Gesundheitsdaten, Schweigepflicht, Digitalisierung: Welche Datenschutz-Pflichten Arztpraxen erfüllen müssen und wie Sie Datenschutzprozesse strukturiert organisieren. Mit Checkliste.
Arztpraxen verarbeiten Gesundheitsdaten nach Art. 9 DSGVO — eine besondere Kategorie personenbezogener Daten, die dem höchsten Schutzniveau unterliegt. Diagnosen, Befunde, Laborwerte und Therapiepläne dürfen nur unter strengen Voraussetzungen verarbeitet werden.
Zusätzlich zur DSGVO gilt die ärztliche Schweigepflicht nach §203 StGB. Ein Verstoß ist nicht nur ein Datenschutzproblem, sondern eine Straftat mit bis zu einem Jahr Freiheitsstrafe. Diese doppelte Absicherung macht den Datenschutz in der Arztpraxis besonders anspruchsvoll — aber auch besonders wichtig für das Vertrauen Ihrer Patienten.
Folgende Datenschutz-Pflichten müssen niedergelassene Ärzte konkret umsetzen:
| Pflicht | Rechtsgrundlage | Umsetzung |
|---|---|---|
| Verarbeitungsverzeichnis (VVT) | Art. 30 DSGVO | Alle Verarbeitungen dokumentieren: Patientenverwaltung, Abrechnung, Labor, ePA |
| Auftragsverarbeitungsvertrag (AVV) | Art. 28 DSGVO | Mit jedem Dienstleister, der im Auftrag der Praxis Zugang zu Patientendaten hat, etwa IT-Betreuer, Cloudanbieter oder PVS-Anbieter mit Fernwartung |
| Patienteninformation | Art. 13/14 DSGVO | Aushang in der Praxis, Übergabe bei Erstbesuch, Website-Datenschutzerklärung |
| Löschkonzept | Art. 17 DSGVO | Aufbewahrungsfristen definieren (10 Jahre BGB, 30 Jahre Haftung), danach sicher löschen |
| Mitarbeiterschulung | Art. 32 Abs. 4 DSGVO | Regelmäßige Schulung zu Datenschutz und Schweigepflicht, dokumentiert (Empfehlung: alle 12 Monate) |
| TOM-Dokumentation | Art. 32 DSGVO | Technisch-organisatorische Maßnahmen verschriftlichen und prüfen |
Ob Ihre Praxis einen Datenschutzbeauftragten (DSB) benötigt, hängt von Größe, Organisation und Verarbeitungstätigkeiten ab. Die DSGVO verlangt einen DSB, wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien liegt — dies kann bei Arztpraxen je nach Umfang und Verarbeitungstätigkeiten relevant sein.
Auch das BDSG greift: Sind in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, ist ein DSB Pflicht (§ 38 Abs. 1 BDSG) – unabhängig von der Zahl auch dann, wenn eine Verarbeitung eine Datenschutz-Folgenabschätzung erfordert. Kleine Praxen unterschreiten diese Schwelle in der Regel deutlich — dann besteht meist keine Bestellpflicht; das Ergebnis der Prüfung sollte dokumentiert werden.
Der DSB kann intern bestellt oder als externer Datenschutzbeauftragter beauftragt werden. Für Arztpraxen empfiehlt sich oft ein externer DSB, da die internen Ressourcen begrenzt sind.
Die elektronische Patientenakte (ePA), das E-Rezept und die Telematikinfrastruktur stellen neue Anforderungen an den Datenschutz in der Arztpraxis. Gesundheitsdaten werden zunehmend digital verarbeitet, übermittelt und gespeichert.
Daraus ergeben sich zusätzliche Pflichten: Zugriffsprotokollierung, verschlüsselte Übertragung und regelmäßige Sicherheitsupdates. Eine Einwilligung braucht die Praxis für den Zugriff auf die ePA nicht: Steckt die Patientin oder der Patient im Rahmen der Behandlung die Gesundheitskarte, darf die Praxis 90 Tage lang zugreifen, sofern kein Widerspruch vorliegt. Jede Arztpraxis muss sicherstellen, dass PVS-System, Konnektoren und Arbeitsplätze aktuell und sicher konfiguriert sind.
Die KBV IT-Sicherheitsrichtlinie nach § 390 SGB V (ehem. § 75b) ist für Leistungserbringer verbindlich, die an der vertragsärztlichen Versorgung teilnehmen; rein privatärztliche Praxen unterliegen ihr nicht allein aufgrund dieser Norm. Zahlreiche technische Basisanforderungen gelten bereits seit 2021, die aktuelle Fassung trat am 1. April 2025 in Kraft. Sie definiert konkrete Anforderungen an IT-Sicherheit — von der Firewall über Mobile-Device-Management bis zum Virenschutz. Die Richtlinie ergänzt die DSGVO-Anforderungen und sollte gemeinsam umgesetzt werden. Eine Checkliste zu ausgewählten Anforderungen steht bereit.
Diese Checkliste ist ein kuratierter Auszug und erhebt keinen Anspruch auf Vollständigkeit. Welche Pflichten im Einzelfall gelten, hängt von der konkreten Praxis ab.
Mit Custodio verwalten Sie VVT, AVV, TOM und Schulungen an einem Ort — mit Vorlagen speziell für Arztpraxen, automatischen Fristen und Prüfungs-Export. Custodio unterstützt bei der strukturierten Umsetzung und Dokumentation; die Verantwortung für die tatsächliche und vollständige Umsetzung verbleibt bei der jeweiligen Praxis bzw. Organisation.
Kostenlos beraten lassen Kostenlos DSE erstellen📞 Oder rufen Sie an: 030 - 91 74 77 13Datenschutz-Hotline · kostenlose Erstberatung · Mo–Fr 8–15 Uhr
Ob eine Arztpraxis einen Datenschutzbeauftragten bestellen muss, hängt von Praxisgröße, Organisation und konkreten Verarbeitungstätigkeiten ab. Die Pflicht sollte im Einzelfall geprüft und dokumentiert werden.
Verarbeitungsverzeichnis führen, AVV mit Dienstleistern abschließen, Patienten informieren, Löschkonzept umsetzen, Mitarbeiter schulen. Zusätzlich gelten die Schweigepflicht nach § 203 StGB und für vertragsärztliche Praxen die IT-Sicherheitsrichtlinie nach § 390 SGB V.
Technisch: verschlüsselte PVS-Datenbank, Bildschirmsperre, Firewall, Backups. Organisatorisch: Sichtschutz am Empfang, verschlossene Aktenschränke, Clean-Desk-Policy, Schweigepflicht-Verpflichtung und regelmäßige Schulungen.
VVT, AVV-Verträge, Datenschutzhinweise, TOM-Dokumentation und Schulungsnachweise werden angefordert. Fehlende Dokumente führen zu Beanstandungen. Die IT-Sicherheitsrichtlinie enthält selbst keinen eigenen Bußgeldtatbestand, und eine unmittelbare KV-Sanktion ist derzeit nicht vorgesehen. Unabhängig davon können Verstöße gegen Datenschutz-, berufsrechtliche oder sonstige gesetzliche Pflichten rechtliche Folgen haben: bei Datenpannen etwa DSGVO-Bußgelder nach Art. 83 DSGVO. Mit vollständiger Dokumentation verbessert sich die Nachweisfähigkeit bei Prüfungen erheblich.