DSGVO-Checkliste für Arztpraxen 2026

Gesundheitsdaten gehören zu den am strengsten geschützten Daten überhaupt. Diese Checkliste führt Sie durch die sieben Punkte, die jede Arztpraxis 2026 erfüllen sollte — von der Dokumentation bis zur Datenpanne.

Warum Praxen besonders gefordert sind

Die DSGVO stuft Gesundheitsdaten als besondere Kategorie personenbezogener Daten ein (Art. 9 DSGVO). Für sie gelten strengere Regeln als für gewöhnliche Kontaktdaten. Eine Praxis verarbeitet solche Daten an jedem Arbeitsplatz, jeden Tag — entsprechend genau schauen Aufsichtsbehörden hin.

Die gute Nachricht: Datenschutz in der Praxis ist vor allem eine Frage von Struktur und Dokumentation. Wer die folgenden sieben Punkte sauber aufstellt, hat den Großteil erledigt.

Die DSGVO-Checkliste in 7 Schritten

1. Verzeichnis von Verarbeitungstätigkeiten

Das Verarbeitungsverzeichnis (Art. 30 DSGVO) listet auf, welche Daten Sie zu welchem Zweck verarbeiten — Patientenverwaltung, Abrechnung, Terminbuchung. Es ist die Grundlage von allem und bei einer Prüfung das Erste, wonach gefragt wird.

2. Technische und organisatorische Maßnahmen (TOMs)

Dokumentieren Sie, wie Sie Daten konkret schützen: Verschlüsselung, Zugriffsrechte, Bildschirmsperren, Backups und Zutrittsregeln zu Server und Aktenraum.

3. Auftragsverarbeitungsverträge (AVV)

Für jeden Dienstleister, der mit Praxisdaten in Berührung kommt — IT-Betreuung, Cloud, Abrechnungsstelle — brauchen Sie einen AVV nach Art. 28 DSGVO.

4. Datenschutzbeauftragter

Ab 20 ständig mit automatisierter Datenverarbeitung beschäftigten Personen ist ein Datenschutzbeauftragter Pflicht. Wegen der sensiblen Daten ist die Bestellung oft auch in kleineren Praxen ratsam.

5. Informationspflichten und Patientenrechte

Patientinnen und Patienten müssen wissen, wie ihre Daten verarbeitet werden (Datenschutzerklärung im Wartezimmer und auf der Website). Auskunfts-, Lösch- und Berichtigungsanfragen müssen Sie fristgerecht beantworten können.

6. Sichere Technik und Backups

Aktueller Virenschutz, verschlüsselte Geräte, getestete Backups — Datenschutz und IT-Sicherheit lassen sich nicht trennen. Dieser Punkt überschneidet sich direkt mit der KBV IT-Sicherheitsrichtlinie.

7. Sichere Entsorgung von Altgeräten

Ausrangierte Rechner und Festplatten enthalten oft noch Patientendaten. Sie müssen nachweislich gelöscht werden — siehe unsere zertifizierte Datenlöschung.

Der Ernstfall: Was bei einer Datenpanne gilt

Trotz aller Vorsorge kann etwas passieren — ein verlorenes Notebook, ein Verschlüsselungstrojaner, eine Fehl-E-Mail. Dann zählt Tempo: Eine meldepflichtige Datenpanne müssen Sie innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde melden. Besteht ein hohes Risiko für die Betroffenen, müssen auch die Patientinnen und Patienten informiert werden.

Deshalb gehört zu jeder DSGVO-Strategie ein einfacher Notfallplan: Wer wird informiert? Wer dokumentiert den Vorfall? Wer meldet? Wenn diese Fragen vorab geklärt sind, verlieren Sie im Ernstfall keine wertvolle Zeit.

Datenschutz ist kein Ordner, der einmal befüllt im Regal steht — er lebt von Aktualität.

Viele dieser Punkte — Backups, Verschlüsselung, Geräteentsorgung, AVV — decken wir in unseren IT-Paketen für Arztpraxen ab und halten sie laufend aktuell. So bleibt der Datenschutz nicht an einzelnen To-do-Listen hängen.

Häufige Fragen

Braucht jede Arztpraxis einen Datenschutzbeauftragten?

In der Regel ja, sobald mindestens 20 Personen ständig mit der automatisierten Datenverarbeitung beschäftigt sind. Wegen der Gesundheitsdaten ist eine Bestellung aber auch bei kleineren Praxen oft sinnvoll.

Wie schnell muss ich eine Datenpanne melden?

Innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde. Bei hohem Risiko müssen zusätzlich die betroffenen Patientinnen und Patienten informiert werden.

Was sind TOMs?

Technische und organisatorische Maßnahmen — alle konkreten Vorkehrungen zum Schutz der Daten wie Verschlüsselung, Zugriffskonzepte, Backups und Zutrittsregeln. Sie müssen dokumentiert und aktuell gehalten werden.