Welche Datenschutzpflichten haben Therapeuten in Österreich? Was gilt für Patientenakten, Einwilligungen und digitale Software? Dieser Leitfaden erklärt die DSGVO verständlich – ohne Juristendeutsch.
Therapeuten verarbeiten täglich besonders sensible personenbezogene Daten: Gesundheitsdaten, Diagnosen, Behandlungsverläufe, psychische Informationen. Diese zählen nach Art. 9 DSGVO zu den besonderen Kategorien personenbezogener Daten und unterliegen damit dem höchsten Schutzniveau.
Verstöße gegen die DSGVO können für Therapeuten schwerwiegende Folgen haben: Bußgelder bis zu 20 Millionen Euro (oder 4 % des weltweiten Jahresumsatzes), Entzug der Berufszulassung und Reputationsschäden.
️ Wichtig: Patientendaten sind Gesundheitsdaten nach Art. 9 DSGVO – sie genießen den höchsten Datenschutzstatus. Jede Verarbeitung braucht eine explizite Rechtsgrundlage.
Für die Verarbeitung von Gesundheitsdaten brauchen Therapeuten eine explizite Einwilligung (Art. 9 Abs. 2 lit. a DSGVO) – oder eine andere der aufgeführten Ausnahmen (z.B. Behandlungsvertrag nach lit. h).
Tipp: Wellpoint stellt Muster-Einwilligungserklärungen für alle Therapiebereiche bereit – DSGVO-konform und auf österreichisches Recht angepasst.
Therapeuten in Österreich müssen Patientenakten nach österreichischem Recht mindestens 7 Jahre aufbewahren. Bei minderjährigen Patienten gilt: mindestens 7 Jahre nach Vollendung des 18. Lebensjahres.
Wenn Therapeuten Software zur Verwaltung von Patientendaten nutzen, gelten strenge Anforderungen:
Mit jedem Software-Anbieter, der Zugang zu Patientendaten hat, muss ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO abgeschlossen werden. Ohne AVV ist die Nutzung von Software zur Patientenverwaltung nicht DSGVO-konform.
Daten dürfen nur in der EU oder in Ländern mit adäquatem Datenschutzniveau gespeichert werden. Amerikanische Cloud-Dienste (AWS, Google Cloud, Microsoft Azure) sind für Gesundheitsdaten ohne spezielle Vereinbarungen problematisch.
Wellpoint: Alle Daten werden ausschließlich in EU-Rechenzentren gespeichert. AVV wird automatisch beim Vertragsabschluss bereitgestellt. Kein US-Cloud-Anbieter.
Patientendaten sind keine gewöhnlichen personenbezogenen Daten. Art. 9 DSGVO stuft Gesundheitsinformationen als "besondere Kategorie" ein, die dem höchsten Schutzniveau unterliegt. Das bedeutet für Therapeuten: Jede Verarbeitung von Diagnosen, Behandlungsverläufen, Sitzungsnotizen oder psychischen Informationen braucht eine explizite Rechtsgrundlage. Die üblichste ist die ausdrückliche Einwilligung des Patienten (Art. 9 Abs. 2 lit. a DSGVO) oder die Notwendigkeit für die Gesundheitsversorgung im Rahmen eines Behandlungsvertrags (lit. h).
Ergänzend gilt das österreichische Datenschutzgesetz (DSG), das nationale Besonderheiten regelt. Die Aufsicht obliegt der Österreichischen Datenschutzbehörde (DSB) in Wien, die Beschwerden bearbeitet und Bußgelder verhängt.
Sobald ein Therapeut eine Cloud-Software zur Patientenverwaltung nutzt, liegt eine Auftragsverarbeitung vor: Der Softwareanbieter verarbeitet Patientendaten im Auftrag des Therapeuten. Nach Art. 28 DSGVO ist dafür ein schriftlicher Auftragsverarbeitungsvertrag (AVV) zwingend erforderlich. Der AVV regelt unter anderem: welche Daten verarbeitet werden, zu welchem Zweck, welche Sicherheitsmaßnahmen der Anbieter umsetzt, wie bei einem Datenschutzvorfall vorzugehen ist und dass der Anbieter die Daten nicht für eigene Zwecke nutzt. Ohne gültigen AVV ist die Nutzung von Praxissoftware für Patientenverwaltung datenschutzrechtlich unzulässig.
Die Frage nach dem Serverstandort ist für Therapeuten besonders relevant. Datenübertragungen in Drittstaaten außerhalb der EU/EWR sind nach DSGVO nur unter strengen Voraussetzungen zulässig. US-amerikanische Cloud-Anbieter (AWS, Google Cloud, Microsoft Azure) unterliegen dem CLOUD Act, der US-Behörden unter Umständen Zugriff auf in der EU gespeicherte Daten ermöglicht. Das Schrems-II-Urteil des Europäischen Gerichtshofs (2020) hat Datentransfers in die USA ohne zusätzliche Schutzmaßnahmen für ungültig erklärt. Für Therapeuten, die hochsensible Gesundheitsdaten verwalten, ist das EU-Hosting nicht nur eine rechtliche Pflicht, sondern auch eine ethische Verpflichtung gegenüber ihren Patienten.
Therapeuten unterliegen doppelten Aufbewahrungspflichten: berufsrechtlich und steuerrechtlich. Behandlungsunterlagen müssen in der Regel mindestens 7 Jahre aufbewahrt werden. Bei minderjährigen Patienten läuft die Frist frühestens 7 Jahre nach Vollendung des 18. Lebensjahres ab. Steuerrechtliche Belege und Abrechnungsunterlagen sind ebenfalls 7 Jahre aufzubewahren (§ 132 BAO). Neben dieser Aufbewahrungspflicht müssen Therapeuten auch ein Verzeichnis der Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO führen – ein Dokument, das alle Datenverarbeitungsprozesse der Praxis beschreibt.
Patienten haben umfangreiche Rechte gegenüber ihrem Therapeuten: das Auskunftsrecht (welche Daten werden gespeichert?), das Recht auf Berichtigung falscher Daten, das Recht auf Löschung nach Ablauf der Aufbewahrungsfrist, das Recht auf Datenportabilität und das Widerspruchsrecht. Therapeuten müssen auf entsprechende Anfragen innerhalb von 30 Tagen reagieren. Wellpoint unterstützt bei der Umsetzung dieser Rechte durch integrierte Export- und Löschfunktionen.
Kommt es zu einem Datenschutzvorfall – etwa einer unberechtigten Datenweitergabe, einem Hacker-Angriff oder dem Verlust eines unverschlüsselten Datenträgers – muss dieser innerhalb von 72 Stunden an die österreichische Datenschutzbehörde gemeldet werden, sofern ein Risiko für betroffene Patienten besteht (Art. 33 DSGVO). Betroffene Patienten sind ebenfalls unverzüglich zu informieren, wenn ein hohes Risiko für ihre Rechte besteht (Art. 34 DSGVO). Gut geschützte Praxissoftware wie Wellpoint minimiert das Risiko solcher Vorfälle erheblich.
Verschwiegenheitspflicht und DSGVO: Therapeuten unterliegen zusätzlich zur DSGVO einer berufsrechtlichen Verschwiegenheitspflicht: § 28 MTD-Gesetz (Physio/Ergo/Logo), § 15 PsychotherapieG (Psychotherapeuten). Diese berufliche Schweigepflicht ist strenger als die DSGVO und bleibt auch nach Ende des Behandlungsverhältnisses bestehen.
Sechs Bereiche, in denen Ihre Praxis DSGVO-konform aufgestellt sein muss.
Schriftliche Einwilligung jedes Patienten zur Datenverarbeitung liegt vor. Hinweis auf Widerrufsrecht ist enthalten. Gut in der Patientenakte abgelegt.
Mit jedem Cloud-Dienstleister, der Patientendaten verarbeitet (Praxissoftware, E-Mail-Anbieter), liegt ein gültiger AVV nach Art. 28 DSGVO vor.
Patientendaten werden ausschließlich auf Servern innerhalb der EU oder des EWR gespeichert. Kein US-Cloud-Anbieter ohne zusätzliche Schutzmaßnahmen.
Das Verzeichnis nach Art. 30 DSGVO dokumentiert alle Datenverarbeitungsprozesse der Praxis – von Patientenakten bis Honorarnoten. Aktuell und vollständig.
Klare Regeln für Aufbewahrung (mind. 7 Jahre) und Löschung von Patientendaten sind definiert und werden eingehalten. Minderjährige: 7 Jahre nach dem 18. Geburtstag.
Starke Passwörter, Zwei-Faktor-Authentifizierung, verschlüsselte Datenspeicherung und gesperrter Bildschirm bei Abwesenheit sind Standard in der Praxis.
In der Regel nein – Einzeltherapeuten und kleine Praxen müssen keinen Datenschutzbeauftragten bestellen. Ausnahmen gelten, wenn regelmäßig besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) in großem Umfang verarbeitet werden. Bei Unsicherheit empfiehlt sich anwaltliche Beratung.
Unverschlüsselte E-Mails mit Gesundheitsdaten sind datenschutzrechtlich problematisch. Wenn Patienten ausdrücklich zustimmen und die Risiken kennen, ist es möglich – aber nicht empfohlen. Besser: sichere, verschlüsselte Kommunikationskanäle nutzen.
Datenschutzverstöße müssen innerhalb von 72 Stunden an die österreichische Datenschutzbehörde gemeldet werden (wenn ein Risiko für betroffene Personen besteht). Bußgelder können bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes betragen.
Ja. Wellpoint speichert alle Patientendaten ausschließlich in EU-Rechenzentren, stellt einen DSGVO-konformen AVV bereit und unterstützt Therapeuten mit Muster-Einwilligungserklärungen und Datenschutz-Checklisten.
Ein AVV (Auftragsverarbeitungsvertrag) nach Art. 28 DSGVO ist ein Pflichtvertrag zwischen Ihnen und jedem Dienstleister, der in Ihrem Auftrag Patientendaten verarbeitet – also insbesondere Ihrer Praxissoftware. Er regelt Zweck, Umfang und Sicherheitsmaßnahmen der Datenverarbeitung. Ohne AVV ist die Nutzung von Cloud-Praxissoftware für Patientendaten nicht rechtmäßig. Wellpoint stellt den AVV automatisch beim Vertragsabschluss bereit.
US-amerikanische Cloud-Dienste unterliegen dem CLOUD Act, der US-Behörden Datenzugriff ermöglicht – auch bei EU-Servern. Nach dem Schrems-II-Urteil des EuGH sind Datentransfers in die USA ohne zusätzliche Schutzmaßnahmen unzulässig. Für hochsensible Gesundheitsdaten empfiehlt die Datenschutzbehörde ausdrücklich EU-Hosting. Wellpoint nutzt ausschließlich Rechenzentren in Österreich – kein US-Anbieter, keine Drittlandübertragung.
Behandlungsunterlagen und Patientenakten müssen in Österreich mindestens 7 Jahre aufbewahrt werden. Bei minderjährigen Patienten gilt: mindestens 7 Jahre nach Vollendung des 18. Lebensjahres. Abrechnungsunterlagen sind gemäß § 132 BAO ebenfalls 7 Jahre aufzubewahren. Einwilligungserklärungen: mindestens 3 Jahre nach Vertragsende. Nach Ablauf der Fristen sind Daten sicher zu löschen.
Art. 9 DSGVO stuft Gesundheitsdaten als besonders schutzbedürftige Kategorie ein. Die Verarbeitung ist grundsätzlich verboten – außer mit ausdrücklicher Einwilligung des Patienten (lit. a) oder wenn die Verarbeitung für die Gesundheitsversorgung notwendig ist (lit. h). Therapeuten müssen für jeden Verarbeitungsschritt eine dokumentierte Rechtsgrundlage nachweisen und zusätzliche technische Schutzmaßnahmen umsetzen.
Patienten haben nach DSGVO folgende Rechte: Auskunftsrecht (welche Daten werden gespeichert – Art. 15), Berichtigung falscher Daten (Art. 16), Löschung nach Ablauf der Fristen (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenportabilität in maschinenlesbarem Format (Art. 20) und Widerspruchsrecht (Art. 21). Therapeuten müssen auf Anfragen innerhalb von 30 Tagen antworten.
Nein. Die Nutzung von Praxissoftware muss nicht bei der österreichischen Datenschutzbehörde (DSB) gemeldet werden. Meldepflichtig sind jedoch Datenschutzverletzungen (Breaches) nach Art. 33 DSGVO – diese müssen innerhalb von 72 Stunden der DSB gemeldet werden, wenn ein Risiko für Patienten besteht. Die DSB ist erreichbar unter dsb.gv.at.
Datensicherheit in der Praxis bedeutet: starke, einzigartige Passwörter und Zwei-Faktor-Authentifizierung für alle Systeme, verschlüsselte Datenspeicherung und -übertragung, automatische Bildschirmsperre bei Abwesenheit, kein Zugriff Dritter auf Patientenakten, regelmäßige Software-Updates und eine DSGVO-konforme Praxissoftware mit EU-Serverstandort. Wellpoint erfüllt alle diese Anforderungen standardmäßig.
Die Datenschutzerklärung informiert Patienten darüber, welche Daten Sie als Therapeut sammeln und wie Sie diese verarbeiten – sie richtet sich an die Betroffenen (Patienten). Der AVV (Auftragsverarbeitungsvertrag) ist ein Vertrag zwischen Ihnen und einem Dienstleister (z.B. Ihrer Praxissoftware), der in Ihrem Auftrag Patientendaten verarbeitet – er regelt die technischen und organisatorischen Pflichten des Dienstleisters. Beide Dokumente sind separat erforderlich.
Ja. Die DSGVO gilt für alle Formen der Datenverarbeitung – digital und analog. Auch Papier-Patientenakten müssen sicher aufbewahrt werden (abschließbarer Schrank, kein Zugang Unbefugter), die Aufbewahrungsfristen von mindestens 7 Jahren gelten auch für Papierakten, und nach Ablauf der Fristen müssen Papierakten sicher vernichtet werden (Schredder, nicht einfach in den Papiercontainer). Der Umstieg auf digitale Akten (wie in Wellpoint) erhöht die Datensicherheit und vereinfacht die DSGVO-Compliance erheblich. Besonders in Praxen, die von Mitarbeitern vertreten werden, bietet die digitale Akte mit rollenbasierten Zugriffsrechten deutlich mehr Kontrolle als ein Aktenschrank.
Die DSGVO sieht empfindliche Bußgelder vor: bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Für kleine Praxen sind die absoluten Beträge in der Regel geringer, aber auch für Einzeltherapeuten wurden in Österreich bereits Bußgelder im vierstelligen bis fünfstelligen Bereich verhängt. Die Datenschutzbehörde (DSB) ist aktiv und prüft Beschwerden von Patienten.
Die österreichische Datenschutzbehörde (dsb.gv.at) verzeichnet in Therapeutenpraxen besonders häufig folgende Verstöße: fehlende Rechtsgrundlage für die Verarbeitung von Gesundheitsdaten (kein unterschriebenes Einwilligungsformular), fehlender AVV mit der Praxissoftware, US-Cloud-Nutzung für Patientendaten ohne zusätzliche Schutzmaßnahmen, fehlende Datenschutzerklärung auf der Praxiswebsite und nicht dokumentierte Aufbewahrungsfristen. Viele dieser Verstöße lassen sich mit der richtigen Software und wenigen Stunden Vorbereitung vermeiden.
Wenn Patientendaten verloren gehen, gestohlen werden oder unbefugt zugänglich werden, muss eine Datenschutzverletzung innerhalb von 72 Stunden an die österreichische Datenschutzbehörde gemeldet werden – sofern ein Risiko für die betroffenen Personen besteht (Art. 33 DSGVO). Wenn das Risiko für Patienten hoch ist, müssen auch die Patienten selbst informiert werden (Art. 34 DSGVO). Wellpoints EU-Infrastruktur mit Verschlüsselung, Zugangskontrolle und automatischen Backups minimiert das Risiko von Datenpannen erheblich.
Neben der DSGVO schützt die berufsrechtliche Verschwiegenheitspflicht Therapeuten und Patienten: § 28 MTD-Gesetz (für Ergotherapeuten, Logopäden, Diätologen), § 15 PhysiotherapeutenG (für Physiotherapeuten) und § 15 PsychotherapieG (für Psychotherapeuten) verpflichten zur Verschwiegenheit über alles, was im Rahmen der Berufsausübung bekannt wird. Die DSGVO ergänzt diesen Schutz auf technisch-organisatorischer Ebene. Beide Pflichten zusammen bilden den rechtlichen Rahmen für Patientendatenschutz in der Therapeutenpraxis.
Praxistipp: Holen Sie den Datenschutz aus der Grauzone. Mit der richtigen Praxissoftware, einem unterschriebenen AVV und einer Einwilligungserklärung in der Patientenakte sind die wichtigsten DSGVO-Anforderungen für Einzeltherapeuten bereits erfüllt. Wellpoint liefert alle Muster-Dokumente fertig.
Konkrete technische und organisatorische Maßnahmen (TOMs) von Wellpoint für Therapeuten.
Alle Patientendaten werden sowohl bei der Übertragung (TLS 1.3) als auch bei der Speicherung (AES-256) verschlüsselt. Unbefugter Zugriff ist technisch ausgeschlossen.
Alle Daten werden ausschließlich in Rechenzentren in Österreich gespeichert. Kein US-Cloud-Anbieter, keine Drittlandübertragung, keine Risiken durch den CLOUD Act.
Wellpoint stellt beim Vertragsabschluss automatisch einen vollständigen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO bereit. Kein Suchen, kein Verhandeln – sofort unterschriftsbereit.
Wellpoint enthält eine rechtlich geprüfte Muster-Einwilligungserklärung für Therapeuten in Österreich – mit Hinweis auf Datenschutzrecht, Aufbewahrungsfristen und Widerrufsrecht.
Aufbewahrungsfristen können je Patient individuell gesetzt werden. Wellpoint erinnert an ablaufende Fristen und unterstützt bei der sicheren Löschung von Patientendaten nach Ablauf der gesetzlichen Pflichtfristen.
Zwei-Faktor-Authentifizierung, rollenbasierte Zugriffsrechte (z.B. Therapeut vs. Rezeption) und automatische Session-Timeouts schützen vor unbefugtem Zugriff auf Patientendaten.
Das Verzeichnis der Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO ist für alle Therapeuten mit mehr als 250 Mitarbeitern Pflicht – für kleine Praxen wird es jedoch von der österreichischen Datenschutzbehörde ebenfalls dringend empfohlen, da sie regelmäßig besondere Datenkategorien (Gesundheitsdaten) verarbeiten. Das VVT listet auf: welche Daten verarbeitet werden, zu welchem Zweck, auf welcher Rechtsgrundlage, wie lange sie gespeichert werden und an wen sie weitergegeben werden. Wellpoint stellt eine Muster-Vorlage für das VVT bereit, die auf die Therapeutenpraxis zugeschnitten ist.
Die Einwilligungserklärung ist das DSGVO-Fundament in der Therapeutenpraxis. Jeder neue Patient muss vor der ersten Behandlung schriftlich oder digital einwilligen, dass seine Gesundheitsdaten zum Zweck der Behandlung und Abrechnung verarbeitet werden. Die Einwilligung muss: freiwillig sein (kein Zwang), informiert sein (was wird verarbeitet, zu welchem Zweck), spezifisch sein (nicht pauschal für alles) und widerrufbar sein (jederzeit ohne Nachteile). Wellpoints Muster-Einwilligungserklärung erfüllt alle DSGVO-Anforderungen für die österreichische Therapeutenpraxis.
Jede Praxiswebsite, die Anfragen von Patienten entgegennimmt (z.B. über ein Kontaktformular oder Online-Buchung), braucht eine DSGVO-konforme Datenschutzerklärung. Sie muss informieren über: Welche Daten werden durch die Website gesammelt? Wer ist der Verantwortliche? Wie kann ich meine Rechte ausüben? An wen werden Daten weitergegeben? Wellpoints integrierte Buchungsseite für Patienten enthält eine vorformulierte Datenschutzerklärung, die auf die jeweilige Praxis angepasst werden kann.
Nicht jede Software, die für Therapeuten vermarktet wird, erfüllt die DSGVO-Anforderungen für Gesundheitsdaten. Prüfen Sie vor der Auswahl: Gibt es einen vollständigen Auftragsverarbeitungsvertrag (AVV)? Wo befinden sich die Server – in der EU? Wer ist der Mutterkonzern (US-Konzerne können dem CLOUD Act unterliegen)? Wie werden die Daten verschlüsselt? Wellpoint gibt vollständige Transparenz: österreichischer Serverstandort, vollständiger AVV, Verschlüsselung auf aktuellem Stand der Technik.
DSGVO ist kein einmaliger Akt, sondern ein laufender Prozess. Überprüfen Sie mindestens einmal jährlich: Sind alle Dienstleister, die Patientendaten verarbeiten, noch mit aktuellem AVV ausgestattet? Haben sich Aufbewahrungsfristen geändert? Sind alle Mitarbeiter (falls vorhanden) datenschutzgeschult? Wurden alle Datenpannen der letzten 12 Monate korrekt dokumentiert? Wellpoints DSGVO-Checkliste und automatische Erinnerungsfunktion helfen bei der Jahres-Review.
Hinweis: Dieser Leitfaden dient der allgemeinen Information und ersetzt keine Rechtsberatung. Für komplexe DSGVO-Fragen – insbesondere bei Gruppenpraxen mit mehreren Therapeuten oder bei Fragen zur Datenlöschung – empfiehlt sich ein Gespräch mit einem Datenschutzexperten.
Patienten haben weitreichende Rechte in Bezug auf ihre Gesundheitsdaten. Therapeuten müssen innerhalb von 30 Tagen antworten.
| Recht | Rechtsgrundlage | Was das bedeutet | Wellpoint hilft |
|---|---|---|---|
| Auskunftsrecht | Art. 15 DSGVO | Patient kann verlangen zu wissen, welche Daten über ihn gespeichert sind | Patientenakte vollständig exportierbar |
| Berichtigungsrecht | Art. 16 DSGVO | Falsche Daten müssen korrigiert werden | Alle Felder in der Patientenakte editierbar |
| Löschungsrecht | Art. 17 DSGVO | Nach Ablauf der Aufbewahrungsfristen können Patienten Löschung verlangen | Datenlöschung DSGVO-konform durchführbar |
| Einschränkung | Art. 18 DSGVO | Patient kann Einschränkung der Verarbeitung verlangen | Manuell umsetzbar; Notiz in Patientenakte |
| Datenportabilität | Art. 20 DSGVO | Patient kann Daten in maschinenlesbarem Format verlangen | Export als strukturierte Datei möglich |
| Widerspruchsrecht | Art. 21 DSGVO | Patient kann der Verarbeitung widersprechen | Einwilligung jederzeit widerrufbar; dokumentierbar |
Frist beachten: Auf Anfragen zu Patientenrechten muss innerhalb von 30 Tagen reagiert werden. Bei komplexen Anfragen kann die Frist einmal auf 3 Monate verlängert werden – aber nur mit Begründung und Zwischenbescheid innerhalb der ersten 30 Tage.
Jede therapeutische Berufsgruppe hat eigene datenschutzrechtliche Anforderungen – besonders in Bezug auf Schweigepflicht und Dokumentation.
Psychotherapeuten unterliegen einer besonders strengen Verschwiegenheitspflicht nach § 15 PsychotherapieG. Sitzungsnotizen dürfen nicht an Dritte weitergegeben werden – auch nicht an Angehörige oder Gerichte (mit engen Ausnahmen). Wellpoints Sitzungsnotizen sind verschlüsselt und nur für den behandelnden Therapeuten einsehbar.
Alle MTD-Berufe (Ergotherapeuten, Logopäden, Diätologen) und Physiotherapeuten unterliegen der Verschwiegenheitspflicht nach § 28 MTD-Gesetz bzw. § 15 PhysiotherapeutenG. Die DSGVO-Anforderungen entsprechen dem allgemeinen Standard für Gesundheitsdaten – besonderer Schutz für Art. 9 Daten ist in jedem Fall notwendig.
In Gruppenpraxen gibt es mehrere Verantwortliche für Patientendaten. Klar geregelt sein muss: Wer hat Zugriff auf welche Patientenakten? Wie werden Zugriffsrechte technisch kontrolliert? Wellpoints Gruppenpraxis-Version ermöglicht rollenbasierte Zugriffsrechte – jeder Therapeut sieht nur seine eigenen Patienten, sofern nicht explizit anders eingestellt.
Für vertiefte rechtliche Informationen zum Datenschutz in der Therapeutenpraxis empfehlen wir folgende offizielle österreichische Quellen:
Die Datenschutzbehörde (dsb.gv.at) ist die offizielle Aufsichtsbehörde für Datenschutzfragen in Österreich. Sie veröffentlicht Leitfäden, bearbeitet Beschwerden und ist die erste Anlaufstelle bei Datenschutzverletzungen. Meldepflichten nach Art. 33 DSGVO müssen direkt an die DSB erfolgen.
Die Wirtschaftskammer Österreich (wko.at) veröffentlicht regelmäßig aktualisierte Merkblätter und Muster-Dokumente für freie Berufe – darunter Muster-Datenschutzerklärungen und AVV-Vorlagen. Auch berufsrechtliche Informationen zu Verschwiegenheitspflichten sind dort zu finden.
Die vollständigen Gesetzestexte – MTD-Gesetz, PhysiotherapeutenG, PsychotherapieG – sind im Rechtsinformationssystem des Bundes (ris.bka.gv.at) kostenlos abrufbar. Für die berufsrechtliche Verschwiegenheitspflicht (§ 28 MTD-Gesetz, § 15 PhysiotherapeutenG, § 15 PsychotherapieG) sind diese Texte die verbindliche Grundlage.
Die österreichischen Berufsverbände – Physio Austria, Ergotherapie Austria, Logo Austria und der Österreichische Bundesverband für Psychotherapie (ÖBVP) – veröffentlichen regelmäßig Informationen zu DSGVO-Anforderungen für ihre Mitglieder. Viele Verbände stellen Muster-Datenschutzerklärungen und AVV-Vorlagen speziell für die jeweilige Berufsgruppe bereit. Mitglieder dieser Verbände profitieren zudem von Beratungsangeboten und rechtlichen Leitfäden, die auf die österreichische Gesetzgebung zugeschnitten sind – ein wichtiges Argument für eine aktive Verbandsmitgliedschaft.
Wellpoint stellt Therapeuten folgende DSGVO-Hilfsmittel direkt in der Software bereit: Muster-Einwilligungserklärung (rechtlich geprüft, auf österreichisches Recht zugeschnitten), AVV-Vorlage für die eigene Praxis, DSGVO-Checkliste für Therapeuten und automatische Erinnerung an ablaufende Aufbewahrungsfristen. Das Ziel: DSGVO muss kein Dauerstress sein – mit den richtigen Werkzeugen sind die wichtigsten Anforderungen in einem Nachmittag erledigt.
Patienten schätzen Transparenz. Therapeuten, die ihren Datenschutzansatz aktiv kommunizieren – z.B. auf der Website oder im Erstgespräch – gewinnen Vertrauen. Ein kurzer Hinweis wie "Alle Patientendaten werden ausschließlich auf EU-Servern in Österreich gespeichert" signalisiert Professionalität und Verantwortungsbewusstsein. Gerade in sensiblen Bereichen wie Psychotherapie, wo Patienten besonders hohe Diskretion erwarten, ist ein transparenter Umgang mit dem Thema Datenschutz ein echter Wettbewerbsvorteil.
Hinweis von Wellpoint: Dieser Leitfaden bietet einen Überblick, ersetzt aber keine individuelle Rechtsberatung. Bei spezifischen Datenschutzfragen – z.B. bei der Einrichtung einer Gruppenpraxis oder bei Unsicherheiten zum AVV – empfehlen wir die Konsultation eines auf DSGVO spezialisierten Rechtsanwalts oder Datenschutzexperten in Österreich.