Datenschutz in der Physiotherapiepraxis: Checkliste für Empfang und Behandlungsraum

Datenschutz in der Physiotherapiepraxis klingt nach Ordnern voller Formulare. Im Alltag geht es aber um sehr konkrete Dinge: Wer hört am Empfang mit? Liegt die Verordnung offen herum? Was passiert mit dem alten Laptop? Gesundheitsdaten gehören nach Art. 9 DSGVO zu den besonders geschützten Daten, und Physiotherapeutinnen und Physiotherapeuten unterliegen zusätzlich der Schweigepflicht nach § 203 StGB. Diese Checkliste ist für Praxisinhaber gedacht, die keinen eigenen Datenschutzbeauftragten haben und trotzdem sauber arbeiten wollen.

Die Grundsätze in einem Satz

Die DSGVO nennt in Art. 5 sieben Grundsätze: Daten rechtmäßig, fair und nachvollziehbar verarbeiten, nur für festgelegte Zwecke, nur so viele wie nötig, sachlich richtig, nicht länger als nötig speichern, angemessen schützen – und das alles nachweisen können. Jeder Punkt der folgenden Liste lässt sich auf einen dieser Grundsätze zurückführen.

Am Empfang

1. Bildschirm abwenden. Wartende dürfen Namen, Termine und Diagnosen nicht mitlesen können. Ein Sichtschutz oder eine andere Ausrichtung des Monitors reicht oft.
2. Leise sprechen, Abstand schaffen. Eine Markierung auf dem Boden oder ein zweiter Schalter verhindern, dass der nächste Patient jedes Wort hört. Am Telefon gilt: keine Diagnosen laut wiederholen, wenn das Wartezimmer zuhört.
3. Verordnungen nicht offen liegen lassen. Ablage mit Deckel oder direkt erfassen und verschließen.
4. Patienteninformation bereithalten. Patientinnen und Patienten müssen erfahren, wer ihre Daten wofür verarbeitet und welche Rechte sie haben (Art. 13 DSGVO). Ein Aushang plus ein Merkblatt zum Mitnehmen hat sich bewährt.

Dieses Bild wurde mit KI erzeugt.

Dieses Bild wurde mit KI erzeugt.

Im Behandlungsraum

5. Keine fremden Unterlagen sichtbar. Die Akte des vorherigen Patienten hat in der Kabine nichts zu suchen.
6. Tablets sperren. Automatische Bildschirmsperre nach kurzer Zeit, eigene Anmeldung je Therapeutin.
7. Fotos nur mit Einwilligung und nur dienstlich. Bilder zur Dokumentation, etwa von Haltung oder Narben, gehören nicht auf private Handys und nicht in Messenger.

Technik und Verträge

8. Verzeichnis der Verarbeitungstätigkeiten. Eine Übersicht, welche Daten Sie wofür verarbeiten, ist nach Art. 30 DSGVO Pflicht. Sie muss nicht lang sein, aber vorhanden.
9. Verträge mit Dienstleistern. Wer Zugriff auf Patientendaten hat – Softwareanbieter mit Fernwartung, Abrechnungszentrum, IT-Betreuung –, braucht einen Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).
10. Einwilligungen für Erinnerungen. SMS- oder E-Mail-Erinnerungen nur mit ausdrücklicher Einwilligung, die nachweisbar und widerrufbar ist. Details im Beitrag Terminerinnerung per SMS.
11. Datenschutzbeauftragten prüfen. Ein Datenschutzbeauftragter ist nach § 38 BDSG unter anderem dann zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Die meisten kleineren Praxen liegen darunter – die Pflichten der DSGVO gelten trotzdem.
12. Notfallplan für Datenpannen. Eine Verletzung des Schutzes personenbezogener Daten ist in der Regel binnen 72 Stunden der Aufsichtsbehörde zu melden (Art. 33 DSGVO). Wer anruft, wer entscheidet, wo die Telefonnummer steht – das sollte vorher geklärt sein.

Wenn Patienten Auskunft oder eine Kopie wollen

Patientinnen und Patienten dürfen ihre Behandlungsdokumentation einsehen und Abschriften verlangen (§ 630g BGB). Nach Art. 15 DSGVO haben sie außerdem ein Recht auf Auskunft über die gespeicherten Daten. Der Europäische Gerichtshof hat 2023 entschieden, dass die erste Kopie grundsätzlich unentgeltlich ist (Urteil vom 26. Oktober 2023, C-307/22). Legen Sie fest, wer solche Anfragen bearbeitet, und antworten Sie innerhalb der Frist – in der Regel binnen eines Monats. Mit einer Praxissoftware, die die Akte als PDF ausgibt, ist das eine Sache von Minuten statt eines Nachmittags am Kopierer.

Was am häufigsten vergessen wird

Wo es in der Praxis hakt

Am häufigsten nicht bei den großen Themen, sondern bei Gewohnheiten. Der Zettel mit dem Passwort. Die WhatsApp-Gruppe, in der Termine mit vollem Namen verschoben werden. Die Kollegin, die Patientenfotos für die Dokumentation mit dem privaten Handy macht. Hier hilft eine kurze Teambesprechung mehr als jedes Dokument. Planen Sie dafür einmal im Jahr eine halbe Stunde ein und gehen Sie diese Liste gemeinsam durch.

Ehrlich gesagt ersetzt keine Checkliste eine Beratung im Einzelfall. Sie zeigt aber, wo Sie heute stehen – und meistens sind es nur drei oder vier Punkte, die wirklich fehlen. Wie Thera X Gesundheitsdaten schützt – Verschlüsselung, Rechte, Protokoll, Daten auf dem eigenen Praxis-Server statt in einer fremden Cloud –, lesen Sie unter Sicherheit und Datenschutz. Typische Fehler bei der Umstellung beschreibt der Beitrag zu den Stolperfallen der Digitalisierung.

Häufige Fragen

Wann braucht eine Physiotherapiepraxis einen Datenschutzbeauftragten?

Pflicht ist er nach § 38 BDSG unter anderem, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Die DSGVO-Pflichten gelten unabhängig davon.

Was sind die Grundsätze der DSGVO?

Art. 5 DSGVO nennt Rechtmäßigkeit und Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit sowie die Rechenschaftspflicht.

Wie schnell muss eine Datenpanne gemeldet werden?

In der Regel innerhalb von 72 Stunden, nachdem sie bekannt wurde, an die zuständige Aufsichtsbehörde (Art. 33 DSGVO).

Müssen Praxen Patienten eine Kopie ihrer Akte geben?

Ja. Patienten haben ein Recht auf Einsicht und Abschrift (§ 630g BGB) und auf Auskunft nach Art. 15 DSGVO. Die erste Kopie ist laut EuGH (C-307/22) grundsätzlich kostenlos.

Gilt die Schweigepflicht auch für Physiotherapeuten?

Ja. Angehörige von Heilberufen mit staatlich geregelter Ausbildung, darunter Physiotherapeutinnen und Physiotherapeuten, sind nach § 203 StGB zur Verschwiegenheit verpflichtet.