Branchenspezifische Compliance: Was Arztpraxen, Banken und Kanzleien beachten müssen
Kurz gesagt
Die DSGVO ist der gemeinsame Nenner — im Gesundheitswesen kommen Art. 9 DSGVO und die ärztliche Schweigepflicht hinzu, im Finanzsektor BaFin-Regularien wie BAIT und DORA, bei Kanzleien und Steuerberatern die berufsrechtliche Verschwiegenheitspflicht.
Gesundheitswesen
Patientendaten sind eine besondere Kategorie personenbezogener Daten nach Art. 9 DSGVO — mit erhöhten Schutzpflichten und praktisch keiner Möglichkeit, sich auf ein berechtigtes Interesse als Rechtsgrundlage zu berufen. Hinzu kommt die ärztliche Schweigepflicht nach § 203 StGB, die sich auch auf digitale Kommunikation erstreckt: Patientendaten per unverschlüsselter E-Mail zu versenden verstößt sowohl gegen die DSGVO als auch gegen das Strafgesetzbuch. Arztpraxen, die an die Telematikinfrastruktur angeschlossen sind, müssen zudem sicherstellen, dass ihre Systeme TI-kompatibel, verschlüsselt und zertifiziert sind — verbindliche technische Anforderungen definiert die Kassenärztliche Bundesvereinigung.
Finanzsektor
Banken und Finanzdienstleister unterliegen neben der DSGVO einem eigenen Compliance-Regime der BaFin. Zentral sind die Bankaufsichtlichen Anforderungen an die IT für Kreditinstitute und die entsprechenden Anforderungen für Versicherungsunternehmen — sie verlangen ein Informationssicherheits-Managementsystem, klare Verantwortlichkeiten, Penetrationstests und Business-Continuity-Pläne. Outsourcing an externe IT-Dienstleister muss der BaFin gemeldet werden, wenn wesentliche Funktionen betroffen sind. Seit 2025 kommt der Digital Operational Resilience Act hinzu, der Finanzunternehmen zu Incident-Reporting innerhalb enger Fristen und Third-Party-Risk-Management für kritische IT-Dienstleister verpflichtet.
Kanzleien und Steuerberater
Rechtsanwälte, Notare und Steuerberater unterliegen einer berufsrechtlichen Verschwiegenheitspflicht, die über die DSGVO hinausgeht. Cloud-Dienste für Mandantendaten sind nicht per se verboten, erfordern aber eine sorgfältige berufsrechtliche Prüfung: Der Anbieter muss ausreichende technische und organisatorische Maßnahmen nachweisen, ein Auftragsverarbeitungsvertrag muss vorliegen, und die Daten müssen verschlüsselt gespeichert werden. Für Steuerberater gilt Ähnliches — neben etablierten Branchensystemen nutzen viele Kanzleien zusätzliche Tools für Kommunikation und Dokumentenverwaltung, die diese Standards nicht immer erfüllen.
So geht die branchenspezifische Prüfung
- Regelwerk identifizieren: alle für die eigene Branche relevanten Vorschriften über die DSGVO hinaus zusammenstellen — Berufsverbände und Aufsichtsbehörden veröffentlichen dazu meist Leitfäden.
- IT-Systeme inventarisieren: jeden eingesetzten Dienst mit Anbieter, Serverstandort und Datenart erfassen, Auftragsverarbeitungsverträge und Zertifizierungen prüfen.
- Kritische Lücken priorisiert schließen: zuerst was zu Strafbarkeit führen kann, dann was Bußgelder auslösen kann.
- Technische Maßnahmen dokumentieren nach Art. 25 und 32 DSGVO — Umsetzung und Begründung festhalten.
- Mitarbeiter branchenspezifisch schulen, regelmäßig und nachweisbar.
- Externe Expertise einbinden — technisch und rechtlich getrennt, da beide Bereiche unterschiedliche Spezialisierung erfordern.