Datenschutz-Pflichten der Arztpraxis — nach Dringlichkeit geordnet

Welche Pflichten eine gesetzliche Frist haben, welche vor jeder Verarbeitung erfüllt sein müssen und welche laufend anfallen.

Die kurze Antwort

Am dringendsten sind die Pflichten mit gesetzlicher Frist: Eine Datenpanne meldet die Praxis unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde (Art. 33 Abs. 1 DSGVO), eine Auskunft erteilt sie unverzüglich, spätestens binnen eines Monats (Art. 12 Abs. 3). Vor jeder Verarbeitung müssen die Grundlagen stehen. Laufend kommen Schulung, Updates, Überprüfung und Löschung hinzu.

1. Mit Frist, wenn es so weit ist

Datenpanne: unverzüglich und möglichst binnen 72 Stunden ab Kenntnis an die Aufsichtsbehörde, außer sie führt voraussichtlich nicht zu einem Risiko (Art. 33 Abs. 1). Bei voraussichtlich hohem Risiko auch die Betroffenen unverzüglich benachrichtigen (Art. 34 Abs. 1). Jede Panne dokumentieren, auch die nicht gemeldete (Art. 33 Abs. 5).
Auskunft: unverzüglich, spätestens einen Monat nach Eingang; bei komplexen oder vielen Anträgen um zwei Monate verlängerbar (Art. 12 Abs. 3). Die erste Kopie ist unentgeltlich (Art. 15 Abs. 3).
Einsicht in die Patientenakte: unverzüglich (§ 630g Abs. 1 BGB).
Anträge auf Löschung oder Berichtigung: ebenfalls binnen eines Monats beantworten (Art. 12 Abs. 3); eine gesetzliche Aufbewahrungspflicht geht der Löschung vor (Art. 17 Abs. 3 lit. b).
Widerruf einer Einwilligung: gilt ab Eingang; was bis dahin verarbeitet wurde, bleibt rechtmäßig (Art. 7 Abs. 3).

2. Bevor die Praxis Daten verarbeitet

Verzeichnis von Verarbeitungstätigkeiten (Art. 30). Die Ausnahme für Betriebe unter 250 Beschäftigten gilt nicht, weil die Praxis Gesundheitsdaten verarbeitet (Art. 30 Abs. 5).
Information der Patienten bei der Erhebung (Art. 13).
Verträge mit Auftragsverarbeitern (Art. 28) und die Verpflichtung nach § 203 StGB. → Auftragsverarbeitung in der Praxis
Technische und organisatorische Maßnahmen (Art. 32); für vertragsärztliche und vertragszahnärztliche Praxen zusätzlich die IT-Sicherheitsrichtlinie nach § 390 SGB V. → Die fünf Anlagen der IT-Sicherheitsrichtlinie
Beschäftigte dürfen Daten nur auf Anweisung der Praxis verarbeiten (Art. 29, Art. 32 Abs. 4). Ärztinnen und Ärzte müssen sie außerdem über die Schweigepflicht belehren und das schriftlich festhalten (§ 9 Abs. 3 der Muster-Berufsordnung). Üblich ist eine schriftliche Verpflichtung auf die Vertraulichkeit, bevor jemand mit Patientendaten arbeitet.
Datenschutzbeauftragten prüfen: Pflicht, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG), unabhängig von der Zahl bei einer Verarbeitung mit Folgenabschätzung.
Folgenabschätzung prüfen, wenn eine neue Verarbeitung voraussichtlich ein hohes Risiko hat (Art. 35). → Datenschutz-Folgenabschätzung in der Praxis
Praxis-Website: Datenschutzerklärung; für nicht erforderliche Cookies vorher eine Einwilligung (§ 25 TDDDG). → Datenschutzerklärung für die Praxis-Website

3. Laufend

Schulung: regelmäßig (Art. 32 Abs. 4). Kein Gesetz nennt einen Turnus; Custodio empfiehlt alle 12 Monate.
Sicherheitsupdates zeitnah installieren, Daten regelmäßig sichern (Art. 32 Abs. 1 lit. b und c).
Maßnahmen regelmäßig überprüfen (Art. 32 Abs. 1 lit. d) und erforderlichenfalls aktualisieren (Art. 24 Abs. 1).
Löschen nach Ablauf der Frist: die Patientenakte zehn Jahre nach Abschluss der Behandlung, soweit keine andere Vorschrift länger verlangt (§ 630f Abs. 3 BGB). → Patientenakte aufbewahren und löschen
Verzeichnis, Verträge und Patienteninformation anpassen, wenn sich etwas ändert: neuer Dienstleister, neue Software, neue Funktion auf der Website.

Womit anfangen

Wer neu anfängt, beginnt mit dem Verzeichnis: Erst wenn aufgeschrieben ist, welche Daten wofür verarbeitet werden, lässt sich sagen, welche Verträge fehlen, welche Fristen gelten und welche Maßnahmen angemessen sind.

Fristen und Meldestellen zum Ausdrucken

Als Blätter für die Pinnwand.

Zu den Unterlagen

Diese Pflichten nachhalten statt im Kopf behalten

Custodio führt Fristen, Nachweise und Meldewege für Arztpraxen an einer Stelle — mit Erinnerung, bevor etwas abläuft.

Kostenlos beraten lassen Zur Checkliste

📞 Oder rufen Sie an: 030 - 91 74 77 13Datenschutz-Hotline · kostenlose Erstberatung · Mo–Fr 8–15 Uhr

Häufige Fragen: Datenschutz-Pflichten der Arztpraxis

Was ist bei einer Datenpanne zuerst zu tun?

Festhalten, was geschehen ist, und prüfen, ob ein Risiko besteht. Gemeldet wird unverzüglich und möglichst binnen 72 Stunden ab Kenntnis (Art. 33 Abs. 1 DSGVO); dokumentiert wird jede Panne (Art. 33 Abs. 5).

Wie lange hat die Praxis für eine Auskunft Zeit?

Unverzüglich, spätestens einen Monat nach Eingang. Eine Verlängerung um zwei Monate teilt sie innerhalb des ersten Monats mit Gründen mit (Art. 12 Abs. 3 DSGVO).

Muss jedes Jahr geschult werden?

Kein Gesetz nennt einen festen Turnus. Art. 32 Abs. 4 DSGVO verlangt, dass Beschäftigte Daten nur auf Anweisung verarbeiten; regelmäßige Schulungen sind der übliche Weg. Custodio empfiehlt alle 12 Monate.

Braucht die Praxis einen Datenschutzbeauftragten?

Nach § 38 Abs. 1 BDSG, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung beschäftigt sind, unabhängig davon bei einer Verarbeitung mit Folgenabschätzung. Daneben gilt Art. 37 Abs. 1 lit. c DSGVO; für die Patientendaten einer einzelnen Ärztin oder eines einzelnen Arztes ist die Verarbeitung nach Erwägungsgrund 91 nicht umfangreich.

Muss die Patientenakte nach zehn Jahren gelöscht werden?

Ja, wenn keine andere Vorschrift länger verlangt und kein anderer Grund besteht (§ 630f Abs. 3 BGB, Art. 5 Abs. 1 lit. e DSGVO).

Weiterführende Themen

Stand: Oktober 2026. Dieser Beitrag gibt den Rechtsstand wieder und ersetzt keine Rechtsberatung im Einzelfall.