im Artikel Welche besonderen Pflichten gelten im Umgang mit Gesundheitsdaten?

Patienteninformation nach Art. 13 DSGVO

Patientinnen und Patienten sind bei der Erhebung ihrer Daten zu informieren (Art. 13 DSGVO): wer verantwortlich ist, zu welchen Zwecken und auf welcher Rechtsgrundlage Daten verarbeitet werden, an wen sie gehen, wie lange sie gespeichert werden und welche Rechte bestehen. Hat die Praxis einen Datenschutzbeauftragten, gehören dessen Kontaktdaten dazu.

KBV und BayLDA empfehlen einen gut sichtbaren Aushang und ein Informationsblatt, etwa im Wartezimmer. Eine Unterschrift der Patienten ist nach Auskunft der KBV nicht erforderlich. Die Praxis-Website braucht eine eigene Datenschutzerklärung, vor allem bei Kontaktformular oder Online-Terminbuchung. Mehr dazu: Welche Informationspflichten gelten bei der Datenerhebung?

Auftragsverarbeitung: Praxissoftware, Labor, Abrechnung, Termine

Nicht jeder externe Partner ist ein Auftragsverarbeiter. Die Einordnung entscheidet, welche Verträge und Einwilligungen Sie brauchen:

Was in einen solchen Vertrag gehört, erklärt der Artikel Auftragsverarbeitungsvertrag (AVV): Wann und was muss rein?

Telematikinfrastruktur, KIM und IT-Sicherheit

Praxen in der vertragsärztlichen Versorgung sind an die Telematikinfrastruktur (TI) angebunden. Über den Dienst KIM (Kommunikation im Medizinwesen) versenden sie etwa eArztbriefe und elektronische Arbeitsunfähigkeitsbescheinigungen. Für die Komponenten in der Praxis, etwa den Konnektor, ist die Praxis verantwortlich, soweit sie über die Mittel der Verarbeitung mitentscheidet, insbesondere für ordnungsgemäße Inbetriebnahme, Wartung und Verwendung (§ 307 Abs. 1 SGB V). Eine eigene DSFA für diese Komponenten ist nicht nötig, weil das Gesetz sie bereits enthält. § 38 Abs. 1 Satz 2 BDSG greift insoweit nicht.

Außerdem ist die IT-Sicherheitsrichtlinie der Kassenärztlichen Bundesvereinigungen nach § 390 SGB V für Vertragsarzt- und Vertragszahnarztpraxen verbindlich. Sie umfasst auch die Sensibilisierung der Mitarbeitenden. Passende Angebote finden Sie unter Datenschutzschulung.

IT in der Arztpraxis: Praxissoftware, Updates, Datensicherung

Was die IT-Sicherheitsrichtlinie nach § 390 SGB V konkret verlangt, steht in ihren Anlagen. Die Richtlinie der KBV für Arzt- und Psychotherapiepraxen legt damit fest, was als Stand der Technik im Sinne von Art. 32 DSGVO gilt. Anlage 1 gilt für jede Praxis. Ab 6 ständig mit der Datenverarbeitung betrauten Personen kommt Anlage 2 hinzu, ab mehr als 20 Personen Anlage 3. Einige Anforderungen sind neu und gelten seit dem 01.10.2025.

Für die Umsetzung können Sie IT-Dienstleister einbinden. Nach § 390 Abs. 7 SGB V zertifizieren die Kassenärztlichen Bundesvereinigungen dafür Mitarbeitende von IT-Anbietern. Wartet ein Dienstleister die Praxissoftware, brauchen Sie zusätzlich den Vertrag zur Auftragsverarbeitung aus der Tabelle oben.

Die Datensicherung schützt auch die Aufbewahrung: Die Patientenakte ist nach § 630f Abs. 3 BGB zehn Jahre nach Abschluss der Behandlung aufzubewahren, soweit andere Vorschriften keine anderen Fristen vorsehen. Als externer Datenschutzbeauftragter prüfen wir, ob diese Vorgaben dokumentiert und umgesetzt sind. Die technische Umsetzung übernimmt Ihre IT-Betreuung.

Empfang, Wartezimmer und Telefon

Viele Datenschutzprobleme entstehen nicht in der Software, sondern am Tresen.

• Empfang: Abstand zur Warteschlange, keine Gespräche über Diagnosen in Hörweite anderer, Bildschirme nicht einsehbar.
• Wartezimmer: Aufruf ohne Nennung von Diagnose oder Anlass, keine Unterlagen offen liegen lassen.
• Telefon: Identität prüfen, bevor Befunde mitgeteilt werden, im Zweifel Rückruf unter bekannter Nummer.
• E-Mail: Befunde nach Auffassung des BayLDA nur, wenn neben der Transportverschlüsselung auch eine Inhaltsverschlüsselung angeboten wird. Für den Versand an andere Praxen bietet sich KIM an.
• Fax und Post: Empfänger prüfen. Ein fehlgeleiteter Arztbrief ist eine typische Datenpanne, siehe Datenpanne melden.

Checkliste: Datenschutz in Arzt- und Zahnarztpraxis

• Verzeichnis von Verarbeitungstätigkeiten geführt (Art. 30 DSGVO); das BayLDA bietet ein Muster für Arztpraxen
• Pflicht zum Datenschutzbeauftragten geprüft und Ergebnis dokumentiert
• Patienteninformation als Aushang und Informationsblatt, Datenschutzerklärung auf der Website
• Verträge zur Auftragsverarbeitung mit IT-Betreuung, Softwareanbieter, Terminbuchung und Aktenvernichtung
• Dienstleister nach § 203 StGB zur Geheimhaltung verpflichtet
• Mitarbeitende auf Vertraulichkeit verpflichtet und geschult
• aktuelle Systeme, Passwortschutz, Verschlüsselung und Datensicherung
• Löschung nach Ablauf der Aufbewahrungsfristen, etwa zehn Jahre nach § 630f BGB
• Ablauf für Auskunftsanfragen nach Art. 15 DSGVO festgelegt
• Meldeweg für Datenpannen: Meldung an die Aufsichtsbehörde möglichst binnen 72 Stunden (Art. 33 DSGVO)
• Einwilligungen für private Verrechnungsstelle und andere Fälle ohne gesetzliche Grundlage
• Vorgaben der IT-Sicherheitsrichtlinie nach § 390 SGB V umgesetzt

Externer Datenschutzbeauftragter für Arztpraxis und Zahnarztpraxis

Die KBV weist darauf hin, dass die Praxisinhaberin oder der Praxisinhaber die Aufgabe nicht selbst übernehmen kann. Hintergrund ist das Verbot von Interessenkonflikten in Art. 38 Abs. 6 DSGVO. Sie können eine qualifizierte Mitarbeiterin oder einen qualifizierten Mitarbeiter benennen oder einen externen Datenschutzbeauftragten beauftragen.

Als externer Datenschutzbeauftragter arbeiten wir mit DEKRA-zertifizierter Fachkunde. Wir melden die Benennung der Aufsichtsbehörde (Art. 37 Abs. 7 DSGVO), prüfen Verträge, schulen Ihr Team und unterstützen bei Datenpannen. Auch ohne Pflicht kann eine freiwillige Benennung sinnvoll sein. Die DSK empfiehlt sie in ihrem Kurzpapier Nr. 12 ausdrücklich. Zu den Kosten informiert die Seite Kosten externer Datenschutzbeauftragter. Vereinbaren Sie ein kostenloses Erstgespräch über die Kontaktseite oder unter 089 / 2000 1420. Alle Leistungen finden Sie unter Leistungen.