Datenschutz für Heilpraktiker, Coaches und Berater: Gesundheitsdaten richtig schützen

Wer Klienten zu Gesundheit, Psyche, Ernährung oder Bewegung berät, verarbeitet in der Regel Gesundheitsdaten. Dafür gelten nach Art. 9 DSGVO deutlich strengere Regeln als für normale Kundendaten. Das betrifft Heilpraktiker, Mentalcoaches, Ernährungsberater, Physiotherapeuten und Trainer ebenso wie jede andere Selbstständige in einem Gesundheitsumfeld. Entscheidend ist, wie Sie Daten erheben, speichern, übermitteln und löschen.

Gesundheitsdaten sind alle Angaben, die etwas über die körperliche oder psychische Gesundheit eines Menschen aussagen. Dazu zählen Beschwerden, Diagnosen, Medikamente, Gewicht und Ernährungsgewohnheiten im Gesundheitskontext, aber auch Gesprächsnotizen aus einer Beratung. Unter Umständen reicht schon die Information, dass jemand bei Ihnen Klient ist. Die DSGVO zählt solche Daten zu den besonderen Kategorien personenbezogener Daten.

Bei Gesundheitsdaten ist die Verarbeitung grundsätzlich untersagt, solange keine Ausnahme greift. Welche Ausnahme für Ihre Tätigkeit passt, hängt von Ihrem Beruf und Ihrer Arbeitsweise ab. Zusätzlich ist das Risiko im Ernstfall höher: Eine Datenpanne in einer Praxis ist für die Betroffenen oft sehr belastend.

• Heilpraktiker
• Mentalcoaches, psychologische Berater und Coaches mit gesundheitsnahem Fokus
• Ernährungsberater
• Physiotherapeuten, Masseure und Osteopathen
• Yoga-, Fitness- und Personal-Trainer
• Hebammen und Doulas

Je nach Beruf kommen zusätzliche Regeln zu Schweigepflicht, Dokumentation und Aufbewahrung hinzu.

• Anamnesebögen kommen per E-Mail, WhatsApp oder Online-Formular.
• Online-Sitzungen laufen über Videotools.
• Terminbuchung, Praxissoftware und Cloud-Ablage verarbeiten Klientendaten bei Dritten.
• Notizen und Gesprächsprotokolle liegen in Word, auf dem Handy oder in Notiz-Apps.
• KI-Tools transkribieren Gespräche oder formulieren Berichte.
• Erfahrungsberichte und Fotos von Klienten stehen auf Website und Social Media.
• Newsletter richten sich an Menschen mit einem bestimmten Beschwerdebild.
• Aufbewahrung und Löschung sind nicht geregelt, und alte Akten liegen unbegrenzt herum.

Der kostenlose DSGVO-Selfcheck in unserem Vertrauensforum zeigt Ihnen, welche der sieben Bausteine bei Ihnen schon sitzen und wo noch Lücken sind.

Klienten können sich bei der Datenschutz-Aufsichtsbehörde beschweren und unter Umständen Schadensersatz verlangen. Die Behörde kann Nachweise verlangen, Auflagen erteilen und Bußgelder verhängen. Wirtschaftlich oft schwerer wiegt der Vertrauensverlust, denn in Ihrer Arbeit ist Diskretion Teil des Angebots. In Deutschland ist die jeweilige Landesbehörde zuständig, in Österreich die Datenschutzbehörde.