Sind alle Beschäftigten über die Verschwiegenheitspflicht belehrt und ist das dokumentiert?
Maßgeblich ist die Berufsordnung Ihrer Landeszahnärztekammer.
StartseiteRatgeber
DSGVO-Checkliste für die Zahnarztpraxis
Gehen Sie die wichtigsten Datenschutzfragen Schritt für Schritt entlang Ihrer Praxisabläufe durch.
Beantworten Sie jede Frage mit „Ja“, „Nein“ oder „unklar“. Bei „Nein“ fehlt eine Maßnahme. Bei „unklar“ fehlen meist eine Zuständigkeit oder ein auffindbarer Nachweis. Die Hintergründe zu den einzelnen Pflichten finden Sie unter Datenschutz in der Zahnarztpraxis.
Grundlagen und Zuständigkeit
Ist dokumentiert, auf welcher Grundlage Sie Patientendaten verarbeiten? Gesundheitsdaten unterliegen dem grundsätzlichen Verarbeitungsverbot des Artikels 9 DSGVO. Für Gesundheitsvorsorge, Diagnostik und Behandlung greift unter den dort genannten Voraussetzungen eine Ausnahme.
Trennen Sie Behandlungszwecke von zusätzlichen Zwecken? Für werbliche Erinnerungen, Fotos, Newsletter und Bewertungsbitten muss eine passende Rechtsgrundlage gesondert festgelegt werden. Wird eine Einwilligung genutzt, muss sie ausdrücklich und nachweisbar sein.
Ist die Schweigepflicht berücksichtigt? Zahnärzte sind Berufsgeheimnisträger nach § 203 StGB. Das eigene Praxispersonal und externe mitwirkende Personen werden dort unterschiedlich behandelt.
Haben Sie die Benennungspflicht für einen Datenschutzbeauftragten geprüft? § 38 BDSG nennt grundsätzlich 20 Personen, die ständig automatisiert personenbezogene Daten verarbeiten. Die Pflicht kann unabhängig von der Personenzahl auch bei einer erforderlichen Datenschutz-Folgenabschätzung bestehen. Artikel 37 DSGVO knüpft zusätzlich an eine umfangreiche Verarbeitung besonderer Datenkategorien als Kerntätigkeit an.
Die Datenschutzkonferenz geht bei Arztpraxen und vergleichbaren Einrichtungen in aller Regel nicht von einer umfangreichen Verarbeitung aus. Die Landesbehörden legen die Schwellen trotzdem unterschiedlich aus. Niedersachsen nennt zehn Personen mit Zugriff auf Patientendaten und bestimmte Ausnahmefälle; Nordrhein-Westfalen stellt grundsätzlich auf 20 Personen einschließlich des Behandlers ab. Dokumentieren Sie, welche Behörde zuständig ist und wie Sie zu Ihrem Ergebnis gekommen sind.
Haben Sie alle Personen richtig gezählt? Nach der Auslegung der hessischen Aufsichtsbehörde zählen Inhaber, Auszubildende sowie Beschäftigte in Mutterschutz oder Elternzeit mit. Reinigungskräfte ohne entsprechenden Datenzugriff zählen nicht.
Falls ein Datenschutzbeauftragter benannt ist: Wurden dessen Kontaktdaten der Aufsichtsbehörde mitgeteilt?
Unterlagen
Erhalten Patienten die erforderlichen Informationen zur Datenverarbeitung?
- 01Ist das Verzeichnis von Verarbeitungstätigkeiten vollständig und aktuell?
- Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten greift bei der Verarbeitung besonderer Datenkategorien nicht. Das Verzeichnis ist der Aufsichtsbehörde auf Anfrage vorzulegen. Mehr zum Verarbeitungsverzeichnis
- 02Sind die technischen und organisatorischen Maßnahmen dokumentiert?
- Das Schutzniveau muss zum Risiko passen. Für Gesundheitsdaten nennt das BDSG unter anderem Zugangs-, Zugriffs-, Eingabe-, Weitergabe- und Trennungskontrollen.
- 03Unterscheidet Ihr Löschkonzept die verschiedenen Fristen?
- Die Patientenakte ist grundsätzlich zehn Jahre nach Abschluss der Behandlung aufzubewahren. Für Röntgenaufzeichnungen gelten 30 Jahre bei Behandlungen, zehn Jahre bei Untersuchungen Volljähriger und bei Untersuchungen Minderjähriger bis zur Vollendung des 28. Lebensjahres. Steuerlich gelten unter anderem zehn Jahre für Bücher und Jahresabschlüsse, acht Jahre für Buchungsbelege und sechs Jahre für sonstige steuerlich relevante Unterlagen. Zusätzlich ist die Berufsordnung Ihrer Landeszahnärztekammer zu beachten.
- 04Ist die Vorabprüfung zur Datenschutz-Folgenabschätzung dokumentiert?
- Eine Folgenabschätzung ist bei einem voraussichtlich hohen Risiko erforderlich. Die umfangreiche Verarbeitung besonderer Datenkategorien ist ein gesetzliches Beispiel. Das Fehlen einer Verarbeitung in der behördlichen Muss-Liste hebt die Pflicht zur eigenen Vorabprüfung nicht auf.
Dienstleister und Cloud
- 01Liegt für jeden Auftragsverarbeiter ein vollständiger Vertrag vor?Artikel 28 Absatz 3 nennt unter anderem Gegenstand, Dauer, Zweck, Datenarten, Weisungsbindung, Vertraulichkeit, Sicherheitsmaßnahmen, Unterstützungspflichten und die Rückgabe oder Löschung am Vertragsende.
- 02Kennen Sie die Unterauftragnehmer Ihrer Dienstleister?Sie brauchen eine gesonderte oder allgemeine schriftliche Genehmigung. Bei einer allgemeinen Genehmigung muss der Anbieter Änderungen ankündigen und einen Einspruch ermöglichen.
- 03Ist die Geheimhaltungsverpflichtung für externe Mitwirkende geregelt?Sie besteht zusätzlich zu einem Auftragsverarbeitungsvertrag. Der Zugriff muss auf das für die Aufgabe Erforderliche begrenzt sein.
- 04Haben Sie geprüft, bei welchen Empfängern keine Auftragsverarbeitung vorliegt?Die niedersächsische Aufsichtsbehörde ordnet Factoring und Laboraufträge nicht als Auftragsverarbeitung ein. Die Kassenärztliche Vereinigung Bayerns vertritt diese Auffassung auch für Steuerberater.
- 05Bei Cloud-Diensten: Liegt ein aktuelles C5-Testat vor?§ 393 SGB V beschränkt die zulässigen Verarbeitungsorte und verlangt für die erfassten Cloud-Dienste ein aktuelles C5-Testat, seit Juli 2025 vom Typ 2. Die IT-Sicherheitsrichtlinie greift diese Anforderung auf.
Mitarbeitende
Wissen alle, dass sie personenbezogene Daten nur auf Anweisung verarbeiten dürfen?
Wird das Team regelmäßig geschult?
Die IT-Sicherheitsrichtlinie für vertragszahnärztliche Praxen nennt Mitarbeiterschulungen und Sensibilisierung; die aktuelle Fassung gilt seit dem 2. Januar 2026. Mehr zur Datenschutzschulung
Arbeitet jede Person mit einem eigenen Zugang?
Benutzer, Rollen und Berechtigungen sollten pro Personengruppe und pro Person eingerichtet und dokumentiert sein.
Gibt es einen Ablauf für ausscheidende Mitarbeitende?
Bekannte Zugangsdaten müssen geändert oder vernichtet werden. Außerdem ist erneut auf die fortdauernde Verschwiegenheitspflicht hinzuweisen.
Werden Gesundheitsdaten von Beschäftigten getrennt und geschützt geführt?
Dazu zählen Arbeitsunfähigkeitsbescheinigungen, arbeitsmedizinische Befunde und Impfnachweise.
Unsere Erfahrung in Zahlen
2.050+Datenschutz-Audits im Gesundheitswesen
250+betreute Einrichtungen
5,0bei 127 Google-Bewertungen für Eduodo
8Menschen im Eduodo-Team
Unternehmenszahlen von Eduodo; Bewertung bei Google. Stand: 11.09.2026.
Auskunft und Datenschutzvorfälle
- 01Wissen Sie, wer einen Vorfall bewertet und meldet?Eine erforderliche Meldung muss unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden erfolgen. Sie entfällt nur, wenn ein Risiko für die Betroffenen unwahrscheinlich ist. Eine spätere Meldung braucht eine Begründung.
- 02Werden alle Datenschutzverletzungen intern dokumentiert?Die Dokumentation muss Auswirkungen und Abhilfemaßnahmen enthalten, auch wenn keine Meldung erforderlich war.
- 03Ist geregelt, wann Betroffene informiert werden?Bei einem voraussichtlich hohen Risiko müssen sie grundsätzlich unverzüglich benachrichtigt werden. Eine Ausnahme kann gelten, wenn die Daten durch geeignete Maßnahmen für Unbefugte unzugänglich waren.
- 04Erfasst Ihr Ablauf auch Ausfälle?Eine vorübergehende Unzugänglichkeit personenbezogener Daten kann bereits eine Datenschutzverletzung sein. Typische Fälle sind Schadsoftware im Praxisverwaltungssystem, fehlgeleitete Befunde und offene E-Mail-Verteiler.
- 05Können Sie ein Auskunftsverlangen fristgerecht bearbeiten?Die Antwort ist unverzüglich und grundsätzlich innerhalb eines Monats fällig; bei komplexen Anträgen ist eine Verlängerung um zwei Monate möglich. Patienten haben Anspruch auf Auskunft und eine Kopie ihrer Daten sowie auf Einsicht in die Patientenakte. Die erste Kopie ist unentgeltlich. Mehr zu Patientendaten
- 06Sind Ihre Datensicherungen getestet?Dokumentiert sein müssen Art und Zuständigkeit der Sicherung, ihr Schutz vor unbefugtem Zugriff sowie eine Prüfung, ob die Daten vollständig wiederhergestellt werden können.
Wie Sie mit dem Ergebnis weiterarbeiten
Markieren Sie alle Antworten mit „Nein“ oder „unklar“ und vergeben Sie für jeden Punkt eine verantwortliche Person sowie einen Termin. Bei Fragen zur Benennungspflicht, zur Angemessenheit einer Maßnahme oder zu besonderen Verarbeitungen reicht die Liste allein nicht aus; dafür muss die konkrete Praxis betrachtet werden.
Ratgeber für Zahnarztpraxen
Verständliche Antworten auf die Datenschutzfragen, die uns in Zahnarztpraxen regelmäßig begegnen.
01 · Überblick
Datenschutz in der Zahnarztpraxis
Ein verständlicher Überblick über die Datenschutzthemen, die im Praxisalltag wirklich eine Rolle spielen.
Weiterlesen02WhatsApp in der Zahnarztpraxis
WhatsApp ist schnell und bequem. Bei Patientendaten braucht Ihre Praxis trotzdem klare Regeln und sichere Alternativen.
Weiterlesen03Künstliche Intelligenz in der Zahnarztpraxis
Viele Praxen nutzen bereits KI. Wir erklären, welche Pflichten daraus entstehen und was Sie dokumentieren sollten.
Weiterlesen04Praxissoftware und Datenschutz
Wer darf auf welche Daten zugreifen? Was muss im Vertrag stehen? Und was passiert bei einem Softwarewechsel?
Weiterlesen05Telematikinfrastruktur und Datenschutz
Wir ordnen die Vorgaben zur Telematikinfrastruktur ein und zeigen, was davon für Zahnarztpraxen gilt.
Weiterlesen06Online-Terminbuchung und Praxiswebsite
Schon beim ersten Seitenaufruf können Daten an externe Dienste fließen. Wir zeigen, wo Sie genau hinsehen sollten.
WeiterlesenWas im kostenlosen Check passiert
Sie können die Liste selbst bearbeiten oder die offenen Punkte in 45 Minuten mit uns durchgehen.
In 45 Minuten sprechen wir über die wichtigsten Abläufe Ihrer Praxis: Anmeldung, Dokumentation, Kommunikation, Software und Abrechnung. Anschließend erhalten Sie unsere Einschätzung schriftlich.
Der Check ist kostenlos und unverbindlich. Danach wissen Sie, welche Punkte Sie selbst erledigen können und wobei Unterstützung sinnvoll wäre.
- Keine Vorbereitung nötig
- Schriftliche Zusammenfassung
- Persönlicher Ansprechpartner