DSGVO im Krankenhaus: Patientendaten und § 22 BDSG

In einem Satz. Krankenhäuser und Pflegeeinrichtungen verarbeiten Gesundheitsdaten — die nach Art. 9 DSGVO besonders geschützten Daten — und müssen kumulativ § 22 BDSG, die ärztliche Schweigepflicht (§ 203 StGB), Krankenhausgesetze der Länder, das SGB V sowie das Patientendaten-Schutz-Gesetz (PDSG) einhalten.

Strafrechtliche Doppelrelevanz: Datenschutzverstoß ist nicht nur Bußgeld, sondern bei ärztlicher Schweigepflicht potenziell Straftat (§ 203 StGB, bis zu 1 Jahr Freiheitsstrafe). Aufsichtsbehörden im Gesundheitsbereich sind besonders aktiv — z.B. €105.000 vom LfDI Rheinland-Pfalz gegen ein Krankenhaus für eine Patientenverwechslung (2019) und €1,24 Mio. vom LfDI Baden-Württemberg gegen die AOK Baden-Württemberg (2020, Gewinnspieldaten für Werbung). Siehe BfDI. Den Straftatbestand regelt § 203 StGB im Volltext, die Verarbeitung besonderer Datenkategorien Art. 9 DSGVO auf EUR-Lex.

Wichtige Punkte

• Gesundheitsdaten sind besondere Kategorien nach Art. 9 DSGVO — striktes Verbot mit Erlaubnisvorbehalt.
• § 22 BDSG erlaubt Verarbeitung u.a. für Gesundheitsvorsorge, Behandlung, Diagnostik.
• Ärztliche Schweigepflicht § 203 StGB ist strafbewehrt, geht über DSGVO hinaus.
• KIS-Auslagerung: AVV + § 203 Abs. 3 StGB Schweigepflichtverpflichtung erforderlich.
• ePA seit 2025 verpflichtend, Opt-out-System mit besonderen Schutzpflichten.

1. Rechtsgrundlagen für Patientendaten

Verarbeitung	Rechtsgrundlage
Behandlungsvertrag	Art. 9 Abs. 2 lit. h + § 22 Abs. 1 Nr. 1 lit. b BDSG
Abrechnung mit Kasse	Art. 9 Abs. 2 lit. h + SGB V
Wissenschaftliche Forschung	Art. 9 Abs. 2 lit. j + § 27 BDSG
Qualitätssicherung	Art. 9 Abs. 2 lit. h + § 135a SGB V
Marketing	Art. 9 Abs. 2 lit. a (Einwilligung)

Vorrang von SGB V Vorschriften (Lex specialis).

2. § 22 BDSG im Detail

Erlaubt Verarbeitung sensibler Daten u.a. für:

• Gesundheitsversorgung, Behandlung, Diagnostik
• Verwaltung von Gesundheitsdiensten
• Arbeitsmedizinische Beurteilung
• Öffentliches Interesse Gesundheit

Voraussetzung: angemessene Schutzmaßnahmen, insbesondere TOMs, Schweigepflichtbelehrung, Trennung von Verwaltungsdaten. § 22 Abs. 2 BDSG konkretisiert diese Schutzmaßnahmen: Pseudonymisierung, Verschlüsselung, Zugriffsbeschränkung und die Benennung eines Datenschutzbeauftragten gehören zum Pflichtprogramm. Die Norm ist damit die deutsche Brücke zwischen dem strengen Verbot des Art. 9 Abs. 1 DSGVO und der praktischen Notwendigkeit, Gesundheitsdaten für die Behandlung zu verarbeiten.

3. Ärztliche Schweigepflicht

§ 203 StGB schützt Geheimnisse, die Ärzten anvertraut wurden. Verstoß = Straftat, nicht nur Bußgeld. Strafmaß: bis 1 Jahr Freiheitsstrafe oder Geldstrafe.

§ 203 Abs. 3 StGB (seit 2017): Offenbarung an “mitwirkende Personen” zulässig, wenn diese verpflichtet werden. Wichtig für externe IT-Dienstleister.

4. KIS und IT-Auslagerung

Krankenhausinformationssysteme verarbeiten Diagnose-, Behandlungs-, Abrechnungsdaten. Auslagerungspflichten:

• AVV nach Art. 28 DSGVO
• Schweigepflichtverpflichtung nach § 203 Abs. 4 StGB für alle Mitarbeiter des Dienstleisters
• Pseudonymisierung wo möglich
• TOMs nach Art. 32 + § 22 BDSG

Siehe AVV-Muster und DSGVO Artikel 32.

5. Elektronische Patientenakte (ePA)

Seit 15.01.2025 für gesetzlich Versicherte verpflichtend (Opt-out). Besonderheiten:

• Gematik betreibt zentrale Telematikinfrastruktur
• Berechtigungsmanagement durch Patienten
• Krankenhaus-Pflicht: vollständige Befüllung
• Datenschutz-Folgenabschätzung (DSFA) verpflichtend

6. Datenpannen im Krankenhaus

Typische Vorfälle:

• Patientenverwechslung (Akten, Befunde)
• Ransomware (Lukaskrankenhaus Neuss 2016, UKD Düsseldorf 2020 mit Todesfolge)
• Fax-Fehlsendungen
• Verlust von Datenträgern

Meldepflicht: 72h an LDA/BfDI, ggf. Strafanzeige § 203 StGB. Größere Kliniken unterliegen zusätzlich eigenen Cybersecurity-Meldepflichten — siehe unseren Leitfaden zu NIS2 im Gesundheitswesen.

Der Ransomware-Angriff auf das Universitätsklinikum Düsseldorf 2020 machte die Dimension deutlich: Der Ausfall der Systeme zwang die Notaufnahme zur Abmeldung, eine Patientin musste in ein entferntes Krankenhaus verlegt werden und verstarb. Der Fall zeigt, dass IT-Sicherheit im Krankenhaus nicht nur Datenschutz, sondern Patientensicherheit ist. Für die Meldung heißt das: Bei einem Angriff auf die Klinik-IT ist praktisch immer von einer Datenpanne mit hohem Risiko auszugehen — die 72-Stunden-Frist läuft ab Kenntnis, die Uhr wartet nicht auf die vollständige forensische Aufklärung.

7. DSFA-Pflicht

Nach Art. 35 DSGVO + DSFA-Muss-Liste (DSK): DSFA verpflichtend für:

• Krankenhausinformationssysteme
• ePA-Anbindung
• Telemedizin
• KI in der Diagnostik
• Patientenportale

Siehe DSFA.

8. Forschungsausnahmen (§ 27 BDSG)

Wissenschaftliche Forschung mit Patientendaten:

• Vorrang Pseudonymisierung
• Ethikkommissionsvotum
• ggf. Einwilligung (Broad Consent möglich)
• Veröffentlichung nur anonymisiert

9. Aufsichtsbehörden und Sanktionen

Fall	Sanktion	Behörde
AOK Baden-Württemberg (Gewinnspiel)	€1,24M	HmbBfDI
Krankenhaus Rhein-Pfalz	€105.000	LfDI RLP
Spital Lippstadt (ungeschützter Zugang)	€30.000	LDI NRW
Bremer Krankenhaus	€40.000	LfDI Bremen

10. Patientenrechte

Recht	Besonderheit
Auskunft (Art. 15)	volle Patientenakte, ggf. mit Erläuterung
Berichtigung (Art. 16)	medizinische Befunde nur ergänzend, nicht löschend
Löschung (Art. 17)	eingeschränkt — Aufbewahrungspflicht 10-30 Jahre
Einsichtsrecht	parallel § 630g BGB (Behandlungsvertrag)

11. Aufbewahrungsfristen

Dokument	Frist	Norm
Patientenakte allgemein	10 Jahre	§ 630f BGB
Röntgenaufzeichnungen	10 Jahre	§ 28 RöV
Strahlentherapie	30 Jahre	§ 85 StrlSchV
Kinder-Akten	bis 28. Lebensjahr	§ 28 RöV

12. Berechtigungskonzept: der neuralgische Punkt

Der häufigste Prüfbefund in Kliniken ist nicht der fehlende AVV, sondern der zu weite Zugriff auf Patientendaten. Art. 32 DSGVO und § 22 Abs. 2 BDSG verlangen ein Berechtigungskonzept nach dem Prinzip “need to know”: Wer keinen Behandlungsbezug zum Patienten hat, darf die Akte nicht sehen. In der Praxis bedeutet das:

• Rollenbasierte Zugriffsrechte im KIS, gekoppelt an Station, Funktion und Behandlungsfall.
• Protokollierung der Zugriffe, damit unbefugte Einsichtnahme (z. B. bei prominenten Patienten) nachvollziehbar wird.
• Trennung von Behandlungs- und Verwaltungsdaten.
• Regelmäßige Rechteüberprüfung, insbesondere bei Stationswechsel und Austritt von Personal.

Fälle unbefugter Einsichtnahme durch Mitarbeiter — etwa in Akten von Kollegen, Nachbarn oder Prominenten — sind ein wiederkehrender Meldegrund. Ohne Protokollierung lässt sich weder aufklären noch entlasten.

13. Elektronische Patientenakte: Pflichten der Klinik

Mit der ePA für alle (seit 15.01.2025, Opt-out) verschiebt sich ein Teil der Datenhoheit zum Patienten, die Sorgfaltspflicht der Klinik bleibt aber. Die Telematikinfrastruktur betreibt die gematik; die Klinik ist für die korrekte, vollständige und zugriffsgesicherte Befüllung verantwortlich. Kernpflichten:

1. Anbindung über zugelassene Komponenten und Konnektoren.
2. Berechtigungsmanagement respektieren — der Patient steuert, welche Leistungserbringer welche Dokumente sehen.
3. DSFA für die ePA-Anbindung durchführen und aktuell halten (siehe DSFA).
4. Aufklärung der Patienten über das Opt-out und die Widerspruchsmöglichkeiten.

Die ePA entbindet nicht von der ärztlichen Dokumentationspflicht nach § 630f BGB — sie ergänzt sie.

14. Tool-Unterstützung

Legiscope bildet VVT, DSFA-Templates Gesundheitswesen, Schweigepflichtverpflichtungen für IT-Dienstleister und Aufbewahrungsfrist-Tracking ab.

Fazit

Im Gesundheitswesen ist DSGVO mit Strafrecht verzahnt. Wer § 203 StGB ignoriert, riskiert nicht nur Bußgeld, sondern persönliche Strafverfolgung der ärztlichen Leitung — Datenschutz ist hier kein Compliance-Beiwerk, sondern Existenzfrage. Ähnliche Pflichten gelten in der ambulanten Versorgung — siehe unseren Leitfaden für ambulante Pflegedienste. Für die niedergelassene Versorgung siehe DSGVO in der Arztpraxis.

FAQ

Darf ich Patientenakten in der Cloud speichern?

Ja, mit BSI-C5-zertifizierter EU-Cloud, AVV, Schweigepflichtverpflichtung der Anbieter-Mitarbeiter nach § 203 Abs. 4 StGB.

Wer ist Datenschutzbeauftragter im Krankenhaus?

Pflicht ab erster Verarbeitung sensibler Daten (i.d.R. immer). Häufig interner DSB plus externer Berater oder ausgelagerter DSB. Siehe Aufgaben DSB.

Wie ist die Schweigepflicht bei IT-Dienstleistern?

Nach § 203 Abs. 4 StGB sind sie schriftlich zu verpflichten. Verstoß: Strafbarkeit auch des Dienstleisters und des Arztes/Klinikleitung.

Welche Aufbewahrungsfrist gilt für die Patientenakte?

Regel 10 Jahre nach Behandlungsende (§ 630f BGB), Röntgen 10 Jahre, Strahlentherapie 30 Jahre, Kinder bis 28. Geburtstag.

Ist die ePA-Nutzung Pflicht?

Für gesetzliche Krankenkassen-Versicherte seit 15.01.2025 mit Opt-out. Krankenhäuser müssen ePA-fähig sein und Befunde bereitstellen.

Darf ein Mitarbeiter jede Patientenakte einsehen?

Nein. Zugriff ist nur bei konkretem Behandlungsbezug zulässig (“need to know”). Ein Berechtigungskonzept mit Rollen und Zugriffsprotokollierung ist nach Art. 32 DSGVO und § 22 BDSG Pflicht. Unbefugte Einsichtnahme kann zugleich Bußgeld und Strafbarkeit nach § 203 StGB auslösen.

Wie lange muss die Patientenakte aufbewahrt werden — und darf ich früher löschen?

Regel: 10 Jahre nach Behandlungsende (§ 630f BGB), teils länger (Röntgen, Strahlentherapie). Eine frühere Löschung ist unzulässig, solange die Aufbewahrungspflicht läuft; nach Fristablauf besteht umgekehrt eine Löschpflicht nach Art. 17 DSGVO.