Datenschutz für Arztpraxen im Zollernalbkreis

Arztpraxen sind die datenschutz-anspruchsvollste Branche, die ein KMU sein kann. Patientendaten sind durch Art. 9 DSGVO besonders geschützt, das Sozialgeheimnis nach § 35 SGB I kommt noch obendrauf, dazu die berufsrechtliche Schweigepflicht — und seit 2024/2025 zusätzlich neue digitale Anforderungen (KIM, ePA, eRezept). Im Zollernalbkreis mit über 180 Praxen ist der Datenschutz-Aufwand erheblich, gleichzeitig sind die Ressourcen knapp. Dieser Artikel zeigt die typischen Stolperfallen und realistische Lösungswege.

Warum Arztpraxen immer DSB-Pflicht sind

Die DSB-Pflicht ist in der DSGVO und im BDSG geregelt. Für Arztpraxen greift Art. 37 Abs. 1 lit. c DSGVO: wer als Kerngeschäft Daten nach Art. 9 verarbeitet, muss einen DSB benennen — unabhängig von der Mitarbeiterzahl. Eine Hausarztpraxis mit 3 Mitarbeitern ist also genauso DSB-pflichtig wie eine MVZ-Struktur mit 40 Mitarbeitern.

Was viele Praxis-Inhaber überrascht: Auch reine “Mini-Praxen” (Arzt plus eine MFA) sind formell DSB-pflichtig. In der Aufsichtspraxis wird das gelegentlich pragmatisch gehandhabt, formell besteht die Pflicht aber. Mehr zum Verständnis von Art. 9 DSGVO und Datenschutzbeauftragten im Glossar.

Rechtsquellen, die parallel gelten

In der Arztpraxis sind nicht nur DSGVO und BDSG zu beachten, sondern fünf Rechtsquellen gleichzeitig:

Rechtsquelle	Schutzbereich
DSGVO (Art. 9)	Verarbeitung besonderer Kategorien personenbezogener Daten
BDSG (§ 22)	Konkretisierung für besondere Datenkategorien
Sozialgesetzbuch I (§ 35)	Sozialgeheimnis bei Sozialleistungen
StGB § 203	Berufliche Schweigepflicht
Berufsordnung der Ärzte	Standesrechtliche Verpflichtung

Wo sich diese Vorschriften überschneiden, gilt das strengste Maß. In der Praxis heißt das: jede Maßnahme muss DSGVO und Schweigepflicht gleichzeitig erfüllen.

Stolperfallen im Praxis-Alltag

Aus über 20 Praxen-Audits in der Region Zollernalb kristallisieren sich sieben Themen heraus, die in fast jedem Erstaudit auftauchen.

1. Empfangsbereich und Datenschutz

Patientendaten werden am Empfang aufgenommen, der Empfangstresen liegt aber häufig im Sichtkontakt zum Warteraum. Wartende Patienten können Namen, Versichertendaten, manchmal sogar Diagnosen mithören. Das ist ein klassischer Verstoß gegen das Sozialgeheimnis.

Lösung: räumliche Trennung, schalldämmende Glas-Trennwand oder Diskretions-Abstand mit klarer Markierung. In Bestandspraxen oft nicht baulich machbar — dann müssen organisatorische Maßnahmen greifen (Empfangs-Schicht-Modell, vertrauliche Nachfragen am Schalter, Wartebereich-Trennung).

2. Patientendaten-Software und AVV

Die Praxis-Software (TurboMed, MediStar, Quincy, Tomedo, T2med etc.) ist Auftragsverarbeiter. Der AVV ist meist vom Anbieter vorbereitet, muss aber individuell unterschrieben werden. In der Realität: in jeder dritten Praxis fehlt der AVV oder ist veraltet.

Auch Cloud-Anbieter (Backup, ePA-Schnittstellen, Anbindungen) brauchen eigene AVVs. Wer mit der TI (Telematik-Infrastruktur) arbeitet, hat zusätzliche Datenschutz-Vereinbarungen mit der gematik.

3. KIM-Integration seit 2024

KIM (Kommunikation im Medizinwesen) ist seit 2024 für alle Vertragsärzte Pflicht. Die sichere Kommunikation mit anderen Praxen, Krankenhäusern und Krankenkassen läuft über KIM-Mail. In der Realität: KIM ist häufig installiert, aber nicht ins Datenschutz-Konzept integriert. VVT-Eintrag fehlt, AVV mit dem KIM-Provider unklar, Mitarbeiter-Schulung nicht durchgeführt.

4. ePA und Patient-Kommunikation

Die elektronische Patientenakte (ePA) wird ab 2025 schrittweise verbindlich. Patienten müssen über die ePA-Funktionen informiert werden, die Praxis muss neue Verarbeitungs-Tätigkeiten ins VVT aufnehmen, Berechtigungs-Konzepte aktualisieren. 2026 ist ein Schwerpunkt-Audit des LfDI BW dazu zu erwarten.

5. Online-Terminvergabe und Anamnesebögen

Viele Praxen nutzen Doctolib, jameda, Doctena oder ähnliche Plattformen. Diese sind Auftragsverarbeiter und brauchen AVV plus konforme Datenschutzerklärung auf der Praxis-Website. Online-Anamnesebögen sind besonders heikel, weil sie schon Gesundheitsdaten transportieren — Einwilligung des Patienten muss dokumentiert sein.

6. WhatsApp-Kommunikation mit Patienten

Klassiker auch in Praxen: Terminerinnerungen, Rezept-Anfragen oder kurze Rückfragen werden per WhatsApp abgewickelt. Das ist nahezu immer unzulässig — WhatsApp transportiert die Daten in die USA, hat keine Schweigepflicht, und der Patient erhält keine konforme Information.

Lösung: KIM für Arzt-Arzt-Kommunikation, sichere Patienten-App (z.B. die der eigenen Krankenkasse) oder strukturierte E-Mail mit Verschlüsselung. Eine reine WhatsApp-Verzichts-Erklärung reicht, wenn sie konsequent umgesetzt wird.

7. Personalakten und MFA-Verträge

Die Personalakten der MFA, Auszubildenden und ärztlichen Mitarbeiter unterliegen ebenfalls dem Datenschutz. Aufbewahrungs- und Löschkonzept sind in jeder zweiten Praxis nicht ausgearbeitet. Bei Mitarbeiter-Austritt bleiben Akten oft jahrelang im Schrank.

Regionale Besonderheiten im Zollernalbkreis

Der Zollernalbkreis hat einige Eigenheiten, die für die Datenschutz-Praxis relevant sind:

• Vier Klinikum-Standorte: Balingen, Hechingen, Albstadt-Ebingen, Rottweil-Schwarzwald (grenznah). Praxen mit Klinikum-Kooperationen brauchen häufig zusätzliche Vereinbarungen zur Daten-Übergabe.
• Über 180 Vertrags-Praxen plus über 40 Privatpraxen. Aufsichts-Schwerpunkt 2026 zu erwarten.
• Hochbetagter Patientenstamm in Hechingen und Albstadt: ePA-Onboarding und KIM-Kommunikation laufen langsamer als in Tübingen — Patienten brauchen mehr Erklärungs-Aufwand.
• Berufsverband-Strukturen: KVBW (Kassenärztliche Vereinigung Baden-Württemberg) Bezirk Tübingen ist zuständig — hier laufen die meisten KIM- und TI-Themen.

Wer mehr zu regionalen Aufsichts-Schwerpunkten lesen will, findet das unter Aufsichtsbehörde Baden-Württemberg und KMU-Datenschutz Tübingen-Reutlingen.

Was eine Praxis-Beratung kostet

Aus 20+ Praxis-Mandaten ergeben sich folgende Festpreise:

Praxis-Typ	Mitarbeiter	Monatlicher Festpreis
Hausarztpraxis solo	2–4	120–180 €
Standard-Praxis	6–12	160–260 €
Gemeinschaftspraxis	10–20	220–360 €
MVZ / größere Struktur	20–60	320–680 €

Im Festpreis enthalten: Jahresaudit, Schulungen für MFA und ärztliches Personal, AVV-Inventur (inkl. Praxis-Software, KIM, TI, Cloud), Notfall-Hotline, TOM-Konzept, Schriftverkehr mit dem LfDI BW.

Schulungen für MFA und ärztliches Personal

Die Mitarbeiter-Schulung ist in Arztpraxen besonders kritisch, weil eine einzelne Indiskretion in der Patient-Kommunikation schon das Sozialgeheimnis verletzt. Aus der Praxis empfehlen wir folgende Schulungs-Struktur:

Jährliche Pflicht-Schulung (60 Minuten, alle MFA und Ärzte): Grundlagen DSGVO, Schweigepflicht, Datenpannen-Erkennung, Umgang mit Patientenanfragen. Dokumentiert mit Teilnehmerliste und Test.

Quartals-Update (15 Minuten, Praxis-Besprechung): Aktuelle Änderungen (ePA-Status, KIM-Updates, Aufsichts-Schwerpunkte), neue Software-Lücken, Lessons Learned aus Datenpannen anderer Praxen.

Onboarding-Schulung (30 Minuten, neue MFA): bei Eintritt innerhalb erste Woche. Praxis-spezifische Regeln, Software-Berechtigungen, Kommunikations-Kanäle.

Bei laufendem Mandat sind alle drei Schulungs-Formate im Festpreis enthalten. Die jährliche Schulung kann auch online stattfinden, das Quartals-Update ergibt sich oft aus dem Mandats-Kontakt.

Was eine konkrete Praxis-Audit-Empfehlung enthält

Aus dem typischen Audit kristallisieren sich folgende Maßnahmen heraus, priorisiert nach Risiko:

• Sofort (binnen 4 Wochen): AVV-Inventur, Datenschutzerklärung auf Website aktualisieren, VVT-Erstellung mit allen Verarbeitungstätigkeiten inkl. ePA und KIM
• Mittelfristig (binnen 3 Monaten): MFA-Schulung dokumentieren, Löschkonzept Personalakten, WhatsApp-Verzichts-Erklärung, KIM-Mitarbeiter-Schulung
• Langfristig (binnen 12 Monaten): Empfangs-Bereich optimieren, ePA-Patient-Kommunikation systematisieren, Berechtigungs-Konzept für Praxis-Software dokumentieren

Mehr zur Vorgehensweise unter Vor-Ort-Audit vorbereiten, zum Vergleich extern/intern unter Datenschutzbeauftragter extern vs. intern regional.

Was Sie konkret tun sollten

Wenn Sie eine Praxis im Zollernalbkreis führen, sind das die drei nächsten Schritte:

1. Pflicht-Check: Haben Sie einen DSB benannt? Falls nein — die Pflicht besteht. Sofortiger Handlungsbedarf, weil eine Beschwerde eines unzufriedenen Patienten reicht für eine Aufsichts-Prüfung.
2. Kostenloser Praxis-Quickcheck: 60 Minuten in Ihrer Praxis, schriftliche Kurzanalyse. Wir kommen nach Balingen, Hechingen, Albstadt oder weiter — Anfahrt aus Tübingen 25–45 Minuten. Termin anfragen.
3. Festpreis-Entscheidung: Nach dem Quickcheck haben Sie eine ehrliche Empfehlung mit Festpreis. Aufbau, laufende Betreuung, Schulungen — alles inklusive.

Direkter Kontakt unter +49 7071 770371. Wer mehr zu den umliegenden Standorten wissen will, findet die Seiten Hechingen, Albstadt, Balingen und Rottenburg im Standorte-Bereich. Mehr zu Branchen und zum Ablauf eines Mandats auf den jeweiligen Seiten.