Datenschutzerklärung in der Arztpraxis: Rechtssichere Patienteninformation nach Art. 13 und 14 DSGVO

Ein Patient wartet am Empfang und zeigt auf das Formular, das er beim Check-in erhalten hat: „Muss ich das hier unterschreiben?“ Die medizinische Fachangestellte zögert kurz. Handelt es sich um eine Einwilligung, die eine Unterschrift braucht? Oder reicht es, das Dokument auszuhändigen? Diese Unsicherheit begegnet Praxisteams regelmäßig – und sie lässt sich mit einer klaren Antwort auflösen: Die Patienteninformation zum Datenschutz nach Art. 13 und 14 DSGVO ist eine Information, keine Einwilligung. Der folgende Beitrag zeigt, was rechtlich dahintersteckt und wie sich die Informationspflicht im Praxisalltag aufwandsarm erfüllen lässt. 

Zwei Dokumente, ein Ziel: Patienteninformation und Website-Datenschutzerklärung 

Jede Arztpraxis, die personenbezogene Daten verarbeitet, muss ihrer Informationspflicht nach Art. 12 ff. DSGVO nachkommen. In der Praxis existieren dafür meist zwei getrennte Dokumente: 

Die Patienteninformation zum Datenschutz richtet sich an Patientinnen vor Ort. Sie hängt im Wartezimmer aus oder liegt als Handzettel an der Rezeption. Die Website-Datenschutzerklärung dagegen betrifft Online-Besucherinnen der Praxis-Website, etwa bei der Terminbuchung oder über ein Kontaktformular. 

Beide Dokumente beruhen auf denselben gesetzlichen Grundlagen, decken aber unterschiedliche Verarbeitungssituationen ab. Eine Website-Datenschutzerklärung ersetzt die Patienteninformation vor Ort nicht, und umgekehrt gilt das Gleiche. Praxen sollten beide Dokumente führen und bei Änderungen – etwa einem neuen IT-Dienstleister – gemeinsam aktualisieren. 

Information ist keine Einwilligung 

Der zentrale Unterschied, der im Praxisalltag häufig übersehen wird: Die Patienteninformation nach Art. 13 und 14 DSGVO beschreibt, was mit den Daten geschieht. Sie fragt nicht um Erlaubnis. 

Eine Einwilligung nach Art. 6 Abs. 1 lit. a bzw. Art. 9 Abs. 2 lit. a DSGVO ist davon zu unterscheiden. Sie ist eine aktive, freiwillige Zustimmung und nur dann erforderlich, wenn keine andere Rechtsgrundlage greift. Für die Behandlung selbst – Anamnese, Diagnostik, Therapie, Dokumentation – besteht die Rechtsgrundlage bereits im Behandlungsvertrag nach § 630a BGB in Verbindung mit Art. 6 Abs. 1 lit. b und Art. 9 Abs. 2 lit. h DSGVO i. V. m. § 22 Abs. 1 Nr. 1 lit. b BDSG. Eine zusätzliche Einwilligung ist dafür nicht notwendig. 

Anders sieht es bei der Datenweitergabe an eine private Verrechnungsstelle wie die PVS aus: Hierfür ist regelmäßig eine gesonderte, dokumentierte Einwilligung einzuholen, die zugleich die Schweigepflichtentbindung umfasst. 

Pflichtinhalte nach Art. 13 und 14 DSGVO 

Die Patienteninformation muss bestimmte Angaben enthalten, damit die Informationspflicht erfüllt ist. Die folgende Übersicht ordnet die gesetzlichen Vorgaben der praktischen Umsetzung zu. 

Bei der Speicherdauer stehen sich zwei Prinzipien gegenüber: Das datenschutzrechtliche Minimierungsgebot verlangt, Daten nicht länger als nötig zu speichern. Dem steht die zehnjährige Aufbewahrungspflicht nach § 630f Abs. 3 BGB entgegen, die der Beweissicherung dient und unabhängig vom Löschgebot fortbesteht. In der Patienteninformation sollte deshalb konkret auf diese gesetzliche Mindestfrist verwiesen werden. 

Direkterhebung und Dritterhebung: Befunde vom Vorarzt 

Werden Daten direkt bei der Patientin oder dem Patienten erhoben, etwa im Rahmen von Anamnese und Untersuchung, gilt Art. 13 DSGVO. Werden Daten hingegen von Dritten übermittelt – ein Befund vom Hausarzt, ein Entlassbrief aus der Klinik, ein Laborergebnis –, greift grundsätzlich Art. 14 DSGVO. Dieser verlangt zusätzlich, die Kategorien der betroffenen Daten und ihre Quelle zu benennen. 

Art. 14 DSGVO sieht in bestimmten Fällen Ausnahmen von dieser Informationspflicht vor, etwa wenn die Erteilung der Information einen unverhältnismäßigen Aufwand bedeuten würde. Für den Praxisalltag empfiehlt sich, die allgemeine Patienteninformation so zu formulieren, dass sie auch die Datenverarbeitung aus Überweisungen und Fremdbefunden abdeckt. Damit entfällt in vielen Fällen eine separate Information bei jeder einzelnen Übermittlung. 

Schweigepflicht, Behandlungsvertrag und DSGVO im Zusammenspiel 

Drei Regelungsebenen greifen ineinander und sollten bei jeder Datenweitergabe getrennt geprüft werden: 

Der Behandlungsvertrag nach § 630a ff. BGB begründet die Rechtsbeziehung zwischen Praxis und Patient*in und ist zugleich Rechtsgrundlage für die Datenverarbeitung zur Behandlung. Die ärztliche Schweigepflicht nach § 203 StGB schützt das Patientengeheimnis strafrechtlich und betrifft die Offenbarung von Patientendaten gegenüber Dritten – unabhängig von der DSGVO. Die DSGVO selbst regelt, unter welchen Voraussetzungen personenbezogene Daten verarbeitet und übermittelt werden dürfen und welche Informationspflichten sowie Betroffenenrechte bestehen. 

Bei jeder Datenweitergabe, etwa an die PVS zur Abrechnung, sind deshalb zwei Fragen zu klären: Ist die Weitergabe datenschutzrechtlich zulässig? Und liegt eine wirksame Entbindung von der Schweigepflicht vor? Beide Voraussetzungen müssen erfüllt sein, bevor Daten die Praxis verlassen. 

Praktische Umsetzung: Aushang, Handzettel, Website 

Für die Umsetzung hat sich ein mehrstufiges Vorgehen bewährt: 

Ein gut sichtbarer Aushang im Wartezimmer liefert die Basisinformation. Ein Handzettel an der Rezeption zum Mitnehmen enthält dieselben Pflichtinhalte in ausführlicherer Form. Eine Verlinkung auf der Praxis-Website deckt Online-Kontakte ab. Wichtig ist, dass alle drei Formate inhaltlich konsistent sind und bei Änderungen – etwa einem neuen Datenschutzbeauftragten oder einem neuen IT-Dienstleister – gemeinsam aktualisiert werden. 

Für die Rezeption empfiehlt sich zudem eine kurze, einheitliche Formulierung für Rückfragen, etwa: „Dieses Blatt informiert Sie über den Datenschutz in unserer Praxis. Eine Unterschrift ist dafür nicht erforderlich – es dient ausschließlich Ihrer Information.“ Eine solche Formulierung nimmt Druck aus der Situation und verhindert Missverständnisse im Team. 

Ergänzend gilt: Die Praxis sollte dokumentieren können, dass die Information tatsächlich zugänglich war – etwa durch einen Vermerk zum Aushangdatum oder zur Aktualisierung des Handzettels. Das ist keine formale Pflicht wie eine Unterschrift, schafft im Zweifel aber Nachweissicherheit.