Datenschutzbeauftragter in der Arztpraxis

Wann eine Arztpraxis einen Datenschutzbeauftragten braucht

Ein Datenschutzbeauftragter ist für eine Arztpraxis in drei Fällen Pflicht. Erstens nach § 38 Abs. 1 BDSG, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Zweitens nach demselben Paragrafen unabhängig von der Zahl, wenn die Praxis Verarbeitungen durchführt, die eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erfordern. Drittens nach Art. 37 Abs. 1 lit. c DSGVO, wenn die Kerntätigkeit in der umfangreichen Verarbeitung von Gesundheitsdaten besteht.

Für die Einzelpraxis gibt die DSGVO selbst eine Auslegungshilfe: Nach Erwägungsgrund 91 gilt die Verarbeitung von Patientendaten durch einen einzelnen Arzt nicht als umfangreich. Bei einem MVZ mit mehreren Standorten, einer großen Radiologie oder einem Labor sieht das anders aus. Dort kann Art. 37 DSGVO greifen, auch wenn weniger als 20 Personen am Rechner sitzen.

Wer bei den 20 Personen mitzählt

Gezählt werden Köpfe, nicht Vollzeitstellen. Dazu gehören angestellte Ärztinnen und Ärzte, MFA, Auszubildende, Teilzeitkräfte und Minijobber, sofern sie regelmäßig mit dem Praxisverwaltungssystem, dem Terminkalender oder dem E-Mail-Postfach arbeiten. Wer nur gelegentlich Daten sieht, etwa die Reinigungskraft, zählt nicht. Eine Gemeinschaftspraxis mit drei Ärzten, zwölf MFA, zwei Azubis und drei Teilzeitkräften am Empfang liegt mit 20 Personen damit schon an der Schwelle.

Fällt die 20-Personen-Regel weg?

Möglicherweise, aber noch nicht. In der Föderalen Modernisierungsagenda vom 4. Dezember 2025 hat der Bund angekündigt, bis zum 31. Dezember 2026 eine Aufhebung von § 38 Abs. 1 BDSG einzubringen. Stand Oktober 2026 liegt dazu kein Gesetzentwurf vor, die Pflicht gilt unverändert. Selbst wenn die Regel fällt, bleibt Art. 37 DSGVO bestehen. Große MVZ und Labore müssten dann weiterhin einen Datenschutzbeauftragten benennen, und alle anderen Pflichten aus der DSGVO bleiben ohnehin.

Intern oder extern?

Ein interner Datenschutzbeauftragter braucht Fachkunde, Zeit für Fortbildungen und darf keinem Interessenkonflikt unterliegen. Praxisinhaber, Praxismanagerin und die Person, die die IT administriert, scheiden deshalb in der Regel aus. Ist die Benennung Pflicht, genießt ein interner DSB außerdem besonderen Kündigungsschutz. Ein externer Datenschutzbeauftragter bringt Erfahrung aus anderen Praxen mit, kostet ein festes Honorar und ist vor allem für MVZ und größere Berufsausübungsgemeinschaften die einfachere Lösung. Die Kontaktdaten des DSB müssen Sie veröffentlichen und der zuständigen Aufsichtsbehörde mitteilen (Art. 37 Abs. 7 DSGVO), in Mannheim und Heidelberg dem Landesbeauftragten für Datenschutz Baden-Württemberg, in Ludwigshafen dem von Rheinland-Pfalz.

Was ohne Datenschutzbeauftragten trotzdem gilt

Auch die Praxis mit fünf Personen braucht ein Verzeichnis der Verarbeitungstätigkeiten, Verträge zur Auftragsverarbeitung mit Dienstleistern, technische Schutzmaßnahmen und einen Plan für Datenpannen. Eine Datenpanne melden Sie innerhalb von 72 Stunden an die Aufsichtsbehörde (Art. 33 DSGVO). Die Verantwortung trägt die Praxisinhaberin oder der Praxisinhaber, mit oder ohne DSB. Zur technischen Seite passt unser Ratgeber IT-Sicherheit in der Arztpraxis.

Was zum Datenschutz der Praxis-Website gehört

• Datenschutzerklärung, die jeden eingesetzten Dienst nennt
• Keine Tracker ohne Einwilligung, am besten gar keine
• Verschlüsselte Formulare mit wenigen Pflichtfeldern, etwa für Rezept- und Überweisungsanfragen
• Terminbuchung, Karten und Videos erst nach Klick laden
• Hosting in Deutschland mit Vertrag zur Auftragsverarbeitung

Was wir übernehmen und was nicht

Einen Datenschutzbeauftragten stellen wir nicht. Wir sorgen dafür, dass Ihre Website technisch datensparsam ist, liefern den Vertrag zur Auftragsverarbeitung für das Hosting und beantworten die Fragen Ihres Datenschutzbeauftragten zur Website. Eine Rechtsberatung ersetzen wir nicht.