Jede Praxis arbeitet mit Dienstleistern zusammen: die Praxissoftware in der Cloud, der IT-Betreuer, das Online-Termintool, vielleicht ein Newsletter-Versand. Sobald diese Dienstleister mit Patientendaten in Berührung kommen, verlangt der Datenschutz einen bestimmten Vertrag – den Auftragsverarbeitungsvertrag. Er klingt nach Bürokratie, ist aber im Kern eine einfache Absprache. Dieser Beitrag erklärt, mit wem Sie ihn brauchen, was ohne ihn passiert und wie Sie den Überblick behalten.
Was ist ein Auftragsverarbeitungsvertrag – und wann brauche ich ihn?
Einen Auftragsverarbeitungsvertrag (AVV) brauchen Sie immer dann, wenn ein externer Dienstleister in Ihrem Auftrag mit personenbezogenen Daten umgeht, ohne selbst über deren Zweck zu entscheiden. Die Praxis bleibt verantwortlich, der Dienstleister verarbeitet nur weisungsgebunden. Rechtlich verlangt Art. 28 DSGVO diesen Vertrag. Er hält fest, was der Dienstleister mit den Daten tun darf, wie er sie schützt und dass er sie nach Auftragsende löscht oder zurückgibt.
Die entscheidende Frage ist: Verarbeitet jemand in Ihrem Auftrag Daten? Ein Cloud-Anbieter, der Ihre Praxissoftware hostet, tut das. Ein Steuerberater, der eigenverantwortlich handelt, dagegen nicht – er ist selbst Verantwortlicher, kein Auftragsverarbeiter. Nicht jede Zusammenarbeit ist also eine Auftragsverarbeitung, aber viele digitale Dienste sind es.
Mit welchen Dienstleistern typischerweise?
Typische Auftragsverarbeiter einer Praxis sind der IT-Betreuer, der Hosting- oder Cloud-Anbieter, die Praxissoftware, das Online-Terminbuchungstool, Newsletter- und E-Mail-Dienste sowie Analyse-Werkzeuge auf der Website. Bei all diesen fließen Daten durch fremde Hände, ohne dass der Dienstleister über ihren Zweck bestimmt. Für jeden dieser Fälle sollte ein AVV vorliegen.
Ein Sonderfall verdient Aufmerksamkeit: die Abrechnung über externe Stellen. Wenn eine private Verrechnungsstelle Patientendaten zur Abrechnung erhält, reicht der AVV allein oft nicht – hier kommt regelmäßig eine ausdrückliche Einwilligung des Patienten hinzu, weil die Weitergabe zu Abrechnungszwecken besonders geregelt ist. Solche Konstellationen sollten Sie gesondert prüfen lassen.
Reicht der AVV, um die Schweigepflicht zu wahren?
Nein. Der Auftragsverarbeitungsvertrag ordnet die datenschutzrechtliche Seite, nicht die berufliche Schweigepflicht. Damit auch das Patientengeheimnis gewahrt bleibt, müssen die eingebundenen Personen zusätzlich zur Verschwiegenheit verpflichtet sein. Datenschutz und Schweigepflicht sind zwei getrennte Ebenen. Für die Berufe mit strafrechtlich geschützter Schweigepflicht stellt § 203 Absatz 3 StGB klar, dass das Hinzuziehen mitwirkender Personen erlaubt ist – aber nur, wenn diese ordnungsgemäß zur Geheimhaltung verpflichtet wurden.
Praktisch heißt das: Beim kontrollierten, vertraglich eingebundenen Dienstleister lässt sich beides sauber regeln – AVV für den Datenschutz, Verschwiegenheitsverpflichtung für das Patientengeheimnis. Bei einem unkontrollierten Dritten, auf den Sie keinen geregelten Zugriff haben, lässt sich die Verschwiegenheit dagegen nicht herstellen.
Was ist mit Anbietern außerhalb der EU?
Sitzt der Dienstleister außerhalb der EU – etwa ein US-Cloud-Anbieter –, reicht der AVV nicht allein; es braucht zusätzlich eine gültige Grundlage für den Datentransfer. Für zertifizierte US-Anbieter kann das der EU-US-Datenschutzrahmen sein, in anderen Fällen die Standardvertragsklauseln der EU, oft ergänzt um zusätzliche Schutzmaßnahmen. Gerade bei Gesundheitsdaten ist hier besondere Sorgfalt geboten.
Die einfachste Faustregel für die Praxis: Wo es möglich ist, sind Anbieter mit Verarbeitung innerhalb der EU der ruhigere Weg. Das erspart die Zusatzprüfung des Drittlandtransfers und reduziert das Risiko spürbar.
Was Praxen konkret tun können
Sinnvoll ist, einmal alle Dienstleister aufzulisten, die mit Daten umgehen, für jeden den AVV einzuholen und das Ganze in einer einfachen Übersicht festzuhalten – kein Aktenordner, eine Liste genügt. Als pragmatischer Einstieg:
- Dienstleister sammeln. Wer berührt Daten – IT, Cloud, Praxissoftware, Termintool, Newsletter, Website-Dienste?
- AVV anfordern. Die meisten seriösen Anbieter stellen einen AVV bereit; oft lässt er sich im Kundenkonto herunterladen oder gegenzeichnen.
- Verschwiegenheit mitdenken. Wo Patientengeheimnisse berührt sind, zusätzlich die Verpflichtung zur Geheimhaltung sicherstellen.
- Drittland prüfen. Bei Anbietern außerhalb der EU die Transfer-Grundlage klären – oder auf EU-Anbieter ausweichen.
- Übersicht führen. Eine einfache Liste, wer welche Daten verarbeitet und ob ein AVV vorliegt – das ist zugleich Baustein des Verzeichnisses der Verarbeitungstätigkeiten.
Wie Datenschutz und Schweigepflicht insgesamt zusammenspielen, vertiefen wir im Beitrag zu Patientendaten im Praxisalltag.
Quellen und weiterführende Hinweise
- Datenschutz-Grundverordnung, insbesondere Art. 28 (Auftragsverarbeitung) und Art. 44 ff. (Übermittlung an Drittländer)
- § 203 Strafgesetzbuch (Verletzung von Privatgeheimnissen), insbesondere Absatz 3 zur Einbindung mitwirkender Personen
- Informationen der Aufsichtsbehörden zum EU-US-Datenschutzrahmen und zu Standardvertragsklauseln
Mit wem brauche ich einen AVV?
Mit jedem externen Dienstleister, der in Ihrem Auftrag personenbezogene Daten verarbeitet – typischerweise IT-Betreuung, Hosting/Cloud, Praxissoftware, Termintool, Newsletter- und Analyse-Dienste.
Muss ich den Vertrag selbst aufsetzen?
In der Regel nicht. Die meisten Dienstleister stellen einen fertigen AVV bereit, den Sie prüfen und gegenzeichnen. Wichtig ist, dass Sie ihn tatsächlich abschließen und ablegen.
Reicht der AVV für die Schweigepflicht?
Nein. Er deckt die datenschutzrechtliche Seite. Die Schweigepflicht ist getrennt zu betrachten; die eingebundenen Personen müssen zusätzlich zur Verschwiegenheit verpflichtet sein.
Was ist, wenn der Anbieter in den USA sitzt?
Dann braucht es neben dem AVV eine gültige Grundlage für den Datentransfer, etwa den EU-US-Datenschutzrahmen oder Standardvertragsklauseln. Bei Gesundheitsdaten ist besondere Sorgfalt nötig; ein EU-Anbieter ist oft der einfachere Weg.
Was droht ohne AVV?
Fehlt ein erforderlicher AVV, liegt ein Datenschutzverstoß vor – mit möglichem Bußgeld und Haftungsrisiken für die Praxis als Verantwortliche.
Bin ich verantwortlich, wenn ein Dienstleister die Daten verarbeitet?
Ja. Die Verarbeitung können Sie auslagern, die Verantwortung nicht. Als Praxis bleiben Sie die datenschutzrechtlich Verantwortliche – auch wenn ein externer Dienstleister die Daten in Ihrem Auftrag verarbeitet. Genau deshalb sind die sorgfältige Auswahl des Anbieters und ein sauberer Auftragsverarbeitungsvertrag so wichtig.