StartseiteRatgeber
Verarbeitungsverzeichnis und technische Maßnahmen
Wir erklären, welche Angaben in das Verarbeitungsverzeichnis gehören und wie Sie die Schutzmaßnahmen dazu dokumentieren.
Auch kleine Zahnarztpraxen brauchen ein Verzeichnis ihrer Verarbeitungstätigkeiten. Gesundheitsdaten sind von der Ausnahme für Unternehmen mit weniger als 250 Beschäftigten ausgenommen.
Zum Verzeichnis gehört eine Übersicht der technischen und organisatorischen Maßnahmen. Beide Dokumente müssen die tatsächlichen Abläufe der Praxis beschreiben und bei Änderungen aktualisiert werden.
Warum die Ausnahme für kleine Unternehmen nicht greift
Grundsätzlich muss jeder Verantwortliche ein Verzeichnis der Verarbeitungstätigkeiten in seiner Zuständigkeit führen. Artikel 30 Absatz 5 nennt zwar eine Ausnahme für Unternehmen und Einrichtungen mit weniger als 250 Beschäftigten. Sie gilt aber nicht, wenn besondere Kategorien personenbezogener Daten verarbeitet werden. Gesundheitsdaten gehören zu diesen besonderen Kategorien.
Eine Zahnarztpraxis verarbeitet Gesundheitsdaten fortlaufend bei Anamnese, Befund, Behandlung und Abrechnung. Die Verzeichnispflicht besteht deshalb unabhängig von der Mitarbeiterzahl. Auch die weiteren Ausnahmenvoraussetzungen passen regelmäßig nicht: Die Verarbeitung erfolgt nicht nur gelegentlich und kann Risiken für die Rechte der betroffenen Personen mit sich bringen.
Die Aufsichtsbehörde kann das Verzeichnis anfordern. Es sollte daher vorhanden und aktuell sein, bevor eine Prüfung beginnt.
Was in das Verzeichnis gehört
Artikel 30 nennt die Mindestangaben:
- Name und Kontaktdaten des Verantwortlichen und gegebenenfalls weiterer Verantwortlicher, Vertreter und Datenschutzbeauftragter
- Zweck jeder Verarbeitungstätigkeit
- Kategorien der betroffenen Personen und der verarbeiteten Daten
- Kategorien der Empfänger, einschließlich Empfängern in Drittländern
- gegebenenfalls Drittlandübermittlungen und die dafür eingesetzten Garantien
- wenn möglich die vorgesehenen Löschfristen je Datenkategorie
- wenn möglich eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen
Führen Sie das Verzeichnis nach Tätigkeiten, nicht nach Programmen. Ein Praxisverwaltungssystem kann mehrere Tätigkeiten abbilden; umgekehrt kann eine Tätigkeit mehrere Systeme betreffen.
Bei den Löschfristen müssen mehrere Regelwerke zusammenpassen. Behandlungsdokumentationen sind grundsätzlich zehn Jahre nach Abschluss der Behandlung aufzubewahren. Für Aufzeichnungen nach dem Strahlenschutzgesetz gelten je nach Fall dreißig Jahre, zehn Jahre oder bei Untersuchungen Minderjähriger eine Frist bis zur Vollendung des 28. Lebensjahres. Steuerunterlagen haben wiederum eigene Fristen. Ein pauschaler Eintrag „10 Jahre“ ist deshalb nicht ausreichend.
Typische Verarbeitungstätigkeiten einer Zahnarztpraxis
Die folgende Liste ist ein Ausgangspunkt. Welche Einträge Ihre Praxis tatsächlich braucht, zeigt die Bestandsaufnahme vor Ort.
- 01Behandlungsdokumentation
- Die Dokumentation muss in unmittelbarem zeitlichen Zusammenhang mit der Behandlung erfolgen. Bei Änderungen müssen der ursprüngliche Inhalt und der Zeitpunkt der Änderung erkennbar bleiben, auch in elektronischen Akten.
- 02Terminverwaltung und Erinnerungen
- Trennen Sie die Erinnerung an einen vereinbarten Termin von Einladungen zur Prophylaxe oder Kontrolle. Letztere können Werbung sein; für Werbung per elektronischer Post verlangt § 7 UWG grundsätzlich eine vorherige ausdrückliche Einwilligung.
- 03Abrechnung
- Erfassen Sie den Weg über die Kassenzahnärztliche Vereinigung und die Privatliquidation getrennt.
- 04Röntgen und Bildarchiv
- Diese Tätigkeit hat eigene Aufbewahrungsfristen. Die Aufzeichnungen müssen gegen unbefugten Zugriff und Veränderungen geschützt werden.
- 05Telematikinfrastruktur
- Die Praxis ist für dezentrale Komponenten verantwortlich, soweit sie diese zur Authentifizierung und Signatur nutzt und über die Mittel der Verarbeitung mitentscheidet. Dazu kommen ePA, KIM, eAU und E-Rezept. Die ePA ist für Zahnarztpraxen seit dem 1. Oktober 2025 verpflichtend, das E-Rezept für Vertragszahnärzte seit dem 1. Januar 2024.
- 06Angeschlossene Systeme
- Röntgensoftware, Intraoralscanner, Laborsoftware und Terminbuchung verarbeiten über Schnittstellen ebenfalls Patientendaten. Nehmen Sie diese Systeme und ihre Empfänger in das Verzeichnis auf. Was beim Vertrag mit dem Hersteller wichtig ist, steht unter Praxissoftware und Datenschutz.
- 07Website und Online-Terminbuchung
- Speichert ein Dienst beim Seitenaufruf Informationen im Endgerät des Nutzers oder greift darauf zu, kann eine vorherige Einwilligung erforderlich sein.
- 08Beschäftigtendaten
- Auch Personalakten gehören in das Verzeichnis. Gesundheitsdaten von Beschäftigten sind ebenfalls besonders geschützt.
Ihr Ansprechpartner: Lukasz Lepiocha
Lukasz ist DEKRA-zertifizierter Datenschutzauditor und bei neuen Anfragen Ihr erster Ansprechpartner. Auch wenn eine E-Mail falsch verschickt wurde, ein Datenträger fehlt oder Post von der Aufsichtsbehörde kommt, erreichen Sie uns direkt.
Technische und organisatorische Maßnahmen
Die Maßnahmen müssen ein Schutzniveau gewährleisten, das zum Risiko passt. Berücksichtigt werden der Stand der Technik, die Kosten sowie Art, Umfang, Umstände und Zweck der Verarbeitung. Artikel 32 nennt unter anderem Verschlüsselung, Vertraulichkeit, Integrität, Verfügbarkeit, Wiederherstellung nach einem Zwischenfall und regelmäßige Wirksamkeitsprüfungen. Beschäftigte dürfen Daten nur auf Anweisung verarbeiten.
Für Gesundheitsdaten nennt das Bundesdatenschutzgesetz weitere Beispiele wie Zugangs-, Zugriffs-, Eingabe-, Weitergabe- und Trennungskontrolle sowie die Sensibilisierung der Beschäftigten.
Für vertragszahnärztliche Praxen gilt zusätzlich die verbindliche IT-Sicherheitsrichtlinie nach § 390 SGB V. Ihre Anforderungen sind nach Praxisgröße gestuft: bis fünf, sechs bis zwanzig und mehr als zwanzig Personen, die ständig mit Datenverarbeitung betraut sind. Für medizinische Großgeräte gelten zusätzliche Anforderungen.
Zu den konkreten Maßnahmen gehören ein geregeltes Backup mit Rückspieltest, persönliche Benutzerkonten, Rollen und Berechtigungen sowie dokumentierte Zuständigkeiten. Rechte sollten nur vergeben werden, wenn sie für die jeweilige Aufgabe benötigt werden.
Für Cloud-Dienste mit Gesundheitsdaten gilt § 393 SGB V. Seit dem 1. Juli 2025 ist grundsätzlich ein aktuelles C5-Testat vom Typ 2 erforderlich. Bei einem nach dem 30. Juni 2025 erstmals in Verkehr gebrachten System genügt für die ersten 18 Monate ein Typ-1-Testat; gesetzlich zugelassene gleichwertige Nachweise sind ebenfalls möglich.
Wie die Unterlagen aktuell bleiben
Legen Sie eine feste Zuständigkeit und einen jährlichen Prüftermin fest. Aktualisieren Sie die Unterlagen außerdem immer dann, wenn sich ein Ablauf ändert, zum Beispiel bei:
- einem neuen Modul oder einem Wechsel der Praxissoftware
- einer Umstellung auf Cloud-Betrieb
- einem neuen Röntgen-, Labor- oder Buchungssystem
- einem neuen Dienstleister
- einem neuen Werkzeug auf der Website
Beim Ausscheiden von Mitarbeitenden müssen bekannte oder genutzte Zugangsdaten geändert oder vernichtet werden. Die IT-Sicherheitsrichtlinie wird jährlich geprüft und in regelmäßigen Abständen an Technik und Bedrohungslage angepasst.
Die Reihenfolge für eine eigene Prüfung finden Sie in unserer DSGVO-Checkliste für die Zahnarztpraxis. Den Gesamtüberblick gibt die Seite Datenschutz in der Zahnarztpraxis.
Eine allgemeine Vorlage kann nur der Anfang sein. Das fertige Verzeichnis muss Ihre tatsächlichen Abläufe, Systeme und Empfänger abbilden.
Ratgeber für Zahnarztpraxen
Verständliche Antworten auf die Datenschutzfragen, die uns in Zahnarztpraxen regelmäßig begegnen.
Datenschutz in der Zahnarztpraxis
Ein verständlicher Überblick über die Datenschutzthemen, die im Praxisalltag wirklich eine Rolle spielen.
Weiterlesen02WhatsApp in der Zahnarztpraxis
WhatsApp ist schnell und bequem. Bei Patientendaten braucht Ihre Praxis trotzdem klare Regeln und sichere Alternativen.
Weiterlesen03Künstliche Intelligenz in der Zahnarztpraxis
Viele Praxen nutzen bereits KI. Wir erklären, welche Pflichten daraus entstehen und was Sie dokumentieren sollten.
Weiterlesen04Praxissoftware und Datenschutz
Wer darf auf welche Daten zugreifen? Was muss im Vertrag stehen? Und was passiert bei einem Softwarewechsel?
Weiterlesen05Telematikinfrastruktur und Datenschutz
Wir ordnen die Vorgaben zur Telematikinfrastruktur ein und zeigen, was davon für Zahnarztpraxen gilt.
Weiterlesen06Online-Terminbuchung und Praxiswebsite
Schon beim ersten Seitenaufruf können Daten an externe Dienste fließen. Wir zeigen, wo Sie genau hinsehen sollten.
WeiterlesenWas im kostenlosen Check passiert
Im Check gleichen wir Ihr Verzeichnis und Ihre technischen Maßnahmen mit den tatsächlichen Abläufen ab.
In 45 Minuten sprechen wir über die wichtigsten Abläufe Ihrer Praxis: Anmeldung, Dokumentation, Kommunikation, Software und Abrechnung. Anschließend erhalten Sie unsere Einschätzung schriftlich.
Der Check ist kostenlos und unverbindlich. Danach wissen Sie, welche Punkte Sie selbst erledigen können und wobei Unterstützung sinnvoll wäre.
- Keine Vorbereitung nötig
- Schriftliche Zusammenfassung
- Persönlicher Ansprechpartner