§ 203 StGB: Wie Arztpraxen und Kanzleien alte IT sicher abgeben

Kurz gesagtNach § 203 Abs. 4 StGB machen Sie sich als Berufsgeheimnisträger in Praxis oder Kanzlei selbst strafbar, wenn ein Dienstleister ein Geheimnis offenbart und Sie ihn nicht vorher zur Geheimhaltung verpflichtet haben. Deshalb gehören vor jede Abholung zwei Unterschriften: die Verpflichtung zur Geheimhaltung und der Vertrag zur Auftragsverarbeitung.

Wenn eine Praxis oder Kanzlei ihre Rechner ersetzt, liegen auf den alten Geräten noch Patientenakten oder Mandantenunterlagen. Das Strafgesetzbuch schützt diese Geheimnisse besonders. Wer sie an einen Ankäufer oder Entsorger übergibt, muss ihn vorher schriftlich zur Geheimhaltung verpflichten. Hier steht, was in diese Verpflichtung gehört und welche Papiere vor der Abholung vorliegen sollten.

Wen § 203 StGB betrifft

§ 203 Abs. 1 StGB nennt die Berufe, die zur Verschwiegenheit verpflichtet sind. Nr. 1 erfasst Ärztinnen, Zahnärzte, Tierärzte, Apothekerinnen und Angehörige anderer Heilberufe mit staatlich geregelter Ausbildung, Nr. 2 Berufspsychologen. Nr. 3 erfasst unter anderem Rechtsanwälte, Notare, Wirtschaftsprüfer und Steuerberater. Wer ein fremdes Geheimnis unbefugt offenbart, das ihm in diesem Beruf anvertraut wurde, riskiert Freiheitsstrafe bis zu einem Jahr oder Geldstrafe.

Verfolgt wird die Tat nach § 205 Abs. 1 StGB nur auf Antrag. Den Antrag stellt nach § 77 Abs. 1 StGB der Verletzte, hier also der Patient oder Mandant, dessen Geheimnis offenbart wurde. Wer seine Daten auf einem gebraucht gekauften Notebook wiederfindet, kann das Verfahren also selbst in Gang setzen.

Welche Pflichten Ihr Berufsstand im Einzelnen hat, steht auf unseren Seiten für Arztpraxen und Kliniken und für Kanzleien und Steuerberater. Dieser Beitrag behandelt nur die Übergabe der Altgeräte an einen Dienstleister.

Warum die Abgabe alter Geräte ein Offenbaren sein kann

Wer einen ungelöschten Datenträger weitergibt, macht die Daten darauf dem Empfänger zugänglich. Deshalb erlaubt das Gesetz die Weitergabe an Dienstleister nur unter Bedingungen.

§ 203 Abs. 3 Satz 2 StGB lässt zu, dass Sie Geheimnisse gegenüber Personen offenbaren, die an Ihrer beruflichen Tätigkeit mitwirken. Ein IT-Dienstleister, der Ihre Altgeräte löscht, kann eine solche mitwirkende Person sein. Die Erlaubnis gilt aber nur, soweit die Weitergabe für dessen Tätigkeit erforderlich ist.

Für die Ausmusterung heißt das: Sie dürfen Geräte mit Daten an einen Dienstleister geben, der zur Verschwiegenheit verpflichtet ist und mit dem ein Vertrag zur Auftragsverarbeitung besteht. Möchten Sie, dass er gar keine Daten mehr zu sehen bekommt, wählen Sie eine Löschung vor Ort in Ihren Räumen.

Was Abs. 4 von Ihnen verlangt

§ 203 Abs. 4 StGB hat zwei Seiten.

Der Dienstleister ist selbst strafbar. Nach Satz 1 macht sich auch die mitwirkende Person strafbar, wenn sie ein Geheimnis unbefugt offenbart, das ihr bei ihrer Tätigkeit bekannt geworden ist. Der gleiche Strafrahmen gilt für sie wie für Sie.

Sie sind strafbar, wenn die Verpflichtung fehlte. Nach Satz 2 Nr. 1 wird ebenso bestraft, wer als Berufsgeheimnisträger nicht dafür gesorgt hat, dass eine mitwirkende Person zur Geheimhaltung verpflichtet wurde, und diese Person dann ein Geheimnis offenbart. Sie müssen also nicht selbst etwas verraten haben. Es reicht, dass die Verpflichtung fehlte und der Dienstleister etwas preisgibt.

Der Dienstleister muss seine Helfer verpflichten. Satz 2 Nr. 2 überträgt dieselbe Pflicht auf den Dienstleister: Zieht er seinerseits jemanden hinzu, etwa einen Transporteur oder einen Vernichtungsbetrieb, muss er diesen ebenfalls zur Geheimhaltung verpflichten.

Die Pflicht entfällt nach Satz 2 Nr. 1 nur bei mitwirkenden Personen, die selbst zu den Berufen aus Abs. 1 oder 2 gehören. Ein Ankäufer von Firmen-IT gehört nicht dazu.

Was in die Verpflichtung gehört

Das Strafgesetzbuch schreibt keine Form vor. Für Rechtsanwälte und Steuerberater ist das Berufsrecht genauer: § 43e Abs. 3 BRAO und § 62a Abs. 3 StBerG verlangen einen Vertrag in Textform. Darin wird der Dienstleister unter Belehrung über die strafrechtlichen Folgen zur Verschwiegenheit verpflichtet. Er darf sich nur so weit Kenntnis von fremden Geheimnissen verschaffen, wie es für den Auftrag nötig ist. Und es wird festgelegt, ob er weitere Personen einbeziehen darf, die er dann ebenfalls verpflichten muss.

Für Ärztinnen und Ärzte steht die Pflicht zusätzlich in der Berufsordnung ihrer Landesärztekammer. In Westfalen-Lippe steht sie in § 9 Abs. 4, eingefügt durch eine Änderung, die die Kammerversammlung am 16. März 2019 beschlossen hat: Die mitwirkenden Personen sind schriftlich zur Geheimhaltung zu verpflichten. Die Ärztin kann das selbst tun oder dem beauftragten Dienstleistungsunternehmen übertragen, das dann seine Mitarbeitenden verpflichtet. „Schriftlich“ ist strenger gefasst als die Textform im Kanzleirecht. Legen Sie deshalb eine unterschriebene Erklärung ab, nicht nur eine Bestätigung per Mail. Die Berufsordnung Ihrer eigenen Kammer finden Sie auf deren Website.

Die folgende Prüfliste gilt für Praxen und Kanzleien gleichermaßen.

Verpflichtung, AVV, Protokoll: welches Papier wofür

Die Verpflichtung nach § 203 StGB ersetzt keinen Vertrag zur Auftragsverarbeitung. Der eine schützt das Berufsgeheimnis im Strafrecht, der andere regelt den Umgang mit personenbezogenen Daten nach Art. 28 DSGVO. Art. 28 Abs. 3 verlangt unter anderem, dass der Vertrag die Art der Daten und die Kategorien betroffener Personen nennt (Buchstabe b) und festlegt, dass der Auftragsverarbeiter die Daten nach Abschluss löscht oder zurückgibt (Buchstabe g).

Eine Verpflichtung, die erst nach der Abholung unterschrieben wird, kommt zu spät: Die Geräte waren dann schon beim Dienstleister, ohne dass er verpflichtet war.

Erst aufbewahren, dann löschen

Eine sichere Löschung ist endgültig. Bevor ein Gerät gelöscht wird, muss also alles, was Sie noch aufheben müssen, an anderer Stelle liegen.

Für Patientenakten gilt § 630f Abs. 3 BGB: zehn Jahre nach Abschluss der Behandlung, soweit andere Vorschriften keine anderen Fristen vorsehen. Rechtsanwälte müssen Handakten nach § 50 Abs. 1 BRAO sechs Jahre aufbewahren, gerechnet ab dem Ende des Kalenderjahres, in dem der Auftrag beendet wurde. Dazu kommen die steuer- und handelsrechtlichen Aufbewahrungsfristen.

Prüfen Sie deshalb vor der Abgabe, ob die Praxis- oder Kanzleisoftware ihre Daten vollständig auf das neue System übertragen hat. Denken Sie auch an lokale Ablagen, Scanner-Ordner und Mails, die nur auf einem einzelnen Rechner lagen.

Was Sie jetzt tun sollten

1. Geräte erfassen. Listen Sie jedes Gerät mit Seriennummer auf, das Daten gespeichert haben kann. Dazu gehören neben PCs und Notebooks auch Server, Smartphones, Tablets und Drucker oder Kopierer mit eigener Festplatte. Hilfe bietet die Checkliste.
2. Daten sichern. Klären Sie mit Ihrem Softwareanbieter, ob alle aufbewahrungspflichtigen Daten übertragen sind. Erst dann geben Sie die Geräte frei.
3. Verpflichtung einholen. Lassen Sie den Dienstleister die Verpflichtung zur Geheimhaltung unterschreiben und gleichen Sie sie mit der Prüfliste oben ab. Als Praxis lesen Sie vorher § 9 der Berufsordnung Ihrer Ärztekammer.
4. AVV schließen. Schließen Sie den Vertrag zur Auftragsverarbeitung vor der Abholung, solange Daten auf den Geräten sind.
5. Löschweg festlegen. Entscheiden Sie, ob vor Ort oder im Betrieb des Dienstleisters gelöscht wird, und fragen Sie nach dem Verfahren.
6. Nachweise ablegen. Bewahren Sie Verpflichtung, AVV, Übergabeschein und Löschprotokolle zusammen auf. Gleichen Sie die Protokolle mit Ihrer Liste ab.

So unterstützen wir Sie

Die Verpflichtung zur Geheimhaltung nach § 203 StGB unterschreiben wir vor der Abholung. Vor jeder Abholung von Geräten mit Daten schließen wir einen Auftragsverarbeitungsvertrag; er entfällt nur, wenn Sie selbst nachweislich gelöscht haben. Auf Wunsch löschen wir vor Ort in Ihrer Praxis oder Kanzlei. Sonst holen wir bundesweit ab und löschen in Deutschland mit Securaze nach NIST SP 800-88 Purge. Sie erhalten einen Übergabeschein und ein Löschprotokoll je Gerät mit Seriennummer. Nicht löschbare Datenträger werden bei zertifizierten deutschen Recycling-Partnern physisch vernichtet, mit Zertifikat. Mehr zur Technik lesen Sie unter sichere Datenlöschung, den Ablauf unter IT ausmustern.

Keine Rechtsberatung. Stand der Angaben: 11. Oktober 2026.