StartseiteRatgeber
Datenschutz in der Zahnarztpraxis
Ein verständlicher Überblick über die Datenschutzthemen, die im Praxisalltag wirklich eine Rolle spielen.
In einer Zahnarztpraxis gehören Gesundheitsdaten zum Alltag. Deshalb gelten vom ersten Patienten an feste Regeln für den Zugriff, die Aufbewahrung, die Weitergabe und den Umgang mit Datenpannen. Ob zusätzlich ein Datenschutzbeauftragter benannt werden muss, hängt von der Praxis und der zuständigen Aufsichtsbehörde ab.
Gesundheitsdaten brauchen besonderen Schutz
Gesundheitsdaten zählen zu den besonders geschützten Daten nach Artikel 9 der Datenschutz-Grundverordnung. Ihre Verarbeitung ist grundsätzlich untersagt und nur in den dort geregelten Fällen zulässig. Für die zahnärztliche Behandlung greift die Ausnahme für Gesundheitsvorsorge, Diagnostik und Behandlung. Ergänzende Regeln enthält § 22 des Bundesdatenschutzgesetzes.
Für die notwendige Behandlung stützt sich die Praxis deshalb in der Regel nicht auf eine Einwilligung. Bei anderen Zwecken muss die Rechtsgrundlage gesondert geprüft werden. Das betrifft zum Beispiel Newsletter, Praxisfotos, werbliche Erinnerungen oder Bewertungsbitten. Wird dafür eine Einwilligung genutzt, muss die Praxis sie nachweisen können.
Zusätzlich gilt die zahnärztliche Schweigepflicht. Zahnärzte sind Berufsgeheimnisträger nach § 203 Strafgesetzbuch. Externe Personen dürfen Patientengeheimnisse nur erfahren, soweit das für ihre Arbeit erforderlich ist. Dazu können Beschäftigte des Softwarehauses, des Rechenzentrums oder eines externen Datenschutzbeauftragten gehören. Die erforderliche Geheimhaltungsverpflichtung muss vor dem Zugriff geregelt sein.
Wann braucht die Praxis einen Datenschutzbeauftragten?
Nach § 38 BDSG besteht eine Benennungspflicht, wenn in der Regel mindestens 20 Personen ständig automatisiert personenbezogene Daten verarbeiten. Teilzeitkräfte werden dabei als Personen gezählt. Zwei Halbtagskräfte sind also zwei Personen.
Daneben kennt die DSGVO eine eigene Benennungspflicht, wenn die Kerntätigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien besteht. Die Datenschutzkonferenz geht bei Arztpraxen und vergleichbaren Einrichtungen in aller Regel nicht von einer solchen umfangreichen Verarbeitung aus. Bei besonderen Verarbeitungen kann trotzdem eine Einzelfallprüfung nötig sein.
Die Landesaufsichtsbehörden beurteilen die Schwelle nicht einheitlich. Niedersachsen nennt für Praxen und Berufsausübungsgemeinschaften zehn Personen, die Patientendaten verarbeiten, und darunter bestimmte Ausnahmefälle wie nicht nur gelegentliche Telemedizin oder einen überproportional großen Patientenstamm. Nach dieser Auffassung greift die 20-Personen-Regel nur nachrangig. Nordrhein-Westfalen stellt dagegen grundsätzlich auf 20 Personen ab und nennt zusätzliche Ausnahmen.
Ab zehn Personen mit regelmäßigem Zugriff auf Patientendaten sollte die Praxis deshalb prüfen, welche Behörde zuständig ist und welche Auffassung dort gilt. Das Ergebnis gehört mit Datum und Fundstelle in die Praxisunterlagen.
Was jede Praxis regeln muss
Die folgenden Pflichten gelten unabhängig davon, ob ein Datenschutzbeauftragter benannt ist:
Verarbeitungen dokumentieren. Die Praxis braucht ein Verzeichnis ihrer Verarbeitungstätigkeiten. Die Ausnahme für kleine Unternehmen greift bei der Verarbeitung besonderer Datenkategorien nicht.
Zugriffe und Sicherheit festlegen. Technische und organisatorische Maßnahmen müssen zum Risiko passen und nachvollziehbar dokumentiert sein. Dazu gehören persönliche Zugänge, Berechtigungen, Datensicherungen und klare Zuständigkeiten.
Patienten informieren. Bei der Erhebung müssen Patienten erfahren, welche Daten zu welchem Zweck verarbeitet werden.
Datenpannen vorbereiten. Eine meldepflichtige Verletzung ist unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die Aufsichtsbehörde zu melden. Eine spätere Meldung muss begründet werden. Im Team muss vorher geklärt sein, wer einen Vorfall aufnimmt und wer über die Meldung entscheidet.
Aufbewahrungsfristen trennen. Die Patientenakte ist grundsätzlich zehn Jahre nach Abschluss der Behandlung aufzubewahren. Für Röntgenaufzeichnungen gelten je nach Anlass andere Fristen: 30 Jahre bei Behandlungen, zehn Jahre bei Untersuchungen Volljähriger und bei Untersuchungen Minderjähriger bis zur Vollendung des 28. Lebensjahres.
Wo wir in Praxen zuerst hinschauen
- 01Praxissoftware und Fernwartung
- Sobald ein Dienstleister auf Patientendaten zugreifen kann, müssen Vertrag, Berechtigungen und Geheimhaltung geprüft werden. Die Pflichtinhalte eines Auftragsverarbeitungsvertrags stehen in Artikel 28 Absatz 3 DSGVO. Mehr zur Praxissoftware
- 02Telematikinfrastruktur
- ePA, E-Rezept und KIM bringen eigene technische und organisatorische Vorgaben mit. Mehr zur Telematikinfrastruktur
- 03Messenger
- Bei Terminwünschen und Nachrichten über WhatsApp können Gesundheitsdaten die kontrollierte Praxisumgebung verlassen. Mehr zu WhatsApp
- 04Cloud und Datensicherung
- Praxissoftware, Bildarchive und Backups liegen häufig bei mehreren Anbietern. Für jeden Dienst muss geklärt sein, wo die Daten liegen, wer darauf zugreifen kann und wie die Praxis bei einem Ausfall oder Anbieterwechsel an ihre Daten kommt. Mehr zur Cloud
- 05Qualitätsmanagement
- Zuständigkeiten, Unterweisungen und wiederkehrende Prüfungen lassen sich in bestehende QM-Abläufe einordnen. Mehr zum QM-Handbuch
- 06KI-Anwendungen
- Bei Befundungs-, Diktat- und Dokumentationswerkzeugen muss vor dem Einsatz geklärt werden, welche Daten verarbeitet werden, welche Rolle die Praxis übernimmt und welche Informationen oder Kontrollen erforderlich sind. Mehr zu KI in der Zahnarztpraxis
- 07Website und Terminbuchung
- Buchungstools, Tracking und Kartendienste können Daten an weitere Anbieter übertragen. Mehr zur Online-Terminbuchung
Unsere Erfahrung in Zahlen
Unternehmenszahlen von Eduodo; Bewertung bei Google. Stand: 11.09.2026.
Wer das Thema im Alltag betreut
Verantwortlich bleibt die Praxisleitung. Im Alltag übernimmt häufig die Praxismanagerin oder die QM-Beauftragte einen Teil der Organisation. Sie braucht dafür klare Zuständigkeiten und Unterlagen, die sich ohne juristische Vorkenntnisse anwenden lassen.
Ein brauchbares Datenschutzkonzept beantwortet fünf Fragen: Welche Daten verarbeitet die Praxis? Auf welcher Grundlage? Wer darf sie sehen? Wie lange werden sie aufbewahrt? Was passiert bei einem Vorfall? Daraus ergeben sich Verzeichnis, Maßnahmenübersicht, Verträge, Verpflichtungserklärungen, Löschkonzept und Meldeweg.
Im kostenlosen Check sprechen wir diese Punkte anhand Ihrer tatsächlichen Abläufe durch. Wenn eine Frage eine individuelle rechtliche Bewertung erfordert, weisen wir Sie darauf hin.
Die Themen im Einzelnen
Verständliche Antworten auf die Datenschutzfragen, die uns in Zahnarztpraxen regelmäßig begegnen.
WhatsApp in der Zahnarztpraxis
WhatsApp ist schnell und bequem. Bei Patientendaten braucht Ihre Praxis trotzdem klare Regeln und sichere Alternativen.
Weiterlesen02Künstliche Intelligenz in der Zahnarztpraxis
Viele Praxen nutzen bereits KI. Wir erklären, welche Pflichten daraus entstehen und was Sie dokumentieren sollten.
Weiterlesen03Praxissoftware und Datenschutz
Wer darf auf welche Daten zugreifen? Was muss im Vertrag stehen? Und was passiert bei einem Softwarewechsel?
Weiterlesen04Telematikinfrastruktur und Datenschutz
Wir ordnen die Vorgaben zur Telematikinfrastruktur ein und zeigen, was davon für Zahnarztpraxen gilt.
Weiterlesen05Online-Terminbuchung und Praxiswebsite
Schon beim ersten Seitenaufruf können Daten an externe Dienste fließen. Wir zeigen, wo Sie genau hinsehen sollten.
Weiterlesen06Patientendaten in der Zahnarztpraxis
Patientenakten, Röntgenbilder und Abrechnungsunterlagen haben unterschiedliche Fristen. Ihr Löschkonzept muss sie auseinanderhalten.
WeiterlesenWas im kostenlosen Check passiert
Im Check gehen wir diese Punkte anhand Ihrer Systeme, Verträge und Zuständigkeiten gemeinsam durch.
In 45 Minuten sprechen wir über die wichtigsten Abläufe Ihrer Praxis: Anmeldung, Dokumentation, Kommunikation, Software und Abrechnung. Anschließend erhalten Sie unsere Einschätzung schriftlich.
Der Check ist kostenlos und unverbindlich. Danach wissen Sie, welche Punkte Sie selbst erledigen können und wobei Unterstützung sinnvoll wäre.
- Keine Vorbereitung nötig
- Schriftliche Zusammenfassung
- Persönlicher Ansprechpartner