Auftragsverarbeitung in der Praxis — wer braucht wann einen Vertrag

Wann ein Dienstleister Auftragsverarbeiter ist, was im Vertrag nach Art. 28 DSGVO stehen muss und warum Praxen zusätzlich § 203 StGB beachten.

Die kurze Antwort

Verarbeitet ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung der Praxis, ist er Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO). Dann braucht es einen Vertrag nach Art. 28 Abs. 3 DSGVO – schriftlich oder elektronisch (Abs. 9). Wer eine eigene Fachleistung erbringt und selbst über die Daten entscheidet, etwa ein Steuerberater, ist kein Auftragsverarbeiter.

Typisch Auftragsverarbeitung (DSK-Kurzpapier Nr. 13)

Wartung, Fernwartung und externer Support, wenn ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann
Cloud-Dienste und ausgelagerte Datensicherung oder Archivierung
E-Mail-Dienste und die Betreuung von Kontaktformularen der Website
Datenerfassung und das Einscannen von Dokumenten
Entsorgung von Datenträgern

Keine Auftragsverarbeitung

Berufsgeheimnisträger mit eigener Fachleistung, etwa Steuerberater, Rechtsanwälte, Wirtschaftsprüfer – sie sind selbst verantwortlich.
Bank (Geldtransfer), Post (Brieftransport), Inkasso mit Forderungsübertragung.
Rein technische Wartung, etwa an Strom, Kühlung oder Heizung.
Gemeinsam Verantwortliche (Art. 26 DSGVO) schließen statt eines AVV eine Vereinbarung über ihre Verantwortlichkeiten.

Was im Vertrag stehen muss (Art. 28 Abs. 3 DSGVO)

Gegenstand und Dauer, Art und Zweck der Verarbeitung, Art der Daten und Kategorien betroffener Personen
Verarbeitung nur auf dokumentierte Weisung der Praxis
Vertraulichkeit der eingesetzten Personen
die technischen und organisatorischen Maßnahmen nach Art. 32
Unterauftragsverarbeiter nur mit vorheriger Genehmigung der Praxis (Abs. 2)
Unterstützung bei Anfragen von Patienten und bei Datenpannen – der Dienstleister meldet sie der Praxis unverzüglich (Art. 33 Abs. 2)
Löschung oder Rückgabe der Daten nach Ende des Auftrags
Nachweise und Überprüfungen durch die Praxis

Zusätzlich für Praxen: § 203 StGB

Patientendaten sind Berufsgeheimnisse. Die Praxis darf sie Dienstleistern offenbaren, die an ihrer Tätigkeit mitwirken, soweit das für deren Tätigkeit erforderlich ist (§ 203 Abs. 3 StGB). Sie muss dafür sorgen, dass diese Personen zur Geheimhaltung verpflichtet werden – sonst macht sie sich selbst strafbar, wenn eine solche Person ein Geheimnis unbefugt offenbart (§ 203 Abs. 4 Satz 2 Nr. 1 StGB). Diese Verpflichtung kommt zum AVV hinzu: als eigene Erklärung oder ausdrücklich im Vertrag. Für vertragsärztliche und vertragszahnärztliche Praxen verlangt die IT-Sicherheitsrichtlinie außerdem schriftliche Vertraulichkeitsvereinbarungen, bevor externe Personen Zugang und Zugriff zu vertraulichen Informationen erhalten (Anlage 1 Nr. 4).

Vor dem Auftrag: den Dienstleister prüfen

Die Praxis darf nur Auftragsverarbeiter einsetzen, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten (Art. 28 Abs. 1 DSGVO); genehmigte Verhaltensregeln oder Zertifizierungen können das belegen. Sitzt der Dienstleister außerhalb von EU und EWR, gelten zusätzlich Art. 44 ff. DSGVO.

Danach: Verzeichnis und Information

Der Dienstleister ist Empfänger: Er gehört ins Verzeichnis von Verarbeitungstätigkeiten (Art. 30 Abs. 1 lit. d DSGVO) und in die Information der Patienten (Art. 13 Abs. 1 lit. e). Der Vertrag gilt, solange der Auftrag läuft; ändern sich Leistung oder Unterauftragnehmer, wird er angepasst.

Kostenlose AVV-Vorlage nach Art. 28 DSGVO

Ohne Registrierung und ohne E-Mail-Adresse, druckfertig.

Zur AVV-Vorlage

Diese Pflichten nachhalten statt im Kopf behalten

Custodio führt Fristen, Nachweise und Meldewege für Arztpraxen an einer Stelle — mit Erinnerung, bevor etwas abläuft.

Kostenlos beraten lassen Zur Checkliste

📞 Oder rufen Sie an: 030 - 91 74 77 13Datenschutz-Hotline · kostenlose Erstberatung · Mo–Fr 8–15 Uhr

Häufige Fragen: Auftragsverarbeitung in der Praxis

Braucht der IT-Betreuer einen AVV?

Ja, wenn bei Wartung oder Fernwartung ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann (DSK-Kurzpapier Nr. 13).

Braucht der Steuerberater einen AVV?

In der Regel nein. Er erbringt als Berufsgeheimnisträger eine eigene Fachleistung und ist selbst verantwortlich.

Muss der AVV unterschrieben sein?

Er muss schriftlich oder in einem elektronischen Format vorliegen (Art. 28 Abs. 9 DSGVO).

Was droht ohne AVV?

Geldbußen bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4 DSGVO) – für die Praxis wie für den Dienstleister.

Läuft ein AVV ab?

Nein, er gilt so lange wie der Auftrag. Prüfen Sie ihn, wenn sich Leistung oder Unterauftragnehmer ändern.

Weiterführende Themen

Stand: Oktober 2026. Dieser Beitrag gibt den Rechtsstand wieder und ersetzt keine Rechtsberatung im Einzelfall.