Datenschutz Zahnarztpraxis: DSGVO-Pflichten und Checkliste

Inhalt in Kürze

• Patientendaten in der Zahnarztpraxis sind Gesundheitsdaten nach Art. 9 DSGVO – also besonders geschützte Daten mit strengeren Anforderungen als bei normalen Kundendaten.
• Röntgenbilder unterliegen einer 10-jährigen Aufbewahrungsfrist nach dem Strahlenschutzgesetz (bei Minderjährigen bis zum 28. Lebensjahr), die übrige Patientenakte 10 Jahre nach § 630f BGB.
• Ein Datenschutzbeauftragter ist ab 20 Personen Pflicht (§ 38 BDSG) – bei besonders riskanten Verarbeitungen kann die Pflicht aber auch früher greifen.
• Schweigepflicht und DSGVO gelten parallel: Beides muss erfüllt werden, beim Versand von Befunden und Röntgenbildern ebenso wie bei der Praxisverwaltungssoftware.

Eine Zahnarztpraxis sammelt von jedem Patienten einen kompletten Gesundheitsverlauf: Befunde, Röntgenbilder, Behandlungspläne, oft auch Allgemeinerkrankungen und Medikamentenlisten. Das sind die sensibelsten Daten überhaupt – und genau deshalb schauen Aufsichtsbehörden bei Praxen besonders genau hin. Wir zeigen, welche Datenschutzpflichten konkret gelten und wo der Alltag stolpert.

Warum Zahnarztpraxen besonders streng reguliert sind

Daten über die Gesundheit eines Menschen gehören nach Art. 9 DSGVO zu den besonderen Kategorien personenbezogener Daten. Für sie gilt grundsätzlich ein Verarbeitungsverbot mit Erlaubnisvorbehalt – verarbeiten dürfen Sie sie nur unter engen Voraussetzungen, etwa zur medizinischen Behandlung im Rahmen des Behandlungsvertrags.

Das hebt die Anforderungen über das normale KMU-Niveau. Eine Zahnarztpraxis verarbeitet quasi ausschließlich Hochrisikodaten. Die in der DSGVO vorgesehenen Erleichterungen für kleine Betriebe greifen deshalb in der Regel nicht. Viele Grundregeln gelten branchenübergreifend im Gesundheitswesen – einen breiteren Überblick gibt unser Beitrag zum Datenschutz in der Arztpraxis.

Aufbewahrungsfristen: 10 Jahre, beim Röntgen 30 Jahre

Datenschutz heißt nicht nur „löschen”, sondern auch „so lange aufbewahren wie vorgeschrieben”. In der Praxis kollidieren hier zwei Logiken, und das sauber zu trennen ist Pflicht.

Nach Ablauf der Frist müssen die Daten gelöscht werden – das ist nicht optional. Ein Aktenkeller, in dem alles „sicherheitshalber” für immer liegen bleibt, ist selbst ein Datenschutzverstoß.

Für jeden ist Datenschutz wichtig. Und für uns ist es wichtig, eine pragmatische Lösung zu finden, wie Unternehmen ihren Datenschutz umsetzen – ohne dabei den Geschäftsbetrieb einzustellen.

Nils OehmichenDatenschutzberater bei frag.hugo

Röntgenbilder und Befunde sicher versenden

Der häufigste Schwachpunkt in Praxen ist der Versand. Röntgenbilder und Befundberichte an Kollegen, Kieferorthopäden oder Labore gehen oft per E-Mail raus – unverschlüsselt. Das ist bei Gesundheitsdaten heikel.

Die Landeszahnärztekammern weisen seit Jahren darauf hin, dass beim Versand von Patientendaten entweder eine ausdrückliche Einwilligung des Patienten oder ein gesicherter Übertragungsweg nötig ist. Praktisch bedeutet das: verschlüsselter E-Mail-Versand, sichere Portale oder physische Übergabe – nicht der schnelle Anhang ans normale Postfach.

• Verschlüsselung beim Versand. Befunde und Röntgenbilder nur über gesicherte Wege, etwa Ende-zu-Ende-Verschlüsselung oder ein geschütztes Patientenportal.
• Einwilligung dokumentieren. Soll an Dritte (Labor, Kollege) übermittelt werden, braucht es eine nachweisbare Grundlage.
• Empfänger prüfen. Eine falsche Faxnummer oder E-Mail ist die typische Datenpanne – ein Vier-Augen-Prinzip bei sensiblen Versendungen hilft.
• Praxisverwaltungssoftware absichern. Zugriffsrechte nach Rolle, Bildschirmsperre, getrennte Benutzerkonten – kein gemeinsamer Sammel-Login.

Auftragsverarbeitung: Wer sieht Ihre Patientendaten?

Die wenigsten Praxen verarbeiten alles selbst. Praxisverwaltungssoftware, Abrechnungsdienstleister, IT-Wartung, Cloud-Backup – sie alle berühren Patientendaten. Mit diesen Dienstleistern brauchen Sie einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO – außer mit einem Abrechnungsdienstleister, der Ihre Forderungen ankauft (Factoring): Er ist selbst Verantwortlicher.

Besonders wichtig: Bei externer Wartung der Praxis-IT sehen Techniker potenziell Gesundheitsdaten. Ohne AVV und ohne dokumentierte Verschwiegenheitsverpflichtung ist das ein Verstoß. Wie ein sauberer AVV aussieht, lesen Sie in unserem Leitfaden zum Auftragsverarbeitungsvertrag.

Aus der Praxis: Die Datenpanne im Wartezimmer

Datenschutz scheitert selten an Hochtechnik – meist an Kleinigkeiten. Der Monitor an der Rezeption, auf dem die nächste Patientenakte offen liegt und vom Wartezimmer aus mitgelesen werden kann. Das Namensschild-Aufrufsystem, das Diagnosen verrät. Der Karton mit Altakten neben dem Hintereingang.

Solche organisatorischen Lücken sind genau die Punkte, die bei einer Prüfung auffallen – und die sich ohne große Investition beheben lassen. Datenschutz in der Praxis ist zu 80 Prozent Organisation und nur zu 20 Prozent Technik.

Ihr nächster Schritt

Eine Praxis kann sich nicht jeden Tag um Paragrafen kümmern – sie behandelt Patienten. Wir übernehmen den Datenschutz als externer Datenschutzbeauftragter, von der Verschwiegenheitsverpflichtung des Teams bis zum verschlüsselten Befundversand, und halten alles prüfungsfest. Wie die laufende Betreuung digital funktioniert, zeigt unsere Plattform Hugo DSB.

Häufige Fragen (FAQ)

Sind Patientendaten in der Zahnarztpraxis besonders geschützt?

Ja. Gesundheitsdaten fallen unter Art. 9 DSGVO und gehören zu den besonderen Kategorien personenbezogener Daten. Für sie gilt ein grundsätzliches Verarbeitungsverbot mit Erlaubnisvorbehalt – verarbeitet werden dürfen sie nur im Rahmen des Behandlungsvertrags oder mit Einwilligung.

Wie lange müssen Röntgenbilder aufbewahrt werden?

Röntgenaufzeichnungen sind nach dem Strahlenschutzgesetz (§ 85 Abs. 2 StrlSchG) 10 Jahre aufzubewahren, bei Minderjährigen bis zum 28. Lebensjahr. Die übrige Patientenakte ist nach § 630f BGB 10 Jahre nach Behandlungsende aufzubewahren.

Braucht eine Zahnarztpraxis einen Datenschutzbeauftragten?

Ein DSB ist nach § 38 BDSG ab 20 Personen Pflicht, die ständig automatisiert Daten verarbeiten. Wegen der Verarbeitung sensibler Gesundheitsdaten ist ein DSB in der Praxis aber auch unterhalb dieser Schwelle oft sinnvoll.

Dürfen Röntgenbilder per E-Mail versendet werden?

Nur über einen gesicherten Weg. Unverschlüsselter E-Mail-Versand von Befunden und Röntgenbildern ist bei Gesundheitsdaten riskant. Nötig sind Verschlüsselung oder ein sicheres Portal sowie eine dokumentierte Rechtsgrundlage für die Übermittlung an Dritte.

Brauche ich einen AVV mit meiner Praxisverwaltungssoftware?

Ja. Mit jedem Dienstleister, der Patientendaten in Ihrem Auftrag verarbeitet – Software-Anbieter, Abrechnungsdienst ohne Forderungsankauf, IT-Wartung, Backup – ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erforderlich.

Was passiert bei einer Datenpanne mit Patientendaten?

Eine meldepflichtige Datenpanne muss binnen 72 Stunden der zuständigen Aufsichtsbehörde gemeldet werden (Art. 33 DSGVO), bei hohem Risiko zusätzlich den Betroffenen. Bei Gesundheitsdaten ist die Schwelle für „hohes Risiko” schnell erreicht.