Datenschutzbeauftragter für Arzt- und Zahnarztpraxen
Praxen verarbeiten Gesundheitsdaten als Kerntätigkeit — das ist mehr als eine Formalie, aber nicht automatisch eine Benennungspflicht. Wer wissen will, ob die eigene Praxis einen Datenschutzbeauftragten braucht, muss drei Auslöser prüfen – und wer benennt, sollte wissen, was die Rolle leisten soll.
Wann eine Praxis einen Datenschutzbeauftragten braucht
Die ehrliche Antwort ist konkret: Es kommt nicht auf die Zahl der Patienten an, sondern darauf, wie viele Personen mit der Datenverarbeitung beschäftigt sind – und welche Verarbeitungen die Praxis durchführt. Drei Auslöser sind zu prüfen.
- § 38 Abs. 1 Satz 1 BDSG – die 20-Personen-Grenze. Sind in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt, ist ein Datenschutzbeauftragter zu benennen. In einer Praxis zählt dazu nicht nur die Behandlung: Terminvergabe, Abrechnung, Befundverwaltung und Kommunikation sind Datenverarbeitung.
- § 38 Abs. 1 Satz 2 BDSG – DSFA-Pflicht. Wer eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchführen muss, benennt unabhängig von der Zahl der Beschäftigten.
- Art. 37 Abs. 1 lit. c DSGVO – umfangreiche Verarbeitung besonderer Kategorien. Gehört die umfangreiche Verarbeitung von Gesundheitsdaten zur Kerntätigkeit, besteht die Pflicht ebenfalls. Die Aufsichtsbehörden haben sich 2018 darauf verständigt, Gesundheitsdaten bei weniger als zehn mit der Datenverarbeitung beschäftigten Personen in der Regel nicht als umfangreich anzusehen; in Berufsausübungsgemeinschaften gehen sie regelmäßig nicht von einer umfangreichen Verarbeitung aus.
Wichtig ist der Charakter dieser Einordnung: Es ist eine Verständigung der Aufsicht, keine Gesetzesänderung. Sie ersetzt die Prüfung im Einzelfall nicht – wer eine Praxisverwaltung mit Portal, Online-Terminbuchung und Cloud-Backup betreibt, verarbeitet anders als eine Einzelpraxis mit Karteikarte. Für Praxisinhaber ist die Prüfung in wenigen Minuten erledigt, wenn die Zahl der mit Datenverarbeitung beschäftigten Personen und die Systeme klar sind.
Was der Beauftragte in der Praxis übernimmt
Verzeichnis der Verarbeitungstätigkeiten
Aufgebaut aus dem, was tatsächlich läuft: Praxisverwaltung, Terminbuchung, Abrechnung, Labor, Cloud, Telefonie (Art. 30 DSGVO).
Informationspflichten
Datenschutzhinweise für Website und Patientenkontakt, dazu Hinweise für Beschäftigte und Bewerber (Art. 13/14 DSGVO).
Auftragsverarbeitung
Verträge mit Praxisverwaltung, Labor, Cloud und Abrechnungsstelle prüfen: TOM-Anlage, Unterauftragsverhältnisse, Drittlandfragen (Art. 28 DSGVO).
Löschkonzept
Behandlungsakte zehn Jahre nach Abschluss der Behandlung (§ 630f Abs. 3 BGB); Abrechnungs- und Termindaten mit eigenen Fristen — und dokumentierter Löschung.
Auskunftsersuchen
Ein Ablauf, der ohne Panne durchläuft: Identitätsprüfung, Sammlung, Antwort innerhalb der Frist aus Art. 12 Abs. 3 DSGVO (Art. 15 DSGVO).
Meldepflichten und Schulung
Abblauf für Datenpannen inklusive der 72-Stunden-Frist (Art. 33/34 DSGVO) und jährliche Unterweisung mit dokumentierter Teilnahme.
Drei Punkte, an denen es in Praxen am häufigsten hakt
- Die Zugriffsrechte sind nicht geregelt. Wer von der Anmeldung bis zur Reinigung Zugriff auf die Behandlungsakte hat, verarbeitet Gesundheitsdaten, die er nicht braucht. Die Rollen sind in Minuten zu klären – und danach einmal im Jahr zu prüfen.
- Die Systeme sind nicht vollständig erfasst. Online-Terminbuchung, Laboranbindung und Cloud-Backup fehlen häufig im Verzeichnis, obwohl dort personenbezogene Daten mehrerer Dienstleister zusammenlaufen.
- Niemand kann einen Auskunftsfall vorlegen. Der Ablauf existiert in Köpfen, nicht als dokumentierter Prozess – der ungünstigste Zeitpunkt für einen Probelauf ist der Tag, an dem das Ersuchen im Postfach liegt.
Was diese drei Punkte gemeinsam haben: Sie kosten nichts außer Aufmerksamkeit, und sie fallen bei einer Prüfung zuerst auf, weil sie sich an Unterlagen zeigen – nicht an Aussagen.
Was ein Datenschutzbeauftragter nicht ist
- Keine Rechtsberatung. Wo eine rechtliche Bewertung im Einzelfall nötig ist, gehört sie zu einer Kanzlei. Die Rolle überwacht die Einhaltung – sie ersetzt keine juristische Bewertung.
- Kein Freibrief. Ein benannter Datenschutzbeauftragter verhindert keine Aufsichtsmaßnahmen. Er sorgt dafür, dass die Praxis weiß, wie sie dasteht.
- Keine Zertifizierung. Ein Zertifikat nach Art. 42/43 DSGVO ist ein eigenes Verfahren mit akkreditierten Stellen. Eine Bestellung ist kein Siegel.
- Keine Aufgabe für den Inhaber nebenbei. Nach Art. 38 Abs. 6 Satz 2 DSGVO dürfen andere Aufgaben nicht zu einem Interessenkonflikt führen – wer festlegt, umsetzt und kontrolliert, kontrolliert sich selbst.
Beschrieben werden hier die Pflichten und Verfahren nach Art. 37, 38, 39, 12 Abs. 3 DSGVO, § 38 BDSG und § 630f BGB. Das ersetzt keine Rechtsberatung im Einzelfall.
Häufige Fragen aus der Praxis
Braucht meine Praxis einen Datenschutzbeauftragten?
Das hängt an drei Auslösern, nicht an der Zahl der Patienten: an der 20-Personen-Grenze des § 38 Abs. 1 Satz 1 BDSG, an einer DSFA-Pflicht nach § 38 Abs. 1 Satz 2 BDSG und an Art. 37 Abs. 1 lit. c DSGVO (umfangreiche Verarbeitung von Gesundheitsdaten als Kerntätigkeit). Die Aufsichtsbehörden sehen Gesundheitsdaten bei weniger als zehn mit der Datenverarbeitung beschäftigten Personen in der Regel nicht als umfangreich an.
Gilt die 20-Personen-Grenze auch für Praxen?
Ja, sie gilt für alle Verantwortlichen. Maßgeblich ist, wer ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt ist — also auch Beschäftigte an Terminvergabe, Abrechnung, Befundverwaltung und Kommunikation, nicht nur die Behandelnden.
Wie lange müssen Behandlungsunterlagen aufbewahrt werden?
Nach § 630f Abs. 3 BGB zehn Jahre nach Abschluss der Behandlung, soweit nicht andere Vorschriften andere Fristen vorgeben. Abrechnungs-, Termin- und Behandlungsdaten können unterschiedliche Fristen haben — das Löschkonzept muss das abbilden.
Was darf ein externer Datenschutzbeauftragter — und was nicht?
Er überwacht die Einhaltung, wirkt nach Art. 39 Abs. 1 DSGVO bei der Folgenabschätzung mit, berät, arbeitet mit der Aufsichtsbehörde zusammen und ist Anlaufstelle für Betroffene. Nach Art. 38 Abs. 3 DSGVO ist er weisungsfrei und berichtet der höchsten Managementebene. Keine Rechtsberatung, kein Freibrief, keine Zertifizierung.
Kann der Praxisinhaber den Datenschutzbeauftragten selbst stellen?
Ja, aber nur ohne Interessenkonflikt: Art. 38 Abs. 6 Satz 2 DSGVO verlangt, dass andere Aufgaben nicht mit der Überwachung kollidieren. Wer festlegt, umsetzt und kontrolliert, kontrolliert sich selbst — deshalb ist der externe Beauftragte in Praxen der übliche Weg.
Was passiert bei einem Auskunftsersuchen eines Patienten?
Der Patient hat nach Art. 15 DSGVO Anspruch auf Auskunft über seine Daten. Entscheidend ist der dokumentierte Ablauf — Identitätsprüfung, Sammlung, Antwort — und die Frist: grundsätzlich ein Monat nach Art. 12 Abs. 3 DSGVO.
Was kostet ein externer Datenschutzbeauftragter?
Der Aufwand hängt an Praxisgröße, Systemen und Zustand der vorhandenen Dokumentation. Deshalb gibt es hier keinen Pauschalpreis, sondern nach einem kurzen Erstgespräch einen konkreten Rahmen.
Fachlich benachbart
Externer Datenschutzbeauftragter
Die Rolle im Überblick: Pflicht, Ablauf, laufende Betreuung und Jahresgespräch — branchenunabhängig.
Zur ÜbersichtDatenschutz-Audit
Wenn zunächst nur der eigene Stand geprüft werden soll: sieben Prüfbereiche, Befund mit Reihenfolge.
Audit ansehenIT-Security
Wenn aus Feststellungen Maßnahmen werden sollen: Berechtigungen, Notfallplan, Nachweise.
IT-Security ansehenWas ein DSB kostet
Wovon der Aufwand abhängt und welche Faktoren den Preis bestimmen — ohne Pauschalaussage.
Zu den KostenErst prüfen, dann entscheiden
Ob die Pflicht in Ihrer Praxis greift und was die Betreuung bedeutet, klären wir in einem kostenlosen Erstgespräch.