Schweigepflicht und Cloud: Was Psychotherapeuten dürfen — und was sie dafür tun müssen

Vor jeder Entscheidung für eine Praxissoftware steht dieselbe Frage, und sie steht meist unausgesprochen im Raum: Darf ich das überhaupt? Patientendaten in einem System, das jemand anderes betreibt, auf Servern, die mir nicht gehören, gewartet von Menschen, die ich nie treffen werde — verträgt sich das mit der Schweigepflicht?

Die kurze Antwort aus Sicht der strafrechtlichen Schweigepflicht lautet: grundsätzlich ja. § 203 StGB erlaubt seit November 2017 ausdrücklich, erforderliche Geheimnisse auch mitwirkenden externen Dienstleistern zugänglich zu machen. Damit sind Datenschutzrecht, Berufsrecht und — für Vertragspsychotherapeuten — das Sozialrecht allerdings noch nicht beantwortet. Die längere Antwort ist die wichtigere, denn der Gesetzgeber hat nicht nur etwas erlaubt. Er hat dem Behandler im selben Zug eine Pflicht auferlegt, deren Missachtung unter den Voraussetzungen des § 203 Absatz 4 strafbar werden kann — und diese Hälfte kommt in der Diskussion seltener vor.

Was die Schweigepflicht verbietet

§ 203 Absatz 1 des Strafgesetzbuchs stellt es unter Strafe, ein fremdes Geheimnis unbefugt zu offenbaren, das einem als Angehörigem eines Heilberufs anvertraut wurde. Der Strafrahmen reicht bis zu einem Jahr Freiheitsstrafe oder Geldstrafe; wer gegen Entgelt oder in der Absicht handelt, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, riskiert bis zu zwei Jahre. Die Pflicht endet nicht mit der Behandlung und auch nicht mit dem Leben des Patienten — sie gilt über den Tod hinaus.

Entscheidend ist der Begriff des Offenbarens. Er meint nicht nur das Erzählen. Auch wer Daten für einen anderen zugänglich macht, kann offenbaren — und genau daran hing die Unsicherheit, die vor 2017 jede Auslagerung an einen IT-Dienstleister begleitete. Wer die Wartung seines Praxissystems an ein Unternehmen gab, bewegte sich in einer rechtlich unsicheren und umstrittenen Lage — die der Gesetzgeber 2017 ausdrücklich klären wollte.

Warum externe Dienstleister zulässig sind

Das Gesetz kennt zwei Wege aus dieser Lage, und sie sind verschieden.

Der erste ist alt: Wer Geheimnisse den bei ihm berufsmäßig tätigen Gehilfen zugänglich macht oder Personen, die bei ihm zur Vorbereitung auf den Beruf tätig sind, offenbart schon im Rechtssinne nicht (§ 203 Absatz 3 Satz 1). Die eigene Praxisangestellte fällt typischerweise darunter; externe Anbieter sind dagegen regelmäßig sonstige mitwirkende Personen im Sinne des Satzes 2.

Der zweite Weg ist der neue und für die Softwarefrage der maßgebliche. § 203 Absatz 3 Satz 2 erlaubt es, fremde Geheimnisse gegenüber sonstigen Personen zu offenbaren, die an der beruflichen Tätigkeit mitwirken — soweit dies für die Inanspruchnahme ihrer Tätigkeit erforderlich ist. Diese „mitwirkenden Personen" sind die Kategorie, unter die Softwareanbieter, Rechenzentrumsbetreiber und IT-Dienstleister fallen.

Eingeführt hat das ein Gesetz mit sperrigem Namen: das Gesetz zur Neuregelung des Schutzes von Geheimnissen bei der Mitwirkung Dritter an der Berufsausübung schweigepflichtiger Personen vom 30. Oktober 2017, verkündet im Bundesgesetzblatt I 2017 Nr. 71, Seite 3618, in Kraft seit dem 9. November 2017. Wer auf ältere Ratgebertexte stößt, die zu einem strengeren Ergebnis kommen, hat es in aller Regel mit der Rechtslage vor diesem Datum zu tun.

Zwei Grenzen gelten trotzdem. Erstens ist die Erlaubnis an die Erforderlichkeit gebunden. Sie deckt, was der Dienstleister für seine Tätigkeit braucht — sie ist kein Freibrief, ihm vorsorglich alles zu geben. Zweitens erstreckt sie sich auf die Unterbeauftragung: Zieht die mitwirkende Person ihrerseits weitere Personen hinzu, dürfen auch diesen die erforderlichen Geheimnisse offenbart werden.

Was „erforderlich" in der Praxis bedeutet

Der Erforderlichkeitsvorbehalt wird leicht überlesen, dabei ist er der Hebel, an dem eine Praxis tatsächlich etwas verändern kann. Die Erlaubnis aus § 203 Absatz 3 Satz 2 ist keine pauschale Freigabe für alles, was im System liegt. Sie deckt, was der Dienstleister für seine Leistung braucht — und das ist bei näherem Hinsehen oft weniger, als man annimmt.

Daraus folgt eine Frage, die in Anbietergesprächen selten gestellt wird. Sie lautet nicht nur: Welchem Anbieter vertraue ich? Sie lautet auch: Was bekommt er überhaupt zu sehen?

Zwischen beiden Fragen liegt ein erheblicher Unterschied. Wo Klarnamen die Praxis gar nicht erst verlassen, wo identifizierende Angaben vor der Übermittlung ersetzt werden, wo ein Dienstleister nur mit dem arbeitet, was er für seine konkrete Aufgabe benötigt, verkleinert sich der Bereich dessen, was offenbart wird. Das macht die rechtliche Prüfung nicht überflüssig — aber es verkleinert das, was geprüft werden muss.

Für das Gespräch mit einem Anbieter heißt das: auch nach dem Umfang der Daten fragen, nicht nur nach dem Verarbeitungsort. Beide Fragen zählen, und sie zählen auf verschiedenen Ebenen — der Verarbeitungsort ist datenschutzrechtlich relevant und für Vertragspsychotherapeuten, wie der spätere Abschnitt zeigt, zusätzlich unmittelbar sozialrechtlich beschränkt. Der Umfang dagegen ist die Frage, die das Strafrecht stellt. Sie wird seltener gestellt.

Was der Behandler dafür tun muss

Hier liegt der Teil, der in Verkaufsgesprächen fast nie vorkommt.

Die Neuregelung hat die mitwirkenden Personen in die Strafbarkeit einbezogen: Wer als Dienstleister ein so erlangtes Geheimnis unbefugt offenbart, macht sich selbst strafbar (§ 203 Absatz 4 Satz 1). Das ist die eine Seite.

Die andere Seite betrifft den Behandler. § 203 Absatz 4 Satz 2 Nummer 1 bestraft denjenigen, der nicht dafür Sorge getragen hat, dass eine mitwirkende Person zur Geheimhaltung verpflichtet wurde — bezogen auf eine mitwirkende Person, die anschließend unbefugt ein ihr bekannt gewordenes Geheimnis offenbart. Nummer 2 regelt den entsprechenden Fall, wenn die mitwirkende Person weitere Personen hinzuzieht.

Genauer: Strafbar nach dieser Vorschrift wird das Versäumnis erst, wenn die nicht verpflichtete Person tatsächlich unbefugt ein Geheimnis offenbart. Vertrags-, berufs- und datenschutzrechtlich kann eine fehlende Verpflichtung davon unabhängig Probleme machen. Für die Praxis heißt das: Tritt der Fall ein, ist es kein Missgeschick des Dienstleisters allein, sondern eine Frage, die auch an Sie gestellt wird. Wer die Verpflichtung vorher erledigt hat, steht in genau diesem Moment anders da.

Das verschiebt die Frage vor dem Vertragsschluss. Sie lautet nicht mehr nur „darf ich einen Anbieter einsetzen", sondern „habe ich ihn ordentlich verpflichtet".

Bemerkenswert ist, was nicht im Strafrecht steht. Die sorgfältige Auswahl des Dienstleisters und seine laufende Überwachung standen noch im Referentenentwurf, sind aber nicht Gesetz geworden. Daraus folgt allerdings nicht, dass die Auswahl rechtlich gleichgültig wäre — im Gegenteil: Nach Artikel 28 Absatz 1 DSGVO darf ein Verantwortlicher nur Auftragsverarbeiter einsetzen, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Und für Rechtsanwälte ist die sorgfältige Auswahl in § 43e Absatz 2 der Bundesrechtsanwaltsordnung sogar ausdrücklich berufsrechtlich geregelt. Ob für Psychotherapeuten Entsprechendes gilt, richtet sich nach der Berufsordnung der jeweiligen Kammer.

Kurz: Die Auswahl ist nicht strafbewehrt. Rechtlich unerheblich ist sie deshalb nicht.

Drei Regelwerke, die gern verwechselt werden

„Wir haben einen Auftragsverarbeitungsvertrag, also passt das" — dieser Satz fällt oft, und er greift zu kurz. Drei Ebenen mit drei verschiedenen Zwecken liegen übereinander.

Das Strafrecht schützt das Geheimnis und richtet sich an den Behandler persönlich. Es fragt nach der Geheimhaltungsverpflichtung der mitwirkenden Person.

Das Datenschutzrecht richtet sich an den Verantwortlichen. Ist der Dienstleister Auftragsverarbeiter — bei Hosting- und Cloud-Diensten typischerweise der Fall —, verlangt es einen Auftragsverarbeitungsvertrag. Artikel 28 der Datenschutz-Grundverordnung gibt dessen Mindestinhalt vor. Darin steht auch eine Vertraulichkeitsklausel: Nach Artikel 28 Absatz 3 Satz 2 Buchstabe b muss der Vertrag vorsehen, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Unterbeauftragung regelt Absatz 2: Sie setzt die Genehmigung des Verantwortlichen voraus.

Das Berufsrecht ist die dritte Ebene — und die einzige, die nicht bundeseinheitlich ist. Maßgeblich ist die Berufsordnung der Kammer, der Sie angehören; die Muster-Berufsordnung der Bundespsychotherapeutenkammer ist eine Vorlage und kein unmittelbar geltendes Berufsrecht. Die Berufsordnungen verlangen typischerweise, Mitarbeiter über die Schweigepflicht zu belehren und die Belehrung schriftlich festzuhalten. Wortlaut und Reichweite unterscheiden sich zwischen den Ländern.

Der Punkt, an dem es unbequem wird: Ob die Vertraulichkeitsklausel eines Auftragsverarbeitungsvertrags nach Artikel 28 Absatz 3 Buchstabe b bereits der strafrechtlichen Pflicht aus § 203 Absatz 4 Satz 2 Nummer 1 genügt — oder ob es daneben eine gesonderte Verpflichtungserklärung braucht —, ist nicht abschließend geklärt. Auch spezialisierte Fachliteratur äußert sich dazu zurückhaltend. Entscheidend ist dabei der Inhalt der vertraglichen Verpflichtung, nicht ihre äußere Form: Eine passend ausgestaltete Regelung im Vertrag kann beides abdecken; ein gesondertes Dokument mit eigener Überschrift ist gesetzlich nicht vorgeschrieben. Wer sichergehen will, lässt sich die Geheimhaltungsverpflichtung ausdrücklich und mit Bezug auf die strafrechtliche Pflicht bestätigen — und achtet darauf, dass sie bis zu Personal und Unterauftragnehmern durchgereicht wird.

Und der Patient?

Eine Frage, die sich sofort anschließt: Braucht es für den Einsatz eines Dienstleisters eine Einwilligung oder eine Schweigepflichtentbindung?

Für die Einschaltung eines Auftragsverarbeiters als solche grundsätzlich nicht. Vorausgesetzt ist allerdings dreierlei: dass die zugrunde liegende Verarbeitung ihrerseits rechtmäßig ist, dass die Offenbarung nach § 203 Absatz 3 Satz 2 erforderlich bleibt und dass die Anforderungen an die Auftragsverarbeitung eingehalten werden. Artikel 28 DSGVO ist nämlich keine Rechtsgrundlage für die Verarbeitung — er regelt nur, unter welchen Bedingungen ein Auftragsverarbeiter eingebunden werden darf.

Was bleibt, ist die Informationspflicht: Patienten sind transparent über die Empfänger beziehungsweise die Empfängerkategorien ihrer Daten und über den Einsatz von Auftragsverarbeitern zu informieren.

Davon zu trennen ist die einzelne Verarbeitung. Ob für eine bestimmte Funktion — etwa eine Terminerinnerung per Nachricht — eine Einwilligung nötig ist, richtet sich nach dieser Funktion, nicht nach der Frage, wer den Dienst betreibt.

Und für Kassenpraxen eine vierte Ebene

Wer an der vertragsärztlichen Versorgung teilnimmt, muss beim Einsatz eines Cloud-Computing-Dienstes zusätzlich § 393 SGB V beachten. Diese Vorschrift stellt von allen genannten die konkretesten Anforderungen: einen zulässigen Verarbeitungsort, eine Niederlassung der datenverarbeitenden Stelle im Inland, technisch-organisatorische Maßnahmen — und einen Sicherheitsnachweis der verarbeitenden Stelle.

Besonders daran ist: § 393 verlangt neben dem Sicherheitsnachweis der verarbeitenden Stelle auch die Umsetzung von Anforderungen auf Kundenseite. Ein vorhandenes Testat allein genügt daher nicht.

Weil dazu inzwischen mehr zu sagen ist, als in diesen Beitrag passt — insbesondere zu den seit 2025 zugelassenen gleichwertigen Nachweisen und zu den Pflichten, die beim Kunden liegen —, behandeln wir § 393 SGB V in einem eigenen Beitrag.

Für diesen Text genügt die Einordnung: Die Frage nach dem Verarbeitungsort ist für Vertragspsychotherapeuten nicht nur datenschutzrechtlich relevant, sondern durch § 393 SGB V unmittelbar sozialrechtlich beschränkt — und sie meint mehr als den Standort der Server.

Was das praktisch bedeutet

Eine Handreichung für das Gespräch mit einem Anbieter — keine abschließende Prüfliste, sondern die Fragen, die sich aus dem Vorstehenden ergeben:

1. Ist vertraglich festgehalten, dass der Anbieter und die bei ihm tätigen Personen zur Geheimhaltung verpflichtet sind?
2. Erfasst diese Verpflichtung ausdrücklich auch den Schutz der Berufsgeheimnisse — sei es im Auftragsverarbeitungsvertrag oder in einer gesonderten Vereinbarung?
3. Gibt es einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO?
4. Sind die Unterauftragnehmer benannt, und ist geregelt, dass auch sie verpflichtet werden?
5. Werden nur die Daten übermittelt, die der Anbieter für seine Leistung tatsächlich braucht?
6. Ist die Belehrung der eigenen Mitarbeiter schriftlich dokumentiert?
7. Wo wird verarbeitet — und wo sitzen die Unterauftragnehmer?
8. Sagt die Berufsordnung meiner Kammer etwas, das über das Vorstehende hinausgeht?

Der achte Punkt lässt sich nicht allgemein beantworten, und das ist keine Ausflucht: Verbindlich ist die Berufsordnung Ihrer zuständigen Landespsychotherapeutenkammer, nicht die Muster-Berufsordnung.

Wer an der vertragsärztlichen Versorgung teilnimmt, hat darüber hinaus die Anforderungen des § 393 SGB V zu beachten — dazu der eigene Beitrag.

Zum Stand dieses Textes

Dieser Beitrag gibt den Stand vom 27. August 2026 wieder. Er bietet Orientierung, keine Rechtsberatung, und er bewertet keinen Einzelfall. Maßgeblich ist die jeweils geltende Fassung der genannten Vorschriften sowie die Berufsordnung Ihrer Kammer. Bei konkreten Fragen — insbesondere zur Ausgestaltung von Verträgen — ist rechtlicher Rat einzuholen.

Hinweis in eigener Sache: Dieser Text stammt von Psymira, einem Anbieter von Dokumentationssoftware für psychotherapeutische Praxen. Wir haben ihn geschrieben, weil uns die Frage regelmäßig gestellt wird. Er beschreibt Pflichten, die den Behandler treffen — kein Anbieter kann sie ihm abnehmen. Eine Software kann die Einhaltung von § 203 technisch und vertraglich unterstützen — garantieren kann sie sie nicht, weil die Vorschrift an Personen und deren Verhalten anknüpft, nicht an ein Produkt.