Compliance für Wahlarztpraxen
DSGVO & Barrierefreiheit: Was Wahlarztpraxen in Wien jetzt wirklich tun müssen
Die DSGVO gilt ab dem ersten Patientenkontakt, das BaFG ab 28.06.2025 für neue Websites. EHDS und EU AI Act betreffen nur Praxen mit Telemedizin oder KI. Engineering-Perspektive, keine Rechtsberatung.
Regelung
Für Wahlarztpraxen und Privatordinationen in Wien und ganz Österreich gelten primär die DSGVO (EU-Datenschutz-Grundverordnung), das BaFG (Barrierefreiheitsgesetz, ab 28.06.2025), sowie für digitale Gesundheitsdaten die EHDS (European Health Data Space, ab 2025). Der EU AI Act ist nur relevant, wenn KI-basierte Diagnosetools oder Entscheidungsunterstützung eingesetzt werden.
DSGVO gilt ab dem ersten Patientenkontakt mit personenbezogenen Daten – unabhängig von der Praxisgröße. Das BaFG betrifft alle, die ab 28.06.2025 neue Websites oder digitale Services anbieten. EHDS ist für digitale Gesundheitsdaten relevant, insbesondere bei Telemedizin oder Patientenportalen. Der AI Act greift nur, wenn KI-Systeme zur Diagnose, Behandlung oder Patientenverwaltung eingesetzt werden. Kleine Ordinationen ohne KI und ohne Online-Terminbuchung sind meist nur von DSGVO und BaFG betroffen.
DSGVO: seit 25.05.2018; BaFG (AT): 28.06.2025; EHDS: voraussichtlich ab Q4 2025; EU AI Act (high-risk): 02.08.2026
Trifft mich das?
- Ja
Du betreibst eine Website mit Kontaktformular oder Online-Terminbuchung.
Sobald personenbezogene Daten (Name, E-Mail, Gesundheitsdaten) erfasst werden, greift die DSGVO vollumfänglich.
- Ja
Deine Praxis bietet Telemedizin oder digitale Patientenakten an.
EHDS und DSGVO gelten, sobald Gesundheitsdaten digital verarbeitet oder geteilt werden.
- Vielleicht
Du nutzt KI-gestützte Tools zur Diagnose oder Patientenverwaltung.
Der EU AI Act greift nur, wenn KI-Systeme in die medizinische Entscheidungsfindung eingebunden sind. Einfache Automatisierungen (z.B. Terminbestätigung) sind ausgenommen.
- Ja
Die Website ist nach dem 28.06.2025 neu erstellt oder grundlegend überarbeitet.
Das BaFG verlangt Barrierefreiheit für neue oder wesentlich geänderte digitale Angebote ab diesem Stichtag.
- Nein
Du hast keine Website und keine digitalen Services.
Ohne digitale Verarbeitung personenbezogener Daten gelten nur die analogen Pflichten der DSGVO. BaFG, EHDS und AI Act sind dann irrelevant.
- Vielleicht
Es werden keine Gesundheitsdaten digital gespeichert (z.B. nur Papierakten).
DSGVO gilt trotzdem, aber EHDS und BaFG sind weniger relevant. Papierbasierte Prozesse sind aber zunehmend risikobehaftet (z.B. bei Verlust).
Was steht auf dem Spiel
€2.800–€8.000 DSGVO-Strafe (AT: Datenschutzbehörde 2023, mehrere Fälle).
Tracking ohne Einwilligung auf Praxiswebsite.
Datenschutzbehörde (AT) – Tätigkeitsbericht 2023
Bis zu €5.000 Verwaltungsstrafe pro Verstoß.
Website nicht barrierefrei nach BaFG ab 28.06.2025.
Sozialministeriumservice (AT), BaFG §13
Bis €18.000 DSGVO-Strafe (Beispielfall: Versicherer X, Datenschutzbericht 2023).
Digitale Gesundheitsdaten unsicher gespeichert (z.B. Cloud ohne Auftragsverarbeitung).
Datenschutzbehörde (AT), DSGVO Art. 83
Bis zu €30.000 Bußgeld nach EU AI Act (hypothetisch, abhängig von Einstufung).
KI-gestützte Diagnosesoftware ohne Risikoprüfung eingesetzt.
EU AI Act, Art. 71
Action-Checkliste
- Pflicht
Cookie-Banner via klaro.js oder Borlabs (DE) ohne dark patterns und mit echter Auswahlmöglichkeit implementieren.
- Pflicht
SSL/TLS-Zertifikat für die gesamte Website aktivieren (Let's Encrypt reicht).
- Pflicht
Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) aktuell halten – inkl. Auftragsverarbeiter (z.B. Hoster, Terminbuchungstools).
- Pflicht
Barrierefreiheit nach WCAG 2.1 AA für neue Websites ab 28.06.2025 umsetzen (z.B. kontrastreiche Farben, Tastaturbedienung, Alt-Texte).
- Pflicht
Auftragsverarbeitungsverträge mit allen externen IT-Dienstleistern prüfen und dokumentieren.
- Pflicht
Datenschutzerklärung mit klarer Auflistung aller Datenverarbeitungen und Tools (inkl. Tracking, Terminbuchung, Newsletter).
- Sollte
Zwei-Faktor-Authentifizierung für alle Zugänge zu Patientendaten aktivieren.
- Sollte
Regelmäßige (mind. jährlich) Datenschutz-Schulungen für alle Mitarbeitenden dokumentieren.
- Sollte
Automatisierte Backups aller digitalen Patientendaten mit Verschlüsselung einrichten.
- Sollte
KI-Algorithmen und Entscheidungsunterstützungstools auf Risiko und Bias prüfen (nur falls KI im Einsatz).
- Optional
Kontaktmöglichkeit für Barrierefreiheitsfeedback auf der Website bereitstellen.
- Optional
DSGVO-konforme Newsletter-Anmeldung mit Double-Opt-In und Nachweis der Einwilligung.
So setzen wir das um
Audit: DSGVO & Barrierefreiheit
€1.800–€2.900 einmalig
8–13 Werktage
Kleine bis mittlere Wahlarztpraxen, die einen klaren Umsetzungsplan und eine technische Schwachstellenanalyse benötigen.
AnfragenFix: Umsetzung & Nachbesserung
€5.000–€11.000 pauschal
3–4 Wochen
Praxen mit bestehender Website und konkreten Mängeln (z.B. fehlende Barrierefreiheit, unsichere Datenhaltung), die eine vollständige technische Umsetzung wollen.
AnfragenManaged: Audit, Fix & Monitoring
ab €15.000 Setup + €650/Monat
6 Wochen Setup, laufend Monitoring
Größere Ordinationen mit mehreren Standorten oder komplexen IT-Systemen, die laufende Überwachung und Updates wünschen.
AnfragenTypische Risiken für Wahlarztpraxen
Kein Cookie-Banner oder irreführende Einwilligung
mediumTransparente Consent-Lösung wie klaro.js oder Borlabs (DE) einsetzen.
Patientendaten in unsicherer Cloud gespeichert
highAuftragsverarbeitungsvertrag abschließen und Verschlüsselung aktivieren.
Website nicht barrierefrei nach BaFG
mediumWCAG 2.1 AA umsetzen und Feedback-Kontakt anbieten.
Keine Dokumentation der Verarbeitungstätigkeiten
highVerzeichnis nach Art. 30 DSGVO führen und regelmäßig aktualisieren.
Technische To-dos für Ärzte-Websites
Diese Punkte sind für DSGVO- und BaFG-Konformität ab 2025 entscheidend.
SSL/TLS-Zertifikat für die gesamte Website aktivieren
Let's Encrypt ist ausreichend.
Barrierefreiheit nach WCAG 2.1 AA umsetzen
Gilt für neue oder überarbeitete Websites ab 28.06.2025.
Cookie-Banner mit echter Auswahlmöglichkeit integrieren
Keine Voreinstellungen, keine Dark Patterns.
Verzeichnis der Verarbeitungstätigkeiten führen
Art. 30 DSGVO, inkl. aller Auftragsverarbeiter.
Zwei-Faktor-Authentifizierung für Patientendaten
Empfohlen, aber nicht verpflichtend.
Kontakt für Barrierefreiheitsfeedback bereitstellen
BaFG empfiehlt einen Feedback-Kanal.
FAQ: Compliance für Wahlarztpraxen
Muss ich als Wahlarztpraxis überhaupt DSGVO und BaFG beachten?
Ja, sobald du Patientendaten digital verarbeitest oder eine Website betreibst, gelten DSGVO und ab 28.06.2025 das BaFG für Barrierefreiheit. Auch kleine Ordinationen sind nicht ausgenommen.
Wie hoch ist die Strafe bei Verstößen gegen DSGVO oder BaFG?
Die Datenschutzbehörde verhängt in der Praxis Strafen zwischen €2.800 und €18.000 (AT, 2023). Bei Barrierefreiheit drohen bis zu €5.000 Verwaltungsstrafe pro Verstoß.
Wer haftet bei Verstößen – Geschäftsführung oder Datenschutzbeauftragte:r?
Primär haftet die Geschäftsführung. Datenschutzbeauftragte:r haftet nur bei grober Fahrlässigkeit oder Vorsatz. Die Verantwortung für die Umsetzung bleibt beim Praxisinhaber bzw. der Geschäftsleitung.
Häufige Compliance-Fragen
Muss ich als Wahlarztpraxis überhaupt DSGVO und BaFG beachten?
Ja, sobald du Patientendaten digital verarbeitest oder eine Website betreibst, gelten DSGVO und ab 28.06.2025 das BaFG für Barrierefreiheit. Auch kleine Ordinationen sind nicht ausgenommen.
Ab welcher Praxisgröße gelten die Regeln?
Die DSGVO gilt unabhängig von der Größe. Das BaFG greift für alle neuen oder grundlegend überarbeiteten digitalen Angebote ab 28.06.2025, unabhängig von der Mitarbeiterzahl.
Wie hoch ist die Strafe bei Verstößen gegen DSGVO oder BaFG?
Die Datenschutzbehörde verhängt in der Praxis Strafen zwischen €2.800 und €18.000 (AT, 2023). Bei Barrierefreiheit drohen bis zu €5.000 Verwaltungsstrafe pro Verstoß.
Wer haftet bei Verstößen – Geschäftsführung oder Datenschutzbeauftragte:r?
Primär haftet die Geschäftsführung. Datenschutzbeauftragte:r haftet nur bei grober Fahrlässigkeit oder Vorsatz. Die Verantwortung für die Umsetzung bleibt beim Praxisinhaber bzw. der Geschäftsleitung.
Welche Übergangsfristen gelten für das BaFG?
Für bestehende Websites gibt es Bestandsschutz. Nur neue oder grundlegend geänderte digitale Angebote müssen ab 28.06.2025 barrierefrei sein. Für EHDS und AI Act gelten längere Übergangsfristen (ab 2025/2026).
Muss ich KI-Tools oder Telemedizin extra melden?
KI-gestützte Systeme und Telemedizin müssen dokumentiert werden. Bei KI-Einsatz ist eine Risikoprüfung nach EU AI Act Pflicht – aber nur, wenn diese Systeme tatsächlich medizinische Entscheidungen beeinflussen.
Nächster Schritt
30 Minuten Compliance-Check für Wahlarztpraxen buchen.
Du willst wissen, ob deine Website und IT wirklich DSGVO- und BaFG-konform sind? In 30 Minuten klären wir, was konkret zu tun ist – kein Verkaufsgespräch, sondern ehrliche Einschätzung.