Viele Psychotherapeut:innen wissen, dass Datenschutz in ihrer Praxis eine zentrale Rolle spielt. Was dabei oft unterschätzt wird: Ein erheblicher Teil der Datenschutzrisiken entsteht nicht durch bewusste Entscheidungen, sondern durch die Wahl der falschen Software.
Ein Kalender, der Daten in einer amerikanischen Cloud speichert. Ein Kontaktformular auf der Website, das nicht verschlüsselt überträgt. Eine Praxissoftware, für die kein Auftragsverarbeitungsvertrag abgeschlossen wurde. All das sind keine Ausnahmen, sondern häufige Realitäten im Praxisalltag.
Dieser Beitrag ist Teil unserer Reihe zu DSGVO und Datenschutz in der Psychotherapie. Was die DSGVO grundsätzlich verlangt und welche Bereiche im Praxisalltag besonders relevant sind, haben wir in unserem Hauptbeitrag eingeordnet:
→ DSGVO-konform arbeiten in der Psychotherapie: Was heißt das?
Konkrete, alltagstaugliche Handlungsempfehlungen für den Umgang mit Patientendaten finden Sie hier:
→ DSGVO-Tipps für Psychotherapeuten und Psychotherapeutinnen
In diesem Beitrag geht es um einen spezifischeren Aspekt: Worauf müssen Sie achten, wenn Sie Software für Ihre Praxis auswählen? Und welche Risiken entstehen, wenn die falsche Wahl getroffen wird?
Warum Software ein besonderes Datenschutzrisiko ist
Software ist in der Psychotherapie kein neutrales Werkzeug. Jedes System, das in der Praxis eingesetzt wird, verarbeitet in irgendeiner Form personenbezogene Daten. Manchmal offensichtlich, wie bei einer Praxissoftware mit Patientendaten. Manchmal weniger offensichtlich, wie bei einem Online-Kalender, der Termindaten synchronisiert, oder einem Kontaktformular auf der Praxiswebsite.
Das Problem: Viele Tools, die im Alltag praktisch wirken, wurden nicht für den Einsatz im Gesundheitswesen entwickelt. Sie erfüllen allgemeine Datenschutzstandards, aber nicht die besonderen Anforderungen, die für besonders sensible Gesundheitsdaten gelten.
In der Psychotherapie sind fast alle Daten besonders sensibel. Schon der Umstand, dass jemand in psychotherapeutischer Behandlung ist, gilt als schutzbedürftige Information. Das stellt höhere Anforderungen an jede Software, die im Praxisalltag eingesetzt wird.
Die häufigsten Datenschutzrisiken durch Software
Fehlender Auftragsverarbeitungsvertrag
Sobald ein externer Dienstleister Daten im Auftrag der Praxis verarbeitet, schreibt die DSGVO einen Auftragsverarbeitungsvertrag (AVV) vor. Das gilt für Praxissoftware, Cloud-Dienste, E-Mail-Anbieter und viele andere Tools.
In der Praxis fehlt dieser Vertrag häufig, weil er bei der Einführung eines neuen Tools nicht aktiv angefragt wird. Ohne AVV ist die Datenverarbeitung durch den Dienstleister nicht rechtlich abgesichert, auch wenn der Dienstleister selbst DSGVO-konform arbeitet.
Datenspeicherung außerhalb der EU
Viele gängige Tools, darunter bekannte Cloud-Dienste, Kalenderanwendungen oder Kommunikationstools, speichern Daten auf Servern außerhalb der EU. Das ist datenschutzrechtlich problematisch, weil außerhalb der EU andere Datenschutzstandards gelten und der Zugriff durch Dritte nicht ausgeschlossen werden kann.
Für Gesundheitsdaten, die zu den sensibelsten Kategorien personenbezogener Daten gehören, ist das besonders kritisch.
Unklare Zugriffsrechte und geteilte Logins
In kleineren Praxen oder bei gelegentlicher Unterstützung durch Verwaltungspersonal werden Zugänge zu Softwaresystemen manchmal geteilt. Das ist praktisch, aber datenschutzrechtlich problematisch: Wenn mehrere Personen denselben Login nutzen, ist nicht mehr nachvollziehbar, wer wann auf welche Daten zugegriffen hat.
DSGVO-konforme Systeme ermöglichen individuelle Zugänge mit klar definierten Zugriffsrechten.
Nicht verschlüsselte Kommunikation
Kontaktformulare auf der Praxiswebsite, E-Mail-Kommunikation oder digitale Anfragen: Überall dort, wo Daten übertragen werden, muss die Übertragung verschlüsselt sein. Viele Standardlösungen erfüllen diese Anforderung nicht oder nur teilweise.
Gerade bei Erstanfragen, bei denen Hilfesuchende oft persönliche und belastende Informationen teilen, ist eine sichere Übertragung besonders wichtig.
Private Tools im beruflichen Einsatz
WhatsApp, private E-Mail-Konten oder allgemeine Cloud-Dienste werden im Praxisalltag oft aus Bequemlichkeit genutzt. Diese Tools sind nicht für den Einsatz mit Gesundheitsdaten ausgelegt, haben keine AVVs für den Praxiskontext und bieten keine ausreichende Datentrennung zwischen privatem und beruflichem Einsatz.
Woran Sie DSGVO-konforme Software erkennen
Nicht jede Software, die „DSGVO-konform“ oder „datenschutzfreundlich“ kommuniziert, erfüllt tatsächlich die Anforderungen, die für den Einsatz in einer Psychotherapiepraxis relevant sind. Diese Punkte helfen bei der Einschätzung:
Serverstandort in der EU Alle Daten sollten auf Servern innerhalb der EU gespeichert werden. Achten Sie darauf, dass das explizit kommuniziert wird und nicht nur für den Hauptsitz des Anbieters gilt.
Auftragsverarbeitungsvertrag verfügbar Ein seriöser Anbieter stellt den AVV aktiv zur Verfügung, ohne dass Sie danach fragen müssen. Wenn dieser Vertrag nicht ohne Weiteres zugänglich ist, ist das ein Warnsignal.
Verschlüsselte Datenübertragung und Speicherung Sowohl die Übertragung als auch die Speicherung von Daten sollte verschlüsselt sein. Das sollte in den technischen Informationen des Anbieters klar beschrieben sein.
Individuelle Zugänge und Rechteverwaltung Die Software sollte individuelle Nutzerkonten mit klar definierten Zugriffsrechten ermöglichen, damit nachvollziehbar bleibt, wer auf welche Daten zugreift.
Spezialisierung auf das Gesundheitswesen Software, die speziell für den Einsatz im Gesundheitswesen oder in der Psychotherapie entwickelt wurde, berücksichtigt die besonderen Anforderungen dieser Branche von Anfang an. Generische Tools erfordern oft manuelle Anpassungen, die im Alltag schnell vergessen werden.
Praxissoftware und Datenschutz: Was zusammengehört
Datenschutz und die Wahl der richtigen Praxissoftware sind keine getrennten Themen. Wer Software einsetzt, die nicht den datenschutzrechtlichen Anforderungen entspricht, trägt ein rechtliches Risiko, das sich im Alltag oft erst dann zeigt, wenn es zu spät ist.
Gleichzeitig gilt: DSGVO-konforme Software muss nicht kompliziert sein. Spezialisierte Lösungen für die Psychotherapie sind so entwickelt, dass Datenschutz von Anfang an mitgedacht ist, ohne dass die Praxis jeden einzelnen Aspekt selbst prüfen und absichern muss.
Wenn Sie wissen möchten, welche Softwarekategorien für psychotherapeutische Praxen grundsätzlich relevant sind und wie Sie die richtige Lösung für Ihre Praxis finden, finden Sie hier einen strukturierten Überblick:
→ Software in der Psychotherapie: Ein Überblick über Ihre Optionen
Wie gut ist Ihre Praxis beim Datenschutz aufgestellt?
Bevor Sie neue Software einführen oder bestehende Lösungen überprüfen, lohnt sich ein strukturierter Blick auf den aktuellen Stand Ihrer Praxis. Unsere kostenlose DSGVO-Checkliste für Psychotherapeut:innen hilft Ihnen dabei, die wichtigsten Bereiche schnell und strukturiert zu überprüfen.
DSGVO-Checkliste für Psychotherapeut:innen Prüfen Sie in wenigen Minuten, wie gut Ihre Praxis beim Datenschutz aufgestellt ist. Strukturiert, praxisnah und direkt umsetzbar.
Was Lucoyo technisch und organisatorisch zum Datenschutz beiträgt
Lucoyo ist eine spezialisierte Lösung für psychotherapeutische Praxen, die die besonderen Datenschutzanforderungen dieser Praxisform von Anfang an berücksichtigt.
Technisch wird die Plattform in Deutschland auf Hetzner-Infrastruktur betrieben, für die ein aktuelles C5 Typ 2-Testat vorliegt. Gesundheitsdaten von Patient:innen werden innerhalb dieser sicheren Hosting-Umgebung verarbeitet. Ergänzt wird das durch verschlüsselte Datenübertragung, Multi-Faktor-Authentifizierung, klare Zugriffs- und Berechtigungskonzepte sowie regelmäßige Sicherheitsüberprüfungen einschließlich Penetrationstests.
Organisatorisch stellt Lucoyo AVV und TOM transparent zur Verfügung, arbeitet mit einem externen Datenschutzbeauftragten und trägt den besonderen Vertraulichkeitsanforderungen im Gesundheitswesen, einschließlich der Anforderungen aus § 203 StGB, auch vertraglich Rechnung.
Das bedeutet für die Praxis: Die zentralen datenschutzrechtlichen Anforderungen sind bereits strukturell abgedeckt, ohne dass die Praxis jeden einzelnen Aspekt selbst prüfen und absichern muss.
Wenn Sie wissen möchten, wie das konkret für Ihre Praxis aussehen kann, sprechen Sie gerne unverbindlich mit uns.
Häufige Fragen zu DSGVO-konformer Software in der Psychotherapie
Was macht Software DSGVO-konform für den Einsatz in der Psychotherapie?
DSGVO-konforme Software für die Psychotherapie speichert Daten auf Servern in der EU, verschlüsselt Übertragung und Speicherung, ermöglicht individuelle Zugänge mit klaren Zugriffsrechten und stellt einen Auftragsverarbeitungsvertrag zur Verfügung. Zusätzlich sollte sie auf die besonderen Anforderungen des Gesundheitswesens ausgerichtet sein.
Brauche ich für jede Software in meiner Praxis einen Auftragsverarbeitungsvertrag?
Ja, sobald ein externer Dienstleister personenbezogene Daten im Auftrag der Praxis verarbeitet, ist ein AVV erforderlich. Das gilt für Praxissoftware, Cloud-Dienste, E-Mail-Anbieter und viele andere Tools, die im Praxisalltag eingesetzt werden.
Ist WhatsApp in der Psychotherapie DSGVO-konform?
Nein. WhatsApp ist nicht für den Einsatz mit Gesundheitsdaten ausgelegt, bietet keinen AVV für den Praxiskontext und speichert Daten nicht ausschließlich in der EU. Für die Kommunikation mit Patient:innen in der Psychotherapie sind spezialisierte, verschlüsselte Lösungen erforderlich.
Was passiert, wenn ich Software einsetze, die nicht DSGVO-konform ist?
Datenschutzverstöße können zu Bußgeldern und rechtlichen Konsequenzen führen. Wichtiger ist jedoch: Sensible Gesundheitsdaten von Patient:innen sind möglicherweise nicht ausreichend geschützt. Das kann das Vertrauen in die Praxis nachhaltig beschädigen.
Wie prüfe ich, ob meine bestehende Software DSGVO-konform ist?
Prüfen Sie, ob ein AVV mit dem Anbieter abgeschlossen wurde, wo die Daten gespeichert werden und ob die Übertragung verschlüsselt ist. Wenn diese Informationen nicht ohne Weiteres zugänglich sind, lohnt sich eine direkte Anfrage beim Anbieter oder die Rücksprache mit einem Datenschutzexperten.
