DSGVO für Arztpraxen: Der komplette Leitfaden 2026

Als Arzt verarbeiten Sie täglich hochsensible Gesundheitsdaten. Die DSGVO stellt besonders hohe Anforderungen an den Umgang mit diesen Daten. Verstöße können Bußgelder bis zu 20 Millionen Euro oder 4% des Jahresumsatzes bedeuten – aber noch wichtiger: Das Vertrauen Ihrer Patienten steht auf dem Spiel.

Warum Gesundheitsdaten besonders geschützt sind

Gesundheitsdaten gehören nach Art. 9 DSGVO zu den "besonderen Kategorien personenbezogener Daten". Ihre Verarbeitung ist grundsätzlich verboten – außer es liegt eine der gesetzlichen Ausnahmen vor.

Für Arztpraxen gilt:

• Verarbeitung ist zur medizinischen Versorgung erlaubt
• Es gilt eine erhöhte Rechenschaftspflicht
• Besondere technische und organisatorische Maßnahmen sind erforderlich

Die wichtigsten DSGVO-Anforderungen

1. Informationspflichten erfüllen

Patienten müssen vor der ersten Datenerhebung informiert werden über:

• Wer ist verantwortlich? (Praxisinhaber)
• Welche Daten werden erhoben?
• Zu welchem Zweck?
• Wie lange werden sie gespeichert?
• Welche Rechte haben Patienten?

Praxis-Tipp: Lassen Sie Patienten bei der Anmeldung eine Datenschutzerklärung unterschreiben.

2. Verarbeitungsverzeichnis führen

Jede Praxis muss dokumentieren, welche Datenverarbeitungen stattfinden:

3. Auftragsverarbeitung regeln

Wenn externe Dienstleister Zugriff auf Patientendaten haben, brauchen Sie einen Auftragsverarbeitungsvertrag (AVV):

• IT-Dienstleister
• Webhosting-Anbieter
• Cloud-Dienste
• Externe Abrechnungsstellen

4. Datenschutzbeauftragter

Eine Pflicht zur Benennung besteht, wenn:

• Mindestens 20 Personen regelmäßig Daten verarbeiten
• Oder besondere Datenkategorien im großen Umfang verarbeitet werden

Achtung: Für Arztpraxen mit mehreren Ärzten und Angestellten kann diese Pflicht schnell greifen!

DSGVO auf der Praxis-Webseite

Impressum

Pflichtangaben:

• Name und Anschrift des Praxisinhabers
• Kontaktdaten (E-Mail, Telefon)
• Berufsbezeichnung und zuständige Kammer
• Umsatzsteuer-ID (falls vorhanden)

Datenschutzerklärung

Muss informieren über:

• Alle verwendeten Dienste (Kontaktformular, Newsletter, etc.)
• Eingesetzte Cookies
• Rechte der Betroffenen
• Beschwerderecht bei der Aufsichtsbehörde

Cookie-Consent

Technisch notwendige Cookies: Keine Einwilligung nötig

Analyse-Tools (Google Analytics etc.): Nur mit vorheriger, ausdrücklicher Einwilligung!

Falsch: "Durch Nutzung der Seite stimmen Sie zu..." Richtig: Aktiver Cookie-Banner mit Opt-in

Häufige Fehler in Arztpraxen

WhatsApp für Patientenkommunikation

WhatsApp ist nicht DSGVO-konform für die Kommunikation mit Patienten. Metadaten werden in die USA übertragen.

Alternative: Sichere Messenger wie Siilo oder threema work

Unverschlüsselte E-Mails

Befunde und Diagnosen per unverschlüsselter E-Mail zu versenden ist ein Datenschutzverstoß.

Lösung: Ende-zu-Ende-verschlüsselte E-Mail-Dienste oder sichere Patientenportale

Veraltete Praxissoftware

Software ohne aktuelle Sicherheitsupdates ist ein erhebliches Risiko.

Empfehlung: Regelmäßige Updates und moderne, DSGVO-konforme Praxissoftware

Checkliste: DSGVO-Compliance

• Datenschutzerklärung auf der Webseite aktuell
• Impressum vollständig
• Cookie-Banner implementiert
• Verarbeitungsverzeichnis erstellt
• AVVs mit allen Dienstleistern
• Patienteninformation erstellt
• Mitarbeiter geschult
• Datenschutzbeauftragter (falls erforderlich) benannt
• Technische Sicherheitsmaßnahmen dokumentiert

Fazit

DSGVO-Compliance ist für Arztpraxen keine einmalige Aufgabe, sondern ein fortlaufender Prozess. Mit den richtigen Strukturen und Partnern lässt sich der Aufwand jedoch gut bewältigen.

Benötigen Sie Unterstützung? Wir bei EYD-IT entwickeln DSGVO-konforme Webseiten und IT-Lösungen speziell für das Gesundheitswesen. Lassen Sie uns sprechen.