Eine Arztpraxis braucht keine Datenschutzsoftware mit einem magischen Siegel „für Gesundheitsdaten“. Sie braucht ein Verfahren, mit dem sie ihre konkreten Behandlungen, digitalen Dienste und Dienstleister nachvollziehbar dokumentieren und prüfen kann. Gesundheitsdaten fallen unter Art. 9 DSGVO; zugleich schützt § 203 StGB Patientengeheimnisse. Gerade deshalb ist eine pauschale Produktbehauptung weniger wert als ein überprüfbarer Ablauf: Wer verarbeitet welche Daten zu welchem Zweck, mit welchem Zugriff, auf welcher Grundlage und wie lange?
Dieser Einkaufsleitfaden richtet sich an einzelne Praxen und Medizinische Versorgungszentren. Er erklärt, welche Nachweise ein Werkzeug unterstützen sollte, wann eine Datenschutz-Folgenabschätzung erforderlich sein kann und wie Sie Anbieter vor einer Bestellung prüfen. Die fachliche Einordnung Ihrer Praxis und die rechtliche Verantwortung bleiben bei den zuständigen Personen, auch wenn eine Software Aufgaben erleichtert.
Das Wichtigste in Kürze
- Behandlungsdaten benötigen eine Rechtsgrundlage nach Art. 6 und eine passende Ausnahme nach Art. 9 Abs. 2 DSGVO; ausdrückliche Einwilligung ist nicht für jede Behandlung die Standardlösung.
- Ein Labor oder eine Abrechnungsstelle ist nicht automatisch Auftragsverarbeiter. Entscheidend ist, wer Zwecke und wesentliche Mittel der konkreten Verarbeitung festlegt.
- Eine DSFA nach Art. 35 hängt am voraussichtlich hohen Risiko beziehungsweise an einschlägigen Listenfällen, nicht schon am Einsatz einer ePA oder jeder Videosprechstunde.
- Prüfen Sie Datenschutz und ärztliche Schweigepflicht getrennt. Ein AV-Vertrag allein löst nicht jedes Zugriffsproblem nach § 203 StGB.
- Verlangen Sie in der Demo einen realen Praxisfall: Verarbeitungseintrag, Rollenentscheidung, Zugriffsregel, gegebenenfalls DSFA und nachweisbare Änderung.
Welches Problem soll die Software lösen?
Eine Praxis führt typischerweise Patientenakte und Terminverwaltung, kommuniziert mit Laboren und Fachärzten, nutzt eine Praxisverwaltungssoftware (PVS), hat Beschäftigtendaten und betreibt eine Website. Nicht jede dieser Verarbeitungen hat dieselbe Grundlage oder denselben Empfänger. Ein Werkzeug sollte diese Unterschiede abbilden, statt aus „Gesundheitswesen“ eine einzige universelle Vorlage zu machen. Der vertiefende Überblick zur DSGVO in der Arztpraxis behandelt die rechtlichen Grundlagen; hier geht es um die Auswahl und Einrichtung des Arbeitsmittels.
Nach Art. 30 DSGVO sind die erforderlichen Verzeichnisse der Verarbeitungstätigkeiten zu führen. Die Ausnahme für Einrichtungen unter 250 Beschäftigten ist qualifiziert: Sie greift für eine Tätigkeit nicht, wenn diese nicht nur gelegentlich erfolgt, die gesetzlichen Risikobedingungen erfüllt oder besondere Kategorien nach Art. 9 beziehungsweise Daten nach Art. 10 umfasst. Die regelmäßige Verarbeitung von Patientengesundheitsdaten ist deshalb kein Fall, den eine Praxis mit „wir sind klein“ pauschal abtun kann. Ein gutes Verzeichnis beschreibt Tätigkeiten, Verantwortlichkeiten, Kategorien, Empfänger, Löschfristen und Sicherheitsmaßnahmen; die Rechtsgrundlage kann zusätzlich als nützliche interne Angabe dokumentiert werden, auch wenn Art. 30 sie nicht als eigenes Pflichtfeld aufführt.
Die Software sollte einer Praxisleitung zeigen, welche Einträge noch offen sind und wann sich ein Prozess geändert hat. Das unterscheidet ein lebendes Verzeichnis von einer einmal exportierten Datei. Fragen Sie nach einer Versionierung, nach frei exportierbaren Daten und nach einer klaren Trennung zwischen tatsächlicher Praxisentscheidung und Produktvorschlag. Eine automatisch vorgeschlagene Rechtsgrundlage ist erst dann belastbar, wenn ein Mensch sie für den konkreten Zweck geprüft hat.
Gesundheitsdaten: Art. 6 und Art. 9 gemeinsam prüfen
Art. 9 Abs. 1 DSGVO schützt Gesundheitsdaten als besondere Kategorie. Eine Behandlung kann etwa unter Art. 9 Abs. 2 Buchst. h in Verbindung mit dem anwendbaren Unions- oder nationalen Recht fallen. Daneben muss eine Grundlage nach Art. 6 vorliegen; welche, hängt von Verarbeitung und Verhältnis zu der betroffenen Person ab. § 22 BDSG enthält nationale Bedingungen, ersetzt aber nicht die Prüfung der konkreten Tätigkeit. Manche Zusatzverarbeitung, etwa freiwillige Werbung, benötigt eine andere Grundlage als die Behandlung. Eine Praxis darf daher nicht jede Patienteninformation mit einer einzigen allgemeinen „Einwilligung für alles“ rechtfertigen.
In einer Demo sollte ein Beispiel mit drei Zwecken funktionieren: Behandlung, Abrechnung und optionaler Erinnerungsdienst. Lassen sich unterschiedliche Datenkategorien, Empfänger und Rechtsgrundlagen je Zweck hinterlegen? Kann die Praxis erklären, weshalb die optionale Funktion keine Voraussetzung für die Behandlung ist? Bleibt ein Widerruf dort wirksam, wo tatsächlich Einwilligung die Grundlage ist, ohne dass dadurch gesetzlich nötige Dokumentation verschwindet? Wer diese Fragen im Werkzeug nicht beantworten kann, wird die Lücke später in Auskunftsanfragen oder bei Änderungen spüren.
Einwilligung nach DSGVO und Schweigepflichtentbindung haben verschiedene Funktionen. Die eine kann eine Datenschutzgrundlage sein; die andere betrifft die Offenbarung eines Geheimnisses. Je nach Empfänger und gesetzlicher Befugnis kann eine Entbindung erforderlich sein oder gerade nicht. Eine Software sollte den Grund einer Weitergabe und eine gegebenenfalls eingeholte Erklärung getrennt halten. Sie darf nicht suggerieren, jede Übermittlung an ein Labor benötige immer dieselbe Erklärung oder jede Erklärung sei jederzeit hinsichtlich sämtlicher Folgen widerrufbar.
Dienstleister richtig einordnen, bevor Sie Verträge zählen
Art. 28 DSGVO gilt, wenn ein Anbieter personenbezogene Daten im Auftrag der Praxis verarbeitet. Ein PVS-Hoster, der Daten nach Weisung speichert und wartet, ist ein naheliegender Kandidat. Ein Labor, das eigene fachliche Untersuchungspflichten erfüllt, kann dagegen selbst Verantwortlicher sein. Auch eine privatärztliche Verrechnungsstelle ist nach ihrer tatsächlichen Tätigkeit und dem Rechtsrahmen einzuordnen. Die Vertragsüberschrift entscheidet nicht über die Rolle. Eine pauschale Liste „alle Labore brauchen AVV“ würde im Alltag falsche Verträge erzeugen.
Halten Sie pro Empfänger die Tätigkeit, Entscheidungsmacht über Zwecke und wesentliche Mittel, Zugriff, Datenkategorien und die begründete Rolle fest. Ist es Auftragsverarbeitung, braucht es einen schriftlichen Vertrag oder einen anderen bindenden Rechtsakt nach Unions- oder Mitgliedstaatenrecht, auch elektronisch, mit den Angaben des Art. 28 Abs. 3 und 9. Dazu gehören dokumentierte Weisungen, Vertraulichkeit, risikogerechte Sicherheit, Unterauftragsverarbeitung, Unterstützung bei Betroffenenrechten und Vorfällen, Nachweise und Auditmöglichkeiten. Bei einem Unterauftragsverarbeiter müssen die einschlägigen Pflichten weitergegeben werden; der erste Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen für deren Erfüllung verantwortlich.
Beim Vertragsende lässt Art. 28 Abs. 3 Buchst. g dem Verantwortlichen die Wahl zwischen Rückgabe und Löschung der Daten. Auch bei Rückgabe sind bestehende Kopien zu löschen, soweit nicht Unions- oder Mitgliedstaatenrecht eine Speicherung verlangt. Prüfen Sie mit dem Anbieter, wie Sicherungskopien und Aufbewahrung tatsächlich behandelt werden, ohne eine technisch unbelegte Sofortlöschung aller Backups zu versprechen. Der AVV-Leitfaden und ein AVV-Muster helfen bei den Vertragsfragen; die Software sollte die unterschriebene Fassung und spätere Änderungen auffindbar halten.
Ärztliche Schweigepflicht und Zugriffskonzept
§ 203 StGB schützt anvertraute Geheimnisse. Sein Absatz 3 erlaubt die Offenbarung an sonstige mitwirkende Personen, soweit dies für deren Mitwirkung erforderlich ist; Absatz 4 enthält Pflichten zum Schutz durch Verpflichtung zur Geheimhaltung. Daraus folgt weder ein absolutes Verbot externer IT noch eine pauschale Erlaubnis für beliebigen Klartextzugriff. Die Praxis muss den notwendigen Zugang, die Rollen der Mitarbeitenden des Anbieters und die Absicherung weiterer Mitwirkender prüfen.
Bitten Sie um eine konkrete Zugriffsdemonstration: Wer kann im normalen Betrieb Patienteninformationen sehen? Was geschieht bei Supportzugang? Braucht es Freigabe für eine Sitzung, und wie wird sie protokolliert? Welche Administrationsrechte bestehen bei Unterauftragnehmern? Eine Aussage „EU-Hosting“ beantwortet diese Fragen nicht. Sie kann die Bewertung von Drittlandtransfers erleichtern, schließt entfernten Zugriff aus Drittländern aber nicht automatisch aus. Auch Verschlüsselung ist nur so hilfreich wie die tatsächliche Schlüssel- und Berechtigungsverwaltung.
Ein pragmatisches Einkaufsprotokoll notiert für jeden Anbieter die Antwort mit Datum und Nachweis. Ein Sicherheitsdokument kann veraltet sein; eine Demo kann anderes Verhalten zeigen als die Vertragsanlage. Bei Widersprüchen verlangen Sie Klarstellung vor der Freigabe. Der Datenschutzbeauftragte oder die zuständige Beratung prüft die rechtliche Seite; die IT oder PVS-Betreuung bestätigt, ob versprochene Einstellungen im Praxisbetrieb durchsetzbar sind.
Wann ist eine Datenschutz-Folgenabschätzung nötig?
Art. 35 DSGVO verlangt vorab eine DSFA, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten mit sich bringt. Art. 35 Abs. 3 nennt insbesondere umfangreiche Verarbeitung besonderer Kategorien; die DSK-Muss-Liste enthält weitere konkrete Fälle, etwa bestimmte innovative, systematische Erhebungen von Gesundheitsdaten mit Sensoren. Eine kleine Praxis muss daher nicht für jede Patientenakte automatisch eine DSFA durchführen. Umgekehrt kann eine neue, risikoreiche Telemedizin-Konstellation auch bei geringer Mitarbeiterzahl eine vertiefte Prüfung verlangen.
Die ePA, eine Videosprechstunde oder ein KI-Werkzeug ist ein Anlass zur Prüfung, kein alleiniger gesetzlicher Automatismus. Entscheidend sind Umfang, Zweck, Technik, Datenfluss, betroffene Personen und mögliche Schäden. Eine Praxis, die lediglich an eine bestehende Infrastruktur angeschlossen ist, hat andere Risiken als ein Anbieter, der kontinuierlich Sensordaten zentral auswertet. Dokumentieren Sie eine begründete Vorprüfung, auch wenn sie zu „keine DSFA erforderlich“ führt. Wenn eine DSFA nötig ist, muss sie Verarbeitung und Notwendigkeit beschreiben, Risiken bewerten und Maßnahmen zu deren Bewältigung darlegen; ein generisches Zertifikat des Techniklieferanten ersetzt die Entscheidung der Praxis nicht. Die DSFA-Vorlage zeigt die Struktur, während unser DSFA-Software-Vergleich die Werkzeugfrage getrennt behandelt.
Aufbewahrung, Rechte und Vorfälle
Die Behandlungsakte ist nach § 630f Abs. 3 BGB grundsätzlich zehn Jahre nach Abschluss der Behandlung aufzubewahren, sofern andere Vorschriften keine andere Frist vorgeben. Das ist keine allgemeine zehnjährige Speicherfrist für Website-Logs, Bewerbungen oder jedes Kontaktformular einer Praxis. Software sollte pro Datenbestand Fristbeginn, einschlägige Ausnahme und die tatsächliche Lösch- oder Sperrentscheidung dokumentieren. Bei einer Löschanfrage muss die Praxis erklären können, welche Daten wegen einer Rechtspflicht weiter aufzubewahren sind und was tatsächlich gelöscht werden kann.
Betroffenenanfragen benötigen einen Eingangskanal und einen verantwortlichen Bearbeiter. Art. 12 DSGVO sieht grundsätzlich eine Antwort binnen eines Monats vor, mit möglicher begründeter Verlängerung um zwei weitere Monate bei Komplexität oder Zahl der Anträge; die betroffene Person ist über die Verlängerung innerhalb des ersten Monats zu informieren. Wird nicht tätig geworden, müssen Gründe, Beschwerdemöglichkeit und gerichtlicher Rechtsbehelf ohne Verzögerung, spätestens binnen eines Monats mitgeteilt werden. Ein Tool kann Fristen sichtbar machen, aber nicht entscheiden, ob Informationen über andere Patienten geschützt oder medizinische Unterlagen im konkreten Fall herauszugeben sind.
Ein Sicherheitsvorfall ist zunächst zu qualifizieren. Ist es eine Verletzung personenbezogener Daten, dokumentiert die Praxis sie nach Art. 33 Abs. 5. Eine Meldung an die Datenschutzaufsicht ist ohne unangemessene Verzögerung und, soweit möglich, binnen 72 Stunden nach Bekanntwerden nötig, sofern ein Risiko für Rechte und Freiheiten nicht unwahrscheinlich ist; bei späterer Meldung sind Gründe anzugeben. Die Benachrichtigung von Patienten nach Art. 34 ist eine eigene Prüfung bei hohem Risiko. Üben Sie diese Entscheidung einmal mit einem verlorenen Gerät oder fehladressierten Befund, nicht erst im Ernstfall.
Die Auswahl in einer realen Demo
Bringen Sie eine anonymisierte Musterverarbeitung und einen hypothetischen Dienstleister mit. Lassen Sie den Anbieter einen Verzeichniseintrag anlegen, eine Rollenentscheidung begründen, Vertrags- und Geheimhaltungsnachweise anhängen, die DSFA-Vorprüfung erstellen und eine spätere Änderung nachvollziehbar exportieren. Fragen Sie, welche Schritte im Standardumfang enthalten sind und welche manuell bleiben. Eine schöne Übersicht ohne Datenexport oder nachvollziehbare Änderungen kann die Praxis von einem Anbieter abhängig machen.
Vergleichen Sie Angebote anhand Ihrer Tätigkeiten statt anhand erfundener Marktpreise. Erfragen Sie Lizenzumfang, Zahl der Praxen oder Standorte, Nutzerrollen, Einführung, Datenmigration, Support, Vertragsende und Export. Ein kleines Team mit wenigen Verarbeitungstätigkeiten kann eine disziplinierte Dokumentenablage betreiben; mehrere Standorte mit wechselnden Diensten profitieren eher von gemeinsamen Verantwortlichkeiten und Aufgaben. Der DSGVO-Software-Vergleich bietet eine allgemeine Orientierung, während der Beitrag zu Pflegediensten andere Versorgungsabläufe zeigt. Für Krankenhäuser gelten zusätzliche organisatorische Maßstäbe, die unser Gesundheitswesen-Leitfaden vertieft.
Verantwortlichkeiten nach der Einführung
Die Anschaffung ist erst der Anfang. Legen Sie fest, wer neue Anwendungen meldet, wer die Rolle eines Dienstleisters prüft und wer eine Änderung im Verzeichnis freigibt. Bei einer kleinen Praxis können dieselben Personen mehrere Aufgaben übernehmen; die Zuständigkeit sollte trotzdem klar sein. Sonst bleibt eine neue Termin-App außerhalb des Verzeichnisses, obwohl die IT sie eingerichtet und die Rezeption sie längst nutzt. Ein monatlicher kurzer Abgleich zwischen Praxisleitung, Datenschutzverantwortlichen und PVS-Betreuung kann solche Lücken früher sichtbar machen als eine jährliche Komplettprüfung.
Bewahren Sie nicht nur die aktuelle Antwort auf, sondern auch die Grundlage der Entscheidung. Wenn die Praxis in der Vorprüfung wegen geringer Reichweite eine DSFA für nicht erforderlich hält, sollte sichtbar bleiben, welche Reichweite angenommen wurde. Wächst der Dienst später, kann die Praxis genau diesen Punkt erneut bewerten. Dasselbe gilt für Empfänger: Wird aus einer gelegentlichen technischen Hilfe ein dauerhaftes Hosting, muss die Rollen- und Vertragsprüfung wieder geöffnet werden. Eine gute Software erinnert an eine konkrete Entscheidung und zeigt ihre frühere Fassung; sie erklärt nicht allein, weshalb ein neues Risiko akzeptabel ist.
Prüfen Sie schließlich die Exportfähigkeit mit einem zweiten Mitarbeiterkonto. Kann eine Vertretung den einschlägigen Eintrag, die AV-Unterlagen und die nächste Aufgabe finden, ohne Zugriff auf alle Patientendaten zu erhalten? Lassen sich Dokumente in einem gebräuchlichen Format mit Kontext ausgeben? Diese Fragen betreffen Kontinuität und Berechtigung im Praxisalltag. Ein Tool, das nur die Person bedienen kann, die es eingerichtet hat, schafft eine neue organisatorische Abhängigkeit statt eines belastbaren Datenschutzprozesses.
Häufige Fragen
Braucht jede Arztpraxis eine DSFA?
Nein, die Pflicht hängt von der konkreten Verarbeitung und ihrem voraussichtlich hohen Risiko ab. Umfangreiche Gesundheitsdatenverarbeitung und einschlägige DSK-Listenfälle sind wichtige Auslöser. ePA- oder TI-Nutzung allein ersetzt die Prüfung nicht. Halten Sie die begründete Vorprüfung fest, bevor eine neue risikoreiche Verarbeitung beginnt.
Sind Labor, PVS-Anbieter und Abrechnungsstelle immer Auftragsverarbeiter?
Nein. Ein weisungsgebundener Hosting- oder Wartungsdienst kann Auftragsverarbeiter sein; ein Labor kann eigenständig fachlich verantwortlich handeln. Prüfen Sie jede Beziehung nach tatsächlicher Entscheidungsmacht. Nur bei Auftragsverarbeitung greifen die Vorgaben des Art. 28 für den bindenden Vertrag oder anderen bindenden Rechtsakt.
Darf eine Praxis Cloud-Software einsetzen?
Ja, wenn Rechtsgrundlagen, geeignete Sicherheit, etwaige Auftragsverarbeitung und § 203 StGB im konkreten Modell erfüllt sind. Ein Rechenzentrum in der EU ist ein nützliches Faktum, aber kein vollständiger Nachweis zu Supportzugriff, Unterauftragnehmern oder Drittlandtransfers.
Was kostet ein geeignetes Werkzeug?
Es gibt keinen gesetzlichen oder seriös allgemein gültigen Praxispreis. Holen Sie aktuelle Angebote für Ihre Standorte, Nutzer und benötigten Prozesse ein. Vergleichen Sie auch Aufwand für Einführung und Export; eine billige Lizenz kann bei manueller Nacharbeit teuer werden.
Fazit
Die richtige DSGVO-Software für eine Arztpraxis macht Entscheidungen überprüfbar: Tätigkeit und Grundlagen, Dienstleisterrolle, Zugriff, DSFA-Vorprüfung, Aufbewahrung und Betroffenenanfrage. Sie verspricht weder eine automatische DSFA für jede ePA-Nutzung noch einen AV-Vertrag mit jedem medizinischen Empfänger. Prüfen Sie den konkreten Datenfluss in der Demo, dokumentieren Sie offene Fragen und lassen Sie die Praxisleitung die tatsächlichen Risiken verantworten.