Logo von Blue Panda
← Alle News
Regulatorik3 Min. Lesezeit

Datenschutzbeauftragter im MVZ: Gezählt wird der Träger

Nach § 38 Abs. 1 BDSG braucht ein Verantwortlicher unter anderem einen Datenschutzbeauftragten, sobald er in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt; eine durchschnittliche Zahnarztpraxis lag 2023 laut KZBV-Jahrbuch 2025 in den alten Ländern mit 8,57 und in den neuen mit 5,99 Beschäftigten weit darunter. Für einen Träger mit mehreren Standorten gilt die Rechnung anders, weil diese Schwelle am Verantwortlichen hängt und nicht am einzelnen Standort.

Die Zahlen

  • Seit dem 26. November 2019 liegt die Schwelle für einen verpflichtenden Datenschutzbeauftragten nach § 38 Abs. 1 BDSG bei in der Regel mindestens 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind; vorher waren es zehn.
  • Laut KZBV-Jahrbuch 2025 (Zahnärzte-Praxis-Panel) beschäftigte eine Zahnarztpraxis 2023 in den alten Bundesländern im Schnitt 8,57 Personen, in den neuen Bundesländern 5,99; nach eigener Berechnung kommen drei Standorte durchschnittlicher West-Größe zusammen auf rund 26 Beschäftigte.
  • Die Bundesbeauftragte für den Datenschutz nahm 2024 laut ihrem 33. Tätigkeitsbericht 8.740 Meldungen nach Art. 33 DSGVO entgegen, nach 10.106 im Jahr 2021; für Zahnarztpraxen und MVZ ist sie allerdings nicht zuständig, deren Meldungen gehen an die Datenschutzbehörde des jeweiligen Landes.

Unsere Einordnung

Die 20-Personen-Schwelle wirkt für die Einzelpraxis wie eine ferne Grenze, für einen Verbund ist sie oft schon überschritten, ohne dass jemand eine Entscheidung getroffen hätte. Nach dem Wortlaut von § 38 BDSG zählt, wie viele Personen der Verantwortliche beschäftigt; betreibt eine MVZ-Gesellschaft mehrere Standorte, werden die Teams aller Standorte zusammengerechnet, und ein Zukauf oder eine Neueröffnung kann die Pflicht über Nacht auslösen. Mitgezählt wird, wer ständig mit Patientendaten am Rechner arbeitet, an Empfang, Behandlungsstuhl und in der Abrechnung, und das sind in der Zahnarztpraxis die meisten. Unabhängig von der Kopfzahl kann die Pflicht ergänzend nach Art. 37 DSGVO bestehen, wenn Gesundheitsdaten in großem Umfang verarbeitet werden, oder wenn eine Datenschutz-Folgenabschätzung nötig ist (§ 38 Abs. 1 Satz 2 BDSG); wo diese Grenze für einen Verbund liegt, beantwortet die zuständige Landesbehörde. Hinzu kommt eine Asymmetrie, die man in der Gruppe leicht übersieht: Gehören Standorte zu verschiedenen Gesellschaften, zählt jede für sich, und dieselbe Gruppe kann für einen Teil ihrer Standorte eine Pflicht haben und für einen anderen nicht. Wer den Datenschutz deshalb je Gesellschaft organisiert, bekommt mehrere Zuständigkeiten nebeneinander; wer ihn für die Gruppe bündelt, braucht trotzdem eine saubere Zuordnung, welcher Verantwortliche welche Meldung an welche Landesbehörde abgibt.

Fragen an Ihr Haus

  • Wer hat bei Ihrem Träger geprüft, ob eine Pflicht zum Datenschutzbeauftragten besteht, und wie viele Personen arbeiten dort ständig mit Patientendaten am Rechner, über alle Standorte zusammengezählt?
  • Wer in Ihrem Verbund würde eine Datenpanne an einem Außenstandort innerhalb von 72 Stunden an die zuständige Landesbehörde melden, und weiß das Team vor Ort, dass es diese Person gibt?

Quellen

Datenstand: Rechtsstand § 38 BDSG in der Fassung vom 20. November 2019, gültig ab 26. November 2019 (Stand 2. März 2026); Beschäftigte je Praxis für das Jahr 2023 aus dem KZBV-Jahrbuch 2025 (Zahnärzte-Praxis-Panel, Erhebung 2024, PDF-Stand November/Dezember 2025); Meldungen nach Art. 33 DSGVO für 2021 bis 2024 aus dem 33. Tätigkeitsbericht der BfDI, zugeleitet am 10. April 2025. Die rund 26 Beschäftigten für drei Standorte sind eine eigene Berechnung (3 mal 8,57).

Recherchiert mit KI-Unterstützung, geprüft und freigegeben von Johannes Beyer am 24. Oktober 2026. Fehler entdeckt? Schreiben Sie uns an info@blue-panda.de.

Weitere Beiträge