Datenschutz und Digitalisierung in der Arztpraxis: Was Sie 2026 beachten müssen

Mit der zunehmenden Digitalisierung des Praxisalltags stellen sich für Praxisinhaber, Betreiber von MVZ und Kliniken konkrete Fragen: Darf mein Telefonassistent überhaupt auf Patientendaten zugreifen? Brauche ich für die Online-Terminbuchung eine Einwilligung jedes Patienten? Und was verändert der EU AI Act an meinen Pflichten?
Die gute Nachricht: Digitalisierung und Datenschutz schließen sich nicht aus. Wer die Grundregeln kennt und auf den richtigen Partner setzt, kann beides erfüllen — ohne Bauchschmerzen und ohne Bußgeldbescheid.

Ein Hinweis in eigener Sache:
Dieser Artikel dient als allgemeiner Ratgeber. Für eine individuelle Beratung zu Ihrer Praxissituation stehen wir Ihnen gerne zur Verfügung.

Das rechtliche Fundament: DSGVO trifft ärztliche Schweigepflicht

Patient:innen erwarten heute, dass sie Termine online buchen, Rezepte digital anfragen und die Praxis auch außerhalb der Sprechzeiten für Ihre Anliegen erreichbar ist. Gleichzeitig gilt: Keine Branche verarbeitet sensiblere Daten als die Medizin. Wer als niedergelassene Ärztin oder niedergelassener Arzt im Praxisalltag „digitale Helfer“ einsetzt — sei es eine Telefonassistenz, eine Online-Rezeption oder ein Terminbuchungstool — bewegt sich im Spannungsfeld zwischen gestiegener Patientenerwartung und einem der strengsten Datenschutzregime, das das deutsche und europäische Recht kennt.

Arztpraxen unterliegen einem doppelten Schutzrahmen, der in dieser Kombination einzigartig ist. Auf der einen Seite steht die Datenschutz-Grundverordnung (DSGVO). Patientendaten sind Gesundheitsdaten und damit eine besondere Kategorie personenbezogener Daten im Sinne von Art. 9 DSGVO. Das bedeutet: Für ihre Verarbeitung gelten strengere Anforderungen als in nahezu allen anderen Bereichen — von der Dokumentation über technische Sicherheitsmaßnahmen bis hin zur Informationspflicht gegenüber Patienten.

Auf der anderen Seite steht das ärztliche Berufsgeheimnis nach § 203 StGB und § 9 der Musterberufsordnung. Was vielen nicht bewusst ist: § 203 StGB ist kein reines Standesrecht, sondern Strafrecht. Wer unbefugt Patientengeheimnisse offenbart — auch unbeabsichtigt — riskiert eine Freiheitsstrafe von bis zu einem Jahr oder eine Geldstrafe. Das gilt nicht nur für die Ärztin oder den Arzt selbst, sondern auch für alle Mitarbeitenden der Praxis, die in die Patientenversorgung eingebunden sind.

Beide Regelwerke gelten parallel und ergänzen sich. Die Bundesärztekammer und die KBV halten in ihren aktuellen Hinweisen (Stand Oktober 2025) ausdrücklich fest: Schweigepflicht und datenschutzrechtliche Anforderungen gelten auch beim Einsatz digitaler und KI-gestützter Systeme uneingeschränkt.

Ein häufiges Missverständnis: Die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist für die typische Einzelpraxis in der Regel nicht erforderlich. Sie greift erst bei Verarbeitungen, die ein besonders hohes Risiko für die Rechte und Freiheiten der betroffenen Personen darstellen. BÄK und KBV stellen in ihren aktuellen Hinweisen ausdrücklich fest, dass dies auf den Standardbetrieb einer durchschnittlichen niedergelassenen Praxis regelmäßig nicht zutrifft. (1) Im Einzelfall kann die Bewertung anders ausfallen – etwa wenn KI-Systeme in großem Umfang Gesundheitsdaten verarbeiten oder neue Technologien zum Einsatz kommen. Ob eine DSFA erforderlich ist, sollte daher praxisindividuell geprüft und das Ergebnis dokumentiert werden.

Externe Dienstleister: Was hinter dem Begriff „Auftragsverarbeitung“ steckt

Sobald ein externer Anbieter Zugang zu Patientendaten erhält — auch wenn es nur um Terminverwaltung oder Telefonassistenz geht — liegt eine Auftragsverarbeitung im Sinne von Art. 28 DSGVO vor. Das ist der entscheidende rechtliche Rahmen für alle digitalen Praxisdienstleister.

Die Praxis bleibt datenschutzrechtlich verantwortlich. Sie entscheidet, welche Daten zu welchem Zweck verarbeitet werden. Der externe Dienstleister handelt ausschließlich nach Weisung — und darf die Daten unter keinen Umständen für eigene Zwecke verwenden.

Die rechtliche Grundlage dieser Zusammenarbeit ist der Auftragsverarbeitungsvertrag (AVV) nach Art. 28 Abs. 3 DSGVO. Er ist keine bürokratische Formalität, sondern zwingende Voraussetzung dafür, dass ein externer Anbieter überhaupt rechtmäßig mit Patientendaten arbeiten darf.

Die gute Nachricht: Eine separate Einwilligung jeder einzelnen Patientin und jedes einzelnen Patienten ist bei bestehendem AVV nicht erforderlich. Da es sich um Gesundheitsdaten handelt, stützt sich die Verarbeitung auf zwei Grundlagen zugleich: Art. 6 Abs. 1 lit. b DSGVO (Verarbeitung zur Erfüllung des Behandlungsvertrags) und Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 22 BDSG (Verarbeitung zum Zweck der Gesundheitsversorgung und Behandlung). Beide Tatbestände müssen erfüllt sein – für besondere Kategorien personenbezogener Daten genügt Art. 6 allein nicht. Informiert werden müssen Patient:innen dennoch, typischerweise über die Datenschutzerklärung der Praxis.

Worauf sollte ein AVV mindestens eingehen?

• Klare Begrenzung auf den vereinbarten Verarbeitungszweck (kein Eigenbedarf des Anbieters)
• Serverstandort und Datenverarbeitung ausschließlich innerhalb der EU/EWR
• Dokumentierte technische und organisatorische Maßnahmen (TOMs)
• Transparenz über Unterauftragsverarbeiter
• Geregelte Löschfristen nach Vertragsende

Ein Punkt, der oft übersehen wird: Alle Mitarbeitenden des externen Dienstleisters müssen auf Vertraulichkeit und die Anforderungen des § 203 StGB verpflichtet sein. Auch das sollte der AVV regeln.

Online-Terminbuchung und Telefonassistenz: Was konkret gilt

Die Datenschutzkonferenz (DSK) hat mit einem Positionspapier klargestellt, unter welchen Bedingungen externe Anbieter für Terminverwaltung und digitale Kommunikation rechtmäßig eingesetzt werden können. (2) 
Hier sind die wesentlichen Regeln:

Datenminimierung im Terminkalender. Im Buchungssystem dürfen nur die Daten stehen, die für den konkreten Termin tatsächlich notwendig sind: Name, Geburtsdatum, Fachrichtung, Terminart und Kontaktdaten. Diagnosen, ICD-Codes oder Befunde haben dort nichts zu suchen.

Löschpflicht nach dem Termin. Termindaten müssen zeitnah nach dem Termin gelöscht werden. Sie sind kein Bestandteil der ärztlichen Behandlungsdokumentation und dürfen nicht dauerhaft beim externen Anbieter verbleiben.

Terminerinnerungen: Einwilligung erforderlich. Wer Patienten per SMS oder E-Mail an Termine erinnern lassen möchte, braucht dafür die ausdrückliche, dokumentierte Einwilligung des Patienten. Die Beweislast liegt bei der Praxis.

Informationspflicht gegenüber Patienten. Der Einsatz externer Dienste muss in der Datenschutzerklärung der Praxis transparent gemacht werden. Eine veraltete Datenschutzerklärung, die neue digitale Tools nicht erwähnt, ist kein Kavaliersdelikt.

EU AI Act: Was Gerüchte sind und was wirklich gilt

Diktiersoftware, die den Bericht schreibt. Ein Terminassistent, der Anfragen automatisch beantwortet. ChatGPT, das den Arztbrief formuliert. Tools, die bei der Befundauswertung unterstützen: KI ist längst im Praxisalltag angekommen — oft ohne dass sie bewusst als „KI“ wahrgenommen wird. Und genau das macht den EU AI Act für Arztpraxen relevant: Das Gesetz gilt ausdrücklich für jeden, der KI-Systeme im Betrieb einsetzt — nicht nur für Tech-Konzerne oder Softwarehersteller.

Rund um den AI Act kursieren in Arztpraxen viele Verunsicherungen. Die Realität ist nüchterner — und für die meisten Praxen weniger dramatisch als befürchtet.

Wichtig zum aktuellen Stand: Vieles, was rund um den AI Act kursiert, beruht auf dem „Digital Omnibus“, einem Reformpaket der EU. Dazu gibt es seit dem 7. Mai 2026 eine politische Einigung – der Rechtsakt ist aber noch nicht im EU-Amtsblatt veröffentlicht. Bis dahin gelten rechtlich die ursprünglichen Fristen der KI-Verordnung. Die folgenden Punkte ordnen wir nach aktuellem Stand ein; einzelne Termine können sich mit der finalen Verabschiedung noch ändern.

Was seit Februar 2025 gilt: Die KI-Kompetenzpflicht nach Art. 4 EU AI Act ist bereits in Kraft. Wer in seiner Praxis KI-basierte Werkzeuge einsetzt, muss sich „nach besten Kräften“ um eine ausreichende KI-Kompetenz der Mitarbeitenden kümmern und dies dokumentieren. Es geht um eine Bemühungspflicht, nicht um eine Zertifizierungspflicht: Entscheidend ist nicht, dass alle Mitarbeitenden KI-Expert:innen sind, sondern dass Schulungsmaßnahmen stattgefunden haben und nachweisbar sind. Der Digital Omnibus sieht hier eine weitere sprachliche Abschwächung vor – die eigentliche Pflicht entfällt dadurch aber nicht.

Was noch nicht gilt: Die umfangreichen Betreiberpflichten für Hochrisiko-KI (Art. 26 EU AI Act) – darunter auch eine Pflicht, Patient:innen über den KI-Einsatz zu informieren – greifen erst später. Rechtlich verbindlich sind derzeit der 2. August 2026 (eigenständige Hochrisiko-Systeme) bzw. 2. August 2027 (in Medizinprodukte eingebettete KI). Mit dem Digital Omnibus sollen diese Termine auf den 2. Dezember 2027 bzw. 2. August 2028 verschoben werden. Es bleibt also Zeit für eine strukturierte Vorbereitung.

Was zur Kennzeichnung gilt: Die Transparenz- und Kennzeichnungspflichten nach Art. 50 EU AI Act greifen ab dem 2. August 2026. Wer KI-Werkzeuge einsetzt, die Texte oder andere Inhalte generieren – etwa für Arztbriefe oder Patientenkommunikation –, muss diese als KI-generiert kenntlich machen. Für Systeme, die bereits vor dem 2. August 2026 auf dem Markt waren, sieht der Digital Omnibus eine Frist bis zum 2. Dezember 2026 für die maschinenlesbare Kennzeichnung vor.

Was sich national getan hat: Der Bundestag hat im Juni 2026 das KI-Marktüberwachungs- und Innovationsförderungs-Gesetz (KI-MIG) beschlossen, das die nationale Durchsetzung regelt. Zentrale Aufsichtsbehörde wird die Bundesnetzagentur. Damit steht fest, wer die Einhaltung der KI-Verordnung in Deutschland überwacht – die materiellen Pflichten greifen aber weiterhin nach dem gestaffelten europäischen Zeitplan.

Bin ich als Praxis überhaupt betroffen? Das hängt vom eingesetzten System ab. Ein telefonischer Assistent, der Termine entgegennimmt und Nachrichten weiterleitet, gilt nach aktuellem Stand nicht als Hochrisiko-KI. Anders sieht es aus, wenn ein System eigenständig medizinische Einschätzungen vornimmt, Symptome klassifiziert oder Behandlungsprioritäten setzt — dann kann eine Hochrisiko-Einstufung einschlägig sein.

Was Praxen jetzt konkret tun sollten:

1. Bestandsaufnahme: Welche digitalen Tools in der Praxis nutzen KI-Funktionen?
2. Schulungsmaßnahmen dokumentieren und aufbewahren — denn im Falle einer Prüfung zählt nicht nur, was Sie tun, sondern dass Sie es nachweisen können (Art. 4 gilt bereits seit Februar 2025)
3. Datenschutzerklärung prüfen: Werden alle eingesetzten Tools korrekt aufgeführt?

Und: Auch hier gilt das, was schon immer galt. Schweigepflicht und DSGVO gelten beim KI-Einsatz uneingeschränkt. Ein KI-System ändert nichts an der Verantwortung der Praxis für die verarbeiteten Patientendaten.

So schützen wir Ihre Daten

PraxisConcierge ist als Auftragsverarbeiter nach Art. 28 DSGVO konzipiert — das ist der vertragliche Rahmen jeder Zusammenarbeit.

AVV als Standard, nicht als Option. Jede Praxis erhält automatisch einen Auftragsverarbeitungsvertrag. Kein Nachverhandeln, kein Zusatzaufwand.

Datenminimierung als Prinzip. PraxisConcierge verarbeitet nur die Daten, die für den jeweiligen Vorgang erforderlich sind: Basiskontaktdaten, Terminkoordination und – wo es das Patientenanliegen erfordert – weitere Kommunikationsinhalte, etwa Rückfragen zur Therapie. Solche Inhalte können besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sein; sie werden ausschließlich zweck- und weisungsgebunden im Rahmen des AVV verarbeitet. Eine strukturierte, systematische Erfassung von Diagnosen oder ICD-Codes ist nicht Teil der Verarbeitung.

Infrastruktur ausschließlich in der EU. Die Daten werden in zertifizierten Rechenzentren in Deutschland und im weiteren EU-Raum verarbeitet. Wir setzen ausschließlich Subdienstleister innerhalb der EU bzw. des EWR ein.

Technische Sicherheit nach Stand der Technik. Verschlüsselung der Datenübertragung über öffentliche Netze (TLS 1.2+), Verschlüsselung sensibler Daten nach AES-256-Standard, soweit technisch anwendbar, strikte Mandantentrennung mit separaten Datenbanken je Praxis, rollenbasierte Zugriffsrechte.

§ 203 StGB-Verpflichtung. Alle Mitarbeitenden von PraxisConcierge, die im Rahmen der Leistungserbringung Zugang zu Patientendaten haben, sind ausdrücklich auf Vertraulichkeit und die Anforderungen des ärztlichen Berufsgeheimnisses verpflichtet.

Externer Datenschutzbeauftragter. PraxisConcierge arbeitet mit einem auf das Gesundheitswesen spezialisierten externen Datenschutzbeauftragten zusammen.

Textbausteine für die Praxis. Praxen erhalten konkrete Formulierungsvorschläge, mit denen sie den Einsatz von PraxisConcierge in ihrer eigenen Datenschutzerklärung transparent abbilden können. Die datenschutzrechtliche Verantwortung für die Datenschutzerklärung verbleibt bei der Praxis.

Checkliste: Datenschutz Arztpraxis — 7 Punkte, die jetzt zählen

Eine schnelle Selbstprüfung für Ihre Praxis:

Für jeden externen Dienstleister mit Datenzugang liegt ein AVV vor.
Die Datenschutzerklärung der Praxis ist aktuell und listet alle eingesetzten digitalen Tools auf.
Im Terminkalender stehen nur die Daten, die für den jeweiligen Termin notwendig sind.
Terminerinnerungen per SMS/E-Mail: Einwilligungen liegen vor und sind dokumentiert.
Alle Mitarbeitenden kennen ihre Pflichten nach DSGVO und § 203 StGB.
Eingesetzte KI-Tools sind bekannt, dokumentiert, und Mitarbeitende wurden grundlegend geschult.
Löschfristen für Termindaten beim externen Anbieter sind vertraglich geregelt.

Sie haben noch offene Punkte?

Datenschutz in der Arztpraxis muss keine Blackbox bleiben. PraxisConcierge unterstützt Praxen nicht nur mit einer rechtskonformen Telefonassistenz und Online-Rezeption — sondern auch mit konkreten Unterlagen, die die Datenschutzkompliance erleichtern.

Sprechen Sie uns an — wir beantworten Ihre Fragen gerne per E-Mail.

_____________________________
Quellen: 

(1) Bundesärztekammer / Kassenärztliche Bundesvereinigung: „Hinweise und Empfehlungen zur ärztlichen Schweigepflicht, Datenschutz und Datenverarbeitung in der Arztpraxis“, Stand 01.10.2025, Abschnitt 3.8 (Datenschutz-Folgenabschätzung).
(2) Datenschutzkonferenz (DSK): „Datenschutz bei der Terminverwaltung durch Heilberufspraxen – Positionspapier zum datenschutzkonformen Einsatz von Dienstleistern für Online-Terminbuchungen und das Terminmanagement“, Beschluss vom 16. Juni 2025.
DSGVO (EU) 2016/679; § 203 StGB; § 22 BDSG; MBO-Ä § 9; EU AI Act (VO (EU) 2024/1689); KI-Marktüberwachungs- und Innovationsförderungs-Gesetz (KI-MIG), Bundestag Juni 2026; Digital Omnibus zur KI-Verordnung (Verfahren 2025/0359(COD)), politische Einigung vom 7. Mai 2026, noch nicht im EU-Amtsblatt veröffentlicht.