DSGVO in der Physiotherapie: Datenschutz einfach erklärt
Datenschutz klingt kompliziert, ist aber beherrschbar. Wir erklären die wichtigsten DSGVO-Pflichten für Physiotherapiepraxen — ohne Juristendeutsch.
Die DSGVO gilt für jede Physiotherapiepraxis, die personenbezogene Daten verarbeitet — also für alle Praxen. Patientendaten sind dabei besonders schützenswert: Gesundheitsdaten fallen unter Art. 9 DSGVO und genießen einen erhöhten Schutz. Das klingt nach viel Bürokratie, ist aber mit klaren Abläufen und der richtigen Software gut beherrschbar. Die wichtigsten Pflichten und was du konkret tun musst — der Reihe nach.
Inhaltsverzeichnis
- Warum Patientendaten besonders geschützt sind
- Die 5 wichtigsten DSGVO-Pflichten
- Wie lange musst du Patientendaten aufbewahren — und wann löschen?
- Welche Rechte haben deine Patient:innen?
- Technische und organisatorische Maßnahmen (TOM)
- Häufige Fehler
- Wie dir eine Praxissoftware die DSGVO-Pflichten erleichtert
- Fazit
Warum Patientendaten besonders geschützt sind
Nicht alle personenbezogenen Daten sind gleich. Name und Adresse sind normale personenbezogene Daten — die Diagnose, der Befund oder die Therapienotiz deiner Patient:innen sind Gesundheitsdaten und damit eine besondere Kategorie nach Art. 9 DSGVO. Für sie gilt ein grundsätzliches Verarbeitungsverbot mit Erlaubnisvorbehalt: Du darfst sie nur verarbeiten, wenn ein klarer Erlaubnistatbestand greift — bei dir in der Regel die Behandlung selbst und die dafür nötige Dokumentation.
Praktisch heißt das: Bei Gesundheitsdaten wird strenger hingeschaut. Zugriffe müssen nachvollziehbar sein, die Datenhaltung sicher, und wer keinen fachlichen Grund hat, hat nichts in der Akte zu suchen. Genau daran hängen die meisten der folgenden Pflichten.
Die 5 wichtigsten DSGVO-Pflichten
1. Verarbeitungsverzeichnis führen
Dokumentiere, welche personenbezogenen Daten du verarbeitest, zu welchem Zweck und wie lange du sie speicherst. Klingt aufwendig, ist aber einmalig erstellt und dann nur noch zu pflegen.
2. Einwilligungserklärung einholen
Patient:innen müssen der Verarbeitung ihrer Daten zustimmen. Eine schriftliche Einwilligungserklärung bei der Erstanmeldung ist Standard.
3. Auftragsverarbeitungsverträge abschließen
Mit jedem Dienstleister, der Zugriff auf Patientendaten hat (Praxissoftware-Anbieter, Abrechnungszentrum, Cloud-Anbieter), brauchst du einen Auftragsverarbeitungsvertrag (AVV). Frag aktiv danach — ein seriöser Anbieter stellt ihn dir bereit.
4. Datenschutzerklärung auf der Website
Deine Website muss eine Datenschutzerklärung enthalten — auch wenn du dort keine Patientendaten verarbeitest. Kontaktformulare, Cookies und Tracking-Tools erfordern ebenfalls eine Erklärung.
5. Datensicherheit gewährleisten
Verschlüsselte Datenübertragung (HTTPS), sichere Passwörter, klare Zugriffsrechte und regelmäßige Backups. Cloud-Software auf deutschen Servern erleichtert die Compliance erheblich. Wie sich Gesundheitsdaten künftig über die elektronische Patientenakte bewegen, solltest du dabei im Blick behalten.
Wie lange musst du Patientendaten aufbewahren — und wann löschen?
Ein häufiges Missverständnis: DSGVO heißt nicht „so schnell wie möglich löschen". Für Behandlungsunterlagen gilt das Gegenteil — sie unterliegen einer Aufbewahrungspflicht. Nach § 630f BGB musst du die Patientenakte grundsätzlich zehn Jahre nach Abschluss der Behandlung aufbewahren; für einzelne Bereiche (etwa Röntgen) gelten längere Fristen.
Daraus folgt ein Spannungsfeld, das gute Praxissoftware sauber löst:
- Während der Aufbewahrungsfrist dürfen die Daten nicht einfach verschwinden — auch nicht versehentlich.
- Änderungen an der Doku müssen nachvollziehbar bleiben (Versionsgeschichte mit Autor und Zeitpunkt, ebenfalls § 630f). Wie eine saubere Dokumentation in der Physiotherapie aussieht, haben wir separat beschrieben.
- Nach Ablauf der Frist brauchst du ein Löschkonzept, das die Daten geordnet entfernt.
Tipp: „Archivierung statt Löschung" ist hier der richtige Weg. Ein Datensatz wird inaktiv gesetzt und bleibt fristgerecht erhalten, statt hart gelöscht zu werden — so erfüllst du Aufbewahrungspflicht und Datenschutz gleichzeitig.
Welche Rechte haben deine Patient:innen?
Die DSGVO gibt Betroffenen konkrete Rechte, die du auf Anfrage erfüllen musst — meist innerhalb eines Monats:
- Auskunft (Art. 15): Welche Daten hast du über die Person gespeichert?
- Berichtigung (Art. 16): Falsche Daten korrigieren.
- Datenübertragbarkeit (Art. 20): Die Daten in einem gängigen Format herausgeben.
- Löschung (Art. 17): Soweit keine Aufbewahrungspflicht entgegensteht (siehe oben).
In der Praxis kommen solche Anfragen selten — aber wenn, dann willst du sie ohne stundenlanges Zusammensuchen beantworten können. Ein sauberer Datenexport je Patient:in nimmt dir hier die Arbeit ab.
Technische und organisatorische Maßnahmen (TOM)
Hinter dem sperrigen Begriff steckt eine einfache Frage: Wie stellst du technisch und organisatorisch sicher, dass nur die richtigen Personen auf die richtigen Daten zugreifen? Die wichtigsten Bausteine:
| Maßnahme | Was das konkret bedeutet |
|---|---|
| Zugriffskontrolle | Rollen und Rechte statt „alle sehen alles" — Empfang, Therapeut:in und Inhaber:in sehen nur, was sie brauchen. |
| Nachvollziehbarkeit | Ein Protokoll (Audit-Log), das festhält, wer wann welche Daten geändert oder eingesehen hat. |
| Zugangsschutz | Individuelle Logins, sichere Passwörter, automatischer Log-out nach Inaktivität. |
| Datensicherung | Regelmäßige, geschützte Backups und verschlüsselte Übertragung. |
Diese Maßnahmen musst du nicht nur umsetzen, sondern im Zweifel auch nachweisen können (Rechenschaftspflicht, Art. 5 DSGVO).
Häufige Fehler
- Patientendaten per unverschlüsselter E-Mail versenden
- Patientenakten im Empfangsbereich offen liegen lassen
- Keine Auftragsverarbeitungsverträge mit Software-Anbietern
- Fehlende Datenschutzerklärung auf der Website
- Kein Löschkonzept für alte Patientendaten
- Ein Sammel-Login, mit dem das ganze Team arbeitet — dann lässt sich kein Zugriff mehr einer Person zuordnen
Wie dir eine Praxissoftware die DSGVO-Pflichten erleichtert
Vieles von dem, was oben nach Aufwand klingt, nimmt dir die richtige Software im Alltag ab — ohne dass du etwas konfigurieren musst. Bei likami ist der Datenschutz-Rahmen von Anfang an eingebaut:
- Feingranulare Rollen (Inhaber, Admin, Therapeut) sorgen dafür, dass jede:r nur die Daten sieht, die zur Aufgabe gehören.
- Ein lückenloses Audit-Log protokolliert jede Änderung samt Autor, Zeitpunkt und IP — und lässt sich nicht nachträglich löschen. Das ist deine Nachvollziehbarkeit ab Werk.
- Archivierung statt Löschung hält Patientenakten fristgerecht vor (§ 630f), statt sie hart zu entfernen.
- Ein DSGVO-Datenexport je Patient:in beantwortet Auskunfts- und Übertragbarkeitsanfragen in Minuten.
- Session-Timeout und Passwort-Reset sichern den Zugang, auch wenn mal jemand den Rechner offen stehen lässt.
Weil Termine, Patientenverwaltung und Doku im selben System liegen, gibt es keinen Flickenteppich aus Insellösungen, für die du jeweils einen eigenen AVV und ein eigenes Backup-Konzept brauchst. Das ersetzt keine Rechtsberatung — aber es erledigt die technischen und organisatorischen Maßnahmen dort, wo sie im Alltag anfallen.
Fazit
Die DSGVO ist kein Monster — sie schützt deine Patient:innen und gibt dir einen klaren Rahmen. Die eigentliche Arbeit steckt weniger im Verstehen der Pflichten als im konsequenten Umsetzen im Alltag: klare Zugriffsrechte, nachvollziehbare Änderungen, fristgerechte Aufbewahrung und ein sauberes Löschkonzept. Die meisten dieser Anforderungen sind mit einer guten Praxissoftware und etwas Sorgfalt problemlos umsetzbar.
