Wen § 203 StGB erfasst, warum der IT-Dienstleister dazugehört und an welchen drei Stellen es im Praxisalltag bricht.
Die ärztliche Schweigepflicht bindet nicht nur die Ärztin oder den Arzt. Sie erfasst das ganze Team und seit der Reform von 2017 auch externe Dienstleister, die bei der Arbeit Zugang zu Patientendaten bekommen. Ein Verstoß ist eine Straftat.
§ 203 Abs. 1 Nr. 1 StGB nennt Ärzte, Zahnärzte und andere Angehörige eines Heilberufs ausdrücklich. Die Pflicht gilt unabhängig davon, wie das Geheimnis bekannt wurde, und sie endet nicht mit dem Ende der Behandlung.
Medizinische Fachangestellte und Arzthelferinnen sind nach § 203 Abs. 3 StGB berufsmäßig tätige Gehilfen und damit selbst zur Verschwiegenheit verpflichtet — nicht abgeleitet über den Arbeitgeber, sondern unmittelbar.
Das ist der Teil, der am häufigsten übersehen wird. Seit der Reform 2017 dürfen mitwirkende Personen — der IT-Dienstleister, der Abrechnungsdienst, die Fernwartung — in die Behandlung einbezogen werden. Voraussetzung: Sie werden besonders verpflichtet und unterliegen dann selbst der Schweigepflicht. § 203 Abs. 4 StGB stellt die unbefugte Offenbarung durch sie ausdrücklich unter Strafe.
Praktisch heißt das: Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO allein genügt nicht. Es braucht zusätzlich die Verpflichtung nach § 203 StGB. Zwei Regelwerke, zwei Unterschriften.
§ 203 StGB sieht Freiheitsstrafe bis zu einem Jahr oder Geldstrafe vor. Daneben stehen unabhängig davon:
Die drei laufen nebeneinander. Ein eingestelltes Strafverfahren sagt nichts über das Bußgeld.
Ein verbreiteter Irrtum: Wer die DSGVO einhält, halte automatisch auch die Schweigepflicht ein. Das stimmt nicht.
| Schweigepflicht (§ 203 StGB) | DSGVO | |
|---|---|---|
| Schützt | das anvertraute Geheimnis | personenbezogene Daten |
| Gilt für | bestimmte Berufe und ihre Gehilfen | jede verantwortliche Stelle |
| Folge | Strafrecht | Bußgeld, Schadensersatz |
| Erlaubnis | Einwilligung oder gesetzliche Befugnis | Rechtsgrundlage nach Art. 6 und 9 |
Beide gelten gleichzeitig und vollständig. Eine Übermittlung kann datenschutzrechtlich zulässig und strafrechtlich trotzdem eine Offenbarung sein.
„Ist Herr Müller heute da gewesen?“ — schon die Bestätigung, dass jemand Patient ist, ist ein Geheimnis. Wer anruft, lässt sich am Telefon nicht zuverlässig prüfen. Die belastbare Regel ist: keine Auskunft über das Bestehen eines Behandlungsverhältnisses am Telefon, auch nicht an Angehörige.
Die Anwesenheit einer Begleitperson ist keine Einwilligung. Bei erwachsenen, einwilligungsfähigen Patienten entscheidet die Patientin oder der Patient, wer zuhört — nicht die Praxis und nicht die Begleitung.
Fernwartung auf ein System mit Patientendaten ist ein Zugang zu Geheimnissen, auch wenn niemand sie liest. Ohne Verpflichtung nach § 203 StGB ist das die häufigste unbemerkte Lücke in einer Praxis.
Nachweisbar sein muss vor allem eines: dass jede Person mit Zugang zu Patientendaten vor Aufnahme der Tätigkeit belehrt und verpflichtet wurde.
Fehlt das Papier, ist die Belehrung im Streitfall nicht erfolgt — auch wenn sie stattgefunden hat.
Custodio führt Fristen, Nachweise und Meldewege für Arztpraxen an einer Stelle — mit Erinnerung, bevor etwas abläuft.
Kostenlos beraten lassen Zur Checkliste📞 Oder rufen Sie an: 030 - 91 74 77 13Datenschutz-Hotline · kostenlose Erstberatung · Mo–Fr 8–15 Uhr
Ja. Medizinische Fachangestellte und Arzthelferinnen sind nach § 203 Abs. 3 StGB berufsmäßig tätige Gehilfen und damit selbst zur Verschwiegenheit verpflichtet — unmittelbar und nicht nur abgeleitet über den Arbeitgeber.
Seit der Reform von 2017 dürfen mitwirkende Personen wie IT-Dienstleister einbezogen werden. Sie sind dann aber besonders zu verpflichten und unterliegen selbst der Schweigepflicht; § 203 Abs. 4 StGB stellt die unbefugte Offenbarung durch sie unter Strafe. Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO allein genügt nicht.
§ 203 StGB sieht Freiheitsstrafe bis zu einem Jahr oder Geldstrafe vor. Unabhängig davon können berufsrechtliche Folgen über die Ärztekammer, datenschutzrechtliche Bußgelder und zivilrechtliche Schadensersatzansprüche hinzukommen.
Nein. Sie besteht über das Ende des Behandlungsverhältnisses hinaus fort und endet auch nicht mit dem Tod der Patientin oder des Patienten.
Stand: September 2026. Dieser Beitrag gibt den Rechtsstand wieder und ersetzt keine Rechtsberatung im Einzelfall.