Datenschutz in der Arztpraxis: Patientendaten sicher und rechtssicher verarbeiten

Am Empfang fragt ein Angehöriger nach einem Befund. Eine Patientin bittet um die Übersendung eines Arztbriefes per E-Mail. Ein IT-Dienstleister benötigt Fernzugriff auf das Praxisverwaltungssystem. Und eine private Krankenversicherung fordert Unterlagen an. 

Solche Situationen gehören zum Praxisalltag. Sie betreffen jedoch nicht nur den Ablauf in der Praxis. Sie berühren regelmäßig Datenschutz und ärztliche Schweigepflicht. 

Entscheidend ist deshalb: Für jeden Umgang mit Patientendaten muss klar sein, wer darauf zugreifen darf, zu welchem Zweck die Daten verarbeitet werden und ob eine Weitergabe zulässig ist. Eine Einwilligung ist dabei wichtig, aber nicht für jede Verarbeitung erforderlich. 

Welche Patientendaten besonders geschützt sind 

Personenbezogene Daten sind alle Informationen, die sich einer bestimmten Person zuordnen lassen. In Arztpraxen betrifft das etwa: 

• Name, Anschrift und Kontaktdaten 

• Geburtsdatum und Versicherungsstatus 

• Terminangaben und Abrechnungsdaten 

• Anamnese, Diagnosen und Befunde 

• Laborwerte, Bilddaten und Arztbriefe 

• Medikationen, Therapien und Behandlungsverläufe 

• die Tatsache, dass eine Person überhaupt in Behandlung ist 

Gesundheitsdaten sind besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO. Für ihre Verarbeitung gelten erhöhte Anforderungen. In der Regel muss eine Praxis sowohl eine allgemeine Rechtsgrundlage nach Art. 6 DSGVO als auch eine zusätzliche Grundlage für Gesundheitsdaten nach Art. 9 Abs. 2 DSGVO beachten. [1] 

Wann Arztpraxen Patientendaten verarbeiten dürfen 

Die Verarbeitung von Patientendaten ist im Behandlungsalltag häufig gesetzlich erlaubt. Eine zusätzliche Einwilligung ist daher nicht automatisch erforderlich. 

Für Anamnese, Diagnostik, Behandlung, Dokumentation und Nachsorge ist die Verarbeitung regelmäßig zulässig, wenn sie für die medizinische Versorgung und den Behandlungsvertrag erforderlich ist. Maßgeblich sind insbesondere Art. 6 Abs. 1 Buchst. b DSGVO sowie Art. 9 Abs. 2 Buchst. h DSGVO in Verbindung mit § 22 Abs. 1 Nr. 1 Buchst. b BDSG. [1] [2] 

Weitere Rechtsgrundlagen können sich aus sozialrechtlichen und anderen spezialgesetzlichen Vorgaben ergeben. Das betrifft zum Beispiel bestimmte Abrechnungs-, Melde und Qualitätssicherungsverfahren in der vertragsärztlichen Versorgung. 

Wann eine Einwilligung erforderlich sein kann 

Eine ausdrückliche Einwilligung ist insbesondere dann zu prüfen, wenn keine gesetzliche Grundlage für die konkrete Verarbeitung oder Weitergabe besteht. 

Typische Fälle sind: 

• Abrechnung über eine privatärztliche Verrechnungsstelle 

• Terminbenachrichtigungen per SMS oder E-Mail 

• Übermittlung von Informationen an private Versicherungen 

• Praxisveräußerung mit Zugriff eines Praxisnachfolgers auf bestehende Patientenakten 

• besondere Versorgungsformen mit gesetzlichen Einwilligungsvorbehalten 

Eine Einwilligung muss freiwillig, informiert, ausdrücklich und auf einen konkreten Zweck bezogen sein. Pauschale Erklärungen für alle denkbaren Datenweitergaben sind nicht ausreichend. Patient*innen können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Die Praxis muss die Einwilligung nachweisen können. [5] 

Datenschutz und Schweigepflicht: Zwei Prüfungen sind notwendig 

Datenschutzrecht und ärztliche Schweigepflicht schützen beide Patientendaten. Sie sind jedoch voneinander zu unterscheiden. 

Das Datenschutzrecht regelt, ob personenbezogene Daten erhoben, gespeichert, genutzt oder übermittelt werden dürfen. Es enthält zudem Vorgaben zu Informationspflichten, Zugriffsrechten, technischen Schutzmaßnahmen und Betroffenenrechten. 

Die ärztliche Schweigepflicht schützt das Patientengeheimnis vor unbefugter Offenbarung. Sie ergibt sich aus den Berufsordnungen der Landesärztekammern und wird durch § 203 StGB strafrechtlich abgesichert. Geschützt sind nicht nur Diagnosen und Befunde. Auch die Tatsache eines Praxisbesuchs kann der Schweigepflicht unterliegen. [4] [5] 

Bei einer Datenweitergabe sind daher regelmäßig zwei Fragen zu beantworten: 

1. Ist die Verarbeitung oder Übermittlung datenschutzrechtlich zulässig? 

1. Ist die Offenbarung mit der ärztlichen Schweigepflicht vereinbar? 

Zugriffsrechte im Praxisteam klar regeln 

Innerhalb der Praxis darf nicht jede Person auf alle Informationen zugreifen. Mitarbeitende dürfen Patientendaten nur verarbeiten, soweit dies für ihre jeweiligen Aufgaben erforderlich ist (Need-to-know-Prinzip).  

Ein Berechtigungskonzept ist deshalb keine Kür, sondern nach Art. 32 DSGVO sowie – für Vertragsarztpraxen – nach Anlage 1 der KBV-IT-Sicherheitsrichtlinie verpflichtend. Es muss festlegen: 

• Wer darf Patientendaten erfassen, ändern oder einsehen – und wie wird das protokolliert und nachvollziehbar dokumentiert? 

• Welche Daten benötigt der Empfang für Anmeldung und Terminierung? 

• Wer darf Befunde, Arztbriefe oder Abrechnungsunterlagen bearbeiten? 

• Welche besonders sensiblen Bereiche (z. B. Psychotherapie, Suchtmedizin) benötigen zusätzlichen Schutz? 

• Wie werden Zugriffsrechte bei Eintritt, Rollenwechsel, Vertretung und Austritt von Mitarbeiter*innen angepasst? 

• Wie oft werden vergebene Rechte turnusmäßig überprüft? 

Das Konzept selbst sollte schriftlich dokumentiert sein – bei Prüfungen verlangen Kassenärztliche Vereinigungen entsprechende Nachweise. 

Für Vertragsarztpraxen sehen die einschlägigen Anforderungen der KBV-IT-Sicherheitsrichtlinie individuelle, nachvollziehbare Benutzerzugänge vor. Gemeinsame Logins sollten vermieden werden, da sie eine personenbezogene Nachvollziehbarkeit von Zugriffen erschweren. Auch für Privatpraxen sind individuelle Benutzerkonten regelmäßig geboten, um Zugriffe auf Gesundheitsdaten nachvollziehbar und aufgabenbezogen zu steuern.  

Für Vertragsarztpraxen konkretisiert die IT-Sicherheitsrichtlinie der Kassenärztlichen Bundesvereinigung Anforderungen an Informationssicherheit. Dazu gehören unter anderem Schulungen, aktuelle Schutzprogramme, geregelte Zugangsdaten, Datensicherungen und Prozesse bei personellen Veränderungen. Die konkreten Anforderungen richten sich nach Praxisgröße und Ausstattung. [6] 

Datenschutz am Empfang und im Wartebereich 

Am Empfang entstehen viele Datenschutzrisiken ohne technischen Angriff: durch Gespräche, einsehbare Bildschirme, offen liegende Unterlagen oder falsch zugeordnete Dokumente. 

Folgende Maßnahmen lassen sich meist unmittelbar umsetzen: 

• Bildschirme so ausrichten, dass Wartende keine Daten mitlesen können. 

• Arbeitsplätze aktiv sperren beim Verlassen – zusätzlich automatische Bildschirmsperre nach kurzer Inaktivität einrichten (für Vertragsarztpraxen nach KBV-IT-Sicherheitsrichtlinie verpflichtend). 

• Unterlagen und Verordnungen nicht offen am Empfang liegen lassen. 

• Drucker und Scanner so organisieren, dass Ausdrucke nicht von Unbefugten eingesehen werden können. 

• Gespräche über Diagnosen, Befunde oder Rechnungen nicht im Wartebereich führen. 

• Aufrufe und Terminabsprachen zurückhaltend gestalten. 

• Besondere Anliegen in einen geschützten Gesprächsbereich verlagern. 

Art. 32 DSGVO schreibt keine einheitliche Einzelmaßnahme vor. Die Praxis muss jedoch angemessene technische und organisatorische Maßnahmen treffen, die Vertraulichkeit, Integrität und Verfügbarkeit der Daten schützen. [1] 

Konkrete Handlungsanweisungen für schwierige Alltagssituationen 

Gerade unter Zeitdruck helfen verbindliche Abläufe. Sie schaffen Sicherheit für Patient*innen und entlasten das Praxisteam. 

Formulierungshilfe für den Empfang 

Eine einheitliche, wertschätzende Formulierung verhindert Diskussionen und schützt das Patientengeheimnis: 

„Bitte haben Sie Verständnis: Aus Gründen der Vertraulichkeit können wir dazu ohne Zustimmung der Patientin oder des Patienten keine Auskunft geben. Gern kann die Patientin oder der Patient uns direkt kontaktieren.“ 

Abrechnungsfragen sicher beantworten 

Auch Abrechnungsinformationen können Gesundheitsdaten offenbaren. Schon die Auskunft, dass eine bestimmte Leistung abgerechnet wurde, kann Rückschlüsse auf eine Behandlung zulassen. Hinweise für eine klare und respektvolle Kommunikation finden Sie auch im Beitrag Offene GOÄ Rechnungen kommunizieren: Klar und respektvoll im Praxisalltag. 

Das Praxisteam muss deshalb beachten: 

• Allgemeine Informationen zu Zahlungswegen oder Ansprechpartner*innen können häufig ohne Einblick in die Patientenakte gegeben werden. 

• Details zu Leistungen, Rechnungspositionen, Diagnosen oder Versicherungsstatus nur mit der Patientin oder dem Patienten selbst oder nachweislich berechtigten Personen besprechen. 

• Bei Anfragen privater Versicherungen die Schweigepflichtentbindung als Kopie anfordern und auf Aktualität, Zweck und Umfang prüfen. 

• Bei privatärztlichen Verrechnungsstellen die erforderliche Einwilligung vor der Datenweitergabe einholen und dokumentieren. 

• Rechnungen, Mahnungen und Zahlungsinformationen nicht offen am Empfang auslegen. Bei elektronischem Versand gilt derselbe Verschlüsselungsstandard wie beim Befundversand (siehe oben). 

 Für strukturierte Abläufe bei offenen Rechnungen lesen Sie auch den Beitrag Mahnwesen in der Arztpraxis: Klare Prozesse für offene Rechnungen.

Informationen zu Fälligkeit und Verzug bei Privatliquidationen finden Sie im Beitrag Mahnung bei privatärztlichen Rechnungen: Fälligkeit und Verzug bei GOÄ Rechnungen.

E-Mail, SMS, Messenger und Videosprechstunde 

Digitale Kommunikation ist im Praxisalltag sinnvoll. Sie muss jedoch so organisiert sein, dass Gesundheitsdaten nicht unbefugt offengelegt werden. 

Telefon 

Bei telefonischen Anfragen besteht das Risiko einer Fehlidentifikation. Das Team sollte vor der Auskunft prüfen, wer anruft und ob diese Person Informationen erhalten darf. Bei Zweifeln ist ein Rückruf über eine bekannte, in der Patientenakte hinterlegte Nummer oft sicherer. 

Telefax 

Telefax gilt bei mehreren Landesdatenschutzbehörden inzwischen ausdrücklich nicht mehr als sicheres Übermittlungsmittel für Gesundheitsdaten, da die Verschlüsselung auf dem Übertragungsweg fehlt und die Nummernkontrolle beim Empfänger nicht beeinflussbar ist. Wo Fax weiterhin genutzt wird, sollten Empfängernummern regelmäßig überprüft und der Versand vorab telefonisch angekündigt werden; für neue Kommunikationswege sollten von Anfang an sichere Alternativen (KIM, verschlüsselte E-Mail) bevorzugt werden. 

E-Mail 

Unverschlüsselte Standard-E-Mail gilt bei Gesundheitsdaten nach überwiegender Auffassung der Aufsichtsbehörden als unzureichend geschützt – auch mit Einwilligung der Patientin oder des Patienten. Für den Versand eignen sich Ende-zu-Ende-Verschlüsselung (S/MIME, PGP), die Telematikinfrastruktur (KIM) oder ein sicheres Patientenportal. 

SMS und Terminbenachrichtigungen 

Für individuelle Terminbenachrichtigungen per SMS oder E-Mail sollte eine dokumentierte Einwilligung vorliegen. Der Nachrichtentext sollte möglichst neutral bleiben und weder Diagnose noch Fachrichtung offenlegen. [5] 

Messenger Dienste 

Messenger-Dienste sollten für Patientendaten nur eingesetzt werden, wenn Rechtsgrundlage, Rollenverteilung, technische Sicherheit, Datenflüsse, Speicherorte und Schweigepflicht vorab geprüft und dokumentiert wurden. 

Bei Diensten wie WhatsApp kommt hinzu, dass bereits die Installation das gesamte Adressbuch mit dem Anbieter synchronisiert – auch die Daten von Personen, die selbst keinen Account haben und dem nie zugestimmt haben.  Dies kann datenschutzrechtlich problematisch sein, insbesondere wenn Kontaktdaten ohne tragfähige Rechtsgrundlage oder ohne hinreichende technische Begrenzung mit dem Anbieter synchronisiert werden. 

Vor dem Einsatz eines Messenger-Dienstes prüfen, welche Daten verarbeitet werden, wer Zugriff erhält, wo Daten gespeichert werden und ob die technische Ausgestaltung Schweigepflicht und Datenschutz gerecht wird. 

Videosprechstunden und Terminportale 

Für Vertragsarztpraxen ist die Nutzung eines nach Anlage 31b BMV-Ä zertifizierten Videodienstanbieters verpflichtend – nur zertifizierte Anbieter dürfen für die Videosprechstunde bei gesetzlich Versicherten eingesetzt und abgerechnet werden. Bei Terminportalen und sonstigen Cloud-Anwendungen sind Vertrag, Datenflüsse, Zugriffsschutz, Speicherorte, Verantwortlichkeiten und gegebenenfalls Auftragsverarbeitung zu prüfen. 

Externe Dienstleister richtig einordnen 

Nicht jede Zusammenarbeit mit einem externen Unternehmen ist eine Auftragsverarbeitung. 

Eine Auftragsverarbeitung liegt vor, wenn ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung der Praxis verarbeitet. Das kann etwa bei IT-Wartung, Hosting, Datensicherung, Aktenvernichtung oder bestimmten Terminverwaltungsdiensten der Fall sein. 

Dann muss die Praxis insbesondere: 

• den Dienstleister sorgfältig auswählen, 

• einen Vertrag nach Art. 28 DSGVO schließen, 

• Weisungsrechte und Sicherheitsanforderungen festlegen, 

• die Geheimhaltung nach § 203 StGB absichern, 

• Zugriffe auf das erforderliche Maß begrenzen, 

• die Verarbeitung im Verzeichnis der Verarbeitungstätigkeiten dokumentieren. 

Medizinische Labore sind nicht pauschal als Auftragsverarbeiter einzuordnen. Auch private Verrechnungsstellen gelten nicht automatisch als Auftragsverarbeiter. Hier kommt es auf die konkrete Rolle, den Entscheidungsspielraum und den jeweiligen Datenfluss an. [5] 

Informationspflichten und Rechte von Patient*innen 

Patient*innen müssen verständlich darüber informiert werden, wer ihre Daten verarbeitet, zu welchen Zwecken dies geschieht, auf welcher Grundlage die Verarbeitung beruht und welche Rechte bestehen. Die Informationspflichten ergeben sich insbesondere aus Art. 13 und 14 DSGVO. Eine gut sichtbare Patienteninformation in der Praxis und auf der Website ist zur Erfüllung dieser Informationspflicht erforderlich. [1] [5] 

Patient*innen haben unter anderem Rechte auf: 

• Auskunft über verarbeitete Daten 

• Berichtigung unrichtiger Tatsachenangaben 

• Einsicht in die Patientenakte 

• Die erste Kopie der personenbezogenen Daten ist unentgeltlich bereitzustellen (Art. 15 Abs. 3 DSGVO). 

• Löschung oder Einschränkung der Verarbeitung, soweit keine Aufbewahrungspflichten entgegenstehen 

Das Einsichtsrecht nach § 630g BGB und das Auskunftsrecht nach Art. 15 DSGVO sind voneinander zu unterscheiden. Die erste Kopie der personenbezogenen Daten ist grundsätzlich unentgeltlich bereitzustellen. Erhebliche therapeutische Gründe oder erhebliche Rechte Dritter können eine Einschränkung der Einsicht rechtfertigen. Das erfordert eine sorgfältige Einzelfallprüfung. [3] [5] 

Aufbewahrung, Löschung und Berichtigung 

Ein Löschungsverlangen führt nicht automatisch zur sofortigen Vernichtung der Patientenakte. 

Nach § 630f Abs. 3 BGB sind Patientenakten grundsätzlich zehn Jahre nach Abschluss der Behandlung aufzubewahren. Längere Fristen können sich aus anderen gesetzlichen oder berufsrechtlichen Vorgaben ergeben, etwa im Strahlenschutz oder bei der Anwendung von Blutprodukten. [3] [5] 

Solange eine Aufbewahrungspflicht besteht, ist eine Löschung regelmäßig ausgeschlossen. Je nach Fall kommt eine Einschränkung der Verarbeitung in Betracht. 

Auch Berichtigungen müssen sorgfältig erfolgen. Änderungen in der Patientenakte dürfen den ursprünglichen Inhalt nicht unkenntlich machen. Bei elektronischer Dokumentation muss nachvollziehbar bleiben, wann eine Änderung vorgenommen wurde. [3] [5] 

Nach Ablauf der maßgeblichen Aufbewahrungsfristen müssen Daten sicher gelöscht oder Datenträger fachgerecht vernichtet werden. Der digitale Papierkorb genügt dafür nicht. In den Löschprozess gehören auch Sicherungskopien, E-Mail-Postfächer, Cloud Speicher und ausgemusterte Geräte. [7] 

Für nachvollziehbare Abläufe bei Unterlagen und offenen Privatliquidationen bietet der Beitrag Mahnwesen in der Arztpraxis: Klare Prozesse für offene Rechnungen ergänzende Praxisinformationen

Datenschutzverletzungen: Was im Ernstfall zu tun ist 

Eine Datenschutzverletzung liegt vor, wenn personenbezogene Daten unbeabsichtigt oder unrechtmäßig verloren gehen, verändert werden, unbefugt offengelegt werden oder nicht mehr verfügbar sind. 

Mögliche Fälle sind: 

• Arztbrief oder Rechnung an falsche Empfänger*innen versendet 

• Verlust eines unverschlüsselten Diensthandys oder Datenträgers 

• kompromittiertes Benutzerkonto 

• Schadsoftware oder Ransomware Angriff 

• unberechtigter Zugriff durch ehemalige Mitarbeiter*innen 

• offen einsehbare Unterlagen im Empfangsbereich 

Nicht jede Datenschutzverletzung muss gemeldet werden. Eine Meldung an die zuständige Datenschutzaufsichtsbehörde ist nach Art. 33 DSGVO erforderlich, wenn die Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten betroffener Personen führt. Sie muss unverzüglich und möglichst binnen 72 Stunden erfolgen. [1] 

Besteht voraussichtlich ein hohes Risiko, sind die betroffenen Patient*innen nach Art. 34 DSGVO grundsätzlich ebenfalls unverzüglich zu informieren. Ob eine Meldung oder Benachrichtigung erforderlich ist, hängt vom Einzelfall ab. 

Jede Praxis sollte deshalb einen Notfallprozess festlegen: 

1. Vorfall sofort intern melden. 
2. Schäden begrenzen, etwa Zugänge sperren oder Versand stoppen. 
3. Betroffene Daten und Personen ermitteln. 
4. Risiko bewerten und Entscheidung dokumentieren. 
5. Datenschutzbeauftragte*n oder fachkundige Beratung einbeziehen. 
6. Erforderliche Meldungen und Benachrichtigungen veranlassen. 

Wann ein Datenschutzbeauftragter erforderlich ist 

Nicht jede Arztpraxis muss automatisch einen Datenschutzbeauftragten benennen. 

Eine Benennungspflicht besteht insbesondere, wenn: 

• in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, § 38 Abs. 1 BDSG, 

• eine Datenschutz Folgenabschätzung nach Art. 35 DSGVO erforderlich ist, 

• die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten besteht, Art. 37 Abs. 1 Buchst. c DSGVO. [1] [2] [5] 

Ob eine Verarbeitung umfangreich ist, hängt von der konkreten Praxisstruktur ab. Die Verarbeitung von Patientendaten durch einzelne Ärztinnen und Ärzten gilt nicht automatisch als umfangreich. Bei größeren Berufsausübungsgemeinschaften, MVZ oder besonders risikoreichen Verfahren ist eine konkrete Prüfung sinnvoll. [5] 

Eine ausführliche Analyse zur Benennungspflicht, zu Schwellenwerten und zur Entscheidung zwischen internen oder externen Datenschutzbeauftragten lesen Sie im Beitrag Datenschutzbeauftragte:r in der Arztpraxis: Wann besteht die Pflicht?.

Checkliste für die Datenschutzorganisation in der Arztpraxis 

Diese Punkte sollten Praxisinhaber*innen regelmäßig überprüfen: 

1. Verzeichnis der Verarbeitungstätigkeiten aktualisieren 
   Behandlung, Dokumentation, Abrechnung, Terminverwaltung, Kommunikation, Cloud Anwendungen und Dienstleister erfassen. 
2. Berechtigungen prüfen 
   Individuelle Benutzerkonten nutzen. Zugriffsrechte nach Aufgaben vergeben. Berechtigungen beim Austritt sofort entziehen. 
3. Kommunikationswege festlegen 
   Regeln für Telefon, E-Mail, SMS, Messenger Dienste und Befundübermittlung verbindlich dokumentieren. 
4. Dienstleister prüfen 
   Rollen sauber einordnen. Auftragsverarbeitungsverträge und Geheimhaltungsverpflichtungen prüfen. 
5. IT-Sicherheit umsetzen 
   Updates, Schutzprogramme, Datensicherung, Wiederherstellung und Geräteschutz regelmäßig kontrollieren. 
6. Team schulen 
   Datenschutz, Schweigepflicht, Phishing, Fehlversand und interne Meldewege regelmäßig besprechen. 
7. Notfallprozess bereithalten 
   Zuständigkeiten und Ablauf für Datenschutzverletzungen schriftlich festlegen. 
   Wann eine fachkundige Beratung oder die Einbindung von Datenschutzbeauftragten gesetzlich vorgeschrieben ist, erfahren Sie im Beitrag Datenschutzbeauftragte:r in der Arztpraxis: Wann besteht die Pflicht?
   
8. Löschkonzept umsetzen 
   Aufbewahrungsfristen, sichere Löschung, Einschränkung der Verarbeitung und Entsorgung dokumentieren. 

Datenschutz in der Arztpraxis entsteht nicht durch ein einzelnes Formular. Entscheidend sind klare Zuständigkeiten, sichere Abläufe und ein Team, das auch in schwierigen Situationen weiß, wie es handeln muss. Gemeinsam stark für eine vertrauensvolle Patientenkommunikation. 

Hinweis: Dieser Beitrag bietet allgemeine Informationen und ersetzt keine rechtliche Beratung. Bei komplexen Einzelfällen, neuen digitalen Anwendungen oder Datenschutzverletzungen sollte eine konkrete datenschutzrechtliche Prüfung erfolgen. 

Quellen 

[1] EUR Lex — Verordnung EU 2016/679, Datenschutz Grundverordnung, insbesondere Art. 5 bis 9, 12 bis 22, 24 bis 35 und 37 (2026) — https://eur-lex.europa.eu/DE/legal-content/summary/general-data-protection-regulation-gdpr.html 

[2] Bundesministerium der Justiz — Bundesdatenschutzgesetz, insbesondere § 22 und § 38 — https://www.gesetze-im-internet.de/bdsg_2018/ 

[3] Bundesministerium der Justiz — Bürgerliches Gesetzbuch, insbesondere § 630f und § 630g — https://www.gesetze-im-internet.de/bgb/__630f.html 

[4] Bundesministerium der Justiz — Strafgesetzbuch, § 203 Verletzung von Privatgeheimnissen — https://www.gesetze-im-internet.de/stgb/__203.html 

[5] Bundesärztekammer und Kassenärztliche Bundesvereinigung — Hinweise und Empfehlungen zur ärztlichen Schweigepflicht, Datenschutz und Datenverarbeitung in der Arztpraxis (Stand 2025-10-01) — https://www.bundesaerztekammer.de/fileadmin/user_upload/BAEK/Themen/Recht/KBV_BAEK_aerztliche_Schweigepflicht_2025.pdf 

[6] Kassenärztliche Bundesvereinigung — IT-Sicherheit in der Praxis — https://www.kbv.de/praxis/digitalisierung/it-sicherheit 

[7] Kassenärztliche Bundesvereinigung — Sicheres Löschen sensibler Daten in der Praxis (2026) — https://www.kbv.de/praxis/tools-und-services/praxisnachrichten/2026/02-05/sicheres-loeschen-sensibler-daten-in-der-praxis 

Hinweis: Dieses Beitragsbild wurde mithilfe Künstlicher Intelligenz (KI) erstellt.