Zurück zum Blog

    Datenschutz in der Arztpraxis: DSGVO-Pflichten für Ordination und Team

    Mitarbeiter bestätigt Vertraulichkeitserklärung in der Praxis

    In einer österreichischen Arztpraxis gilt die DSGVO zusammen mit dem Datenschutzgesetz und der ärztlichen Verschwiegenheitspflicht nach dem Ärztegesetz. Für den Alltag heißt das: Patientendaten dürfen ohne Einwilligung verarbeitet werden, soweit Behandlung und Dokumentationspflicht es verlangen. Die Ordination muss aber ein Verzeichnis der Verarbeitungstätigkeiten führen, Zugriffe auf das Nötige beschränken, das ganze Team nachweislich zur Verschwiegenheit verpflichten und Daten sicher übermitteln. Hier erfährst du, was das konkret für Ärztinnen, Ärzte und Ordinationspersonal bedeutet, von der Anmeldung bis zur Praxis-Website.

    Medi-class
    medi-class.at
    Mit Fachwissen sicher in der Ordination starten
    MediClass bietet eine staatlich anerkannte Online-Ausbildung zur Ordinationsassistenz mit persönlicher 1:1-Betreuung und praktischen Elementen.
    Ausbildung entdecken

    Kurz gesagt

    • Keine Einwilligung für die Behandlung nötig: Patientendaten werden meist zur Erfüllung des Behandlungsvertrags und der Dokumentationspflicht verarbeitet. Für Terminerinnerungen per SMS oder E-Mail braucht es dagegen eine schriftliche Einwilligung.
    • Dokumentieren ist Pflicht: Verzeichnis von Verarbeitungstätigkeiten, technische und organisatorische Maßnahmen, Auftragsverarbeiterverträge. Die Patientendokumentation wird mindestens zehn Jahre aufbewahrt.
    • Das Team trägt Datenschutz mit: Jede Mitarbeiterin und jeder Mitarbeiter wird nachweislich über die Verschwiegenheitspflicht belehrt, arbeitet mit eigenem Login und gibt Daten nur auf Anordnung der Ärztin oder des Arztes weiter.
    • Keine Befunde per unverschlüsselter E-Mail, keine sensiblen Auskünfte am Telefon ohne vereinbartes Passwort.
    • Verstöße kosten Geld: Die Datenschutzbehörde hat bereits Strafen gegen Verantwortliche im Gesundheitsbereich verhängt, auch gegen einzelne Ärzte.

    Inhaltsverzeichnis

    Welche Regeln für Patientendaten gelten

    Seit dem 25. Mai 2018 ist die Datenschutz-Grundverordnung in Österreich unmittelbar anwendbar, das Datenschutzgesetz (DSG) ergänzt sie. Für Ordinationen kommen zwei weitere Regelwerke dazu: das Ärztegesetz 1998 mit der Verschwiegenheits- und Dokumentationspflicht sowie das Gesundheitstelematikgesetz, das die elektronische Übermittlung von Gesundheitsdaten regelt.

    Gesundheitsdaten zählen zu den „besonderen Kategorien“ personenbezogener Daten. Die WKO beschreibt den Ansatz der DSGVO als risikobasiert: Je höher das Risiko für die Betroffenen, desto strenger die Schutzmaßnahmen. Bei Gesundheitsdaten ist dieses Risiko besonders hoch, deshalb empfiehlt sie strengere Sicherheitsmaßnahmen für Gesundheitsdaten, etwa Verschlüsselung, Zugriffskontrollen, regelmäßige Datensicherungen, Schulungen des Personals und einen Notfallplan für Datenpannen.

    Rechtsgrundlage: Wann braucht es eine Einwilligung?

    Die gute Nachricht für den Praxisalltag: Laut Ärztekammer Wien zum Datenschutz in Ordinationen werden Patientendaten in den meisten Fällen zur Erfüllung des Behandlungsvertrags oder der gesetzlichen Dokumentationspflicht verarbeitet. Eine eigene Einwilligung der Patientinnen und Patienten ist dafür nicht erforderlich.

    Anders sieht es bei allem aus, was über die Behandlung hinausgeht. Terminerinnerungen per E-Mail, SMS, Fax oder Anruf benötigen nach derselben Quelle vorab eine schriftliche Einwilligung, die jederzeit widerrufen werden kann. In der Praxis lohnt es sich daher, diese Einwilligung gleich beim Anmeldebogen mitzuerfassen.

    Wer verantwortlich ist

    Verantwortlich für die korrekte Verarbeitung ist immer die behandelnde Ärztin oder der behandelnde Arzt. Führen mehrere Ärztinnen und Ärzte gemeinsam eine Ordination, sind sie in der Regel gemeinsam verantwortlich und haften auch gemeinsam. Das Ordinationsteam handelt im Auftrag dieser Verantwortlichen, und genau deshalb braucht es klare Anweisungen, wer was sehen und weitergeben darf.

    Datenminimierung als Grundprinzip

    Die Österreichische Ärztekammer stellt in ihrer DSGVO-Checkliste für Ordinationen die Datenminimierung in den Mittelpunkt: Es dürfen nur so viele Daten verarbeitet werden, wie für den jeweiligen Zweck notwendig sind. Das gilt unabhängig davon, ob die Kartei elektronisch oder auf Papier geführt wird. Fragt der Anmeldebogen etwa nach Arbeitgeber oder Familienstand, sollte klar sein, wofür diese Angabe gebraucht wird.

    Welche Dokumentation die Ordination braucht

    Die DSGVO verlangt, dass du als Ordination nachweisen kannst, wie und warum personenbezogene Daten verarbeitet werden. Die Checkliste der Ärztekammer nennt dafür mehrere Bausteine:

    Dokument Was hineingehört Hinweis
    Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) Zwecke, Datenkategorien, Empfänger, Löschfristen, z. B. Patientenverwaltung, Honorarabrechnung, Lohnverrechnung Muster stellen die Ärztekammern bereit
    Technische und organisatorische Maßnahmen (TOM) Logins, Passwörter, Zutrittsregeln, Datensicherung, Virenschutz Regelmäßig aktualisieren
    Auftragsverarbeiterverträge Verträge mit EDV-Betreuung, Software-Anbieter, Steuerberatung, Labor-Schnittstellen Für jeden externen Dienstleister mit Datenzugriff
    Verpflichtungserklärungen des Personals Verschwiegenheit und Datengeheimnis Nachweislich unterschrieben
    Prozess für Betroffenenrechte Auskunft, Einsicht, Kopie, Berichtigung Wer bearbeitet Anfragen, in welcher Frist
    Datenschutzerklärung / Informationsblatt Information der Patientinnen und Patienten Aushang in der Ordination, auf der Website

    Aufbewahrung und Löschung

    Nach § 51 Abs. 3 Ärztegesetz sind Aufzeichnungen und sonstige Unterlagen der Dokumentation mindestens zehn Jahre aufzubewahren. Für andere Daten gibt es keine pauschale Frist: Laut WKO hängt die zulässige Speicherdauer vom konkreten Zweck und von allfälligen gesetzlichen Aufbewahrungspflichten ab. Fällt der Zweck weg, sind die Daten zu löschen. Für Lohnunterlagen des Personals gelten etwa wieder eigene Fristen.

    Einsicht und Kopie für Patientinnen und Patienten

    Patientinnen und Patienten haben das Recht, in ihre Dokumentation Einsicht zu nehmen oder gegen Kostenersatz Abschriften zu erhalten. Wichtig für die Anmeldung: Die erste Kopie der ärztlichen Dokumentation ist kostenfrei. Wer am Empfang solche Anfragen entgegennimmt, sollte die Identität der anfragenden Person prüfen und die Anfrage an die verantwortliche Ärztin oder den Arzt weiterleiten.

    Datenschutzbeauftragter und Folgenabschätzung

    Einzelne niedergelassene Ärztinnen und Ärzte brauchen grundsätzlich keinen Datenschutzbeauftragten. Bei ärztlicher Zusammenarbeit, etwa in Gruppenpraxen oder Primärversorgungseinheiten, empfiehlt die Österreichische Ärztekammer ab durchschnittlich mehr als 5.000 verschiedenen Patientinnen und Patienten pro Jahr die Bestellung eines Datenschutzbeauftragten und eine Datenschutz-Folgenabschätzung. Gezählt werden dabei tatsächlich verschiedene Personen, nicht Kassen- oder Krankheitsfälle. Für Einzelordinationen bestehen Ausnahmen von der Folgenabschätzung bei Patientenverwaltung und Honorarabrechnung.

    Datenschutz im Ordinationsteam: Was Mitarbeiterinnen und Mitarbeiter beachten

    Datenschutz entscheidet sich selten im Serverraum, sondern am Empfang, am Telefon und beim Versand von Befunden. Deshalb betrifft die DSGVO in der Arztpraxis die Mitarbeiterinnen und Mitarbeiter ganz direkt.

    Belehrung und Verpflichtungserklärung

    Nach der Qualitätssicherungsverordnung müssen Mitarbeiterinnen und Mitarbeiter nachweislich über ihre Verschwiegenheitspflicht nach § 54 ÄrzteG informiert werden. Auch ein beauftragtes EDV-Unternehmen, das mit personenbezogenen Daten in Berührung kommt, muss die Einhaltung der DSGVO nachweislich bestätigen. Neben der berufsrechtlichen Verschwiegenheit gilt das Datengeheimnis nach dem DSG. Ist beides nicht schon im Dienstvertrag oder Kollektivvertrag geregelt, unterschreiben neue Teammitglieder eine Erklärung, für die die Ärztekammer Wien eine Muster-Verpflichtungserklärung zum Datengeheimnis bereitstellt. Das gilt auch für Praktikantinnen und Praktikanten, ein Punkt, den du im Praktikumsvertrag in der Arztpraxis gleich mitregeln kannst.

    Zugriff: so viel wie nötig, so wenig wie möglich

    Das Ordinationshandbuch der Ärztekammer Wien zu Datenschutz und IT-Sicherheit empfiehlt, Zutritt und Zugriffsrechte klar zu regeln, jedem Teammitglied einen persönlichen Login zu geben und nur die Zugriffe zu erlauben, die für die jeweilige Aufgabe erforderlich sind. Für die Verantwortlichen soll jederzeit nachvollziehbar sein, wer welche Daten gelesen, geschrieben oder geändert hat. Ein gemeinsames Passwort für alle am Empfang ist damit nicht vereinbar.

    Am Empfang und im Wartezimmer

    Die Ärztekammer Oberösterreich zum Datenschutz in der Ordination nennt ganz praktische Punkte:

    • Papierkarteien müssen versperrbar sein.
    • Beim Verlassen des Anmeldebereichs darauf achten, dass niemand aus dem Wartezimmer Einblick in Unterlagen bekommt.
    • Den PC sperren, auch bei einer kurzen Abwesenheit.
    • Eigene Logins und Passwörter für elektronische Karteien verwenden.

    Zwei einfache Gewohnheiten ergänzen das: Bildschirme so aufstellen, dass Wartende nicht mitlesen, und Gespräche über Diagnosen oder Befunde an der Anmeldung knapp halten oder in einen ruhigen Raum verlegen.

    Am Telefon

    Telefonische Auskünfte über Gesundheitsdaten sind heikel, weil die Identität am anderen Ende meist nicht sicher feststeht. Die Ärztekammer Wien empfiehlt, vorab mit der Patientin oder dem Patienten ein telefonisches Passwort zu vereinbaren und dieses abzufragen. Passt die Stimme nicht zur Person, etwa eine Männerstimme bei einer Patientin, wird nichts Vertrauliches mitgeteilt, außer es wurde vorher so festgehalten. Angehörige erhalten ohne Vollmacht keine Auskunft.

    Befunde weitergeben

    Mitarbeiterinnen und Mitarbeiter dürfen Daten nur auf ausdrückliche Anordnung der Ärztin oder des Arztes weitergeben. Befunde gehen per Post oder über abgesicherte Befundübertragungssysteme wie DaMe oder MedicalNet hinaus. Eine normale E-Mail ist nicht erlaubt, solange sie nicht verschlüsselt oder elektronisch signiert ist. Fax ist nach dem Gesundheitstelematikgesetz nur noch ausnahmsweise unter bestimmten Voraussetzungen zulässig. Holt jemand Befunde oder Rezepte für eine andere Person ab, braucht es eine schriftliche Vollmacht.

    ELGA: nur mit Behandlungsbezug

    Der Zugriff auf die elektronische Gesundheitsakte ist nur im Rahmen einer Behandlung erlaubt. Wie ernst die Datenschutzbehörde das nimmt, zeigt ein Fall aus 2025: Ein Arzt griff zwölfmal ohne Behandlungskontext auf die ELGA-Akte einer ehemaligen Ordinationsassistentin zu und wurde zu einer Geldstrafe von 1.000 Euro verurteilt. Neugier, auch bei Bekannten oder Kolleginnen, ist kein Behandlungszweck.

    Datenpanne: Was im Ernstfall zu tun ist

    Ein verlorener USB-Stick, ein Befund an die falsche Adresse oder ein Virenbefall des Praxis-PCs: Eine Datenschutzverletzung muss laut WKO unverzüglich und möglichst binnen 72 Stunden an die Datenschutzbehörde gemeldet werden, nachdem sie bekannt wurde. Bei hohem Risiko für die Betroffenen sind auch diese selbst zu informieren.

    Für das Team bedeutet das einen einfachen Ablauf:

    1. Sofort melden: Wer eine Panne bemerkt, informiert umgehend die verantwortliche Ärztin oder den Arzt, auch am Freitagnachmittag.
    2. Schaden begrenzen: Falsch versandte Unterlagen zurückfordern, betroffene Zugänge sperren, die EDV-Betreuung einschalten.
    3. Dokumentieren: Was ist passiert, wann, welche Daten, wie viele Personen?
    4. Meldung prüfen: Die Verantwortlichen entscheiden, ob und wie an die Datenschutzbehörde gemeldet wird.

    Hängt dieser Ablauf als kurze Anleitung im Team-Ordner, verliert im Ernstfall niemand Zeit.

    Welche Strafen bei Verstößen drohen

    Art. 83 DSGVO sieht bei Verstößen gegen Verarbeitungsgrundsätze oder Betroffenenrechte Geldbußen bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor. Zuständig ist in Österreich die Datenschutzbehörde, die Geldbußen gegen natürliche und juristische Personen verhängen kann.

    Dass dies auch den Gesundheitsbereich trifft, zeigt ein Fall aus 2019: Die Datenschutzbehörde verhängte gegen einen Verantwortlichen im medizinischen Sektor eine Geldbuße von 55.000 Euro, weil weder ein Datenschutzbeauftragter bestellt noch eine Datenschutz-Folgenabschätzung durchgeführt worden war. Dazu kommen mögliche Schadenersatzforderungen und berufsrechtliche Folgen bei Verletzung der Verschwiegenheit.

    Datenschutz auf der Praxis-Website

    Die Website einer Ordination braucht ein Impressum nach Mediengesetz und E-Commerce-Gesetz sowie eine eigene Datenschutzerklärung. Nach § 165 TKG 2021 müssen Nutzerinnen und Nutzer erfahren, welche Daten erhoben werden, auf welcher Rechtsgrundlage und wofür. Ein bloßer Hinweis im Impressum reicht dafür laut WKO-Leitfaden zum korrekten Website-Impressum nicht aus.

    Datenschutz auf der Praxis-Website

    Ein allgemeingültiges Muster gibt es nicht. Die Ärztekammer Wien rät, die Website gemeinsam mit dem Webdesign durchzugehen: Gibt es ein Kontaktformular, eine Online-Terminbuchung, Analyse-Tools, eingebettete Karten oder Videos? Auf dieser Basis entsteht eine passende Datenschutzerklärung. Fragen Patientinnen und Patienten über ein Kontaktformular nach Befunden, gilt dasselbe wie am Telefon: Gesundheitsdaten nur über sichere Wege.

    Unsere Sicht: Datenschutz beginnt mit gut ausgebildetem Personal

    In vielen Ordinationen liegt die Datenschutzdokumentation ordentlich im Ordner, und trotzdem passieren die Fehler am Empfang: ein Befund an die falsche E-Mail-Adresse, eine Auskunft am Telefon an die falsche Person, ein offener Bildschirm neben dem Wartebereich. Die DSGVO wird im Alltag von den Menschen umgesetzt, die Patientendaten täglich anlegen, ablegen und weitergeben.

    Deshalb gehört Datenschutz für uns fest in die Ausbildung von Ordinationspersonal. Unsere Kurse sind von Ärztinnen und Ärzten entwickelt, die wissen, wo im Praxisalltag die Stolpersteine liegen. Wer Verschwiegenheitspflicht, Dokumentation und sichere Kommunikation von Beginn an lernt, arbeitet sicherer und entlastet die Ärztin oder den Arzt spürbar.

    Mit unserer 1:1-Betreuung können Fragen zu konkreten Situationen direkt geklärt werden, etwa wie man auf eine telefonische Befundanfrage reagiert oder was bei einer Einsichtsanfrage zu tun ist. So wird Datenschutz nicht zur Pflichtübung, sondern zur Routine.

    Amir

    Mit Fachwissen in die Ordination starten

    Wenn du in einer Arztpraxis arbeiten möchtest, ist sicherer Umgang mit Patientendaten eine der wichtigsten Kompetenzen. In unserer Ausbildung zur Medizinischen Verwaltungsassistenz lernst du komplett online und ohne Vorkenntnisse, wie Verwaltung, Dokumentation und Kommunikation in der Ordination funktionieren, mit persönlicher 1:1-Betreuung und einem staatlich anerkannten Abschluss. Die Ausbildung kostet einmalig 1.690 €.

    Medi-class

    Du möchtest direkt am Patienten mitarbeiten? Dann ist die Ordinationsassistenz-Ausbildung in Salzburg oder in deinem Bundesland mit Online-Theorie, Praxis und Praktikum nach MAB-G der passende Weg. Und wenn du als Ärztin oder Arzt dein Team gezielt weiterbilden willst, findest du unter Ordinationspersonal ausbilden unser Angebot. Mehr zu Abläufen und Rollen im Team liest du in unserem Beitrag zur Praxisorganisation in der Arztpraxis, zur Dokumentation in unserem Ratgeber medizinische Dokumentation lernen.

    Häufige Fragen zum Datenschutz in der Ordination

    Brauchen wir für jede Patientin eine Datenschutz-Einwilligung?

    Nein. Für Behandlung und ärztliche Dokumentation ist keine Einwilligung nötig, weil die Verarbeitung auf dem Behandlungsvertrag und der gesetzlichen Dokumentationspflicht beruht. Eine schriftliche Einwilligung braucht es aber etwa für Terminerinnerungen per SMS, E-Mail oder Telefon.

    Darf ich als Ordinationsassistentin Befunde per E-Mail schicken?

    Nur wenn die E-Mail verschlüsselt oder elektronisch signiert ist und die Ärztin oder der Arzt die Weitergabe angeordnet hat. Üblich sind der Postweg oder abgesicherte Befundübertragungssysteme wie DaMe oder MedicalNet.

    Braucht eine Einzelordination einen Datenschutzbeauftragten?

    Grundsätzlich nicht. Die Österreichische Ärztekammer empfiehlt einen Datenschutzbeauftragten bei ärztlicher Zusammenarbeit mit durchschnittlich mehr als 5.000 verschiedenen Patientinnen und Patienten pro Jahr.

    Wie lange müssen Patientenakten aufbewahrt werden?

    Die ärztliche Dokumentation ist nach § 51 Ärztegesetz mindestens zehn Jahre aufzubewahren. Andere Daten werden gelöscht, sobald ihr Zweck wegfällt und keine gesetzliche Aufbewahrungspflicht mehr besteht.

    Darf ich Angehörigen am Telefon Auskunft geben?

    Ohne Vollmacht oder vorab vereinbartes Vorgehen nicht. Die Verschwiegenheitspflicht gilt auch gegenüber Familienmitgliedern. Für telefonische Auskünfte empfiehlt die Ärztekammer Wien ein vorher vereinbartes Passwort.

    Quellen

    Empfehlungen