Externer DSBfür Arztpraxen— bundesweit.

Inhalt in Kürze

• Arztpraxen, MVZ, Zahnarztpraxen und Heilberufe verarbeiten Gesundheitsdaten nach Art. 9 DSGVO — die sensibelste Kategorie personenbezogener Daten mit dem höchsten Bußgeldrisiko.
• Die ärztliche Schweigepflicht (§ 203 StGB) und die DSGVO gelten parallel — ein Datenleck kann strafrechtlich und datenschutzrechtlich gleichzeitig verfolgt werden.
• Bei umfangreicher Verarbeitung besonderer Kategorien ist ein Datenschutzbeauftragter Pflicht — unabhängig von der Mitarbeiterzahl. Praktisch ab 5 bis 10 MA greift die Pflicht für nahezu jede Praxis.
• frag.hugo betreut Arztpraxen, MVZ, Zahn-, Physio- und Heilpraktiker-Praxen sowie Apotheken bundesweit ab 79 €/Monat — TÜV-zertifiziert, vertraglich auf § 203 StGB verpflichtet.

Was übernimmt der externe Datenschutzbeauftragte für Ihre Praxis?

Ein externer Datenschutzbeauftragter für Arztpraxen ist mehr als ein juristischer Berater — er ist der zentrale Ansprechpartner für alle datenschutzrechtlichen Pflichten Ihrer Einrichtung. Bei frag.hugo verbinden wir die Rolle des externen DSB mit einer digitalen Plattform für Ihr komplettes Datenschutz-Management. Wir übernehmen die Aufgaben nach Art. 39 DSGVO und sorgen für die Einhaltung der Datenschutz-Grundverordnung, des Bundesdatenschutzgesetzes (BDSG), des Patientenrechtegesetzes und der branchenspezifischen Vorgaben (z. B. gematik, KBV, KZBV, Heilpraktikergesetz).

Konkret übernimmt der DSB für Ihre Praxis:

• Überwachung der DSGVO-Konformität in allen Praxisprozessen — Aufnahme, Behandlung, Abrechnung, Archivierung
• Beratung bei Datenschutz-Folgenabschätzungen (DSFA) für ePA, eRezept, eAU und Videosprechstunde
• Schulung Ihres Praxisteams — MFAs, ZFAs, Praxismanager, Ärzte — zu Schweigepflicht, sicherer Kommunikation und Datenpannen-Verhalten
• Ansprechpartner für betroffene Personen (Patienten, die ihre Rechte nach Art. 15–21 DSGVO ausüben) und für die zuständige Aufsichtsbehörde Ihres Bundeslandes
• Erstellung und Pflege aller datenschutzrelevanten Dokumente: Verarbeitungsverzeichnis (VVT), AVV, TOMs, Patienteninformation nach Art. 13 DSGVO, Einwilligungserklärungen, Löschkonzept
• Vertragliche § 203-StGB-Verpflichtung — der externe DSB ist „berufsmäßig tätiger Gehilfe” und damit selbst der ärztlichen Schweigepflicht unterworfen

Bei frag.hugo arbeiten wir mit zertifizierten Datenschutzexperten, die das Gesundheitswesen kennen — von der Einzelpraxis bis zum MVZ-Verbund mit fünf Standorten. Unsere Lösung verbindet juristisches Fachwissen mit technischer Expertise in der Informationssicherheit und einem klar geregelten Service-Level — vertraglich monatlich kündbar.

Patientendaten richtig schützen — Art. 9 DSGVO in der Praxis

Warum Gesundheitsdaten der schärfste Datenschutz-Fall sind

Patientendaten gehören zu den besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO — gemeinsam mit Daten zur ethnischen Herkunft, politischen Meinung, religiösen Überzeugung, Gewerkschaftszugehörigkeit, genetischen und biometrischen Daten sowie Sexualleben. Die Datenschutz-Grundverordnung legt für diese Kategorie ein grundsätzliches Verarbeitungsverbot fest. Es gibt nur eng definierte Ausnahmen, unter denen die Verarbeitung zulässig ist.

Für Arztpraxen relevant ist vor allem Art. 9 Abs. 2 lit. h DSGVO: Die Verarbeitung ist zulässig, wenn sie für Zwecke der Gesundheitsversorgung, der Arbeitsmedizin, der medizinischen Diagnostik, der Versorgung oder Behandlung erforderlich ist — und durch einen Berufsgeheimnisträger erfolgt, der dem Berufsgeheimnis nach nationalem Recht unterliegt. Für Sie als Praxis heißt das: Die normale Behandlung deckt Art. 9 Abs. 2 lit. h DSGVO ab — Sie brauchen keine separate Einwilligung. Sobald die Verarbeitung aber über die reine Behandlung hinausgeht (Marketing, Forschung, Befund-Übermittlung an externe Stellen, Veröffentlichung von Patientenfotos), benötigen Sie eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO.

§ 203 StGB — die strafrechtliche Schweigepflicht

Die DSGVO ist datenschutzrechtlich. § 203 StGB ist strafrechtlich. Beide gelten parallel und schützen Patientendaten aus unterschiedlichen Perspektiven. Wer als Arzt, Zahnarzt, Apotheker, Heilpraktiker, MFA oder berufsmäßig tätiger Gehilfe ein anvertrautes Geheimnis unbefugt offenbart, riskiert bis zu einem Jahr Freiheitsstrafe (§ 203 Abs. 1 StGB) — bei gewerbsmäßiger Tat bis zu zwei Jahren.

Wichtig: Bereits die Tatsache, dass jemand bei Ihnen Patient ist, fällt unter die Schweigepflicht. Ein vermeintlich harmloser Anruf eines „Familienangehörigen” („Ist mein Vater bei Ihnen in Behandlung?”) darf nicht bestätigt werden, ohne dass eine wirksame Schweigepflichtsentbindung vorliegt. Ein externer Datenschutzbeauftragter wird vertraglich auf § 203 StGB verpflichtet — bei frag.hugo ist diese Klausel Standard.

Bußgeld-Pattern Gesundheitssektor

Die deutschen Aufsichtsbehörden gehen den Gesundheitssektor strategisch an. Auswertungen der DSGVO-Bußgelder zeigen: Rund 30 % aller Bußgelder in Deutschland entfallen auf den Gesundheitssektor — vom Krankenhaus bis zur Einzelpraxis. Markante Fälle:

• AOK PLUS Sachsen und AOK Nordrhein wegen unzureichender Sicherung von Versichertendaten
• Universitätsklinikum Düsseldorf wegen einer Ransomware-Attacke mit Patientendaten-Leck
• Bayerische Klinik 2024 durch das BayLDA wegen Patientenakten, die auf einem Sperrmüllhaufen gefunden wurden
• Diverse Zahnarztpraxen wegen offener Patientenakten und ungesicherter Empfangsbereiche

Die Behörden prüfen auch ohne konkreten Anlass — der HmbBfDI, das BayLDA und der LfDI BW haben in den letzten Jahren turnusmäßige Praxisprüfungen durchgeführt. Wer zum Prüfzeitpunkt kein VVT, keine TOMs und keine DSFA vorweisen kann, riskiert sofort ein Bußgeld nach Art. 83 DSGVO.

TI-Anschluss, ePA und eRezept DSGVO-konform

Telematikinfrastruktur — gematik und Verantwortung

Die Telematikinfrastruktur (TI) ist seit 2019 für Vertragsärzte verpflichtend. Sie verbindet Praxen, Apotheken, Krankenhäuser und Krankenkassen über ein bundesweites, verschlüsseltes Netz der gematik. Technisch sicher konzipiert — datenschutzrechtlich verantworten Sie als Praxisinhaber dennoch die korrekte Konfiguration: Konnektor-Updates, eHBA- und SMC-B-Verwaltung, rollenbasierte Zugriffsrechte, Protokollierung aller Zugriffe.

Ein externer DSB prüft im Rahmen der DSFA Ihre TI-Anbindung und dokumentiert die Risikobewertung — wichtig bei jeder Aufsichtsprüfung.

Elektronische Patientenakte (ePA) — Opt-out seit 2025

Seit 2025 erhalten alle gesetzlich Versicherten automatisch eine ePA über ihre Krankenkasse — es sei denn, sie widersprechen (Opt-out-Modell). Für Praxen heißt das: Sie müssen die ePA befüllen können, wenn der Patient zustimmt, und Sie müssen die Einwilligung dokumentieren. Datenschutzrechtlich bringt die ePA neue Pflichten:

• Einwilligung prüfen — Vor dem Befüllen der ePA muss die Patientenzustimmung vorliegen
• Granulare Zugriffskontrolle — Nur medizinisch berechtigte Mitarbeiter dürfen auf gespeicherte Daten zugreifen, dokumentiert per Zugriffsprotokoll
• Widerrufsmöglichkeit — Patienten können jederzeit der weiteren Verarbeitung widersprechen und Daten aus der ePA entfernen lassen
• DSFA-Pflicht — Die Verarbeitung in der ePA ist nach Art. 35 DSGVO Datenschutz-Folgenabschätzungs-pflichtig

eRezept und eAU — neue digitale Schnittstellen

Das eRezept löst das Papierrezept schrittweise ab. Übertragung erfolgt über den Konnektor an den Rezept-Server der gematik, Patienten lösen es über die ePA-App oder die Versicherungskarte in der Apotheke ein. Datenschutzrechtlich relevant: Speicherort, Aufbewahrungsdauer, Übertragungsweg. Die eAU (elektronische Arbeitsunfähigkeitsbescheinigung) wird direkt an die Krankenkasse übermittelt — fertig nach KIM-Standard verschlüsselt. Sie müssen sicherstellen, dass keine ungewollten Empfänger einbezogen werden.

KV-Anbindung und Abrechnung

Die Kassenärztliche Vereinigung (KV) des Bundeslandes ist Empfänger Ihrer Quartalsabrechnungen. Die Übermittlung erfolgt verschlüsselt über die TI oder über das KV-eigene KVSafenet. Datenschutzrechtlich: Hier liegt eine Übermittlung nach Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Verpflichtung aus dem SGB V) vor — keine Einwilligung erforderlich, aber strenges Datenminimierungsprinzip (nur die für die Abrechnung notwendigen Daten dürfen übermittelt werden).

Branchen-Sub-Cluster — welche Praxisform sind Sie?

Nicht jede Praxis ist gleich. Wir betreuen alle Heilberufe und passen die DSGVO-Architektur an Ihre Struktur an:

• Einzelpraxen — Hausarzt, Facharzt, Allgemeinmediziner mit 2–5 MA. Pragmatischer Datenschutz ohne Overkill — Lite-Tarif reicht meist aus.
• Gemeinschaftspraxen / Berufsausübungsgemeinschaften (BAG) — Mehrere Ärzte, gemeinsame PVS-Nutzung, geteilte Patientenakten. Klare Regelung der gemeinsamen Verantwortlichkeit nach Art. 26 DSGVO erforderlich.
• MVZ (Medizinische Versorgungszentren) — Konzernstruktur (oft GmbH), mehrere Standorte, zentrale IT. Komplexere DSGVO-Lage durch standortübergreifende Verfahren. Pro- oder Premium-Tarif empfohlen.
• Zahnarztpraxen — KZV-Anbindung statt KV, digitales Röntgen, intraorale Scanner mit Cloud-Anbindung, KFO mit Modellscans. Eigenes AVV-Pattern.
• Physiotherapie / Ergotherapie / Logopädie — Heilmittelerbringer ohne TI-Anschluss, aber mit Schweigepflicht und Befund-Dokumentation. Eigene Verordnungs-Verarbeitung.
• Heilpraktiker — Schweigepflicht gilt analog (§ 203 StGB), aber kein KV-/KZV-System, oft Bargeldabrechnung. Pragmatische Mini-Lösung möglich.
• Apotheken — Berufsgeheimnis nach Apothekenbetriebsordnung, eRezept-Empfang, Botendienste, Datenminimierung bei OTC-Verkauf. KIM-Anschluss verpflichtend.
• Kliniken — Eigene Größenklasse, fast immer DSB-Pflicht, eigene IT-Sicherheits-Anforderungen aus KRITIS und NIS2. Hierzu separates Pro- oder Premium-Setup, oft mit ergänzendem Hugo Shield für NIS2-Lieferanten-Compliance.

Hugo Learn Praxis-Paket — Schulungen für MFA und Team

Schulung ist nach Art. 39 Abs. 1 lit. b DSGVO eine Pflichtaufgabe des Datenschutzbeauftragten. In der Praxis heißt das: Jeder MFA, jede ZFA, jeder Praxismanager und jeder Arzt sollte mindestens einmal jährlich datenschutzrechtlich geschult werden. Auf Papier ist das schnell gesagt, in der Realität scheitert es meist am Aufwand: Kein Termin, kein Trainer, keine Dokumentation des Schulungsnachweises.

Bei frag.hugo läuft die Schulung über Hugo Learn:

• Microlearning-Module à 10 Minuten — passen in jede Pause, kein Schulungstag-Aufwand
• Praxisrelevante Inhalte — Schweigepflicht § 203 StGB, Patientenrechte (DSAR), Datenpannen-Verhalten, sichere E-Mail-Kommunikation, Phishing-Erkennung, Passwort-Hygiene
• Phishing-Simulation — Wir senden Ihrem Team kontrollierte Phishing-Mails (medizinischer Kontext: gefälschte KV-Mail, Pharmavertreter-Phishing). Wer klickt, landet in einem Aufklärungs-Modul
• Zertifikats-Nachweis für die Personalakte — wichtiger Beleg bei Aufsichtsprüfungen
• Nachweis der DSGVO-Schulungspflicht für die KZV-/KV-Audits und QM-Zertifizierungen (z. B. QEP, ISO 9001)

Im Pro- und Premium-Tarif ist Hugo Learn enthalten. Im Standard-Tarif sind die Basis-Schulungsmodule inkludiert, Phishing-Simulation kann zugebucht werden.

Was kostet ein externer DSB für die Praxis?

Die Kosten für einen externen DSB richten sich nach Praxisgröße, Komplexität und Beratungsumfang. Bei frag.hugo starten Sie ab 79 €/Monat (948 €/Jahr) im Lite-Tarif für Einzelpraxen mit Self-Service-Plattform. Der Standard-Tarif mit 12 Stunden persönlicher DSB-Beratung pro Jahr und vollständiger DSFA-Vorlage liegt bei 149 €/Monat. Pro (299 €/Monat) ist für MVZ und größere Praxen mit komplexer TI-Anbindung gedacht, Premium (499 €/Monat) für MVZ-Verbünde und Mehrstandort-Strukturen mit 4-Stunden-SLA und Vor-Ort-Terminen.

Ein interner DSB kostet eine Praxis durchschnittlich ca. 25.000 €/Jahr — Gehaltsanteil einer Vollzeitkraft mit DSB-Schulung, regelmäßige Fortbildungen, Vertretungskosten. Sie sparen mit uns also bis zu 96 % — bei höherer Qualität und Verfügbarkeit durch ein ganzes Team von Datenschutzexperten. Praktisch wichtig für Praxen: Da Praxisinhaber, IT-Verantwortliche und QM-Beauftragte aufgrund von Interessenkonflikten nach Art. 38 Abs. 6 DSGVO oft gar nicht zum internen DSB bestellt werden dürfen, scheidet die interne Lösung für die meisten Praxen ohnehin aus.

Alle Features und Preise von Hugo DSB ansehen →

So starten Sie mit Ihrem externen DSB

1. Erstgespräch (kostenlos) — 15 Minuten mit Nils Oehmichen. Wir klären Praxistyp, Mitarbeiterzahl, PVS und Ihren konkreten Bedarf.
2. Praxis-Audit — Wir erfassen alle Datenverarbeitungen Ihrer Praxis: Aufnahme, Behandlung, Abrechnung, ePA, KIM, KV-Anbindung, externe Dienstleister.
3. Onboarding & Dokumentation — Plattform-Zugang, VVT, AVV-Vorlagen für Ihre Software, TOMs, Patienteninformation nach Art. 13 DSGVO, Einwilligungserklärungen, Löschkonzept — innerhalb von 2 Wochen.
4. Offizielle Benennung & DSFA — Wir melden uns als externer DSB bei der zuständigen Aufsichtsbehörde Ihres Bundeslandes. DSFA für ePA, eRezept, eAU und ggf. Videosprechstunde erstellen wir parallel.
5. MFA- und Team-Schulung — Hugo Learn rollt aus, Phishing-Simulation startet, Zertifikate werden in der Personalakte abgelegt.
6. Laufende Betreuung — Datenpannen-Hotline, Behördenkommunikation, jährliche Schweigepflicht-Belehrung, Updates zu TI- und ePA-Neuerungen.

Sie haben Post von der Aufsichtsbehörde erhalten, eine Patientenbeschwerde liegt vor oder Sie müssen eine Datenpanne melden? Unsere Datenschutzexperten reagieren binnen 24 Stunden — im Premium-Tarif sogar innerhalb von 4 Stunden, auch außerhalb der Geschäftszeiten.

Praxen und MVZ in den großen Uniklinik-Städten betreuen wir auch standortbezogen — die Aufsichtsbehörden vor Ort haben unterschiedliche Prüfungsschwerpunkte: Im Charité-Umfeld ist der externe Datenschutzbeauftragte für Berlin der natürliche Einstieg, im Münsteraner Uniklinikum-Cluster unser DSB für Münster (UKM, Provinzial-Versicherer mit Gesundheitsdaten-Schnittstelle), und für Robert-Bosch-Krankenhaus / Stuttgart-21-Gesundheitscluster der Datenschutzbeauftragte für Stuttgart.

Testen Sie zuerst Ihre Praxis-Website

Bevor wir tiefer einsteigen: Mit dem Hugo Check prüfen Sie Ihre Praxis-Website in 60 Sekunden auf 29 DSGVO-Punkte — kostenlos, ohne Anmeldung. Sie sehen sofort, ob Cookie-Banner, Tracking, Newsletter-Anmeldung und Kontaktformular DSGVO-konform laufen. Anschließend vereinbaren Sie ein Erstgespräch mit Nils Oehmichen — bundesweit per Video oder vor Ort.

→ Alle Leistungen im Überblick | Kontakt | Über uns