Datenschutz in der psychotherapeutischen Einzelpraxis: Welche Unterlagen und Prozesse Sie brauchen
Datenschutzinformation, Verarbeitungsverzeichnis mit Beispieleintrag, Dienstleisterliste, Betroffenenanfragen und Vorfälle: was in der Einzelpraxis in Österreich gilt und unter welcher Voraussetzung, mit belegten Quellen.
Von Christian Glatz · Veröffentlicht: Mai 2026
Rund um den Datenschutz in der Therapiepraxis kursieren viele Halbwahrheiten, von der angeblichen Pflicht zur Datenschutzbeauftragten bis zur „Einwilligung in die Behandlung als DSGVO-Grundlage". Dieser Artikel geht die Unterlagen und Abläufe durch, die eine Einzelpraxis in Österreich tatsächlich braucht, und knüpft jede Anforderung an ihre Voraussetzung. Die technische Umsetzung (Geräte, Kommunikation, Sicherungen) steht im Artikel Datenschutz in der Therapiepraxis umsetzen.
Überblick: Was gilt und unter welcher Voraussetzung
| Anforderung | Gilt für die Einzelpraxis? | Voraussetzung | Grundlage |
|---|---|---|---|
| Datenschutzinformation an Klient:innen | Ja | immer, vor der ersten Datenerhebung | Art. 13 DSGVO |
| Verzeichnis der Verarbeitungstätigkeiten | Ja | sobald regelmäßig Gesundheitsdaten verarbeitet werden, also in jeder Praxis | Art. 30 Abs. 5 DSGVO |
| Auftragsverarbeitungsvertrag | Ja | je Dienstleister, der personenbezogene Daten in Ihrem Auftrag verarbeitet | Art. 28 DSGVO |
| Datenschutzbeauftragte:r | Nein | nur bei umfangreicher Verarbeitung; die einzelne Angehörige eines Gesundheitsberufs gilt nicht als umfangreich | Art. 37 DSGVO, Erwägungsgrund 91 |
| Datenschutz-Folgenabschätzung | Nein | Klientenverwaltung und Honorarabrechnung einzelner Gesundheitsdiensteanbieter sind ausgenommen | DSFA-AV, Anlage DSFA-A12 |
| Einwilligung in die Datenverarbeitung | Nein | Behandlung durch verschwiegenheitspflichtige Person ist die Rechtsgrundlage | Art. 9 Abs. 2 lit. h DSGVO, § 45 PThG 2024 |
| Beantwortung von Betroffenenanfragen | Ja | innerhalb eines Monats | Art. 12 Abs. 3, Art. 15 DSGVO |
| Meldung einer Datenschutzverletzung | Ja | binnen 72 Stunden, wenn ein Risiko für die Betroffenen besteht | Art. 33 DSGVO |
Die beiden Ausnahmen kippen, sobald sich die Praxis ändert: Eine Gemeinschaftspraxis mit gemeinsamer Verwaltung, eine Ambulanz oder der Einsatz von KI-gestützter Sprachverarbeitung kann Datenschutzbeauftragte oder Folgenabschätzung wieder erforderlich machen.
Die Datenschutzinformation
Klient:innen sind vor der Erhebung über Verantwortliche:n, Zwecke, Rechtsgrundlagen, Empfänger, Speicherdauer und ihre Rechte zu informieren. Ein verständliches, einseitiges Blatt erfüllt die Pflicht, ausgehändigt oder auf der Website verlinkt. Eine Unterschrift ist nicht nötig, es ist eine Information, keine Einwilligung. Sinnvoll ist eine kurze Kenntnisnahme in der Akte, damit Sie später belegen können, dass die Information erfolgt ist.
Inhalte, die in Praxisvorlagen oft fehlen: die Speicherdauer von zehn Jahren ab Behandlungsende nach § 44 PThG 2024, die Nennung der Praxissoftware und des Videodienstes als Auftragsverarbeiter, die Übermittlung an Krankenversicherungsträger im Fall eines Kostenzuschusses, und was im Fall Ihres Ausfalls mit den Unterlagen passiert.
Das Verzeichnis der Verarbeitungstätigkeiten
Die KMU-Ausnahme in Art. 30 Abs. 5 DSGVO greift nicht, sobald regelmäßig besondere Kategorien personenbezogener Daten verarbeitet werden. Gesundheitsdaten fallen darunter, und in jeder Praxis werden sie regelmäßig verarbeitet. Also führt auch die Einzelpraxis ein Verzeichnis. Es bleibt intern und ist auf Anforderung der Datenschutzbehörde vorzulegen.
Für eine Einzelpraxis genügen fünf bis sieben Einträge: Terminverwaltung, Behandlungsdokumentation, Honorarabrechnung, Buchhaltung, Kommunikation mit Klient:innen, Videositzungen, gegebenenfalls Website und Online-Buchung. So sieht ein Eintrag aus:
| Feld | Eintrag „Terminverwaltung" |
|---|---|
| Zweck | Planung, Bestätigung und Erinnerung von Behandlungsterminen |
| Betroffene Personen | Klient:innen, bei Minderjährigen deren gesetzliche Vertretung |
| Datenarten | Name, Kontaktdaten, Terminzeitpunkt, Art der Leistung, Absagen und Nichterscheinen |
| Rechtsgrundlage | Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 45 PThG 2024 (Behandlung); Art. 6 Abs. 1 lit. b (Behandlungsvertrag) |
| Empfänger | Praxissoftware-Anbieter als Auftragsverarbeiter (Name, Sitz); E-Mail-Versanddienst des Anbieters |
| Übermittlung in Drittländer | keine |
| Löschfrist | Termindaten sind Teil der Dokumentation: zehn Jahre ab Behandlungsende; reine Terminanfragen ohne Behandlung nach Erledigung |
| Technische und organisatorische Maßnahmen | Verschlüsselung im Browser, Zwei-Faktor-Anmeldung, Bildschirmsperre, gesicherte Endgeräte (siehe Praxisartikel) |
Die anderen Einträge folgen demselben Muster. Der Aufwand liegt bei zwei Stunden, einmalig, danach nur bei Änderungen, etwa einem neuen Dienstleister.
Die eingesetzten Dienstleister
Art. 28 DSGVO verlangt einen Auftragsverarbeitungsvertrag mit jedem externen Dienstleister, der personenbezogene Daten in Ihrem Auftrag verarbeitet: Praxissoftware, Videoplattform, Cloud-Speicher, E-Mail-Anbieter, Buchungstool, gegebenenfalls Steuerberatung für die Buchhaltungsdaten. Der Vertrag ist auch dann nötig, wenn die Inhalte Ende-zu-Ende verschlüsselt sind, weil bereits Verbindungsdaten, Terminzeiten und Beträge personenbezogene Daten sind.
Legen Sie eine Liste an: Dienstleister, Zweck, Sitz, Datum und Ablageort des Vertrags. Diese Liste ist zugleich die Empfängerspalte im Verzeichnis und die Grundlage für die Datenschutzinformation. Wer auf Nachfrage keinen Vertrag liefert, ist als Auftragsverarbeiter ungeeignet.
Betroffenenanfragen
Klient:innen können Auskunft über die zu ihnen gespeicherten Daten verlangen (Art. 15 DSGVO) und eine Kopie in einem gängigen Format (Art. 20). Die Frist beträgt einen Monat, in Ausnahmefällen verlängerbar. Daneben steht das berufsrechtliche Einsichtsrecht in die Dokumentation nach § 44 Abs. 2 PThG 2024, das Sie unter Bedachtnahme auf die therapeutische Beziehung gewähren, soweit das Vertrauensverhältnis nicht gefährdet wird; einer gesetzlichen Vertretung darf zu Geheimnissen der Klient:in ausnahmslos keine Einsicht gegeben werden.
Praktisch heißt das: Sie brauchen einen Weg, die Daten einer einzelnen Person vollständig und lesbar zusammenzustellen, ohne dass Daten anderer Personen mitkommen. Private Reflexionsnotizen, die nicht Teil der offiziellen Dokumentation sind, gehören nicht in die Auskunft. Halten Sie die Anfrage, das Datum und die Erledigung in der Akte fest.
Vorfälle und regelmäßige Prüfung
Ein verlorenes Notebook, eine E-Mail an die falsche Adresse, ein Einbruch in die Praxis: Jeder dieser Fälle ist zu bewerten und, wenn ein Risiko für die Betroffenen besteht, binnen 72 Stunden der Datenschutzbehörde zu melden (Art. 33 DSGVO). Bei hohem Risiko sind auch die Betroffenen zu informieren (Art. 34); das entfällt, wenn die Daten verschlüsselt waren. Führen Sie ein kurzes internes Protokoll auch für Vorfälle, die Sie nicht melden mussten, mit Begründung.
Einmal jährlich: Verzeichnis, Dienstleisterliste und Datenschutzinformation durchsehen, neue Dienste eintragen, alte streichen, Löschfristen abarbeiten. Das ist der gesamte Prozess. Er passt in einen Vormittag.
Quellen
- DSGVO, konsolidierte Fassung, insbesondere Art. 9, 12, 13, 15, 28, 30, 33, 34, 37 und Erwägungsgrund 91: eur-lex.europa.eu
- Verordnung der Datenschutzbehörde über die Ausnahmen von der Datenschutz-Folgenabschätzung (DSFA-AV, BGBl. II Nr. 108/2018), Anlage DSFA-A12: RIS
- Psychotherapiegesetz 2024 (PThG 2024, BGBl. I Nr. 49/2024), §§ 44 und 45: RIS
- Datenschutzbehörde Österreich, Informationen zu Verarbeitungsverzeichnis und Datenschutz-Folgenabschätzung: dsb.gv.at
Stand: 10. September 2026. Dieser Artikel ist eine fachliche Orientierung und ersetzt keine individuelle Rechtsberatung.
Die Unterlagen von CuraDesk
Für den Eintrag der Praxissoftware in Ihr Verzeichnis und in Ihre Dienstleisterliste finden Sie die Datenschutzerklärung und den Auftragsverarbeitungsvertrag von CuraDesk online; der Vertrag wird bei der Registrierung elektronisch abgeschlossen und ist jederzeit als PDF abrufbar. Die Datenauskunft je Person erzeugt CuraDesk als lesbare Akte und als JSON, ohne private Notizen.
