Patientendaten richtig schützen: Schweigepflicht und Datenschutz im Praxisalltag

Eine Praxis verarbeitet täglich einige der sensibelsten Daten überhaupt. Dabei greifen zwei Regelwerke ineinander: die Schweigepflicht – für viele Heilberufe strafrechtlich über § 203 StGB abgesichert – und die Datenschutz-Grundverordnung. Beide gelten unabhängig voneinander, und beide werden im Alltag häufiger berührt, als den Beteiligten bewusst ist – bei jeder E-Mail an einen Patienten, jedem Kontaktformular, jedem Werkzeug, das im Hintergrund mitläuft. Dieser Beitrag zeigt, worauf es ankommt, ohne in Paragrafenangst zu verfallen.

Zwei Regelwerke, die unabhängig voneinander gelten

Datenschutz und Schweigepflicht sind zwei getrennte Rechtsrahmen, die gleichzeitig erfüllt sein müssen. Die Datenschutz-Grundverordnung regelt, wie personenbezogene Daten verarbeitet werden dürfen; die Schweigepflicht – für viele Heilberufe in § 203 StGB strafrechtlich geregelt – schützt das Patientengeheimnis als solches. Das eine ist Datenschutzrecht, das andere ist berufliche Verschwiegenheit – und das hat eine praktische Folge, die viele überrascht: Eine Maßnahme kann datenschutzrechtlich in Ordnung sein und trotzdem die Verschwiegenheit verletzen.

Die Konsequenzen unterscheiden sich entsprechend. Ein Datenschutzverstoß kann ein Bußgeld der Aufsichtsbehörde nach sich ziehen sowie Schadensersatzansprüche der Betroffenen. Wo die strafrechtliche Schweigepflicht greift, ist ein Verstoß dagegen sogar eine Straftat – mit Freiheitsstrafe bis zu einem Jahr oder Geldstrafe. Hinzu kommen in beiden Fällen mögliche berufsrechtliche und zivilrechtliche Folgen. Wer diese Doppelstruktur einmal verstanden hat, trifft im Alltag bessere Entscheidungen, weil er weiß, dass es nicht nur um „den Datenschutz“ geht.

Was die Schweigepflicht alles umfasst

Die Schweigepflicht schützt sämtliche Tatsachen, die einem Heilberufler im Rahmen der Behandlung bekannt werden – einschließlich der bloßen Tatsache, dass jemand überhaupt Patient ist. Sie gilt über den Tod des Patienten hinaus und erstreckt sich auf das gesamte Praxispersonal. Geschützt sind also nicht nur Diagnosen und Befunde, sondern bereits die Information, dass eine bestimmte Person in der Praxis war.

Das ist im Alltag wichtiger, als es klingt. Schon die Bestätigung gegenüber einem Anrufer, dass jemand Patient ist, kann eine Offenbarung sein. Auch das Praxispersonal ist eingebunden: Mitarbeiter, die im Rahmen ihrer Tätigkeit Kenntnis von Patientendaten erlangen, sind ebenfalls zur Verschwiegenheit verpflichtet. Aus diesem Grund gehört die schriftliche Verpflichtung der Mitarbeiter zu den Grundlagen jeder Praxisorganisation.

„Offenbaren“ bedeutet dabei, ein Geheimnis einer Person außerhalb des Behandlungskreises zugänglich zu machen. Entscheidend ist nicht, ob der Dritte die Information tatsächlich liest – schon die Möglichkeit des Zugriffs kann genügen. Genau hier liegt die Brücke zu den digitalen Werkzeugen, um die es weiter unten geht.

Warum Patientendaten besonders geschützt sind

Gesundheitsdaten gehören nach Art. 9 DSGVO zu den besonderen Kategorien personenbezogener Daten. Ihre Verarbeitung ist grundsätzlich untersagt und nur unter engen Ausnahmen erlaubt – etwa zum Zweck der Behandlung oder mit ausdrücklicher Einwilligung des Patienten. Der Gesetzgeber behandelt diese Daten bewusst strenger als gewöhnliche personenbezogene Daten wie eine Lieferadresse.

Für die Praxis bedeutet das vor allem: Je sensibler die Daten, desto höher die Anforderungen an ihren Schutz. Die technischen und organisatorischen Maßnahmen, mit denen eine Praxis ihre Daten sichert, müssen diesem hohen Schutzniveau entsprechen. Gleichzeitig haben Patienten Rechte, die ernst genommen werden sollten – etwa das Recht auf Auskunft und auf eine Kopie ihrer Daten sowie das Recht auf Einsicht in ihre Behandlungsdokumentation.

Dürfen externe Dienstleister Patientendaten verarbeiten?

Ja – das Auslagern an Dienstleister ist möglich, wenn die rechtlichen Voraussetzungen erfüllt sind: ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO und die Einbindung der beteiligten Personen in die Verschwiegenheit. Eine Praxis muss also nicht alles selbst erledigen; sie darf IT-Dienstleister, Praxissoftware-Anbieter oder Abrechnungsdienste einsetzen. Für die Berufe, die der strafrechtlichen Schweigepflicht unterliegen, stellt § 203 Abs. 3 StGB zusätzlich klar, dass das Hinzuziehen solcher mitwirkender Personen kein unbefugtes Offenbaren ist, solange sie ordnungsgemäß eingebunden sind.

Wichtig ist die Bedingung dahinter. Damit das Patientengeheimnis gewahrt bleibt, müssen die mitwirkenden Personen ihrerseits zur Geheimhaltung verpflichtet sein, und es braucht den Auftragsverarbeitungsvertrag. Bei einem klassischen, kontrollierten Dienstleister lässt sich das sauber regeln.

Wo dieser Weg endet, ist bei unkontrollierten Dritten – etwa einem allgemeinen Cloud- oder KI-Dienst, der die Daten mit eigenen Interessen verarbeitet und auf den die Praxis keinen geregelten Zugriff einräumen kann. Dort lässt sich die Verschwiegenheit nicht herstellen, und ein Auftragsverarbeitungsvertrag allein genügt nicht. Diese Unterscheidung – kontrollierte Einbindung ja, unkontrollierte Weitergabe nein – ist der rote Faden für alle digitalen Werkzeuge im nächsten Abschnitt.

Die typischen Schwachstellen im Praxisalltag

Die häufigsten Schwachstellen sind unverschlüsselte E-Mails an Patienten, Messenger wie WhatsApp, Kontaktformulare ohne ausreichende Absicherung und allgemeine Cloud-Dienste. Alle vier sind verbreitet – und alle vier verdienen einen genaueren Blick. Keine davon ist automatisch verboten, aber jede birgt ein Risiko, das sich mit überschaubarem Aufwand verringern lässt.

Bei der E-Mail ist der Punkt die Verschlüsselung. Eine gewöhnliche E-Mail ist technisch eher mit einer Postkarte als mit einem verschlossenen Brief vergleichbar. Für Gesundheitsdaten ist das heikel. Wer Patienten per E-Mail erreichen möchte, sollte entweder verschlüsseln beziehungsweise ein Patientenportal nutzen oder das ausdrückliche, dokumentierte Einverständnis des Patienten für den unverschlüsselten Versand einholen.

Messenger wie WhatsApp sind für Patientendaten problematisch, weil Daten an einen Anbieter außerhalb der EU fließen und auf das Adressbuch zugegriffen wird. Für sensible Inhalte sind sie ungeeignet; datenschutzfreundlichere Alternativen oder der Verzicht sind der ruhigere Weg.

Das Kontaktformular auf der Website sollte verschlüsselt übertragen werden, sparsam abfragen und einen klaren Einwilligungstext enthalten. Diagnosedaten haben in einem offenen Formular nichts zu suchen.

Bei Cloud-Diensten gilt die Unterscheidung aus dem vorigen Abschnitt: kontrollierte, vertraglich eingebundene Dienste mit Verarbeitung innerhalb der EU sind ein Thema, allgemeine Dienste ohne diese Absicherung ein anderes. Ein Sonderfall mit eigener Brisanz sind KI-Werkzeuge – warum etwa die Eingabe von Patientendaten in frei zugängliche KI-Dienste regelmäßig ein Problem für die Schweigepflicht ist, behandeln wir in einem eigenen Beitrag zu künstlicher Intelligenz in der Praxis.

Was Praxen konkret tun können

Sinnvoll ist, die eigenen Kommunikationswege einmal strukturiert zu erfassen, sichere Kanäle für sensible Daten zu etablieren, mit allen Dienstleistern Auftragsverarbeitungsverträge zu schließen und das Personal auf Datengeheimnis und Schweigepflicht zu verpflichten. Die folgende Reihenfolge eignet sich als pragmatischer Einstieg, ohne dass gleich die ganze Praxis umgekrempelt werden müsste:

• Bestandsaufnahme. Über welche Wege laufen aktuell Patientendaten – E-Mail, Telefon, Formular, Messenger, Praxissoftware, Cloud?
• Sichere Kanäle. Für sensible Daten verschlüsselte Wege oder ein Patientenportal vorsehen.
• Einwilligungen. Wo bewusst ein weniger sicherer Kanal genutzt wird, das dokumentierte Einverständnis einholen.
• Verträge. Mit allen Dienstleistern – IT, Cloud, Praxissoftware, Tools – Auftragsverarbeitungsverträge schließen.
• Personal. Mitarbeiter schriftlich auf Datengeheimnis und Schweigepflicht verpflichten.
• Dokumentation. Die getroffenen Maßnahmen festhalten und ein Verzeichnis der Verarbeitungstätigkeiten führen.

Keiner dieser Schritte ist für sich genommen kompliziert. Der eigentliche Aufwand liegt darin, sich einmal strukturiert hinzusetzen und die Lage zu ordnen – danach ist der laufende Betrieb deutlich einfacher.

Braucht meine Praxis einen Datenschutzbeauftragten?

Eine Praxis muss einen Datenschutzbeauftragten benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Diese Schwelle aus dem Bundesdatenschutzgesetz ist der wichtigste und klarste Auslöser.

Daneben gibt es einen zweiten, oft missverstandenen Punkt: Eine Benennungspflicht kann auch bestehen, wenn die Kerntätigkeit in einer umfangreichen Verarbeitung besonderer Datenkategorien besteht. Für eine einzelne, normal große Praxis wird dies in der Regel nicht als „umfangreich“ in diesem Sinne eingestuft – anders kann es bei größeren Einrichtungen, Versorgungszentren oder Verbünden liegen. Weil die Einordnung vom Einzelfall abhängt, lohnt sich im Zweifel eine kurze Prüfung der konkreten Situation.

Unabhängig von der Pflicht kann ein – auch externer – Datenschutzbeauftragter sinnvoll sein, einfach weil er die Verantwortung für ein komplexes Thema bündelt und der Praxis den Rücken freihält.

Quellen und weiterführende Hinweise

• § 203 Strafgesetzbuch (Verletzung von Privatgeheimnissen), insbesondere die Regelung zur Einbindung mitwirkender Personen
• Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) – insbesondere die Vorschriften zu besonderen Datenkategorien (Art. 9), zur Auftragsverarbeitung (Art. 28), zum Auskunftsrecht und zu technischen Schutzmaßnahmen
• § 630g BGB (Einsichtnahme in die Patientenakte); § 38 Bundesdatenschutzgesetz (Pflicht zur Benennung eines Datenschutzbeauftragten)
• Empfehlungen der ärztlichen Selbstverwaltung zur Schweigepflicht und Datenverarbeitung in der Praxis