DSGVO-Checkliste für Kliniken: 11 Prüfpunkte der Aufsicht

Hinweis: Dieser Artikel ist ein operativer Leitfaden aus der Branchenpraxis, keine Rechtsberatung. Bei laufenden Verfahren oder Einzelfällen wende dich an eine Kanzlei mit Schwerpunkt DSGVO + ärztliches Berufsrecht.

Die Datenschutzaufsicht in Deutschland ist föderal: Der BfDI ist für Bundesbehörden und Telekommunikation zuständig, die laufende Aufsicht über Privatkliniken übernehmen die Landesdatenschutzbeauftragten (LfDI Baden-Württemberg, BayLDA Bayern, LDI NRW usw.). Geprüft wird regelmäßig — die Wahrscheinlichkeit steigt deutlich, sobald eine Klinik mehr als 500 aktive Patienten verwaltet, und ist praktisch garantiert, sobald ein Patient Beschwerde einreicht.

Die Bußgelder reichen nach Art. 83 DSGVO bis zu 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes (höherer Wert gilt). Die Datenschutzkonferenz (DSK) hat ein Bußgeldmodell mit umsatzorientierten Tagessätzen veröffentlicht — für mittelgroße Privatkliniken liegen Bußgelder typischerweise zwischen 5.000 EUR und 1,2 Mio. EUR. Hinzu kommt: Verstöße gegen die ärztliche Schweigepflicht nach §203 StGB sind eine eigenständige Straftat, unabhängig vom DSGVO-Bußgeld.

Die folgende Checkliste umfasst die 11 Punkte einer Standardprüfung in einer deutschen Privatklinik. Werden alle 11 erfüllt, endet die Prüfung mit positivem Bericht. Fallen 3 oder mehr durch, droht ein Bußgeld.

1. Aufklärung und Behandlungseinwilligung, unterschrieben und archiviert

Was: Bei jeder invasiven Behandlung (ambulante Chirurgie, Laser-Epilation, Mesotherapie, chemisches Peeling, Infusionstherapie usw.) muss der Patient ein Aufklärungsformular vor der ersten Sitzung unterschrieben haben. Das Dokument erklärt Wirkstoffe, erwartete Wirkung, mögliche Nebenwirkungen und Alternativen — gefordert nach §630e BGB.

So prüfst du: Öffne die Akten von 3-5 Patienten, die in den letzten 6 Monaten invasive Behandlungen erhalten haben. In jeder Akte muss ein unterschriebenes PDF mit Datum, Uhrzeit und Audit-Spur liegen.

Typischer Fehler: Die Einwilligung liegt in einem separaten Papierordner statt in der digitalen Akte, oder sie wurde nie unterschrieben zurückgegeben (die MFA hat das Papier ausgehändigt, der Patient hat es nie zurückgebracht).

2. DSGVO-Einwilligung nach Art. 9 Abs. 2 lit. a für Gesundheitsdaten

Was: Nicht zu verwechseln mit der medizinischen Behandlungseinwilligung. Dies ist die separate Einwilligung in die Verarbeitung von Gesundheitsdaten als besondere Kategorie nach Art. 9 DSGVO. Sie ist verpflichtend und muss beim Erstkontakt eingeholt werden.

So prüfst du: Öffne die Akten von 3-5 Neupatienten des letzten Monats. In jeder Akte muss ein unterschriebenes PDF mit klarem Datum vorliegen — datiert vor dem ersten gebuchten Termin.

Typischer Fehler: Wird mit der Behandlungseinwilligung verwechselt. Es sind zwei unterschiedliche Dokumente mit unterschiedlichen Rechtsgrundlagen (BGB vs. DSGVO).

3. Separate Marketing-Einwilligung nach §7 UWG

Was: Wenn du Werbenachrichten verschickst (Angebote, Newsletter, “diese Woche 20 % Rabatt”) — egal ob per E-Mail, SMS oder WhatsApp — brauchst du eine gesondert unterschriebene Marketing-Einwilligung nach §7 Abs. 2 UWG. Ein generisches Häkchen “ich akzeptiere alles” reicht nicht: BfDI und Landesbehörden fordern explizites Opt-in, granular und pro Kanal.

So prüfst du: Öffne Akten von Patienten, die Newsletter oder Aktionen erhalten. Du musst eine eigenständige Marketing-Einwilligung finden, getrennt von der operativen Einwilligung, mit Datum und Uhrzeit.

Typischer Fehler: Alle Patienten erhalten den Werbe-Newsletter, weil sie “bei der Anmeldung unterschrieben haben” — aber diese Unterschrift war die allgemeine DSGVO-Einwilligung, nicht die Marketing-Einwilligung. Geht eine Beschwerde ein, ist das Bußgeld so gut wie sicher.

4. Auftragsverarbeitungsvertrag (AVV) mit jedem Dienstleister

Was: Jeder externe Dienstleister mit Zugriff auf Patientendaten — Praxisverwaltungssoftware, E-Mail-Anbieter, WhatsApp-Plattform, Hosting-Provider, Steuerberater, externer IT-Support — benötigt einen AVV nach Art. 28 DSGVO, beidseitig unterzeichnet. Der Vertrag legt fest, welche Daten verarbeitet werden, zu welchem Zweck und mit welchen technisch-organisatorischen Maßnahmen.

So prüfst du: Erstelle eine Liste aller Dienstleister, die mit Patientendaten in Berührung kommen. Für jeden muss ein unterzeichneter AVV archiviert sein. Zusätzlich für US-Anbieter: Standardvertragsklauseln (SCC) oder Nachweis nach Data Privacy Framework.

Typischer Fehler: Die Klinik nutzt Calendly, Mailchimp, Google Workspace und Zoom — kein einziger AVV unterzeichnet. Die Aufsichtsbehörde fordert den Nachweis bei der Prüfung schriftlich an.

5. §203 StGB — ärztliche Schweigepflicht bei Dienstleistern

Was: Eine deutsche Besonderheit und oft übersehen: §203 StGB stellt die Offenbarung von Patientengeheimnissen unter Strafe. Seit der Reform 2017 dürfen externe Dienstleister Patientendaten nur dann verarbeiten, wenn sie schriftlich auf die Schweigepflicht verpflichtet wurden — der AVV allein genügt nicht. Verstöße sind eine Straftat, kein bloßer DSGVO-Verstoß.

So prüfst du: Hat jeder Dienstleister mit Datenzugriff eine separate Schweigepflichtverpflichtung nach §203 Abs. 4 StGB unterschrieben? Auch der externe Buchhalter, der externe IT-Support, das Reinigungsunternehmen mit Schlüsselzugang.

Typischer Fehler: Die Klinik hat AVVs, aber keine §203-Erklärungen. Bei einer berufsrechtlichen Beschwerde an die Landesärztekammer wird daraus ein eigenständiges Verfahren.

6. Datenschutzerklärung auf der Website, vollständig und aktuell

Was: Deine Website muss eine Datenschutzerklärung nach Art. 13 DSGVO enthalten, von jeder Unterseite zugänglich (typischerweise Footer). Sie nennt: welche Daten erhoben werden, Zweck der Verarbeitung, Rechtsgrundlage je Verarbeitungstätigkeit, Empfänger/Auftragsverarbeiter, Speicherdauer, Betroffenenrechte, Beschwerderecht bei der Landesdatenschutzbehörde.

So prüfst du: Rufe die Website ohne Login auf. Die Datenschutzerklärung muss im Footer jeder Seite verlinkt, frei zugänglich sein und alle oben genannten Punkte abdecken.

Typischer Fehler: Datenschutzerklärung aus einer Generator-Vorlage kopiert, die nicht die tatsächlich eingesetzten Auftragsverarbeiter aus Punkt 4 nennt. Spätestens beim Abgleich mit dem Verarbeitungsverzeichnis fliegt das auf.

7. Cookie-Banner nach TTDSG und EuGH-Rechtsprechung

Was: Setzt deine Website Analyse-Cookies (Google Analytics, Hotjar, Matomo Cloud) oder Marketing-Cookies, musst du nach §25 TTDSG ein Consent-Banner zeigen, bevor irgendein nicht-essenzieller Cookie gesetzt wird. Das Banner muss gleichwertige Buttons für “Alle akzeptieren” und “Alle ablehnen” anbieten — versteckte Ablehnen-Buttons sind seit dem EuGH-Urteil 2022 abmahnfähig.

So prüfst du: Öffne die Website im Inkognito-Modus. Das Banner muss erscheinen, bevor analytische Cookies geladen werden. “Ablehnen” darf KEINE setzen. Prüfe in den DevTools unter “Application > Cookies”.

Typischer Fehler: Das Banner erscheint, aber Google Analytics 4 lädt unabhängig davon — typisch bei fehlendem Consent Mode v2. Auch häufig: “Ablehnen” ist drei Klicks tief versteckt, “Akzeptieren” ein leuchtender Button.

8. Verfahren zur Bearbeitung von Betroffenenrechten

Was: Patienten haben Rechte nach Art. 15-22 DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Auf eine Anfrage “welche Daten haben Sie über mich gespeichert” muss die Klinik innerhalb eines Monats antworten (verlängerbar auf drei Monate bei komplexen Anfragen).

So prüfst du: Gibt es ein schriftlich dokumentiertes Verfahren? Eine eindeutige E-Mail-Adresse für Anfragen (typischerweise datenschutz@klinik.de)? Ein Register aller eingegangenen Anfragen samt Antworten und Fristen?

Typischer Fehler: Niemand kennt das Verfahren; die Anfrage landet im allgemeinen Postfach; die Antwort kommt nach 8 Wochen oder gar nicht. Bei einer Beschwerde an die Landesdatenschutzbehörde folgt darauf fast immer ein Anhörungsschreiben.

9. Datenschutzbeauftragter (DSB) bestellt und gemeldet

Was: Nach §38 BDSG ist die Bestellung eines Datenschutzbeauftragten verpflichtend, sobald mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind — und unabhängig davon immer, wenn die Kerntätigkeit eine umfangreiche Verarbeitung besonderer Datenkategorien umfasst (Art. 37 Abs. 1 lit. c DSGVO). Für jede Klinik, die regelmäßig Gesundheitsdaten verarbeitet, gilt das praktisch immer.

So prüfst du: Ist ein DSB bestellt — intern oder extern? Sind Name und Kontaktdaten der zuständigen Landesdatenschutzbehörde gemeldet? Sind die Kontaktdaten in der Datenschutzerklärung veröffentlicht?

Typischer Fehler: Die Klinik denkt sich “wir sind klein, brauchen keinen DSB” — übersieht aber, dass die Pflicht aus der Art der Daten folgt, nicht aus der Mitarbeiterzahl. Das ist einer der häufigsten Bußgeldgründe bei der Erstprüfung.

10. Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO)

Was: Internes Pflichtdokument nach Art. 30 DSGVO. Listet jede Verarbeitungstätigkeit personenbezogener Daten: Bezeichnung, Zweck, Rechtsgrundlage, betroffene Personenkategorien, Datenkategorien, Empfänger, Drittlandübermittlungen, Löschfristen, technisch-organisatorische Maßnahmen. Für eine typische Privatklinik sind das 10-14 unterschiedliche Verarbeitungstätigkeiten.

So prüfst du: Existiert dieses Dokument? Ist es aktuell (letzte Aktualisierung innerhalb des laufenden Jahres)? Kann die Geschäftsführung es der Aufsichtsbehörde auf Nachfrage innerhalb von 5 Minuten vorlegen?

Typischer Fehler: Nie erstellt worden. Einer der häufigsten Punkte, an denen Erstprüfungen scheitern — und besonders ärgerlich, weil es sich um einen rein dokumentarischen Mangel ohne operativen Schaden handelt.

11. Meldeverfahren für Datenschutzverletzungen (Art. 33/34 DSGVO)

Was: Wird das Praxisverwaltungssystem gehackt oder geht ein USB-Stick mit Patientendaten verloren, muss die Klinik innerhalb von 72 Stunden nach Kenntnis die zuständige Landesdatenschutzbehörde benachrichtigen (Art. 33 DSGVO). Bei hohem Risiko zusätzlich die betroffenen Patienten selbst (Art. 34 DSGVO). Das Verfahren muss vorab festgelegt sein, nicht erst am Tag des Vorfalls.

So prüfst du: Gibt es einen schriftlichen Notfallplan? Wer ist meldepflichtig (typischerweise der DSB)? Liegt eine Meldevorlage bereit? Wer übernimmt die Patienteninformation?

Typischer Fehler: Niemand hat sich darüber Gedanken gemacht, bevor der Ernstfall eintritt. Die Meldung geht erst nach 7 Tagen raus, was das Bußgeld nach DSK-Bußgeldmodell deutlich erhöht. Bei der Sana Kliniken-Beschwerde 2023 wurden zusätzlich 250.000 EUR allein für die verspätete Meldung verhängt.

Konkrete Bußgeldbeispiele im deutschen Gesundheitssektor

• AOK Baden-Württemberg, 2020: 1.240.000 EUR — unzureichende technisch-organisatorische Maßnahmen bei einem Gewinnspiel mit Gesundheitsdaten.
• Krankenhaus in Rheinland-Pfalz, 2019: 105.000 EUR — Patientenverwechslung mit fehlerhafter Aktenführung.
• Privatpraxis in Niedersachsen, 2022: 10.400 EUR — fehlendes Verzeichnis von Verarbeitungstätigkeiten + fehlender AVV.
• Klinikum Bremerhaven, 2024: 35.000 EUR — verspätete Meldung einer Datenpanne (5 Tage statt 72 Stunden).

Die DSK rechnet Bußgelder anhand des Vorjahresumsatzes in Tagessätze um. Eine Privatklinik mit 2 Mio. EUR Jahresumsatz zahlt typischerweise zwischen 8.000 EUR (geringer Verstoß) und 250.000 EUR (mehrere schwere Verstöße in Kombination).

Wie Zellbox die 11 Punkte standardmäßig erfüllt

Zellbox ist auf DSGVO + §203 StGB + UWG für deutsche Privatkliniken ausgelegt. Standardmäßig enthalten:

• Unterschriebene Einwilligungen (Punkte 1, 2, 3) — aus der Patientenakte versendet, der Patient unterschreibt per Finger auf dem Smartphone, das signierte PDF wird mit Audit-Spur in der Akte abgelegt. Operative Einwilligung, Gesundheitsdaten-Einwilligung und Marketing-Einwilligung sind drei getrennte Dokumente.
• AVV + §203-Schweigepflichtverpflichtung (Punkte 4, 5) — Zellbox unterzeichnet bei der Aktivierung beide Verträge. Subprozessoren (AWS Frankfurt, Meta, Google, Stripe) sind mit öffentlich abrufbaren AVVs gelistet.
• Datenschutzerklärung + Cookie-Banner (Punkte 6, 7) — anpassbare Datenschutzerklärung mit deinen Stammdaten und den tatsächlich eingesetzten Subprozessoren, dazu ein TTDSG-konformes Banner mit gleichwertigem Ablehnen-Button.
• Betroffenenrechte-Workflow (Punkt 8) — integrierter Endpunkt im CRM mit Audit-Trail jeder Anfrage und zugehöriger Antwortfrist.
• DSB-Service (Punkt 9) — externer DSB über zertifizierte Partner; Kontaktdaten automatisch in der Datenschutzerklärung und meldefähig bei der Aufsichtsbehörde.
• Verzeichnis von Verarbeitungstätigkeiten (Punkt 10) — vorausgefüllte Vorlage mit den 12 typischen Verarbeitungstätigkeiten einer Privatklinik.
• Notfallplan Datenpanne (Punkt 11) — integriertes Meldeverfahren mit Vorlage für die 72-Stunden-Meldung und Patientenbenachrichtigung nach Art. 34 DSGVO.

WhatsApp-Erinnerungen über Zellbox laufen auf der offiziellen WhatsApp Business Platform von Meta. Für operative Terminerinnerungen ist die Rechtsgrundlage berechtigtes Interesse (Art. 6 Abs. 1 lit. f) oder Vertragserfüllung (Art. 6 Abs. 1 lit. b). Für Werbenachrichten ist die separate Marketing-Einwilligung nach §7 UWG zwingend — Zellbox erzwingt diese Trennung im Template-Workflow, sodass Marketing-Templates ausschließlich an Empfänger mit dokumentiertem Opt-in-PDF versendet werden können.

→ Kostenlos mit Zellbox starten (kostenfreier Tarif, keine Kreditkarte) → Datenschutzerklärung von Zellbox — Referenzmodell für deine eigene Erklärung → No-Show-Rechner — wie viel Umsatz fehlende Terminerinnerungen kosten

Das Fazit ohne Umschweife

Die Landesdatenschutzbehörden prüfen aus drei Anlässen: (a) Patientenbeschwerde, (b) Klinikgröße über dem Schwellenwert oder (c) stichprobenartige Branchenprüfung. Die ersten beiden lassen sich durch operative Hygiene vermeiden; der dritte ist reine Wahrscheinlichkeit.

Sind die 11 Punkte erfüllt, bevor ein Prüfer auftaucht, endet die Prüfung mit positivem Bericht. Fallen 3 oder mehr durch, folgt ein Bußgeld — unabhängig von der Klinikgröße, denn das DSK-Modell nutzt den Umsatz als Multiplikator, nicht als Schwelle.

Der Unterschied zwischen echter und scheinbarer Compliance liegt darin, ob Einwilligungen digital unterschrieben in der Akte liegen (echt) oder in einem nicht gescannten Papierordner schlummern (scheinbar — fällt bei der ersten Prüfung durch). Und ob §203 StGB durch eine separate Schweigepflichtverpflichtung abgedeckt ist — der Punkt, der bei deutschen Prüfungen den Unterschied zwischen Bußgeld und Strafanzeige macht.

Über den Autor: Nacho Coll ist der Gründer von Zellbox. Er schreibt über WhatsApp-Business-Automatisierung für kleine Betriebe mit Terminbuchung.