1. Warum Datenschutz in der Arztpraxis besonders streng ist

Arztpraxen verarbeiten die sensibelsten Daten, die es gibt: Diagnosen, Medikamente, psychische Befunde, Laborwerte. Die DSGVO klassifiziert diese als besondere Kategorien personenbezogener Daten (Art. 9) – mit den höchsten Schutzanforderungen im gesamten EU-Datenschutzrecht.

Für Praxisinhaber bedeutet das: Jedes digitale Tool, jede Software, jeder Kommunikationskanal, der Patientendaten berührt, muss den strengsten Standards entsprechen. Ein Verstoß kann nicht nur teuer werden – er kann die Existenz der Praxis gefährden.

DSGVO
Art. 9
Besonderer Schutz für Gesundheitsdaten
Bußgeld
20 Mio. €
Maximales Bußgeld bei Verstößen
Aufbewahrung
10 Jahre
Gesetzliche Aufbewahrungspflicht (MBO-Ä)
Quelle: DSGVO Art. 83, MBO-Ä § 10
⚠️
Achtung Neben den DSGVO-Bußgeldern drohen bei Datenschutzverstößen in Arztpraxen auch berufsrechtliche Konsequenzen: Rüge durch die Ärztekammer, Entzug der Zulassung und strafrechtliche Verfolgung nach § 203 StGB (Verletzung von Privatgeheimnissen).

2. Was Artikel 9 DSGVO für Ihre Praxis bedeutet

Artikel 9 DSGVO verbietet grundsätzlich die Verarbeitung besonderer Kategorien personenbezogener Daten – darunter Gesundheitsdaten. Die Verarbeitung ist nur erlaubt, wenn eine der eng definierten Ausnahmen greift. Für Arztpraxen ist das in der Regel die Einwilligung des Patienten oder die medizinische Notwendigkeit.

Regel Bedeutung für die Praxis Konsequenz bei Verstoß
Grundsätzliches Verarbeitungsverbot Gesundheitsdaten dürfen nur mit Rechtsgrundlage verarbeitet werden Bußgeld bis 20 Mio. € (Art. 83 Abs. 5)
Einwilligung (Art. 9 Abs. 2a) Patient muss ausdrücklich und informiert zustimmen Unwirksame Einwilligung = rechtswidrige Verarbeitung
Medizinische Versorgung (Art. 9 Abs. 2h) Verarbeitung zur Gesundheitsvorsorge oder Behandlung erlaubt Nur durch Fachpersonal mit Schweigepflicht
Datensparsamkeit (Art. 5 Abs. 1c) Nur die Daten erheben, die tatsächlich benötigt werden Überflüssige Datenerhebung ist rechtswidrig
Zweckbindung (Art. 5 Abs. 1b) Daten nur für den angegebenen Zweck verwenden Zweckfremde Nutzung = separater Verstoß
Löschpflicht (Art. 17) Daten löschen, sobald Zweck erfüllt und keine Aufbewahrungspflicht Überlange Speicherung = bußgeldfähig

3. Die 5 wichtigsten DSGVO-Regeln für die digitale Patientenkommunikation

Ob Online-Rezeption, Terminbuchung, Rezeptanfrage oder KI-Telefonie – sobald Patientendaten digital verarbeitet werden, gelten diese fünf Kernpflichten:

1. Auftragsverarbeitungsvertrag (AVV)

Jeder externe Anbieter, der Zugang zu Patientendaten hat, braucht einen AVV nach Art. 28 DSGVO. Ohne AVV ist die gesamte Datenverarbeitung rechtswidrig – unabhängig davon, wie gut das Tool ist. Der AVV regelt Pflichten, technische Maßnahmen und Haftung.

2. Informierte Einwilligung

Patienten müssen vor der Datenverarbeitung verständlich und vollständig informiert werden: Welche Daten werden erhoben? Zu welchem Zweck? Wie lange? Wer hat Zugriff? Die Einwilligung muss freiwillig, spezifisch und widerrufbar sein.

3. Verschlüsselung und technische Sicherheit

Art. 32 DSGVO verlangt dem Risiko angemessene technische und organisatorische Maßnahmen (TOMs): Ende-zu-Ende-Verschlüsselung, Zugriffskontrollen, regelmäßige Sicherheitsupdates. Bei Gesundheitsdaten ist der Maßstab besonders hoch.

4. EU-Serverstandort

Patientendaten dürfen nur auf Servern in der EU verarbeitet werden. Drittlandtransfers (z. B. in die USA) sind nach dem Schrems-II-Urteil nur mit zusätzlichen Garantien möglich – für Arztpraxen de facto nicht praktikabel. Wählen Sie Anbieter mit Rechenzentren in Deutschland.

5. Löschfristen und Aufbewahrungspflichten

Patientendaten müssen nach Ablauf der gesetzlichen Aufbewahrungsfrist (in der Regel 10 Jahre nach der letzten Behandlung, MBO-Ä § 10) gelöscht werden. Digitale Systeme müssen automatische Löschfristen unterstützen.

Quick-Check: Ist Ihr Tool DSGVO-konform?

  • AVV mit dem Anbieter abgeschlossen?
  • Server in der EU (idealerweise Deutschland)?
  • Ende-zu-Ende-Verschlüsselung aktiv?
  • Datenschutzerklärung für Patienten vorhanden?
  • Löschfristen definiert und automatisiert?
  • Datenschutzbeauftragter bestellt (ab 20 Mitarbeitern oder bei umfangreicher Verarbeitung)?

4. Auftragsverarbeitung (AVV) – einfach erklärt

Der Auftragsverarbeitungsvertrag (AVV) ist das zentrale Dokument zwischen Ihrer Praxis und jedem externen Dienstleister, der Patientendaten verarbeitet. Ohne AVV dürfen Sie keinen Cloud-Dienst, keine Software und kein Widget einsetzen, das Patientendaten berührt.

Pflichtbestandteil Beschreibung
Gegenstand und Dauer Was wird verarbeitet? Wie lange? Welche Datenkategorien?
Art und Zweck der Verarbeitung Terminbuchung, Rezeptanfrage, Telefonie – konkret benennen
Technische und organisatorische Maßnahmen Verschlüsselung, Zugriffskontrolle, Backup, Incident Response
Unterauftragnehmer Welche Sub-Dienstleister werden eingesetzt? Mit Genehmigungsvorbehalt
Kontrollrechte Die Praxis (Verantwortlicher) hat Audit- und Kontrollrechte
Löschung nach Vertragsende Daten müssen nach Vertragsende gelöscht oder zurückgegeben werden
💡
Praxis-Tipp Unicorn Medical stellt allen Kunden einen vollständigen AVV nach Art. 28 DSGVO bereit – ohne zusätzliche Kosten. Sie müssen sich nicht selbst um die Vertragsgestaltung kümmern.

5. Verbotene Tools: Was in der Arztpraxis nicht genutzt werden darf

Viele alltägliche Kommunikationstools sind für die Patientenkommunikation nicht DSGVO-konform – auch wenn sie bequem sind. Die folgende Tabelle zeigt die häufigsten Verstöße:

Tool Problem DSGVO-Status
WhatsApp Metadaten gehen an Meta (USA), kein AVV möglich, Kontakte werden automatisch synchronisiert Nicht zulässig
Google Forms Daten auf US-Servern, kein adäquater Schutz für Gesundheitsdaten, Google hat Zugriffsrechte Nicht zulässig
Unverschlüsselte E-Mail Keine Ende-zu-Ende-Verschlüsselung, Inhalte auf Mailservern einsehbar Nicht zulässig
Dropbox / Google Drive US-Cloud, keine Garantie für EU-Datenverarbeitung, kein medizinischer AVV Nicht zulässig
Termintools ohne AVV Viele Terminbuchungstools bieten keinen DSGVO-konformen AVV für Gesundheitsdaten Prüfung erforderlich
SMS für Befunde/Diagnosen Unverschlüsselt, auf Provider-Servern gespeichert, kein Nachweis der Einwilligung Nicht zulässig
⚠️
Achtung Auch wenn Patienten von sich aus WhatsApp-Nachrichten schicken: Die Praxis darf darüber keine Gesundheitsdaten austauschen. Die Verantwortung liegt beim Praxisinhaber als datenschutzrechtlich Verantwortlichem.
Digitale Online-Rezeption: DSGVO-konform umsetzen

6. EU AI Act 2026: Was sich für Praxen mit KI ändert

Seit Februar 2025 gelten die ersten Vorschriften des EU AI Act – bis August 2026 werden alle Regelungen vollständig anwendbar. Für Arztpraxen, die KI-basierte Tools einsetzen (z. B. KI-Telefonie, automatisierte Triage), ist das besonders relevant.

Risikokategorie Beispiele Pflichten
Unannehmbares Risiko Social Scoring, manipulative KI Verboten
Hohes Risiko KI im Gesundheitswesen, medizinische Triage, Patientensteuerung Umfangreiche Dokumentation, Risikoanalyse, menschliche Aufsicht
Begrenztes Risiko Chatbots, KI-generierte Inhalte Transparenzpflicht (Kennzeichnung als KI)
Minimales Risiko Spamfilter, Autokorrektur Keine besonderen Pflichten

MediCall: KI-Telefonie im Einklang mit dem EU AI Act

  • Transparente Kennzeichnung: Patienten werden informiert, dass sie mit einer KI sprechen
  • Menschliche Aufsicht: Jede KI-Interaktion kann vom Praxisteam überprüft werden
  • Dokumentation: Vollständige Protokollierung aller KI-Entscheidungen
  • EU-Server: Alle Daten werden ausschließlich in der EU verarbeitet
  • Kein autonomes Handeln: MediCall sammelt Informationen – medizinische Entscheidungen trifft der Arzt
Mehr über MediCall KI-Telefonie erfahren

7. DSGVO-Checkliste für die digitale Arztpraxis

Nutzen Sie diese Checkliste, um den Datenschutz-Status Ihrer Praxis systematisch zu prüfen:

1 Rechtliche Grundlagen

  • Datenschutzerklärung auf der Praxiswebsite aktuell
  • Einwilligungserklärung für digitale Kommunikation vorhanden
  • Verzeichnis der Verarbeitungstätigkeiten (Art. 30) angelegt
  • Datenschutzbeauftragter bestellt (Art. 37 DSGVO / § 38 BDSG)

2 Verträge und Dienstleister

  • AVV mit allen Software-Anbietern abgeschlossen
  • AVV mit IT-Dienstleister / Systemhaus abgeschlossen
  • Unterauftragnehmer-Liste geprüft und genehmigt

3 Technische Sicherheit

  • Ende-zu-Ende-Verschlüsselung für alle Patientenkommunikation
  • Server in der EU / Deutschland
  • Zugriffskontrollen und Berechtigungskonzept
  • Regelmäßige Backups und Wiederherstellungstests

4 Prozesse und Organisation

  • Mitarbeiter-Schulung zum Datenschutz (jährlich)
  • Meldeprozess für Datenpannen (72-Stunden-Frist, Art. 33)
  • Löschkonzept mit automatisierten Fristen

5 Patientenrechte

  • Auskunftsrecht (Art. 15) umgesetzt
  • Recht auf Datenübertragbarkeit (Art. 20) umgesetzt
  • Widerrufsrecht für Einwilligungen dokumentiert
  • Beschwerderecht bei Aufsichtsbehörde kommuniziert

Unsicher, ob Ihre Praxis DSGVO-konform ist?

Unicorn Medical berät Sie kostenlos zu Datenschutz-Anforderungen für MediDesk und MediCall.

Beratung anfragen

8. Unicorn Medical und DSGVO-Konformität

MediDesk (digitale Online-Rezeption) und MediCall (KI-Telefonie) wurden von Grund auf für den Einsatz in Arztpraxen entwickelt – mit Datenschutz als Kernprinzip (Privacy by Design).

DSGVO-Anforderung MediDesk MediCall
AVV nach Art. 28 ✓ Inklusive ✓ Inklusive
Server in EU/Deutschland ✓ Ja ✓ Ja
Ende-zu-Ende-Verschlüsselung ✓ Ja ✓ Ja
Automatische Löschfristen ✓ Konfigurierbar ✓ Konfigurierbar
Einwilligungsmanagement ✓ Integriert ✓ Integriert
Datensparsamkeit ✓ Nur notwendige Daten ✓ Nur notwendige Daten
EU AI Act konform – ✓ Ja
MediDesk – Digitale Online-Rezeption entdecken

9. Häufige Fehler – und wie Sie sie vermeiden

In unserer Arbeit mit über hundert Arztpraxen sehen wir diese Datenschutz-Fehler immer wieder:

Fehler Risiko Lösung
WhatsApp für Patientenkommunikation Bußgeld, Datenweitergabe an Meta MediDesk als DSGVO-konforme Alternative
Kein AVV mit Software-Anbieter Gesamte Verarbeitung rechtswidrig AVV vor Nutzung abschließen
Patientendaten auf US-Servern DSGVO-Verstoß, kein Angemessenheitsbeschluss Nur EU-Server-Anbieter wählen
Fehlende Einwilligungserklärung Rechtswidrige Verarbeitung Einwilligung vor erster digitaler Interaktion einholen
Kein Löschkonzept Verstoß gegen Speicherbegrenzung Automatische Löschfristen im System konfigurieren
Mitarbeiter nicht geschult Versehentliche Datenpannen Jährliche Datenschutz-Schulung für alle Mitarbeiter
Fachkräftemangel lösen: KI-Lösungen für die Arztpraxis 2026

10. FAQ: DSGVO in der Arztpraxis

Nach § 38 BDSG ist ein Datenschutzbeauftragter Pflicht, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig davon kann nach Art. 37 DSGVO eine Pflicht bestehen, wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien (Gesundheitsdaten) besteht – was auf größere Praxen und MVZ zutrifft.
Nur mit Einwilligung des Patienten und nur für organisatorische Inhalte (z. B. Terminerinnerungen). Befunde, Diagnosen oder andere Gesundheitsdaten dürfen nicht per unverschlüsselter E-Mail versendet werden. Verschlüsselte E-Mail-Dienste (z. B. mit S/MIME oder PGP) können eine Option sein, sind aber in der Praxis selten praktikabel.
Die Arztpraxis ist der Verantwortliche (Art. 4 Nr. 7) – sie bestimmt Zweck und Mittel der Verarbeitung. Der Software-Anbieter (z. B. Unicorn Medical) ist Auftragsverarbeiter (Art. 4 Nr. 8) – er verarbeitet Daten nur nach Weisung der Praxis. Die Verantwortung bleibt beim Praxisinhaber.
Eine Datenpanne muss innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde gemeldet werden (Art. 33 DSGVO). Wenn ein hohes Risiko für die betroffenen Patienten besteht, müssen auch diese direkt informiert werden (Art. 34). Dokumentieren Sie jeden Vorfall lückenlos – auch wenn keine Meldepflicht besteht.
Die gesetzliche Aufbewahrungspflicht für Patientenakten beträgt 10 Jahre nach der letzten Behandlung (MBO-Ä § 10, § 630f BGB). Für bestimmte Daten (z. B. Röntgenaufnahmen: 10 Jahre nach Aufnahme, Arbeitsmedizin: bis 40 Jahre) gelten Sonderfristen. Nach Ablauf müssen die Daten gelöscht werden.
Ja, wenn die Anforderungen der DSGVO erfüllt sind: AVV, EU-Serverstandort, Verschlüsselung, Zugriffskontrollen. Entscheidend ist nicht „Cloud oder lokal", sondern ob die technischen und organisatorischen Maßnahmen dem Schutzbedarf von Gesundheitsdaten entsprechen.
Wenn Sie KI-Tools in der Patientenversorgung einsetzen (z. B. KI-Telefonie, automatisierte Terminvergabe), müssen diese ab 2026 den Anforderungen des EU AI Act entsprechen. Für den Gesundheitsbereich gelten verschärfte Pflichten: Risikoanalyse, Dokumentation, menschliche Aufsicht und Transparenz gegenüber Patienten.
Ja, die Nutzung von MediDesk und MediCall ist unabhängig davon, ob Ihre Praxis einen Datenschutzbeauftragten hat. Unicorn Medical stellt den AVV bereit und sorgt für die technische DSGVO-Konformität. Die Pflicht zur Bestellung eines DSB richtet sich nach der Größe und Art Ihrer Praxis – nicht nach den eingesetzten Tools.

11. Fazit: Datenschutz ist kein Hindernis – sondern ein Qualitätsmerkmal

DSGVO-konforme Patientenkommunikation ist 2026 keine Option, sondern Pflicht. Die gute Nachricht: Mit den richtigen Tools und Partnern ist Datenschutz kein Mehraufwand, sondern ein Wettbewerbsvorteil. Patienten vertrauen Praxen, die ihre Daten schützen – und wechseln zu denen, die es tun.

MediDesk und MediCall von Unicorn Medical nehmen Ihnen die technische Komplexität ab: AVV, EU-Server, Verschlüsselung, Löschfristen – alles ist von Anfang an eingebaut. Sie konzentrieren sich auf Ihre Patienten, wir kümmern uns um den Datenschutz.

Das Wichtigste auf einen Blick

  • Gesundheitsdaten unterliegen dem höchsten DSGVO-Schutz (Art. 9) – Verstöße kosten bis 20 Mio. €
  • AVV, EU-Server, Verschlüsselung und Löschfristen sind Pflicht für jedes digitale Tool
  • WhatsApp, Google Forms und unverschlüsselte E-Mail sind für Patientenkommunikation verboten
  • Der EU AI Act 2026 bringt neue Pflichten für KI im Gesundheitswesen
  • MediDesk und MediCall erfüllen alle DSGVO- und EU-AI-Act-Anforderungen
  • Investieren Sie in Datenschutz – Ihre Patienten und Ihre Praxis profitieren davon

DSGVO-konforme Praxissoftware – jetzt kostenlos testen

MediDesk und MediCall: DSGVO-konform, EU-Server, AVV inklusive. Starten Sie ohne Risiko.

Kostenlos starten Kontakt aufnehmen
Rechtlicher Hinweis: Dieser Artikel dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung dar. Die Inhalte ersetzen nicht die individuelle Beratung durch einen Datenschutzbeauftragten oder Fachanwalt für Datenschutzrecht. Alle Angaben ohne Gewähr. Stand: März 2026.

Quellen

  • DSGVO Artikel 9: Besondere Kategorien personenbezogener Daten
  • DSGVO Artikel 28: Auftragsverarbeiter
  • DSGVO Artikel 37: Benennung eines Datenschutzbeauftragten
  • DSGVO Artikel 83: Allgemeine Bedingungen für die Verhängung von Geldbußen
  • BDSG (Bundesdatenschutzgesetz), insbesondere § 38
  • EU AI Act (Verordnung (EU) 2024/1689 über künstliche Intelligenz)
  • MBO-Ä (Musterberufsordnung für Ärzte), § 10 Dokumentation
  • Digital Health Report 2026