Praxly › Ratgeber › Datenschutz in der Physiopraxis
Datenschutz Österreich Stand: Oktober 2026

Datenschutz in der Physiopraxis: Was Praxen wissen müssen

Wenn Sie eine Physiotherapie-, Ergotherapie- oder Logopädiepraxis führen, verarbeiten Sie die Gesundheitsdaten Ihrer Patient:innen. Dieser Text zeigt, worüber Sie informieren müssen, wann eine Einwilligung sinnvoll oder nötig ist und wie lange Unterlagen aufzubewahren sind. Wo die Rechtslage nicht eindeutig geregelt ist, steht das dabei. In solchen Fällen ist es sinnvoll, Ihre Interessenvertretung oder eine Rechtsberatung zu fragen.

Hinweis Orientierungshilfe, keine Rechts- oder Steuerberatung. Stand Oktober 2026, ohne Gewähr.

1. Informationspflicht nach Art. 13 DSGVO

Wenn die Praxis Daten bei Patient:innen erhebt, meist bei der Terminbuchung oder zu Behandlungsbeginn, muss sie zu diesem Zeitpunkt informieren (Art. 13 DSGVO). Die Information muss präzise, verständlich und leicht zugänglich sein. Sie kann schriftlich oder in anderer Form erfolgen, gegebenenfalls auch elektronisch (Art. 12 Abs. 1 DSGVO). Sie enthält unter anderem:

Für diese Information schreibt die DSGVO keine Unterschrift vor. Information ist auch keine Einwilligung. Praxen sollten die Übergabe dokumentieren, etwa mit Datum und Textversion, denn im Streitfall muss die Praxis nachweisen können, dass sie informiert hat. Ob es eine behördlich geprüfte Mustervorlage für Physiopraxen gibt, dazu gibt es keine klare Auskunft. Die Interessenvertretung kann helfen.

2. Gesundheitsdaten: Wann eine Einwilligung nötig ist

Gesundheitsdaten gehören zu den besonderen Kategorien nach Art. 9 DSGVO und dürfen grundsätzlich nicht verarbeitet werden. Eine Ausnahme gilt unter anderem, wenn die Verarbeitung für die Versorgung oder Behandlung im Gesundheitsbereich oder für die Verwaltung von Diensten im Gesundheitsbereich erforderlich ist (Art. 9 Abs. 2 lit. h DSGVO). Dabei müssen die Bedingungen und Garantien nach Art. 9 Abs. 3 DSGVO eingehalten werden. Für die Behandlung ist dies die Regelbasis. Eine ausdrückliche Einwilligung für festgelegte Zwecke ist eine zusätzliche Möglichkeit (Art. 9 Abs. 2 lit. a DSGVO). Ein älterer WKO-Leitfaden für Gesundheitsberufe (Stand 2019) empfiehlt, eine Einwilligung schriftlich einzuholen, wenn sich die Verarbeitung nicht auf eine andere Rechtsgrundlage stützen lässt. Eine Einwilligung, die für den Vertrag nicht erforderlich ist, darf nicht Bedingung für die Behandlung sein (Art. 7 Abs. 4 DSGVO).

FallEinwilligung nötig?
Behandlungsdokumentation, Termine, HonorarnoteDie Dokumentation ist für MTD-Berufe gesetzlich vorgeschrieben (§ 34 Abs. 1 MTD-Gesetz 2024). Für Behandlung und Verwaltung ist in der Regel keine zusätzliche Einwilligung nötig (Art. 9 Abs. 2 lit. h DSGVO). Voraussetzung ist unter anderem, dass die Verarbeitung durch Personen erfolgt, die einem Berufsgeheimnis bzw. einer Verschwiegenheitspflicht unterliegen (Art. 9 Abs. 3 DSGVO).
Weitergabe an Ärzt:in (Befund, Rückmeldung)Dazu gibt es keine klare gesetzliche Vorgabe, wann eine Einwilligung entbehrlich ist. Holen Sie im Zweifel eine Einwilligung ein. Sie sollte Empfänger, Zweck und Umfang nennen.
Einreichung bei Kasse oder VersicherungDazu gibt es keine klare Vorgabe. Informieren Sie Patient:innen auf jeden Fall vorab.
SMS- oder E-Mail-TerminerinnerungNach § 174 TKG 2021 braucht Werbung (Direktwerbung) per E-Mail oder SMS eine vorherige Einwilligung. Eine reine Terminerinnerung ohne Werbeinhalt nennt der Gesetzestext nicht. Empfohlen: trotzdem eine eigene, nachweisbare Zustimmung einholen und keine Werbung in die Erinnerung packen.
Erinnerung mit Datum und UhrzeitOhne Diagnose oder Leistung im Text. Das ist datensparsam.
Recall, Newsletter, BewertungsanfrageDas sind Werbe- oder Kontaktzwecke. In aller Regel ist eine Einwilligung nötig, die separat eingeholt, nie vorangekreuzt und nicht an die Behandlung gekoppelt wird (§ 174 TKG 2021, Art. 7 Abs. 4 DSGVO). Für eigene ähnliche Leistungen an Bestandspatient:innen gibt es eine enge Ausnahme mit Widerspruchsmöglichkeit (§ 174 Abs. 4 TKG). Im Zweifel holen Sie die Einwilligung ein.
Fotos oder VideosSie können Gesundheitsdaten zeigen. Holen Sie im Zweifel eine gesonderte, ausdrückliche Einwilligung für einen festgelegten Zweck ein (Art. 9 Abs. 2 lit. a DSGVO). Eine Körperskizze ist keine Fotoaufnahme.
E-Mail mit BefundenDie DSGVO verlangt Sicherheitsmaßnahmen, die dem Risiko angemessen sind, und nennt dabei ausdrücklich die Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO). Dazu gibt es keine klare gesetzliche Vorgabe. Sicherer ist es, Befunde nicht per unverschlüsselter E-Mail zu verschicken, sondern über einen geschützten Weg.
Weitergabe an Dienstleister außerhalb der EUÜbermittlungen in ein Drittland sind nur zulässig, wenn die Bedingungen des Kapitels V DSGVO eingehalten werden (Art. 44). Sie müssen in der Information genannt werden (Art. 13 Abs. 1 lit. f). Klären Sie den Einzelfall vorab.

Die Tabelle zeigt die häufigsten Fälle. Entscheidend ist meist der Zweck: Behandlung und Verwaltung kommen in der Regel ohne zusätzliche Einwilligung aus, Werbung und Kontaktaufnahmen zu Marketingzwecken brauchen in aller Regel eine eigene Zustimmung.

Der Widerruf einer Einwilligung muss so einfach sein wie ihre Erteilung (Art. 7 Abs. 3 DSGVO).

3. Aufbewahrung: 10 Jahre

Physiotherapie, Ergotherapie und Logopädie zählen zu den MTD-Berufen. Bei freiberuflicher Berufsausübung sind die Aufzeichnungen und sonstigen der Dokumentation dienlichen Unterlagen nach § 34 Abs. 3 MTD-Gesetz 2024 (BGBl. I Nr. 100/2024) zehn Jahre aufzubewahren, auch nach Beendigung der Tätigkeit. Danach ist die Dokumentation unwiederbringlich zu vernichten. Auf Verlangen ist Patient:innen Einsicht zu gewähren; die erste Kopie ist unentgeltlich (§ 34 Abs. 2). Setzt eine andere zur freiberuflichen Ausübung berechtigte Person die Betreuung fort, darf sie die Dokumentation mit Zustimmung der Patient:innen weiterführen (§ 34 Abs. 3). Stirbt die freiberuflich tätige Person, müssen die Rechtsnachfolger die Dokumentation unwiederbringlich vernichten (§ 34 Abs. 4). Das Gesetz ist seit 2024 in Kraft.

Der Gesetzestext nennt keinen genauen Stichtag für den Beginn der Frist. Dazu gibt es keine klare Vorgabe; ob die Frist ab dem letzten Eintrag läuft, klärt die Interessenvertretung am besten. Für Rechnungen und Steuerunterlagen gelten eigene Fristen aus dem Steuer- und Unternehmensrecht. Klären Sie diese mit Ihrer Steuerberatung.

4. Checkliste für die Praxis

Zur Datenschutz-Folgenabschätzung: Sie ist insbesondere bei umfangreicher Verarbeitung von Gesundheitsdaten erforderlich (Art. 35 Abs. 3 lit. b DSGVO). Laut Erwägungsgrund 91 gilt die Verarbeitung durch einen einzelnen Angehörigen eines Gesundheitsberufs nicht als umfangreich. Die österreichische Datenschutzbehörde hat in der Verordnung über Ausnahmen von der Datenschutz-Folgenabschätzung (DSFA-AV, BGBl. II Nr. 108/2018) die Patienten- und Klientenverwaltung und Honorarabrechnung einzeln tätiger Gesundheitsdiensteanbieter ausgenommen. Ob das auch für Praxen mit mehreren Therapeut:innen gilt, klären Sie im Zweifel mit Ihrer Interessenvertretung. Prüfen Sie Ihren eigenen Fall.

Praxly

Praxly stellt einen Auftragsverarbeitungsvertrag (AVV) bereit; die Datenbank liegt in der EU (Frankfurt). Der AVV ist ein Baustein. Die Praxis bleibt für den Datenschutz selbst verantwortlich.

Häufige Fragen

Braucht die Praxis eine Unterschrift auf der Datenschutz-Information?

Nein. Die DSGVO schreibt dafür keine Unterschrift vor. Die Information darf schriftlich oder in anderer Form erfolgen, auch elektronisch. Die Praxis sollte aber nachweisen können, dass sie die Information übergeben hat. Holt sie für die Weitergabe an Ärzt:innen eine Einwilligung ein, muss diese ausdrücklich und nachweisbar sein. Ob ein einfaches Häkchen dafür genügt, dazu gibt es keine klare Vorgabe. Sicherer ist eine gesonderte, eindeutige Erklärung.

Müssen Patient:innen zustimmen, damit sie behandelt werden?

Einwilligungen, die für die Behandlung nicht nötig sind, dürfen nicht Voraussetzung dafür sein (Art. 7 Abs. 4 DSGVO). Eine erteilte Einwilligung können Patient:innen jederzeit widerrufen, und zwar so einfach, wie sie erteilt wurde.

Können Patient:innen verlangen, dass ihre Daten gelöscht werden?

Nicht vor Ablauf der Aufbewahrungspflicht. Das Recht auf Löschung gilt nicht, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist (Art. 17 Abs. 3 lit. b DSGVO). Für Dokumentationen von MTD-Berufen gilt die zehnjährige Pflicht aus § 34 MTD-Gesetz 2024. Die Praxis sollte eine Ablehnung begründen. Nach Ablauf der Frist ist die Dokumentation unwiederbringlich zu vernichten.

Praxly 14 Tage kostenlos testen

Patientendaten sicher verwalten – 14 Tage kostenlos testen, ohne Kreditkarte.

Jetzt kostenlos starten →

Kostenlos · Keine Kreditkarte · Monatlich kündbar

Quellen