DSGVO und Patientendaten: Was Ärzte 2026 wissen müssen

Gesundheitsdaten gehören zu den sensibelsten Daten überhaupt. Für Ärzte und Heilberufler schafft die DSGVO in Kombination mit der ärztlichen Schweigepflicht einen anspruchsvollen Rechtsrahmen. Im Jahr 2026, mit der Vervielfachung digitaler Tools, ist es unerlässlich, Ihre Verpflichtungen zu kennen.

Gilt die DSGVO für niedergelassene Ärzte?

Ja, ausnahmslos. Sobald Sie personenbezogene Daten von Patienten verarbeiten - selbst nur Name, Vorname und Behandlungsgrund - unterliegen Sie der DSGVO. Als niedergelassener Arzt sind Sie im Sinne der Verordnung Verantwortlicher.

Gesundheitsdaten genießen einen verstärkten Schutz (Artikel 9 DSGVO). Ihre Verarbeitung ist grundsätzlich verboten, außer in bestimmten Ausnahmefällen - zu denen die medizinische Versorgung gehört.

Welche Patientendaten sind betroffen?

In Ihrer täglichen Praxis verarbeiten Sie viele Datenkategorien:

Direkt identifizierende Daten

• Name, Vorname, Geburtsdatum
• Adresse, Telefonnummer, E-Mail
• Versicherungsnummer / Krankenversichertennummer

Gesundheitsdaten (besondere Kategorie)

• Behandlungsgrund und Krankengeschichte
• Verschriebene Medikamente
• Untersuchungsergebnisse
• Konsultationsnotizen

Wichtig: Auch Termindaten (Uhrzeit, Dauer, Grund) fallen in diese Kategorie, wenn sie die Identifizierung eines Patienten und den Rückschluss auf seinen Gesundheitszustand ermöglichen.

Die 5 wesentlichen DSGVO-Pflichten für Ärzte

1. Verzeichnis der Verarbeitungstätigkeiten führen

Sie müssen ein Verzeichnis aller Ihrer Datenverarbeitungstätigkeiten führen: Praxisverwaltungssoftware, Doctolib, sichere Gesundheitsnachrichten, etc. Dieses Verzeichnis muss Zwecke, Datenkategorien und Sicherheitsmaßnahmen enthalten.

Die Datenschutzbehörden (z.B. BfDI in Deutschland, CNIL in Frankreich) stellen vereinfachte Musterverzeichnisse für Arztpraxen bereit.

2. Patienten über ihre Rechte informieren

Ihre Patienten haben Rechte bezüglich ihrer Daten: Auskunft, Berichtigung, Löschung (in bestimmten Fällen), Datenübertragbarkeit. Sie müssen sie darüber informieren - eine Datenschutzerklärung im Wartezimmer reicht in der Regel aus.

3. Daten sichern

Die Sicherheit von Gesundheitsdaten ist eine gesetzliche Pflicht. Konkret bedeutet das:

• Starke, einzigartige Passwörter für jedes Tool
• Verschlüsselung der Daten bei der Übertragung (HTTPS) und im Ruhezustand
• Zugang nur für autorisierte Personen
• Regelmäßige, verschlüsselte Backups
• Regelmäßige Softwareaktualisierungen

4. Auftragsverarbeiter kontrollieren

Alle Dienstleister, die in Ihrem Auftrag Patientendaten verarbeiten, sind Ihre Auftragsverarbeiter im Sinne der DSGVO: Doctolib, Ihre Praxissoftware, Ihr Nachrichtendienst, etc. Sie müssen sicherstellen, dass diese DSGVO-konform sind, und einen Auftragsverarbeitungsvertrag (AVV) abschließen.

Doctolib stellt beispielsweise einen Standard-AVV für seine Kunden bereit. Docal.io ebenfalls.

5. Datenschutzverletzungen handhaben

Bei einer Datenpanne (Hacking, Verlust eines unverschlüsselten Computers, etc.) haben Sie 72 Stunden Zeit, die Datenschutzbehörde zu benachrichtigen und, wenn die Verletzung schwerwiegend ist, auch die betroffenen Patienten. Ein Incident-Response-Plan wird empfohlen.

DSGVO und digitaler Kalender: Besondere Aufmerksamkeitspunkte

Darf man Google Kalender für Patiententermine nutzen?

Das ist eine heikle Frage. Google Kalender ist nicht als Anbieter für die Verarbeitung von Gesundheitsdaten nach deutschem/europäischem Recht zertifiziert. Das direkte Speichern direkt identifizierbarer Gesundheitsdaten (Name + Behandlungsgrund) könnte ein Compliance-Problem darstellen.

Die praktische Lösung: den anonymisierten Modus verwenden. Wenn Ihre Termine als "Doctolib-Termin" ohne Namen und Grund erscheinen, enthält Google Kalender keine Gesundheitsdaten mehr. Dies ist der Modus, den wir empfehlen und der in Docal.io standardmäßig aktiviert ist (siehe unseren vollständigen Leitfaden zur Synchronisierung).

Kalender mit der Assistenz teilen: Was ist zu beachten?

Wenn Sie Ihren Kalender (Google Kalender oder Doctolib) mit einer Assistenz teilen, stellen Sie sicher:

• Dass die Person zur Vertraulichkeit verpflichtet ist (Klausel im Arbeitsvertrag)
• Dass nur die notwendigen Informationen sichtbar sind (Datenminimierungsprinzip)
• Den anonymisierten Modus zu verwenden, wenn der Kalender mit praxisfremden Personen geteilt wird

Aufbewahrungsfrist für Termindaten

Termindaten müssen so lange aufbewahrt werden, wie es für ihren Zweck erforderlich ist. Für eine Arztpraxis beträgt die Aufbewahrungsfrist der Patientenakte in der Regel 10 Jahre nach dem letzten medizinischen Eingriff. Einfache Kalenderdaten (ohne medizinischen Inhalt) können eine kürzere Frist haben.

Ressourcen zur Sicherstellung der Compliance

• BfDI (Deutschland): Informationen und Leitfäden für Gesundheitsdienstleister (bfdi.bund.de)
• BSI: IT-Grundschutz-Kompendium für Gesundheitseinrichtungen
• Bundesärztekammer: Empfehlungen zur digitalen Gesundheit
• KBV: Richtlinien zur IT-Sicherheit in Arztpraxen

Fazit

Die DSGVO-Compliance für niedergelassene Ärzte ist kein unüberwindbares Hindernis, erfordert aber eine sorgfältige Organisation. Der Einsatz ist doppelt: Ihre Patienten zu schützen und sich selbst vor möglichen Haftungsansprüchen zu bewahren.

Bei Kalendersynchronisierungstools sollten Sie Lösungen wählen, die den Schutz von Gesundheitsdaten von Anfang an berücksichtigen - wie der anonymisierte Modus von Docal.io, der speziell für Heilberufler entwickelt wurde.