DSGVO in Arztpraxen + Therapeuten: 8 Pflichten

Hauptartikel: Sondersensible Daten nach Art. 9 DSGVO (Glossar) — das grundsätzliche Verarbeitungsverbot und seine engen Ausnahmen im Überblick.

Für wen gilt was: Die reinen DSGVO-Pflichten — Abschnitte 1, 2 und 7 (dort ohne die Zuständigkeitsangaben nach § 40 Abs. 1 und § 9 Abs. 1 BDSG), die Monatsfrist in Abschnitt 5 sowie die Tabelle der DSGVO-Termine, dazu die Art.-28- und Art.-30-Bezüge in den Abschnitten 3, 6 und 8 — knüpfen an die Verarbeitung von Gesundheitsdaten an, nicht an eine Berufsbezeichnung; sie gelten für Arztpraxen und Therapeuten gleichermaßen. Daneben stehen deutsche Fachnormen: § 203 StGB (Abschnitt 4), § 630g und § 630f BGB (Abschnitte 5 und 6), das SGB V für die Telematik-Infrastruktur (Abschnitt 3) und die Anbindung an die Kassenärztliche Vereinigung (Abschnitt 8). Praxisempfehlung für Therapeuten und andere Heilberufe: Prüfen Sie in drei Schritten, welche dieser Normen Ihre Berufsgruppe erfassen — erstens, ob die Schweigepflicht nach § 203 StGB für Ihre Berufsgruppe gilt (Rechtsfrage — anwaltlich klären lassen); zweitens, ob Ihr Berufsgesetz eigene Verschwiegenheits- und Dokumentationspflichten enthält; drittens, ob Ihre Praxis an die Telematik-Infrastruktur und an die Kassenärztliche Vereinigung angebunden ist (Abschnitte 3 und 8). Halten Sie das Ergebnis schriftlich fest — die DSGVO-Pflichten dieses Artikels gelten unabhängig davon. Für Österreich nennt der AT-Abschnitt das Ärztegesetz und die jeweiligen Berufsgesetze.

1. Patientendaten = Art. 9

Patientendaten sind besondere Kategorien personenbezogener Daten: Ihre Verarbeitung ist nach Art. 9 Abs. 1 DSGVO grundsätzlich untersagt und nur zulässig, wenn eine Ausnahme des Art. 9 Abs. 2 DSGVO greift. Rechtsgrundlage: Art. 9 Abs. 2 lit. h (Gesundheitsversorgung).

Die Prüfung ist zweistufig. Neben der Ausnahme nach Art. 9 Abs. 2 DSGVO braucht jede Verarbeitung zusätzlich eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO; die Norm nennt sechs Erlaubnistatbestände (Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliches Interesse, berechtigtes Interesse). Wo Sie eine Einwilligung einholen, müssen Sie deren Erteilung nachweisen können (Art. 7 Abs. 1 DSGVO); der Widerruf ist jederzeit möglich und muss so einfach sein wie die Erteilung (Art. 7 Abs. 3 DSGVO).

Jede dieser Verarbeitungen gehört ins Verarbeitungsverzeichnis. Die Ausnahme des Art. 30 Abs. 5 DSGVO entlastet Praxen dabei nicht: Sie setzt kumulativ weniger als 250 Beschäftigte, kein Risiko für die Rechte und Freiheiten der betroffenen Personen, keine regelmäßige Verarbeitung und keine Verarbeitung besonderer Kategorien voraus — die regelmäßige Verarbeitung von Gesundheitsdaten schließt sie aus.

2. KIS- und Praxissoftware: Auftragsverarbeitung

Für Praxissoftware und Krankenhaus-Informationssysteme (KIS) ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erforderlich, sobald der Anbieter Patientendaten im Auftrag der Praxis verarbeitet — etwa beim Betrieb, beim Hosting oder bei der Wartung. Das gilt unabhängig vom Anbieter — für CompuGroup, x.dental und Medatixx ebenso wie für jede andere eingesetzte Lösung: Lassen Sie sich den AVV vor Vertragsschluss vorlegen und gleichen Sie ihn gegen die Mindestinhalte des Art. 28 Abs. 3 DSGVO ab. Praxisempfehlung: Hosting in der EU bevorzugen; liegt der Hosting-Standort außerhalb der EU, gehört die Drittlandübermittlung mit ihrer Übermittlungsgrundlage — etwa Data Privacy Framework (Angemessenheitsbeschluss), Standardvertragsklauseln oder verbindliche interne Datenschutzvorschriften — als eigene Angabe in das Verarbeitungsverzeichnis (Art. 30 Abs. 1 DSGVO). Nach unserer Praxiserfahrung zählt ein fehlender Drittland-Hinweis bei US-Diensten zu den häufigen Dokumentationsfehlern.

Art. 28 Abs. 1 DSGVO lässt die Zusammenarbeit nur mit Auftragsverarbeitern zu, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Der Vertrag muss nach Art. 28 Abs. 3 DSGVO mindestens Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen festlegen. Prüfen Sie den Anbietervertrag Punkt für Punkt gegen diesen Mindestinhalt — jede dieser Angaben muss sich im Vertragstext wiederfinden — und fordern Sie fehlende Angaben schriftlich nach; der Verantwortliche bleibt nach Art. 28 Abs. 1 DSGVO in der Auswahlverantwortung, auch wenn der Vertragstext vom Anbieter stammt.

Nach unserer Praxiserfahrung (keine gesetzliche Vorgabe) prüfen Aufsichtsbehörden häufig in der Reihenfolge Verarbeitungsverzeichnis, AVV, TOM-Konzept, DSFA — Lücken fallen damit schon im ersten Schritt auf. Praxisempfehlung: Jeden Dienstleister mit Zugriff auf Patientendaten im Verarbeitungsverzeichnis mit dem zugehörigen AVV verknüpfen — kein Eintrag ohne AVV, kein AVV ohne Eintrag.

3. eRezept + Telematik-Infrastruktur

Für den Anschluss an die Telematik-Infrastruktur gelten in Deutschland die Anforderungen des SGB V und die gematik-Spezifikationen. Eingesetzt werden Konnektor, eHBA und SMC-B; die Sicherheitsanforderungen folgen dem SGB V (§ 311 Abs. 6, § 325, § 327 SGB V) und den gematik-Spezifikationen, verwendet werden BSI-zertifizierte Komponenten. Datenschutzrechtlich ist auch das eRezept eine Verarbeitung von Patientendaten: Sie gehört mit Zweck, Datenkategorien, Empfängerkategorien und Löschfrist als eigener Eintrag in das Verarbeitungsverzeichnis (Art. 30 Abs. 1 DSGVO). Praxisempfehlung: Legen Sie schriftlich fest, welche Person welche Karte und welche PIN verwahrt, und nehmen Sie diese Zuordnung in das TOM-Konzept nach Art. 32 DSGVO auf (Abschnitt 4). Für den Konnektor: Zuständigkeit für Standort, Zugang und Updates schriftlich festlegen und ins TOM-Konzept nach Art. 32 DSGVO aufnehmen.

Datenschutzrechtlich entscheidet die Rolle des Dienstleisters: Verarbeitet ein IT- oder TI-Dienstleister Patientendaten im Auftrag der Praxis, gilt Abschnitt 2 mit dem AVV-Mindestinhalt des Art. 28 Abs. 3 DSGVO; die Abgrenzung zu Stellen, die in eigener Verantwortung verarbeiten, steht in Abschnitt 8.

Eine parallele NIS2-Pflicht nach dem BSIG entsteht für typische Praxen dagegen nicht: Die Einstufung nach § 28 BSIG setzt eine Einrichtungsart nach Anlage 1 oder Anlage 2 voraus; der Sektor Gesundheit steht zwar in Anlage 1 des BSIG, die daran anknüpfenden Größenschwellen erreichen typische Praxen aber nicht — die Zahlen nennt das FAQ. Für die Praxis heißt das: Die Registrierungspflicht des BSIG trifft besonders wichtige und wichtige Einrichtungen sowie Domain-Name-Registry-Diensteanbieter (§ 33 Abs. 1 BSIG), die Meldepflichten besonders wichtige und wichtige Einrichtungen (§ 32 Abs. 1 BSIG) — eine Praxis, die die Voraussetzungen des § 28 BSIG nicht erfüllt, ist davon nicht adressiert.

4. Schweigepflicht § 203 StGB

Die ärztliche Schweigepflicht nach § 203 StGB gilt in Deutschland neben der DSGVO und wird durch sie nicht ersetzt: Ein Verstoß kann strafrechtlich und aufsichtsrechtlich zugleich geahndet werden — bei Bruch ist eine Strafanzeige möglich, daneben bleibt das DSGVO-Bußgeld. In Österreich zusätzlich Datengeheimnis nach § 6 DSG — siehe AT-Abschnitt.

Der DSGVO-Bußgeldrahmen ist zweistufig; die genaue Zuordnung, die ergänzende Ordnungswidrigkeit nach § 43 BDSG und die österreichische Verwaltungsstrafe nach § 62 Abs. 1 DSG stehen im FAQ.

Praxisempfehlung: Alle Mitarbeitenden vor der Zugriffserteilung schriftlich auf die Verschwiegenheit verpflichten und die Erklärung zur Personalakte nehmen; Zugriffsrechte rollenbezogen vergeben und im TOM-Konzept nach Art. 32 DSGVO beschreiben, auf das das Verarbeitungsverzeichnis verweist — ein eigenes TOM je Verarbeitung ist nicht nötig.

5. Auskunftsrecht Patient

Auf einen Auskunftsantrag muss die Praxis unverzüglich reagieren, spätestens aber innerhalb eines Monats nach Eingang (Art. 12 Abs. 3 DSGVO). Patientinnen und Patienten haben zusätzlich ein Recht auf die Patientenakte nach § 630g BGB, das neben dem Auskunftsrecht aus Art. 15 DSGVO besteht. Ein Antrag kann also auf Art. 15 DSGVO oder auf § 630g BGB gestützt sein.

Die Monatsfrist gilt für alle Anträge nach Art. 15 bis 22 DSGVO, also auch für Berichtigung, Löschung und Einschränkung. Sie kann um weitere zwei Monate verlängert werden — die Einzelheiten nennt die Fristentabelle.

Praxisempfehlung: Halten Sie bei jedem Antrag das Eingangsdatum und die genannte Anspruchsgrundlage schriftlich fest und behandeln Sie den Antrag zusätzlich als Antrag nach Art. 15 DSGVO — dann läuft die Monatsfrist des Art. 12 Abs. 3 DSGVO in jedem Fall mit. Die Frist beginnt mit Eingang, nicht mit der internen Bearbeitung.

6. Aufbewahrung

Die Patientenakte ist 10 Jahre nach Abschluss der Behandlung aufzubewahren, soweit nicht nach anderen Vorschriften andere Aufbewahrungsfristen bestehen (§ 630f Abs. 3 BGB). Praxisempfehlung: Prüfen Sie je Behandlungsart, ob eine fachgesetzliche Sonderfrist besteht, und tragen Sie eine abweichende Frist als eigene Datenkategorie in das Verarbeitungsverzeichnis ein.

Datenschutzrechtlich zählt zusätzlich, dass diese Fristen dokumentiert sind: Die geplanten Löschfristen sind — wenn möglich — eine Pflichtangabe des Verarbeitungsverzeichnisses nach Art. 30 Abs. 1 DSGVO, und zwar je Datenkategorie. Steht eine gesetzliche Aufbewahrungspflicht einem Löschverlangen nach Art. 17 DSGVO entgegen, gehört dieser Konflikt ebenfalls ins Verzeichnis. Fehlende Löschfristen — die Angabe „keine konkrete Angabe" — zählen nach unserer Praxiserfahrung zu den häufigen Dokumentationsfehlern.

Praxisempfehlung: Das Verzeichnis jährlich und zusätzlich bei jeder Änderung prüfen; bei laufend wachsenden Strukturen hat sich ein quartalsweiser Review bewährt. Das ist ein Praxis-Rhythmus, keine gesetzliche Frist.

7. Datenpannen-Spezifika

Meldung an die Aufsichtsbehörde nach Art. 33 Abs. 1 DSGVO: unverzüglich und möglichst binnen 72 Stunden. Erfolgt die Meldung nicht binnen 72 Stunden, ist ihr eine Begründung für die Verzögerung beizufügen. Bei Gesundheitsdaten ist regelmäßig von einem hohen Risiko auszugehen — dann verlangt Art. 34 Abs. 1 DSGVO zusätzlich die unverzügliche Benachrichtigung der betroffenen Person. Sie entfällt nach Art. 34 Abs. 3 DSGVO nur ausnahmsweise: wenn vorab geeignete technische und organisatorische Schutzmaßnahmen (insbesondere Verschlüsselung) angewandt wurden, wenn das hohe Risiko durch nachfolgende Maßnahmen nicht mehr besteht oder wenn die Benachrichtigung mit unverhältnismäßigem Aufwand verbunden wäre (dann öffentliche Bekanntmachung). Zusätzlich ist Schadensersatz möglich.

Die Meldung selbst hat einen festen Mindestinhalt (Art. 33 Abs. 3 DSGVO): Beschreibung der Verletzung, ungefähre Zahl der betroffenen Personen und Datensätze, Datenkategorien, voraussichtliche Folgen, Maßnahmen zur Behebung und Schadensminderung sowie die Kontaktdaten des Datenschutzbeauftragten oder des Verantwortlichen. Unabhängig davon ist jede Verletzung zu dokumentieren, auch die nicht gemeldete — bei Nicht-Meldung mit Begründung (Art. 33 Abs. 5 DSGVO). Der Versand einer E-Mail mit Gesundheitsdaten an den falschen Empfänger ist in der Regel als Fall mit hohem Risiko einzustufen: dann Meldung nach Art. 33 DSGVO und Benachrichtigung nach Art. 34 DSGVO.

In Deutschland melden nichtöffentliche Stellen an die nach Landesrecht zuständige Behörde (§ 40 Abs. 1 BDSG); jedes Bundesland betreibt ein eigenes Meldeportal, in Bayern etwa das Bayerische Landesamt für Datenschutzaufsicht (BayLDA). Die oder der BfDI ist nur für öffentliche Stellen des Bundes und bestimmte Anbieter von Telekommunikationsdiensten zuständig (§ 9 Abs. 1 BDSG). Das österreichische Pendant nennt der Abschnitt zu AT-Praxen.

Der folgende Ablauf ist eine Praxisempfehlung — rechtlich verbindlich ist allein die Frist aus Art. 33 Abs. 1 DSGVO:

8. KV-Verbindung

Der Datenfluss zur Kassenärztlichen Vereinigung läuft über sichere Wege — KV-SafeNet und die Telematik-Infrastruktur. Datenschutzrechtlich hängt alles Weitere an einer Vorfrage: In welcher Rolle steht die Stelle, an die Daten fließen?

Ordnen Sie jede externe Stelle einer der drei Rollen zu — Verantwortlicher (Art. 4 Nr. 7 DSGVO), Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO) oder gemeinsam Verantwortliche (Art. 26 DSGVO). Entscheidend ist, ob die Stelle die Daten im Auftrag der Praxis verarbeitet (Art. 28 Abs. 1 DSGVO) — nur dann ist ein AVV mit dem Mindestinhalt des Art. 28 Abs. 3 DSGVO erforderlich. Eine Stelle, die als eigenständig Verantwortlicher verarbeitet, wird nicht über einen AVV gebunden, sondern als Empfängerkategorie im Verarbeitungsverzeichnis geführt: Die Kategorien der Empfänger sind eine Pflichtangabe nach Art. 30 Abs. 1 DSGVO. Klären und dokumentieren Sie diese Zuordnung für die Kassenärztliche Vereinigung ausdrücklich, bevor die ersten Daten fließen. Auftragsverarbeitung mit gemeinsamer Verantwortlichkeit zu verwechseln zählt nach unserer Praxiserfahrung zu den häufigen Fehlern der Verzeichnisführung, ebenso veraltete Empfänger-Listen mit abgeschalteten Zugängen oder gewechselten Dienstleistern.

Praxisempfehlung: Empfänger, Rolle und Übertragungsweg bei jedem Systemwechsel im selben Zug im Verzeichnis nachziehen, statt sie im Jahresreview zu sammeln. Bei KV-SafeNet prüfen Sie dabei Betreiber, Rolle und Vertragslage.

Fristen, Vorab- und Dokumentationspflichten im Überblick

Sechs Pflichten der Praxis folgen unmittelbar aus der DSGVO — teils fristgebunden, teils vorab vor Beginn der Verarbeitung, teils als laufende Dokumentations- bzw. Nachweispflicht. Diese sechs Zeilen sind keine zweite Zählung neben den acht Abschnitten oben, sondern die querschnittlichen DSGVO-Termine, die in mehreren Abschnitten auftauchen. Alle Zeilen der Tabelle nennen DSGVO-Pflichten; sie gelten in Deutschland und Österreich gleichermaßen. Praxis-Rhythmen stehen in den Abschnitten oben und sind dort als Praxisempfehlung gekennzeichnet.

Für die elektronische Patientenakte greift die Datenschutz-Folgenabschätzung: Art. 35 Abs. 1 DSGVO verlangt sie vorab, wenn eine Verarbeitung — insbesondere bei Verwendung neuer Technologien — voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat; Art. 35 Abs. 3 DSGVO nennt die umfangreiche Verarbeitung besonderer Datenkategorien ausdrücklich. Das hat eine Folgewirkung: Unterliegt eine Verarbeitung einer DSFA, ist in Deutschland unabhängig von der Personenzahl ein Datenschutzbeauftragter zu benennen (§ 38 Abs. 1 Satz 2 BDSG); die 20-Personen-Schwelle des § 38 Abs. 1 Satz 1 BDSG kommt daneben zum Tragen. In Österreich ohne zahlenmäßige Schwelle (AT-Abschnitt). Ist ein Datenschutzbeauftragter benannt, können betroffene Personen ihn nach Art. 38 Abs. 4 DSGVO zu allen Fragen der Verarbeitung ihrer Daten zu Rate ziehen.

Österreich: was für AT-Praxen abweicht

Die DSGVO gilt in Österreich unverändert — Art. 9, Art. 15, Art. 33, Art. 34 und Art. 35 DSGVO sind identisch. Abweichend ist das nationale Umfeld: Aufsichtsbehörde ist die Datenschutzbehörde nach § 18 Abs. 1 DSG, nicht eine deutsche Landesdatenschutzbehörde. Ergänzendes nationales Recht ist das DSG statt des BDSG — eine zusätzliche zahlenmäßige Benennungsschwelle für den Datenschutzbeauftragten wie § 38 Abs. 1 BDSG (in der Regel mindestens 20 Personen) kennt Österreich nicht; die Benennungspflicht folgt unmittelbar aus Art. 37 DSGVO. Soweit nicht bereits Art. 83 DSGVO greift, sind nach § 62 Abs. 1 DSG Verwaltungsstrafen bis 50.000 Euro möglich. Die oben genannten Normen § 203 StGB, § 630f und § 630g BGB, KV-SafeNet und die Telematik-Infrastruktur sind deutsches Recht; in Österreich richten sich ärztliche Verschwiegenheits- und Dokumentationspflichten nach dem Ärztegesetz bzw. den jeweiligen Berufsgesetzen. Auch die NIS2-Umsetzung ist eine andere: Sie erfolgt in Österreich nicht über das BSIG, sondern über das NISG 2026; auch dort setzt die Einstufung als wesentliche oder wichtige Einrichtung eine Anlage-1- oder Anlage-2-Art voraus (§ 24 NISG 2026) und knüpft an die Größenschwellen des § 25 NISG 2026 an, die typische Praxen nicht erreichen — die Zahlen nennt das FAQ.

Ergänzende DSG-Normen mit Praxisbezug

Vier DSG-Bestimmungen betreffen den Ordinationsalltag unmittelbar: § 6, § 11, § 12 und § 13 DSG. § 6 DSG verpflichtet Verantwortliche, Auftragsverarbeiter und ihre Mitarbeiter zur Geheimhaltung (Datengeheimnis). § 11 DSG sieht die verhältnismäßige Anwendung des Art. 83 DSGVO vor, insbesondere bei erstmaligen Verstößen eine Verwarnung statt einer Geldbuße. Wird Videoüberwachung eingesetzt, gelten die Sonderregeln der §§ 12 und 13 DSG: Kennzeichnungspflicht nach § 13 Abs. 5 DSG, und eine länger als 72 Stunden andauernde Aufbewahrung muss verhältnismäßig sein sowie gesondert protokolliert und begründet werden (§ 13 Abs. 3 DSG); eine Bildaufnahme zum Zweck der Kontrolle von Arbeitnehmern ist unzulässig (§ 12 Abs. 4 Z 2 DSG). Eine fünfte Frage beantwortet das DSG nicht: Einen eigenen Beschäftigtendatenschutz-Paragrafen wie § 26 BDSG enthält es nicht — maßgeblich sind Art. 6 und Art. 88 DSGVO, ergänzt um § 96 Abs. 1 Z 3 ArbVG für Kontrollmaßnahmen, die die Menschenwürde berühren. Datenpannen gehen an die Datenschutzbehörde (dsb.gv.at, Barichgasse 40-42, 1030 Wien), nicht an eine deutsche Behörde.