DSGVO in der Arztpraxis: Die 7 häufigsten Fehler

Kaum ein Bereich verarbeitet sensiblere Daten als eine Arztpraxis. Diagnosen, Befunde, Medikationen: Nach der DSGVO gehören Gesundheitsdaten zu den besonders geschützten Kategorien. Verstöße können Bußgelder nach sich ziehen. Schwerer wiegt oft der Vertrauensverlust bei Patienten.

Die meisten Verstöße passieren nicht aus bösem Willen, sondern aus Gewohnheit. Diese sieben Fehler begegnen uns in der Praxis am häufigsten.

Die 7 häufigsten Fehler

1. Unverschlüsselte E-Mails mit Befunden: Ein Arztbrief als normaler E-Mail-Anhang ist wie eine Postkarte. Für medizinische Inhalte gehören KIM oder andere verschlüsselte Wege genutzt.
2. Ungesperrte Bildschirme am Empfang: Der Monitor mit offener Patientenakte, einsehbar für jeden am Tresen. Automatische Bildschirmsperre und richtige Monitor-Ausrichtung lösen das.
3. Ein WLAN für alles: Patienten-WLAN und Praxisnetz gehören strikt getrennt. Ein gemeinsames Netz öffnet den Weg zu den Patientendaten.
4. Fehlende Verträge zur Auftragsverarbeitung: Jeder Dienstleister mit Zugriff auf personenbezogene Daten — IT-Betreuung, Aktenvernichtung, externes Labor-Portal — braucht einen AV-Vertrag nach Art. 28 DSGVO.
5. Alte Rechner und Festplatten ohne sichere Löschung entsorgt: Daten sind auch auf defekten Geräten rekonstruierbar. Datenträger gehören zertifiziert gelöscht oder vernichtet, mit Nachweis.
6. Private Geräte und Messenger im Praxisbetrieb: Patientenfotos auf dem Privathandy oder Absprachen über private Chat-Apps sind ein Datenschutz- und ein Haftungsproblem. Dienstliche Wege festlegen.
7. Kein Löschkonzept und keine Zugriffsregeln: Wer darf was sehen, wie lange wird was aufbewahrt, was wird wann gelöscht? Ohne dokumentierte Regeln lässt sich im Prüfungsfall nichts nachweisen.

Was im Ernstfall zählt

Kommt es trotz allem zu einer Datenpanne, läuft eine Frist: Meldepflichtige Vorfälle müssen innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde gemeldet werden. Wer vorbereitet ist, dokumentierte Abläufe hat und schnell reagiert, steht dabei deutlich besser da.

Ab einer bestimmten Praxisgröße ist zudem ein Datenschutzbeauftragter Pflicht, in der Regel ab 20 Personen, die ständig mit personenbezogenen Daten arbeiten. Auch kleinere Praxen profitieren von einer festen Ansprechperson für das Thema.

Technische Basismaßnahmen, die jede Praxis braucht

Unabhängig von der Praxisgröße gibt es einen technischen Grundstock, den die Aufsichtsbehörden und die IT-Sicherheitsrichtlinie nach § 75b SGB V voraussetzen. Dazu gehören getrennte Netze für Praxis und Patienten-WLAN, verschlüsselte Festplatten auf allen Geräten mit Patientendaten und individuelle Benutzerkonten statt eines Sammel-Logins für das ganze Team.

Dazu kommen automatische Bildschirmsperren, ein aktueller Virenschutz, zeitnah eingespielte Sicherheitsupdates und Backups nach der 3-2-1-Regel: drei Kopien, zwei Speichermedien, eine davon außer Haus. Und weil ein Backup nur so gut ist wie seine Wiederherstellung, gehört ein regelmäßiger Restore-Test dazu.

Nichts davon ist exotisch. Es ist solide IT-Grundhygiene, die ein spezialisierter Dienstleister im Rahmen der laufenden Betreuung einrichtet und überwacht.

So gehen Sie es pragmatisch an

DSGVO in der Praxis ist kein Papierprojekt, sondern zu achtzig Prozent solide IT: getrennte Netze, Verschlüsselung, Zugriffsrechte, sichere Löschung, geprüfte Backups. Der Rest ist Dokumentation und Gewohnheit im Team.

Unser Vorgehen: Erst ein ehrlicher Check, was heute wirklich gelebt wird. Dann die technischen Lücken schließen, danach die Abläufe dokumentieren. In dieser Reihenfolge wird aus der Pflicht ein belastbarer Schutz — für Ihre Patienten und für Ihre Praxis.