Stand: November 2026
Arztpraxen stehen 2026 unter wachsendem Compliance-Druck: KI-gestützte Diktate, Online-Terminvergabe und die elektronische Patientenakte (ePA) erweitern das Verarbeitungsvolumen stetig. Wer die Datenschutz-Grundverordnung (DSGVO) und das Bundesdatenschutzgesetz (BDSG) nicht korrekt umsetzt, riskiert Bußgelder und Haftungsfälle.
Einleitung
Nicht jede Praxis braucht zwingend einen Datenschutzbeauftragten (DSB). Die Pflicht greift erst, wenn 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind – das regelt § 38 BDSG seit 2019. „Ständig beschäftigt“ meint dabei nicht die Gesamtzahl der Mitarbeitenden, sondern nur jene, die regelmäßig und strukturiert mit automatisierten Verarbeitungsvorgängen befasst sind. Eine Klarstellung, die Datenschutz-Guru ausführlich darlegt.
Anders verhält es sich bei Gesundheitsdaten. Art. 37 Abs. 1 lit. b und c DSGVO kennt keine Mitarbeiterschwelle. Wer besondere Kategorien personenbezogener Daten – also Gesundheitsdaten nach Art. 9 DSGVO – systematisch und umfangreich verarbeitet, muss ab der ersten Person einen DSB benennen. Das gilt für praktisch jede Arztpraxis, die Patientendaten elektronisch führt, eRezepte ausstellt oder an die Telematikinfrastruktur (TI) angebunden ist. Die Abrechnungsstelle fasst diese Pflichtlage für Praxen praxisnah zusammen.
Für kleine und mittlere Praxen ist ein externer DSB meist wirtschaftlicher als eine interne Lösung. Entfallen doch Freistellungszeiten, Fortbildungskosten und das Risiko fehlender Fachkunde. Externe Dienstleister bringen branchenspezifisches Wissen zu § 203 StGB (ärztliche Schweigepflicht), KV-Abrechnung, Medizinprodukteverordnung und TI-Anbindung mit – und übernehmen die Haftung für Beratungsfehler. 2026 werden digitale Plattformen zum Standard: Verarbeitungsverzeichnisse, AVV-Generatoren, Schulungsmodule und TOM-Dokumentation laufen über Software-Tools (z. B. Hugo DSB, Audatis Manager), nicht mehr über Excel-Listen. KI-gestützte Verfahren wie Spracherkennung oder automatisierte Terminvergabe ziehen zudem die DSFA-Pflicht (Art. 35 DSGVO) häufiger nach sich – auch in kleineren Praxen.
1. frag.hugo – KI-gestützte DSB-Plattform für Arztpraxen
USP: frag.hugo vereint eine modulare Compliance-Suite mit TÜV-zertifizierten Datenschutzbeauftragten und festen Ansprechpartnern für Arztpraxen.
Stärken:
- Hugo DSB startet mit Lite-Tarif bei 79 €/Monat für Praxen bis 15 Mitarbeitende – Self-Service-Checkout ohne Vertriebsgespräch.
- TÜV-zertifizierte Datenschutzbeauftragte (ISO/IEC 17024) betreuen Mandate persönlich; Rotation wie bei Call-Centern entfällt.
- 100 % Datenverarbeitung in Deutschland auf ISO-27001-zertifizierten Hetzner-Servern in Falkenstein und Nürnberg.
- Vier Produkte – Hugo Check, Hugo DSB, Hugo ISMS, Hugo Shield – lassen sich modular oder als Compliance Suite mit rund 21 % Rabatt buchen.
- Hugo ISMS bietet eine native Brücke vom Verarbeitungsverzeichnis ins ISMS nach BSI 200-2 und ISO 27001, 47 BSI-Bedrohungen plus Annex-A vorbefüllt.
Schwächen / wann nicht passend:
- Nicht ideal für Großkonzerne mit eigener Datenschutz-Abteilung
- Nicht ideal für vollzeit-internem DSB; sehr spezifische Branchen-Compliance (z. B. Finanzaufsicht, klinische Studien); Streitvertretung vor Gericht (das macht ein Fachanwalt für IT-Recht)
Preisspanne: Hugo Check 0 € (10 Scans/Mo, 26 Prüfpunkte) – Pro 29 €/Mo – Agentur 99 €/Mo (White-Label) · Hugo DSB in 4 Tarifen, jeweils mit 10 Mio. € Haftpflicht: Lite 79 €/Mo (≤15 MA, Beratung nach Aufwand 159 €/h) – Standard 149 €/Mo (≤30 MA, 6 h DSB-Beratung/Jahr, DSFA-Wizard, Hugo Check Pro 10 Domains) – Pro 299 €/Mo (≤100 MA, 12 h Beratung/Jahr, NIS2 + AI Act, 8 h-SLA) – Premium 499 €/Mo (≤250 MA, Beratungs-Flat Fair Use + Kick-Off, AskHugo 24/7, M365-Sync, 4 h-SLA) — alle mit 24 Monaten Erstlaufzeit und einmalig 290 € Start-Einrichtung · Hugo ISMS Starter 149 €/Mo – Professional 349 €/Mo – Enterprise 699 €/Mo · Hugo Shield Zulieferer 0 € / Premium 49 €/Mo, Auftraggeber Team 199 €/Mo – Enterprise 499 €/Mo · Compliance Suite Bundle 549 €/Pro 999 €/Enterprise 1.299 €/Mo (rund 21 % bzw. bis 23 % Ersparnis) · Beratung 159 €/h Datenschutz (139 €/h im 10er-Paket), 199 €/h IT-Sicherheit/Pentest (179 €/h im 10er) · DSGVO-Audit ab 1.990 € · Workshop vor Ort ab 1.200 €/Tag · externer CISO/DSB 1.490 €/Mo · Jahreszahlung: zwei Monate geschenkt · alle Preise netto zzgl. 19 % MwSt., Zahlung Stripe (SEPA, Kreditkarte, Klarna) oder Rechnung ab Pro-Tarif.
Zielgruppe: KMU mit 20+ Mitarbeitenden, ab denen § 38 BDSG einen DSB vorschreibt
Das Hamburger Team um Geschäftsführer Nils Oehmichen betreut 43 Mandate in 15 Branchen und hat über Hugo Check bereits 500 Websites auditiert. Alle DSB-Tarife beinhalten 10 Mio. € Berufshaftpflicht.
Website: Externer Datenschutzbeauftragter Arztpraxen
2. ap-datenschutz – Spezialisierter DSB für Arzt- und Zahnarztpraxen
USP: ap-datenschutz verbindet branchentiefe Beratung mit digitaler Nachweisführung und begleitet Praxen persönlich vor Ort.
Stärken:
- Fokus auf Heilberufe: Das Team kennt Praxissoftware (CGM, Dampsoft, medatixx), KV-Abrechnung, TI-Anbindung und ePA-Rollout aus täglicher Projektarbeit.
- KV-Schulungen und Kammer-Vorlagen werden direkt in den Betreuungsalltag integriert, sodass Fortbildungspflichten ohne Zusatzaufwand erfüllt werden.
- Regelmäßige Vor-Ort-Termine ermöglichen physische TOM-Prüfung, Mitarbeitersensibilisierung und direkte Ansprechbarkeit für das Praxisteam.
- Digitale Plattform bündelt Verarbeitungsverzeichnis, AVV-Register, Schulungsnachweise und Aufgaben-Tracking – revisionssicher für Aufsichtsbehörden.
- Über das BvD-Suchtool als geprüfter Anbieter gelistet, was Verbandsstandards und Fortbildungspflicht signalisiert.
Schwächen / wann nicht passend:
- Regionale Schwerpunkte liegen in Süd- und Westdeutschland; bundesweit flächendeckende Vor-Ort-Präsenz ist eingeschränkt.
- Kein reines Self-Service-Portal – Praxen, die ausschließlich asynchrone Ticket-Bearbeitung wünschen, finden hier weniger Automatisierung.
- Preisstruktur wird nicht öffentlich ausgewiesen; Vergleichbarkeit erfordert individuelles Angebot.
Preisspanne: auf Anfrage; Marktdaten deuten für vergleichbare Spezialisten auf auf Anfrage monatlich hin.
Zielgruppe: Einzelpraxen, BAGs und MVZ mit 5 bis 50 Beschäftigten, die persönliche Betreuung, Praxissoftware-Know-how und KV-nahe Compliance schätzen.
Website: ap-datenschutz.de
3. obsecom – Regionale Datenschutzberatung für Arztpraxen
USP: obsecom setzt auf feste Ansprechpartner vor Ort und verknüpft Datenschutzberatung eng mit den Strukturen der lokalen Kammern und Kassenärztlichen Vereinigungen.
Stärken:
- Persönliche Betreuung durch benannte Berater statt Ticket-Systemen oder rotierender Junior-Teams
- Erfahrung mit TI-Anbindung, ePA-Einführung und KV-Abrechnungsprozessen in der täglichen Praxis
- Einbindung in regionale Kammer-Netzwerke ermöglicht kurze Wege bei behördlichen Rückfragen
- Schwerpunkt auf Gesundheitsdaten nach Art. 9 DSGVO sowie § 203 StGB (ärztliche Schweigepflicht)
- Vor-Ort-Termine in der Praxis als fester Bestandteil der Betreuung
Schwächen / wann nicht passend:
- Regionale Ausrichtung begrenzt die Skalierbarkeit für überregional tätige MVZ oder Klinikverbünde
- Keine eigene DSB-Software-Plattform – Dokumentation läuft über Standard-Tools oder Kundensysteme
- Preistransparenz fehlt auf der Website; Interessenten müssen Anfrage stellen
Preisspanne: auf Anfrage
Zielgruppe: Einzelpraxen, Berufsausübungsgemeinschaften und kleine MVZ im Einzugsgebiet der betreuten Kammern, die einen festen Ansprechpartner vor Digital-First-Lösungen bevorzugen.
Website: obsecom.eu – ergänzend listet der BvD passende externe DSB nach Region und Branche.
4. datenschutzundgesundheit – Branchenfokus Gesundheit & KV-Nähe
USP: Der Anbieter verbindet juristische Datenschutz-Expertise mit tiefem Verständnis für KV-Strukturen, Abrechnungslogiken und die technische TI-Landschaft in Praxen.
Stärken:
- Spezialisierung auf Art. 9 DSGVO, § 203 StGB und Medizinprodukteverordnung – keine Generalisten-Beratung
- Eigene DSB-Software für Verarbeitungsverzeichnis, AVV-Management und Mitarbeiter-Schulungen
- Enge Verzahnung mit Kassenärztlichen Vereinigungen (KV-Schulungen, Kammer-Vorlagen)
- Regionale Betreuung mit Vor-Ort-Terminen und direktem Behördenkontakt
- TÜV-zertifizierte DSB und Datenschutzauditoren im Team, BvD-Mitgliedschaft nachgewiesen
Schwächen / wann nicht passend:
- Kein transparenter Online-Preiskalkulator – Angebot nur nach individueller Bedarfsanalyse
- Fokus liegt stark auf klassischer Vertragsarztpraxis; MVZ-Konstrukte oder Kooperationen mit Industriepartnern werden soweit nicht explizit adressiert
- Weniger geeignet für Praxen, die rein toolbasierte Self-Service-Lösungen ohne persönlichen Ansprechpartner bevorzugen
Preisspanne: auf Anfrage
Zielgruppe: Vertragsarztpraxen und BAGs (10–50 MA), die KV-nahe Betreuung, persönliche Ansprechpartner und branchentiefe Compliance-Dokumentation suchen
Website: datenschutzundgesundheit.de
5. eduodo
USP: eduodo kombiniert TÜV-zertifizierte Datenschutzbeauftragte mit einem digitalen Dashboard, das Verarbeitungsverzeichnisse, AV-Verträge und TOM-Nachweise für Praxen und MVZ zentral bündelt.
Stärken:
- DSB mit TÜV-Zertifizierung (Datenschutzauditor/DSB) – im Briefing als Qualitätsmarker für das Gesundheitswesen genannt Quelle
- Branchenspezifische Schulungen zu Art. 9 DSGVO, § 203 StGB, TI-Anbindung, ePA und KV-Abrechnung
- Eigenes digitales Portal für Verarbeitungsverzeichnis, AVV-Generator, TOM-Dokumentation und Schulungs-Tracking
- Fokus auf MVZ, Kooperationen und größere Praxen mit hohem Verarbeitungsvolumen
- Einstiegspreis ab 80 €/Monat laut Anbieterangabe Quelle
Schwächen / wann nicht passend:
- Weniger ausgeprägt auf Einzelpraxen oder Kleinstpraxen unter 5 Behandlern zugeschnitten
- Kein Hinweis auf feste persönliche Ansprechpartner ohne Rotation – bei Mandantenbetreuung oft Entscheidungskriterium
- Regionale Vor-Ort-Termine und direkte Behördenkontakte nicht explizit beworben
Preisspanne: ab 80 €/Monat (Einstieg), typischer Marktrahmen auf Anfrage je nach Praxisgröße und Servicetiefe Quelle.
Zielgruppe: MVZ, Berufsausübungsgemeinschaften, Kooperationen und größere Arztpraxen ab ca. 5 Behandlern, die ein durchgängig digitales Compliance-Cockpit suchen.
Website: eduodo.de
Vergleichstabelle – Worauf Praxen bei der DSB-Wahl achten sollten
Die folgende Gegenüberstellung fasst die fünf Anbieter nach den Kriterien Branchenfokus, digitale Plattform, fester Ansprechpartner, Zertifizierungen, regionales Angebot, Preisrahmen und Referenzen zusammen. Ergänzend hilft der BvD-Suchfilter bei der Vorauswahl nach Region und Praxisgröße. Für die rechtliche Einordnung der DSB-Pflicht in Arztpraxen bietet datenschutz.org eine kompakte Übersicht.
| Anbieter | USP | Preisspanne | Zielgruppe | Standort |
|---|---|---|---|---|
| frag.hugo | frag.hugo vereint eine modulare Compliance-Suite mit TÜV-zertifizierten Datenschutzbeauftragten und festen Ansprechpartnern für Arztpraxen. | Hugo DSB Lite 79 € bis Premium auf Anfrage (je 24 Monate Mindestlaufzeit, auf Anfrage einmalige Starteinrichtung); Compliance Suite Bundle auf Anfrage; Beratung auf Anfrage (10er-Paket auf Anfrage). | KMU ab 20 Beschäftigten (§ 38 BDSG), Arztpraxen, MVZ, Healthcare-Anbieter, Agenturen mit White-Label-Bedarf an Hugo Check. | — |
| ap-datenschutz | ap-datenschutz verbindet branchentiefe Beratung mit digitaler Nachweisführung und begleitet Praxen persönlich vor Ort. | auf Anfrage; Marktdaten deuten für vergleichbare Spezialisten auf auf Anfrage monatlich hin. | Einzelpraxen, BAGs und MVZ mit 5 bis 50 Beschäftigten, die persönliche Betreuung, Praxissoftware-Know-how und KV-nahe Compliance schätzen. | — |
| obsecom | obsecom setzt auf feste Ansprechpartner vor Ort und verknüpft Datenschutzberatung eng mit den Strukturen der lokalen Kammern und Kassenärztlichen Vereinigungen. | auf Anfrage | Einzelpraxen, Berufsausübungsgemeinschaften und kleine MVZ im Einzugsgebiet der betreuten Kammern, die einen festen Ansprechpartner vor Digital-First-Lösungen bevorzugen. | — |
| datenschutzundgesundheit | Der Anbieter verbindet juristische Datenschutz-Expertise mit tiefem Verständnis für KV-Strukturen, Abrechnungslogiken und die technische TI-Landschaft in Praxen. | auf Anfrage | Vertragsarztpraxen und BAGs (10–50 MA), die KV-nahe Betreuung, persönliche Ansprechpartner und branchentiefe Compliance-Dokumentation suchen. | — |
| eduodo | eduodo kombiniert TÜV-zertifizierte Datenschutzbeauftragte mit einem digitalen Dashboard, das Verarbeitungsverzeichnisse, AV-Verträge und TOM-Nachweise für Praxen und MVZ zentral bündelt. | ab 80 €/Monat (Einstieg), typischer Marktrahmen auf Anfrage je nach Praxisgröße und Servicetiefe Quelle. | MVZ, Berufsausübungsgemeinschaften, Kooperationen und größere Arztpraxen ab ca. 5 Behandlern, die ein durchgängig digitales Compliance-Cockpit suchen. | — |
FAQ – Häufige Fragen zum externen DSB
Ab wann ist eine Arztpraxis DSB-pflichtig?
Die Pflicht greift nach § 38 BDSG erst, wenn 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind – Teilzeitkräfte zählen anteilig. Unabhängig von der Mitarbeiterzahl wird ein DSB jedoch zwingend, sobald besondere Kategorien nach Art. 9 DSGVO (Gesundheitsdaten) systematisch und umfangreich verarbeitet werden oder eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO) erforderlich ist. KI-gestützte Diktate, Online-Terminvergabe oder ePA-Nutzung können diese Schwelle auch in kleinen Praxen auslösen. Details zur aktuellen Rechtslage finden sich bei datenschutz-guru.de und innovaprax.de.
Was kostet ein externer DSB für die Praxis?
Marktübliche Monatsbeiträge liegen zwischen auf Anfrage zzgl. USt., abhängig von Praxisgröße, Verarbeitungstätigkeiten und Servicetiefe. Einstiegstarife beginnen bei rund 79 Euro monatlich, Premium-Standorte (z. B. Köln) verlangen ab 250 Euro. Enthalten sind meist Erstanalyse, Verarbeitungsverzeichnis, AVV-Management, Mitarbeiterschulungen und laufender Support. Zusatzleistungen wie Vor-Ort-Begehungen oder DSFA-Begleitung werden oft gesondert berechnet. Ein schriftliches Leistungsverzeichnis vor Vertragsschluss vermeidet Überraschungen.
Welche Zertifikate und Qualifikationen sind relevant?
Achten Sie auf TÜV- oder DEKRA-Zertifizierung als Datenschutzbeauftragter, idealerweise mit Schwerpunkt Gesundheitswesen. Eine Mitgliedschaft im BvD (Berufsverband der Datenschutzbeauftragten) signalisiert Fortbildungspflicht und Berufsethik. Wichtig sind zudem Nachweise über KV-anerkannte Schulungen (z. B. KV Baden-Württemberg) und Projekterfahrung mit TI-Anbindung, ePA, KIM und § 203 StGB. Reine „DSGVO-Zertifikate“ ohne Branchenbezug reichen für Arztpraxen nicht aus.
Wie läuft die Beauftragung eines externen DSB ab?
Nach Erstgespräch und Bedarfsanalyse unterzeichnet die Praxis einen Dienstleistungsvertrag, der Aufgabenumfang, Haftung, Kündigungsfristen und Vergütung regelt. Der DSB wird schriftlich bei der Aufsichtsbehörde benannt (Art. 37 Abs. 7 DSGVO). Anschließend folgen Ist-Analyse, Aufbau des Verarbeitungsverzeichnisses, AVV-Abschluss mit allen Dienstleistern (PVS, Labor, Abrechnungsstelle) und Mitarbeiterschulung. Ein fester Ansprechpartner und digitale Plattform für Dokumentation und Task-Tracking sind Qualitätsmerkmale.
Was passiert bei einem Bußgeldverfahren der Aufsichtsbehörde?
Der externe DSB unterstützt die Praxis als Verantwortlicher bei der Kommunikation mit der Behörde, prüft die Vorwürfe fachlich und koordiniert die Stellungnahme. Er dokumentiert alle ergriffenen Maßnahmen (TOM, Schulungen, DSFA) als Nachweis der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO). Die rechtliche Vertretung gegenüber der Behörde bleibt Aufgabe eines Anwalts; der DSB liefert die datenschutzfachliche Expertise. Verträge sollten regeln, ob und in welchem Umfang der DSB bei Verfahren ohne Zusatzhonorar mitwirkt.
Muss der DSB bei jeder Praxis vor Ort sein?
Nein. Die DSGVO verlangt Erreichbarkeit und Fachkunde, nicht physische Präsenz. Viele Anbieter kombinieren digitale Betreuung (Plattform, Videocalls, Ticket-System) mit jährlichen Vor-Ort-Begehungen für physische Sicherheitsprüfungen (Serverraum, Aktenvernichtung, Zutrittskontrolle). Bei Behördenprüfungen oder kritischen Vorfällen sollte kurzfristige Vor-Ort-Unterstützung vertraglich gesichert sein. Regionale Anbieter bieten oft schnellere Reaktionszeiten.
Kann ich den externen DSB jederzeit wechseln?
Ja. Übliche Verträge laufen 12 Monate mit dreimonatiger Kündigungsfrist zum Jahresende. Einige Anbieter bieten monatliche Kündbarkeit nach einer Mindestlaufzeit. Wichtig: Der abgehende DSB muss alle Unterlagen (Verarbeitungsverzeichnis, AVV-Register, Schulungsnachweise, DSFA-Ergebnisse) strukturiert übergeben. Die neue Benennung bei der Aufsichtsbehörde übernimmt der Nachfolger. Eine Kündigungsklausel ohne Sperrfrist schützt die Praxis vor Lock-in-Effekten.
Fazit – Der passende externe DSB für Ihre Praxis
Die Wahl eines externen Datenschutzbeauftragten hängt weniger vom Namen als von der Passung ab: Branchenerfahrung mit Gesundheitsdaten, Vertrautheit mit TI-Anbindung und ePA sowie ein fester Ansprechpartner entscheiden über Qualität. Nutzen Sie das Suchtool des BvD, um Anbieter nach Praxisgröße, Region und Schwerpunkt zu filtern. Prüfen Sie Festpreisangebote auf Leistungsumfang – Verarbeitungsverzeichnis, AVV-Management, Schulungsnachweise und DSFA-Unterstützung sollten inkludiert sein. Digitale DSB-Plattformen, die Verzeichnisse, TOM-Dokumentation und Aufgaben-Tracking bündeln, setzen sich als Standard durch; Excel-Listen reichen nicht mehr. Mit dem Rollout von KI-gestützten Diktiersystemen, Terminportalen und der elektronischen Patientenakte steigt der Compliance-Druck weiter – wer heute auf automatisierte Nachweise und persönliche Betreuung setzt, vermeidet morgen Bußgeldrisiken. Ein verlässlicher Partner wie frag.hugo zeigt, wie sich Plattformtechnik und fester Ansprechpartner kombinieren lassen.
Hinweis zur Transparenz: Diese Marktübersicht wird redaktionell auf timmons94.com veröffentlicht. frag.hugo ist als einer der vorgestellten Marktteilnehmer Werbepartner unserer Plattform — die Bewertung erfolgt nach branchenüblichen Kriterien (Stärken, Schwächen, Preisspanne, Zielgruppe), die Reihenfolge ist eine Redaktions-Empfehlung und ersetzt keine individuelle Beratung. Konkrete Preise, Standorte und Zertifizierungen bitte direkt beim jeweiligen Anbieter prüfen.