Datenschutzbeauftragter Arztpraxis: Wann wirklich Pflicht?

Eine Arztpraxis braucht einen Datenschutzbeauftragten, sobald in der Regel mindestens 20 Personen ständig automatisiert Patientendaten verarbeiten oder sobald eine Datenschutz-Folgenabschätzung vorgeschrieben ist. Eine kleine Einzel- oder Gemeinschaftspraxis ist davon meist nicht betroffen – in Niedersachsen zieht die Aufsicht die Grenze allerdings schon bei 10 Personen.

Der Praxistest: drei Wege zur Bestellpflicht

Wer als Praxisinhaber wissen will, ob er einen Datenschutzbeauftragten (DSB) braucht, prüft in Wirklichkeit drei unabhängige Fragen. Jede einzelne kann die Pflicht für sich allein auslösen.

Der erste und häufigste Grund ist die reine Kopfzahl: § 38 Abs. 1 Satz 1 BDSG verlangt einen DSB, „soweit“ Verantwortliche „in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen“. Gezählt werden Köpfe, nicht Vollzeitstellen – der Hessische Datenschutzbeauftragte zählt zudem den Praxisinhaber selbst mit, sodass die Pflicht dort rechnerisch ab 19 Mitarbeitenden greift. Eine Einzelpraxis mit 6 MFA plus Inhaber liegt bei 7 Köpfen und damit klar unter der Schwelle. Nicht mitgezählt werden Personen, bei denen die automatisierte Verarbeitung nur Randtätigkeit ist: Das Bayerische Landesamt für Datenschutzaufsicht nennt als Beispiele den Zahntechniker, der überwiegend handwerklich arbeitet, Beschäftigte, die ausschließlich Zahnreinigungen durchführen, oder Physiotherapeuten, die im Praxiskalender nur nachsehen, wer der nächste Patient ist. Wer knapp an der Schwelle liegt, sollte also nicht nur Köpfe zählen, sondern den tatsächlichen Tätigkeitsschwerpunkt jeder Person prüfen.

Der zweite Weg führt über Artikel 37. Nach Art. 37 Abs. 1 lit. c DSGVO ist ein DSB auch dann zu bestellen, wenn die Kerntätigkeit in der „umfangreichen Verarbeitung“ von Gesundheitsdaten besteht – unabhängig von der 20-Personen-Grenze. Erwägungsgrund 91 DSGVO stellt klar, dass die Verarbeitung von Patientendaten „durch einen einzelnen Arzt“ nicht als umfangreich gelten soll. Wo genau „umfangreich“ beginnt, sagt die Verordnung nicht – und genau hier gehen die Aufsichtsbehörden auseinander (Tabelle unten).

Der dritte Weg ist der strengste: Ist eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO vorgeschrieben, verlangt § 38 Abs. 1 Satz 2 BDSG einen DSB „unabhängig von der Anzahl der mit der Verarbeitung beschäftigten Personen“. Für eine normale Praxis mit Standardsoftware ist das selten der Fall, kann aber bei neuen Technologien mit hohem Risiko relevant werden – das bayerische Landesamt nennt Telemedizin als Beispiel.

Gemeinschaftspraxis und MVZ: wo sich die Behörden uneinig sind

Genau hier verrechnen sich viele Praxisinhaber, allerdings oft in die falsche Richtung. Die gemeinsame Linie der Datenschutzkonferenz (DSK) aus ihrer Entschließung vom 26. April 2018, die etwa die LDI Nordrhein-Westfalen im Wortlaut veröffentlicht, ist überraschend großzügig: Auch bei einer Gemeinschaftspraxis, einer Praxisgemeinschaft oder einer Praxis mit angestellten Ärzten ist „in der Regel nicht von einer umfangreichen Verarbeitung“ auszugehen. Unterhalb der Kopfzahl-Schwelle braucht es dann keinen DSB – es sei denn, eine Datenschutz-Folgenabschätzung ist vorgeschrieben, etwa bei großen Praxisgemeinschaften oder beim Einsatz neuer Technologien mit hohem Risiko. Die Entschließung nannte damals noch 10 Personen; die LDI NRW weist ausdrücklich darauf hin, dass diese Zahl inzwischen auf 20 gestiegen ist.

Nicht jede Behörde formuliert es so entspannt. Die Thüringer Landesbeauftragte (TLfDI) schreibt, für Gemeinschaftspraxen gelte die Ausnahme für den einzelnen Arzt „nicht mehr“, und verweist für eine gesicherte Antwort auf die 20er-Grenze. Und die Landesbeauftragte für den Datenschutz Niedersachsen geht deutlich weiter: Sie verlangt einen DSB in einer Praxis oder Berufsausübungsgemeinschaft bereits ab 10 Personen, die Patientendaten verarbeiten, „unabhängig vom jeweiligen Stellenanteil“.

Praktisch heißt das: Eine Gemeinschaftspraxis mit 22 Beschäftigten braucht überall einen DSB. Ein MVZ mit drei angestellten Fachärzten, zwei Weiterbildungsassistenten und zwölf Praxismitarbeitenden, also 17 Köpfen, braucht in Hessen oder NRW nach DSK-Linie in der Regel keinen – in Niedersachsen dagegen schon. Der Standort entscheidet mit.

Was die Aufsichtsbehörden der Länder tatsächlich sagen

Jede Datenschutzaufsicht veröffentlicht ihre Position einzeln, in eigenen FAQ-Seiten oder Merkblättern. Im direkten Vergleich: Niedersachsen fällt auf. Die dortige Landesbeauftragte stützt sich nicht auf § 38 BDSG, sondern auf Art. 37 Abs. 1 lit. c DSGVO: Bei allen Gesundheitsberufen mit Dokumentationspflicht gehöre die Verarbeitung von Gesundheitsdaten unmittelbar zur Kerntätigkeit. Wer eine Praxis in Niedersachsen führt, sollte sich also nicht auf die 20er-Grenze verlassen, die in Zeitschriften und bei Softwareanbietern meist zitiert wird. Und wer in Bayern auf das offizielle FAQ-Dokument der Aufsicht stößt: Die dort genannte Zahl „zehn“ stammt aus der Zeit vor der BDSG-Novelle vom November 2019 und entspricht nicht mehr dem Gesetzestext.

Die Ausnahme von der Ausnahme: hohes Risiko

Selbst eine klassische Einzelpraxis, die alle Schwellen unterschreitet, kann einen DSB brauchen, wenn eine konkrete Verarbeitung ein hohes Risiko für die Patienten birgt und deshalb eine Datenschutz-Folgenabschätzung fällig wird. Die DSK nennt den Einsatz neuer Technologien als Beispiel, nicht den Routinebetrieb mit Standardsoftware für Terminplanung und Abrechnung. In der Praxis betrifft das eher große, technisch aufgerüstete Zentren als die durchschnittliche Hausarztpraxis. In Zweifelsfällen rät die hessische Aufsicht zur Rücksprache mit der Behörde – ein Rat, den man ernst nehmen sollte, bevor man sich auf eine Ausnahme beruft.

Was sich 2026 noch ändern könnte

Am 4. Dezember 2025 beschloss die Ministerpräsidentenkonferenz im Rahmen der Staatsmodernisierungsagenda unter Punkt 160, dass der Bund „bis zum 31.12.2026 eine Aufhebung des § 38 Abs. 1 BDSG einbringen“ soll; die Bestellpflicht im nichtöffentlichen Bereich würde dann allein aus Art. 37 DSGVO folgen. Für Arztpraxen hieße das: Die reine 20-Personen-Schwelle entfiele, die Prüfung der „umfangreichen Verarbeitung“ von Gesundheitsdaten bliebe bestehen und würde sogar wichtiger – und damit auch die Frage, wie streng die eigene Landesbehörde den Begriff auslegt. Angekündigt, Stand Oktober 2026 nicht umgesetzt; ein Gesetzentwurf des Bundes lag zum Redaktionsschluss nicht vor. Prüfen Sie vor einer Entscheidung den aktuellen Gesetzesstand.

Weitere Pflichten, die mit der Bestellung mitlaufen

Wer einen DSB bestellt, ist nicht fertig, sobald der Vertrag unterschrieben ist. Art. 37 Abs. 7 DSGVO verpflichtet dazu, die Kontaktdaten des Beauftragten zu veröffentlichen und der zuständigen Aufsichtsbehörde mitzuteilen.

Oft fragen Praxisinhaber, ob ein externer DSB mit der ärztlichen Schweigepflicht vereinbar ist. Ja: Nach § 38 Abs. 2 BDSG in Verbindung mit § 6 Abs. 5 Satz 2 und Abs. 6 BDSG ist der Datenschutzbeauftragte zur Verschwiegenheit verpflichtet und hat ein vom Berufsgeheimnisträger abgeleitetes Zeugnisverweigerungsrecht – intern wie extern. Über die Ausübung dieses Rechts entscheidet der Arzt, nicht der Beauftragte.

Kommt es zu einer Datenpanne, bleibt unabhängig vom DSB die 72-Stunden-Frist aus Art. 33 DSGVO entscheidend. Wie die Meldung an die Aufsichtsbehörde konkret abläuft, steht unter Datenpanne melden: Frist und Behörde.

Für Vertragsarztpraxen kommt die IT-Sicherheitsrichtlinie nach § 390 SGB V hinzu, die im Einvernehmen mit dem BSI erstellt und 2025 aktualisiert wurde; die neuen Anforderungen mussten laut KBV spätestens ab 1. Oktober 2025 umgesetzt sein. Sie ersetzt keinen Datenschutzbeauftragten, überschneidet sich aber organisatorisch mit seinen Aufgaben, etwa bei der Schulung des Praxisteams.

DSB ist nicht gleich Hygienebeauftragter

Der Datenschutzbeauftragte ist nur einer von mehreren Beauftragten, die eine Praxis je nach Größe und Fachrichtung benennen muss – Hygiene, Strahlenschutz oder Arbeitssicherheit laufen über völlig andere Rechtsgrundlagen. Den Überblick über alle Rollen gibt es unter Beauftragte in der Arztpraxis.

Intern oder extern?

Ob eine Mitarbeiterin mit Zusatzqualifikation oder ein externer Dienstleister die Rolle übernimmt, hängt von Praxisgröße, vorhandenem Know-how und der Zeit ab, die der Inhaber investieren kann. Die Vor- und Nachteile beider Modelle stehen unter Datenschutzbeauftragter intern oder extern. Bei den Kosten zählen Praxisgröße, Zahl der Standorte, eingesetzte Software und tatsächlicher Beratungsaufwand – Pauschalpreise ohne Kenntnis dieser Faktoren sind mit Vorsicht zu genießen; die Faktoren im Einzelnen erklärt der Kostenvergleich. Die Verantwortung für den Datenschutz bleibt in jedem Fall bei der Praxisleitung: Der DSB berät, kontrolliert und schult, entscheidet aber nicht an ihrer Stelle.

Wer merkt, dass die eigene Praxis die Schwelle reißt oder absehbar reißen wird, findet den nächsten Schritt unter Datenschutzbeauftragten bestellen und die branchenübergreifende Einordnung unter DSB-Pflicht 2026.