--- title: "Datenschutz im Gesundheitswesen: Art. 9 und § 203 StGB" description: "Im Gesundheitswesen treffen Datenschutz und Berufsgeheimnis aufeinander. Was daraus für Praxen, Kliniken und Pflegedienste folgt." canonical: "https://www.dsb-datenschutz.de/datenschutz/branchen-gesundheitswesen/" --- # Datenschutz im Gesundheitswesen **Datenschutz im Gesundheitswesen** ist der Bereich, in dem zwei Regelwerke gleichzeitig gelten und unterschiedliche Antworten geben können. Die DSGVO fragt, ob eine Verarbeitung zulässig ist. Das Strafrecht fragt, ob eine Offenbarung strafbar ist. Wer nur das eine prüft, übersieht das andere – und § 203 StGB kennt keine Interessenabwägung. ## Zwei Ebenen, die nicht deckungsgleich sind **Datenschutzrechtlich** sind Gesundheitsdaten besondere Kategorien nach [Art. 9 DSGVO](https://www.dsb-datenschutz.de/datenschutz/dsgvo-artikel-9/). Ihre Verarbeitung ist grundsätzlich untersagt; sie wird erst durch einen der Ausnahmetatbestände zulässig – in der Behandlung regelmäßig Art. 9 Abs. 2 lit. h, der zusätzlich Berufsgeheimnis oder gleichwertige Verschwiegenheitspflicht voraussetzt. **Strafrechtlich** unterliegen Ärztinnen, Zahnärzte, Apotheker, Psychotherapeutinnen und ihre berufsmäßig tätigen Gehilfen der Schweigepflicht nach § 203 StGB. Eine unbefugte Offenbarung ist eine Straftat – unabhängig davon, wie die datenschutzrechtliche Bewertung ausfällt. Der praktische Unterschied zeigt sich beim Dienstleister. Ein Vertrag nach [Art. 28 DSGVO](https://www.dsb-datenschutz.de/datenschutz/beratung-auftragsverarbeitungsvertrag/) macht die Weitergabe datenschutzrechtlich zulässig – die strafrechtliche Seite regelt er nicht. Dafür sorgt § 203 Abs. 3 StGB: Mitwirkende Personen dürfen einbezogen werden, sind aber zur Verschwiegenheit zu verpflichten, und das ist zu dokumentieren. ## Wo es in der Praxis hakt **Das Wartezimmer.** Namensaufrufe, einsehbare Bildschirme, Gespräche am Tresen, die im Raum mitgehört werden. Das ist kein Formalismus: Es ist die Verarbeitungssituation mit der höchsten Zahl unbeteiligter Zuhörer. **Die Fernwartung des Praxisverwaltungssystems.** Der Anbieter greift auf ein System zu, in dem Patientendaten liegen. Nötig sind: Vertrag zur Auftragsverarbeitung, Verpflichtung der mitwirkenden Personen nach § 203 Abs. 4, Protokollierung der Zugriffe und die Möglichkeit, sie zu begrenzen. **Die Terminerinnerung.** Eine SMS oder E-Mail an Patienten offenbart bereits, dass eine Behandlungsbeziehung besteht. Bei spezialisierten Einrichtungen sagt schon der Absender etwas über die Diagnose. **Der Befundversand.** Unverschlüsselte E-Mail ist für Gesundheitsdaten nicht angemessen im Sinne von [Art. 32 DSGVO](https://www.dsb-datenschutz.de/datenschutz/dsgvo-artikel-32/). Wo ein sicherer Weg fehlt, bleibt Papier oder ein Abholverfahren. **Löschen gegen Aufbewahren.** Berufsrechtliche und sozialrechtliche Aufbewahrungspflichten für Patientenunterlagen laufen den Löschansprüchen entgegen. Sauber ist die Trennung: Was der Aufbewahrung unterliegt, wird gesperrt und nur noch für diesen Zweck vorgehalten. Die Fristen gehören ins [Löschkonzept](https://www.dsb-datenschutz.de/datenschutz/beratung-loeschkonzept/). ## Die Benennungspflicht greift hier früher Die Schwelle von zwanzig Personen aus § 38 BDSG ist im Gesundheitswesen selten der Auslöser. Maßgeblich ist die zweite Alternative: Wer **umfangreich** besondere Kategorien nach Art. 9 verarbeitet, muss unabhängig von der Beschäftigtenzahl einen [Datenschutzbeauftragten](https://www.dsb-datenschutz.de/externer-datenschutzbeauftragter/) benennen. Für Krankenhäuser, größere Praxisverbünde, Medizinische Versorgungszentren und Pflegedienste ist das der Regelfall. Ob eine Einzelpraxis „umfangreich" verarbeitet, ist eine Einzelfallfrage – die Schritte stehen in der [Checkliste](https://www.dsb-datenschutz.de/externer-datenschutzbeauftragter/wissen-checkliste/). Ebenso häufiger als anderswo: die [Datenschutz-Folgenabschätzung](https://www.dsb-datenschutz.de/datenschutz/beratung-datenschutz-folgenabschaetzung/). Sie ist bei umfangreicher Verarbeitung von Gesundheitsdaten regelmäßig erforderlich. ## Wenn etwas passiert Ein Vorfall mit Gesundheitsdaten führt fast immer zu einem hohen Risiko für die betroffenen Personen. Das bedeutet: Meldung an die Aufsichtsbehörde binnen 72 Stunden **und** Benachrichtigung der Betroffenen nach [Art. 34 DSGVO](https://www.dsb-datenschutz.de/datenschutz/dsgvo-artikel-34/). Der Ablauf steht unter [Datenschutzvorfall melden](https://www.dsb-datenschutz.de/datenschutz/datenschutzvorfall/). Einrichtungen ab einer bestimmten Größe fallen zusätzlich unter [NIS-2](https://www.dsb-datenschutz.de/frameworks/nis-2/) – mit eigenen Meldewegen und Pflichten der Leitung. ## Was wir übernehmen Bestandsaufnahme der Verarbeitungen, [Verzeichnis](https://www.dsb-datenschutz.de/datenschutz/beratung-verarbeitungsverzeichnis/), Verträge mit Abrechnungsstellen und Systemanbietern, Verpflichtung der mitwirkenden Personen, [Schulung](https://www.dsb-datenschutz.de/datenschutz/beratung-datenschutzschulungen/) des Teams – und die Rolle des Beauftragten, **ab 137 € im Monat**. ## Kontakt Sie betreiben eine Praxis, ein MVZ oder einen Pflegedienst und wissen nicht, ob Sie benennen müssen? Das klären wir in einem Gespräch. - Telefon: [+49 6188 99 04 36](tel:+496188990436) - E-Mail: [office@dsb-datenschutz.de](mailto:office@dsb-datenschutz.de) - Kontaktformular: [Anfrage senden](https://www.dsb-datenschutz.de/kontakt/#schreiben-sie-uns) - [Alle Branchen im Überblick](https://www.dsb-datenschutz.de/datenschutz/branchen/)