Datenschutz praktisch umsetzen. Festplatte, Kommunikation, Backups und Aufbewahrung

Die Pflichten kennen ist eine Sache, sie im Alltag umsetzen eine andere. Festplattenverschlüsselung, abschließbare Ablage, tragfähige Kommunikationswege, WLAN und VPN, Backups und die zehnjährige Aufbewahrung: die praktische Seite für Praxen in Österreich.

Von Christian Glatz · Zuletzt aktualisiert: Juli 2026

Schreibtisch mit geschlossenem Laptop und Vorhängeschloss, angeschlossener externer Festplatte und abschließbarer Schublade mit Schlüssel als Symbol für technische und organisatorische Maßnahmen

Welche Formalpflichten gelten, habe ich im Artikel Datenschutz in der psychotherapeutischen Praxis durchgegangen. Dieser Text behandelt die andere Hälfte: die konkrete Umsetzung im Praxisalltag. Welche Geräte gehören verschlüsselt, welche Kommunikationswege sind tragfähig, wie muss ein Backup aussehen, wie lange bleiben Unterlagen liegen, und was passiert mit der Dokumentation, wenn Sie selbst ausfallen.

Der rechtliche Rahmen ist knapp formuliert. Art. 32 DSGVO verlangt "geeignete technische und organisatorische Maßnahmen" im Verhältnis zum Risiko. Bei Gesundheitsdaten ist das Risiko hoch, der Maßstab also streng. Was "geeignet" bedeutet, steht nicht im Gesetz. Die folgenden Punkte sind der Stand, den ich in einer Einzelpraxis für vertretbar halte.

1. Festplattenverschlüsselung: der wichtigste einzelne Handgriff

Ein Notebook ist schnell weg. Aus dem Auto, aus dem Wartebereich, aus dem Zug. Ohne Verschlüsselung genügt es, die Platte auszubauen und an einem anderen Rechner zu lesen. Das Anmeldepasswort schützt davor nicht.

Worauf es dabei ankommt, zeigt die Meldepflicht. Geht ein Gerät mit Klient:innendaten verloren, ist das eine Datenschutzverletzung, die nach Art. 33 DSGVO binnen 72 Stunden der Datenschutzbehörde zu melden ist, und je nach Risiko sind auch die betroffenen Klient:innen zu informieren. War die Festplatte verschlüsselt, kommt niemand an die Daten. Art. 34 Abs. 3 DSGVO nennt Verschlüsselung ausdrücklich als Grund, warum die Benachrichtigung der Betroffenen dann entfallen kann.

Was zu tun ist:

macOS: FileVault einschalten unter Systemeinstellungen, Datenschutz und Sicherheit. Den Wiederherstellungsschlüssel ausdrucken und außerhalb der Wohnung verwahren.
Windows: BitLocker aktivieren (Pro-Version) oder Geräteverschlüsselung bei Home. Wiederherstellungsschlüssel ebenfalls offline sichern.
Externe Festplatten und USB-Sticks: genauso verschlüsseln. Eine unverschlüsselte Backup-Platte im Regal ist genau die Kopie, die niemand mitdenkt.
Smartphone: aktuelle iPhones und Android-Geräte verschlüsseln bei gesetztem Code automatisch. Also Code setzen, sechsstellig oder länger, und automatische Sperre nach kurzer Zeit.

Verschlüsselung wirkt allerdings nur im ausgeschalteten oder gesperrten Zustand. Sobald Sie angemeldet sind, liegen die Daten entschlüsselt vor: Ein aufgeklappter Laptop im Wartebereich ist offen, unabhängig davon, wie stark die Platte verschlüsselt ist. Sperren Sie deshalb den Bildschirm, wenn Sie den Raum verlassen.

2. Der Raum: abschließen bleibt Teil des Datenschutzes

Datenschutz wird als IT-Thema diskutiert, ist im Praxisalltag aber oft physisch:

Papierunterlagen in einen abschließbaren Schrank oder eine abschließbare Schublade. Ein Tresor ist nicht verlangt: Die DSGVO schreibt keine bestimmte Ausführung vor, sondern Maßnahmen, die zum Risiko passen. Entscheidend ist, dass Unterlagen nicht frei zugänglich herumliegen, auch nicht Notizzettel aus der Sitzung, Überweisungen oder Honorarnoten.
Praxistür abschließen, wenn Sie den Raum verlassen, insbesondere bei Praxen in Wohnhäusern oder in Gemeinschaftsnutzung.
Bildschirm nicht zur Tür und nicht zum Wartebereich ausrichten. Wer hereinkommt, soll keine Namen lesen können.
Telefonate nicht führen, während jemand im Wartebereich sitzt. Sonst hört die nächste Person den Namen der vorigen.
Reinigungskräfte, Vermieter, Mitnutzer:innen haben oft Zugang zum Raum. Sie sind keine Hilfspersonen im Sinne der Verschwiegenheitspflicht, deshalb dürfen Unterlagen nicht offen liegen.
Alte Unterlagen nicht in den Papierkorb, sondern schreddern. Ein Aktenvernichter mit Sicherheitsstufe P-4 oder höher ist die einfache Lösung.

In einer Gemeinschaftspraxis kommt dazu, dass jede Person nur ihre eigenen Klient:innen sehen darf. Gemeinsame Ablagen und geteilte Rechnerzugänge sind dort das häufigste Problem.

3. Kommunikationswege: was tragfähig ist und was nicht

Hier passieren die meisten Fehler, weil Klient:innen den Kanal vorgeben und man aus Höflichkeit mitgeht.

Unverschlüsselte E-Mail ist technisch eine Postkarte. Für Terminorganisation ist sie in der Praxis akzeptiert. Für Inhalte aus der Therapie, Diagnosen oder Befunde ist sie es nicht. Wenn Sie Dokumente per Mail verschicken, dann als passwortgeschütztes PDF, mit dem Passwort über einen anderen Kanal.

WhatsApp ist zwar Ende-zu-Ende verschlüsselt, gehört aber Meta, und die Metadaten (wer schreibt wann mit wem) liegen dort. Dazu kommt das Adressbuch-Problem: Die App gleicht Ihre Kontakte ab, und Ihre Kontakte sind Klient:innen. Für eine Praxis ist das kein guter Kanal. Wer einen Messenger braucht, ist mit Signal oder Threema besser aufgestellt.

SMS ist unverschlüsselt, für eine reine Terminerinnerung ohne Kontext aber praktikabel.

Anrufbeantworter und Mailbox: Ansage neutral halten, ohne Hinweis auf Psychotherapie, wenn die Nummer auch privat genutzt wird. Und keine Rückrufe auf Nummern, bei denen Dritte mithören könnten, ohne das vorher zu klären.

Post an die Wohnadresse: kurz nachfragen, ob das passt. Nicht alle Klient:innen wollen Briefe einer Praxis im gemeinsamen Haushalt.

Der praktische Weg: Legen Sie im Erstgespräch fest, über welchen Kanal Sie erreichbar sind, was darüber besprochen werden kann und was nicht. Dann ist es dokumentiert und Sie müssen nicht in jeder Situation neu entscheiden. Der Leitfaden zum Erstgespräch geht darauf ein.

4. Video und Internet: was das Gesetz tatsächlich erlaubt

Ein verbreitetes Missverständnis: Online-Psychotherapie sei seit dem PThG 2024 uneingeschränkt erlaubt. Das ist nicht der Fall. § 39 PThG 2024 lässt die digitale oder mediale Durchführung zu, wenn sie klinisch oder geografisch begründet notwendig ist, das Einvernehmen mit der Klient:in besteht und die Eignung des Settings dokumentiert begründet wird. Dazu muss die technische Umsetzung Vertraulichkeit gewährleisten.

Praktisch heißt das zweierlei. Erstens: Die Begründung gehört pro Fall in die Dokumentation, nicht einmalig in die Praxisordnung. Zweitens: Die Plattform muss halten. Ein US-Dienst ohne Auftragsverarbeitungsvertrag und ohne belastbare Verschlüsselung erfüllt das nicht.

Ausführlich behandelt das der Artikel zu Videotherapie und DSGVO, einen Anbietervergleich finden Sie unter Video-Telefonie für Psychotherapie.

Offene Netze, Hotspot und VPN

In einem fremden WLAN hängen Sie im selben Netz wie alle anderen Anwesenden, und der Betreiber sieht, mit welchen Servern Sie sprechen. Die Inhalte selbst sind heute meist geschützt, weil Praxissoftware und Browser über TLS verschlüsseln. Sichtbar bleiben die Umstände: welche Dienste Sie nutzen, wann und wie lange. Dazu kommt das Risiko manipulierter Netze, die sich als Hotel- oder Café-WLAN ausgeben und den Verkehr umleiten.

Der einfachste Weg ist der eigene Handy-Hotspot. Damit arbeiten Sie im Mobilfunknetz statt in einem fremden Netz, und die Frage erledigt sich ohne zusätzliche Software.

Ein VPN ist die zweite Möglichkeit. Es verschlüsselt die Verbindung zwischen Ihrem Gerät und dem VPN-Server und verbirgt vor dem lokalen Netz, welche Dienste Sie nutzen. Zwei Einschränkungen gehören dazu. Erstens verlagert ein VPN das Vertrauen nur: Was das Café-WLAN nicht mehr sieht, sieht nun der VPN-Anbieter. Kostenlose Dienste finanzieren sich häufig genau darüber und sind für eine Praxis unbrauchbar. Sinnvoll ist ein Anbieter mit Sitz in der EU und geprüfter No-Log-Zusage. Zweitens schützt ein VPN nur den Transportweg, eine unsichere Anwendung wird dadurch nicht sicher.

Das Praxis-WLAN selbst bekommt ein eigenes, starkes Passwort und ein getrenntes Gäste-Netz, damit Besuchsgeräte nicht im gleichen Netz wie Ihr Arbeitsrechner hängen.

5. Backups: die eine Regel, die Sie sich merken müssen

Ein bestimmtes Backup-Verfahren ist nicht vorgeschrieben. Art. 32 DSGVO verlangt, dass Sie die Verfügbarkeit der Daten sicherstellen und den Zugang nach einem physischen oder technischen Zwischenfall rasch wiederherstellen können. Wie Sie das erreichen, bleibt Ihnen überlassen. Bewährt hat sich die Regel 3-2-1: drei Kopien der Daten, auf zwei verschiedenen Medien, davon eine an einem anderen Ort. Die dritte Zahl deckt den Fall ab, dass Rechner und externe Platte gemeinsam verloren gehen, etwa bei Brand, Wasserschaden oder Einbruch.

Was in der Praxis funktioniert:

Die Arbeitskopie auf dem Rechner.
Eine verschlüsselte externe Platte, regelmäßig angesteckt (Time Machine oder Dateiversionsverlauf). Nicht dauerhaft verbunden lassen, sonst verschlüsselt ein Erpressungstrojaner das Backup mit.
Eine Kopie außer Haus. Praktikabel sind ein Bankschließfach, ein zweiter Praxis- oder Bürostandort oder eine verschlüsselte Platte bei einer Vertrauensperson, die Sie im Wechsel gegen die Platte zu Hause tauschen. Weil die Platte verschlüsselt ist, kann diese Person die Daten nicht lesen, und genau darauf kommt es datenschutzrechtlich an. Alternativ übernimmt ein Cloud-Backup mit Ende-zu-Ende-Verschlüsselung bei einem EU-Anbieter diese Rolle, dann ist die Auslagerung automatisch erledigt. Dafür brauchen Sie einen Auftragsverarbeitungsvertrag mit dem Anbieter.

Drei Dinge, die dabei oft schiefgehen:

Der Restore wird nie getestet. Ein Backup, aus dem noch nie etwas zurückgeholt wurde, ist eine Vermutung. Probieren Sie einmal aus, ob Sie eine einzelne Datei tatsächlich wiederherstellen können.
Klient:innendaten landen im privaten Cloud-Ordner. Ein Ordner, der mit dem Familien-Speicher synchronisiert, gehört nicht in die Praxis.
Es gibt kein Backup der Zugangsdaten. Ein Backup, das nur Sie entschlüsseln können, hilft niemandem, wenn Sie ausfallen. Wiederherstellungsschlüssel und Passwörter gehören getrennt davon gesichert.

6. Aufbewahren: zehn Jahre, dann nachweislich vernichten

§ 44 PThG 2024 verlangt die fortlaufende Dokumentation des Behandlungsverlaufs und eine Aufbewahrung von zehn Jahren ab Behandlungsende. Danach ist die Dokumentation unwiederbringlich zu vernichten. Die Frist beginnt nicht mit dem Erstellungsdatum, sondern mit dem Ende der Behandlung, was bei langen Prozessen einen erheblichen Unterschied macht.

Dazu zwei Klarstellungen:

Digitale Aufbewahrung ist zulässig. Die Aufbewahrungspflicht kann in geeigneter automationsunterstützter Form erfüllt werden. Sie müssen also keine Papierarchive führen. Was Sie brauchen, ist Lesbarkeit über zehn Jahre, also ein Format, das Sie auch nach einem Softwarewechsel noch öffnen können. Exportieren Sie regelmäßig in ein offenes Format (PDF, CSV) statt sich auf ein Anbieterformat zu verlassen.

"Unwiederbringlich" schließt Backups ein. Wenn Sie nach zehn Jahren die Live-Daten löschen, die Daten aber in einem fünf Jahre alten Backup weiterleben, ist die Pflicht nicht erfüllt. Das ist ein Argument für Backups mit begrenzter Aufbewahrung statt eines endlos wachsenden Archivs.

Beachten Sie außerdem, dass steuerliche Aufbewahrungsfristen parallel laufen und anderen Regeln folgen: sieben Jahre für Buchhaltungsunterlagen nach der Bundesabgabenordnung. Honorarnoten unterliegen also einer anderen Frist als die Behandlungsdokumentation. Wie sich die Buchhaltungsseite ordnen lässt, steht im Artikel zur Buchhaltung für Therapeut:innen.

7. Vorsorge für den eigenen Ausfall

Die Aufbewahrungspflicht endet nicht mit Ihrer Berufstätigkeit und nicht mit Ihrem Tod, und die Verschwiegenheitspflicht nach § 45 PThG 2024 überdauert den Tod ebenfalls. Ihre Erb:innen bekommen damit kein Recht, in die Dokumentation zu sehen. Für diesen Fall ist in Österreich die Meldung der Dokumentationsaufbewahrung an das Gesundheitsressort vorgesehen, mit der Sie zu Lebzeiten eine Kolleg:in benennen.

Bei verschlüsselten Systemen kommt hinzu, dass der Zugang eigens geregelt werden muss, sonst ist die Dokumentation im Ernstfall unerreichbar. Weil das genug Substanz für sich hat, behandelt es ein eigener Artikel: Nachlass und Praxisaufgabe.

Checkliste zum Abhaken

Quellen

Psychotherapiegesetz 2024 (PThG 2024, BGBl. I Nr. 49/2024), insbesondere §§ 39, 44, 45: RIS
Art. 32 DSGVO (Sicherheit der Verarbeitung) und Art. 33 (Meldung von Verletzungen): eur-lex.europa.eu
Meldung der Dokumentationsaufbewahrung, Formular und Information: sozialministerium.gv.at
Verschwiegenheitspflicht, Information des Sozialministeriums: sozialministerium.gv.at
Bundesabgabenordnung § 132 (Aufbewahrung von Buchhaltungsunterlagen): RIS
Praxisgründung und Praxisführung, Serviceseiten der Landesverbände: psychotherapie.at

Stand: Juli 2026. Dieser Artikel ist eine fachliche Orientierung und ersetzt keine individuelle Rechtsberatung.

Wie CuraDesk dabei hilft

CuraDesk verschlüsselt Klient:innendaten Ende-zu-Ende nach dem Zero-Knowledge-Prinzip, hostet in Deutschland und stellt einen AV-Vertrag bereit. Das deckt einen Teil der technischen Maßnahmen ab. Die Aufbewahrung, die Löschfristen und die Vorsorge für Ihren Ausfall bleiben Ihre Verantwortung, deshalb lassen sich Daten jederzeit exportieren, um sie unabhängig vom System zu sichern. Einen Überblick über alle Funktionen finden Sie unter Praxisverwaltung.