Praxen bearbeiten täglich einige der sensibelsten Daten überhaupt. Entsprechend streng sind die Anforderungen. Sie ergeben sich in der Schweiz aus dem Datenschutzgesetz (DSG), das seit dem 1. September 2023 in revidierter Fassung gilt, aus der Datenschutzverordnung (DSV) und aus dem Berufsgeheimnis. Die wichtigsten Pflichten im Überblick.
Gesundheitsdaten sind „besonders schützenswert“
Daten über die Gesundheit gehören nach Art. 5 lit. c DSG zu den besonders schützenswerten Personendaten. Für die Behandlung selbst brauchen Sie keine separate Einwilligung, die Datenbearbeitung ist Teil des Behandlungsvertrags. Für andere Zwecke, etwa einen Newsletter, Fotos auf der Website oder die Weitergabe an Dritte ausserhalb der Behandlung, braucht es dagegen einen Rechtfertigungsgrund, in der Praxis meist eine ausdrückliche Einwilligung (Art. 6 Abs. 7 DSG).
Berufsgeheimnis und externe Dienstleister
Neben dem Datenschutz gilt das ärztliche Berufsgeheimnis (Art. 321 StGB). Es erfasst auch die Hilfspersonen der Praxis, also etwa MPA und unter Umständen externe Dienstleister für IT, Abrechnung oder Administration. Wer solche Dienstleister beizieht, sollte sie vertraglich ausdrücklich zur Verschwiegenheit verpflichten.
Datenschutzrechtlich ist das eine Auftragsbearbeitung nach Art. 9 DSG: Sie bleiben verantwortlich und müssen sicherstellen, dass der Dienstleister die Daten nur so bearbeitet, wie Sie es selbst dürften, und die Datensicherheit gewährleistet. Werden Daten ins Ausland übermittelt, etwa an einen Cloud-Anbieter, gelten zusätzlich die Regeln von Art. 16 ff. DSG.
Die wichtigsten Pflichten
- Informationspflicht (Art. 19 DSG): Patientinnen und Patienten sind über die Datenbearbeitung zu informieren, etwa mit einer Datenschutzerklärung am Empfang und auf der Website.
- Datensicherheit (Art. 8 DSG): Zugriffsrechte, Verschlüsselung, Backups, Bildschirmsperren, Diskretion am Empfang.
- Verzeichnis der Bearbeitungstätigkeiten (Art. 12 DSG): Unternehmen mit weniger als 250 Mitarbeitenden sind davon befreit, ausser sie bearbeiten umfangreich besonders schützenswerte Personendaten (Art. 24 DSV). Ob das auf Ihre Praxis zutrifft, ist eine Frage des Einzelfalls. Da ein Verzeichnis ohnehin die Grundlage für alle weiteren Pflichten ist, empfehlen wir es jeder Praxis.
- Verträge mit allen Dienstleistern, die Zugriff auf Patientendaten haben.
- Datenschutz-Folgenabschätzung (Art. 22 DSG): bei Vorhaben mit hohem Risiko, etwa der Einführung einer neuen Praxissoftware in der Cloud.
Braucht meine Praxis einen Datenschutzberater?
Nein. Private Unternehmen können nach Art. 10 DSG eine Datenschutzberaterin oder einen Datenschutzberater ernennen, eine Pflicht wie in der EU gibt es nicht. Für grössere Praxen und Gruppenpraxen ist eine klar zuständige Person trotzdem sinnvoll.
Wenn etwas schiefgeht
Führt eine Datensicherheitsverletzung (etwa ein falsch versendeter Befund oder ein gestohlener Laptop) voraussichtlich zu einem hohen Risiko für die Betroffenen, ist sie dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) so rasch als möglich zu melden (Art. 24 DSG). Die Betroffenen sind zu informieren, wenn es zu ihrem Schutz nötig ist oder der EDÖB es verlangt. Ein vorbereiteter Ablaufplan spart im Ernstfall wertvolle Zeit.
Was bei Verstössen droht
Anders als in der EU richten sich die Bussen nach dem DSG nicht gegen das Unternehmen, sondern gegen die verantwortlichen Personen, also in der Praxis oft gegen die Inhaberin oder den Inhaber. Vorsätzliche Verstösse, etwa gegen die Informationspflicht oder die Mindestanforderungen an die Datensicherheit, können mit bis zu CHF 250'000 gebüsst werden (Art. 60 ff. DSG).
Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Steuerberatung. Gesetzliche Regelungen können sich ändern. Massgeblich ist immer die aktuelle Rechtslage. Stand: Oktober 2026.