nDSG für Arztpraxen: Was Praxisinhaber über Praxissoftware wissen müssen

Wenn Ihre Arztpraxis irgendwelche Patienteninformationen in einer Software speichert — und seien es nur Namen, Telefonnummern und Termine — fallen Sie unter das revidierte Schweizer Datenschutzgesetz (nDSG), auf Französisch nLPD. Das Gesetz ist seit dem 1. September 2023 in Kraft, die Pflichten sind strenger geworden, die Bussen können persönlich sein, und „das wussten wir nicht" ist keine Verteidigung.

Dieser Leitfaden richtet sich an Praxisinhaber, nicht an Juristen. Er erklärt, was sich geändert hat, was Sie wirklich tun müssen und was Ihre Praxissoftware für Sie übernehmen sollte.

Was sich am 1. September 2023 geändert hat

Das alte DSG stammte aus dem Jahr 1992, als es noch keine elektronischen Patientendossiers gab. Das nDSG modernisiert den Rahmen und nähert ihn der EU-DSGVO an, behält aber einige schweizerische Eigenheiten.

Die wichtigsten Änderungen für Arztpraxen und Kliniken:

• Gesundheitsdaten sind „besonders schützenswerte Personendaten" gemäss Art. 5 lit. c nDSG, was zusätzliche Pflichten auslöst.
• Ein Verzeichnis der Bearbeitungstätigkeiten ist neu für die meisten Verantwortlichen Pflicht (Art. 12 nDSG).
• Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen sind gesetzliche Anforderungen (Art. 7 nDSG).
• Die Informationspflichten bei der Datenerhebung wurden erweitert (Art. 19 nDSG).
• Datenschutzverletzungen müssen dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) „so rasch als möglich" gemeldet werden (Art. 24 nDSG).
• Persönliche Strafen von bis zu CHF 250 000 für Personen, die bestimmte Pflichten vorsätzlich verletzen (Art. 60 nDSG).

Was in einer Arztpraxis als personenbezogen oder besonders schützenswert gilt

Nach Art. 5 nDSG:

• Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen — Name, Telefonnummer, E-Mail, IBAN, sogar ein Termin, der einem Namen zugeordnet ist.
• Besonders schützenswerte Personendaten sind insbesondere Daten über Gesundheit, religiöse, weltanschauliche oder politische Ansichten, biometrische und genetische Daten sowie Sozialhilfedaten.

Fast alles, was eine Praxis über einen Patienten speichert, ist mindestens eine Personendate. Sobald eine Behandlung, eine Diagnose, ein Rezept oder eine Überweisung dokumentiert wird, bearbeiten Sie besonders schützenswerte Daten — und unterliegen damit strengeren Regeln zu Einwilligung, Zugriffskontrolle und Sicherheit.

Das Bearbeitungsverzeichnis (Art. 12)

Die meisten Praxen müssen jetzt ein Verzeichnis der Bearbeitungstätigkeiten führen. Unternehmen mit weniger als 250 Beschäftigten sind nur dann ausgenommen, wenn ihre Bearbeitung ein geringes Risiko darstellt — und Gesundheitsdaten sind per Definition kein geringes Risiko.

Ihr Verzeichnis muss pro Bearbeitungstätigkeit angeben:

• Den Zweck (Termine, Abrechnung, klinische Notizen, Marketing-Newsletter usw.).
• Die Kategorien betroffener Personen (Patienten, Personal, Lieferanten).
• Die Kategorien von Personendaten.
• Die Empfänger (Treuhänder, Softwareanbieter, Versicherer usw.).
• Die Aufbewahrungsfristen.
• Eine allgemeine Beschreibung der Sicherheitsmassnahmen.

Ein guter Praxissoftware-Anbieter stellt Ihnen dafür eine Vorlage zur Verfügung, die den plattformseitigen Teil bereits abdeckt.

Datenschutz durch Technik und Voreinstellung (Art. 7)

Sie müssen Ihre Prozesse so gestalten, dass standardmässig die kleinstmögliche Menge an Personendaten erhoben und zugänglich ist. Konkret:

• Mitarbeitende sehen nur die Patientendaten, die sie für ihre Rolle benötigen.
• Alte Daten werden nach Ablauf der Aufbewahrungsfrist gelöscht oder anonymisiert.
• Neue Funktionen starten mit den datenschutzfreundlichsten Einstellungen und verlangen eine aktive Entscheidung, mehr zu teilen.

Das ist teils Aufgabe Ihrer Software und teils Ihre Aufgabe. Die Software muss eine rollenbasierte Zugriffskontrolle und konfigurierbare Aufbewahrungsfristen unterstützen; Sie entscheiden, wer welche Rolle bekommt.

Informationspflichten (Art. 19)

Bei der Erhebung von Daten — beim ersten Termin, im Online-Formular, auf dem Aufnahmeblatt — müssen Sie die betroffene Person informieren über:

• Identität und Kontaktdaten des Verantwortlichen (Ihre Praxis).
• Den Zweck der Bearbeitung.
• Die Empfänger oder Kategorien von Empfängern.
• Eine allfällige Bekanntgabe ins Ausland und die betroffenen Staaten.

Eine kurze, allgemein verständliche Datenschutzerklärung an der Rezeption und auf Ihrer Website reicht in der Regel aus. Es muss kein zwölfseitiges juristisches Dokument sein.

Meldepflicht bei Datenschutzverletzungen (Art. 24)

Wenn eine Verletzung voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen führt, müssen Sie sie dem EDÖB so rasch als möglich melden. Das nDSG kennt keine starre 72-Stunden-Frist wie die DSGVO, aber in der Praxis sollten Sie sich daran orientieren — der EDÖB hat klargestellt, dass unbegründete Verzögerungen zu Ihren Lasten gehen.

Sie müssen die betroffenen Patienten unter Umständen ebenfalls in klarer Sprache informieren, wenn dies zu deren Schutz erforderlich ist oder der EDÖB es verlangt.

Die Rolle des EDÖB

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte ist die Aufsichtsbehörde. Er bearbeitet Beschwerden, führt Untersuchungen und kann korrigierende Massnahmen anordnen. Anders als DSGVO-Behörden kann der EDÖB selbst keine direkten Verwaltungsbussen aussprechen — aber kantonale Strafbehörden können Personen nach Art. 60 mit bis zu CHF 250 000 büssen.

Warum der Hosting-Standort Schweiz wichtig ist

Der physische Standort der Daten bestimmt, welcher Staat rechtmässig Zugriff verlangen kann.

• Hosting in der Schweiz: Die Daten bleiben unter Schweizer Jurisdiktion, mit starkem verfassungsrechtlichem Schutz und dem BÜPF, das richterliche Kontrolle für staatliche Zugriffe verlangt.
• Hosting in der EU: Die Daten unterstehen der DSGVO — solide, aber US-Behörden erreichen EU-Tochtergesellschaften von US-Cloud-Anbietern via CLOUD Act.
• Hosting in den USA: Die Daten sind dem CLOUD Act und FISA 702 ausgesetzt.

Für eine Arztpraxis lautet die praktische Antwort: Schweiz bevorzugen, EU akzeptieren, rein US-amerikanisches Hosting für klinische Daten meiden.

nDSG vs. DSGVO: die Kurzversion

Wer DSGVO-konform ist, ist zu rund 90 % nDSG-konform. Wichtige Unterschiede:

• Das nDSG erfasst nur Daten natürlicher Personen; die DSGVO deckt teilweise auch juristische Personen ab.
• nDSG-Sanktionen sind persönlich und strafrechtlich; DSGVO-Bussen sind organisatorisch und verwaltungsrechtlich.
• Das nDSG kennt keine starre 72-Stunden-Frist, fordert aber „so rasch als möglich".
• Das nDSG verlangt in bestimmten Fällen einen Vertreter in der Schweiz für ausländische Verantwortliche (Art. 14).

Checkliste für Praxisinhaber

Verstehen Sie diese Liste als echte Montagmorgen-To-do-Liste. Jeder Punkt entspricht einer rechtlichen Pflicht oder einer starken Best Practice.

• Daten kartieren. Listen Sie jedes System auf, das Patientendaten enthält — Praxissoftware, Treuhänder, E-Mail, Papierordner.
• Bearbeitungsverzeichnis erstellen (Art. 12). Eine Seite pro System genügt.
• Datenschutzerklärung veröffentlichen in den Sprachen Ihrer Patienten, auf der Website und sichtbar an der Rezeption.
• Auftragsbearbeitungsvertrag mit jedem Anbieter unterschreiben, der Patientendaten berührt — Software, Hosting, Treuhänder, externe Transkription.
• Hosting-Standort prüfen. Lassen Sie sich schriftlich bestätigen, wo die Daten gespeichert sind. Im Vertrag festhalten.
• Rollenbasierten Zugriff konfigurieren, damit MPAs keine klinischen Notizen sehen und umgekehrt.
• Verschlüsselung aktivieren im Ruhezustand und bei der Übertragung (AES-256 oder gleichwertig). Die meisten modernen Lösungen tun das automatisch — verifizieren.
• Aufbewahrungsfristen schriftlich definieren (in der Regel 10 Jahre nach Behandlung bei Erwachsenen, 20 Jahre bei Minderjährigen — siehe nächster Beitrag).
• Team mindestens jährlich schulen zu Datenumgang, Phishing und Meldung von Verletzungen.
• Reaktionsplan für Verletzungen mit benannter verantwortlicher Person, mentaler 72-Stunden-Frist und EDÖB-Meldeformular im Lesezeichen.

Was das für die Wahl Ihrer Software bedeutet

Ihre Praxissoftware ist kein neutrales Werkzeug, sondern ein Auftragsbearbeiter im Sinne des nDSG, und die Pflichten, die sie erfüllt (oder nicht), werden zu Ihren Pflichten. Vor der Unterschrift prüfen: Schweizer Hosting, AES-256-Verschlüsselung, rollenbasierter Zugriff, Audit-Logs, exportierbare Daten für Auskunftsbegehren und ein schriftlicher Auftragsbearbeitungsvertrag.

Compliance ist nicht mehr optional. Mit der richtigen Software und einem einseitigen Verzeichnis ist sie aber auch nicht so schwer, wie sie klingt.