nDSG für Arztpraxen: Konkrete IT-Massnahmen, Checkliste & Bussgelder 2026

Schnellantwort: Was verlangt das nDSG von Ihrer Arztpraxis?

Das nDSG (neues Datenschutzgesetz), in Kraft seit 1. September 2023, verlangt von Arztpraxen konkrete technische und organisatorische Massnahmen (TOM) zum Schutz von Patientendaten. Verstösse können mit Bussen bis CHF 250'000 persönlich (für verantwortliche natürliche Personen) bestraft werden.

Auf einen Blick (TL;DR): Das nDSG gilt seit September 2023 für alle Arztpraxen in der Schweiz ohne Übergangsfrist. Patientendaten sind «besonders schützenswerte Personendaten» — der Schutzbedarf ist gesetzlich erhöht. Die wichtigsten IT-Massnahmen: Verschlüsselung, Backup nach 3-2-1-Regel, Next-Generation-Firewall, Zugriffskontrollen und HIN-Anbindung. Bussgelder bis CHF 250'000 treffen natürliche Personen — also Sie als Praxisinhaber persönlich.

Was ist das nDSG und warum gilt es besonders für Arztpraxen?

Das totalrevidierte Schweizerische Datenschutzgesetz (DSG, umgangssprachlich «nDSG») ist am 1. September 2023 in Kraft getreten. Es ersetzt das bisherige Gesetz von 1992 grundlegend und orientiert sich in weiten Teilen an der europäischen DSGVO — mit einem entscheidenden Unterschied: Das nDSG bestraft natürliche Personen, nicht Unternehmen.

Für Arztpraxen ist das nDSG besonders relevant, weil Patientendaten «besonders schützenswerte Personendaten» im Sinne von Art. 5 lit. c DSG sind. Gesundheitsdaten, Diagnosen, Medikamente, Behandlungsverläufe, Laborwerte — all das fällt in diese Kategorie mit erhöhtem Schutzbedarf. Die gesetzlichen Anforderungen an die Datensicherheit sind entsprechend höher als für normale Personendaten.

Bearbeitungsverzeichnis: Wer muss es führen?

Das Bearbeitungsverzeichnis dokumentiert, welche Personendaten in Ihrer Praxis wie bearbeitet werden. Es ist das «Inventar» Ihrer Datenverarbeitungen.

Pflicht: Gemäss Art. 12 DSG müssen Verantwortliche, die in grossem Umfang besonders schützenswerte Personendaten bearbeiten, ein Bearbeitungsverzeichnis führen. Da Arztpraxen täglich Gesundheitsdaten einer Vielzahl von Patienten bearbeiten, gilt dies in der Praxis für nahezu alle Arztpraxen ab einer Grösse von 2–3 Mitarbeitenden aufwärts.

Was gehört ins Bearbeitungsverzeichnis?

Die FMH stellt Vorlagen für das Bearbeitungsverzeichnis zur Verfügung. avenios unterstützt bei der Erstellung als Teil des IT-Setups.

Technische und organisatorische Massnahmen (TOM): Die IT-Pflichten im Detail

Art. 8 DSG verlangt, dass durch geeignete TOM eine dem Risiko angemessene Datensicherheit gewährleistet wird. Für Arztpraxen mit Gesundheitsdaten bedeutet das konkret:

Technische IT-Massnahmen:

Organisatorische Massnahmen:

Datenpannen: Meldepflicht und Reaktion

Art. 24 DSG verpflichtet Arztpraxen, den EDÖB unverzüglich zu melden, wenn eine Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt.

Was ist eine meldepflichtige Datenpanne?

Richtiges Vorgehen bei einer Datenpanne:

Bussgelder: Bis CHF 250'000 persönlich

Das nDSG ist deutlich schärfer als sein Vorgänger und als viele europäische Datenschutzgesetze in einem wichtigen Punkt: Es bestraft natürliche Personen, nicht Unternehmen.

Die nDSG IT-Checkliste für Arztpraxen

Technische Massnahmen — muss erledigt sein:

Organisatorische Massnahmen — muss erledigt sein:

Häufig gestellte Fragen (FAQ)

Fazit: nDSG-Konformität als IT-Investition

nDSG-Konformität ist keine bürokratische Pflichtübung, sondern eine Investition in die Sicherheit Ihrer Praxis und das Vertrauen Ihrer Patienten. Die konkreten IT-Massnahmen — Firewall, Backup, Verschlüsselung, HIN — sind gleichzeitig der beste Schutz gegen Ransomware, Systemausfälle und Datenverlust.

avenios unterstützt Arztpraxen in der Deutschschweiz bei der nDSG-konformen IT-Einrichtung — von der Analyse über die Umsetzung bis zum laufenden Managed Service.

IT-Sicherheits-Check anfragen · FMH IT-Grundschutz Leitfaden · Cybersecurity für Arztpraxen