Datenschutz in der Arztpraxis und Therapie: was das revDSG verlangt
Von Advisorn · aktualisiert am 26. Oktober 2026
Kurz gesagt
Eine Arzt- oder Therapiepraxis bearbeitet fast nur Daten über die Gesundheit, die das DSG als besonders schützenswerte Personendaten einstuft (Art. 5 lit. c DSG). Zu den Pflichten jedes Unternehmens kommen deshalb stärkere Sicherheitsmassnahmen, das Berufsgeheimnis (Art. 321 StGB) und strengere Regeln für die Bekanntgabe an Dritte. Patientinnen und Patienten haben ein Recht auf Auskunft über ihre Krankengeschichte.
Die typischen Daten
- Anamnese, Diagnosen, Befunde, Bilder und Behandlungsnotizen;
- Identitäts- und Kontaktdaten sowie AHV-Nummer der Patientinnen und Patienten;
- Angaben zur Krankenversicherung und Rechnungen mit den Leistungen;
- Korrespondenz mit anderen Ärzten, Labors und Spitälern;
- Daten des Praxispersonals.
Besonders schützenswerte Personendaten
Alle Daten über die Gesundheit sind besonders schützenswert: Wer sie ohne Rechtfertigungsgrund Dritten bekanntgibt, verletzt die Persönlichkeit (Art. 30 Abs. 2 lit. c DSG), die Sicherheitsmassnahmen müssen diesem Risiko angemessen sein (Art. 8 DSG), und eine Praxis, die sie in grossem Umfang bearbeitet, verliert die Ausnahme vom Verzeichnis (Art. 24 DSV) und muss in der Regel eine Datenschutz-Folgenabschätzung durchführen (Art. 22 DSG).
Berufsgeheimnis
Ärzte, Zahnärzte, Apotheker, Psychologen, Pflegefachpersonen, Physiotherapeuten, Ergotherapeuten, Hebammen und weitere Gesundheitsberufe unterstehen dem Berufsgeheimnis (Art. 321 StGB). Es gilt auch gegenüber den eigenen Anbietern: Wer die Software oder das Archiv betreibt, muss vertraglich zur Verschwiegenheit verpflichtet sein und darf nur so weit auf die Daten zugreifen, wie es nötig ist.
Software, Cloud und Kommunikation
- der Anbieter der Praxissoftware ist ein Auftragsbearbeiter: Es braucht einen Vertrag nach Art. 9 DSG;
- prüfen Sie, wo die Daten gespeichert sind und wer für den Support darauf zugreift;
- für E-Mails mit Patienten und Kollegen verwenden Sie verschlüsselte Kanäle, nicht die gewöhnliche Post für Befunde und Diagnosen;
- Nachrichten über private Chat-Apps eignen sich nicht für Patientendaten.
Wie lange die Krankengeschichte aufbewahren
Die kantonalen Gesundheitsgesetze legen fest, wie lange die Krankengeschichte aufzubewahren ist, und die Frist ist von Kanton zu Kanton verschieden. Forderungen aus Körperverletzung verjähren jedoch in zwanzig Jahren (Art. 60 Abs. 1bis OR), und viele Praxen bewahren die Krankengeschichte so lange auf. Danach sind die Daten zu vernichten oder zu anonymisieren (Art. 6 Abs. 4 DSG).
Verwandte Fragen
- Was sind besonders schützenswerte Personendaten?
- Welche Massnahmen zur Datensicherheit verlangt das neue DSG?
- Darf man Microsoft 365 oder Google Workspace mit dem neuen DSG nutzen?
- Wie beantwortet man ein Auskunftsbegehren, und innert welcher Frist?
- Verletzung der Datensicherheit: Wann und wie muss man sie dem EDÖB melden?
- Wie lange dürfen Personendaten aufbewahrt werden?
Nützliche Vorlagen
- Vorlage Datenschutzerklärung für Kunden und Vertragspartner
- Vorlage technische und organisatorische Sicherheitsmassnahmen (TOM)
- Vorlage Auftragsbearbeitungsvertrag (Art. 9 DSG, Art. 28 DSGVO)
- Vorlage Vertraulichkeitsverpflichtung und Weisungen für Mitarbeitende
- Vorlage Verfahren bei einer Verletzung der Datensicherheit (Data Breach)
- Vorlage Datenschutz-Folgenabschätzung (DSFA)
Die anderen Branchen
Allgemeine Informationen, keine Beratung zu Ihrem Fall: Für Ihren Fall zählt der Gesetzestext, und in einer Branche mit eigenen Regeln auch diese.