🇨🇭 Dieser Beitrag betrifft die Schweiz. In Deutschland und Österreich gelten andere Gesetze (BSIG/DSGVO bzw. NISG 2024).

Datenschutz im Gesundheitswesen Schweiz: Was gilt heute?

Metadaten (intern, nicht publizieren) - Primäres Keyword: Datenschutz Gesundheitswesen Schweiz - Zieldatum: 20.07.2026 - Status: DRAFT – manueller Review erforderlich (CH-Rechtsangaben) - Interne Links: /praxis/ratgeber/, /praxis/micro/starten/

Einleitung

Seit September 2023 gilt in der Schweiz das revidierte Datenschutzgesetz (nDSG) — und es betrifft auch Arztpraxen, Apotheken, Spitex-Organisationen und Pflegeheime direkt. Wer Patientendaten bearbeitet, trägt heute mehr Verantwortung als früher. Dieser Artikel zeigt Ihnen, was konkret gilt, wen es betrifft — und was Sie jetzt tun sollten.

Hinweis: Dieser Artikel ersetzt keine Rechtsberatung. Für Fragen zu Ihrer konkreten Situation wenden Sie sich an einen Anwalt mit Erfahrung im Schweizer Datenschutzrecht.

Betrifft mich das?

Wer fällt unter das nDSG?

Das nDSG gilt für alle privaten Personen und Unternehmen in der Schweiz, die Personendaten bearbeiten — unabhängig von der Grösse des Betriebs. Das schliesst ein:

  • Arztpraxen und Gruppenpraxen (jede Grösse)
  • Apotheken
  • Spitex-Organisationen (ambulante Pflege)
  • Pflegeheime und Langzeitpflegeeinrichtungen

Patientendaten, Diagnosen, Medikationspläne oder Pflegeberichte sind besonders schützenswerte Personendaten im Sinne des nDSG. Für diese Kategorie gelten strengere Anforderungen.

Was gilt NICHT für Arztpraxen?

Wichtige Abgrenzung: Die Meldepflicht für Cyberangriffe nach dem Informationssicherheitsgesetz (ISG) gilt seit April 2025für Betreiber kritischer Infrastrukturen. Arztpraxen und ambulante Einzelpraxen fallen nicht unter diesen Kreis. Für sie gelten die Pflichten des nDSG — nicht das ISG.

Falls Sie unsicher sind, ob Ihre Organisation als kritische Infrastruktur eingestuft wird:

Was ist zu tun?

Das nDSG verlangt von Ihrer Praxis oder Organisation konkrete organisatorische und technische Massnahmen. Hier sind die wichtigsten:

1. Verzeichnis der Bearbeitungstätigkeiten führen

Sie müssen festhalten, welche Personendaten Sie bearbeiten, zu welchem Zweck und wie lange Sie diese aufbewahren. Das nennt sich Bearbeitungsverzeichnis.

Hinweis zu Ausnahmen: Kleine Unternehmen können unter bestimmten Bedingungen von dieser Pflicht ausgenommen sein. Da Arztpraxen aber regelmässig besonders schützenswerte Daten bearbeiten, greift die Ausnahme voraussichtlich nicht — prüfen Sie dies mit rechtlicher Unterstützung.

2. Datenschutz-Folgenabschätzung (DSFA) prüfen

Wenn Sie Daten in grossem Umfang bearbeiten oder neue Technologien einsetzen (z. B. KI-gestützte Diagnosesoftware, ein neues Praxisverwaltungssystem), kann eine DSFA erforderlich sein.

3. Datenpannen melden

Wenn Personendaten unbeabsichtigt verloren gehen, gestohlen oder unbefugt eingesehen werden, müssen Sie dies dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) melden — sofern die betroffenen Personen dadurch ein hohes Risiko tragen.

Die Meldung soll unverzüglich erfolgen.

4. Informationspflichten gegenüber Patientinnen und Patienten

Sie müssen betroffene Personen aktiv informieren, wenn Sie ihre Daten beschaffen. Bei Patientendaten bedeutet das: klare Angaben darüber, wer die Daten bearbeitet, wozu und wie lange. Ein einfaches Merkblatt im Wartezimmer oder bei der Anmeldung ist eine gängige Lösung.

5. Drittanbieter (Auftragsbearbeitung) vertraglich absichern

Nutzen Sie externe Software-Anbieter, ein Labor, einen Cloud-Dienst oder ein Abrechnungszentrum? Dann bearbeiten diese in Ihrem Auftrag Personendaten. Das nDSG verlangt, dass Sie diese Beziehungen vertraglich regeln.

Was droht bei Verstössen?

Das nDSG sieht Bussen gegen natürliche Personen vor – also gegen verantwortliche Mitarbeitende oder Inhaberinnen und Inhaber, nicht pauschal gegen das Unternehmen.

Sanktioniert werden unter anderem: fehlende Information bei der Datenbeschaffung, Verletzung der Sorgfaltspflichten bei der Auftragsbearbeitung sowie Verstösse gegen die Mindestanforderungen an die Datensicherheit.

Die Höhe der Busse hängt vom Einzelfall ab. Entscheidend ist: Die Verantwortung liegt bei den handelnden Personen — nicht allein bei der Organisation. Das macht Datenschutz zur Führungsaufgabe.

Checkliste: Datenschutz Gesundheitswesen Schweiz — das Wichtigste

  • [ ] Bearbeitungsverzeichnis erstellt und aktuell gehalten
  • [ ] Informationsblatt für Patienten vorhanden (wer bearbeitet welche Daten, wozu, wie lange)
  • [ ] Datenpannen-Prozess definiert: Wer meldet wann was an den EDÖB?
  • [ ] Auftragsbearbeitungsverträge mit allen externen Anbietern abgeschlossen (Labor, IT, Abrechnungsstelle)
  • [ ] Datenschutz-Folgenabschätzung geprüft: Ist bei neuen Systemen oder grossem Datenumfang eine DSFA notwendig?
  • [ ] Technische Massnahmen vorhanden: Zugriff auf Patientendaten nur für berechtigte Personen, starke Passwörter, regelmässige Backups
  • [ ] Mitarbeitende informiert: Jede Person, die Patientendaten bearbeitet, kennt die Grundregeln
  • [ ] Rechtliche Beratung eingeholt, wenn Sie unsicher sind (Anwalt oder Datenschutzberater)

Tool-Tipp: ISMShield Micro für Ihre Praxis

Den Überblick über alle Datenschutzpflichten zu behalten ist aufwendig — gerade wenn Sie gleichzeitig Sprechstunden führen, Personal koordinieren und Abrechnungen erledigen.

ISMShield Micro ist speziell für kleine und mittlere Gesundheitsbetriebe entwickelt worden. Es hilft Ihnen:

  • ein Bearbeitungsverzeichnis Schritt für Schritt aufzubauen
  • offene Datenschutz-Massnahmen zu erkennen und zu priorisieren
  • bei einer Datenpanne sofort zu wissen, was zu tun ist
  • Ihre Auftragsbearbeitungsverträge im Blick zu behalten

Kein IT-Wissen erforderlich. Kein juristisches Vorwissen nötig.

👉 Jetzt kostenlos starten: ISMShield Micro

Weitere Orientierung zum Thema Datenschutz im Praxisalltag finden Sie auch in unserem Ratgeber für Arztpraxen und Gesundheitsbetriebe.

[[REVIEW-HINWEIS FÜR REDAKTION]]

Folgende Punkte sind vor Publikation manuell zu prüfen:

# Markierung Was zu prüfen ist
1 `` Vollständige Liste der Betroffenen inkl. Ausnahmen bestätigen
2 Art. 5 lit. c nDSG Definition besonders schützenswerter Daten inkl. Gesundheitsdaten
3 Art. 12 Abs. 5 nDSG Ausnahme Bearbeitungsverzeichnis Schwellenwerte und Ausnahmen für kleine Betriebe
4 `` Bestätigen, dass Arztpraxen explizit NICHT betroffen
5 Art. 22 nDSG DSFA Schwellenwert für Pflicht zur Datenschutz-Folgenabschätzung
6 Art. 24 nDSG Meldepflicht Datenpanne Schwelle «hohes Risiko», Meldefrist (keine Stundenzahl im Gesetz?)
7 Art. 9 nDSG Auftragsbearbeitung Anforderungen an Verträge mit Drittanbietern
8 Kritische Infrastruktur Gesundheitswesen Welche Einrichtungen fallen konkret darunter? BACS oder KRITIS-Liste konsultieren
9 Art. 60 ff. nDSG Sanktionstatbestände und Bussenhöhen Sanktionstatbestände und Bussenhöhen bestätigen; prüfen, ob konkrete Beträge aus dem Gesetzestext zitiert werden können

Diesen Schritt in 10 Minuten erledigen

Jetzt kostenlos starten →
Weitere Ratgeber-Artikel