Arztpraxis-Datenschutz 2026: Orientierung für die niedergelassene Praxis im Standard-Profil

Welche regulatorischen Vorgaben sind in der niedergelassenen Praxis einschlägig?

Drei Rechtsbereiche treten in der vertragsärztlichen Praxis verbreitet parallel auf:

Datenschutz mit besonderen Kategorien (DSGVO Art. 9). Gesundheitsdaten gelten als besondere Kategorie personenbezogener Daten. Eine Verarbeitung ist grundsätzlich verboten, soweit nicht eine der Ausnahmen nach Art. 9 Abs. 2 DSGVO einschlägig ist. Für die Heilbehandlung wird in der Praxis regelmäßig Art. 9 Abs. 2 lit. h DSGVO herangezogen, vorbehaltlich der berufsrechtlichen Verschwiegenheitspflicht. Die Verarbeitung erfordert typischerweise erweiterte technisch-organisatorische Maßnahmen nach Art. 32 DSGVO.

Strafrechtliche Schweigepflicht (§ 203 StGB). Wer als Arzt, Zahnarzt oder Angehöriger eines anderen Heilberufs mit staatlich geregelter Ausbildung unbefugt ein anvertrautes oder sonst bekannt gewordenes Geheimnis offenbart, macht sich strafbar; für mitwirkende Personen wie Praxispersonal oder IT-Dienstleister gilt § 203 Abs. 4 StGB. Strafrahmen: Geldstrafe oder Freiheitsstrafe bis zu einem Jahr (§ 203 Abs. 1 StGB), in qualifizierten Fällen bis zu zwei Jahren (§ 203 Abs. 6 StGB). Eine § 203-Verletzung ist berufsrechtlich relevant und kann unabhängig von einer DSGVO-Bewertung Konsequenzen nach sich ziehen.

Telematik- und Sozialrecht. Die Anbindung an die Telematikinfrastruktur, die ePA-Bereitstellung, eRezept und die KV-Abrechnung sind in einem Regelwerk-Geflecht aus Sozialgesetzbuch V, Berufsordnungen der Landesärztekammern und gematik-Spezifikationen geregelt. Komponenten und Dienste der Telematikinfrastruktur, etwa Konnektor oder Kartenterminal, bedürfen der Zulassung durch die gematik (§ 325 SGB V); die konkreten technischen Anforderungen ändern sich regelmäßig und sollten in der jeweils aktuellen Fassung beachtet werden.

Welche Konstellation passt typisch zur niedergelassenen Praxis im Standard-Profil?

Für eine niedergelassene Praxis mit 5 bis 20 Personen ist die folgende Konstellation typisch, die abschließende Einordnung hängt vom Einzelfall ab:

• Verantwortlicher nach Art. 4 Nr. 7 DSGVO für die Patientendaten der eigenen Praxis (im Falle einer Berufsausübungsgemeinschaft gegebenenfalls gemeinsam Verantwortliche nach Art. 26 DSGVO, die Abgrenzung ist sorgfältig zu prüfen).
• Verarbeitung besonderer Kategorien nach Art. 9 DSGVO mit erweitertem Schutzbedarf. Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist bei der Einzelpraxis nicht regelmäßig Pflicht (Erwägungsgrund 91), aber bei neuen Verfahren zu prüfen, etwa anhand der DSK-Muss-Liste.
• Bestellungspflicht für einen Datenschutzbeauftragten, sofern die Schwellen nach § 38 BDSG oder Art. 37 DSGVO erreicht werden.
• Externe Dienstleister: PVS-Anbieter (bei Fernwartung oder Cloud-Betrieb), IT-Hausbetreuung, ggf. Online-Terminbuchung. Soweit sie im Auftrag verarbeiten, ist ein Vertrag nach Art. 28 Abs. 3 DSGVO Pflicht; zusätzlich sind sie nach § 203 Abs. 4 Satz 2 Nr. 1 StGB zur Geheimhaltung zu verpflichten. Labore und privatärztliche Verrechnungsstellen handeln je nach Ausgestaltung als eigene Verantwortliche; die Rolle ist im Einzelfall zu klären.
• Von der gematik zugelassene TI-Komponenten und -Dienste (§ 325 SGB V), etwa Konnektor und eGK-Kartenterminals.

Welcher Aufbau-Rahmen ist verbreitet?

Als Orientierung eignet sich ein Vorgehen in drei Bausteinen. Ob es im konkreten Fall passt, ist im Einzelfall zu beurteilen.

Erster Baustein, Verfahrensverzeichnis und DPIA-Vorklärung. Ein Verzeichnis nach Art. 30 DSGVO bildet die Grundlage. Verbreitet sind Einträge zu Behandlungsdokumentation, GKV-Abrechnung, PKV-Abrechnung, Online-Terminbuchung, Newsletter, Bewerbungen, Lohnabrechnung. Eine DPIA-Vorklärung nach Art. 35 DSGVO ist insbesondere bei neuen Verfahren oder Telemedizin-Einführung typischerweise sinnvoll, die Aufsichtsbehörden veröffentlichen Listen DPIA-pflichtiger Verarbeitungen.

Zweiter Baustein, AVV-Inventur und Drittland-Transfer-Prüfung. Eine vollständige Liste der externen Verarbeiter mit aktuellem AVV-Status nach Art. 28 DSGVO und Nachweis der Verschwiegenheitsverpflichtung nach § 203 Abs. 4 StGB ist verbreitet. Sofern Verarbeitungen außerhalb der EU/EWR stattfinden, ist die Drittland-Transfer-Grundlage nach Art. 44 ff. DSGVO zu prüfen. Lücken sind häufig bei IT-Hausbetreuung, externen Schreibdiensten und älteren Wartungsverträgen.

Dritter Baustein, Technisch-organisatorische Maßnahmen. Gängige Maßnahmen nach Art. 32 DSGVO: Festplatten-Verschlüsselung der Praxis-Rechner, Multi-Faktor-Authentifizierung für sensible Konten, getrennte Netze für PVS und Internet, dokumentiertes Backup-Konzept mit Wiederherstellungs-Test, jährliche Mitarbeiter-Sensibilisierung. Die konkrete Maßnahmen-Tiefe ist nach Art. 32 DSGVO am Schutzbedarf zu bemessen.

Welche Konstellationen erfordern abweichendes Vorgehen?

In einer Reihe von Konstellationen reicht der pauschale Orientierungs-Rahmen für die niedergelassene Praxis im Standard-Profil nicht aus und es ist eine erweiterte fachliche Begleitung sinnvoll:

• Medizinisches Versorgungszentrum (MVZ) oder größere Berufsausübungsgemeinschaft: Die Rollenzuordnung zwischen Trägergesellschaft, ärztlicher Leitung und einzelnen Ärzten ist sorgfältig zu klären, insbesondere im Hinblick auf gemeinsame Verantwortlichkeit (Art. 26 DSGVO).
• Fachrichtungen mit besonders sensibler Versorgung: Psychotherapie, Psychiatrie, Suchtmedizin, HIV-Schwerpunkt, Reproduktionsmedizin und Humangenetik können sektor-spezifische Zusatzpflichten auslösen, etwa über das Gendiagnostikgesetz (GenDG) oder berufsrechtliche Sonderregelungen.
• Telemedizinische Angebote und Apps auf Rezept (DiGA): Für DiGA gelten die Anforderungen des BfArM-Verzeichnisses nach § 139e SGB V, gematik-Schnittstellen und gegebenenfalls Medizinprodukte-Recht (MDR); eine separate Einordnung wird empfohlen.
• Forschungstätigkeit oder Datenweitergabe an Register: Forschung mit Patientendaten erfordert typischerweise eine eigene Rechtsgrundlage (Art. 9 Abs. 2 lit. j DSGVO, für private Praxen i. V. m. § 27 BDSG) und gegebenenfalls eine Ethik-Kommission.
• Datenpanne mit Massenwirkung: Sofern mehr als wenige Patienten betroffen sind oder hochsensible Datenkategorien abgeflossen sind, ist eine Eskalation an spezialisierte Beratung typischerweise sinnvoll.

In diesen Konstellationen ist eine pauschale Orientierungshilfe unzureichend. Eine Einzelfall-Prüfung durch Landesärztekammer, Datenschutzbeauftragte oder anwaltliche Beratung wird typischerweise empfohlen.

Nächster Schritt

Eine erste Standort-Bestimmung zum Verfahrensverzeichnis liefert der Verfahrensverzeichnis-Generator, ohne Anspruch auf Vollständigkeit oder Verbindlichkeit.

Für eine vertiefte Auseinandersetzung mit Art. 9 DSGVO: DSGVO Art. 9, Gesundheitsdaten und besondere Kategorien.