Gesundheitsdaten, Schweigepflicht, Digitalisierung: Welche Datenschutz-Pflichten Arztpraxen erfüllen müssen und wie Sie Datenschutzprozesse strukturiert organisieren. Mit Checkliste.
Arztpraxen verarbeiten Gesundheitsdaten nach Art. 9 DSGVO — eine besondere Kategorie personenbezogener Daten, die dem höchsten Schutzniveau unterliegt. Diagnosen, Befunde, Laborwerte und Therapiepläne dürfen nur unter strengen Voraussetzungen verarbeitet werden.
Zusätzlich zur DSGVO gilt die ärztliche Schweigepflicht nach §203 StGB. Ein Verstoß ist nicht nur ein Datenschutzproblem, sondern eine Straftat mit bis zu einem Jahr Freiheitsstrafe. Diese doppelte Absicherung macht den Datenschutz in der Arztpraxis besonders anspruchsvoll — aber auch besonders wichtig für das Vertrauen Ihrer Patienten.
Folgende Datenschutz-Pflichten müssen niedergelassene Ärzte konkret umsetzen:
| Pflicht | Rechtsgrundlage | Umsetzung |
|---|---|---|
| Verarbeitungsverzeichnis (VVT) | Art. 30 DSGVO | Alle Verarbeitungen dokumentieren: Patientenverwaltung, Abrechnung, Labor, ePA |
| Auftragsverarbeitungsvertrag (AVV) | Art. 28 DSGVO | Mit PVS-Anbieter, IT-Dienstleister, Abrechnungsstelle, Cloudanbieter |
| Patienteninformation | Art. 13/14 DSGVO | Aushang in der Praxis, Übergabe bei Erstbesuch, Website-Datenschutzerklärung |
| Löschkonzept | Art. 17 DSGVO | Aufbewahrungsfristen definieren (10 Jahre BGB, 30 Jahre Haftung), danach sicher löschen |
| Mitarbeiterschulung | Art. 39 DSGVO | Jährliche Schulung zu Datenschutz und Schweigepflicht, dokumentiert |
| TOM-Dokumentation | Art. 32 DSGVO | Technisch-organisatorische Maßnahmen verschriftlichen und prüfen |
Ob Ihre Praxis einen Datenschutzbeauftragten (DSB) benötigt, hängt von Größe, Organisation und Verarbeitungstätigkeiten ab. Die DSGVO verlangt einen DSB, wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien liegt — dies kann bei Arztpraxen je nach Umfang und Verarbeitungstätigkeiten relevant sein.
Auch das BDSG greift: Ab 20 Personen, die ständig mit personenbezogener Datenverarbeitung beschäftigt sind (Ärzte, MFA, Abrechnungskräfte), ist ein DSB Pflicht. Kleine Praxen unterschreiten diese Schwelle in der Regel deutlich — dann besteht meist keine Bestellpflicht; das Ergebnis der Prüfung sollte dokumentiert werden.
Der DSB kann intern bestellt oder als externer Datenschutzbeauftragter beauftragt werden. Für Arztpraxen empfiehlt sich oft ein externer DSB, da die internen Ressourcen begrenzt sind.
Die elektronische Patientenakte (ePA), das E-Rezept und die Telematikinfrastruktur stellen neue Anforderungen an den Datenschutz in der Arztpraxis. Gesundheitsdaten werden zunehmend digital verarbeitet, übermittelt und gespeichert.
Daraus ergeben sich zusätzliche Pflichten: Zugriffsprotokollierung, verschlüsselte Übertragung, Einwilligungsmanagement und regelmäßige Sicherheitsupdates. Jede Arztpraxis muss sicherstellen, dass PVS-System, Konnektoren und Arbeitsplätze aktuell und sicher konfiguriert sind.
Die KBV IT-Sicherheitsrichtlinie nach § 390 SGB V (ehem. § 75b) ist seit 2021 für alle vertragsärztlichen Praxen verbindlich. Sie definiert konkrete Anforderungen an IT-Sicherheit — von der Firewall über Mobile-Device-Management bis zum Virenschutz. Die Richtlinie ergänzt die DSGVO-Anforderungen und sollte gemeinsam umgesetzt werden.
Mit Custodio verwalten Sie VVT, AVV, TOM und Schulungen an einem Ort — mit Vorlagen speziell für Arztpraxen, automatischen Fristen und Prüfungs-Export.
Kostenlos beraten lassen Kostenlos DSE erstellenOb eine Arztpraxis einen Datenschutzbeauftragten bestellen muss, hängt von Praxisgröße, Organisation und konkreten Verarbeitungstätigkeiten ab. Die Pflicht sollte im Einzelfall geprüft und dokumentiert werden.
Verarbeitungsverzeichnis führen, AVV mit Dienstleistern abschließen, Patienten informieren, Löschkonzept umsetzen, Mitarbeiter schulen. Zusätzlich gelten die Schweigepflicht nach §203 StGB und die KBV IT-Sicherheitsrichtlinie.
Technisch: verschlüsselte PVS-Datenbank, Bildschirmsperre, Firewall, Backups. Organisatorisch: Sichtschutz am Empfang, verschlossene Aktenschränke, Clean-Desk-Policy, Schweigepflicht-Verpflichtung und regelmäßige Schulungen.
VVT, AVV-Verträge, Datenschutzhinweise, TOM-Dokumentation und Schulungsnachweise werden angefordert. Fehlende Dokumente führen zu Beanstandungen und Bußgeldern. Mit vollständiger Dokumentation verbessert sich die Nachweisfähigkeit bei Prüfungen erheblich.