Datenschutz im Gesundheitswesen: Praktischer Umsetzungsleitfaden

Datenschutz im Gesundheitswesen: Praktischer Umsetzungsleitfaden

Datenschutz im Gesundheitswesen 2025: Der praxisorientierte Leitfaden für medizinische Einrichtungen

Inhaltsverzeichnis

Kurzüberblick: Warum der Datenschutz im Gesundheitswesen so streng ist

Der Datenschutz im Gesundheitswesen unterliegt den strengsten Regelungen in der gesamten Datenschutz-Grundverordnung (DSGVO). Der Grund ist einfach: Gesundheitsdaten sind laut Artikel 9 DSGVO eine „besondere Kategorie personenbezogener Daten“. Sie geben tiefste Einblicke in die physische und psychische Verfassung eines Menschen. Ein Missbrauch oder Verlust dieser Daten kann zu erheblicher Diskriminierung und Stigmatisierung führen, sei es im Berufsleben, bei Versicherungen oder im sozialen Umfeld. Deshalb gilt für ihre Verarbeitung ein grundsätzliches Verbot, das nur unter engen Voraussetzungen aufgehoben werden darf.

Rechtliche Grundlagen: Ein Blick auf Art. 9 DSGVO und nationale Besonderheiten

Artikel 9 DSGVO: Das Verarbeitungsverbot mit Erlaubnisvorbehalt

Artikel 9 Absatz 1 DSGVO legt fest, dass die Verarbeitung von Gesundheitsdaten grundsätzlich untersagt ist. Absatz 2 listet jedoch die Ausnahmen auf, die eine Verarbeitung erlauben. Für Arztpraxen, Krankenhäuser und andere medizinische Einrichtungen sind vor allem folgende Ausnahmetatbestände relevant:

  • Ausdrückliche Einwilligung der betroffenen Person (Art. 9 Abs. 2 lit. a DSGVO).
  • Verarbeitung für Zwecke der Gesundheitsvorsorge, der Arbeitsmedizin, für die Beurteilung der Arbeitsfähigkeit, für die medizinische Diagnostik, die Versorgung oder Behandlung im Gesundheits- oder Sozialbereich (Art. 9 Abs. 2 lit. h DSGVO).
  • Verarbeitung aus Gründen eines erheblichen öffentlichen Interesses im Bereich der öffentlichen Gesundheit, wie dem Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren (Art. 9 Abs. 2 lit. i DSGVO).

Die Verarbeitung muss dabei stets von Fachpersonal oder einer anderen dem Berufsgeheimnis unterliegenden Person durchgeführt werden.

Nationale Regelungen: Das BDSG und weitere Gesetze

Die DSGVO wird durch nationale Gesetze ergänzt. In Deutschland ist dies vor allem das Bundesdatenschutzgesetz (BDSG). § 22 BDSG konkretisiert die Verarbeitung besonderer Kategorien personenbezogener Daten. Zusätzlich spielen berufsrechtliche Schweigepflichten, wie § 203 Strafgesetzbuch (StGB), eine entscheidende Rolle und verschärfen die Anforderungen an den Datenschutz im Gesundheitswesen.

Rechtmäßige Verarbeitungsgrundlagen jenseits der Einwilligung

Entgegen einer weit verbreiteten Annahme ist die Einwilligung nicht die primäre Rechtsgrundlage für die Datenverarbeitung in einer Arztpraxis. Die wichtigste Grundlage ist der Behandlungsvertrag. Gemäß Art. 9 Abs. 2 lit. h in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO ist die Verarbeitung von Gesundheitsdaten zur Erfüllung dieses Vertrages – also zur Diagnostik und Therapie – rechtmäßig. Eine Einwilligung ist nur dann erforderlich, wenn Daten für Zwecke verarbeitet werden, die über die eigentliche Behandlung hinausgehen, wie z.B. die Teilnahme an einer wissenschaftlichen Studie oder die Übermittlung von Daten an eine privatärztliche Verrechnungsstelle.

Risikoanalyse und Datenschutz-Folgenabschätzung (DSFA)

Eine Datenschutz-Folgenabschätzung (DSFA), ist gemäß Art. 35 DSGVO immer dann erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Die umfangreiche Verarbeitung von Gesundheitsdaten fällt in der Regel darunter. Dies gilt insbesondere bei der Einführung neuer Technologien wie einer neuen Praxissoftware oder der elektronischen Patientenakte (ePA).

Kernfragen vor Aufnahme der Verarbeitung

Bevor Sie mit einer neuen Verarbeitungstätigkeit beginnen, stellen Sie sich folgende Fragen:

  • Was? Welche konkreten Gesundheitsdaten werden verarbeitet?
  • Warum? Was ist der genaue Zweck der Verarbeitung (z.B. Diagnose, Abrechnung)?
  • Wer? Wer hat Zugriff auf die Daten (intern und extern)?
  • Wie? Mit welchen Systemen und Prozessen werden die Daten verarbeitet?
  • Welche Risiken? Was könnte passieren (z.B. unbefugter Zugriff, Datenverlust, fehlerhafte Daten)?

Praktische DSFA-Checkliste für die Arztpraxis

Prüfpunkt Beschreibung Priorität
1. Systematische Beschreibung Zweck, Umfang und Kontext der Verarbeitung klar definieren. Hoch
2. Notwendigkeit und Verhältnismäßigkeit Prüfen, ob die Verarbeitung für den Zweck zwingend erforderlich ist und ob der Datenumfang minimal gehalten wird (Datenminimierung). Hoch
3. Risikoanalyse Potenzielle Risiken für Patienten (z.B. Offenlegung, Diskriminierung) identifizieren und bewerten. Hoch
4. Abhilfemaßnahmen Technische und organisatorische Maßnahmen (TOMs) planen, um die identifizierten Risiken zu minimieren (z.B. Verschlüsselung, Zugriffskontrollen). Hoch
5. Dokumentation Den gesamten Prozess und die getroffenen Entscheidungen schriftlich festhalten. Mittel

Praktische Umsetzung: Technische und Organisatorische Maßnahmen (TOMs)

Ein funktionierender Datenschutz im Gesundheitswesen steht und fällt mit den implementierten Schutzmaßnahmen.

Technische Maßnahmen: Verschlüsselung, Zugriffskonzepte und Logging

  • Verschlüsselung: Festplatten von Laptops, Servern und mobilen Geräten müssen standardmäßig verschlüsselt sein. Ebenso ist die Transportverschlüsselung (z.B. TLS für E-Mails) und, wo möglich, eine Ende-zu-Ende-Verschlüsselung essenziell.
  • Zugriffskonzepte: Implementieren Sie ein Rollen- und Berechtigungskonzept. Eine medizinische Fachangestellte am Empfang benötigt andere Zugriffsrechte auf die Praxissoftware als der behandelnde Arzt. Das Prinzip lautet: Need-to-know.
  • Logging: Zugriffe auf Patientendaten, insbesondere Änderungen und Löschungen, müssen protokolliert werden. So lassen sich unbefugte Zugriffe nachvollziehen.

Organisatorische Maßnahmen: Rollen, Prozesse und Dokumentation

  • Rollen und Verantwortlichkeiten: Benennen Sie einen Datenschutzbeauftragten (sofern gesetzlich vorgeschrieben) und legen Sie klare Zuständigkeiten fest.
  • Mitarbeiterschulung: Regelmäßige Schulungen zum Datenschutz und zur Datensicherheit sind unerlässlich. Alle Mitarbeiter müssen auf die Verschwiegenheit verpflichtet werden.
  • Dokumentation: Führen Sie ein Verzeichnis von Verarbeitungstätigkeiten (VVT) und dokumentieren Sie Ihre TOMs, Datenschutzrichtlinien und Prozesse zur Bearbeitung von Betroffenenrechten.

Externe Dienstleister: Worauf bei Auftragsverarbeitungsverträgen (AVV) zu achten ist

Wenn externe Dienstleister wie IT-Systemhäuser, Softwareanbieter oder Abrechnungszentren Gesundheitsdaten in Ihrem Auftrag verarbeiten, ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO zwingend erforderlich.

AVV-Kernklauseln und wichtige Prüfpunkte

  • Gegenstand und Dauer der Verarbeitung: Muss klar definiert sein.
  • Art und Zweck der Verarbeitung: Muss exakt Ihrem Auftrag entsprechen.
  • Technische und organisatorische Maßnahmen des Dienstleisters: Lassen Sie sich die TOMs des Auftragsverarbeiters nachweisen. Diese müssen Ihrem eigenen Schutzniveau entsprechen.
  • Weisungsgebundenheit: Der Dienstleister darf Daten nur nach Ihrer dokumentierten Weisung verarbeiten.
  • Einsatz von Subunternehmern: Muss von Ihnen genehmigt werden.
  • Kontrollrechte: Sie müssen das Recht haben, die Einhaltung des AVV und der TOMs beim Dienstleister zu überprüfen.

Kommunikation mit Patientinnen und Patienten: Ein Leitfaden für 2025

Die Kommunikation über digitale Kanäle birgt Risiken, kann aber mit klaren Regeln sicher gestaltet werden.

E-Mail, WhatsApp und SMS sicher nutzen

  • E-Mail: Der Versand von sensiblen Gesundheitsdaten per unverschlüsselter E-Mail ist hochriskant und sollte vermieden werden. Wenn unumgänglich, holen Sie eine ausdrückliche, informierte Einwilligung des Patienten ein, die auf die Risiken hinweist. Nutzen Sie für den Versand, wenn möglich, eine Transportverschlüsselung oder bieten Sie eine Ende-zu-Ende-Verschlüsselung an.
  • WhatsApp und andere Messenger: Die Nutzung von Messengern wie WhatsApp für die Übermittlung von Gesundheitsdaten ist in der Regel unzulässig. Auch wenn die Nachrichten Ende-zu-Ende-verschlüsselt sind, werden Metadaten (wer kommuniziert wann mit wem) vom Anbieter verarbeitet, der oft in den USA sitzt. Dies ist datenschutzrechtlich sehr problematisch. Nutzen Sie Messenger höchstens für rein organisatorische Absprachen (z.B. Terminbestätigungen ohne Angabe des Behandlungsgrunds) und nur nach expliziter Einwilligung.
  • SMS: Da SMS unverschlüsselt übertragen werden, gelten hier dieselben Regeln wie für unverschlüsselte E-Mails. Nur für nicht-sensible Informationen wie Terminerinnerungen geeignet.

Spezialthemen im Praxisalltag

Besonderheiten bei Kinder- und Jugenddaten

Bei minderjährigen Patienten ist in der Regel die Einwilligung der Sorgeberechtigten erforderlich. Ab wann ein Jugendlicher selbst einwilligen kann (Einsichtsfähigkeit), muss im Einzelfall beurteilt werden. In der Praxis wird oft eine Altersgrenze von 16 Jahren angenommen, dies ist aber keine starre Regel.

Datenschutz bei der Abrechnung und der elektronischen Patientenakte (ePA)

Bei der Abrechnung mit gesetzlichen oder privaten Kassen ist die Datenübermittlung zur Erfüllung rechtlicher Verpflichtungen und des Behandlungsvertrages legitim. Bei der Nutzung externer Abrechnungsstellen ist ein AVV notwendig. Die elektronische Patientenakte (ePA) basiert auf der Freiwilligkeit und der aktiven Steuerung durch den Patienten. Praxen agieren hier als datenverarbeitende Stelle, die auf Anweisung des Patienten Daten in die ePA einstellt oder daraus abruft. Eine sorgfältige Prüfung der Zugriffsrechte ist hier entscheidend.

Mustervorlagen für den Praxisalltag

Die folgenden Texte dienen als konzeptionelle Anregung und ersetzen keine Rechtsberatung.

Auszug einer Muster-Einwilligung

„Einwilligung zur Kommunikation per unverschlüsselter E-Mail
Ich, [Name des Patienten], willige hiermit freiwillig ein, dass die Praxis [Name der Praxis] mir Befunde und andere gesundheitsbezogene Informationen an meine E-Mail-Adresse [E-Mail-Adresse des Patienten] sendet. Mir ist bekannt, dass die Übertragung per unverschlüsselter E-Mail Sicherheitsrisiken birgt und Dritte theoretisch die Inhalte einsehen könnten. Diese Einwilligung kann ich jederzeit ohne Angabe von Gründen widerrufen.“

Beispielhafte Protokollvorlage für Datenpannen

  • Datum und Uhrzeit des Vorfalls:
  • Datum und Uhrzeit der Entdeckung:
  • Beschreibung des Vorfalls: (Was ist passiert? Z.B. E-Mail mit Patientendaten an falschen Empfänger gesendet)
  • Betroffene Datenkategorien: (Z.B. Name, Diagnose, Befund)
  • Anzahl betroffener Personen:
  • Mögliche Folgen für die Betroffenen:
  • Ergriffene Sofortmaßnahmen: (Z.B. Empfänger um Löschung gebeten, Zugriff gesperrt)
  • Bewertung des Risikos: (Gering / Mittel / Hoch)
  • Meldung an Aufsichtsbehörde erforderlich? (Ja/Nein)
  • Benachrichtigung der Betroffenen erforderlich? (Ja/Nein)

Kurzfälle für kleine Praxen: Umsetzung in 5 Schritten

Für kleine und mittlere Praxen kann die Umsetzung des Datenschutzes im Gesundheitswesen überfordernd wirken. Konzentrieren Sie sich auf diese fünf pragmatischen Schritte:

  1. Bestandsaufnahme: Erstellen Sie eine einfache Liste aller Verarbeitungstätigkeiten. Welche Software nutzen Sie? Wo werden Patientendaten gespeichert? Wer hat Zugriff?
  2. Verantwortlichkeiten klären: Bestimmen Sie eine Person, die für den Datenschutz verantwortlich ist und als Ansprechpartner dient.
  3. Basismaßnahmen umsetzen: Sichern Sie PCs mit Passwörtern, verschlüsseln Sie Laptops, nutzen Sie eine aktuelle Antivirensoftware und schließen Sie Aktenschränke ab.
  4. Wichtigste Dokumente erstellen: Beginnen Sie mit dem Verzeichnis von Verarbeitungstätigkeiten und schließen Sie AV-Verträge mit Ihren wichtigsten Dienstleistern (z.B. Softwarehaus).
  5. Team schulen: Führen Sie eine kurze, jährliche Schulung zur Schweigepflicht und zum richtigen Umgang mit Patientendaten durch.

Vorbereitung auf den Ernstfall: Prüfliste für Audits und Behördenanfragen

Halten Sie folgende Dokumente stets aktuell und griffbereit:

  • ✅ Verzeichnis von Verarbeitungstätigkeiten (VVT)
  • ✅ Dokumentation der technischen und organisatorischen Maßnahmen (TOMs)
  • ✅ Alle geschlossenen Auftragsverarbeitungsverträge (AVV)
  • ✅ Nachweise über die Schulung der Mitarbeiter
  • ✅ Dokumentation durchgeführter Datenschutz-Folgenabschätzungen (DSFA)
  • ✅ Richtlinien und Prozesse zur Handhabung von Betroffenenrechten und Datenpannen

Zusammenfassung und weiterführende Links

Ein systematischer und proaktiver Ansatz ist der Schlüssel zum erfolgreichen Datenschutz im Gesundheitswesen. Er schützt nicht nur die sensiblen Daten Ihrer Patientinnen und Patienten, sondern stärkt auch das Vertrauen in Ihre Einrichtung und minimiert Haftungsrisiken. Die Basis bilden eine klare rechtliche Einordnung, sorgfältig geplante technische und organisatorische Maßnahmen sowie eine lückenlose Dokumentation. Regelmäßige Überprüfung und Anpassung der Prozesse an neue Gegebenheiten, wie sie für das Jahr 2025 und darüber hinaus zu erwarten sind, sichern die Compliance langfristig.

Versionierung und offizielle Quellen

Stand dieses Leitfadens: November 2025.

Für vertiefende Informationen und offizielle Verlautbarungen empfehlen wir die Webseiten der Datenschutzbehörden:

Thematisch passende Beiträge