Datenschutzbeauftragter in der Arztpraxis (§ 38 BDSG)
Recht & Datenschutz
Entgegen einem verbreiteten Irrtum gilt weiterhin: der Schwellenwert liegt bei 20, nicht bei 50 Personen, unabhängig davon greift Art. 37 DSGVO oft schon bei deutlich kleineren Praxen
Warum die Mitarbeiterzahl seltener entscheidet als gedacht, und wer als Datenschutzbeauftragter überhaupt infrage kommt.
- Der Schwellenwert des § 38 BDSG liegt weiterhin bei 20 Personen, er wurde entgegen einem verbreiteten Irrtum NICHT zum 1. Januar 2025 auf 50 angehoben
- Unabhängig von der Mitarbeiterzahl greift Art. 37 Abs. 1 lit. c DSGVO, wenn die umfangreiche Verarbeitung von Gesundheitsdaten Kerntätigkeit ist, bei Berufsausübungsgemeinschaften, MVZ und Kliniken praktisch immer der Fall
- Praxisinhaber und Praxismanager dürfen wegen Interessenkonflikts nicht selbst Datenschutzbeauftragte sein, bestätigt durch den EuGH (C-453/21)
- Die Benennung muss der zuständigen Aufsichtsbehörde gemeldet und in der Datenschutzerklärung veröffentlicht werden
Ob Ihre Praxis einen Datenschutzbeauftragten braucht, hängt seltener an der Mitarbeiterzahl als gedacht, und öfter daran, dass Gesundheitsdaten die Kerntätigkeit jeder Behandlung sind. Ein verbreiteter Irrtum hält den Schwellenwert von 20 Beschäftigten inzwischen für überholt, dabei gilt er unverändert.
Zwei Rechtsgrundlagen, die nebeneinander gelten
§ 38 Abs. 1 BDSG verpflichtet zur Benennung eines Datenschutzbeauftragten, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Eine oft gehörte Anhebung dieser Grenze auf 50 Personen zum 1. Januar 2025 hat es nicht gegeben, sie war nur ein politischer Vorschlag. Unabhängig von dieser Zahl greift Art. 37 Abs. 1 lit. c DSGVO, wenn die umfangreiche Verarbeitung besonderer Datenkategorien Kerntätigkeit ist, und Gesundheitsdaten sind die Kerntätigkeit jeder Heilbehandlung.
Die deutschen Aufsichtsbehörden ziehen die Grenze zur umfangreichen Verarbeitung bei etwa 10 mit Datenverarbeitung befassten Personen. Bei einer Einzelpraxis darunter besteht in der Regel keine Pflicht, bei Berufsausübungsgemeinschaften, MVZ und Kliniken dagegen praktisch immer.
Qualifikation, Unabhängigkeit und die Meldung an die Aufsichtsbehörde
Der Datenschutzbeauftragte muss fachkundig sein und darf keinem Interessenkonflikt unterliegen. Der EuGH hat 2023 bestätigt, dass eine Person nicht zugleich Entscheidungen über Zwecke und Mittel der Datenverarbeitung treffen und deren Einhaltung überwachen darf. Für Praxen bedeutet das konkret: Inhaberin, Inhaber und Praxismanagement scheiden als eigener Datenschutzbeauftragter aus, eine externe Bestellung ist deshalb häufig der sicherere Weg.
Die Benennung allein genügt nicht: Die Kontaktdaten müssen der zuständigen Landesaufsichtsbehörde gemeldet und zusätzlich in der Datenschutzerklärung der Praxis veröffentlicht werden.
Prüfkriterien
Vier Bausteine, die am häufigsten scheitern
Diese vier Punkte tauchen bei der Datenschutzbeauftragten-Pflicht am häufigsten als Befund auf.
Vier Bausteine, zum Durchklicken
Die 50er-Grenze existiert rechtlich nicht.
Hilft Auch unter 20 Beschäftigten wird Art. 37 DSGVO separat geprüft, nicht nur die Beschaeftigtenzahl.
Stolperfalle Die Praxis geht davon aus, unter dem vermeintlich neuen Schwellenwert von 50 grundsätzlich keinen DSB zu brauchen.
Wer Entscheidungen trifft, kann sich nicht selbst kontrollieren.
Hilft Eine externe, fachkundige Person ohne Entscheidungsbefugnis wird als DSB benannt.
Stolperfalle Die Praxisinhaberin oder der Praxismanager wird zum eigenen Datenschutzbeauftragten bestellt.
Die interne Benennung allein genügt nicht.
Hilft Die Kontaktdaten werden über das Online-Formular der zuständigen Landesaufsichtsbehörde gemeldet.
Stolperfalle Ein Datenschutzbeauftragter wird intern benannt, aber nie der Aufsichtsbehörde gemeldet.
Ohne DSB liegt die volle Verantwortung bei der Praxisleitung.
Hilft Auch ohne DSB-Pflicht bleiben Verzeichnis, technische Maßnahmen und Meldewege aktiv gepflegt.
Stolperfalle Kein DSB nötig wird mit keine Datenschutzpflichten verwechselt.
Braucht Ihre Praxis einen Datenschutzbeauftragten?
Entscheidend sind Mitarbeiterzahl und Umfang der Gesundheitsdatenverarbeitung.
Wählen Sie die Situation, die auf Sie zutrifft
Zeitleiste
Wie sich die Rechtslage entwickelt hat
Von der ersten DSK-Klarstellung 2018 zur geplanten Aufhebung 2026.
- 26. April 2018
DSK-Entschließung zur Bestellpflicht
Die Datenschutzkonferenz stellt in einer Entschließung klar, wann Arztpraxen wegen umfangreicher Verarbeitung besonderer Datenkategorien einen Datenschutzbeauftragten benennen müssen.
- 26. November 2019
Schwellenwert auf 20 Personen angehoben
Der Schwellenwert des § 38 Abs. 1 BDSG wird von 10 auf 20 Personen angehoben.
- 9. Februar 2023
EuGH, C-453/21 zum Interessenkonflikt
Der EuGH entscheidet, dass ein Datenschutzbeauftragter keine weiteren Aufgaben übernehmen darf, die ihn selbst über Zwecke und Mittel der Verarbeitung entscheiden lassen.
- 5. Juli 2024
Vorschlag zur Anhebung auf 50 Personen
Die Bundesregierung schlägt in einem Positionspapier eine Anhebung des Schwellenwerts auf 50 Personen vor, der Vorschlag wird nicht umgesetzt.
- 1. Januar 2025
BEG IV ohne Änderung des Schwellenwerts
Das Buerokratieentlastungsgesetz IV tritt in Kraft, der Schwellenwert des § 38 BDSG bleibt davon unberührt bei 20 Personen.
- 4. Dezember 2025
Geplante Aufhebung des § 38 BDSG
Die Föderale Modernisierungsagenda kündigt die vollständige Aufhebung des § 38 Abs. 1 BDSG bis Ende 2026 an, dann wäre nur noch Art. 37 DSGVO maßgeblich.
Was jetzt zu tun ist
Zählen Sie alle Personen, die ständig automatisiert personenbezogene Daten verarbeiten, und prüfen Sie parallel, ob die Verarbeitung von Gesundheitsdaten in Ihrer Praxis als umfangreich gilt. Dokumentieren Sie das Ergebnis schriftlich, auch wenn Sie zu keine Pflicht kommen.
Besteht eine Pflicht, wählen Sie zwischen interner und externer Bestellung, wobei Inhaberin, Inhaber und Praxismanagement wegen Interessenkonflikts ausscheiden. Melden Sie die Kontaktdaten der zuständigen Aufsichtsbehörde und veröffentlichen Sie sie in der Datenschutzerklärung.
medivendis Intelligence Unit
Wissen Sie, wo Ihre Praxis-Website steht?
Der medivendis Audit prüft auch Ihre Datenschutzorganisation, zusammen mit den anderen 19 Modulen.
Nächster Schritt
Compliance-Risiko einschätzen
Der AppCore-Erstaudit zeigt dir in 10 Minuten, wo deine Website steht.