Datenschutz in der Privatabrechnung — was zur Verrechnungsstelle fließt und wie.

1. Drei Datenflüsse in der Privatabrechnung

Wer den Datenschutz in der Privatabrechnung verstehen will, sortiert zuerst die Datenflüsse. Sie laufen zwischen drei oder vier Beteiligten:

• Praxis → Verrechnungsstelle. Stammdaten des Patienten, Behandlungsdaten, Diagnosen, GOÄ-Ziffern, Rechnungsbeträge.
• Verrechnungsstelle → Patient. Rechnung, Mahnschreiben, Korrespondenz im Streitfall.
• Verrechnungsstelle → PKV oder Beihilfe. Auf Wunsch des Patienten oder im Rahmen einer Direktabrechnung werden Rechnungsdaten an die Versicherung weitergegeben — in der Regel über strukturierte Schnittstellen.

Jeder dieser Pfade hat seine eigene rechtliche Grundlage. Die Praxis-Verrechnungsstelle-Verbindung ist die rechtlich komplexeste, weil hier die Schweigepflicht des Arztes tangiert wird.

2. Welche Daten überhaupt fließen

Die Übertragung folgt dem Datensparsamkeitsgrundsatz (Art. 5 Abs. 1 c DSGVO): nur die Daten, die für die Privatliquidation tatsächlich erforderlich sind. In der Praxis umfasst das drei Kategorien:

3. Rechtliche Grundlagen — § 203 StGB und DSGVO

Zwei Rechtsregime greifen parallel:

§ 203 StGB — die ärztliche Schweigepflicht

Ärzte unterliegen einer strafbewehrten Schweigepflicht. Wer Patientendaten ohne Erlaubnis offenbart, kann sich strafbar machen. § 203 Abs. 4 StGB erlaubt die Mitwirkung berufsmäßig tätiger Personen (etwa Verrechnungsstellen) zwar grundsätzlich — aber nur, wenn die Sorgfaltspflicht beachtet wird und der Patient eine wirksame Einwilligung erteilt hat.

DSGVO und BDSG

Patientendaten sind Gesundheitsdaten im Sinne von Art. 9 DSGVO — also besondere personenbezogene Daten. Ihre Verarbeitung ist nur unter engen Voraussetzungen erlaubt: ausdrückliche Einwilligung des Betroffenen (Art. 9 Abs. 2 lit. a DSGVO), oder eine andere ausdrückliche Rechtsgrundlage (etwa lebenswichtiges Interesse oder gesetzliche Pflicht). Für die Privatabrechnung ist die Einwilligung der praktische Standard.

BGH-Linie

Der Bundesgerichtshof verlangt seit langem, dass die Übertragung von Patientendaten an eine externe Verrechnungsstelle sowohl strafrechtlich (Schweigepflichtentbindung) als auch datenschutzrechtlich (DSGVO-Einwilligung) gedeckt ist. Beide Erklärungen können in einem Dokument zusammengefasst werden — und sind das in der Praxis fast immer.

4. Was die Schweigepflichtentbindung enthalten muss

Eine wirksame Erklärung erfüllt mehrere Anforderungen — jede einzelne ist im Streitfall relevant.

5. Schnittstellen und Datenformate

Die technische Übertragung läuft über etablierte Standards. Hier die wichtigsten:

Welches Format konkret zum Einsatz kommt, hängt vom Praxis-System und von der Verrechnungsstelle ab. Praxen, die ein Mandat erteilen, müssen sich darum nicht kümmern — die Anbindung wird im Aufnahme-Verfahren mit dem Praxis-System eingerichtet, das verfügbare Format wird dabei abgestimmt.

6. Datensicherheit — wie es technisch fließt

Die Übertragung selbst muss verschlüsselt erfolgen — alles andere wäre unter DSGVO und § 203 StGB nicht haltbar. In der Praxis kommen drei Wege vor:

• Sichere Direktübertragung über PADneXt-fähige Schnittstellen mit TLS-Verschlüsselung. Direktverbindung zwischen Praxis-System und Verrechnungsstelle.
• Sicheres Upload-Portal der Verrechnungsstelle. Praxismitarbeiter loggen sich mit Zugangsdaten ein und laden Rechnungsdaten oder PDF-Dokumente hoch. TLS-Verschlüsselung ist Standard.
• Verschlüsselte E-Mail oder kuriergesicherter Postweg für Praxen mit Papier-Workflows. Letzteres klingt altmodisch, ist aber rechtlich vollständig zulässig — sofern die Sendung nachweislich beim Empfänger ankommt.

7. Wer ist Verantwortlicher, wer Auftragsverarbeiter?

Eine viel diskutierte Frage in der Branche. Die richtige Antwort hängt vom konkreten Vertragsmodell ab:

Modell A: Verrechnungsstelle als Auftragsverarbeiter

Wenn die Praxis die Verrechnungsstelle nur als Erfüllungs- gehilfen nutzt und über jeden Vorgang im Detail entscheidet, ist die Verrechnungsstelle Auftragsverarbeiter (Art. 28 DSGVO). Die Praxis bleibt allein Verantwortlicher. Vertraglich erforderlich ist dann ein Auftragsverarbeitungsvertrag (AVV).

Modell B: Verrechnungsstelle als eigener Verantwortlicher

Wenn die Verrechnungsstelle die Forderung nach § 398 BGB übernimmt und im eigenen Namen führt — wie es beim Mandat der Fall ist — wird sie selbst Gläubiger und damit eigenständig verantwortliche Stelle im Sinne der DSGVO. Die Praxis bleibt für die Daten verantwortlich, die in ihrer Akte liegen; die Verrechnungsstelle für die Daten, die sie zur Forderungsführung nutzt. Es gibt zwei Verantwortliche, die jeweils ihren Verarbeitungsbereich verantworten — kein AVV, sondern eine klare Rollentrennung.

PVB führt die Privatliquidation als Mandat — also nach Modell B. Diese Trennung ist für Patienten transparent, weil sie in der Schweigepflichtentbindungs- und Datenschutzeinwilligungserklärung ausdrücklich genannt wird.

8. Speicherdauer und Löschung

Patientendaten werden nicht beliebig lange aufbewahrt. Die Speicherdauer richtet sich nach mehreren rechtlichen Quellen:

• § 630f BGB: Die Patientenakte ist in der Praxis grundsätzlich 10 Jahre aufzubewahren — ab Abschluss der Behandlung. Für radiologische Befunde gelten längere Fristen (RöV bis 30 Jahre).
• Abrechnungsdaten: Bei der Verrechnungsstelle werden sie ebenfalls in der Regel zehn Jahre aufbewahrt — auch wegen handels- und steuerrechtlicher Pflichten (HGB, AO).
• Mahn- und Inkassodaten: Solange die Forderung besteht und Vollstreckungstitel laufen, bleiben sie nutzbar (Vollstreckungsbescheid ist 30 Jahre vollstreckbar).

Nach Ablauf der jeweiligen Frist ist eine Löschung pflichtig (Art. 17 DSGVO „Recht auf Vergessenwerden“), sofern keine andere Aufbewahrungspflicht entgegensteht. Eine seriöse Verrechnungsstelle hat ein dokumentiertes Löschkonzept.

9. Was bei einer DSGVO-Auskunft eines Patienten passiert

Patienten haben nach Art. 15 DSGVO ein Auskunftsrecht: Sie können verlangen zu erfahren, welche Daten über sie gespeichert sind, zu welchem Zweck, an wen sie weitergegeben wurden, wie lange sie aufbewahrt werden. Die Anfrage ist binnen Monatsfrist zu beantworten.

Praktisch landet eine solche Anfrage entweder bei der Praxis (für Behandlungsdaten) oder bei der Verrechnungsstelle (für Abrechnungsdaten und Korrespondenz). Im Mandat ist klar geregelt, welche Stelle was beantwortet — Doppelarbeit wird vermieden, der Patient bekommt eine Antwort aus einer Hand oder zwei klar getrennte Antworten.

10. Wie ein Mandat das absichert — der PVB-Weg

11. Häufige Fragen

Brauche ich für jeden Patienten eine separate Schweigepflichtentbindung?

Praktisch: einmal je Patient, in der Regel beim ersten Praxisbesuch. Sie kann sich auf die gesamte Behandlungsbeziehung beziehen — der Patient muss das aber wissen. Bei Unklarheit oder neuer Konstellation wird eine erneute Erklärung eingeholt.

Was, wenn ein Patient die Schweigepflichtentbindung verweigert?

Dann darf die Verrechnungsstelle nicht eingeschaltet werden. Die Praxis stellt die Rechnung selbst, mahnt selbst, treibt selbst bei. Das ist juristisch zulässig und Modell 1 der Privatabrechnung.

Welches Datenformat ist heute Standard?

PADneXt — XML-basiert, vom PVS-Verbund spezifiziert, von den meisten modernen Praxis-Systemen unterstützt. PAD im ASCII-Format ist noch im Einsatz, wird aber zunehmend abgelöst.

Wo finde ich die offizielle PADneXt-Spezifikation?

Auf padinfo.de stellt der PVS-Verbund die aktuelle Version, Schema-Dateien und Implementierungshinweise zur Verfügung. Praxis-Software- Hersteller orientieren sich daran.

Kann ich verlangen, dass keine Daten an die PKV gehen?

Ja. Es gibt Modelle, in denen die Verrechnungsstelle nur eine Rechnung an den Patienten ausstellt — und dieser sie selbst bei seiner PKV einreicht. Das ist Standard im sogenannten Erstattungsverfahren. Bei Beihilfe gibt es zusätzlich Direkt- Einreichungs-Wege; auch die sind nur mit Patienteneinverständnis gangbar.

Was passiert bei einem Datenleck — Meldepflicht?

Bei einer Verletzung des Schutzes personenbezogener Daten muss die verantwortliche Stelle binnen 72 Stunden an die Aufsichtsbehörde melden (Art. 33 DSGVO) — und in vielen Fällen auch die Betroffenen informieren (Art. 34). Die Pflicht trifft jeweils die Stelle, in deren Verarbeitungsbereich der Vorfall aufgetreten ist.

Können Patienten ihre Einwilligung später widerrufen?

Ja, jederzeit für die Zukunft. Bereits übertragene Daten bleiben in der Verarbeitung (anders ginge es nicht — die Forderung ist abgetreten, die Buchhaltung läuft), aber neue Übertragungen ab Widerrufseingang sind nicht mehr von der Einwilligung gedeckt. Praktisch endet damit oft die Möglichkeit weiterer Mandatsführung.

Werden Diagnosen wirklich übermittelt?

Ja — sie sind Teil der Begründung des Honoraranspruchs und der GOÄ-Konformität. Ohne Diagnose lässt sich die Plausibilität einer Liquidation nicht beurteilen. Die Übermittlung ist auf das Notwendige beschränkt; eine ICD-10-Codierung ist datensparsamer als eine ausführliche Diagnose-Beschreibung und wird in der Praxis bevorzugt.

Zum Schluss

Datenschutz in der Privatabrechnung ist kein bürokratisches Hindernis — er ist ein etablierter Pfad, der seit Jahrzehnten funktioniert. Schweigepflichtentbindung, DSGVO-Einwilligung, Forderungsabtretung, technische Schnittstelle. Wer den Pfad kennt, geht ihn entspannt; wer ihn nicht kennt, fühlt sich von jeder Akte verfolgt.

Ein Mandat nimmt die Pfadkenntnis ab. Was bei Ihnen auf der Akte sitzt, sitzt unter den vertraglichen Schutzregeln, die wir mit jedem Mandanten täglich anwenden. Sie behandeln. Wir schützen die Daten dabei nicht weniger als Sie.