Arztpraxis-Datenschutz 2026: Orientierung für die niedergelassene Praxis im Standard-Profil

Welche regulatorischen Vorgaben sind in der niedergelassenen Praxis einschlägig?

Drei Rechtsbereiche treten in der vertragsärztlichen Praxis verbreitet parallel auf:

Datenschutz mit besonderen Kategorien (DSGVO Art. 9). Gesundheitsdaten gelten als besondere Kategorie personenbezogener Daten. Eine Verarbeitung ist grundsätzlich verboten, soweit nicht eine der Ausnahmen nach Art. 9 Abs. 2 DSGVO einschlägig ist. Für die Heilbehandlung wird in der Praxis regelmäßig Art. 9 Abs. 2 lit. h DSGVO herangezogen, vorbehaltlich der berufsrechtlichen Verschwiegenheitspflicht. Die Verarbeitung erfordert typischerweise erweiterte technisch-organisatorische Maßnahmen nach Art. 32 DSGVO.

Detail

Strafrechtliche Schweigepflicht (§ 203 StGB). Wer als Arzt, Zahnarzt, sonstiger Heilberufler oder berufsmäßiger Gehilfe unbefugt ein anvertrautes Geheimnis offenbart, kann sich strafbar machen. Strafrahmen: Geldstrafe oder Freiheitsstrafe bis zu einem Jahr (§ 203 Abs. 1 StGB), in qualifizierten Fällen bis zu zwei Jahren (§ 203 Abs. 6 StGB). Eine § 203-Verletzung ist berufsrechtlich relevant und kann unabhängig von einer DSGVO-Bewertung Konsequenzen nach sich ziehen.

Telematik- und Sozialrecht. Die Anbindung an die Telematikinfrastruktur, die ePA-Bereitstellung, eRezept und die KV-Abrechnung sind in einem Regelwerk-Geflecht aus Sozialgesetzbuch V, Berufsordnungen der Landesärztekammern und gematik-Spezifikationen geregelt. Komponenten wie Konnektor, Kartenterminal oder ePA-Front-End-Module sind typischerweise gematik-zertifiziert zu beziehen, die konkreten technischen Anforderungen ändern sich regelmäßig und sollten in der jeweils aktuellen Fassung beachtet werden.

Welche Konstellation passt typisch zur niedergelassenen Praxis im Standard-Profil?

In der KMU-Beratungspraxis ist die folgende Konstellation für eine niedergelassene Praxis mit 5 bis 20 Personen verbreitet, eine abschließende Einordnung hängt jedoch vom Einzelfall ab:

Detail

• Verantwortlicher nach Art. 4 Nr. 7 DSGVO für die Patientendaten der eigenen Praxis (im Falle einer Berufsausübungsgemeinschaft gegebenenfalls gemeinsam Verantwortliche nach Art. 26 DSGVO, die Abgrenzung ist sorgfältig zu prüfen).
• Verarbeitung besonderer Kategorien nach Art. 9 DSGVO mit erweitertem Schutzbedarf und regelmäßiger DPIA-Pflicht nach Art. 35 DSGVO bei größeren Systemwechseln.
• Bestellungspflicht für einen Datenschutzbeauftragten, sofern die Schwellen nach § 38 BDSG oder Art. 37 DSGVO erreicht werden.
• Mehrere Sub-Verarbeiter: PVS-Anbieter, ggf. Privatabrechnungs-Dienstleister, Labor, IT-Hausbetreuung, ggf. Online-Terminbuchung. AVVs nach Art. 28 DSGVO sind in der Praxis verbreitet einzuholen.
• gematik-zertifizierte TI-Komponenten für Konnektor, eGK-Lesegeräte und ePA-Anbindung.

Welcher Aufbau-Rahmen ist verbreitet?

In der Beratungspraxis für niedergelassene Praxen hat sich ein dreistufiger Orientierungs-Rahmen etabliert. Ob er im konkreten Fall passt, ist im Einzelfall zu beurteilen.

Erster Baustein, Verfahrensverzeichnis und DPIA-Vorklärung. Ein Verzeichnis nach Art. 30 DSGVO bildet die Grundlage. Verbreitet sind Einträge zu Behandlungsdokumentation, GKV-Abrechnung, PKV-Abrechnung, Online-Terminbuchung, Newsletter, Bewerbungen, Lohnabrechnung. Eine DPIA-Vorklärung nach Art. 35 DSGVO ist insbesondere bei neuen Verfahren oder Telemedizin-Einführung typischerweise sinnvoll, die Aufsichtsbehörden veröffentlichen Listen DPIA-pflichtiger Verarbeitungen.

Detail

Zweiter Baustein, AVV-Inventur und Drittland-Transfer-Prüfung. Eine vollständige Liste der externen Verarbeiter mit aktuellem AVV-Status nach Art. 28 DSGVO ist verbreitet. Sofern Verarbeitungen außerhalb der EU/EWR stattfinden, ist die Drittland-Transfer-Grundlage nach Art. 44 ff. DSGVO zu prüfen. Lücken sind häufig bei IT-Hausbetreuung, externen Schreibdiensten und älteren Wartungsverträgen.

Dritter Baustein, Technisch-organisatorische Maßnahmen. Maßnahmen, die in Auditberichten von Datenschutz-Aufsichtsbehörden verbreitet als angemessen angesehen werden: Festplatten-Verschlüsselung der Praxis-Rechner, Multi-Faktor-Authentifizierung für sensible Konten, getrennte Netze für PVS und Internet, dokumentiertes Backup-Konzept mit Wiederherstellungs-Test, jährliche Mitarbeiter-Sensibilisierung. Die konkrete Maßnahmen-Tiefe ist nach Art. 32 DSGVO am Schutzbedarf zu bemessen.

Welche Konstellationen erfordern abweichendes Vorgehen?

In einer Reihe von Konstellationen reicht der pauschale Orientierungs-Rahmen für die niedergelassene Praxis im Standard-Profil nicht aus und es ist eine erweiterte fachliche Begleitung sinnvoll:

Detail

• Medizinisches Versorgungszentrum (MVZ) oder größere Berufsausübungsgemeinschaft: Die Rollenzuordnung zwischen Trägergesellschaft, ärztlicher Leitung und einzelnen Ärzten ist sorgfältig zu klären, insbesondere im Hinblick auf gemeinsame Verantwortlichkeit (Art. 26 DSGVO).
• Fachrichtungen mit besonders sensibler Versorgung: Psychotherapie, Psychiatrie, Suchtmedizin, HIV-Schwerpunkt, Reproduktionsmedizin und Humangenetik können sektor-spezifische Zusatzpflichten auslösen, etwa über das Genetik-Diagnostik-Gesetz oder berufsrechtliche Sonderregelungen.
• Telemedizinische Angebote und Apps auf Rezept (DiGA): Erweiterte Anforderungen nach BfArM-Anerkennung, gematik-Schnittstellen und gegebenenfalls Medizinprodukte-Recht (MDR) sind einschlägig, eine separate Einordnung wird empfohlen.
• Forschungstätigkeit oder Datenweitergabe an Register: Forschung mit Patientendaten erfordert typischerweise eine eigene Rechtsgrundlage (Art. 9 Abs. 2 lit. j DSGVO i. V. m. Landesrecht) und gegebenenfalls eine Ethik-Kommission.
• Datenpanne mit Massenwirkung: Sofern mehr als wenige Patienten betroffen sind oder hochsensible Datenkategorien abgeflossen sind, ist eine Eskalation an spezialisierte Beratung typischerweise sinnvoll.

In diesen Konstellationen ist eine pauschale Orientierungshilfe unzureichend. Eine Einzelfall-Prüfung durch Landesärztekammer, Datenschutzbeauftragte oder anwaltliche Beratung wird typischerweise empfohlen.

Nächster Schritt

Eine erste Standort-Bestimmung zum Verfahrensverzeichnis liefert der Verfahrensverzeichnis-Generator, ohne Anspruch auf Vollständigkeit oder Verbindlichkeit.

Für eine vertiefte Auseinandersetzung mit Art. 9 DSGVO: DSGVO Art. 9, Gesundheitsdaten und besondere Kategorien.