Datenschutz im Gesundheitswesen: So führst du deine Therapiepraxis rechtssicher

Der Datenschutz im Gesundheitswesen ist kein statisches Konstrukt, sondern eine dynamische Pflicht, die jede moderne Praxis für Physiotherapie, Ergotherapie & Logopädie betrifft. Da sich Gesetze, Urteile und Anpassungen im medizinischen Bereich laufend ändern, herrscht bei vielen Therapeuten eine spürbare Rechtsunsicherheit. In dieser exklusiven Masterclass zeigt dir Rechtsexperte Markus Sobau, wie du die strengen behördlichen Auflagen der DSGVO und des BDSG effizient erfüllst und deine Praxis vor teuren Beschwerden schützt. Erfahre im Detail, wo die rechtlichen Pflichten liegen, wie du das gesamte Team einbindest und wie du durch strukturierte Prozesse maximale Rechtssicherheit für dich und deine Patienten erlangst.

• Dauer: Ca. 20 Minuten
• Umfang: 3 Lektionen 
• Zielgruppe: Praxisinhaber:innen, Therapeut:innen, Empfangskräfte und fachliche Leitungen der Heilmittelbranche

Der Datenschutz in der Praxis duldet keine Lücken, da Gesundheitsdaten laut Art. 9 DSGVO einer besonderen Kategorie unterliegen und deren Verarbeitung grundsätzlich untersagt ist, es sei denn, es liegt eine ausdrückliche, schriftliche Einwilligung des Patienten vor. Werden diese sensiblen Daten unbefugt an Dritte weitergegeben, drohen nicht nur zivilrechtliche Schadensersatzforderungen. Gemäß § 42 BDSG stellt die gewerbsmäßige, unberechtigte Weitergabe nicht allgemein zugänglicher Daten eine Straftat dar, die mit Geld- oder Freiheitsstrafen geahndet werden kann. Um sich rechtlich abzusichern, muss jede therapeutische Einrichtung zwingend über folgende Pflichtdokumente verfügen:

• Verzeichnis der Verarbeitungstätigkeiten (VVT): Eine detaillierte Dokumentation aller Datenströme (beim Patienten in der Regel zwischen 50 und 70 Vorgänge wie Karteneinlesen, Terminvergabe oder Dokumentation).
• Technische und organisatorische Maßnahmen (TOM): Nachweisbare Schutzvorkehrungen wie Passwortsperren, Bildschirmreinigung oder verschlossene Aktenschränke.
• Auftragsverarbeitungsverträge (AVV): Die rechtliche "Brandschutzwand" zu externen Dienstleistern, um die Haftung bei Fehlern Dritter auszuschließen.
• Patienteninformationen & Schulungsnachweise: Schriftliche Nachweise über die datenschutzkonforme Aufklärung der Patienten sowie Protokolle über die regelmäßige Unterweisung der eigenen Mitarbeiter.

Ein moderner Datenschutz für Physiotherapie, Ergotherapie & Logopädie muss auch digitale Kommunikationswege abdecken. Seit dem EU-US Data Privacy Framework ist die Nutzung von Messenger-Diensten wie WhatsApp, Signal oder Telegram unter strengen Auflagen legal, sofern die Anbieter zertifiziert sind und der Patient vorab eine spezifische, schriftliche Einverständniserklärung unterzeichnet hat. Für den unverschlüsselten E-Mail-Versand sensibler Therapieberichte gilt Ähnliches: Grundsätzlich müssen Dokumente per Passwort-PDF oder S/MIME verschlüsselt werden, es sei denn, es liegt eine explizite Einwilligung des Patienten vor (analog zum OLG Düsseldorf Urteil).

Auch bei der Durchführung einer Online-Videotherapie gelten strikte Regeln. Für eine erfolgreiche und anerkannte Behandlung müssen folgende Voraussetzungen erfüllt sein:

1. Die ausdrückliche Einwilligung des Patienten (bei Minderjährigen zwingend durch die Erziehungsberechtigten).
2. Ein angemessener, ruhiger Raum in der Praxis sowie das passende technische Equipment (Nutzung von Fördermitteln und Hardware-Zuschüssen von bis zu 950 €/Jahr möglich).
3. Der exklusive Einsatz von zertifizierten und geprüften Videodienstanbietern laut der offiziellen KBV-Liste – die Nutzung privater Handys oder gängiger Consumer-Tools wie Skype oder FaceTime ist unzulässig und kann zum Verlust des Vergütungsanspruchs führen.

Der Datenschutz im Gesundheitswesen räumt Patienten umfassende Kontrollrechte ein, die im Praxisalltag hochprofessionell bedient werden müssen. Nach Art. 15 DSGVO hat jeder Patient ein Auskunftsrecht über seine gespeicherten Daten, die Verarbeitungszwecke und die Speicherdauer. Bei einer solchen Anfrage sollten Praxisinhaber die Akte niemals sofort unvorbereitet aushändigen, sondern Kopien anfertigen und gegebenenfalls kritische Fremddaten schwärzen. Das in Art. 17 DSGVO verankerte "Recht auf Vergessenwerden" (Löschung von Daten) greift im Gesundheitswesen zudem nur teilweise: Gesetzliche Aufbewahrungsfristen (z. B. 10 Jahre für steuerlich relevante Belege) stehen einer vollständigen Löschung der Behandlungsdokumentation entgegen – rein kommunikative Daten wie E-Mail-Adressen oder Telefonnummern müssen hingegen auf Wunsch entfernt werden.

Besondere Vorsicht gilt bei spezifischen Patientengruppen:

• Minderjährige: Datenschutz- und Behandlungsverträge müssen immer von den Erziehungsberechtigten unterschrieben werden. Bild- und Videoaufnahmen von Kindern zu Diagnosezwecken sind hochsensibel und bedürfen einer klaren schriftlichen Autorisierung.
• Patienten unter Betreuung: Hier muss der Betreuer unter Vorlage der Betreuungsvollmacht (Kopie für die Akte) die separate Einwilligung unterzeichnen.
• Heimbewohner: Bei der stationären Behandlung in Pflegeheimen ist die Praxis oft entlastet, da die datenschutzrechtliche Entbindung von der Schweigepflicht meist direkt über den Heim- und Pflegevertrag abgedeckt ist.

Ein lückenloser Datenschutz auf der Website ist für jede Praxis essenziell, da die Homepage die digitale Visitenkarte im Netz darstellt und im Fokus von Abmahnanwälten, Mitbewerbern und Behörden steht. Acht von zehn Webseiten weisen gravierende Mängel auf, für die der Praxisbetreiber uneingeschränkt haftet. Zu den häufigsten Fehlern gehören unzulässige Cookie-Banner, die durch manipulative Farbgebungen (Dark Patterns) keine echte, aktive Einwilligung einholen. Auch die Einbindung von Social-Media-Plugins wie den Facebook- "Like & Share"-Buttons verstößt gegen deutsches Recht, da diese bereits beim Betreten der Seite unbemerkt Daten übertragen.

Achte bei der Optimierung deiner Website penibel auf die Einhaltung der gesetzlichen Vorgaben, um Abmahnungen und Bußgelder effektiv zu vermeiden:

Rechtssicheres Impressum und transparente Datenschutzerklärung

Das Impressum muss mit maximal einem Klick erreichbar sein, separat von der Datenschutzerklärung stehen und den ausgeschriebenen Klarnamen, die exakte Berufsbezeichnung, zwei Kontaktwege sowie Pflichtangaben zur Berufshaftpflichtversicherung enthalten. Zudem muss das Impressum an aktuelle Gesetzesänderungen angepasst werden: Das alte Telemediengesetz (TMG) wurde durch das Digitale-Dienste-Gesetz (DDG) ersetzt.

Die Datenschutzerklärung muss als "Master-Dokument" fungieren, auf das du auch aus Social-Media-Profilen oder Bewerber-E-Mails verlinken kannst. Sie muss detaillierte Informationen über Cookie-Laufzeiten, Löschfristen, die Verarbeitung von Bewerberdaten (Sperrfrist maximal 6 Monate), den Umgang mit Daten Minderjähriger sowie eine gesetzlich vorgeschriebene Beschwerdeinformation inklusive Kontaktdaten der zuständigen Datenschutzbehörde enthalten.