🇨🇭 Dieser Beitrag betrifft die Schweiz. In Deutschland und Österreich gelten andere Gesetze (BSIG/DSGVO bzw. NISG 2024).

Metadaten (intern, nicht publizieren) - Primäres Keyword: Datenschutz Gesundheitswesen Schweiz - Zieldatum: 20.07.2026 - Status: DRAFT – manueller Review erforderlich (CH-Rechtsangaben) - Interne Links: /praxis/ratgeber/, /praxis/micro/starten/

Einleitung

Seit September 2023 gilt in der Schweiz das revidierte Datenschutzgesetz (nDSG) — und es [[PRÜFEN: Geltungsbereich — betrifft auch Arztpraxen, Apotheken, Spitex-Organisationen und Pflegeheime direkt]]. Wer Patientendaten bearbeitet, trägt heute mehr Verantwortung als früher. Dieser Artikel zeigt Ihnen, was konkret gilt, wen es [[PRÜFEN: Geltungsbereich — betrifft — und was Sie jetzt tun sollten]]. [[PRÜFEN: Quellenangabe fehlt — Link auf Fedlex/EDÖB/BACS ergänzen]]

Hinweis: Dieser Artikel ersetzt keine Rechtsberatung. Für Fragen zu Ihrer konkreten Situation wenden Sie sich an einen Anwalt mit Erfahrung im Schweizer Datenschutzrecht.

Betrifft mich das?

Das nDSG gilt [[PRÜFEN: Adressatenkreis gemäss Art. 2 nDSG, Quelle: fedlex.admin.ch/eli/cc/2022/491]] für alle privaten Personen und Unternehmen in der Schweiz, die Personendaten bearbeiten — unabhängig von der Grösse des Betriebs. Das schliesst ein:

  • Arztpraxen und Gruppenpraxen (jede Grösse)
  • Apotheken
  • Spitex-Organisationen (ambulante Pflege)
  • Pflegeheime und Langzeitpflegeeinrichtungen

Patientendaten, Diagnosen, Medikationspläne oder Pflegeberichte sind besonders schützenswerte Personendaten im Sinne des nDSG [[PRÜFEN: Art. 5 lit. c nDSG, Quelle: fedlex.admin.ch/eli/cc/2022/491]]. Für diese Kategorie gelten strengere Anforderungen.

Was gilt NICHT für Arztpraxen?

Wichtige Abgrenzung: Die [[PRÜFEN: Geltungsbereich — Meldepflicht für Cyberangriffe nach dem Informationssicherheitsgesetz (ISG) gilt seit April 2025]]für Betreiber kritischer Infrastrukturen. Arztpraxen und ambulante Einzelpraxen fallen nicht unter diesen Kreis [[PRÜFEN: Adressatenkreis ISG/Meldepflicht, Quelle: bacs.admin.ch und ISG, Geltungsbereich gemäss Spitallisten der Kantone prüfen]]. Für sie gelten die Pflichten des nDSG — nicht das ISG.

Falls Sie unsicher sind, ob Ihre Organisation als kritische Infrastruktur eingestuft wird: [[PRÜFEN: Kriterien kritische Infrastruktur Gesundheitswesen CH, Quelle unklar — Rückfrage beim BACS oder kantonaler Behörde empfohlen.]] [[PRÜFEN: Quellenangabe fehlt — Link auf Fedlex/EDÖB/BACS ergänzen]]

Was ist zu tun?

Das nDSG verlangt von Ihrer Praxis oder Organisation konkrete organisatorische und technische Massnahmen. Hier sind die wichtigsten:

1. Verzeichnis der Bearbeitungstätigkeiten führen

Sie müssen festhalten, welche Personendaten Sie bearbeiten, zu welchem Zweck und wie lange Sie diese aufbewahren. Das nennt sich Bearbeitungsverzeichnis [[PRÜFEN: Pflicht nach Art. 12 nDSG, Ausnahmen für kleine Unternehmen nach Art. 12 Abs. 5 nDSG, Quelle: fedlex.admin.ch/eli/cc/2022/491]].

Hinweis zu Ausnahmen: Kleine Unternehmen können unter bestimmten Bedingungen von dieser Pflicht ausgenommen sein [[PRÜFEN: Schwellenwerte für Ausnahme Art. 12 Abs. 5 nDSG und DSV, Quelle: fedlex.admin.ch/eli/cc/2022/491]]. Da Arztpraxen aber regelmässig besonders schützenswerte Daten bearbeiten, greift die Ausnahme voraussichtlich nicht — prüfen Sie dies mit rechtlicher Unterstützung.

2. Datenschutz-Folgenabschätzung (DSFA) prüfen

Wenn Sie Daten in grossem Umfang bearbeiten oder neue Technologien einsetzen (z. B. KI-gestützte Diagnosesoftware, ein neues Praxisverwaltungssystem), kann eine DSFA erforderlich sein [[PRÜFEN: Art. 22 nDSG, Quelle: fedlex.admin.ch/eli/cc/2022/491]].

3. Datenpannen melden

Wenn Personendaten unbeabsichtigt verloren gehen, gestohlen oder unbefugt eingesehen werden, müssen Sie dies dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) melden — sofern die betroffenen Personen dadurch ein hohes Risiko tragen [[PRÜFEN: Meldepflicht und Schwellenwert «hohes Risiko» nach Art. 24 nDSG, Quelle: fedlex.admin.ch/eli/cc/2022/491]].

Die Meldung soll unverzüglich erfolgen [[PRÜFEN: Keine konkrete Stundenzahl im nDSG genannt — neutral formuliert; Quelle: edoeb.admin.ch]].

4. Informationspflichten gegenüber Patientinnen und Patienten

Sie müssen betroffene Personen aktiv informieren, wenn Sie ihre Daten beschaffen. Bei Patientendaten bedeutet das: klare Angaben darüber, wer die Daten bearbeitet, wozu und wie lange [[PRÜFEN: Art. 19 ff. nDSG, Quelle: fedlex.admin.ch/eli/cc/2022/491]]. Ein einfaches Merkblatt im Wartezimmer oder bei der Anmeldung ist eine gängige Lösung.

5. Drittanbieter (Auftragsbearbeitung) vertraglich absichern

Nutzen Sie externe Software-Anbieter, ein Labor, einen Cloud-Dienst oder ein Abrechnungszentrum? Dann bearbeiten diese in Ihrem Auftrag Personendaten. Das nDSG verlangt, dass Sie diese Beziehungen vertraglich regeln [[PRÜFEN: Art. 9 nDSG, Anforderungen an Auftragsbearbeitung, Quelle: fedlex.admin.ch/eli/cc/2022/491]].

Checkliste: Datenschutz Gesundheitswesen Schweiz — das Wichtigste

  • [ ] Bearbeitungsverzeichnis erstellt und aktuell gehalten
  • [ ] Informationsblatt für Patienten vorhanden (wer bearbeitet welche Daten, wozu, wie lange)
  • [ ] Datenpannen-Prozess definiert: Wer meldet wann was an den EDÖB?
  • [ ] Auftragsbearbeitungsverträge mit allen externen Anbietern abgeschlossen (Labor, IT, Abrechnungsstelle)
  • [ ] Datenschutz-Folgenabschätzung geprüft: Ist bei neuen Systemen oder grossem Datenumfang eine DSFA notwendig?
  • [ ] Technische Massnahmen vorhanden: Zugriff auf Patientendaten nur für berechtigte Personen, starke Passwörter, regelmässige Backups
  • [ ] Mitarbeitende informiert: Jede Person, die Patientendaten bearbeitet, kennt die Grundregeln
  • [ ] Rechtliche Beratung eingeholt, wenn Sie unsicher sind (Anwalt oder Datenschutzberater)

Tool-Tipp: ISMShield Micro für Ihre Praxis

Den Überblick über alle Datenschutzpflichten zu behalten ist aufwendig — gerade wenn Sie gleichzeitig Sprechstunden führen, Personal koordinieren und Abrechnungen erledigen.

ISMShield Micro ist speziell für kleine und mittlere Gesundheitsbetriebe entwickelt worden. Es hilft Ihnen:

  • ein Bearbeitungsverzeichnis Schritt für Schritt aufzubauen
  • offene Datenschutz-Massnahmen zu erkennen und zu priorisieren
  • bei einer Datenpanne sofort zu wissen, was zu tun ist
  • Ihre Auftragsbearbeitungsverträge im Blick zu behalten

Kein IT-Wissen erforderlich. Kein juristisches Vorwissen nötig.

👉 Jetzt kostenlos starten: ISMShield Micro

Weitere Orientierung zum Thema Datenschutz im Praxisalltag finden Sie auch in unserem Ratgeber für Arztpraxen und Gesundheitsbetriebe.

[[REVIEW-HINWEIS FÜR REDAKTION]]

Folgende Punkte sind vor Publikation manuell zu prüfen:

# Markierung Was zu prüfen ist
1 [[PRÜFEN: Art. 2 nDSG Adressatenkreis]] Vollständige Liste der Betroffenen inkl. Ausnahmen bestätigen
2 [[PRÜFEN: Art. 5 lit. c nDSG]] Definition besonders schützenswerter Daten inkl. Gesundheitsdaten
3 [[PRÜFEN: Art. 12 Abs. 5 nDSG Ausnahme Bearbeitungsverzeichnis]] Schwellenwerte und Ausnahmen für kleine Betriebe
4 [[PRÜFEN: ISG Meldepflicht / Adressatenkreis]] Bestätigen, dass Arztpraxen explizit NICHT betroffen
5 [[PRÜFEN: Art. 22 nDSG DSFA]] Schwellenwert für Pflicht zur Datenschutz-Folgenabschätzung
6 [[PRÜFEN: Art. 24 nDSG Meldepflicht Datenpanne]] Schwelle «hohes Risiko», Meldefrist (keine Stundenzahl im Gesetz?)
7 [[PRÜFEN: Art. 9 nDSG Auftragsbearbeitung]] Anforderungen an Verträge mit Drittanbietern
8 [[PRÜFEN: Kritische Infrastruktur Gesundheitswesen]] Welche Einrichtungen fallen konkret darunter? BACS oder KRITIS-Liste konsultieren

Diesen Schritt in 10 Minuten erledigen

Jetzt kostenlos starten →
Weitere Ratgeber-Artikel