Mandanten- und Patientendaten sicher austauschen: Was Berufsgeheimnisträger beachten müssen

Ärztinnen, Psychotherapeuten, Rechtsanwältinnen, Steuerberater und andere Berufsgeheimnisträger dürfen fremde Geheimnisse nach § 203 StGB nicht unbefugt offenbaren. Ein Verstoß ist eine Straftat – nicht nur ein Bußgeldrisiko. Dazu kommen die Verschwiegenheitspflichten des Berufsrechts, etwa in der Berufsordnung der Ärztekammer, in § 43a BRAO für Anwälte und in § 57 StBerG für Steuerberater.

Gleichzeitig gilt die DSGVO. Für Gesundheitsdaten ist sie besonders streng: Sie gehören zu den besonderen Kategorien nach Art. 9 DSGVO. Und Art. 32 DSGVO verlangt für jede Verarbeitung Sicherheitsmaßnahmen, die dem Risiko angemessen sind. Je sensibler die Daten, desto mehr Schutz wird erwartet.

Beides zusammen heißt für den Alltag: Weitergeben nur, was nötig ist, nur an die richtige Person und nur auf einem Weg, der Unbefugte zuverlässig ausschließt. Das ist eine allgemeine Orientierung, keine Rechtsberatung.

Seit 2017 erlaubt § 203 Abs. 3 StGB, Dienstleister einzubinden – zum Beispiel einen Cloud-Speicher –, soweit das für deren Mitwirkung erforderlich ist. Die Bedingung steht in Abs. 4: Du musst dafür sorgen, dass der Dienstleister zur Geheimhaltung verpflichtet ist. Für Anwälte und Steuerberater konkretisieren § 43e BRAO und § 62a StBerG das: Vertrag in Textform, Belehrung über die strafrechtlichen Folgen, Kenntnisnahme nur soweit nötig, klare Regeln für weitere Dienstleister.

Dient ein Dienst unmittelbar einem einzelnen Mandat, verlangt § 43e Abs. 5 BRAO zusätzlich die Einwilligung der Mandantschaft. Für den Datenschutz brauchst du daneben einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Wie beides bei SafeDoc aussieht, steht auf der Seite Für Berufsgeheimnisträger.

Die meisten Pannen entstehen nicht durch Angriffe, sondern im Alltag. Typische Schwachstellen:

• E-Mail-Anhänge: Die Datei liegt danach in jedem Postfach, durch das sie gewandert ist. Eine Weiterleitung nimmt sie mit, zurückholen kannst du sie nicht.
• Private Messenger und Konten: Fotos von Befunden oder Belegen landen in Diensten, für die es keinen Vertrag mit deiner Praxis oder Kanzlei gibt.
• USB-Sticks und ausgedruckte Stapel: Sie gehen verloren, werden liegen gelassen oder nicht gelöscht.
• Freigaben ohne Ende: Ein Link, der vor zwei Jahren für ein Gutachten erstellt wurde, funktioniert womöglich immer noch.

1. Erforderlich? Gib nur weiter, was die andere Seite für ihren Zweck braucht – im Zweifel einen Auszug statt der ganzen Akte.
2. Richtige Person? Prüfe die Adresse, bevor du sendest. Bei neuen Kontakten hilft ein kurzer Anruf.
3. Geschützt? Ein Link mit Passwort, das du auf einem zweiten Weg mitteilst, schließt Mitleser aus.
4. Befristet? Zugriff sollte von selbst enden – nach Tagen, nicht nach Jahren.
5. Nachvollziehbar? Du solltest jederzeit sehen, was du mit wem geteilt hast, und es zurücknehmen können.

Nicht ersetzt wird dadurch, was das Berufsrecht für bestimmte Wege vorschreibt – etwa das besondere elektronische Anwaltspostfach für Schriftsätze an Gerichte oder die Dienste der Telematikinfrastruktur im Gesundheitswesen. Ein Cloud-Speicher ist für den Austausch mit Patienten, Mandanten und Partnern da, nicht für den Behördenweg.

• Links mit Passwort, Ablauf und Downloadlimit ab Plus Bezahltarife · bald: Ablauf nach 1, 7 oder 30 Tagen, falsche Passwörter werden auf dem Server gebremst.
• Dateianfragen in jedem Tarif: Mandanten und Patienten laden direkt in einen Ordner von dir hoch, ohne Konto und ohne den Inhalt zu sehen. Die Anfrage läuft zu einem Datum ab, das du festlegst.
• Freigaben für Personen, auf Wunsch befristet auf 1, 7, 30 oder 90 Tage. Wer noch kein Konto hat, bekommt Zugriff erst mit einem bestätigten Konto genau der eingeladenen Adresse.
• Überblick: Unter „Von mir geteilt“ siehst du alle Links und Freigaben und wie oft heruntergeladen wurde. Wichtige Aktionen wie Freigaben und Löschungen werden protokolliert.
• Anmeldung mit zweitem Faktor per App oder mit Passkey – für ein Konto mit Patienten- oder Mandantendaten sehr zu empfehlen.
• Ende-zu-Ende-Tresor für besonders Sensibles: Dateien werden auf deinem Gerät verschlüsselt, nur du hast den Schlüssel. Noch nicht extern geprüft Beta auf Einladung.

Dateien und Datenbank liegen in Rechenzentren in Deutschland. Die Sicherungen sind ebenfalls für Deutschland vorgesehen; sie werden gerade aufgebaut. Wir verwenden die Inhalte deiner Dateien nicht zum Training von KI-Modellen und geben sie nicht an Anbieter von KI-Diensten weiter.

Konkrete Beispiele je Beruf: für Arztpraxen und Psychotherapeuten, für Anwaltskanzleien und für Steuerbüros.

Den Vertrag zur Auftragsverarbeitung gibt es in jedem bezahlten Tarif ab Plus, auch im Einzelkonto Fertig · startet mit Bezahltarifen. Was er regelt, erklärt die Seite AV-Vertrag.

Die Verschwiegenheitsvereinbarung nach § 203 StGB ist ab dem Start abschließbar. Vorher verpflichten wir alle, die bei uns mitwirken, in Textform zur Verschwiegenheit – erst dann bieten wir sie an. Den Wortlaut kannst du im Konto unter Einstellungen → Verträge schon lesen.

• Mit dem Speicheranbieter einen AV-Vertrag abschließen.
• Den Anbieter nach § 203 Abs. 4 StGB zur Verschwiegenheit verpflichten (Textform).
• Bei mandatsbezogenen Diensten prüfen, ob eine Einwilligung nötig ist (§ 43e Abs. 5 BRAO).
• Für jede Patientin, jeden Mandanten einen eigenen Ordner anlegen.
• Nur geschützte Links mit Passwort und Ablauf verschicken, Passwort auf zweitem Weg.
• Unterlagen per Dateianfrage einsammeln statt per E-Mail.
• Zwei-Faktor-Anmeldung für alle Konten einschalten.
• Einmal im Monat geteilte Links prüfen und Überflüssiges löschen.

Wie du einzelne Kundendaten Schritt für Schritt teilst, zeigt der Artikel Kundendaten DSGVO-gerecht teilen.