Auftragsverarbeitungsvertrag (AVV, Art. 28 DSGVO)
Recht & Pflicht
Seit Geltungsbeginn der DSGVO 2018 braucht jeder externe Dienstleister einen AVV
Ohne Auftragsverarbeitungsvertrag ist die Datenweitergabe an Hosting, Terminbuchung oder Newsletter-Tool rechtswidrig. Bei Heilberufen kommt die § 203-Schweigepflicht zusätzlich hinzu.
- Ein AVV ist Pflicht, sobald ein externer Dienstleister Patientendaten in Ihrem Auftrag verarbeitet, etwa Hosting, Terminbuchung oder Newsletter-Tool
- Pflichtinhalte nach Art. 28 Abs. 3 DSGVO: Weisungsgebundenheit, technische Maßnahmen, Unterauftragsverarbeiter, Löschpflichten
- Für Heilberufe zusätzlich nötig: eine förmliche Verpflichtung des Dienstleisters nach § 203 StGB, der AVV allein reicht nicht
- Bußgeldrahmen bei fehlendem AVV: bis 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes
Jedes Terminbuchungs-Tool, jeder Newsletter-Versand und jedes Cloud-Backup, das Ihre Praxis nutzt, braucht einen Auftragsverarbeitungsvertrag mit dem Anbieter, bevor die erste Patientendatei diese Grenze überschreitet. Bei Heilberufen kommt eine zweite Pflicht hinzu: Der Dienstleister muss zusätzlich förmlich auf die ärztliche Schweigepflicht verpflichtet werden.
Was der AVV für Praxis-Websites bedeutet
Ein Auftragsverarbeitungsvertrag ist nach Art. 28 Abs. 3 DSGVO Pflicht, sobald ein externer Dienstleister personenbezogene Daten weisungsgebunden in Ihrem Auftrag verarbeitet, und zwar bevor die Verarbeitung beginnt. Für Praxis-Websites betrifft das typischerweise den Hosting-Anbieter, das Online-Terminbuchungs-Tool, den Newsletter-Versand, Cloud-Backup, IT-Support und die Webdesign-Agentur mit Zugriff auf die Website.
Der Vertrag muss die Kerneckdaten der Verarbeitung festlegen sowie acht konkrete Pflichten des Dienstleisters regeln, darunter Verarbeitung nur auf Weisung, technische und organisatorische Maßnahmen, Regeln zu Unterauftragsverarbeitern und Löschpflichten nach Vertragsende. Fehlt einer dieser Punkte, ist der Vertrag formell mangelhaft, selbst wenn er unterschrieben ist.
Warum ein AVV bei Heilberufen allein nicht ausreicht
Patientendaten unterliegen zusätzlich der strafbewehrten ärztlichen Schweigepflicht nach § 203 StGB. Ein externer Dienstleister darf nur eingebunden werden, wenn er förmlich als sonstige mitwirkende Person zur Geheimhaltung verpflichtet und auf die Strafbarkeit eines Verstoßes hingewiesen wird. Diese Verpflichtung ist rechtlich vom AVV zu unterscheiden, viele Standard-AVV von IT-Anbietern enthalten sie nicht. Am 16. Juni 2025 hat die Datenschutzkonferenz ein Positionspapier zum Einsatz von Terminbuchungs-Dienstleistern beschlossen und klargestellt: Die Nutzung ist grundsätzlich zulässig, eine gesonderte Patienten-Zustimmung ist dafür nicht erforderlich, ein AVV bleibt aber Voraussetzung.
Prüfkriterien
Vier Bausteine, die am häufigsten scheitern
Diese vier Punkte tauchen bei AVV-Prüfungen in Praxen am häufigsten als Befund auf.
Vier Bausteine, zum Durchklicken
Schon die Terminbuchung selbst ist ein Gesundheitsdatum.
Hilft Vor Freischaltung eines Online-Termintools wird der vom Anbieter bereitgestellte AVV abgeschlossen, meist im Account-Bereich verfügbar.
Stolperfalle Das Buchungswidget wird einfach eingebaut und läuft, ohne dass je ein AVV geschlossen wurde. Die Datenweitergabe ist damit rechtswidrig.
Ein unterschriebener Vertrag kann trotzdem formell mangelhaft sein.
Hilft Der bestehende AVV wird gegen eine Checkliste der Pflichtinhalte geprüft, besonders Unterauftragsverarbeiter und Löschpflichten.
Stolperfalle Ein alter, zweiseitiger Vertrag ohne Sub-Prozessor-Regelung und ohne konkrete Löschpflichten. Eine erst Jahre später mitgeteilte Löschbestätigung reicht laut Rechtsprechung nicht zur Haftungsbefreiung.
Der Serverstandort allein sagt nichts über den Konzernzugriff.
Hilft Bei einem US-Anbieter wird die Zertifizierung unter dem EU-US Data Privacy Framework geprüft, sonst Standardvertragsklauseln plus zusätzliche Maßnahmen ergriffen.
Stolperfalle „Server in Frankfurt“ gilt als ausreichend, obwohl ein US-Mutterkonzern Zugriff hat. Ohne Zertifizierung oder Standardvertragsklauseln fehlt die Rechtsgrundlage für den Drittlandtransfer.
Zwei rechtlich getrennte Pflichten, die leicht verwechselt werden.
Hilft Zusätzlich zum AVV wird eine Verpflichtungserklärung nach § 203 Abs. 4 StGB eingeholt, mit Durchschlag auf Subunternehmer.
Stolperfalle Der IT-Dienstleister hat einen sauberen Standard-AVV, aber niemand hat ihn förmlich auf das Arztgeheimnis verpflichtet. Der AVV allein befreit nicht von der Strafbarkeit.
Wie ist Ihr Stand einzuordnen?
Der Zustand der AVV-Landschaft einer Praxis liegt selten bei null oder hundert.
Wählen Sie die Lage, die auf Sie zutrifft
Zeitleiste
Wie sich die AVV-Pflicht entwickelt hat
Von der europäischen Grundidee zur aktuellen Praxis-Leitlinie.
- 1995
EU-Datenschutzrichtlinie 95/46/EG
Die EU-Datenschutzrichtlinie 95/46/EG führt europaweit erstmals das Konzept des Auftragsverarbeiters ein.
- 27. April 2016
Verabschiedung der DSGVO
Die DSGVO wird verabschiedet und regelt die Auftragsverarbeitung in Art. 28 abschließend.
- 25. Mai 2018
Geltungsbeginn der DSGVO
Die DSGVO gilt unmittelbar, nationale Sonderregeln zur Auftragsverarbeitung entfallen.
- 16. Juni 2025
DSK-Positionspapier Terminbuchung
Die Datenschutzkonferenz beschließt ein Positionspapier zum Einsatz von Dienstleistern für Online-Terminbuchung und Terminmanagement.
Was jetzt zu tun ist
Sinnvoll ist eine einfache Dienstleister-Liste: Anbieter, Dienst, Datenarten, AVV vorhanden seit wann, § 203-Verpflichtung vorhanden, Drittland ja oder nein. Ausgangspunkt dafür ist die eigene Datenschutzerklärung, dort sind die meisten eingesetzten Dienste bereits aufgeführt.
Bei jedem Anbieter lohnt der Blick in den Account-Bereich nach einem bereitgestellten AVV. Bestehende Verträge sollten gegen die Pflichtinhalte geprüft und bei Bedarf um eine § 203-Verpflichtung ergänzt werden. Für das Gesundheitswesen existiert ein branchenspezifisches Muster, das diese Besonderheit bereits mitregelt.
medivendis Intelligence Unit
Wissen Sie, wo Ihre Praxis-Website steht?
Der medivendis Audit prüft Ihre Website auch auf fehlende Auftragsverarbeitungsverträge, zusammen mit den anderen 19 Modulen.
Nächster Schritt
Compliance-Risiko einschätzen
Der AppCore-Erstaudit zeigt dir in 10 Minuten, wo deine Website steht.