Zwischen zwei Sitzungen klingelt das Telefon. Auf dem Anrufbeantworter bleibt eine Nachricht mit vollem Namen, Telefonnummer und dem Satz: „Ich brauche dringend Hilfe, ich habe wieder Panikattacken.“ Kurz darauf kommt eine E-Mail: Diagnose im Betreff, Unterlagen im Anhang. Und irgendwo liegt noch ein Zettel mit handschriftlichen Notizen zur Warteliste.
Gerade in solchen Momenten zeigt sich, was Datenschutz in der Praxis wirklich bedeutet: Patient:innen vertrauen Ihnen Informationen an, die zu den sensibelsten gehören, die es gibt. Dieses Vertrauen braucht im Hintergrund klare Regeln.
In diesem Beitrag erfahren Sie, was die DSGVO grundsätzlich verlangt, welche Daten in der Psychotherapie besonders schutzbedürftig sind und wo Datenschutz im Praxisalltag typischerweise mitläuft.
Wichtiger Hinweis: Dieser Beitrag bietet allgemeine Orientierung und ersetzt keine Rechtsberatung. Für konkrete Beratung empfiehlt sich die Rücksprache mit einer Datenschutzexpert:in.
Wenn Sie direkt zu den konkreten Umsetzungstipps möchten, finden Sie diese hier: DSGVO-Tipps für Psychotherapeuten und Psychotherapeutinnen →
Was ist die DSGVO und was verlangt sie im Kern?
Die Datenschutz-Grundverordnung (DSGVO) ist ein EU-weit geltendes Regelwerk, das festlegt, wie personenbezogene Daten verarbeitet werden dürfen. „Verarbeiten“ ist dabei ein weiter Begriff: Er umfasst nicht nur Speichern, sondern auch Erheben, Ordnen, Übermitteln und Löschen.
Im Praxisalltag heißt das: Sobald Sie Informationen zu einer Person notieren, abheften, digital ablegen oder strukturiert verwalten, sind Sie im DSGVO-Kosmos unterwegs.
Die Grundidee lässt sich in einem Satz zusammenfassen: Nur so viele Daten wie nötig, so transparent wie möglich, so sicher wie erforderlich.
Das bedeutet konkret:
- Patient:innen werden transparent informiert, wofür ihre Daten genutzt werden
- Daten werden nur in dem Umfang erhoben, der tatsächlich erforderlich ist
- Praxen stellen organisatorisch und technisch sicher, dass Informationen nicht verloren gehen, nicht unbefugt eingesehen und nicht zweckentfremdet genutzt werden
Warum Psychotherapeut:innen besonders betroffen sind
Es gibt Branchen, in denen Datenschutz wichtig ist. Und es gibt Branchen, in denen Datenschutz identitätsstiftend ist, weil er direkt mit dem Kern der Arbeit zusammenhängt. Psychotherapie gehört zur zweiten Kategorie.
Drei Gründe dafür:
1. Sie arbeiten mit besonders sensiblen Informationen. Nicht nur klassische Gesundheitsdaten wie Diagnosen oder Befunde, sondern häufig auch Lebensgeschichte, Krisen, Beziehungen, Traumata und Schamthemen. Dinge, die Menschen niemandem außer Ihnen erzählen.
2. Das Vertrauensverhältnis ist Teil der Behandlung. Datenschutz ist nicht Bürokratie nebenbei, sondern eine Rahmenbedingung, die Patient:innen zu Recht erwarten und die die therapeutische Beziehung erst möglich macht.
3. Es gibt viele Datenwege, auch in analogen Praxen. Von der ersten Kontaktaufnahme über Terminvergabe bis zur Dokumentation und dem Austausch mit Dritten: Daten bewegen sich ständig. Und Bewegung ist das, was Risiken erzeugt.
Welche Daten in der Psychotherapie besonders schutzbedürftig sind
In der Psychotherapie haben viele Informationen eine besondere Schutzbedürftigkeit. Schon der Terminbezug oder die Praxiszugehörigkeit kann Rückschlüsse auf eine psychische Belastung zulassen. Deshalb lohnt es sich, den Blick dafür zu schärfen, welche Daten im Praxisalltag typischerweise anfallen:
- Stammdaten: Name, Adresse, Telefonnummer, Geburtsdatum
- Termindaten: Termine, Absagen, Wartelistenstatus (bereits kontextsensibel)
- Behandlungsdaten: Anamnese, Diagnostik, Diagnosen, Therapieverlauf, Berichte
- Krisen- und Belastungsthemen: Suizidalität, Trauma, Sucht, Sexualität, Gewalt, Familienkonflikte
- Daten zu Dritten: Angehörige, Arbeitgeber, mitbetroffene Personen
Je mehr eine Information Rückschlüsse auf den Gesundheitszustand oder persönliche Lebensumstände zulässt, desto höher sind die Anforderungen an Vertraulichkeit und Schutz.
Verantwortlichkeiten: Wer trägt was?
Datenschutz braucht klare Zuständigkeiten. In der Einzelpraxis liegt die Verantwortung typischerweise bei der Praxisleitung. In Gemeinschaftspraxen, Ambulanzen und Instituten sind Aufgaben oft auf mehrere Rollen verteilt. Umso wichtiger ist eine eindeutige Klärung: Wer legt Standards fest? Wer setzt sie im Alltag um? Wer überprüft die Einhaltung?
Das Grundprinzip bleibt gleich: Aufgaben können delegiert werden, die Verantwortung für den datenschutzkonformen Umgang mit Patient:innendaten nicht. Auch wenn externe Dienstleister für Software oder IT eingebunden sind, muss der Umgang mit Patient:innendaten weiterhin aktiv gesteuert werden.
Typische Missverständnisse im Umgang mit der DSGVO
„Ich bin doch klein – wen interessiert das?“
Klein zu sein reduziert nicht automatisch Risiken. Gerade in kleinen Strukturen hängt viel an einzelnen Personen, Geräten und Routinen. Ein verlorenes Handy oder ein falscher E-Mail-Empfänger ist nicht „klein“, nur weil die Praxis klein ist.
„Ich arbeite analog – dann bin ich sicher.“
Papier kann sehr sicher sein, wenn Aufbewahrung, Zugriff und Transport sauber geregelt sind. Papier kann aber auch erstaunlich mobil werden: Akten im Auto, Notizen in der Tasche, Zettel auf dem Schreibtisch.
„Ich nutze nur kurz private Tools – das ist doch pragmatisch.“
Pragmatismus ist verständlich. Aber gerade „kurz mal“ erzeugt häufig die größten Grauzonen: private Geräte, Messenger, automatische Cloud-Synchronisationen, Screenshots.
„Datenschutz ist nur IT.“
Datenschutz beginnt oft viel früher: Was steht auf dem Anrufbeantworter? Wie wird zurückgerufen? Wo liegen Notizen? Wer sieht den Kalender?
Wo DSGVO im Praxisalltag typischerweise mitläuft
Datenschutz beginnt selten bei großen Entscheidungen, sondern in den wiederkehrenden Routinen des Praxisalltags. Diese vier Bereiche sind besonders häufig betroffen:
Dokumentation
Therapieverlauf, Diagnostik, Berichte und Anamnesen müssen klar abgelegt, zugänglich und geordnet sein. Typische Risiken: Verwechslungen, herumliegende Unterlagen, unklare Zuständigkeiten.
Kommunikation
Telefon, Anrufbeantworter, E-Mails, Kontaktformulare und Online-Terminbuchung sind zentrale Datenwege. Typische Risiken: zu viele Details auf dem Anrufbeantworter, falscher Empfänger, sensible Inhalte im Betreff, ungesicherte Kanäle.
Software
Praxissoftware, Kalender und Abrechnung verarbeiten täglich sensible Daten. Typische Risiken: geteilte Logins, unklare Zugriffsrechte, private Tools im beruflichen Einsatz.
Aufbewahrung
Papierakten und digitale Daten brauchen klare Strukturen für Zugriff, Lagerung und Löschung. Typische Risiken: Verlust, Diebstahl, unklare Löschroutinen, fehlende Backups.
Wie Lucoyo datenschutzkonformes Arbeiten unterstützt
Viele der beschriebenen Risikobereiche lassen sich durch klare digitale Strukturen erheblich reduzieren. Lucoyo unterstützt psychotherapeutische Praxen dabei, Anfragen strukturiert und DSGVO-konform zu erfassen, zu organisieren und zu kommunizieren, ohne dass sensible Informationen über unsichere Kanäle wie E-Mail oder Telefon laufen.
Wenn Sie wissen möchten, wie das konkret für Ihre Praxis aussehen kann, laden wir Sie zu einem unverbindlichen Beratungsgespräch ein. Kein Verkaufsdruck, keine Verpflichtung. Nur ein ehrlicher Blick darauf, ob und wie Lucoyo Sie unterstützen kann.
Häufige Fragen: DSGVO-konform arbeiten in der Psychotherapie
Was bedeutet DSGVO-konform arbeiten in der Psychotherapie? DSGVO-konform arbeiten bedeutet, dass personenbezogene Daten von Patient:innen nur für klar definierte Zwecke erhoben, sicher gespeichert und nicht unbefugt weitergegeben werden. In der Psychotherapie gilt das besonders streng, weil es sich um besonders sensible Gesundheitsdaten handelt.
Welche Daten fallen in der Psychotherapie unter die DSGVO? Alle personenbezogenen Daten, die im Praxisalltag anfallen: Stammdaten, Termindaten, Behandlungsdaten, Diagnosen, Therapieverläufe und auch Informationen zu Dritten wie Angehörigen. Bereits der Umstand, dass jemand in psychotherapeutischer Behandlung ist, gilt als besonders schutzbedürftige Information.
Gilt die DSGVO auch für kleine Einzelpraxen? Ja, die DSGVO gilt unabhängig von der Praxisgröße. Auch Einzelpraxen sind verpflichtet, den datenschutzkonformen Umgang mit Patient:innendaten sicherzustellen und entsprechende Maßnahmen zu dokumentieren.
Was ist der Unterschied zwischen Schweigepflicht und DSGVO? Die Schweigepflicht regelt, dass Therapeut:innen keine Inhalte aus der Therapie weitergeben dürfen. Die DSGVO geht darüber hinaus: Sie verlangt zusätzlich, dass Praxen nachvollziehbar dokumentieren, wie Datenschutz organisatorisch und technisch umgesetzt wird, zum Beispiel durch ein Verzeichnis von Verarbeitungstätigkeiten.
Sind E-Mails in der Psychotherapie DSGVO-konform? Standard-E-Mails sind in der Regel nicht ausreichend sicher für den Austausch sensibler Patientendaten. Diagnosen, Anliegen oder persönliche Details sollten nicht unverschlüsselt per E-Mail übermittelt werden. Spezialisierte, DSGVO-konforme Kommunikationslösungen sind hier die bessere Wahl.
Was ist ein Verzeichnis von Verarbeitungstätigkeiten (VVT)? Das VVT ist eine strukturierte Übersicht darüber, welche personenbezogenen Daten in der Praxis verarbeitet werden, zu welchem Zweck, wie lange sie gespeichert werden und wer Zugriff hat. Es ist für die meisten Praxen verpflichtend und dient als Nachweis für datenschutzkonformes Arbeiten.
Brauche ich als Psychotherapeut:in einen Datenschutzbeauftragten? Das hängt von der Praxisgröße und den eingesetzten Systemen ab. In vielen Fällen ist kein interner Datenschutzbeauftragter vorgeschrieben, es empfiehlt sich aber, einen externen Datenschutzexperten hinzuzuziehen, besonders wenn digitale Tools für die Patientenverwaltung eingesetzt werden.
