Datenschutz in der Arztpraxis: DSGVO-Pflichten im Überblick

Was bedeutet Datenschutz in der Arztpraxis?

Für Arztpraxen ist vor allem Art. 9 Abs. 2 lit. h DSGVO einschlägig: Die Verarbeitung ist erlaubt, wenn sie für die medizinische Diagnostik, Versorgung oder Behandlung erforderlich ist und durch Personal erfolgt, das einer beruflichen Geheimhaltungspflicht unterliegt — etwa der ärztlichen Schweigepflicht nach § 203 StGB. Personaldaten von Mitarbeitenden (Gehaltsabrechnung, Arbeitszeiterfassung) folgen eigenen arbeitsrechtlichen Datenschutzregeln.

Haftungsrisiko: Wer Gesundheitsdaten ohne tragfähige Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO verarbeitet — etwa bei unsauberer Dokumentation des Behandlungsvertrags —, verstößt gegen ein grundsätzliches Verarbeitungsverbot. Das ist keine bloße Formvorschrift.

Welche Rechtsgrundlagen gelten für den Datenschutz in der Arztpraxis?

Mehrere Regelwerke greifen für Arztpraxen ineinander. Die DSGVO bildet als EU-Verordnung die europäische Grundlage und gilt unmittelbar in jedem Mitgliedstaat. Das Bundesdatenschutzgesetz (BDSG) ergänzt sie um nationale Konkretisierungen — etwa zur Pflicht, einen Datenschutzbeauftragten zu benennen. Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG, vormals TTDSG) regelt zusätzlich den Einsatz von Cookies und Tracking-Technologien auf der Praxis-Website. Das Patientendaten-Schutz-Gesetz (PDSG) betrifft primär die Anbindung an die Telematikinfrastruktur, etwa die elektronische Patientenakte.

Rechtsgrundlage	Regelungsbereich	Relevanz für die Praxis
DSGVO (Verordnung (EU) 2016/679)	Grundprinzipien der Datenverarbeitung, Betroffenenrechte, Bußgelder	Zentrales Regelwerk für jede Datenverarbeitung in der Praxis
BDSG	Nationale Ergänzungen, u. a. Schwellenwert für Datenschutzbeauftragte	Bestimmt, ab welcher Praxisgröße ein DSB Pflicht wird
TDDDG	Cookies, Tracking, digitale Dienste	Betrifft Praxis-Website und Terminbuchungstools
PDSG	Telematikinfrastruktur, elektronische Patientenakte	Relevant bei Anbindung an ePA und TI-Komponenten
Berufsordnung der Landesärztekammer / MBO-Ä	Ärztliche Schweigepflicht, Aktenführung	Ergänzt die DSGVO um berufsrechtliche Pflichten

Welche technischen und organisatorischen Maßnahmen (TOM) sind Pflicht?

Art. 32 DSGVO verpflichtet jede Praxis, ein dem Risiko angemessenes Schutzniveau durch technische und organisatorische Maßnahmen (TOM) sicherzustellen. Bei Gesundheitsdaten liegt die Messlatte höher als bei allgemeinen Geschäftsdaten. Schon eine kleine Datenpanne kann für Betroffene gravierende Folgen haben.

Technische Maßnahmen	Organisatorische Maßnahmen
Verschlüsselung von Patientendaten bei Speicherung und Übertragung	Zugriffsrechte-Konzept nach dem Prinzip der Datenminimierung
Zugriffsschutz durch Passwörter, Zwei-Faktor-Authentifizierung	Vertraulichkeitsverpflichtung für alle Mitarbeitenden
Regelmäßige Backups mit getrennter Aufbewahrung	Verzeichnis von Verarbeitungstätigkeiten (VVT)
Firewall– und Virenschutzlösungen für Praxis-IT	Schulung des Personals zu Datenschutzvorfällen
Verfahren zur schnellen Wiederherstellung nach Zwischenfällen	Regelmäßige Überprüfung der Wirksamkeit der TOM

Fehlt ein Verzeichnis von Verarbeitungstätigkeiten, drohen bei einer Prüfung durch die Aufsichtsbehörde eigenständige Sanktionen — unabhängig davon, ob im konkreten Fall überhaupt eine Datenschutzverletzung vorlag. Die Kassenärztliche Bundesvereinigung (KBV) stellt für dieses Verzeichnis ein Muster mit Ausfüllbeispiel zur Verfügung.

Auftragsverarbeitung: Wann ein AV-Vertrag mit Software- und Abrechnungsdienstleistern nötig ist

Setzt Ihre Praxis externe Dienstleister ein — Praxissoftware, Cloud-Backup, externe Abrechnungsstellen oder KI-gestützte Diktiersysteme —, verlangt Art. 28 Abs. 3 DSGVO einen schriftlichen Auftragsverarbeitungsvertrag (AVV). Dieser legt Gegenstand, Dauer und Zweck der Verarbeitung fest. Er verpflichtet den Dienstleister zu denselben technischen und organisatorischen Standards wie die Praxis selbst. Unabhängig vom AVV sollten Sie zusätzlich prüfen, ob Ihre IT-Sicherheit in der Arztpraxis den Anforderungen der Richtlinie nach § 390 SGB V entspricht, da diese Systeme regelmäßig Ziel von Cyberangriffen sind. 

Ohne AVV ist jede Datenübermittlung an den externen Dienstleister rechtswidrig — unabhängig davon, ob der Dienstleister die Daten tatsächlich missbraucht. Praxisverwaltungssysteme, Abrechnungsdienstleister und IT-Support-Firmen zählen zu den häufigsten Auftragsverarbeitern in der ambulanten Versorgung.

Für die Anbindung an die Telematikinfrastruktur (TI) gilt eine praktische Haftungsgrenze: Nach Auffassung der Aufsichtsbehörden endet die datenschutzrechtliche Verantwortung der Praxis am Konnektor. Für Sicherheitslücken innerhalb der TI selbst haftet der jeweilige Anbieter, nicht die Praxis — vorausgesetzt, die Praxis hat ihrerseits keine eigenen Sicherheitsmängel zu verantworten, etwa eine fehlende Firewall oder unbefugten Zugriff vor Ort. 

Diskretion am Empfang und im Wartezimmer als datenschutzrechtliche Pflicht

Der Empfangsbereich zählt zu den datenschutzrechtlich sensibelsten Zonen der Praxis. Mündliche und optische Informationspreisgabe lässt sich dort kaum kontrollieren. Art. 32 DSGVO verlangt organisatorische Maßnahmen auch für diesen Bereich — konkret: Bildschirme so positionieren, dass Wartende keine Patientendaten einsehen können, Gespräche über Befunde nicht in Hörweite Dritter führen und Akten nicht offen liegen lassen.

Auch der Namensaufruf im Wartezimmer berührt den Datenschutz. Er gilt bei den Aufsichtsbehörden jedoch als grundsätzlich zulässig: Die Nennung des Vor- und Nachnamens ohne weitere Zusatzinformationen — Diagnose, Behandlungsanlass — stellt für sich genommen keine unzulässige Offenbarung von Gesundheitsdaten dar. Wer zusätzliche Diskretion wünscht, kann alternativ mit Aufrufnummern oder einem elektronischen Patiententerminal arbeiten.

Tipp: Richten Sie am Empfang eine Diskretionszone ein — ein Abstand von mindestens einem Meter zwischen Warteschlange und Tresen reduziert das Risiko unbeabsichtigter Mithörsituationen erheblich.

Welche Rechte haben Patienten laut DSGVO?

Recht auf Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Widerspruch

Patienten verfügen über ein Bündel an Betroffenenrechten, die eine Praxis aktiv erfüllen muss — teils innerhalb enger Fristen. Dazu zählen das Auskunftsrecht (Art. 15 DSGVO), das Recht auf Berichtigung unrichtiger Daten (Art. 16 DSGVO), das Recht auf Löschung (Art. 17 DSGVO), auf Datenübertragbarkeit (Art. 20 DSGVO) und auf Widerspruch gegen bestimmte Verarbeitungen (Art. 21 DSGVO).

Kostenlose Erstkopie der Patientenakte

Der Europäische Gerichtshof hat mit Urteil vom 26.10.2023 (Az. C-307/22, ECLI:EU:C:2023:811) klargestellt, dass Patienten Anspruch auf eine unentgeltliche erste Kopie ihrer vollständigen Patientenakte haben — unabhängig davon, aus welchem Grund sie die Kopie verlangen. Der EuGH stellte zugleich fest: Die deutsche Regelung des § 630g Abs. 2 Satz 2 BGB, die eine Kostenerstattung vorsah, verstößt gegen den Grundsatz der Unentgeltlichkeit nach Art. 12 Abs. 5 und Art. 15 Abs. 3 DSGVO. Erst bei einer zweiten oder weiteren Kopie darf die Praxis ein angemessenes Entgelt verlangen.

Haftungsrisiko: Praxen, die sich weiterhin ausschließlich auf § 630g BGB stützen und für die Erstkopie Gebühren erheben, handeln nach der EuGH-Rechtsprechung rechtswidrig. Sie riskieren zivilrechtliche Ansprüche sowie aufsichtsbehördliche Beanstandungen.

Wann benötigen Sie eine Einwilligung des Patienten?

Nicht jede Datenverarbeitung in der Praxis benötigt eine gesonderte Einwilligung. Solange die Verarbeitung für die Behandlung selbst erforderlich ist, deckt der Behandlungsvertrag nach Art. 9 Abs. 2 lit. h DSGVO die Rechtsgrundlage bereits ab. Eine explizite Einwilligung nach Art. 6 Abs. 1 lit. a i. V. m. Art. 9 Abs. 2 lit. a DSGVO wird erst dann erforderlich, wenn ein Verarbeitungszweck über die unmittelbare Behandlung hinausgeht.

Typische Fälle mit Einwilligungspflicht:

• Terminerinnerung per SMS oder E-Mail — der Behandlungsvertrag deckt diesen Service-Zweck nicht automatisch ab (auch als Recall-Service bezeichnet)
• Weitergabe eines Rezepts an Angehörige oder direkte Übermittlung an eine Apotheke — hierfür ist stets eine konkrete Einwilligung des Patienten erforderlich, unabhängig davon, wie vertrauenswürdig der Empfänger erscheint
• Fotodokumentation, die über die medizinisch notwendige Verlaufskontrolle hinaus für Marketing oder Vorher-Nachher-Vergleiche genutzt werden soll
• Veröffentlichung von Patientenfotos auf Website oder Social-Media-Kanälen der Praxis, zusätzlich zur datenschutzrechtlichen Einwilligung auch nach § 22 KunstUrhG erforderlich
• Übermittlung an private Abrechnungsstellen (siehe unten)
• Auskünfte an Angehörige ohne vorliegende Schweigepflichtsentbindung

Eine wirksame Einwilligung muss nach Art. 7 Abs. 1 DSGVO freiwillig, informiert und nachweisbar erfolgen. Die Schriftform ist rechtlich nicht zwingend, aus Beweisgründen aber empfehlenswert — ein digitaler Nachweis per Tablet oder Scan reicht aus. Jede Einwilligung ist jederzeit mit Wirkung für die Zukunft widerrufbar. Ein automatisches Ablaufdatum besteht nicht.

Tipp: Formulieren Sie für jeden Verarbeitungszweck eine getrennte Einwilligung. Eine pauschale Sammel-Einwilligung für „Kommunikation und Marketing“ ist intransparent und im Streitfall schwer durchsetzbar.

Datenschutz bei WhatsApp, E-Mail und anderen Kommunikationskanälen

Die Wahl des Kommunikationskanals mit Patienten ist keine reine Komfortfrage, sondern eine datenschutzrechtliche Entscheidung mit Haftungsfolgen. Standard-Messenger wie WhatsApp gelten für die Übermittlung von Gesundheitsdaten als grundsätzlich unzulässig: Der Dienst übermittelt Daten an Server außerhalb der EU, liest unter Umständen Adressbuchdaten aus und bietet keine tragfähige Rechtsgrundlage für den Gesundheitsdatenbezug. Eine Nutzung ist nur denkbar, wenn eine ausdrückliche, informierte Einwilligung vorliegt, die den Patienten über die konkreten Risiken aufklärt — etwa fehlende durchgängige Verschlüsselung und möglichen Zugriff Dritter. Aufsichtsbehörden bewerten diese Konstruktion kritisch.

Unverschlüsselte SMS und Standard-E-Mail unterliegen denselben Bedenken. Beide Übertragungswege lassen sich ohne zusätzliche Verschlüsselung mitlesen. Sicherer sind spezialisierte, für den Gesundheitssektor zertifizierte Messenger-Dienste mit Ende-zu-Ende-Verschlüsselung oder digitale Patientenkommunikation über Portale mit gesichertem Login.

Bei unverschlüsselter E-Mail kommt eine zusätzliche Einschränkung hinzu: Nach Auffassung mehrerer Aufsichtsbehörden können Patienten nicht wirksam in eine unverschlüsselte Übermittlung von Gesundheitsdaten einwilligen. Die Verschlüsselungspflicht nach Art. 32 DSGVO gilt insoweit als nicht abdingbar — eine Einwilligung des Patienten heilt eine unsichere Übertragung also nicht.

Auch der Versand per Fax ist datenschutzrechtlich nicht grundsätzlich ausgeschlossen, sollte aber vermieden werden, wenn nicht sichergestellt ist, dass ausschließlich der Patient oder ein bevollmächtigter Dritter das Fax entgegennimmt — etwa durch vorherige telefonische Ankündigung oder ein gesichertes Empfangsgerät.

Kanal	Datenschutzrechtliche Einschätzung
Standard-WhatsApp	Grundsätzlich unzulässig für Gesundheitsdaten ohne explizite Einwilligung
Unverschlüsselte SMS/E-Mail	Nur für unkritische Inhalte (z. B. reine Terminerinnerung ohne Diagnosebezug) mit Einwilligung vertretbar
Zertifizierte Gesundheits-Messenger	Datenschutzkonform bei Ende-zu-Ende-Verschlüsselung
Patientenportal mit Login	Datenschutzkonform, gilt als sicherste Variante

Haftungsrisiko: Der Versand von Befunden per unverschlüsselter E-Mail an Patienten oder mitbehandelnde Ärzte ist eine der häufigsten Ursachen für Datenschutzverletzungen im Praxisalltag — die Nachricht kann auf dem Transportweg abgefangen werden.

Wann benötigt eine Arztpraxis einen Datenschutzbeauftragten?

Die Pflicht zur Benennung eines Datenschutzbeauftragten (DSB) ergibt sich aus zwei sich ergänzenden Regelungen. Art. 37 Abs. 1 lit. c DSGVO verlangt einen DSB, wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO besteht — das trifft auf nahezu jede Arztpraxis mit Personal zu.

Ergänzend bestimmt § 38 Abs. 1 BDSG einen nationalen Schwellenwert: Praxen benennen einen DSB, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Dieser Wert wurde 2019 von ursprünglich zehn auf zwanzig angehoben. Mitzuzählen sind alle Personen mit tatsächlichem Datenzugriff — auch Teilzeitkräfte, Auszubildende und Personal in Mutterschutz oder Elternzeit. Reines Reinigungspersonal ohne Datenzugriff zählt nicht mit.

Wichtiger Hinweis zur aktuellen Rechtsentwicklung: Die Bundesregierung hat in der Föderalen Modernisierungsagenda vom 4. Dezember 2025 angekündigt, § 38 Abs. 1 BDSG bis Ende 2026 aufzuheben. Bis zu einer tatsächlichen Gesetzesänderung gilt die 20-Personen-Schwelle jedoch unverändert fort. Praxen sollten die Entwicklung beobachten: Eine Aufhebung ließe die nationale Sonderregel entfallen, die Benennungspflicht wäre künftig ausschließlich nach Art. 37 DSGVO zu prüfen.

Sonderfall Einzelpraxis und Gemeinschaftspraxis

In einer Einzelpraxis mit wenigen Mitarbeitenden wird der Schwellenwert von 20 Personen in der Regel nicht erreicht. Eine DSB-Pflicht nach § 38 BDSG entfällt dann. Unabhängig von der Mitarbeiterzahl kann jedoch eine Pflicht nach Art. 37 Abs. 1 lit. b oder c DSGVO bestehen — etwa wenn eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist. In Gemeinschaftspraxen und Praxisgemeinschaften werden die Mitarbeitenden aller beteiligten Ärzte zusammengerechnet. Der Schwellenwert wird dadurch deutlich schneller erreicht als in der Einzelpraxis.

Voraussetzungen für MFA als interne Datenschutzbeauftragte

Der Datenschutzbeauftragte wird nach Art. 37 Abs. 5 DSGVO auf Grundlage seiner beruflichen Qualifikation und seines Fachwissens im Datenschutzrecht benannt. Eine medizinische Fachangestellte kann diese Funktion intern übernehmen, sofern sie über entsprechende Fachkenntnisse verfügt und keine Interessenkonflikte mit ihrer sonstigen Tätigkeit bestehen — ein wichtiger Aspekt gerade bei aktuellem MFA-Mangel und begrenzten Personalressourcen. Praxisinhaber, die selbst über die Datenverarbeitung entscheiden, sind für diese Rolle ausgeschlossen.

Wann ist eine Datenschutz-Folgenabschätzung (DSFA) nötig?

Eine DSFA nach Art. 35 DSGVO ist erforderlich, wenn eine Verarbeitung voraussichtlich zu einem hohen Risiko für die Rechte und Freiheiten der Betroffenen führt. Die bloße Verarbeitung von Gesundheitsdaten im Rahmen der üblichen ambulanten Behandlung löst nach Auffassung der Aufsichtsbehörden noch keine generelle DSFA-Pflicht aus. Das entspricht der in Erwägungsgrund 91 DSGVO angelegten Wertung: Nicht jede Arztpraxis muss allein wegen der Verarbeitung von Gesundheitsdaten eine Folgenabschätzung durchführen. Relevant wird eine DSFA jedoch bei zusätzlichen Risikofaktoren — etwa dem systematischen Einsatz von Videoüberwachung öffentlich zugänglicher Praxisbereiche oder dem Einsatz neuer Technologien mit umfangreicher Auswertung von Patientendaten, etwa bestimmter KI-gestützter Diagnoseunterstützung.

Wann müssen Patientendaten gelöscht werden — und wann dürfen sie es nicht?

Das Recht auf Löschung nach Art. 17 DSGVO kollidiert regelmäßig mit gesetzlichen Aufbewahrungspflichten. Nach § 630f Abs. 3 BGB müssen Patientenunterlagen grundsätzlich zehn Jahre nach Abschluss der Behandlung aufbewahrt werden — sofern nicht andere Vorschriften, etwa im Röntgen- oder Strahlenschutzrecht, längere Aufbewahrungsfristen vorsehen.

Art. 17 Abs. 3 lit. b DSGVO nimmt Verarbeitungen ausdrücklich vom Löschanspruch aus, soweit sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich sind. Die zehnjährige Aufbewahrungsfrist verdrängt damit den Löschanspruch des Patienten für die Dauer der gesetzlichen Frist. Zusätzlich kann die zivilrechtliche Verjährungsfrist nach § 199 Abs. 2 BGB von bis zu 30 Jahren bei Personenschäden ein längeres Aufbewahrungsinteresse begründen.

Tipp: Dokumentieren Sie in Ihrem Löschkonzept, welche Fristen für welche Aktenart gelten. Pauschale Löschroutinen nach zehn Jahren ignorieren Sonderfristen und schaffen ein eigenständiges Haftungsrisiko.

Aktenvernichtung: Anforderungen an die Entsorgung

Die Schweigepflicht gilt auch nach Ablauf der Aufbewahrungsfrist und über eine Praxisauflösung hinaus. Fahrlässig entsorgte Patientenakten können strafrechtliche Konsequenzen nach § 203 StGB nach sich ziehen. Für die physische Vernichtung von Papierunterlagen gibt die DIN 66399 sieben Sicherheitsstufen vor. Patientendaten werden aufgrund ihrer Einstufung nach Art. 9 DSGVO der höchsten Schutzklasse 3 zugeordnet. Aufsichtsbehörden und Fachpublikationen empfehlen dafür mindestens Sicherheitsstufe P-4, teils P-5 bei besonders sensiblen Unterlagen. Handelsübliche Bürogeräte mit Streifenschnitt (P-2) reichen für Patientenakten nicht aus.

Wird die Vernichtung an einen externen Dienstleister ausgelagert, ist dafür wie bei jeder Auftragsverarbeitung ein AV-Vertrag nach Art. 28 DSGVO erforderlich. Bis zur Abholung müssen die Unterlagen so verwahrt werden, dass kein Unbefugter Einblick nehmen kann — offene Sammelbehälter im Publikumsbereich erfüllen diese Anforderung nicht. Dass dieses Risiko real ist, zeigt die Aufsichtspraxis: Das ULD Schleswig-Holstein verhängte ein Bußgeld gegen eine Arztpraxis, die Patientenunterlagen in einem gewöhnlichen Papiercontainer entsorgte, auf die anschließend Unbefugte zugriffen. In einem weiteren Fall wurden Patientenakten in einem offenen Schuppen gelagert — auch hier folgte ein Bußgeld. 

Wann dürfen Patientendaten an Dritte übermittelt werden?

Jede Übermittlung an Dritte benötigt eine eigenständige Rechtsgrundlage nach Art. 6 DSGVO beziehungsweise Art. 9 Abs. 2 DSGVO. Die bloße Existenz eines Behandlungsvertrags deckt nicht automatisch jede Weitergabe an externe Stellen ab.

Rechtsgrundlage nach Art. 6/9 DSGVO	Beispiel aus der Praxis
Art. 9 Abs. 2 lit. h DSGVO (Behandlung)	Überweisung an einen Facharzt mit medizinischer Begründung
Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung)	Meldung an das Gesundheitsamt bei meldepflichtigen Krankheiten
Art. 6 Abs. 1 lit. a i. V. m. Art. 9 Abs. 2 lit. a DSGVO (Einwilligung)	Weitergabe an eine private Abrechnungsstelle
Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)	Übermittlung an eine Auskunftei bei ausstehender Honorarforderung

Bei Anfragen der gesetzlichen Krankenkasse gilt eine praktische Erleichterung: Erfolgt die Anfrage auf einem vertraglich vereinbarten Vordruck, ist die Rechtsgrundlage bereits dokumentiert und die Praxis muss antworten. Stellt die Krankenkasse eine Anfrage ohne einen solchen Vordruck, muss sie umgekehrt selbst darlegen, welche Daten sie benötigt und auf welche Rechtsgrundlage sie sich stützt — die Praxis muss das nicht ungeprüft hinnehmen. Rechtsgrundlage für die Datenverarbeitung durch die Krankenversicherung selbst ist § 284 SGB V. 

Sonderfall: Weitergabe an private Abrechnungsstellen erfordert Einwilligung

Anders als die Weitergabe an die Kassenärztliche Vereinigung, die auf gesetzlicher Grundlage erfolgt, setzt die Beauftragung einer privaten Verrechnungsstelle grundsätzlich eine ausdrückliche Einwilligung des Patienten voraus. Hier fließen Gesundheitsdaten an ein privatwirtschaftliches Unternehmen außerhalb der unmittelbaren Behandlung.

Müssen Patienten eine Datenschutzerklärung unterschreiben?

Der Behandlungsvertrag selbst liefert nach Art. 9 Abs. 2 lit. h DSGVO bereits eine ausreichende Rechtsgrundlage für die behandlungsbezogene Datenverarbeitung — eine separate Einwilligung ist dafür nicht erforderlich. Die DSGVO verlangt jedoch über Art. 13 DSGVO eine Informationspflicht: Patienten müssen darüber informiert werden, welche Daten zu welchem Zweck verarbeitet werden.

Informationspflicht vs. Nachweispflicht: Aushang, Merkblatt oder Unterschrift

Diese Informationspflicht lässt sich durch einen gut sichtbaren Aushang im Wartezimmer erfüllen, ergänzt durch ausgedruckte Exemplare zur Mitnahme. Eine handschriftliche Unterschrift des Patienten ist nach den Empfehlungen der Aufsichtsbehörden nicht zwingend erforderlich, sofern die Praxis intern sicherstellt und dokumentiert, dass die Information tatsächlich bereitgestellt wurde. Die KBV stellt für diesen Zweck eine Muster-Patienteninformation zum Datenschutz [DOCX, Download] zur Verfügung, die sich als Aushang, Merkblatt und für die Praxis-Website eignet.

Abrechnung: Fehlt der Aushang vollständig, ist dies ein häufig beanstandeter Mangel bei Praxisbegehungen der Aufsichtsbehörden — unabhängig davon, ob im Einzelfall ein konkreter Schaden entstanden ist.

Datenschutzerklärung für die Praxis-Website

Von der Patienteninformation im Wartezimmer zu unterscheiden ist die Datenschutzerklärung auf der Praxis-Website — beide erfüllen die Informationspflicht nach Art. 13 DSGVO, jedoch für unterschiedliche Verarbeitungssituationen. Sobald die Website Kontaktformulare, Online-Terminkalender oder Tracking-Technologien einsetzt, verlangt Art. 13 DSGVO in Verbindung mit dem TDDDG eine eigene, jederzeit abrufbare Datenschutzerklärung. Diese muss unter anderem Aussagen dazu enthalten, welche Daten bei einer Kontaktaufnahme erhoben werden, ob und welche Cookies eingesetzt werden und ob Daten an Dritte übermittelt werden — etwa an einen Software-Anbieter für die Terminbuchung.

Welche Bußgelder drohen bei Datenschutzverstößen in der Arztpraxis?

In der Praxis fallen Bußgelder gegen niedergelassene Ärzte deutlich niedriger aus als die Höchstgrenzen vermuten lassen — sie sind aber real: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit verhängte ein Bußgeld von 2.500 Euro gegen eine Praxisinhaberin, weil ein Praxismanager Patientenakten im Home Office ohne ausreichende Sicherung aufbewahrte. International zeigen Fälle aus dem Gesundheitswesen: Bei schwereren Verstößen — etwa fehlenden Auftragsverarbeitungsverträgen und unzureichenden technischen Schutzmaßnahmen nach einem Cyberangriff — werden auch sechsstellige Bußgelder verhängt.

Auch Verwechslungen bei der Datenübermittlung werden sanktioniert: Die rheinland-pfälzische Aufsichtsbehörde verhängte 2019 ein Bußgeld von 105.000 Euro gegen eine Universitätsklinik, weil Gesundheitsdaten infolge einer Patientenverwechslung an die falsche Person übermittelt wurden. Das Beispiel zeigt, dass nicht nur fehlende technische Maßnahmen, sondern auch einfache organisatorische Fehler bei der Datenweitergabe empfindliche Bußgelder auslösen können.

Meldepflicht binnen 72 Stunden nach Art. 33 DSGVO

Wird der Praxis eine Verletzung des Schutzes personenbezogener Daten bekannt — etwa durch einen gestohlenen Laptop mit Patientendaten oder einen Ransomware-Angriff —, muss sie dies unverzüglich melden. Die Meldung an die zuständige Aufsichtsbehörde erfolgt möglichst binnen 72 Stunden. Eine Ausnahme besteht nur, wenn die Verletzung voraussichtlich zu keinem Risiko für die Rechte und Freiheiten der Betroffenen führt. Wird die Frist überschritten, ist der Meldung eine Begründung für die Verzögerung beizufügen.

Zuständig ist jeweils die Datenschutzaufsichtsbehörde des Bundeslandes, in dem die Praxis ihren Sitz hat. Die Länder unterhalten dafür eigene Aufsichtsbehörden mit teils unterschiedlichen Meldeformularen und Kontaktwegen.

Checkliste: Sofortmaßnahmen nach einer Datenschutzverletzung

• [ ] Vorfall dokumentieren (Art, Umfang, betroffene Datenkategorien)
• [ ] Risiko für Betroffene einschätzen
• [ ] Bei Risiko: Meldung an die Aufsichtsbehörde binnen 72 Stunden vorbereiten
• [ ] Bei hohem Risiko: Betroffene nach Art. 34 DSGVO informieren
• [ ] Abhilfemaßnahmen einleiten und dokumentieren

FAQ: Häufige Fragen zum Datenschutz in der Arztpraxis

Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung im Einzelfall. Bei konkreten Haftungsfragen empfiehlt sich die Prüfung durch einen auf Medizinrecht spezialisierten Rechtsanwalt oder Ihre zuständige Landesärztekammer.