Wer als Heilpraktiker eine eigene Praxis führt, ist Verantwortlicher im Sinne der Datenschutz-Grundverordnung. Das klingt abstrakt, hat aber sehr konkrete Folgen: Bei einem nachgewiesenen Verstoß drohen Bußgelder bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes. Für eine Einzelpraxis ist letzteres zwar meist die kleinere Zahl, doch selbst mittlere vierstellige Bußgelder können existenzbedrohend wirken. Die Aufsichtsbehörden zeigen seit 2022 spürbar mehr Aktivität im Gesundheitsbereich, weil Gesundheitsdaten nach Artikel 9 DSGVO als besondere Kategorie personenbezogener Daten gelten und damit strengeren Anforderungen unterliegen als etwa eine Kundenliste im Einzelhandel.
Was genau unter Gesundheitsdaten fällt
Ein häufiger Irrtum: Nur die Diagnose gilt als Gesundheitsdatum. Tatsächlich zählt dazu jede Information, die einen Rückschluss auf den körperlichen oder seelischen Zustand einer Person erlaubt. Anamnese-Notizen, Laborwerte, Fotos von Hautveränderungen, Informationen über verwendete Heilpflanzen oder Nahrungsergänzungsmittel, sogar ein Hinweis wie „Patientin berichtet von Schlafproblemen“ fällt darunter. Das bedeutet: Bereits das Praxisnotizbuch, eine Excel-Liste mit Terminen und Beschwerdestichworten oder eine unverschlüsselte WhatsApp-Nachricht an den Patienten kann ein datenschutzrechtliches Problem darstellen.
Pflichten, die viele unterschätzen
Die DSGVO nennt für Verantwortliche eine Reihe konkreter Pflichten. Für Heilpraktiker sind diese sechs besonders relevant:
- Verarbeitungsverzeichnis: Jede Praxis muss dokumentieren, welche Daten zu welchem Zweck gespeichert werden. Ein formloser Zettel reicht nicht.
- Informationspflicht: Patienten müssen beim ersten Kontakt über Art, Umfang und Zweck der Datenverarbeitung informiert werden, am besten schriftlich per Datenschutzerklärung.
- Rechtsgrundlage: Für Gesundheitsdaten braucht es eine ausdrückliche Einwilligung oder eine andere der in Artikel 9 Absatz 2 DSGVO genannten Grundlagen, etwa die Durchführung des Behandlungsvertrags.
- Technische und organisatorische Maßnahmen (TOMs): Patientenakten dürfen nicht offen im Empfangsbereich liegen, Computer müssen passwortgeschützt sein, Praxissoftware sollte verschlüsselt kommunizieren.
- Auftragsverarbeitungsverträge: Wer eine externe Abrechnungsstelle, eine Buchhaltungssoftware als Cloud-Dienst oder einen IT-Dienstleister nutzt, muss mit diesen Anbietern einen Auftragsverarbeitungsvertrag (AVV) schließen.
- Meldepflicht bei Datenpannen: Geht eine Patientenakte verloren oder werden Daten unbefugt eingesehen, muss die zuständige Landesdatenschutzbehörde in der Regel innerhalb von 72 Stunden informiert werden.
Typische Fehlerquellen in der Praxis
In der täglichen Arbeit entstehen Lücken oft aus Bequemlichkeit oder Unkenntnis. Drei Beispiele, die in Beschwerden bei Aufsichtsbehörden immer wieder auftauchen:
Erstens die E-Mail-Kommunikation. Viele Heilpraktiker tauschen mit Patienten Befunde, Anamnese-Fragebögen oder Therapiepläne über normale E-Mail-Konten aus, ohne Verschlüsselung. Eine unverschlüsselte E-Mail ist datenschutzrechtlich einem offenen Brief vergleichbar. Wer Ende-zu-Ende-Verschlüsselung nicht einrichten kann oder will, sollte zumindest ein gesichertes Patientenportal oder einen spezialisierten Dienst nutzen.
Zweitens Praxissoftware aus der Cloud. Viele günstige Terminbuchungstools oder Praxisverwaltungsprogramme sitzen auf Servern außerhalb der EU, oft in den USA. Ohne geprüfte Standardvertragsklauseln und ohne AVV ist der Einsatz solcher Dienste für Gesundheitsdaten unzulässig. Der Anbieter muss nachweisbar ein angemessenes Datenschutzniveau garantieren.
Drittens die Aufbewahrungsfristen. Die Heilpraktiker-Berufsordnungen der Länder sehen in der Regel eine Aufbewahrungspflicht für Patientenunterlagen von zehn Jahren vor. Doch nach Ablauf dieser Frist müssen die Daten auch tatsächlich gelöscht oder vernichtet werden. Wer alte Akten im Keller stapelt „für alle Fälle“, verstößt gegen den Grundsatz der Speicherbegrenzung.
Datenschutz strukturiert angehen
Für viele Inhaber kleiner Praxen wirkt die DSGVO wie ein schwer durchdringbares Regelwerk. Ein sinnvoller Einstieg ist eine strukturierte Bestandsaufnahme: Welche Daten werden erhoben, wo liegen sie, wer hat Zugriff, welche Dienstleister sind eingebunden? Eine solche Prüfung muss kein mehrtägiges Projekt sein. Wer sich einen Überblick verschaffen möchte, findet bei spezialisierten Beratungsangeboten wie Datenschutz in der Heilpraktiker-Praxis systematische Ansätze, die speziell auf kleine Gesundheitsbetriebe zugeschnitten sind. Entscheidend ist, die Ergebnisse zu dokumentieren und regelmäßig zu aktualisieren, mindestens einmal jährlich oder wenn neue Dienste eingeführt werden.
Einwilligung und Patientenkommunikation
Die Einwilligung ist kein Freifahrtschein. Sie muss freiwillig, informiert und unmissverständlich erteilt werden. Ein vorgedrucktes Formular, das Patienten beim ersten Termin unterschreiben, ohne es gelesen zu haben, erfüllt diese Anforderungen nur dann, wenn der Text tatsächlich verständlich und vollständig ist. Sprache auf Behördenniveau hilft dabei nicht. Patienten haben außerdem das Recht auf Auskunft, Berichtigung und Löschung ihrer Daten. Wer eine Praxissoftware nutzt, sollte sicherstellen, dass diese Anfragen dort technisch umsetzbar sind und nicht an Systemgrenzen scheitern.
Besonderheit: Minderjährige Patienten
Behandelt eine Praxis auch Kinder und Jugendliche, gelten zusätzliche Anforderungen. Die Einwilligung muss in der Regel von den Erziehungsberechtigten erteilt werden. Ab welchem Alter Jugendliche selbst einwilligen können, ist rechtlich nicht einheitlich geregelt und hängt von der Einsichtsfähigkeit im Einzelfall ab. Im Zweifel sollte die Einwilligung beider Elternteile eingeholt werden.
Konsequente Umsetzung lohnt sich
Datenschutz ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Wer ihn ernst nimmt, schützt nicht nur Patienten, sondern auch die eigene Praxis. Das Vertrauen, das Patienten einer naturheilkundlichen Praxis entgegenbringen, basiert auf Diskretion und persönlicher Zuwendung. Wer zeigen kann, dass er mit sensiblen Daten sorgfältig umgeht, stärkt genau dieses Vertrauen. Ein gut dokumentiertes Datenschutzkonzept kann im Fall einer Beschwerde außerdem den Unterschied zwischen einem Bußgeld und einer Verwarnung ohne weitere Folgen ausmachen. Die Investition in eine saubere Datenschutzdokumentation, ob selbst erarbeitet oder mit externer Unterstützung, ist gemessen am möglichen Schaden überschaubar.
