Die Schweigepflicht und der Datenschutz sind zentrale rechtliche Pflichten in der Arztpraxis. Strafbewehrt ist die Schweigepflicht durch § 203 Strafgesetzbuch (StGB), der die unbefugte Offenbarung fremder Geheimnisse durch Berufsgeheimnisträger und ihre berufsmäßig tätigen Gehilfen (also auch MFA) unter Strafe stellt[^1]. Dazu kommt die datenschutzrechtliche Ebene mit der EU-Datenschutz-Grundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG)[^2][^3]. Patientendaten gelten als besondere Kategorie personenbezogener Daten (Art. 9 DSGVO) und unterliegen einem erhöhten Schutz.
Kurz & knapp
- Strafrechtlich: § 203 StGB (Verletzung von Privatgeheimnissen) – auch für MFA als „berufsmäßig tätige Gehilfen“[^1]
- Datenschutzrechtlich: DSGVO + BDSG; Patientendaten sind besondere Kategorie nach Art. 9 DSGVO[^2][^3]
- Schadenersatz: Bußgelder bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (Art. 83 DSGVO)
- Persönliche Folgen bei Verstoß: Geldstrafe oder Freiheitsstrafe bis 1 Jahr (§ 203 StGB), arbeitsrechtliche Konsequenzen, Schadensersatz
- Schweigepflicht gilt auch gegenüber Familie, Freunden, Polizei, Versicherungen – Ausnahmen nur bei Einwilligung oder gesetzlicher Erlaubnis (z. B. IfSG-Meldepflichten)
- DSGVO-Pflichten der Praxis: Verzeichnis von Verarbeitungstätigkeiten, technisch-organisatorische Maßnahmen, Datenschutzbeauftragte/r ab 20 Personen oder bei umfangreicher Verarbeitung sensitiver Daten
- Praxisroutinen: Sichtschutz, Bildschirm-Privacy, Aktenverschluss, Identitätsprüfung am Telefon, Rollenrechte im PVS
Was bedeutet Schweigepflicht
Grundidee
Die Schweigepflicht verbietet, anvertraute oder bekannt gewordene Tatsachen aus dem Behandlungsverhältnis ohne Einwilligung weiterzugeben. Dazu zählen[^1]:
- Diagnosen, Befunde, Anamnesedaten
- Termine, Behandlungstatsache, Medikation
- persönliche Umstände (Familie, Beruf, Sucht, finanzielle Situation)
- Aufenthalt der Person in der Praxis (auch die bloße Patienteneigenschaft ist geschützt)
- gegenüber allen Außenstehenden, einschließlich Angehörigen, Bekannten, Arbeitgeber, Versicherungen
- gegenüber anderen Mitarbeitenden der Praxis, die für die konkrete Aufgabe nicht zuständig sind
- dauerhaft – auch nach Ende des Arbeitsverhältnisses oder der Ausbildung
- in digitalen und mündlichen Kontexten gleichermaßen (auch Social-Media-Posts oder Privatgespräche fallen darunter)
Wer ist verpflichtet
§ 203 StGB nennt Berufsgeheimnisträger – darunter Ärztinnen und Ärzte – sowie ihre berufsmäßig tätigen Gehilfen. MFA, ZFA, PKA, Auszubildende, Pflegekräfte, Reinigungskräfte mit Patientenkontakt, IT-Dienstleister mit Aktenzugriff und externe Dienstleister mit Auftragsverarbeitungsvertrag sind erfasst[^1].
Typische Situationen
Telefonische Auskünfte an Angehörige
- Grundregel: keine Auskunft ohne nachweisliche Einwilligung der Patientin / des Patienten
- Identität kann telefonisch nicht zuverlässig geprüft werden
- Antwort: „Wir können telefonisch keine Auskunft geben. Bitte sprechen Sie direkt mit der/dem Betroffenen oder lassen Sie uns die Einwilligung schriftlich vorliegen.“
- bei Notfällen (z. B. nicht erreichbarer Patient, Sorge um den Zustand): nur nach Rücksprache mit Arzt entscheiden
Bekannte fragen, ob X Patient ist
- bereits die Auskunft, dass jemand Patient ist, fällt unter die Schweigepflicht
- übliche Antwort: „Diese Information darf ich nicht weitergeben.“
Unterlagen am Empfang
- nichts mit Patientenbezug offen liegen lassen
- Aktenmappen mit Sichtschutz ablegen
- am Ende des Arbeitstages Akten in verschließbare Schränke
Gespräche im Wartebereich
- Sichtschutz und ausreichender Abstand zwischen Empfang und Wartezone
- sensible Inhalte in einen Nebenraum verlagern
- akustischer Schutz (geschlossene Türen, ggf. Hintergrundmusik bei kleinen Praxen)
Soziale Medien
- keine Patienten-Erlebnisse auf Social Media schildern, auch wenn Namen geändert werden – Patienten könnten sich erkennen
- keine Fotos aus Behandlungsräumen mit erkennbaren Akten oder Bildschirmen
- Praxis-Accounts nicht für Privatkommunikation nutzen
Datenschutz im Praxisalltag
Am Empfang
- nur notwendige Informationen laut aussprechen, keine Diagnosen
- Bildschirme vor Einblick durch Patienten schützen (Privacy-Filter, Aufstellung)
- Ausdrucke nicht offen liegen lassen; Drucker an einem geschützten Ort
- Identität am Telefon sorgfältig prüfen: Geburtsdatum, ggf. Versichertennummer, Rückruf an die hinterlegte Telefonnummer
In der Praxisverwaltungssoftware (PVS)
- nur auf Daten zugreifen, die für die aktuelle Aufgabe notwendig sind (Need-to-know-Prinzip)
- Zugangsdaten nicht teilen, kein „gemeinsames Passwort“ am Empfang
- Bildschirm sperren, wenn der Arbeitsplatz verlassen wird (z. B. Win+L)
- Änderungen an Akten dokumentieren – die Software führt darüber automatisch Protokoll
- Berechtigungsstufen je nach Rolle (MFA, Praxismanagerin, Auszubildende, IT-Dienstleister)
Ausgehende Kommunikation
- E-Mail mit Patientendaten: nur über sichere Kanäle (KIM, verschlüsselte E-Mail mit S/MIME oder PGP) – unverschlüsselte E-Mail ist datenschutzrechtlich kritisch
- Fax ist datenschutzrechtlich problematisch; Empfänger vorab anrufen, korrekte Faxnummer prüfen
- Postversand mit Patientenakten in besonderen Briefumschlägen, Empfänger vor Versand kontaktieren
Externe Dienstleister
- IT-Dienstleister, PVS-Anbieter, Cloud-Dienste: Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO erforderlich[^2]
- Reinigungspersonal, Servicetechniker: Verschwiegenheitserklärung
- Transkriptions- und Diktatdienste, Verrechnungsstellen: AVV plus dokumentierte Sicherheitsmaßnahmen
DSGVO-Pflichten der Praxis
- Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO): Übersicht aller Datenverarbeitungen in der Praxis
- technisch-organisatorische Maßnahmen (TOM): Zugangskontrolle, Verschlüsselung, Backup, Datenschutzschulungen
- Patienteninformation (Art. 13 DSGVO): Datenschutzhinweis am Empfang sichtbar
- Datenschutzbeauftragte/r ab 20 Personen, die ständig automatisiert mit personenbezogenen Daten umgehen, oder bei umfangreicher Verarbeitung besonderer Kategorien (Art. 37 DSGVO)
- Meldung von Datenschutzvorfällen an die Aufsichtsbehörde innerhalb von 72 Stunden (Art. 33 DSGVO); ggf. Information der Betroffenen (Art. 34 DSGVO)
- Auskunfts-, Berichtigungs- und Löschungsrecht der Betroffenen beachten (Art. 15–18 DSGVO)
Was tun bei Unsicherheit oder Vorfall
Eskalationswege
- bei unklaren Auskunftsanfragen zuerst im Team rückfragen, im Zweifel Praxisleitung einbeziehen
- keine Patientendaten „zur Sicherheit“ herausgeben
- bei Datenschutzvorfällen (z. B. verlorene Akte, fehlgeleitete E-Mail, Hacker-Angriff) sofort melden:
- Praxisleitung
- Datenschutzbeauftragte/r der Praxis
- bei meldepflichtigen Vorfällen: Landesdatenschutzbehörde innerhalb von 72 Stunden
- Vorfall dokumentieren im Vorfallregister der Praxis
Konsequenzen bei Verstoß
- strafrechtlich: Geldstrafe oder Freiheitsstrafe bis zu 1 Jahr (§ 203 StGB)[^1]
- arbeitsrechtlich: Abmahnung, im schweren Fall fristlose Kündigung
- zivilrechtlich: Schadensersatzansprüche der Betroffenen
- datenschutzrechtlich: Bußgelder gegen die Praxis (bis 20 Mio. € oder 4 % des Jahresumsatzes nach Art. 83 DSGVO)
Häufig gestellte Fragen (FAQ)
Darf ich am Telefon bestätigen, dass jemand Patient in der Praxis ist? Nein. Bereits die Auskunft, dass jemand Patient ist, fällt unter die Schweigepflicht und darf ohne Einwilligung nicht erteilt werden.
Was sage ich, wenn die Polizei Auskünfte verlangt? Die Schweigepflicht gilt grundsätzlich auch gegenüber Polizei und Behörden. Auskünfte sind nur mit Einwilligung der Patientin / des Patienten oder bei einer gerichtlichen Anordnung (z. B. Beschlagnahme) zulässig. Im Zweifel die Praxisleitung einbeziehen.
Gilt die Schweigepflicht auch nach der Ausbildung? Ja. Sie gilt dauerhaft – auch nach Ende des Beschäftigungsverhältnisses und nach Praxisaufgabe.
Darf ich mit Familie über schwierige Patienten sprechen? Nein, sobald Personen identifizierbar werden – auch durch indirekte Hinweise (Dorfgemeinschaft, kleine Praxis, ungewöhnliche Erkrankung). Erlaubt sind nur anonymisierte und nicht zuordenbare Beschreibungen, am besten erst gar nicht.
Welche E-Mail-Wege sind datenschutzkonform? KIM (Kommunikation im Medizinwesen) als gesicherter Kanal innerhalb der Telematikinfrastruktur, Ende-zu-Ende-verschlüsselte E-Mail (S/MIME, PGP), oder spezielle gesicherte Postfächer der Krankenkassen und Berufsverbände. Unverschlüsselte E-Mail mit Patientendaten ist datenschutzrechtlich problematisch.
Wann braucht eine Praxis einen Datenschutzbeauftragten? Ab 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, oder bei umfangreicher Verarbeitung besonderer Kategorien personenbezogener Daten (Patientendaten). Viele Arztpraxen erfüllen die Voraussetzungen nicht, dennoch ist die freiwillige Bestellung empfehlenswert[^2].
Was passiert bei einem Datenschutzvorfall? Sofortige Meldung intern, Bewertung des Risikos, ggf. Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden (Art. 33 DSGVO), Information der Betroffenen bei hohem Risiko (Art. 34 DSGVO), Dokumentation und Maßnahmen zur Vermeidung[^2].
Quellen
[^1]: Strafgesetzbuch (StGB), § 203 (Verletzung von Privatgeheimnissen).