Praxissoftware, Videokonferenz und Cloud: Was Gesundheitsberufe bei der Auswahl von IT-Dienstleistern beachten müssen

Praxissoftware, Videokonferenz und Cloud: Was Gesundheitsberufe bei der Auswahl von IT-Dienstleistern beachten müssen

Stand: 14. Oktober 2026

Ob Terminbuchung, Verlaufsdokumentation, Honorarnote oder die Therapieeinheit per Video: In den meisten freiberuflichen Praxen laufen Patientendaten heute über die Software externer Anbieter. Für Angehörige der Gesundheitsberufe ist die Auswahl dieser Anbieter rechtlich heikler als für andere Selbständige, weil neben der DSGVO das eigene Berufsgesetz mit einer strengen Verschwiegenheitspflicht gilt.

Dieser Beitrag richtet sich an freiberuflich tätige Psychotherapeuten, Klinische Psychologen und Gesundheitspsychologen, Musiktherapeuten sowie an die Angehörigen der MTD-Berufe, also Physiotherapeuten, Ergotherapeuten, Logopäden, Diätologen, Orthoptisten, Biomedizinische Analytiker und Radiologietechnologen. Maßgeblich sind neben der DSGVO und dem Datenschutzgesetz (DSG) das Psychotherapiegesetz 2024 (PThG 2024), das Psychologengesetz 2013 (PlG 2013), das Musiktherapiegesetz (MuthG) und das MTD-Gesetz 2024 (MTDG). Es geht um Anbieter von Praxisverwaltungssoftware, Videokonferenz-Tools, Cloud-Speicher, E-Mail, Online-Terminbuchung, Messenger-Diensten und IT-Betreuung (in weiterer Folge: „IT-Dienstleister“).

Die Verantwortung bleibt bei der Praxis

Datenschutzrechtlich sind Sie als Praxisinhaber Verantwortlicher, der IT-Dienstleister ist in aller Regel Auftragsverarbeiter. Sie dürfen daher nur Anbieter beauftragen, die hinreichende Garantien für eine datenschutzkonforme Verarbeitung bieten. Mit ihnen ist ein Auftragsverarbeitungsvertrag abzuschließen. Geht beim Anbieter etwas schief, stehen gegenüber Patienten und Datenschutzbehörde zunächst Sie in der Pflicht.

Für Gesundheitsdaten kommt eine Besonderheit dazu: Die DSGVO erlaubt ihre Verarbeitung zu Behandlungszwecken nur durch Personen, die einem Berufsgeheimnis oder einer sonstigen Geheimhaltungspflicht unterliegen, oder unter deren Verantwortung. Sie verweist damit selbst auf das Berufsgeheimnis.

Verschwiegenheitspflicht nach PThG 2024, PlG 2013, MuthG und MTDG

Die Verschwiegenheitspflicht erfasst alle Geheimnisse, die in Ausübung des Berufs anvertraut oder bekannt geworden sind. Sie ist in allen vier Berufsgesetzen verankert. Weitergegeben werden dürfen solche Geheimnisse grundsätzlich nur, wenn der Patient von der Verschwiegenheit entbindet oder eine gesetzliche Ausnahme greift. Eine Rechtsgrundlage nach der DSGVO allein genügt dafür nicht.

Für Psychotherapeuten, Klinische Psychologen, Gesundheitspsychologen und Musiktherapeuten gilt die Verschwiegenheitspflicht ausdrücklich auch für ihre Hilfspersonen. Das MTD-Gesetz verpflichtet dagegen nur die Berufsangehörigen selbst. Ob ein IT-Dienstleister, der für Wartung oder Support auf Patientendaten zugreifen kann, als Hilfsperson gilt, regelt keines der Gesetze ausdrücklich. Das Psychotherapiegesetz fasst den Begriff der Hilfsperson zwar weit und nennt auch weitere im beruflichen Umfeld tätige Personen, IT-Dienstleister kommen aber auch dort nicht ausdrücklich vor.

Wer auf Nummer sicher gehen will, behandelt den IT-Dienstleister wie eine Hilfsperson. Alle vier Berufsgesetze lassen Hilfspersonen nur zu, wenn sie nach Anordnung und unter Aufsicht handeln. Beim IT-Dienstleister entspricht dem die Weisungsbindung im Auftragsverarbeitungsvertrag. Dazu kommen die ausdrückliche vertragliche Überbindung der berufsrechtlichen Verschwiegenheitspflicht auf den Anbieter, seine Mitarbeiter und Subunternehmer sowie die Vorgabe, dass der Anbieter nur auf Patientendaten zugreift, wenn es technisch notwendig ist. Psychotherapeuten müssen Hilfspersonen außerdem über die Verschwiegenheit belehren und das schriftlich dokumentieren - dies empfiehlt sich jedoch auch für alle anderen Angehörigen von Gesundheitsberufen. Wer den IT-Dienstleister als Hilfsperson behandelt, sollte daher auch dessen eingesetzte Mitarbeiter nachweislich belehren und verpflichten lassen. Für die MTD-Berufe ist die vertragliche Überbindung besonders wichtig, weil das MTD-Gesetz Hilfspersonen nicht in die Verschwiegenheitspflicht einbezieht.

Das Datengeheimnis nach dem Datenschutzgesetz

Neben der berufsrechtlichen Verschwiegenheit gilt das Datengeheimnis. Es verpflichtet den Verantwortlichen, den Auftragsverarbeiter und deren Mitarbeiter, personenbezogene Daten geheim zu halten, die ihnen ausschließlich aufgrund ihrer beruflichen Beschäftigung anvertraut oder zugänglich geworden sind. Mitarbeiter sind über die Folgen einer Verletzung zu belehren und, soweit sie nicht schon kraft Gesetzes verpflichtet sind, vertraglich auf das Datengeheimnis zu verpflichten. Das gilt für die eigenen Mitarbeiter in der Praxis ebenso wie für die Mitarbeiter des IT-Dienstleisters. Letzteres gehört in den Auftragsverarbeitungsvertrag.

Für Berufsgeheimnisträger enthält das Datenschutzgesetz außerdem eine wichtige Schutzbestimmung: Ein gesetzliches Aussageverweigerungsrecht darf nicht über den Auftragsverarbeiter umgangen werden, insbesondere nicht durch Sicherstellung oder Beschlagnahme der dort gespeicherten Dokumente.

Zoom, Teams und Co: Videokonferenz-Software für die Online-Therapie

Psychotherapie, klinisch-psychologische und gesundheitspsychologische Leistungen sowie Musiktherapie dürfen online nur bei fachlich oder örtlich begründeter Notwendigkeit und im Einvernehmen mit dem Patienten erbracht werden. Außerdem muss die Einhaltung aller Berufspflichten, der Verschwiegenheit und der bestmöglichen Barrierefreiheit im digitalen Raum gewährleistet sein. Die Begründung der Notwendigkeit ist zu dokumentieren. Besonderheiten gelten für den Kostenzuschuss sowie Kassenleistungen.

Angehörige der MTD-Berufe dürfen im Wege der Telemedizin beraten und behandeln, wenn das fachlich vertretbar und die Berufsausübung lege artis gewährleistet ist. Über die Besonderheiten der Behandlung über Kommunikationsmedien ist aufzuklären.

Dass die Verschwiegenheit gewährleistet sein muss, macht die Wahl des Tools zur Rechtsfrage. Ob Zoom, Microsoft Teams, Webex oder ein auf Online-Therapie spezialisierter Anbieter: Entscheidend sind ein Auftragsverarbeitungsvertrag, eine durchgehend verschlüsselte Verbindung (idealerweise Ende-zu-Ende), möglichst ein Anbieter mit Sitz und Servern in der EU und die vertragliche Zusage, dass Inhalte und Metadaten nicht für eigene Zwecke wie Werbung oder das Training von KI-Modellen verwendet werden. Ein Gratis- oder Privatkonto kommt nur in Frage, wenn all das auch für diese Version gilt. Technisch sollten ein Warteraum und individuelle Zugangslinks pro Termin zur Verfügung stehen, damit niemand unbemerkt in eine laufende Einheit gerät.

Aufzeichnungen, automatische Transkriptionen und KI-Zusammenfassungen sollten standardmäßig deaktiviert sein. Für Psychotherapeuten gibt es dazu eine ausdrückliche Regel: Ton- und Bildaufnahmen bedürfen der vorherigen schriftlichen Einwilligung des Patienten und sind auf dessen Verlangen umgehend unwiederbringlich und nachweislich zu vernichten. Ein Tool, das Einheiten ungefragt in der Cloud mitschneidet, scheidet damit aus.

Psychotherapeuten, Klinische Psychologen und Gesundheitspsychologen müssen ihre Patienten zwingend vor der Leistungserbringung über die Verarbeitung der Daten aufklären, insbesondere über deren Übermittlung an Dritte. Wer per Video arbeitet, eine Praxisverwaltungssoftware besitzt oder in der Cloud dokumentiert, sollte das ansprechen. Für die übrigen Berufe empfiehlt sich dieselbe Offenheit. Über die Datenverarbeitungen muss ohnehin eine Aufklärung in Form einer Datenschutzerklärung vorliegen.

Praxisverwaltungssoftware: Dokumentation, Aufbewahrung und Löschung

Die Dokumentation darf elektronisch geführt werden, das Psychotherapiegesetz und das PlG 2013 sagen das sogar ausdrücklich. Psychotherapeuten haben sie zehn Jahre ab Beendigung der psychotherapeutischen Leistungen aufzubewahren und danach umgehend unwiederbringlich und nachweislich zu vernichten. Klinische Psychologen, Gesundheitspsychologen und Musiktherapeuten müssen die Dokumentation mindestens zehn Jahre aufbewahren. Angehörige der MTD-Berufe haben sie bei freiberuflicher Tätigkeit zehn Jahre aufzubewahren und danach unwiederbringlich zu vernichten. Wo nur eine Mindestfrist vorgesehen ist, ergibt sich die Pflicht zur Löschung aus den Grundsätzen der DSGVO, sobald die Daten nicht mehr benötigt werden. Die Aufbewahrungspflicht besteht auch nach dem Ende der Berufstätigkeit fort.

Für die Auswahl der Software folgt daraus zweierlei:

• Erstens muss die Dokumentation über den gesamten Aufbewahrungszeitraum verfügbar bleiben, auch wenn Sie den Anbieter wechseln oder die Praxis schließen. Vertraglich festzulegen ist daher, dass Sie die vollständige Dokumentation jederzeit und bei Vertragsende in einem gängigen, lesbaren Format wie PDF oder CSV exportieren können. Ohne ausdrückliche Regelung lässt sich ein bestimmtes Format kaum durchsetzen. Der Super-Gau ist ein Anbieter, der nach der Kündigung nur einen unbrauchbaren Datenbankexport liefert oder den Zugang sperrt.

Zweitens muss sich die Dokumentation tatsächlich löschen lassen. Vertraglich zu regeln ist, dass der Anbieter Daten auf Ihre Weisung samt Sicherungskopien innerhalb einer konkreten Frist löscht und Ihnen die Löschung schriftlich bestätigt. Die DSGVO schreibt für den Auftragsverarbeitungsvertrag zwar vor, dass der Anbieter die Daten nach Ende der Leistung nach Ihrer Wahl löscht oder zurückgibt. Frist, Sicherungskopien und Löschbestätigung sollten aber ausdrücklich geregelt sein. Nur so lässt sich die nachweisliche Vernichtung, die das Psychotherapiegesetz verlangt, auch belegen.

Ebenso wichtig ist ein abgestuftes Berechtigungskonzept. Ein Beispiel dafür: Wer am Empfang Termine vergibt oder Honorarnoten schreibt, braucht keinen Zugriff auf Verlaufsdokumentation und Befunde. Die Software sollte das technisch abbilden und Zugriffe protokollieren. Zwei-Faktor-Authentifizierung und verschlüsselte Datensicherungen gehören bei Gesundheitsdaten zu den Sicherheitsmaßnahmen, die man erwarten darf.

KI-Funktionen in Praxis- und Videosoftware

Bietet die Software KI-Funktionen an, etwa das Zusammenfassen von Notizen oder das Transkribieren von Einheiten, ist vertraglich auszuschließen, dass Eingaben und Ergebnisse zum Training oder zur Verbesserung von KI-Modellen verwendet werden. Außerdem sollte offengelegt sein, welche KI-Modelle und Drittanbieter zum Einsatz kommen und wo die Verarbeitung stattfindet. Ein Anbieter, der Patientendaten für eigene Zwecke nutzt, wird insoweit selbst zum Verantwortlichen. Die Weitergabe an ihn wäre ohne Entbindung durch den Patienten eine Verletzung der Verschwiegenheitspflicht.

Trugschluss europäischer Speicherstandort: Das Problem mit der US-Muttergesellschaft

Ein Rechenzentrum in Frankfurt, Wien oder Dublin klingt nach der sicheren Lösung. Gehört der Anbieter zu einem US-Konzern, ist das ein Trugschluss. Nach US-Recht können Behörden US-Unternehmen unter bestimmten Voraussetzungen verpflichten, Daten herauszugeben, auch wenn diese außerhalb der USA gespeichert sind (Stichwort: CLOUD Act). Das kann auch Daten betreffen, die eine europäische Tochtergesellschaft verwaltet, wenn der Konzern darauf zugreifen kann. Dazu kommen die Überwachungsbefugnisse der US-Nachrichtendienste. Es kommt also nicht nur darauf an, wo die Server stehen, sondern auch darauf, wem der Anbieter gehört.

Datenschutzrechtlich braucht jede Übermittlung in ein Drittland eine Grundlage nach der DSGVO, etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln. Das gilt auch, wenn der Support aus einem Drittland auf die Daten zugreift. Bei US-Anbietern ist zu prüfen, ob der konkrete Anbieter unter dem EU-US Data Privacy Framework zertifiziert ist und ob die Zertifizierung die betroffenen Daten abdeckt.

Für Berufsgeheimnisträger ist das Problem damit aber nicht gelöst. Eine solche Zertifizierung regelt nur, ob die Übermittlung datenschutzrechtlich zulässig ist. An den Herausgabepflichten nach US-Recht ändert sie nichts. Eine Herausgabe an US-Behörden würde ohne Entbindung durch den Patienten erfolgen. Auch die Schutzbestimmung des Datenschutzgesetzes gegen die Umgehung des Aussageverweigerungsrechts hilft dabei nicht, weil sie nur österreichische Behörden bindet.

Fragen Sie bei der Auswahl daher nicht nur nach dem Serverstandort, sondern auch nach dem Sitz der Muttergesellschaft. Gehört der Anbieter zu einem US-Konzern, sollten die Daten so verschlüsselt sein, dass der Anbieter selbst sie nicht lesen kann, etwa durch Ende-zu-Ende-Verschlüsselung oder Schlüssel, die ausschließlich bei der Praxis liegen. Für die Verlaufsdokumentation und für Behandlungs- bzw Therapieeinheiten per Video ist ein europäischer Anbieter ohne Konzernverbindung in die USA die sicherere Wahl.

Checkliste für den Vertrag mit dem IT-Dienstleister

1. Es gibt einen Auftragsverarbeitungsvertrag mit sämtlichen gesetzlichen Mindestinhalten. Elektronische Form genügt.
2. Die berufsrechtliche Verschwiegenheitspflicht und das Datengeheimnis sind ausdrücklich auf den Anbieter, seine Mitarbeiter und alle Subunternehmer überbunden.
3. Mitarbeiter des Anbieters greifen nur auf Patientendaten zu, wenn das technisch notwendig ist. Jeder Zugriff wird protokolliert.
4. Alle Sub-Auftragsverarbeiter sind in einer Liste offengelegt. Über neue werden Sie vorab informiert und können Einspruch erheben.
5. Die Daten werden im EWR verarbeitet, Serverstandort und Sitz der Muttergesellschaft sind offengelegt. Übermittlungen in Drittländer und Fernzugriffe von dort gibt es nur mit einer Grundlage nach der DSGVO.
6. Der Anbieter nutzt die Daten nicht für eigene Zwecke, insbesondere nicht für Werbung oder zum Training von KI-Modellen.
7. Datenschutzverletzungen meldet der Anbieter binnen einer konkreten Frist, etwa 36 oder 48 Stunden. So bleibt Zeit für Ihre eigene Meldung an die Datenschutzbehörde, die unverzüglich und möglichst binnen 72 Stunden ab Bekanntwerden zu erfolgen hat.
8. Sie können die vollständige Dokumentation während des gesamten Aufbewahrungszeitraums und bei Vertragsende in einem gängigen Format exportieren.
9. Der Anbieter löscht Daten auf Ihre Weisung samt Sicherungskopien innerhalb einer konkreten Frist und bestätigt die Löschung schriftlich.
10. Sie haben Kontrollrechte und erhalten Nachweise über die technischen und organisatorischen Maßnahmen, etwa eine Zertifizierung nach ISO/IEC 27001.

Wir beraten Angehörige der Gesundheitsberufe bei der Auswahl von IT-Dienstleistern, prüfen Auftragsverarbeitungsverträge und Softwareverträge und begleiten die Umsetzung in der Praxis. Wenn Sie vor der Entscheidung für eine neue Software stehen oder einen bestehenden Vertrag prüfen lassen möchten, melden Sie sich gerne.

Die Bestimmungen im Überblick

• Psychotherapie: Verschwiegenheit § 45 PThG 2024, Hilfspersonen § 40 Abs 2 PThG 2024, Aufklärung § 42 PThG 2024, Online-Psychotherapie § 39 PThG 2024, Dokumentation, Aufbewahrung sowie Ton- und Bildaufnahmen § 44 PThG 2024
• Klinische Psychologie und Gesundheitspsychologie: Verschwiegenheit § 37 PlG 2013, Hilfspersonen § 32 Abs 2 PlG 2013, Aufklärung § 34 PlG 2013, Online-Berufsausübung § 32a PlG 2013, Dokumentation und Aufbewahrung § 35 PlG 2013
• Musiktherapie: Verschwiegenheit § 32 MuthG, Hilfspersonen § 27 Abs 2 MuthG, Online-Musiktherapie § 27a MuthG, Dokumentation und Aufbewahrung § 30 MuthG
• MTD-Berufe (Physiotherapie, Ergotherapie, Logopädie, Diätologie, Orthoptik, Biomedizinische Analytik und Radiologietechnologie): Verschwiegenheit § 36 MTDG, Hilfspersonen § 28 Abs 2 MTDG, Telemedizin § 28 Abs 3 MTDG, Dokumentation und Aufbewahrung § 34 MTDG
• Für alle: Gesundheitsdaten Art 9 DSGVO, Löschung Art 17 DSGVO, Auftragsverarbeitungsvertrag Art 28 DSGVO, Datensicherheit Art 32 DSGVO, Meldung von Datenschutzverletzungen Art 33 DSGVO, Drittlandübermittlung Art 44 ff DSGVO, Datengeheimnis § 6 DSG

Verfasser: Mag. Ivan Kobaš

‍