Branchenspezifische Compliance: Was Arztpraxen, Banken und Kanzleien beachten müssen

Patientendaten gehören zu den sensibelsten Informationen überhaupt. Die DSGVO stuft Gesundheitsdaten als besondere Kategorie personenbezogener Daten (Art. 9) ein — das bedeutet: erhöhte Schutzpflichten, strengere Rechtsgrundlagen, praktisch keine Möglichkeit auf berechtigtes Interesse als Grundlage. Für die Verarbeitung in Arztpraxen, Kliniken und Pflegeeinrichtungen gilt ausschließlich Einwilligung oder gesetzliche Grundlage.

Hinzu kommt die ärztliche Schweigepflicht nach § 203 StGB: Wer als Arzt, Zahnarzt oder psychologischer Psychotherapeut Patientengeheimnisse unbefugt offenbart, macht sich strafbar. Das gilt auch für Praxismitarbeiter — und es erstreckt sich auf digitale Kommunikation. Patientendaten per unverschlüsselter E-Mail zu versenden verstößt sowohl gegen die DSGVO als auch gegen § 203 StGB. Die Nutzung von Cloud-Diensten ohne entsprechende Verträge und Sicherheitsnachweise ist für Arztpraxen daher besonders riskant.

Seit 2021 gibt es mit der elektronischen Patientenakte (ePA) eine neue Dimension: Arztpraxen sind verpflichtet, an die Telematikinfrastruktur (TI) angeschlossen zu sein. Wer digitale Patientenverwaltungssysteme einsetzt, muss sicherstellen, dass diese TI-kompatibel, verschlüsselt und zertifiziert sind. Die Kassenärztliche Bundesvereinigung (KBV) veröffentlicht dazu Technische Anlagen, die konkrete IT-Sicherheitsanforderungen definieren — verbindlich für alle Vertragsarztpraxen.

Banken und Finanzdienstleister unterliegen neben der DSGVO einem eigenen Compliance-Regime, das von der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) definiert wird. Zentral sind die Bankaufsichtlichen Anforderungen an die IT (BAIT) für Kreditinstitute und die entsprechenden VAIT für Versicherungsunternehmen. Diese Regelwerke definieren detailliert, was IT-Governance, Informationssicherheit und Outsourcing im Finanzsektor bedeuten.

Praktisch heißt das: Wer eine Banking-App oder ein Finanzportal entwickelt, muss deutlich höhere IT-Sicherheitsstandards erfüllen als bei einer normalen Unternehmenswebseite. BAIT verlangt u.a. ein Informationssicherheits-Managementsystem (ISMS), klare Verantwortlichkeiten, Penetrationstests, Business-Continuity-Pläne und strenge Anforderungen an Cloud-Dienste. Outsourcing an externe IT-Dienstleister muss der BaFin gemeldet werden, wenn es wesentliche Funktionen betrifft.

Seit 2025 kommt DORA (Digital Operational Resilience Act) hinzu — ein EU-Regelwerk das Finanzunternehmen zu umfassenden IT-Resilienz-Maßnahmen verpflichtet: Incident-Reporting innerhalb enger Fristen, Third-Party-Risk-Management für alle kritischen IT-Dienstleister, regelmäßige Resilienztests. Für Finanzunternehmen ist IT-Sicherheit damit endgültig zur regulatorischen Kernpflicht geworden.

Rechtsanwälte, Notare und Steuerberater unterliegen einer berufsrechtlichen Verschwiegenheitspflicht, die über die DSGVO-Anforderungen hinausgeht. Für Rechtsanwälte ergibt sich das aus § 43a BRAO und dem Berufsgeheimnis nach § 203 StGB. Die Nutzung von Cloud-Diensten für Mandantendaten ist nicht per se verboten — aber sie erfordert eine sorgfältige berufsrechtliche Prüfung, die viele Kanzleien nicht durchführen.

Die Bundesrechtsanwaltskammer (BRAK) hat dazu eine Stellungnahme veröffentlicht: Cloud-Dienste sind zulässig, wenn der Anbieter ausreichende technische und organisatorische Maßnahmen nachweist, ein Auftragsverarbeitungsvertrag vorliegt und die Daten verschlüsselt gespeichert werden. US-Anbieter ohne ausreichende Datenschutzsicherungen sind für Mandantendaten problematisch — hier greifen Berufsrecht und DSGVO gleichzeitig.

Für Steuerberater gelten ähnliche Grundsätze. Die DATEV als zentrales IT-System der deutschen Steuerberater ist entsprechend abgesichert — aber viele Kanzleien nutzen daneben weitere Tools für Kommunikation, Dokumentenverwaltung und Mandatsabrechnung, die diese Standards nicht erfüllen. Besonders kritisch: Die Nutzung von Standard-KI-Tools für die Mandatsarbeit, ohne dass geprüft wurde, ob Mandantendaten dabei an Dritte übertragen werden.