Datenschutz für Arztpraxen, Therapieeinrichtungen und medizinische Dienstleister.
Bestandsaufnahme, externer Datenschutzbeauftragter, Pflichtschulungen und DSGVO-Aktenvernichtung – das sind die vier Leistungen, auf die wir uns im Gesundheitswesen spezialisiert haben. Jede mit dokumentiertem Nachweis.
Schnellster Weg zum dokumentierten Datenschutz
ab 690 € zzgl. MwSt. · vor Ort oder digital möglich
- Spezialisierung Gesundheitswesen
- Standort Bochum · bundesweit tätig
- Juristen im Team
- Festpreise · keine versteckten Kosten
Keine Rechtsberatung im Einzelfall · keine hoheitliche Prüfung · keine Vertretung vor Behörden oder Gericht.
Leistungen & Pakete
Alles auf einen Blick: vier Leistungen, drei Betreuungspakete.
Keine Allrounder-Agentur, keine endlosen Beratungskataloge. Wir konzentrieren uns auf genau vier Bereiche im Gesundheitswesen – jede Leistung einzeln buchbar oder als laufendes DSB-Paket.
Datenschutz-Bestandsaufnahme
Der Einstieg: Ist-Stand in einem Termin
Danach wissen Sie schwarz auf weiß, dass Ihr Datenschutz auf dem aktuellen, rechtlich geforderten Stand ist – dokumentiert, prüfbar und ohne offene Punkte im Hinterkopf.
- 20-Punkte-Prüfung von Prozessen, Räumen und Systemen
- TOM-Check vor Ort: Zugang, Zugriff, Backup, Notfall
- Sichtung vorhandener Dokumentation und AV-Verträge
- Prüfung der Wege, auf denen Patientendaten das Haus verlassen
Externer Datenschutzbeauftragter
Beratung anfragenBestellung nach Art. 37 DSGVO · laufende Betreuung · Mindestlaufzeit 12 Monate · Bestandsaufnahme zu Beginn erforderlich.
Basis
Für Einzelpraxen und kleine Einrichtungen bis ca. 20 Mitarbeitende.
ab 149 € pro Monat, netto
+ einmalige Bestandsaufnahme ab 690 €
- Formale Bestellung als externer DSB (Art. 37 DSGVO)
- Meldung an die Aufsichtsbehörde (LDI NRW)
- Fester persönlicher Ansprechpartner
- Reaktionszeit bis zu 72 Stunden (werktags)
Kompakt
BeliebtFür MVZ, Gemeinschaftspraxen und Pflegeeinrichtungen bis ca. 100 Mitarbeitende.
ab 290 € pro Monat, netto
+ einmalige Bestandsaufnahme ab 1.500 €
- Inkl. aller Leistungen aus Basis
- Reaktionszeit bis zu 48 Stunden (werktags)
- Halbjährliches Jour Fixe mit der Leitung
- Prüfung und Pflege von AV-Verträgen (Art. 28 DSGVO)
Premium
Für Kliniken, Klinikverbünde und größere Träger ab ca. 100 Mitarbeitenden.
auf Anfrage individuelles Angebot
+ einmalige Bestandsaufnahme nach Aufwand
- Inkl. aller Leistungen aus Kompakt
- Reaktionszeit bis zu 24 Stunden (werktags)
- Flexible Jour Fixes nach Bedarf, auch vor Ort
- Standort- und mandantenübergreifende Betreuung
Alle Preise netto zzgl. USt. · Individuelle Zuschnitte (Mehrstandort, Konzernstruktur, HinSchG) jederzeit möglich.
Datenschutz-Schulungen
Pflicht nach Art. 39 DSGVO · digital, ortsunabhängig, mit Zertifikat und QR-Code
- Digitale Schulung über Software – jederzeit und von jedem Ort abrufbar
- Multiple-Choice-Prüfung wie ein DSGVO-Führerschein, mit Bestehensgrenze
- Automatische Zertifikatsdatei je Person mit QR-Code zur Echtheitsprüfung
DSGVO-Aktenvernichtung
Behälter, Abholung, Vernichtungsnachweis
- Bereitstellung abschließbarer Datenschutzbehälter (Größe M und L)
- Fester Abholrhythmus oder Abholung auf Abruf
- Auftragsverarbeitungsvertrag nach Art. 28 DSGVO
Digital oder vor Ort – beides vollständig möglich.
Alle Leistungen lassen sich komplett digital durchführen – von der Bestandsaufnahme über die laufende Betreuung bis zur Schulung mit Zertifikatsdatei. Genauso gerne kommen wir zu Ihnen in die Praxis oder Einrichtung. Bei der digitalen Variante achten wir darauf, dass die Grundlagen trotzdem sauber geprüft werden.
Auch digital gehen wir einmal alle Räume gemeinsam durch – per Video-Rundgang. So sehen wir Empfang, Behandlungsräume, Aktenablage, Serverstandort und Zutrittssituation und können die technischen und organisatorischen Maßnahmen realistisch beurteilen.
Wir lassen uns zeigen, welche Programme im Alltag genutzt werden – vor allem zur Dokumenten- und Befunderstellung. Daraus ergibt sich, welche Verarbeitungen zu dokumentieren sind und wo Einstellungen nachgezogen werden sollten.
Wenn der PC streikt oder technische Probleme auftauchen, lassen wir Sie nicht allein: Wir unterstützen direkt oder organisieren die passende Hilfe, damit der Praxisbetrieb weiterläuft.
Breite Erfahrung im Gesundheitswesen und in der IT: Das Institut für Datenschutz im Gesundheitswesen wird bei IT-Aufgaben zusätzlich von spezialisierten Partnereinrichtungen unterstützt.
Offene Seminare in Bochum.
Praxisnahe Datenschutz-Schulung in Bochum. Bitte melden Sie sich vorher an und teilen Sie mir mit, ob Sie live vor Ort dabei sein möchten oder live über das Internet teilnehmen wollen. Die Wahl geben Sie einfach im Kontaktformular oder per E-Mail an – spontanes Vorbeikommen ist nicht möglich.
- Persönliche Schulung in Bochum
- Live vor Ort oder live über Internet
- Zertifikatsdatei mit QR-Code
- Vorherige Anmeldung erforderlich
Nächste Termine in Bochum
DSGVO-konformes Löschen im Gesundheitswesen
15.09.2026 · 09:30 – 12:00 Uhr · Praxen, MVZ, Pflege
Auftragsverarbeitung in der Praxis
13.10.2026 · 09:30 – 12:00 Uhr · Leitung, QM, Verwaltung
Microsoft 365 & Cloud-Dienste sicher gestalten
10.11.2026 · 09:30 – 12:00 Uhr · IT-Verantwortliche, Leitung
KI im Arbeitsalltag – EU AI Act & DSGVO
08.12.2026 · 09:30 – 12:00 Uhr · Alle Mitarbeitenden
Datenpannen-Training – die 72-Stunden-Meldung
12.01.2027 · 09:30 – 12:00 Uhr · Leitung + Datenschutz-Team
Schweigepflicht & § 203 StGB im Praxisalltag
09.02.2027 · 09:30 – 12:00 Uhr · Heilberufe, MFA, Empfang
50 € netto je Teilnahmeplatz
auf Rechnung · Teilnahmebestätigung inklusive
Häufige Anlässe
Wofür Einrichtungen uns rufen.
Drei typische Auslöser – mit jeweils einem direkten Weg in den passenden Leistungsbaustein.
Akut & Vorfall
Aufbau & laufender Betrieb
Alle Leistungen sind auf jeden Einrichtungstyp anwendbar.
Pflicht · Praxis · Nachweis
Was das Gesetz verlangt — und welche Leistung das abdeckt
Links steht die Pflicht im Wortlaut der DSGVO, rechts der Nachweis, den Sie nach unserer Arbeit vorzeigen können. Genau diese Unterlagen fragt eine Aufsichtsbehörde im Prüffall ab.
Rechenschaftspflicht
Nicht die Behörde muss beweisen, dass Sie etwas falsch machen — Sie müssen beweisen, dass Sie es richtig machen.
Vieles läuft in der Praxis korrekt, ist aber nirgends dokumentiert. Ohne Unterlagen zählt es im Prüffall nicht.
Dokumentenmappe, die jede Maßnahme mit Datum, Verantwortlichem und Stand belegt.
Besondere Kategorien personenbezogener Daten
Gesundheitsdaten sind die am strengsten geschützte Datenkategorie der DSGVO. Jede Praxis verarbeitet ausschließlich solche Daten.
Der Maßstab, der für eine Werbeagentur reicht, reicht für eine Praxis nicht — zusätzlich gilt die Schweigepflicht nach § 203 StGB.
Rechtsgrundlagen je Verarbeitung, abgestimmt auf Heilberuf und Schweigepflicht.
Verzeichnis von Verarbeitungstätigkeiten
Eine Liste aller Stellen, an denen Patientendaten entstehen, liegen oder weitergehen — PVS, Terminportal, Labor, Abrechnung, Recall, Praxis-WLAN.
Das Verzeichnis ist meist das erste Dokument, das die Aufsichtsbehörde anfordert. Fehlt es, ist der Rest schnell zweitrangig.
Vollständiges Verarbeitungsverzeichnis, gepflegt und jederzeit vorzeigbar.
Auftragsverarbeiter
Jeder Dienstleister, der an Patientendaten kommt, braucht einen Vertrag: PVS-Anbieter, IT-Betreuung, Aktenvernichtung, Terminsoftware, Cloud.
Verträge sind oft nur für die IT vorhanden — nicht für Entsorgung, Telefonservice oder Praxissoftware in der Cloud.
Geprüfte Auftragsverarbeitungsverträge mit Übersicht, wer was noch offen hat.
Sicherheit der Verarbeitung
Technischer und organisatorischer Schutz: Zugriffsrechte, Verschlüsselung, Backups, Bildschirmsperre, Rezeption ohne Einblick für Wartende.
Getestete Wiederherstellung des Backups und personenbezogene Zugriffsrechte sind der häufigste Schwachpunkt.
TOM-Dokumentation plus Maßnahmenliste mit Priorität, Frist und Verantwortlichem.
Auskunftsrecht der betroffenen Person
Patienten dürfen wissen, welche Daten Sie über sie gespeichert haben — und eine Kopie verlangen.
Ohne festgelegten Ablauf landet die Anfrage beim Team, bleibt liegen und wird zur Beschwerde bei der Aufsichtsbehörde.
Fester Ablauf mit Vorlagen, Zuständigkeit und Protokoll je Anfrage.
Meldung von Verletzungen des Schutzes personenbezogener Daten
Verlorenes Notebook, falsch versandter Befund, Ransomware: Der Vorfall ist der Aufsichtsbehörde unverzüglich zu melden — laut Verordnung möglichst binnen 72 Stunden.
Im Ernstfall fehlt der Praxis der Ablauf. Wer erst dann anfängt zu suchen, verliert die entscheidenden Stunden.
Notfallblatt mit Meldeweg, Ansprechpartnern und Vorfalldokumentation.
Datenschutzbeauftragter und seine Aufgaben
Bei umfangreicher Verarbeitung von Gesundheitsdaten ist ein Datenschutzbeauftragter zu benennen; § 22 BDSG und Art. 37 DSGVO sind hier gemeinsam zu lesen.
Interne Benennungen scheitern an Zeit und an Interessenkonflikten — geschult wird einmal, danach ruht das Thema.
Externe Bestellung, laufende Betreuung und Meldung bei der Aufsichtsbehörde.
Sensibilisierung und Schulung der Mitarbeiter
Das Team muss geschult sein — und die Schulung muss belegbar sein, nicht nur stattgefunden haben.
Der Klassiker: geschult ja, nachweisbar nein. Ohne Teilnahmebeleg je Person ist die Schulung im Prüffall wertlos.
Digitale Schulung mit Online-Prüfung (Multiple Choice), danach Zertifikatsdatei je Person mit QR-Code zur Echtheitsprüfung – alternativ vor Ort oder live online.
Recht auf Löschung
Daten dürfen nicht dauerhaft liegen bleiben. Für Patientenakten gelten daneben eigene medizinrechtliche Aufbewahrungsfristen.
Altakten im Keller, alte Rechner im Lager, Datenträger in der Schublade — nichts davon ist geregelt entsorgt.
Löschkonzept und Aktenvernichtung mit Vernichtungsnachweis pro Abholung.
Verlinkt ist jeweils der Wortlaut der Verordnung (EU) 2016/679. Die Einordnung ersetzt keine Rechtsberatung im Einzelfall.
Technik, KI & regulatorische Pflichtenthemen
Detailseiten zu spezialisierten Themen.
Diese Seiten ergänzen das Kernangebot. Sie sind nach Status sortiert – von heute buchbar bis in Entwicklung.
NIS2-Umsetzung – ab 490 €
Betroffenheitsprüfung, BSI-Registrierung, Risikoanalyse nach § 30 BSIG, Meldeprozess nach § 32 und Geschäftsleitungsschulung nach § 38 – als Festpreispaket.
Mehr erfahrenVerfügbarKI-Governance – ab 890 €
KI-Inventar, Rollenbestimmung nach EU-KI-Verordnung, Freigabematrix, KI-Richtlinie und Kompetenznachweis nach Artikel 4.
Mehr erfahrenVerfügbarPraxis Security Audit § 390 SGB V – ab 890 €
Unabhängige Prüfung der IT-Sicherheit in Praxis und MVZ: Security Score, Gap-Analyse, Maßnahmenplan, Nachweismappe.
Mehr erfahrenVerfügbarPrivate KI – ab 149 € im Monat
KI auf Ihrer Hardware, in Ihrem Rechenzentrum oder in dedizierter EU-Infrastruktur. Einrichtung, Betrieb und Schulung aus einer Hand.
Mehr erfahrenPilotphaseDokumente anonymisieren – ab 39 € im Monat
KI erkennt direkte und indirekte Identifikatoren, ein Mensch prüft und gibt frei – mit Prüfprotokoll und Risikobewertung.
Mehr erfahrenIn EntwicklungKI-Privacy-Gateway
Datenklassen und Freigaberegeln technisch durchsetzen statt nur schriftlich regeln – mit Audit-Protokoll.
Mehr erfahrenPflichtthemaNIS2 Krankenhaus
Registrierung beim BSI, Meldeketten mit 24/72-Stunden-Logik und Bezug zu B3S Krankenhaus und KHZG.
Mehr erfahrenPflichtthemaePA Datenschutz in der Praxis
Zugriffsberechtigungen, Widerspruchsrecht der Versicherten, Aufklärung und Dokumentation.
Mehr erfahrenPflichtthemaKI-Verordnung Gesundheitswesen
KI-Inventar, Rolle als Anbieter oder Betreiber, KI-Kompetenz und Prüfung der eingesetzten Tools.
Mehr erfahrenProjektbezogen ergänzen wir außerdem
- KI-Compliance & EU AI Act
- NIS2 & Cybersicherheits-Audit
- Meldestelle nach HinSchG (ab 50 Beschäftigte)
- Lokale KI & DSGVO-konforme Transkription
- Sichere Videosprechstunde
- Datenweitergabe & verschlüsselte Übertragungswege
So arbeiten wir
Vier Schritte – planbar und transparent.
- SCHRITT 01
Erstgespräch
Unverbindlich, telefonisch oder per Video – wir klären Ziel und Anlass.
- SCHRITT 02
Bestandsaufnahme
Sichtung Ihrer Unterlagen, Prozesse und IT-Landschaft.
- SCHRITT 03
Umsetzung vor Ort
Einrichtung, Dokumentation, Schulung – dort wo es wirkt.
- SCHRITT 04
Laufende Begleitung
Fester Ansprechpartner, regelmäßige Wiedervorlage, jederzeit prüfbereit.
FAQ
Häufig gestellte Fragen.
- Ab wann brauchen wir überhaupt einen Datenschutzbeauftragten?
- Eine Bestellpflicht besteht nach § 38 BDSG in der Regel, sobald mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig davon greift sie nach Art. 37 Abs. 1 lit. c DSGVO auch, wenn Gesundheitsdaten in größerem Umfang verarbeitet werden – das betrifft im Zweifel auch kleinere Einrichtungen. Die Bestandsaufnahme klärt diese Frage verbindlich für Ihren Fall.
- Worin unterscheidet sich die Bestandsaufnahme vom externen DSB?
- Die Bestandsaufnahme ist ein einmaliger, dokumentierter Termin zum Festpreis: Sie erhalten Auswertungsbericht und Maßnahmenplan und können damit auch intern weiterarbeiten. Der externe DSB ist die dauerhafte, formal bestellte Rolle nach Art. 37 DSGVO mit laufender Betreuung. Fast alle Mandate beginnen mit der Bestandsaufnahme.
- Wie schnell können wir starten?
- Erstgespräch in der Regel innerhalb von 48 Stunden, Beratungs- und Auditleistungen typischerweise innerhalb von 1–2 Wochen ab Beauftragung.
- Arbeiten Sie vor Ort oder remote?
- Beides. Live-Tests, Schulungen und Einrichtung sicherer Kommunikationswege erfolgen vor Ort, laufende Betreuung und Dokumentation überwiegend remote.
- Gibt es Mindestlaufzeiten?
- Beim externen DSB üblicherweise 12 Monate, alle Einzelleistungen ohne Bindung. Konditionen werden vor Vertragsschluss schriftlich ausgewiesen.
- Wie läuft die Aktenvernichtung konkret ab?
- Wir stellen abschließbare Datenschutzbehälter in Ihrer Einrichtung auf. Diese werden je nach Aufkommen in einem festen Rhythmus oder auf Abruf abgeholt und über unseren zertifizierten Fachpartner nach DIN 66399 / ISO 21964 vernichtet. Sie erhalten je Abholung einen Vernichtungsnachweis und ein AVV-Paket nach Art. 28 DSGVO. Details auf der Seite Aktenvernichtung.
- Bieten Sie auch KI-Compliance, NIS2 oder eine HinSchG-Meldestelle an?
- NIS2 ist inzwischen ein eigenes Produkt mit Festpreispaketen: Betroffenheits-Check ab 490 €, Startpaket mit BSI-Registrierung, Risikoanalyse, Meldeprozess und Geschäftsleitungsschulung, dazu laufende Betreuung – siehe Seite NIS2-Umsetzung. KI-Compliance läuft über KI-Governance. Eine Meldestelle nach HinSchG setzen wir projektbezogen für bestehende Mandate um.
- Welche Datenschutz-Schulungen sind Pflicht und wie oft?
- Mitarbeitende sind regelmäßig auf den Datenschutz zu sensibilisieren (Art. 39 Abs. 1 lit. b DSGVO). In der Praxis hat sich eine jährliche Auffrischung etabliert, ergänzt um Onboarding für neue Mitarbeitende und rollenspezifische Module (Führung, IT, Empfang). Die Durchführung läuft digital über Software: lernen, Multiple-Choice-Prüfung ablegen, Zertifikatsdatei mit QR-Code erhalten – ortsunabhängig und für jede Person einzeln nachweisbar. Konkrete Frequenz und Tiefe stimmen wir auf Einrichtung und Rollen ab.
- Erhalten wir Rechtsberatung im Einzelfall?
- Nein. Wir leisten organisatorische Unterstützung, Dokumentation, Strukturierung und Schulung. Keine Rechtsberatung im Einzelfall, keine Vertretung vor Behörden oder Gericht. Abschließende Bewertung und Verantwortung verbleiben beim Auftraggeber.
Was wir bewusst nicht machen.
Wir arbeiten organisatorisch, dokumentierend und schulend. Für folgende Leistungen verweisen wir an Rechtsanwälte, Steuerberater oder die zuständigen Behörden:
- Rechtsberatung im Einzelfall
- Vertretung vor Behörden oder Gericht
- Hoheitliche Prüfung oder Bußgeldfestsetzung
- Steuer- oder kassenärztliche Abrechnungsberatung
Erstgespräch
Unverbindlich, kostenfrei, vertraulich.
Beschreiben Sie uns kurz Ihre Einrichtung und Ihren Anlass – wir melden uns in der Regel innerhalb von 48 Stunden mit einem konkreten Vorschlag.