Datenschutz in der Praxis: Zwei Pflichten, die jede Praxis treffen — und zwei, die die meisten nicht treffen

Wer eine Praxis führt, bekommt zum Datenschutz viel Material, das alles gleich wichtig nimmt. Das hilft nicht bei der Frage, die man tatsächlich hat — was muss ich, und was nicht?

Vier Pflichten stehen im Raum. Zwei treffen jede Praxis. Zwei treffen die meisten nicht. Und die öffentliche Wahrnehmung hat es fast genau umgekehrt.

Das Verarbeitungsverzeichnis: die Pflicht, von der Sie sich nicht befreien können

Die bekannteste Erleichterung der Datenschutz-Grundverordnung ist die für kleine Organisationen: Artikel 30 Absatz 5 sieht für Unternehmen und Einrichtungen mit weniger als 250 Beschäftigten grundsätzlich eine Ausnahme von der Verzeichnispflicht vor. Viele Praxen halten sich deshalb für befreit.

Hier nicht. Die Ausnahme entfällt nämlich, sobald einer von drei Punkten zutrifft: wenn die Verarbeitung ein Risiko für die Rechte und Freiheiten der Betroffenen birgt, wenn sie nicht nur gelegentlich erfolgt — oder wenn besondere Kategorien personenbezogener Daten verarbeitet werden (Art. 30 Abs. 5 DSGVO). Gesundheitsdaten sind genau das — Art. 9 Abs. 1 nennt sie ausdrücklich.

Für Behandlungspraxen greifen jedenfalls zwei dieser Ausschlussgründe: Die Verarbeitung erfolgt nicht nur gelegentlich, und sie betrifft besondere Kategorien personenbezogener Daten. Schon jeder dieser beiden Gründe reicht für sich aus. Jede Praxis braucht ein Verarbeitungsverzeichnis, unabhängig von ihrer Größe.

Zu den Pflichtangaben nach Artikel 30 Absatz 1 gehören insbesondere: der Verantwortliche und seine Kontaktdaten, die Verarbeitungszwecke, die Kategorien betroffener Personen und der Daten, die Kategorien von Empfängern — sowie, als eigener Punkt, gegebenenfalls Übermittlungen an ein Drittland oder eine internationale Organisation. Dazu, soweit möglich, die vorgesehenen Löschfristen und eine allgemeine Beschreibung der technisch-organisatorischen Maßnahmen.

Der letzte Punkt ist der unterschätzte. Für die meisten Praxen ist das Verzeichnis der einzige Anlass, überhaupt einmal festzuhalten, was wann gelöscht wird. Wer es ernsthaft ausfüllt, hat nebenbei die Frage beantwortet, die sonst erst im Ernstfall auftaucht.

Und das ändert sich womöglich

Ein Hinweis, der bei diesem Thema mehr wiegt als die üblichen Vorbehalte: Zu Artikel 30 läuft ein Gesetzgebungsverfahren. Das Vereinfachungspaket „Omnibus IV" (Verfahren 2025/0130(COD)) sieht Erleichterungen für kleinere Organisationen vor und würde die Ausnahme des Absatzes 5 umgestalten — nach der im Juni 2026 erzielten vorläufigen Einigung unter anderem durch eine deutlich höhere Beschäftigtenschwelle und eine stärker risikobasierte Ausgestaltung der Verzeichnispflicht.

Geltendes Recht ist das nicht. Die erste Lesung des Europäischen Parlaments steht aus; als Plenartermin ist der 23. November 2026 vorgemerkt. Bis zum Inkrafttreten einer Änderungsverordnung gilt Artikel 30 unverändert.

Für die Praxis heißt das zweierlei. Erstens: Wer heute kein Verzeichnis hat, hat heute eine Lücke, und das Verfahren ändert daran nichts. Zweitens: Wer eines anlegt, sollte nicht davon ausgehen, dass die Anforderungen in zwei Jahren dieselben sind.

Es ist eine gewisse Ironie, dass ausgerechnet ein Beitrag über veraltete Merkblätter selbst schnell veralten kann. Deshalb steht das Stand-Datum oben.

Technisch-organisatorische Maßnahmen

Die zweite Pflicht, die jeden trifft: geeignete technische und organisatorische Maßnahmen, nach dem Stand der Technik und angemessen zum Risiko (Artikel 32 DSGVO).

Eine Liste steht hier bewusst nicht. Was angemessen ist, hängt vom Risiko ab, und eine Aufzählung im Fließtext wird als Prüfliste gelesen, die sie nicht ist. Der belastbare Satz lautet: Die Maßnahmen sind zu treffen — und das Verzeichnis enthält, soweit möglich, eine allgemeine Beschreibung von ihnen. Die Angaben im Verzeichnis ersetzen weder die tatsächliche Umsetzung der Maßnahmen noch den erforderlichen Nachweis, dass angemessene Maßnahmen getroffen wurden.

Brauchen Sie einen Datenschutzbeauftragten?

Hier wird es interessant, weil die verbreitete Antwort und die richtige auseinanderfallen.

Für Praxen sind vor allem drei Konstellationen relevant.

Die erste ist eine Zahl. Nach § 38 Abs. 1 Satz 1 BDSG ist ein Datenschutzbeauftragter zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Gezählt wird jede Person einschließlich des Verantwortlichen selbst — Voll- und Teilzeit, Auszubildende, Leiharbeitnehmer, freie Mitarbeiter. Ob jemand „ständig" damit beschäftigt ist, beurteilt sich nach der tatsächlichen Tätigkeit — Aufsichtsbehörden stellen dabei auf einen Schwerpunkt der Tätigkeit ab, konkretisieren das Merkmal aber nicht vollständig einheitlich. Wer ausschließlich mit Papierunterlagen arbeitet, zählt nach dieser Lesart nicht mit.

Die zweite ist ein Merkmal. Art. 37 Abs. 1 lit. c DSGVO verlangt einen Datenschutzbeauftragten, wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien besteht. Das klingt, als sei jede Praxis erfasst — Gesundheitsdaten sind schließlich ihr Kerngeschäft.

Für die Auslegung des Begriffs umfangreich gibt Erwägungsgrund 91 einen wichtigen Hinweis: Die Verarbeitung solle nicht als umfangreich gelten, wenn sie Patientendaten betrifft und durch einen einzelnen Arzt oder sonstigen Angehörigen eines Gesundheitsberufs erfolgt.

Und die Aufsicht geht weiter: Auch bei Berufsausübungsgemeinschaften, Gemeinschaftspraxen und Praxen, die weitere Angehörige eines Gesundheitsberufs beschäftigen, ist in der Regel nicht von einer umfangreichen Verarbeitung im Sinne des Art. 37 Abs. 1 lit. c auszugehen — bezeichnet als Konsens unter Verweis auf eine Entschließung der Datenschutzkonferenz.

Die dritte ist die Folgenabschätzung. Ist für eine Verarbeitung eine Datenschutz-Folgenabschätzung durchzuführen, muss unabhängig von der Personenzahl ein Datenschutzbeauftragter benannt werden (§ 38 Absatz 1 Satz 2 BDSG). Dazu unten mehr.

Für die meisten Praxen bleibt damit die erste Konstellation entscheidend: die Zahl.

Die Zahl, die im Umlauf ist, und die Zahl, die gilt

An dieser Stelle steckt eine Falle, und sie steckt ausgerechnet in einer Behördenquelle.

Eine ältere, weiterhin online abrufbare Auslegungshilfe eines Landesamts für Datenschutzaufsicht zu Datenschutzbeauftragten im medizinischen Bereich nennt noch zehn Personen als Schwelle. Sie ist sorgfältig gemacht, sie erklärt die Zählweise genauer als jede andere Quelle — und bei der Zahl ist sie überholt. Sie stammt aus der Zeit vor der Änderung des § 38 BDSG im November 2019, mit der die Schwelle von zehn auf zwanzig angehoben wurde.

Auf seinen aktuellen Seiten nennt dasselbe Landesamt die richtige Zahl. Wer aber die ältere Handreichung findet und ungeprüft übernimmt, kann zu dem falschen Schluss kommen, allein wegen der Personenzahl einen Datenschutzbeauftragten benennen zu müssen.

Daraus folgt kein Misstrauen gegen Aufsichtsbehörden, sondern eine banalere Regel: Bei Zahlen in Merkblättern zuerst auf das Datum schauen. Die Auslegung eines Begriffs veraltet langsam. Ein Schwellenwert veraltet an dem Tag, an dem der Gesetzgeber ihn ändert.

Datenschutz-Folgenabschätzung: meistens nein — aber mit Folge

Eine Datenschutz-Folgenabschätzung ist durchzuführen, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen mit sich bringt, etwa durch neue Technologien (Art. 35 DSGVO).

Der erste Schritt ist deshalb nicht die Folgenabschätzung, sondern die Vorprüfung: Jeder Verantwortliche muss beurteilen, ob die konkrete Verarbeitung ein solches Risiko erwarten lässt. Aus Gründen der Rechenschaftspflicht sollte diese Entscheidung nachvollziehbar dokumentiert werden. Bei der typischen Verarbeitung einer Einzel- oder kleinen Praxis ist eine Folgenabschätzung häufig nicht erforderlich; die Bewertung bleibt aber einzelfallbezogen. Bei neuen Funktionen — umfangreicher automatisierter Auswertung sehr sensibler Inhalte, Profiling, KI-gestützten Verfahren — kann sie anders ausgehen. Die Nutzung von Cloud-Software allein löst dagegen für sich genommen keine Folgenabschätzung aus.

Der Zusammenhang, den man kennen sollte: Wenn eine Folgenabschätzung erforderlich ist, muss unabhängig von der Personenzahl ein Datenschutzbeauftragter benannt werden (§ 38 Abs. 1 Satz 2 BDSG). Die beiden Fragen hängen also zusammen — wer die eine mit „ja" beantwortet, hat die andere mitbeantwortet.

Löschen, wenn man aufbewahren muss

Die häufigste Löschfrage in der Praxis entsteht aus einem scheinbaren Widerspruch: Der Patient verlangt Löschung, die Akte unterliegt aber der Aufbewahrungspflicht von grundsätzlich zehn Jahren nach Abschluss der Behandlung.

Der Widerspruch ist keiner. Das Recht auf Löschung gilt nicht, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist — und die gesetzliche Aufbewahrungspflicht nach § 630f Absatz 3 BGB ist eine solche (Art. 17 Abs. 3 lit. b DSGVO).

Was nach Ablauf der zehn Jahre gilt, ist die Frage, die dann tatsächlich beantwortet werden muss — und die Antwort lautet nicht automatisch „am nächsten Tag löschen". Zu prüfen ist, ob eine andere Aufbewahrungspflicht oder ein anderer zulässiger Speichergrund fortbesteht. Fehlt beides, greift der Grundsatz der Speicherbegrenzung. Diese Prüfung gehört in die Löschfristen des Verarbeitungsverzeichnisses — an die Stelle, an der man sie einmal klärt statt jedes Mal neu.

Wenn etwas passiert: 72 Stunden

Eine Verletzung des Schutzes personenbezogener Daten ist der Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden, nachdem sie bekannt wurde, zu melden — es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen (Artikel 33 DSGVO).

Und auch dann, wenn nicht gemeldet werden muss, gilt eine Pflicht: Die Verletzung ist zu dokumentieren — mit den damit zusammenhängenden Tatsachen, ihren Auswirkungen und den ergriffenen Abhilfemaßnahmen (Artikel 33 Absatz 5).

Die Frist ist knapp genug, dass die Entscheidung nicht im Ereignisfall zum ersten Mal getroffen werden sollte. Wer vorab festgelegt hat, wer im Ernstfall zuständig ist und welche Behörde zu informieren wäre, hat eine wichtige Voraussetzung dafür geschaffen, die kurze Frist einzuhalten. Die eigentliche Arbeit — Sachverhalt ermitteln, Risiko bewerten, eindämmen, dokumentieren — bleibt daneben bestehen.

Wo man anfängt

Wer das Verzeichnis noch nicht hat, beginnt nicht mit einer Vorlage aus dem Netz, sondern mit vier Fragen. Die Vorlage kommt danach — sie ist nur eine Tabelle.

Erstens: Was verarbeiten Sie überhaupt? Nicht abstrakt, sondern als Liste von Tätigkeiten: Terminvergabe, Behandlungsdokumentation, Abrechnung, Antragswesen, Berichte an Dritte, Website-Kontaktformular. Jede Tätigkeit ist eine Zeile.

Zweitens: Wer bekommt die Daten zu sehen? Praxispersonal, Abrechnungsstelle, Steuerberatung, Softwareanbieter, Krankenkasse, Gutachter. Auch das gehört ins Verzeichnis — und es ist die Stelle, an der auffällt, wenn bei einem Auftragsverarbeiter der erforderliche Vertrag nach Artikel 28 DSGVO fehlt. Nicht jeder Empfänger ist einer: Ein Cloud-Anbieter oder IT-Dienstleister kann Auftragsverarbeiter sein, eine Steuerberatung oder eine Krankenkasse regelmäßig nicht.

Drittens: Wann wird gelöscht? Je Tätigkeit eine Frist. Für die Behandlungsakte ist sie gesetzlich vorgegeben; bei den übrigen Tätigkeiten ist zu prüfen, ob gesetzliche Aufbewahrungsfristen bestehen — und wo nicht, wann die Daten für die verfolgten Zwecke nicht mehr benötigt werden und auch kein anderer zulässiger Speichergrund mehr besteht.

Viertens: Wie viele Personen sind es? Die Zählung nach § 38 BDSG ist in fünf Minuten erledigt und beantwortet die teuerste der vier Fragen.

Das Ergebnis ist kein Dokument für die Schublade. Es ist die Antwort, die man parat haben muss, wenn eine Aufsichtsbehörde fragt.

Was bleibt

Von den vier hier betrachteten Pflichten treffen nach geltendem Recht zwei praktisch jede Behandlungspraxis: das Verarbeitungsverzeichnis und die technisch-organisatorischen Maßnahmen. Weitere Datenschutzpflichten — Informationspflichten, Betroffenenrechte, Auftragsverarbeitung, Rechenschaftspflicht — bleiben davon unberührt.

Beides läuft im Praxisalltag leicht unter dem Radar — bis eine Prüfung oder ein Datenschutzvorfall zeigt, warum es zählt. Und es ist nicht beides Papier: Das Verzeichnis ist Dokumentation, die technisch-organisatorischen Maßnahmen sind tatsächlich umzusetzen.

Zwei weitere treffen die meisten Praxen nicht: die Benennung eines Datenschutzbeauftragten und die Folgenabschätzung.

Das ist keine Entwarnung, sondern eine Verschiebung. Der Aufwand liegt oft nicht dort, wo man ihn vermutet.

Zum Stand dieses Textes

Dieser Beitrag gibt den Stand vom 27. August 2026 wieder. Er bietet Orientierung, keine Rechtsberatung, und er beurteilt keinen Einzelfall — insbesondere nicht, ob Ihre Praxis einen Datenschutzbeauftragten benennen muss. Der Text nennt die Kriterien; die Zählung macht die Praxis selbst.

Und weil dieser Beitrag von einer veralteten Zahl handelt: Prüfen Sie auch bei diesem Text das Stand-Datum.

Hinweis in eigener Sache: Dieser Text stammt von Psymira, einem Anbieter von Dokumentationssoftware für psychotherapeutische Praxen. Für das Verzeichnis bleibt die Praxis als Verantwortlicher zuständig. Software, Beratung oder ein Datenschutzbeauftragter können bei Erstellung und Pflege unterstützen. Ein Anbieter sollte dafür belastbare Angaben zu Datenflüssen, Auftragsverarbeitung und Sicherheitsmaßnahmen bereitstellen — danach sollte man fragen.