Einleitung: Wenn Patientendaten in falsche Hände geraten
Der Patientendaten-Leak beim saarländischen Abrechnungsdienstleister hat eine Debatte ausgelöst, die weit über den konkreten Vorfall hinausgeht. Rund 100.000 Datensätze von Patienten mehrerer Universitätskliniken wurden kompromittiert. Betroffen sind hochsensible Gesundheitsdaten, deren unbefugte Offenbarung nach deutschem Recht und europäischem Datenschutzrecht schwerwiegende Konsequenzen haben kann. Die Frage, wer für einen solchen Datenschutzvorfall haftet und welche Verantwortung Datenschutzbeauftragte, Geschäftsführungen sowie Aufsichtsräte tragen, steht im Mittelpunkt dieses Beitrags.
Gerade im Gesundheitswesen ist der Schutz personenbezogener Daten von überragender Bedeutung. Kassen- und Behandlungsdaten, Diagnosen oder Abrechnungsinformationen gehören zu den sensibelsten Informationen, die es gibt. Ihr Verlust kann für Betroffene erhebliche Folgen haben: von Stigmatisierung über finanzielle Schäden bis hin zu persönlichen Bedrohungslagen.
Rechtlicher Hintergrund: Welche Normen greifen?
Bei einem Datenleck im Gesundheitsbereich kommen gleich mehrere Rechtsgebiete ins Spiel. Zum einen das europäische Datenschutzrecht in Form der Datenschutz-Grundverordnung (DSGVO), zum anderen das deutsche Strafrecht, insbesondere § 203 des Strafgesetzbuchs (StGB), der die Verletzung von Privatgeheimnissen unter Strafe stellt.
Unsicher bei einer Rechtsfrage? Holen Sie sich jetzt eine schnelle Einschätzung – ab 29,99 €.
- PDF-Antwort in 5 klaren Kapiteln
- Rechtliche Einordnung & nächste Schritte
- Optional: Doku-Check & Anwaltstelefon
Geprüft gem.EU AI-Act
§ 203 StGB: Schweigepflicht und strafrechtliche Verantwortung
§ 203 StGB schützt das Vertrauen, das Patientinnen und Patienten in medizinische Einrichtungen und die daran angeschlossenen Dienstleister setzen. Ärzte, Krankenhäuser und deren Mitarbeiter unterliegen einer strikten Schweigepflicht. Wer unbefugt Geheimnisse offenbart, die ihm in beruflicher Eigenschaft anvertraut wurden, macht sich strafbar. Die Strafandrohung beträgt bis zu einem Jahr Freiheitsstrafe oder Geldstrafe, in besonders schweren Fällen bis zu zwei Jahre.
Durch die Reform des § 203 StGB im Jahr 2017 wurde klargestellt, dass auch die Einbeziehung externer Dienstleister, sogenannter „sonstiger mitwirkender Personen“, grundsätzlich zulässig ist, sofern diese ausreichend zur Verschwiegenheit verpflichtet werden. Genau hier liegt das Problem: Wenn ein Abrechnungsdienstleister die nötigen Sicherheitsstandards nicht einhält und dadurch Daten abfließen, stellt sich die Frage, ob die ursprünglich verantwortlichen Kliniken und deren Leitungsorgane ihrer Sorgfaltspflicht bei der Auswahl und Überwachung des Dienstleisters nachgekommen sind.
DSGVO: Art. 5, Art. 28 und Art. 32 im Fokus
Neben dem Strafrecht greift die DSGVO mit mehreren zentralen Vorschriften:
- Art. 5 DSGVO regelt die Grundsätze der Verarbeitung personenbezogener Daten, darunter Zweckbindung, Datenminimierung und Integrität sowie Vertraulichkeit.
- Art. 28 DSGVO verpflichtet den Verantwortlichen, bei der Einschaltung eines Auftragsverarbeiters (also eines externen Dienstleisters wie eines Abrechnungsanbieters) einen schriftlichen Vertrag abzuschließen, der konkrete Sicherheitsanforderungen festlegt. Fehlt dieser Vertrag oder ist er unzureichend, drohen Bußgelder.
- Art. 32 DSGVO verlangt technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Gerade bei Gesundheitsdaten, die nach Art. 9 DSGVO besonders schutzwürdig sind, sind die Anforderungen besonders hoch.
Aktueller Fall: 100.000 Patientendatensätze kompromittiert
Im Mittelpunkt der aktuellen Debatte steht ein saarländischer Abrechnungsdienstleister, der für mehrere Universitätskliniken tätig war. Nach Informationen, die unter anderem von dem Datenschutzexperten Dr. Magnus Bergmann auf LinkedIn diskutiert wurden, sollen rund 100.000 Patientendatensätze aus Universitätskliniken kompromittiert worden sein. Dieser Vorfall verdeutlicht exemplarisch das sogenannte Konzentrationsrisiko: Wenn ein einzelner externer Dienstleister für viele Krankenhäuser gleichzeitig tätig ist, kann ein einziger Sicherheitsvorfall beim Dienstleister eine Vielzahl von Einrichtungen und deren Patienten treffen.
Das Konzentrationsrisiko ist im Datenschutzrecht kein neues Phänomen, gewinnt aber mit zunehmender Digitalisierung und der Zentralisierung von IT-Diensten erheblich an Bedeutung. Behörden wie der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) sowie die zuständigen Landesdatenschutzbehörden haben das Problem erkannt, aber die Praxis hinkt den regulatorischen Anforderungen häufig hinterher.
Wer haftet konkret? Verantwortlichkeiten im Überblick
Die Frage der Haftung ist komplex und betrifft mehrere Ebenen:
Geschäftsführung des Abrechnungsdienstleisters: Als verantwortliche oder auftragsverarbeitende Stelle im Sinne der DSGVO trifft die Geschäftsführung eine unmittelbare Pflicht zur Implementierung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO. Versäumnisse können zu Bußgeldern von bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes führen (Art. 83 Abs. 4 DSGVO). Bei besonders schwerwiegenden Verstößen gegen Grundsätze nach Art. 5 DSGVO drohen sogar Bußgelder von bis zu 20 Millionen Euro oder vier Prozent des Jahresumsatzes.
Darüber hinaus kann die Geschäftsführung persönlich nach § 203 StGB strafrechtlich zur Rechenschaft gezogen werden, sofern sie selbst Kenntnis von der unrechtmäßigen Datenweitergabe hatte oder diese durch grobe Fahrlässigkeit ermöglichte.
Universitätskliniken als Auftraggeber: Die Kliniken sind als Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO nicht von ihrer datenschutzrechtlichen Verantwortung befreit, nur weil sie einen externen Dienstleister eingesetzt haben. Art. 28 DSGVO schreibt vor, dass Verantwortliche nur Auftragsverarbeiter beauftragen dürfen, die hinreichende Garantien für die Einhaltung der DSGVO bieten. Eine unzureichende Prüfung des Dienstleisters vor der Beauftragung sowie fehlende regelmäßige Kontrollen können zur eigenen Haftung der Kliniken führen.
Datenschutzbeauftragte: Der oder die betriebliche Datenschutzbeauftragte (DSB) ist nach Art. 38 und 39 DSGVO verpflichtet, die Einhaltung des Datenschutzrechts zu überwachen, die Verantwortlichen zu beraten und als Anlaufstelle für Aufsichtsbehörden zu fungieren. Der DSB haftet zwar in der Regel nicht persönlich gegenüber Betroffenen, kann aber arbeitsrechtliche oder vertragsrechtliche Konsequenzen tragen, wenn er seinen Überwachungspflichten nicht nachgekommen ist. Zudem kann die Aufsichtsbehörde bei gravierenden Verstößen auch die fehlende Einbindung oder mangelhafte Ausstattung des DSB monieren und dies sanktionieren.
Praktische Tipps: So schützen sich Unternehmen und Patienten
Für Unternehmen und Einrichtungen im Gesundheitsbereich ergeben sich aus dem Vorfall konkrete Handlungspflichten:
- Auftragsverarbeitungsverträge (AVV) nach Art. 28 DSGVO müssen nicht nur abgeschlossen, sondern inhaltlich sorgfältig geprüft und regelmäßig aktualisiert werden.
- Die technischen und organisatorischen Maßnahmen (TOMs) des Dienstleisters sollten vor Vertragsschluss und danach in regelmäßigen Abständen durch Audits, Zertifikate (etwa ISO 27001) oder Vor-Ort-Prüfungen verifiziert werden.
- Ein Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist bei der Verarbeitung besonderer Kategorien personenbezogener Daten wie Gesundheitsdaten zwingend durchzuführen.
- Meldepflichten nach Art. 33 und Art. 34 DSGVO müssen bei Datenpannen eingehalten werden: Die Aufsichtsbehörde ist innerhalb von 72 Stunden zu informieren, betroffene Personen sind unverzüglich zu benachrichtigen, wenn ein hohes Risiko für ihre Rechte und Freiheiten besteht.
- Das Konzentrationsrisiko sollte aktiv in der Risikoanalyse berücksichtigt werden. Alternativen zu einem einzigen zentralen Dienstleister oder Notfallpläne für den Ausfall bzw. den Sicherheitsvorfall beim Anbieter sind empfehlenswert.
Für betroffene Patientinnen und Patienten gilt: Sie haben nach Art. 15 DSGVO das Recht auf Auskunft, welche Daten über sie verarbeitet wurden. Nach einem Datenleck können sie Schadensersatz nach Art. 82 DSGVO geltend machen, wenn ihnen durch den Verstoß ein materieller oder immaterieller Schaden entstanden ist. Die Rechtsprechung des Europäischen Gerichtshofs (EuGH) hat zuletzt klargestellt, dass auch der bloße Verlust der Kontrolle über eigene Daten einen immateriellen Schaden darstellen kann.
Was bedeutet das für Sie?
Der Datenleak im Saarland ist kein Einzelfall, sondern symptomatisch für eine strukturelle Schwachstelle in der deutschen Gesundheits-IT. Wer als Patient betroffen ist, sollte aktiv werden: Kontaktieren Sie die betroffene Klinik und verlangen Sie Auskunft. Wenden Sie sich an den Landesdatenschutzbeauftragten, wenn Sie den Verdacht haben, dass Ihre Daten nicht ordnungsgemäß geschützt wurden. Und prüfen Sie, ob Ihnen ein Schadensersatzanspruch zusteht.
Für Unternehmen und Einrichtungen, die externe Dienstleister mit der Verarbeitung sensibler Daten beauftragen, ist jetzt der Zeitpunkt, ihre Verträge, ihre Risikoanalysen und ihre internen Prozesse auf den Prüfstand zu stellen. Die Aufsichtsbehörden beobachten die Entwicklung genau, und die Bußgeldpraxis der letzten Jahre zeigt: Datenschutzversäumnisse werden zunehmend konsequent geahndet.
Geschäftsführungen und Vorstände sollten das Thema Datenschutz nicht als bloße Compliance-Übung betrachten, sondern als strategische Unternehmensaufgabe. Die Ex-ante-Kontrolle von Dienstleistern, also die Prüfung vor der Beauftragung, ist keine Kann-Bestimmung, sondern eine Rechtspflicht. Wer dies vernachlässigt, riskiert nicht nur Bußgelder, sondern auch persönliche Haftung und strafrechtliche Ermittlungen.
Tabelle: Übersicht der relevanten Rechtsgrundlagen und Konsequenzen
| Rechtsgrundlage | Inhalt / Pflicht | Mögliche Konsequenz bei Verstoß | Betroffene Akteure |
|---|---|---|---|
| § 203 StGB | Schweigepflicht für Berufsgeheimnisträger und deren Helfer | Freiheitsstrafe bis 2 Jahre oder Geldstrafe | Ärzte, Klinikleitung, Dienstleister |
| Art. 5 DSGVO | Grundsätze der Datenverarbeitung (Integrität, Vertraulichkeit) | Bußgeld bis 20 Mio. Euro oder 4 % Jahresumsatz | Verantwortliche, Auftragsverarbeiter |
| Art. 28 DSGVO | Pflicht zum Abschluss eines Auftragsverarbeitungsvertrags | Bußgeld bis 10 Mio. Euro oder 2 % Jahresumsatz | Kliniken, Dienstleister |
| Art. 32 DSGVO | Technische und organisatorische Maßnahmen (TOMs) | Bußgeld, Haftung gegenüber Betroffenen | Geschäftsführung, IT-Sicherheitsbeauftragte |
| Art. 82 DSGVO | Schadensersatzanspruch Betroffener | Materieller und immaterieller Schadensersatz | Alle Verantwortlichen |
| Art. 33 und 34 DSGVO | Meldepflicht bei Datenpannen (72-Stunden-Frist) | Bußgeld, Reputationsschaden | Verantwortliche, Datenschutzbeauftragte |
| Art. 35 DSGVO | Datenschutz-Folgenabschätzung bei hochrisikanter Verarbeitung | Bußgeld, behördliche Untersagung | Verantwortliche, DSB |
Fazit: Datenschutz ist Chefsache
Der Vorfall beim saarländischen Abrechnungsdienstleister zeigt einmal mehr, dass Datenschutz keine nachgelagerte IT-Frage ist, sondern eine Führungsaufgabe. Geschäftsführungen und Vorstände, die ihrer Ex-ante-Kontrollpflicht nicht nachkommen, riskieren strafrechtliche Verfolgung nach § 203 StGB, erhebliche Bußgelder nach der DSGVO und zivilrechtliche Schadensersatzklagen betroffener Patienten. Das Konzentrationsrisiko bei der Beauftragung zentraler Dienstleister muss systematisch bewertet und durch vertragliche sowie technische Schutzmaßnahmen abgesichert werden. Wer jetzt handelt und seine Verträge, Audits und Risikoanalysen auf den Stand der Technik bringt, schützt nicht nur die Rechte der Betroffenen, sondern auch die eigene Organisation.
Hinweis und Haftungsausschluss
Dieser Artikel dient ausschließlich der allgemeinen rechtlichen Information und stellt keine individuelle Rechtsberatung dar. Für eine auf Ihren konkreten Fall zugeschnittene Einschätzung wenden Sie sich bitte an eine qualifizierte Rechtsanwältin oder einen qualifizierten Rechtsanwalt. Die Rechtslage kann sich kurzfristig ändern; eine Haftung für die Richtigkeit und Vollständigkeit der Informationen wird nicht übernommen.
- Anwaltssuche: Jetzt passenden Anwalt finden
- LexBot: KI-gestützte Rechtsberatung nutzen
- Telefonische Rechtsberatung: Schnelle Hilfe vom Anwalt
Dieser Artikel wurde mit Hilfe von KI erstellt.
Quellen und weiterführende Links
- Dr. Magnus Bergmann auf LinkedIn: Datenschutz, Konzentrationsrisiko und digitale Souveränität (2025)
- § 203 StGB – Verletzung von Privatgeheimnissen (gesetze-im-internet.de)
- § 38 BDSG – Datenschutzbeauftragter nichtöffentlicher Stellen (gesetze-im-internet.de)
- DSGVO – Datenschutz-Grundverordnung (EU) 2016/679 (EUR-Lex)
- Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (BfDI)
- Legal Tribune Online (LTO) – Rechtsnachrichten
- Europäischer Gerichtshof (EuGH) – Rechtsprechung zu Art. 82 DSGVO
Sollte Ihnen dieser Beitrag geholfen haben, so können Sie uns etwas zurückgeben in dem Sie uns bei Google bewerten.