Gesundheitsdaten gehören zu den besonderen Kategorien nach Artikel 9 DSGVO. Der Aufsichtsbehörde reicht schon der Umstand, dass jemand bei einem Sanitätshaus bestellt, um auf eine gesundheitliche Situation zu schließen. Entsprechend hoch ist der Maßstab.
Die Grundlagen haben die meisten Betriebe erledigt: Datenschutzerklärung steht, Verzeichnis der Verarbeitungstätigkeiten existiert, jemand ist benannt. Die Lücken liegen woanders, und es sind erstaunlich oft dieselben fünf.
1. Zugriff hat, wer schon lange da ist
Im Alltag wachsen Berechtigungen mit. Jemand vertritt zwei Wochen die Kollegin an der Anmeldung und behält den Zugriff für immer. Ein Praktikant bekommt ein Konto, das nach dem Praktikum bleibt. Nach ein paar Jahren kann fast jeder fast alles sehen.
DSGVO-konform ist der umgekehrte Weg: Zugriff nur, wo er für die Aufgabe nötig ist. Der Aufwand ist kleiner als gedacht. Einmal auflisten, wer auf welche Systeme kommt, offensichtlich Überflüssiges streichen, und beim Austritt eines Mitarbeiters die Konten mit abarbeiten.
2. Verträge mit Dienstleistern fehlen oder sind veraltet
Jeder Dienstleister, der in Ihrem Auftrag personenbezogene Daten verarbeitet, braucht einen Vertrag zur Auftragsverarbeitung. Das betrifft mehr Anbieter, als die meisten auf dem Schirm haben: Hosting, Newsletter, Terminbuchung, Buchhaltung, Cloud-Speicher, Telefonanlage, inzwischen auch KI-Werkzeuge.
Typischer Befund: Für die drei großen Systeme liegen Verträge vor, für die sieben kleinen, die sich über die Jahre eingeschlichen haben, nicht. Verantwortlich bleiben Sie, auch wenn der Anbieter technisch sauber arbeitet.
3. Rezepte und Befunde kommen per E-Mail
Der Kunde fotografiert das Rezept und schickt es an die allgemeine Adresse. Bequem, und der falsche Weg: Unverschlüsselte E-Mail passt nicht zu besonderen Kategorien von Daten, und im Postfach liegt die Aufnahme anschließend jahrelang, sichtbar für jeden mit Zugang.
Die Lösung darf nicht komplizierter sein als die Mail, sonst wird sie umgangen. Ein Upload über die eigene Website, der die Datei direkt im richtigen Ablauf ablegt, erfüllt beides: Er ist sicher und er ist bequemer als Fotografieren und Anhängen.
4. Niemand löscht
Aufbewahrungspflichten aus Handels- und Steuerrecht sind vielen geläufig. Die Gegenrichtung fehlt: Sobald der Zweck entfällt und keine Pflicht mehr besteht, müssen Daten weg.
In der Praxis heißt das nicht, dass jemand jeden Monat Ordner durchgeht. Es heißt, dass pro Datenart einmal festgelegt wird, wie lange sie bleibt, und dass das System das möglichst selbst erledigt. Ohne diese Festlegung wächst der Bestand immer weiter, und jeder zusätzliche Datensatz ist Risiko ohne Nutzen.
5. Der Notfall ist ungeübt
Bei einer Verletzung des Schutzes personenbezogener Daten bleiben 72 Stunden für die Meldung an die Aufsichtsbehörde. Diese Frist läuft ab Kenntnis, nicht ab dem Moment, in dem klar ist, was passiert ist.
Wer erst dann anfängt zu klären, wer zuständig ist, welche Behörde zuständig ist und was überhaupt betroffen sein könnte, verliert einen halben Tag mit Organisation. Eine Seite Papier reicht: Wer meldet, an wen, welche Angaben, wer informiert die Betroffenen. Einmal geschrieben, jährlich kurz angesehen.
Warum das mehr ist als Pflichterfüllung
Zwei dieser fünf Punkte kosten fast nichts und wirken sofort, nämlich Zugriffsrechte aufräumen und die Liste der Dienstleister durchgehen. Die anderen drei brauchen eine Entscheidung, keine Investition.
Der Nebeneffekt ist nicht zu unterschätzen. Betriebe, die diese Dinge geordnet haben, tun sich leichter, wenn ein Geschäftskunde eine Prüfung schickt oder wenn Abläufe digitalisiert werden sollen. Wer bei „wo liegen die Daten, wer darf sie sehen, wann verschwinden sie" sofort antworten kann, spart sich diese Arbeit später doppelt.
Stand dieses Beitrags: 13. August 2026. Dieser Text ersetzt keine Rechtsberatung, er benennt, was uns in der Praxis am häufigsten begegnet.
Wollen Sie wissen, wie Ihr Betrieb dasteht? Im kostenlosen Erstgespräch gehen wir die fünf Punkte gemeinsam durch.
Daniel DuarteGeschäftsführer, Aurentis Solutions
Assistent