Datenschutz-Ratgeber · Gesundheitswesen
Patientendaten versenden, Angehörigen Auskunft geben, KI einführen: Hier finden Praxen, MVZ und Gesundheitseinrichtungen verständliche Orientierung und konkrete nächste Schritte.
Aktuell im Fokus · Stand Oktober 2026
Welche Daten verarbeitet der Anbieter? Was müssen Patienten wissen? So bereiten Sie die Einführung vor.
Antworten & nächste Schritte 02 / Sichere KommunikationE-Mail, Portal oder KIM: Berechtigung, Empfänger und Schutzmaßnahmen gehören zusammen.
Antworten & nächste Schritte 03 / PatientenrechteWas die aktuelle Fassung des § 630g BGB für Ihre Praxis bedeutet – mit Ablauf für die Bearbeitung.
Antworten & nächste SchritteIhr Thema finden
15 Ratgeber für Ihren Praxisalltag
Ein Laborbefund soll schnell zur Patientin, ein Arztbrief zur weiterbehandelnden Praxis. Entscheidend sind drei Fragen: Darf dieser Empfänger die Daten erhalten, welche Angaben braucht er und wie kommen sie geschützt an?
Angehörige, Versicherungen und andere Stellen bitten regelmäßig um medizinische Informationen. Eine verständliche, begrenzte Erklärung hilft dem Patienten bei seiner Entscheidung und Ihrem Team bei der späteren Auskunft.
PVS-Betreuung, Cloudspeicher und Aktenvernichtung bringen externe Unternehmen mit Praxisdaten in Berührung. Der passende Vertrag beginnt mit einer einfachen Frage: Wer bestimmt bei diesem konkreten Vorgang den Zweck der Verarbeitung?
‚Ich bin der Ehemann, ich möchte nur kurz wissen, was der Befund ergeben hat.‘ Solche Anrufe setzen MFA unter Zeitdruck. Eine gemeinsame Regel schützt Patientendaten und gibt Mitarbeitenden Sicherheit im Gespräch.
Eine Patientin möchte ihre Unterlagen, ein Rechtsanwalt fragt im Auftrag an oder ein Patient bittet um sämtliche gespeicherten Daten. Mit einem festen Ablauf vermeiden Sie Fristversäumnisse, unnötige Rückfragen und unvollständige Exporte.
Eine Anfrage mit Kassenlogo wirkt offiziell. Trotzdem darf daraus kein automatischer Export der gesamten Akte werden. Empfänger, Anlass und gesetzliche Grundlage bestimmen, welche Informationen Ihre Praxis herausgeben soll oder darf.
Ein geschwärzter Name macht aus einem Arztbrief noch keinen anonymen Text. Gerade Gesundheitsdaten können durch seltene Diagnosen, Datumsangaben oder den beschriebenen Lebenslauf wieder einer Person zugeordnet werden.
Ein langer Datenschutzhinweis und ein Cookiebanner allein machen eine Praxiswebsite nicht datenschutzgerecht. Entscheidend sind die eingebundenen Dienste, Formulare und Datenwege – besonders dort, wo Besucher Gesundheitsinformationen eingeben.
Ein Telefonassistent kann Anrufe strukturieren und Rückrufwünsche aufnehmen. Dabei erfährt er schnell mehr als nur Name und Terminwunsch. Prüfen Sie deshalb den vollständigen Gesprächs- und Datenablauf, bevor echte Patientenanrufe verarbeitet werden.
Online-Termine können den Empfang entlasten. Die wichtigste Datenschutzfrage entsteht oft schon bei der Einrichtung: Welche Daten werden aus dem PVS übertragen, für welche Funktion und in wessen Verantwortung?
Zwei Vorschriften entscheiden darüber — und die zweite wird in Praxen regelmäßig übersehen. Dieser Beitrag ordnet beide ein und zeigt, wann eine Bestellung auch ohne 20 Beschäftigte nötig sein kann.
Sechzehn Prüfpunkte zu Dokumentation, Technik, Personal und Patientenrechten. Erkennen Sie, welche Abläufe funktionieren und wo Ihre Einrichtung gezielt nacharbeiten sollte.
Zehn Jahre sind die bekannte Zahl — aber längst nicht die einzige. Für Röntgenaufzeichnungen, Transfusionen und Arbeitsmedizin gelten eigene, teils erheblich längere Fristen. Diese Übersicht sortiert sie.
Der Laptop weg, die E-Mail an den falschen Empfänger, der Ransomware-Bildschirm am Montagmorgen: Ab Kenntnis läuft eine Frist von 72 Stunden. Dieser Beitrag beschreibt, was in dieser Zeit zu tun ist.
Eine feste Frequenz nennt die DSGVO nicht — eine Pflicht zur Sensibilisierung schon. Was das konkret bedeutet und woran Aufsichtsbehörden erkennen, ob geschult wurde.
Ihr Datenschutz-Beratungsangebot
Ein Ratgeber gibt Orientierung. Gemeinsam übertragen wir die Anforderungen auf Ihre Einrichtung: auf Ihr Team, Ihre Software und Ihre tatsächlichen Datenwege.
Bestandsaufnahme Ihrer Abläufe, Unterlagen und Dienstleister. Sie erhalten nachvollziehbare nächste Schritte.
Unterstützung bei Verarbeitungsverzeichnis, Dienstleisterprüfung, Patienteninformationen und internen Regeln – im vereinbarten Umfang.
Schulungen anhand konkreter Praxisfälle und persönliche Begleitung als externer Datenschutzbeauftragter.
Pflicht · Praxis · Nachweis
Der Verordnungstext ist öffentlich — nur hilft er im Praxisalltag wenig. Hier steht neben jeder Pflicht, was sie konkret bedeutet, woran sie in Praxen scheitert und welchen Nachweis Sie danach in der Hand haben.
Rechenschaftspflicht
Die Einrichtung muss die Einhaltung der Datenschutzgrundsätze nachweisen können. Das ist eine Organisationspflicht und keine pauschale Umkehr straf- oder bußgeldrechtlicher Beweisregeln.
Fehlende oder überholte Unterlagen erschweren den Nachweis tatsächlich gelebter Schutzmaßnahmen.
Dokumentenmappe, die jede Maßnahme mit Datum, Verantwortlichem und Stand belegt.
Besondere Kategorien personenbezogener Daten
Gesundheitsdaten gehören zu den besonders geschützten Daten nach Art. 9 DSGVO. Daneben verarbeitet eine Praxis auch andere personenbezogene Daten, etwa ihrer Beschäftigten oder Lieferanten.
Für Patientendaten sind Datenschutzrecht und ärztliche Schweigepflicht nach § 203 StGB gemeinsam zu beachten.
Rechtsgrundlagen je Verarbeitung, abgestimmt auf Heilberuf und Schweigepflicht.
Verzeichnis von Verarbeitungstätigkeiten
Eine Liste aller Stellen, an denen Patientendaten entstehen, liegen oder weitergehen — PVS, Terminportal, Labor, Abrechnung, Recall, Praxis-WLAN.
Fehlen Verarbeitungstätigkeiten oder aktuelle Dienstleister, bildet das Verzeichnis die tatsächlichen Abläufe nicht vollständig ab.
Vollständiges Verarbeitungsverzeichnis, gepflegt und jederzeit vorzeigbar.
Auftragsverarbeiter
Verarbeitet ein Dienstleister Daten im Auftrag und nach Weisung, ist eine Vereinbarung nach Art. 28 DSGVO erforderlich. Eigenständig verantwortliche Empfänger sind davon zu unterscheiden.
IT-Wartung, Aktenvernichtung, Terminservice und Cloud sind auf Rolle, Datenzugriffe, Schutzmaßnahmen und vertragliche Regelungen zu prüfen.
Geprüfte Auftragsverarbeitungsverträge mit Übersicht, wer was noch offen hat.
Sicherheit der Verarbeitung
Technischer und organisatorischer Schutz: Zugriffsrechte, Verschlüsselung, Backups, Bildschirmsperre, Rezeption ohne Einblick für Wartende.
Ohne Wiederherstellungstest und überprüfte Zugriffsrechte bleibt unklar, ob die vorgesehenen Maßnahmen wirksam funktionieren.
TOM-Dokumentation plus Maßnahmenliste mit Priorität, Frist und Verantwortlichem.
Auskunftsrecht der betroffenen Person
Patienten dürfen wissen, welche Daten Sie über sie gespeichert haben — und eine Kopie verlangen.
Ohne festgelegten Ablauf landet die Anfrage beim Team, bleibt liegen und wird zur Beschwerde bei der Aufsichtsbehörde.
Fester Ablauf mit Vorlagen, Zuständigkeit und Protokoll je Anfrage.
Meldung von Verletzungen des Schutzes personenbezogener Daten
Jede Datenschutzverletzung dokumentieren und ihr Risiko bewerten. Eine Meldung an die Aufsicht erfolgt unverzüglich und möglichst binnen 72 Stunden, sofern die Verletzung voraussichtlich ein Risiko für Betroffene birgt.
Im Ernstfall fehlt der Praxis der Ablauf. Wer erst dann anfängt zu suchen, verliert die entscheidenden Stunden.
Notfallblatt mit Meldeweg, Ansprechpartnern und Vorfalldokumentation.
Datenschutzbeauftragter und seine Aufgaben
Die Benennungspflicht richtet sich insbesondere nach Art. 37 DSGVO und § 38 BDSG: etwa umfangreiche Verarbeitung von Gesundheitsdaten als Kerntätigkeit, die 20-Personen-Grenze oder eine erforderliche Datenschutz-Folgenabschätzung.
Bei interner wie externer Benennung müssen Fachkunde, ausreichende Ressourcen und Unabhängigkeit gesichert sein.
Externe Bestellung, laufende Betreuung und Meldung bei der Aufsichtsbehörde.
Sensibilisierung und Schulung der Mitarbeiter
Das Team muss geschult sein — und die Schulung muss belegbar sein, nicht nur stattgefunden haben.
Inhalte, Zeitpunkt und Teilnahme sollten dokumentiert sein. Wiederholungen richten sich nach Risiken und Veränderungen; die DSGVO nennt kein festes Jahresintervall.
Digitale Schulung mit Online-Prüfung (Multiple Choice), danach Zertifikatsdatei je Person mit QR-Code zur Echtheitsprüfung – alternativ vor Ort oder live online.
Recht auf Löschung
Daten dürfen nicht dauerhaft liegen bleiben. Für Patientenakten gelten daneben eigene medizinrechtliche Aufbewahrungsfristen.
Für Papierakten, elektronische Akten, Sicherungen und Datenträger sind Aufbewahrung, Zugriff und sichere Löschung zu regeln.
Löschkonzept und Aktenvernichtung mit Vernichtungsnachweis pro Abholung.
Verlinkt ist jeweils der Wortlaut der Verordnung (EU) 2016/679. Die Einordnung ersetzt keine Rechtsberatung im Einzelfall.
Direkter Kontakt
David Dörmann
Datenschutz im Gesundheitswesen · NRW
Rückmeldung in der Regel innerhalb von 24 Stunden.