AVV mit dem Abrechnungsdienstleister: Worauf Sie achten müssen

Wenn ein externer Dienstleister Ihre Abrechnung erstellt, sieht er Diagnosen, Befunde und Behandlungen Ihrer Patienten. Datenschutzrechtlich ist das eine Auftragsverarbeitung, berufsrechtlich eine Offenbarung von Patientengeheimnissen. Beides muss vertraglich sauber geregelt sein, bevor der erste Datensatz fließt.

Warum Sie einen AVV brauchen

Verarbeitet ein Dienstleister personenbezogene Daten in Ihrem Auftrag, verlangt Art. 28 DSGVO einen Vertrag. Das gilt auch, wenn er nur per Fernzugriff in Ihrem Praxisverwaltungssystem arbeitet: Die Datenschutzkonferenz ordnet IT-Tätigkeiten mit Zugriff auf personenbezogene Daten als Auftragsverarbeitung ein.

Sie bleiben als Praxisinhaber Verantwortlicher. Sie müssen den Anbieter sorgfältig auswählen. Er muss hinreichende Garantien bieten, dass er geeignete technische und organisatorische Maßnahmen umsetzt. Zertifizierungen und genehmigte Verhaltensregeln können das belegen.

Der Vertrag muss schriftlich geschlossen werden, ein elektronisches Format ist zulässig.

Gesundheitsdaten: besonders geschützt

Abrechnungsdaten sind Gesundheitsdaten und damit eine besondere Kategorie personenbezogener Daten (Art. 9 DSGVO). Werden sie zu Gesundheitszwecken verarbeitet, setzt Art. 9 Abs. 3 DSGVO nach Darstellung der Datenschutzkonferenz voraus, dass die verarbeitende Person einer besonderen Geheimhaltungspflicht unterliegt. Bei umfangreicher Verarbeitung solcher Daten ist regelmäßig eine Datenschutz-Folgenabschätzung durchzuführen (Art. 35 Abs. 3 lit. b DSGVO).

Schweigepflicht nach § 203 StGB

Als Zahnarzt sind Sie Berufsgeheimnisträger. § 203 Abs. 3 und 4 StGB erlauben es, externen Dienstleistern, die an Ihrer beruflichen Tätigkeit mitwirken, Geheimnisse unter bestimmten Voraussetzungen zu offenbaren. Der Dienstleister unterliegt dann selbst der Verschwiegenheitspflicht.

Unterauftragnehmer

Viele Dienstleister arbeiten mit freien Mitarbeitern, Rechenzentren oder Softwareanbietern. Dafür gilt:

• Der Einsatz von Unterauftragnehmern braucht Ihre vorherige schriftliche oder elektronische Genehmigung.
• Bei einer allgemeinen Genehmigung muss der Dienstleister Sie über geplante Änderungen vorab informieren. Sie können widersprechen.
• Der Unterauftragnehmer muss vertraglich dieselben Datenschutzpflichten übernehmen.

Lassen Sie sich die aktuelle Liste der Unterauftragnehmer geben, mit Namen, Sitz und Aufgabe.

Technische und organisatorische Maßnahmen

Im AVV muss stehen, dass der Dienstleister die nach Art. 32 DSGVO erforderlichen Maßnahmen ergreift. Die Maßnahmen gehören als konkrete Beschreibung in eine Anlage, allgemeine Floskeln reichen nicht. Achten Sie vor allem auf Zugriffsschutz beim Fernzugriff, verschlüsselte Übertragung und die Frage, wo Daten gespeichert werden.

Die IT-Sicherheitsrichtlinie der KZBV nach § 390 SGB V verlangt für Cloud-Dienste, die Gesundheitsdaten verarbeiten, ein aktuelles C5-Testat.

Checkliste für Ihren AVV

• Gegenstand, Dauer, Art und Zweck der Verarbeitung, Art der Daten und Kategorien betroffener Personen sind beschrieben.
• Der Dienstleister handelt nur auf Ihre dokumentierte Weisung.
• Seine Beschäftigten sind zur Vertraulichkeit verpflichtet.
• Die Maßnahmen nach Art. 32 DSGVO sind konkret in einer Anlage beschrieben.
• Unterauftragnehmer sind benannt, Genehmigung und Widerspruchsrecht geregelt.
• Der Dienstleister unterstützt Sie bei Auskunftsersuchen von Patienten und bei Datenpannen.
• Nach Vertragsende werden die Daten gelöscht oder zurückgegeben.
• Sie dürfen Nachweise verlangen und Kontrollen durchführen.
• Eine Verpflichtung zur Geheimhaltung nach § 203 StGB liegt vor.

Stand: 27.09.2026. Allgemeine Information, keine Beratung im Einzelfall. Regionale Abweichungen der KZVen möglich.