Datenschutz in der Therapiepraxis umsetzen: Geräte, Kommunikation und Backups

Festplattenverschlüsselung, Papierablage, tragfähige Kommunikationswege, Sicherungen nach 3-2-1 und die zehnjährige Aufbewahrung, als priorisierte Tabelle mit Prüfmöglichkeit. Die praktische Seite für Praxen in Österreich.

Von Christian Glatz · Veröffentlicht: Juli 2026

Schreibtisch mit geschlossenem Laptop und Vorhängeschloss, angeschlossener externer Festplatte und abschließbarer Schublade mit Schlüssel als Symbol für technische und organisatorische Maßnahmen

Welche Unterlagen und Prozesse eine Einzelpraxis braucht, steht im Artikel Datenschutz in der psychotherapeutischen Einzelpraxis. Dieser Text behandelt die andere Hälfte: die Umsetzung im Alltag. Der rechtliche Maßstab ist kurz. Art. 32 DSGVO verlangt „geeignete technische und organisatorische Maßnahmen" im Verhältnis zum Risiko, und bei Gesundheitsdaten ist das Risiko hoch. Was „geeignet" heißt, steht nicht im Gesetz. Die folgenden Punkte sind der Stand, den ich für eine Einzelpraxis für vertretbar halte.

Direkt zu einem Abschnitt: Geräte schützen · Raum und Papierablage · Kommunikationswege · Sicherungen · Aufbewahrung · Regelmäßige Kontrolle

Die Maßnahmen nach Wirkung geordnet

Wer nur eine Stunde investieren will, arbeitet die Tabelle von oben nach unten ab. Die Spalte rechts sagt, woran Sie erkennen, dass die Maßnahme wirklich greift, und nicht nur eingerichtet aussieht.

Maßnahme	Nutzen	Häufigkeit	So prüfen Sie es
Festplatte verschlüsseln (FileVault, BitLocker)	Verlorenes Gerät bleibt unlesbar; Benachrichtigung der Betroffenen kann nach Art. 34 Abs. 3 entfallen	einmal, dann bei jedem neuen Gerät	Systemeinstellungen zeigen „FileVault ein" bzw. „BitLocker aktiviert"; Wiederherstellungsschlüssel liegt ausgedruckt vor
Bildschirmsperre nach kurzer Zeit, Code am Handy	Offener Rechner im Wartebereich ist sonst offen, egal wie stark die Platte verschlüsselt ist	einmal	Rechner fünf Minuten liegen lassen: Sperre muss greifen
Sicherung nach 3-2-1, eine Kopie außer Haus	Rechner und Backup-Platte gehen bei Brand oder Einbruch gemeinsam verloren	Backup laufend, Tausch der Außer-Haus-Kopie monatlich	Eine Sicherung gilt erst als geprüft, wenn Sie eine Datei daraus wiederhergestellt und geöffnet haben
Kommunikationswege im Erstgespräch festlegen	Klient:innen geben sonst den Kanal vor, und man geht aus Höflichkeit mit	je Klient:in einmal	In der Akte steht, welcher Kanal vereinbart ist
Papier in abschließbaren Schrank, Aktenvernichter P-4	Reinigung, Vermieter:in und Mitnutzer:innen sind keine Hilfspersonen im Sinne der Verschwiegenheit	täglich	Beim Verlassen des Raums liegt nichts mit Namen offen
Löschroutine für die Zehnjahresfrist	Frist beginnt mit Behandlungsende, nicht mit Erstellung	jährlich	Liste der abgeschlossenen Behandlungen mit Löschdatum existiert
Backup-Aufbewahrung begrenzen	„Unwiederbringlich vernichten" schließt alte Sicherungen ein	einmal einstellen	Die älteste vorhandene Sicherung ist nicht älter als vereinbart
Vorsorge für den eigenen Ausfall	Verschlüsselte Daten sind ohne geregelten Zugang im Ernstfall verloren	jährlich prüfen	Benannte Person, Meldung ans Ministerium, Zugangsablage vorhanden

Geräte schützen

Ein Notebook ist schnell weg: aus dem Auto, aus dem Wartebereich, aus dem Zug. Ohne Verschlüsselung genügt es, die Platte auszubauen und an einem anderen Rechner zu lesen. Das Anmeldepasswort schützt davor nicht.

Geht ein Gerät mit Klient:innendaten verloren, ist das eine Datenschutzverletzung, die nach Art. 33 DSGVO binnen 72 Stunden der Datenschutzbehörde zu melden ist; je nach Risiko sind auch die Betroffenen zu informieren. War die Platte verschlüsselt, kommt niemand an die Daten, und Art. 34 Abs. 3 DSGVO nennt Verschlüsselung ausdrücklich als Grund, warum die Benachrichtigung der Betroffenen entfallen kann.

macOS: FileVault einschalten unter Systemeinstellungen, Datenschutz und Sicherheit. Den Wiederherstellungsschlüssel ausdrucken und außerhalb der Praxis verwahren.
Windows: BitLocker (Pro) oder Geräteverschlüsselung (Home) aktivieren, Wiederherstellungsschlüssel ebenfalls offline sichern.
Externe Platten und USB-Sticks: genauso verschlüsseln. Die unverschlüsselte Backup-Platte im Regal ist die Kopie, die niemand mitdenkt.
Smartphone: aktuelle iPhones und Android-Geräte verschlüsseln bei gesetztem Code automatisch. Also Code setzen, sechsstellig oder länger, automatische Sperre nach kurzer Zeit.

Verschlüsselung wirkt nur im ausgeschalteten oder gesperrten Zustand. Sobald Sie angemeldet sind, liegen die Daten entschlüsselt vor. Sperren Sie den Bildschirm, wenn Sie den Raum verlassen.

Raum und Papierablage

Datenschutz wird als IT-Thema diskutiert, ist im Praxisalltag aber oft physisch:

Papierunterlagen in einen abschließbaren Schrank oder eine abschließbare Schublade. Ein Tresor ist nicht verlangt, die DSGVO schreibt keine Ausführung vor, sondern Maßnahmen, die zum Risiko passen. Auch Notizzettel aus der Sitzung, Überweisungen und Honorarnoten gehören weg vom Tisch.
Praxistür abschließen, wenn Sie den Raum verlassen, besonders in Wohnhäusern und bei gemeinsamer Nutzung.
Bildschirm nicht zur Tür und nicht zum Wartebereich. Wer hereinkommt, soll keine Namen lesen können.
Telefonate nicht führen, während jemand im Wartebereich sitzt.
Reinigungskräfte, Vermieter:in, Mitnutzer:innen haben Zugang zum Raum, sind aber keine Hilfspersonen im Sinne der Verschwiegenheitspflicht.
Alte Unterlagen schreddern, nicht in den Papierkorb. Ein Aktenvernichter mit Sicherheitsstufe P-4 oder höher genügt.

In einer Praxisgemeinschaft kommt dazu, dass jede Person nur ihre eigenen Klient:innen sehen darf. Gemeinsame Ablagen und geteilte Rechnerzugänge sind dort das häufigste Problem.

Kommunikationswege

Hier passieren die meisten Fehler, weil Klient:innen den Kanal vorgeben und man aus Höflichkeit mitgeht.

Unverschlüsselte E-Mail ist technisch eine Postkarte. Für die Terminorganisation ist sie akzeptiert, für Inhalte aus der Therapie, Diagnosen oder Befunde nicht. Dokumente per Mail nur als passwortgeschütztes PDF, das Passwort über einen anderen Kanal.

WhatsApp ist zwar Ende-zu-Ende verschlüsselt, gehört aber Meta, und die Metadaten (wer schreibt wann mit wem) liegen dort. Dazu gleicht die App Ihr Adressbuch ab, und Ihre Kontakte sind Klient:innen. Wer einen Messenger braucht, ist mit Signal oder Threema besser aufgestellt.

SMS ist unverschlüsselt, für eine reine Terminerinnerung ohne Kontext aber praktikabel.

Anrufbeantworter: Ansage neutral halten, wenn die Nummer auch privat genutzt wird. Keine Rückrufe auf Nummern, bei denen Dritte mithören könnten, ohne das vorher zu klären.

Post an die Wohnadresse: kurz nachfragen. Nicht alle wollen Briefe einer Praxis im gemeinsamen Haushalt.

Videositzungen brauchen eine verschlüsselte Übertragung und einen Auftragsverarbeitungsvertrag mit dem Anbieter, und die Notwendigkeit ist nach § 39 PThG 2024 je Fall zu dokumentieren. Welche Unterlagen dafür nötig sind, steht im Artikel Videotherapie vorbereiten, die Anbieterwahl im Vergleich der Videoplattformen.

Fremdes WLAN: In einem Hotel- oder Café-Netz sieht der Betreiber, mit welchen Diensten Sie sprechen, auch wenn die Inhalte über TLS geschützt sind. Der einfachste Ausweg ist der eigene Handy-Hotspot. Ein VPN verlagert das Vertrauen nur zum VPN-Anbieter; kostenlose Dienste finanzieren sich oft genau darüber. Das Praxis-WLAN bekommt ein eigenes starkes Passwort und ein getrenntes Gäste-Netz.

Der praktische Weg: Im Erstgespräch festlegen, über welchen Kanal Sie erreichbar sind und was darüber besprochen werden kann. Dann ist es dokumentiert, und Sie müssen nicht in jeder Situation neu entscheiden.

Sicherungen

Ein bestimmtes Verfahren ist nicht vorgeschrieben. Art. 32 DSGVO verlangt, dass Sie die Verfügbarkeit der Daten nach einem Zwischenfall rasch wiederherstellen können. Bewährt hat sich 3-2-1: drei Kopien, auf zwei verschiedenen Medien, davon eine an einem anderen Ort.

Die Arbeitskopie auf dem Rechner.
Eine verschlüsselte externe Platte, regelmäßig angesteckt (Time Machine oder Dateiversionsverlauf). Nicht dauerhaft verbunden lassen, sonst verschlüsselt ein Erpressungstrojaner das Backup mit.
Eine Kopie außer Haus: Bankschließfach, zweiter Standort oder eine verschlüsselte Platte bei einer Vertrauensperson, die Sie monatlich gegen die Platte zu Hause tauschen. Weil die Platte verschlüsselt ist, kann diese Person die Daten nicht lesen. Alternativ ein Cloud-Backup mit Ende-zu-Ende-Verschlüsselung bei einem EU-Anbieter, mit Auftragsverarbeitungsvertrag.

Was dabei schiefgeht:

Der Restore wird nie getestet. Ein Backup, aus dem noch nie etwas zurückgeholt wurde, ist eine Vermutung. Holen Sie einmal eine Datei zurück und öffnen Sie sie. Erst dann gilt die Sicherung als geprüft.
Klient:innendaten landen im privaten Cloud-Ordner, der mit dem Familienspeicher synchronisiert.
Es gibt keine Sicherung der Zugangsdaten. Ein Backup, das nur Sie entschlüsseln können, hilft niemandem, wenn Sie ausfallen. Wiederherstellungsschlüssel und Passwörter gehören getrennt gesichert; wie, steht im Artikel zur Praxisaufgabe und zum unerwarteten Ausfall.

Aufbewahrung

§ 44 PThG 2024 verlangt die Dokumentation jeder psychotherapeutischen Maßnahme und eine Aufbewahrung von zehn Jahren ab Beendigung der psychotherapeutischen Leistungen. Die Führung in automationsunterstützter Form ist ausdrücklich zulässig. Danach ist die Dokumentation zu vernichten.

Drei Klarstellungen:

Lesbarkeit über zehn Jahre. Ein Format, das Sie auch nach einem Softwarewechsel noch öffnen können. Exportieren Sie regelmäßig in offene Formate (PDF, HTML, CSV) statt sich auf ein Anbieterformat zu verlassen.

Vernichten schließt Backups ein. Wenn Sie nach zehn Jahren die Live-Daten löschen, die Daten aber in einer fünf Jahre alten Sicherung weiterleben, ist die Pflicht nicht erfüllt. Deshalb Sicherungen mit begrenzter Aufbewahrung statt eines endlos wachsenden Archivs.

Steuerliche Fristen laufen parallel. Buchhaltungsunterlagen sind nach § 132 BAO sieben Jahre aufzubewahren. Honorarnoten unterliegen also einer anderen Frist als die Behandlungsdokumentation; mehr dazu im Artikel zur Buchhaltung für Psychotherapeut:innen.

Regelmäßige Kontrolle

Einmal im Jahr, mit festem Kalendereintrag, die Tabelle oben durchgehen und jede Maßnahme so prüfen, wie es in der rechten Spalte steht. Das dauert eine Stunde. Erfahrungsgemäß fällt dabei jedes Jahr ein Punkt auf: die Sicherung, die seit Monaten nicht gelaufen ist, das neue Handy ohne Code, die Kolleg:in für den Ausfall, die inzwischen in Pension ist.

Quellen

Psychotherapiegesetz 2024 (PThG 2024, BGBl. I Nr. 49/2024), §§ 39, 44, 45: RIS
Art. 32 (Sicherheit der Verarbeitung), Art. 33 (Meldung) und Art. 34 Abs. 3 (Verschlüsselung) DSGVO: eur-lex.europa.eu
Bundesabgabenordnung § 132: RIS
Meldung der Dokumentationsaufbewahrung, Gesundheitsministerium: sozialministerium.gv.at (Word-Datei)

Stand: 10. September 2026. Dieser Artikel ist eine fachliche Orientierung und ersetzt keine individuelle Rechtsberatung.

Was davon in CuraDesk eingebaut ist

Drei Punkte der Tabelle erledigt CuraDesk mit: Der Wiederherstellungscode wird direkt nach der Registrierung eingerichtet und ersetzt das vergessene Passwort, das Zugriffs- und Exportprotokoll zeigt, wer wann welche Akte geöffnet oder Daten exportiert hat, und die Vollsicherung exportiert Akten, Honorarnoten und Buchhaltung in offene Formate, damit Sie eine Kopie außerhalb des Systems halten können. Die Sicherung dieser Kopie, die Löschfristen und die Vorsorge für Ihren Ausfall bleiben Ihre Aufgabe. Die Details stehen unter Sicherheit und Datenkontrolle.