DSGVO in der psychotherapeutischen Privatpraxis

Datenschutz in der Psychotherapie hat eine unangenehme Eigenschaft: Er fällt selten auf, solange nichts passiert, und dann auf einen Schlag. Kaum jemand hat die Praxis wegen einer fehlenden Verfahrensdokumentation gegründet, und trotzdem hängt an ihr im Ernstfall die eigene Haftung.

Dieser Text sortiert, was für eine psychotherapeutische Privatpraxis tatsächlich gilt. Nicht als Panikliste, sondern als Bestandsaufnahme: Manches ist weniger aufwendig als befürchtet, einiges lässt sich einmal erledigen und dann jahrelang stehen lassen, und ein paar Punkte laufen dauerhaft im Hintergrund mit.

Warum Therapiedaten eine eigene Kategorie sind

Die DSGVO unterscheidet zwischen normalen personenbezogenen Daten und besonderen Kategorien. Gesundheitsdaten gehören zur zweiten Gruppe (Art. 9 Abs. 1 DSGVO), und ihre Verarbeitung ist zunächst einmal verboten. Erlaubt wird sie erst durch einen Ausnahmetatbestand, im Praxisalltag regelmäßig Art. 9 Abs. 2 lit. h: Verarbeitung zum Zweck der Gesundheitsversorgung durch Fachpersonal, das der Schweigepflicht unterliegt.

Das klingt nach Formalie, hat aber eine praktische Folge, die oft übersehen wird: Die Erlaubnis deckt die Behandlung. Sie deckt nicht automatisch alles, was sonst noch mit den Daten geschieht. Der Newsletter an ehemalige Patient:innen, die Rezension-Bitte nach Therapieende, die Weitergabe an Kolleg:innen zur Supervision mit Klarnamen: Das sind eigene Verarbeitungen mit eigener Rechtsgrundlage, meist einer Einwilligung.

Parallel dazu läuft die strafbewehrte Schweigepflicht nach § 203 StGB, die es schon vor der DSGVO gab und die unabhängig von ihr weitergilt. Beide Ebenen greifen ineinander, sind aber nicht deckungsgleich: Eine datenschutzrechtlich saubere Verarbeitung kann trotzdem eine Schweigepflichtverletzung sein.

Dokumentieren ist Pflicht, Löschen aber auch

Nach § 630f BGB muss jede Behandlung dokumentiert werden, und zwar zeitnah. Die Patientenakte ist danach zehn Jahre nach Abschluss der Behandlung aufzubewahren, sofern keine andere Vorschrift eine längere Frist vorsieht. Für Privatpraxen kommen daneben steuer- und handelsrechtliche Fristen für die Abrechnungsunterlagen ins Spiel, die eigenen Regeln folgen.

Der Teil, der in der Praxis regelmäßig untergeht, ist das Ende dieser Frist. Die DSGVO kennt keinen Zustand "wir behalten das mal sicherheitshalber": Nach Art. 5 Abs. 1 lit. e dürfen Daten nur so lange in identifizierbarer Form gespeichert werden, wie es für den Zweck erforderlich ist. Ist die Aufbewahrungsfrist abgelaufen und kein anderer Grund mehr vorhanden, wird aus dem Aufbewahren-Dürfen ein Löschen-Müssen.

Das ist keine theoretische Pflicht, sondern der Punkt, an dem die meisten Praxen tatsächlich angreifbar sind. Eine Akte von 2013 liegt in aller Regel noch da, weil niemand ein Datum im Kopf hat, an dem sie hätte verschwinden müssen. Wer keine Übersicht führt, aus der hervorgeht, welche Akte wann fällig wird, hat diese Frist praktisch nicht im Griff.

Dazu gehört ein zweiter, ebenso unbeliebter Gedanke: ein Löschkonzept. Also eine schriftliche Antwort auf die Frage, welche Daten wie lange aufbewahrt und danach wie gelöscht werden. Es muss kein umfangreiches Dokument sein, aber es muss existieren, weil die Rechenschaftspflicht (Art. 5 Abs. 2) verlangt, dass die Praxis ihre Datenschutzentscheidungen belegen kann.

Was Patient:innen von dir wissen müssen

Art. 13 DSGVO verlangt, dass Betroffene bei Erhebung ihrer Daten informiert werden: wer verantwortlich ist, zu welchem Zweck und auf welcher Rechtsgrundlage verarbeitet wird, wie lange gespeichert wird, welche Rechte bestehen und bei welcher Aufsichtsbehörde man sich beschweren kann.

Wichtig ist die Abgrenzung zur Einwilligung, weil sie oft vermischt wird. Die Information nach Art. 13 ist eine Bringschuld der Praxis, keine Zustimmung der Patient:innen. Die Behandlung selbst braucht keine Datenschutz-Einwilligung, sie stützt sich auf Art. 9 Abs. 2 lit. h. Eine Unterschrift unter den Datenschutzhinweis ist deshalb rechtlich keine Einwilligung, sondern höchstens der Nachweis, dass informiert wurde. Genau als solcher ist sie aber nützlich.

Eine echte Einwilligung braucht es dagegen für alles, was über die Behandlung hinausgeht: Kontaktaufnahme über bestimmte Kanäle, Terminerinnerungen per SMS oder E-Mail, Austausch mit vor- oder nachbehandelnden Stellen. Und sie muss jederzeit widerrufbar sein, ohne dass daraus Nachteile für die Behandlung entstehen.

Die zwei Dokumente, nach denen zuerst gefragt wird

Wenn eine Aufsichtsbehörde sich meldet, geht es fast immer zuerst um dieselben beiden Unterlagen.

Das Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO). Eine Aufstellung, was in der Praxis mit personenbezogenen Daten passiert: Behandlungsdokumentation, Abrechnung, Terminverwaltung, Korrespondenz, jeweils mit Zweck, Kategorien von Betroffenen und Daten, Empfängern, Löschfristen und einer allgemeinen Beschreibung der Sicherheitsmaßnahmen. Die Ausnahme für kleine Unternehmen unter 250 Beschäftigten hilft hier nicht weiter: Sie greift unter anderem dann nicht, wenn besondere Datenkategorien verarbeitet werden, und das ist in jeder Therapiepraxis der Fall.

Die technischen und organisatorischen Maßnahmen (Art. 32 DSGVO). Also die Beschreibung dessen, was die Daten tatsächlich schützt: Zugangs- und Zugriffskontrolle, Verschlüsselung, Sicherung, Protokollierung, Regelungen für Vertretung und Ausfall. Auch hier zählt nicht die Länge des Dokuments, sondern dass es die tatsächliche Praxis beschreibt und nicht eine Wunschvorstellung.

Beide Dokumente sind Aufwand, aber einmaliger: Sind sie erstellt, ändern sie sich nur, wenn sich an den Abläufen etwas ändert.

Brauche ich eine Folgenabschätzung? Und eine:n Datenschutzbeauftragte:n?

Zwei Fragen, bei denen viele Praxen mehr Aufwand befürchten als tatsächlich entsteht.

Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist nötig, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Betroffenen mit sich bringt, unter anderem bei umfangreicher Verarbeitung besonderer Datenkategorien. Für die typische Einzelpraxis spricht einiges dagegen, dass dieses Merkmal erfüllt ist: Erwägungsgrund 91 stellt ausdrücklich klar, dass die Verarbeitung von Patientendaten durch einen einzelnen Angehörigen eines Gesundheitsberufs nicht als umfangreich gelten soll. Anders kann es aussehen, sobald neue Technologien hinzukommen, etwa Videobehandlung oder KI-gestützte Auswertung.

Wichtig ist dabei: Die Prüfung und ihr Ergebnis gehören dokumentiert, auch wenn sie negativ ausfällt. "Wir haben geprüft und sind aus diesen Gründen zu dem Schluss gekommen, dass keine DSFA erforderlich ist" ist eine belastbare Position. "Wir haben nie darüber nachgedacht" ist keine.

Bei der Frage nach einer benannten datenschutzbeauftragten Person ist die Lage ähnlich. § 38 BDSG knüpft die Pflicht daran, dass in der Regel mindestens zwanzig Personen ständig mit automatisierter Verarbeitung beschäftigt sind. Eine Solo-Praxis, auch mit Sekretariat, erreicht das nicht. Unabhängig von der Personenzahl entsteht die Pflicht aber, wenn Verarbeitungen durchgeführt werden, die einer Folgenabschätzung unterliegen. Beide Fragen hängen also zusammen und sollten gemeinsam beantwortet werden.

Wenn doch etwas passiert: 72 Stunden

Ein verlorener USB-Stick, ein gestohlener Praxislaptop, ein Verteiler-Versand mit sichtbaren Adressen, eine Mail an die falsche Person. Nach Art. 33 DSGVO ist eine Verletzung des Schutzes personenbezogener Daten der zuständigen Aufsichtsbehörde binnen 72 Stunden zu melden, sofern nicht voraussichtlich kein Risiko besteht. Bei hohem Risiko müssen zusätzlich die Betroffenen selbst informiert werden (Art. 34).

Bei Gesundheitsdaten fällt diese Risikoeinschätzung schnell zuungunsten der Praxis aus. 72 Stunden sind zudem knapp, wenn man erst im Ernstfall anfängt zu recherchieren, welche Behörde zuständig ist und was in die Meldung gehört. Ein vorbereiteter Ablauf mit Kontaktdaten und einer Liste der zu erfassenden Punkte kostet einmal eine halbe Stunde und ist im Fall der Fälle den Unterschied wert. Übrigens: Auch Vorfälle, die am Ende nicht gemeldet werden, gehören intern dokumentiert (Art. 33 Abs. 5).

Was Patient:innen verlangen können

Drei Rechte tauchen im Praxisalltag regelmäßig auf, und alle drei haben eine Frist von einem Monat:

• Auskunft (Art. 15) - welche Daten werden verarbeitet, zu welchem Zweck, wie lange, an wen weitergegeben. Dazu gehört auf Verlangen eine Kopie. Der Anspruch überschneidet sich mit dem Einsichtsrecht in die Patientenakte nach § 630g BGB, ist aber nicht identisch.
• Löschung (Art. 17) - greift nicht, solange die Aufbewahrungsfrist nach § 630f BGB läuft. Genau diese Einschränkung sollte man erklären können, ohne den Anspruch pauschal abzuweisen.
• Datenübertragbarkeit (Art. 20) - gilt nur für automatisiert verarbeitete Daten, die die Person selbst bereitgestellt hat, und nur wenn die Verarbeitung auf einer Einwilligung oder einem Vertrag beruht. Die eigentliche Behandlungsdokumentation fällt in aller Regel nicht darunter. Wo der Anspruch greift: Herausgabe in einem strukturierten, gängigen und maschinenlesbaren Format - ein eingescanntes PDF erfüllt das nicht zuverlässig.

Der praktische Knackpunkt ist weniger die Rechtslage als die Vollständigkeit. Wer Daten über mehrere Systeme verteilt hat, in der Praxissoftware, im Kalender, im Mailprogramm, in einer Excel-Tabelle für die Abrechnung, muss für eine Auskunft alle Quellen zusammensuchen. Und genau dabei entsteht der Fehler, dass etwas übersehen wird.

Jede Software, die mitliest, braucht einen Vertrag

Sobald ein Dienstleister im Auftrag der Praxis personenbezogene Daten verarbeitet, ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO nötig. Das betrifft mehr als die Praxissoftware: den Cloud-Speicher, den Mailhoster, die Terminbuchungsplattform, den Videodienst, den Schreibservice, die Backup-Lösung.

Die Rollenverteilung bleibt dabei immer dieselbe, und sie ist der wichtigste Satz in diesem Abschnitt: Verantwortlich ist und bleibt die Praxis. Der Dienstleister ist Auftragsverarbeiter. Er kann Pflichten technisch unterstützen, er kann sie nicht übernehmen. Kein Softwareanbieter kann die Praxis datenschutzkonform machen, und keiner sollte das behaupten.

Beim Videodienst kommt eine weitere Ebene dazu, weil dort Gesundheitsdaten in Echtzeit übertragen werden. Was dabei konkret zu prüfen ist, steht ausführlich in einem eigenen Beitrag: Online-Therapie DSGVO-konform anbieten.

Wie Therao dabei unterstützt

Der vorstehende Teil gilt unabhängig davon, mit welcher Software eine Praxis arbeitet. Was Software leisten kann, ist die laufenden Pflichten mitzuführen, statt sie der Erinnerung zu überlassen. Was Therao dafür bereitstellt:

Aufbewahrungsfristen im Blick. Therao verfolgt für jede Akte die Zehnjahresfrist ab der letzten dokumentierten Sitzung und zeigt sie als Liste mit drei Zuständen: laufend, in den nächsten zwölf Monaten ablaufend, abgelaufen. Rechtlich maßgeblich ist nach § 630f Abs. 3 BGB der tatsächliche Abschluss der Behandlung, für den die letzte Sitzung als Anhaltspunkt dient.

Vorlagen für die Pflichtdokumente. Verarbeitungsverzeichnis (Art. 30), technische und organisatorische Maßnahmen (Art. 32), eine DSFA-Vorlage (Art. 35) und ein Leitfaden für den Datenpannenfall (Art. 33/34) lassen sich als PDF erzeugen, vorbefüllt mit den hinterlegten Praxisstammdaten. Das nimmt die leere Seite ab. Die inhaltliche Verantwortung dafür, dass die Dokumente die tatsächlichen Abläufe der Praxis beschreiben, bleibt bei der Praxis.

Datenschutzhinweis und Therapievertrag im Ablauf verankert. Beide Dokumente lassen sich direkt in der App unterschreiben, auf dem Tablet oder ausgedruckt. In der Patientenakte zeigt ein Hinweis, solange eines davon fehlt, sodass die Information nach Art. 13 nicht an der Erinnerung hängt.

Betroffenenrechte als Funktion statt als Suchaufgabe. Für den Auskunftsfall (Art. 15) erzeugt Therao einen vollständigen Export aller zu einer Person gespeicherten Daten über alle Bereiche hinweg, in maschinenlesbarem Format - das deckt zugleich die Fälle ab, in denen zusätzlich Art. 20 greift. Für den Löschfall gibt es einen eigenen Weg, der die Daten tatsächlich entfernt statt sie nur auszublenden.

Nachvollziehbarkeit. Änderungen an Patientendaten sowie der Abruf einer einzelnen Akte werden protokolliert, mit Zeitstempel in deutscher Zeitzone. Das ist die Grundlage, um im Zweifel belegen zu können, wer wann was getan hat (Art. 5 Abs. 2).

Technische Absicherung. Passwörter werden mit PBKDF2-SHA256 und 600.000 Iterationen gespeichert, der Zugangs-Token liegt nur im Arbeitsspeicher, der Refresh-Token zusätzlich in der Browser-Sitzung (sessionStorage) - beide nie in localStorage oder Cookies. Eine automatische Abmeldung nach Inaktivität lässt sich einstellen. Rollen trennen Praxisverwaltung von Patientendatenzugriff, sodass eine IT-Betreuung Nutzerkonten pflegen kann, ohne Akten zu sehen. Rechnungen können beim Mailversand verschlüsselt werden. Die tägliche Sicherung erfolgt verschlüsselt.

Datensparsamkeit im Detail. Der Kalenderexport enthält nur Initialen und den neutralen Titel "Praxistermin", nie den Sitzungstyp, damit ein geteilter Kalender keine Rückschlüsse auf die Behandlung zulässt. Für Bildschirmarbeit in Gegenwart Dritter gibt es einen Anonym-Modus.

Betrieb und Vertrag. Therao läuft auf Servern in Deutschland. Zwischen Praxis und Therao besteht ein Auftragsverarbeitungsvertrag, der beim Zugang geschlossen und bei inhaltlichen Änderungen erneut bestätigt wird.