§203 StGB und der externe IT-Dienstleister: Ärztliche Schweigepflicht bei der Praxis-IT rechtssicher wahren

Darf eine Arztpraxis einen externen IT-Dienstleister beauftragen?

Ja, das dürfen Sie, und zwar rechtssicher. Seit der Reform des §203 StGB, in Kraft seit dem 9. November 2017, erkennt das Gesetz externe IT-Dienstleister ausdrücklich als sogenannte mitwirkende Personen an. Sie dürfen auf Patientendaten zugreifen, soweit das für die IT-Betreuung erforderlich ist, wenn Sie den Dienstleister richtig einbinden.

Vor der Reform war die Rechtslage unklar und für Praxen riskant. Wer einem externen Dienstleister Zugang zu Patientendaten gab, bewegte sich in einer Grauzone: Schon das Zugänglichmachen konnte als strafbares Offenbaren eines Geheimnisses gewertet werden. In der Praxis wurde das oft ignoriert, aber sauber war es nicht. Der Gesetzgeber hat diese Lücke mit dem "Gesetz zur Neuregelung des Schutzes von Geheimnissen bei der Mitwirkung Dritter an der Berufsausübung schweigepflichtiger Personen" geschlossen.

Heute ist die Beauftragung eines externen IT-Dienstleisters kein Sonderfall mehr, sondern der geregelte Normalfall. Entscheidend ist nicht mehr das Ob, sondern das Wie: sorgfältige Auswahl, Beschränkung auf das Erforderliche und eine schriftliche Verpflichtung zur Geheimhaltung. Genau darum geht es in diesem Beitrag.

Was §203 StGB genau verlangt

§203 StGB stellt die Verletzung von Privatgeheimnissen unter Strafe. Wer als Arzt, Zahnarzt, Psychotherapeut oder Angehöriger eines anderen geregelten Heilberufs ein fremdes Geheimnis, das ihm in dieser Eigenschaft anvertraut wurde, unbefugt offenbart, wird mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe bestraft. Das ist die strafrechtliche Seite der ärztlichen Schweigepflicht.

Geschützt ist dabei mehr als der reine Befund. Ein Geheimnis im Sinne der Vorschrift ist jede Tatsache, die nur einem begrenzten Personenkreis bekannt ist und an deren Geheimhaltung der Patient ein Interesse hat. Dazu gehört schon die Tatsache, dass jemand überhaupt Patient einer bestimmten Praxis ist. Bei einer psychiatrischen, onkologischen oder suchtmedizinischen Praxis lässt allein diese Kontaktbeziehung Rückschlüsse auf den Gesundheitszustand zu.

Zur Praxis gehören nicht nur die Ärztin und der Arzt selbst. Der Kreis der Verpflichteten umfasst auch die berufsmäßig tätigen Gehilfen, also die MFA am Empfang, die Praxismanagerin, die Auszubildende. Diese Personen sind nach §203 Abs. 3 StGB in die Schweigepflicht einbezogen, ohne dass es eine gesonderte Verpflichtung braucht. Der externe IT-Dienstleister dagegen ist kein Gehilfe in diesem Sinne, sondern eine mitwirkende Person, und für die gelten eigene Regeln.

Quelle: §203 StGB, Verletzung von Privatgeheimnissen (Gesetze im Internet, BMJ)§203 Abs. 1 StGB: Freiheitsstrafe bis zu einem Jahr oder Geldstrafe für das unbefugte Offenbaren eines fremden Geheimnisses durch Angehörige der genannten Berufsgruppen.

Die Reform 2017: mitwirkende Personen und die Erforderlichkeit

Der Kern der Reform steht in §203 Abs. 3 StGB. Danach liegt kein strafbares Offenbaren vor, wenn ein Berufsgeheimnisträger Geheimnisse gegenüber sonstigen mitwirkenden Personen zugänglich macht, soweit dies für die Inanspruchnahme ihrer Tätigkeit erforderlich ist. Damit sind IT-Dienstleister, Cloud- und Serverbetreiber und der PVS-Hersteller im Fernzugriff ausdrücklich abgedeckt.

Das entscheidende Wort ist "erforderlich". Der Zugriff auf Patientendaten ist nur so weit erlaubt, wie er für die konkrete Aufgabe des Dienstleisters nötig ist. Ein IT-Dienstleister, der einen Server wartet, muss das System betreuen, nicht die Behandlungsdokumentation lesen. Wo technisch ein Zugriff auf Inhalte gar nicht nötig ist, sollte er auch nicht möglich sein. Das ist keine reine Formalie, sondern die Grenze der Erlaubnis.

Praktisch heißt das: Fernwartung mit Zugriff auf das PVS ist zulässig, wenn sie für die Betreuung erforderlich ist. Ein dauerhaft offener Vollzugriff auf alle Patientenakten "für alle Fälle" ist es nicht. Die Reform hat die Beauftragung erlaubt, aber nicht schrankenlos. Wer den Zugriff technisch auf das Nötige beschränkt, bleibt auf der sicheren Seite und erfüllt zugleich die Datenminimierung nach der DSGVO.

Ihre wichtigste Pflicht: die Verpflichtung zur Geheimhaltung

Die zentrale Pflicht des Praxisinhabers steht in §203 Abs. 4 StGB, und sie wird oft übersehen. Wer eine mitwirkende Person heranzieht, muss dafür Sorge tragen, dass diese Person zur Geheimhaltung verpflichtet wird. Versäumt der Berufsgeheimnisträger das, macht er sich selbst strafbar, unabhängig davon, ob je ein Geheimnis nach außen gedrungen ist.

Das ist der Punkt, an dem viele Praxen ungeschützt sind. Sie haben einen IT-Dienstleister, oft seit Jahren, und einen Auftragsverarbeitungsvertrag. Aber eine gesonderte, ausdrückliche Verpflichtung des Dienstleisters auf die Schweigepflicht nach §203 StGB fehlt. Damit fehlt genau das, was das Strafgesetzbuch verlangt. Die Verpflichtung ist formfrei möglich, sollte aus Beweisgründen aber immer schriftlich erfolgen.

Die Verpflichtung muss außerdem lückenlos weitergereicht werden. Der Dienstleister ist seinerseits verpflichtet, seine Beschäftigten und etwaige Unterauftragnehmer, die Zugriff erhalten könnten, ebenfalls zur Geheimhaltung anzuhalten. Setzt der IT-Dienstleister zum Beispiel ein Rechenzentrum oder einen Cloud-Anbieter ein, muss die Verpflichtungskette bis dorthin reichen. Ein seriöser Anbieter organisiert das intern und weist es auf Nachfrage nach.

Quelle: §203 Abs. 3 und Abs. 4 StGB (Gesetze im Internet, BMJ)§203 Abs. 3 StGB regelt das zulässige Zugänglichmachen gegenüber mitwirkenden Personen, soweit erforderlich. §203 Abs. 4 StGB stellt sowohl die mitwirkende Person als auch den Berufsgeheimnisträger unter Strafe, der die Verpflichtung zur Geheimhaltung versäumt.

§203 StGB und der AV-Vertrag: zwei getrennte Ebenen

Ein verbreiteter Irrtum: Wer einen Auftragsverarbeitungsvertrag hat, glaubt, damit sei alles erledigt. Das stimmt nicht. §203 StGB und der AVV nach Art. 28 DSGVO sind zwei getrennte Rechtsebenen mit unterschiedlichem Zweck. Der AVV regelt den Datenschutz, die Verpflichtung nach §203 StGB das Strafrecht der Schweigepflicht. Sie brauchen beide Dokumente nebeneinander.

Der Auftragsverarbeitungsvertrag stellt sicher, dass der Dienstleister die Patientendaten nur nach Ihren Weisungen verarbeitet, technische Schutzmaßnahmen einhält und bei einer Datenpanne mitwirkt. Er ist die datenschutzrechtliche Grundlage der Zusammenarbeit. Was ein AVV genau leisten muss, steht im Beitrag zum Auftragsverarbeitungsvertrag.

Die Verpflichtung nach §203 StGB dagegen adressiert die strafbewehrte Schweigepflicht. Sie verpflichtet den Dienstleister und seine Leute persönlich darauf, die anvertrauten Geheimnisse nicht zu offenbaren, und sie erfüllt die Sorgepflicht des Praxisinhabers aus Abs. 4. Ein AVV ohne diese gesonderte Verpflichtung lässt die strafrechtliche Lücke offen. Umgekehrt ersetzt die Verpflichtung nicht die datenschutzrechtlichen Pflichten des AVV. Erst zusammen ergeben sie den vollständigen Schutz.

Quelle: Verordnung (EU) 2016/679 (DSGVO)Verordnung (EU) 2016/679 (DSGVO), insbesondere Art. 9 (besondere Kategorien personenbezogener Daten) und Art. 28 (Auftragsverarbeitung), die den AV-Vertrag mit jedem Dienstleister vorschreibt, der Patientendaten verarbeitet.

Strafmaß, Haftung und was tatsächlich auf dem Spiel steht

Der Rahmen ist ernst, aber überschaubar planbar. Nach §203 Abs. 1 StGB droht Freiheitsstrafe bis zu einem Jahr oder Geldstrafe. Handelt jemand gegen Entgelt oder in Bereicherungs- oder Schädigungsabsicht, erhöht sich der Rahmen nach §203 Abs. 6 StGB auf bis zu zwei Jahre. Dazu kommen berufsrechtliche Folgen und die datenschutzrechtliche Ebene mit ihren Bußgeldern.

Die strafrechtliche Haftung trifft im Ernstfall drei mögliche Personen: die mitwirkende Person, die ein Geheimnis offenbart, den Praxisinhaber, der die Verpflichtung versäumt hat, und, bei einem Verstoß aus der Praxis heraus, das eigene Team. §203 ist ein Antragsdelikt, das heißt, es wird in der Regel nur auf Antrag verfolgt. Das mindert das Risiko im Alltag, beseitigt es aber nicht, gerade nach einem Datenleck mit betroffenen Patienten.

Die realistischere Gefahr für die meisten Praxen liegt ohnehin nicht im vorsätzlichen Verrat, sondern im technischen Vorfall. Wenn ein schlecht abgesicherter Fernwartungszugang oder ein kompromittierter Dienstleister Patientendaten preisgibt, treffen strafrechtliche und datenschutzrechtliche Folgen zusammen. Wie hoch der Schaden solcher Vorfälle inzwischen ist, zeigt die Bitkom-Studie Wirtschaftsschutz 2025: Der Gesamtschaden für die deutsche Wirtschaft durch Diebstahl, Spionage und Sabotage lag bei 289,2 Milliarden Euro, davon entfielen 202,4 Milliarden Euro allein auf Cyberangriffe. 87 Prozent der befragten Unternehmen waren betroffen.

Quelle: Bitkom Wirtschaftsschutz 2025, Studienbericht (PDF)Gesamtschaden durch Diebstahl, Industriespionage und Sabotage 289,2 Milliarden Euro, davon 202,4 Milliarden Euro durch Cyberangriffe. 87 Prozent der befragten Unternehmen waren in den vergangenen zwölf Monaten betroffen.

Für den Gesundheitsbereich ist das mehr als eine abstrakte Zahl. Das Gesundheitswesen gilt beim BSI als bevorzugtes Angriffsziel, und Betriebsunterbrechungen nach einem Cybervorfall dauern in Arztpraxen und vergleichbaren Einrichtungen im Schnitt länger als im Branchendurchschnitt. Die richtige Einbindung des IT-Dienstleisters ist deshalb nicht nur eine Frage der Strafbarkeit, sondern Teil der Vorsorge gegen den teureren Fall. Mehr dazu im Beitrag zur Bitkom-Studie für die Arztpraxis.

So beauftragen Sie einen IT-Dienstleister rechtssicher

Die gute Nachricht: Der Weg zur rechtssicheren Beauftragung ist klar und in wenigen Schritten abgearbeitet. Es geht um sorgfältige Auswahl, die Beschränkung auf das Erforderliche, die schriftliche Verpflichtung und die Dokumentation. Wer das einmal sauber aufsetzt, hat für die gesamte Zusammenarbeit Ruhe.

1. 1
   Dienstleister sorgfältig auswählen
   Prüfen Sie Referenzen im Gesundheitswesen, Zertifizierungen wie ISO 27001 und die Erfahrung mit medizinischer IT. Die sorgfältige Auswahl ist der erste Baustein der Erlaubnis nach §203 StGB. Worauf es bei der Auswahl ankommt, steht im Beitrag zum guten IT-Dienstleister für die Arztpraxis.
2. 2
   Zugriff auf das Erforderliche beschränken
   Legen Sie fest, welche Zugriffe der Dienstleister für seine Aufgabe wirklich braucht. Richten Sie getrennte Wartungszugänge ein, geben Sie Fernwartung nur nach Freigabe frei und protokollieren Sie Sitzungen. So bleibt der Zugriff auf das erforderliche Maß begrenzt.
3. 3
   Auftragsverarbeitungsvertrag abschließen
   Schließen Sie einen AVV nach Art. 28 DSGVO ab, der Weisungsbindung, technisch-organisatorische Maßnahmen, Unterauftragnehmer und Meldewege regelt. Das ist die datenschutzrechtliche Grundlage der Zusammenarbeit.
4. 4
   Verpflichtung zur Geheimhaltung schließen
   Verpflichten Sie den Dienstleister gesondert und schriftlich auf die Schweigepflicht nach §203 StGB. Stellen Sie sicher, dass er seine Beschäftigten und Unterauftragnehmer ebenfalls verpflichtet. Damit erfüllen Sie die Sorgepflicht aus §203 Abs. 4 StGB.
5. 5
   Alles dokumentieren
   Nehmen Sie den Dienstleister ins Verzeichnis der Verarbeitungstätigkeiten auf, legen Sie AVV und Verpflichtungserklärung geordnet ab und halten Sie die Zugriffsregeln in den technisch-organisatorischen Maßnahmen fest. So ist die rechtssichere Einbindung bei einer Prüfung sofort belegbar.

Diese fünf Schritte gehören zusammen. Der beste AVV nützt wenig, wenn die Verpflichtung nach §203 StGB fehlt, und die sauberste Verpflichtung hilft nicht, wenn technisch jeder alles sehen kann. Erst das Zusammenspiel aus Auswahl, technischer Beschränkung, Vertrag und Dokumentation ergibt den vollständigen Schutz.

Quelle: Bitkom: Muster zur Umsetzung der §203-StGB-Neuregelung (Leitfaden 2018)Bitkom-Leitfaden mit Mustertexten für die Verpflichtung mitwirkender Personen nach der Neuregelung des §203 StGB.

Häufige Fehler in der Praxis

Der teuerste Fehler ist der Glaube, mit dem AVV sei die Schweigepflicht erledigt. Sie ist es nicht. Fast ebenso häufig sind der uneingeschränkte Dauerzugriff des Dienstleisters, eine Verpflichtungskette, die bei Unterauftragnehmern abreißt, und die fehlende Dokumentation. Jeder dieser Punkte ist vermeidbar.

Ein zweiter typischer Fehler betrifft Alt-Verhältnisse. Viele Praxen arbeiten seit Jahren mit demselben IT-Dienstleister, oft aus der Zeit vor der Reform 2017. Der AVV wurde irgendwann nachgereicht, die gesonderte Verpflichtung nach §203 StGB aber nie geschlossen. Diese Lücke bleibt bestehen, bis jemand sie aktiv schließt. Ein guter Anlass ist ohnehin jeder Wechsel oder jede Übergabe des IT-Dienstleisters, bei der die Verträge sauber neu aufgesetzt werden.

Der dritte Fehler ist das Klumpenrisiko: Ein einzelner Dienstleister mit uneingeschränktem Zugriff, ohne Vertretung, ohne Protokollierung, ohne dass jemand in der Praxis überblickt, was er eigentlich alles sehen kann. Das ist nicht nur ein §203-Problem, sondern ein Betriebsrisiko. Warum die Abhängigkeit von einer einzigen Person gefährlich ist, beschreibt der Beitrag zum IT-Betreuer als Klumpenrisiko.

Wie ITCC Ihre Praxis dabei unterstützt

ITCC ist externe IT-Abteilung für medizinische Einrichtungen in der Region Pfalz/Rhein-Neckar und Rhein-Main. Wir sind keine Anwaltskanzlei und ersetzen keine Rechtsberatung. Aber wir bringen als Ihr IT-Dienstleister genau das mit, was §203 StGB von der anderen Seite verlangt: eine Verpflichtungsvereinbarung und einen AV-Vertrag, die zusammenpassen, und eine technische Zugriffsbeschränkung, die Erforderlichkeit tatsächlich abbildet.

Konkret heißt das: Beim Onboarding erhalten Sie von uns den AVV nach Art. 28 DSGVO und die gesonderte Verpflichtung zur Geheimhaltung nach §203 StGB, nicht auf Nachfrage Monate später, sondern von Anfang an. Wir richten getrennte Wartungszugänge ein, geben Fernwartung nur nach Freigabe frei und protokollieren die Sitzungen, damit der Zugriff nachweisbar auf das Erforderliche begrenzt bleibt. Und wir stellen sicher, dass unsere eigene Verpflichtungskette bis zu allen Beschäftigten und eingesetzten Rechenzentren reicht.

Wenn Sie bereits einen IT-Dienstleister haben und wissen wollen, ob die §203-Verpflichtung sauber geschlossen ist, prüfen wir das mit Ihnen. Schreiben Sie uns unter info@itcc.de oder rufen Sie an. Sie bekommen eine ehrliche Einschätzung, welche Verträge vorhanden sind, wo eine Lücke besteht und was konkret zu tun ist, ohne langes Erstgespräch ohne Ergebnis.