Sobald eine Psychotherapie-Praxis personenbezogene Daten nicht mehr ausschließlich selbst verarbeitet, sondern externe Dienstleister einbindet, greift ein zentrales Instrument der DSGVO: der Auftragsverarbeitungsvertrag – kurz AV-Vertrag. Er regelt, unter welchen Bedingungen ein Hoster, ein Terminbuchungsanbieter oder ein E-Mail-Dienst die besonders sensiblen Gesundheitsdaten Ihrer Patientinnen und Patienten im Auftrag verarbeiten darf. Fehlt dieser Vertrag, verstößt die Praxis gegen Art. 28 DSGVO – unabhängig davon, wie sorgfältig der Dienstleister tatsächlich arbeitet.
Gerade für Psychotherapeutinnen und Psychotherapeuten kommt eine zweite Ebene hinzu: die berufsrechtliche Schweigepflicht und der strafrechtliche Geheimnisschutz nach § 203 StGB. Dieser Beitrag zeigt, wann ein AV-Vertrag zwingend nötig ist, welche Dienstleister betroffen sind und was inhaltlich hineingehört.
Was ist ein AV-Vertrag – und warum betrifft er Ihre Praxis?
Ein Auftragsverarbeitungsvertrag ist eine schriftliche (oder elektronische) Vereinbarung zwischen der Praxis als „Verantwortlichem“ und einem Dienstleister als „Auftragsverarbeiter“. Er stellt sicher, dass der Dienstleister personenbezogene Daten nur nach Ihren Weisungen und nur zu den vereinbarten Zwecken verarbeitet.
Auftragsverarbeitung nach Art. 28 DSGVO
Von einer Auftragsverarbeitung spricht man immer dann, wenn ein externer Anbieter personenbezogene Daten im Auftrag und weisungsgebunden verarbeitet, ohne selbst über Zweck und Mittel der Verarbeitung zu entscheiden. Der rechtliche Rahmen dafür ergibt sich aus Art. 28 DSGVO. Klassische Beispiele sind das Webhosting Ihrer Praxis-Website oder ein Cloud-basiertes Online-Terminbuchungssystem: Der Anbieter speichert die Daten technisch, entscheidet aber nicht eigenständig, was damit geschieht.
Wichtig ist die Abgrenzung zur gemeinsamen Verantwortlichkeit und zur eigenständigen Verantwortlichkeit. Verarbeitet ein Partner Daten für eigene Zwecke – etwa eine Kanzlei, die Ihre Praxis steuerlich berät –, ist er kein Auftragsverarbeiter, sondern selbst Verantwortlicher. In diesem Fall wäre ein AV-Vertrag sogar falsch. Die korrekte Einordnung jedes Dienstleisters ist deshalb der erste und wichtigste Schritt, bevor Sie überhaupt Verträge einholen.
Warum Gesundheitsdaten besondere Sorgfalt erfordern
Daten über die psychische Gesundheit gehören nach Art. 9 DSGVO zu den „besonderen Kategorien personenbezogener Daten“. Schon die bloße Tatsache, dass eine Person Kontakt zu einer Psychotherapie-Praxis aufgenommen hat, ist ein Gesundheitsdatum. Deshalb genügt bei Therapeutinnen und Therapeuten der Standard-AV-Vertrag oft nicht – er muss um Regelungen zur Schweigepflicht ergänzt werden. Welche technischen und organisatorischen Grundlagen dafür nötig sind, behandeln wir ausführlich auf unserer Themenseite Datenschutz für Psychotherapeuten.
Wann ein AV-Vertrag nötig ist – und wann nicht
Nicht jede Zusammenarbeit mit einem Dienstleister löst automatisch die Pflicht zum AV-Vertrag aus. Entscheidend ist, ob der Dienstleister tatsächlich personenbezogene Daten Ihrer Praxis verarbeitet und ob er dabei weisungsgebunden handelt.
Typische Auftragsverarbeiter in der Praxis
- Webhosting-Anbieter: Server, auf denen Ihre Website und die dort eingegebenen Kontaktdaten liegen.
- Online-Terminbuchung: Cloud-Tools, in denen Patienten Termine buchen und dabei Namen sowie Anliegen hinterlassen.
- E-Mail- und Newsletter-Dienste: Anbieter, über die Praxis-E-Mails oder Erinnerungen versendet werden.
- Praxis- und Abrechnungssoftware in der Cloud: Systeme, die Patientendaten außerhalb Ihrer Praxis speichern.
Wann kein AV-Vertrag gebraucht wird
Kein AV-Vertrag ist erforderlich, wenn ein Dienstleister eine eigenständige, gesetzlich geregelte Aufgabe erfüllt – etwa Steuerberater oder Rechtsanwälte, die als eigene Verantwortliche handeln. Auch reine Wartungsleistungen ohne Datenzugriff oder Dienstleister, die nur zufällig und ausnahmsweise Daten sehen, fallen nicht zwingend darunter. In der Praxis empfiehlt sich im Zweifel dennoch eine vertragliche Absicherung, etwa in Form einer Verpflichtung auf Verschwiegenheit für Reinigungs- oder Handwerksbetriebe, die die Praxisräume betreten.
Ein häufiges Missverständnis betrifft Wartungs- und Support-Zugriffe auf die Praxissoftware: Sobald ein IT-Dienstleister zu Support-Zwecken auf Systeme mit Patientendaten zugreifen kann, liegt bereits eine Auftragsverarbeitung vor – auch wenn er die Daten nie aktiv aufruft. Die bloße Zugriffsmöglichkeit genügt. Für Fernwartung an Praxis-IT ist ein AV-Vertrag daher praktisch immer erforderlich.
Diese Dienstleister brauchen einen AV-Vertrag
Die folgende Übersicht ordnet die häufigsten Konstellationen einer typischen Psychotherapie-Praxis ein und zeigt, worauf jeweils besonders zu achten ist.
| Dienstleister | Beispiel | AV-Vertrag nötig? | Besonderheit |
|---|---|---|---|
| Webhosting | Server für Praxis-Website | Ja | Serverstandort möglichst EU; Verschlüsselung prüfen |
| Online-Terminbuchung | Cloud-Buchungstool | Ja | Datenminimierung: keine Diagnosen im Buchungsfeld |
| E-Mail-/Newsletter-Dienst | Versanddienstleister | Ja | Keine Gesundheitsdaten unverschlüsselt versenden |
| Praxissoftware (Cloud) | Abrechnung, Dokumentation | Ja | Ergänzung um § 203 StGB zwingend |
| Steuerberater / Anwalt | Externe Kanzlei | Nein | Eigener Verantwortlicher, kein Auftragsverarbeiter |
| Reinigungsdienst ohne Datenzugriff | Praxisreinigung | Nein | Nur Verpflichtung auf Verschwiegenheit sinnvoll |
Was in einen AV-Vertrag gehört
Der Gesetzgeber schreibt die Mindestinhalte eines AV-Vertrags detailliert vor. Ein bloßer Verweis „Wir halten uns an die DSGVO“ genügt nicht.
Pflichtinhalte nach Art. 28 Abs. 3 DSGVO
- Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Art der Daten und Kategorien betroffener Personen.
- Verarbeitung ausschließlich auf dokumentierte Weisung der Praxis.
- Verpflichtung des Personals des Dienstleisters zur Vertraulichkeit.
- Technische und organisatorische Maßnahmen (TOM) zum Schutz der Daten.
- Regelungen zu Unterauftragsverarbeitern (z. B. Rechenzentren).
- Unterstützung der Praxis bei Betroffenenrechten und Meldepflichten.
- Löschung oder Rückgabe der Daten nach Vertragsende und Nachweis- bzw. Kontrollrechte.
§ 203 StGB – die psychotherapie-spezifische Ergänzung
Seit der Reform von § 203 StGB dürfen Berufsgeheimnisträger externe Dienstleister einbinden – allerdings nur, wenn diese ausdrücklich zur Geheimhaltung verpflichtet werden und die Offenbarung für die Inanspruchnahme der Leistung erforderlich ist. Für Psychotherapie-Praxen bedeutet das: Der AV-Vertrag sollte eine gesonderte Klausel enthalten, die den Dienstleister und seine Mitarbeitenden strafbewehrt zur Verschwiegenheit verpflichtet. Ohne diese Ergänzung kann selbst ein formal korrekter AV-Vertrag berufsrechtlich unzureichend sein.
So schließen Sie AV-Verträge korrekt ab
In der Praxis lässt sich die Auftragsverarbeitung mit einem strukturierten Vorgehen zuverlässig absichern – ohne juristisches Fachwissen im Detail.
Schritt für Schritt
- Erstellen Sie eine Liste aller Dienstleister, die Zugriff auf personenbezogene Daten haben.
- Fordern Sie von jedem den vorbereiteten AV-Vertrag an – seriöse Anbieter stellen ihn von sich aus bereit.
- Prüfen Sie die Pflichtinhalte und den Serverstandort (möglichst EU/EWR).
- Ergänzen Sie bei Zugriff auf Gesundheitsdaten die Verschwiegenheitsklausel nach § 203 StGB.
- Unterzeichnen und archivieren Sie den Vertrag revisionssicher.
Dokumentation und Verzeichnis von Verarbeitungstätigkeiten
Jede Auftragsverarbeitung muss im Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO dokumentiert werden. Bewahren Sie alle AV-Verträge zentral auf, damit Sie im Fall einer Aufsichtsbehörden-Anfrage jederzeit auskunftsfähig sind. Wer seine Praxis-Website von Grund auf datenschutzfreundlich aufsetzt, reduziert die Zahl der nötigen Verträge erheblich – wie das geht, erläutern wir auf der Seite Website für Psychotherapeuten.
Als spezialisierte Web-Agentur für Psychotherapie-Praxen richtet webentwickler.io Ihre Website und alle eingebundenen Tools von Beginn an datenschutzfreundlich ein – inklusive geprüfter AV-Verträge mit Hosting, Terminbuchung und weiteren Dienstleistern. Eine professionelle Praxis-Website erhalten Sie bei uns ab 3.000–5.000 €, die laufende Pflege ab 25–42,50 € pro Monat. Sprechen Sie uns an: Nina Benfer berät Sie gern unter info@webentwickler.io. Weitere Hinweise der Bundespsychotherapeutenkammer finden Sie unter bptk.de.
Häufige Fragen
Brauche ich als Einzelpraxis überhaupt einen AV-Vertrag?
Ja. Die Pflicht hängt nicht von der Praxisgröße ab, sondern davon, ob externe Dienstleister Ihre Patientendaten verarbeiten. Schon ein Cloud-Terminbuchungstool oder externes Webhosting löst die Pflicht aus.
Reicht der Standard-AV-Vertrag meines Hosters aus?
Für die reine DSGVO-Konformität meist ja. Sobald Gesundheitsdaten verarbeitet werden, sollten Sie ihn um eine Verschwiegenheitsklausel nach § 203 StGB ergänzen.
Was passiert, wenn ich keinen AV-Vertrag habe?
Das Fehlen ist ein eigenständiger Verstoß gegen Art. 28 DSGVO und kann mit Bußgeldern geahndet werden. Zusätzlich drohen berufsrechtliche Konsequenzen durch die Verletzung der Schweigepflicht.
Muss der Serverstandort in Deutschland liegen?
Nicht zwingend, aber ein Standort in der EU/im EWR ist deutlich unkomplizierter. Bei US-Anbietern sind zusätzliche Garantien wie Standardvertragsklauseln erforderlich.
Wer erstellt den AV-Vertrag – ich oder der Dienstleister?
In der Regel stellt der Dienstleister ein vorbereitetes Muster bereit, das Sie prüfen und gegenzeichnen. Eigene Anforderungen wie die §-203-Klausel können Sie einbringen.