Wo sollten Therapeuten und Gesundheitsberufe Patientennotizen speichern? (Schweigepflicht + DSGVO, 2026)

Sie beenden eine Sitzung, schreiben Ihre Notizen und dann kommt die stille Frage, auf die Sie niemand vorbereitet hat: Wo liegen diese Notizen eigentlich? Auf Ihrem Laptop? In einem Google-Dokument? In der Praxissoftware, die eine Kollegin empfohlen hat? Für die meisten Gesundheitsfachkräfte und Therapeuten sind Patientennotizen das Sensibelste, womit sie überhaupt umgehen, und die Entscheidung über ihre Ablage fällt meist zufällig: Es wird das genommen, was an dem Tag am einfachsten war, als die Zahl der Patienten wuchs.

Dieser Artikel beantwortet die praktische Frage direkt: Wo können Sie Patientennotizen so speichern, dass Sie sowohl die Schweigepflicht als auch die DSGVO einhalten, ohne so zu tun, als würde ein einzelnes Werkzeug Sie von sich aus „konform“ machen? Er richtet sich an Therapeuten in Einzelpraxis, Psychologinnen, Physiotherapeuten, kleine Praxen und alle Behandelnden, die Fallnotizen außerhalb der IT-Abteilung eines Krankenhauses führen. Er ist keine Rechtsberatung, und wo das Recht konkret wird, verweise ich auf das Prinzip, statt ein Zitat zu erfinden.

Kurze Antwort

Speichern Sie Patientennotizen so, dass die Datei für niemanden außer Ihnen lesbar ist und dass kein Dritter sie lesen kann, selbst wenn sie auf seinen Servern liegt. In der Praxis heißt das, einen von drei Wegen zu wählen: die Notizen mit starker Verschlüsselung und konsequenten Sicherungen auf Ihrem eigenen Gerät behalten; einen zertifizierten Hoster für Gesundheitsdaten nutzen (in Frankreich ein Hébergeur de Données de Santé, HDS); oder ein Zero-Knowledge-verschlüsseltes Werkzeug verwenden, bei dem der Anbieter immer nur Geheimtext hält. Gewöhnliche Verbraucher-Clouds (Google Drive, Dropbox, ein einfacher Notion-Arbeitsbereich) passen schlecht, weil der Anbieter die Daten technisch lesen kann und selten vertraglich gebunden oder für Gesundheitsakten zertifiziert ist. Schweigepflicht und DSGVO sind zwei getrennte Pflichten, die beide gelten, und kein Produkt zertifiziert Sie: Das tut Ihr gesamter Prozess.

Warum das gerade Sie belastet

Die Notizen von Behandelnden sind keine gewöhnlichen Dokumente. Nach französischem Recht unterliegen Patienteninformationen der ärztlichen Schweigepflicht (secret médical), einer beruflichen Verschwiegenheitspflicht, die im Code de la santé publique verankert ist und deren Verletzung der Code pénal unter Strafe stellt. Sie müssen sich die Artikelnummern nicht merken, um das Gewicht zu spüren: Wer identifizierbare Patienteninformationen offenlegt, selbst aus Fahrlässigkeit, hat nicht bloß einen Datenvorfall, sondern womöglich eine berufsrechtliche und strafrechtliche Angelegenheit.

Darüber liegt die DSGVO. Gesundheitsdaten sind eine „besondere Kategorie“ personenbezogener Daten, die die Verordnung mit erhöhtem Schutz behandelt: Ihre Verarbeitung ist grundsätzlich eingeschränkt und erfordert geeignete Garantien. Die DSGVO verlangt außerdem Sicherheitsmaßnahmen, die „dem Risiko angemessen“ sind, und nennt Verschlüsselung ausdrücklich als eine solche Maßnahme. Sie tragen also zwei Pflichten zugleich. Die Schweigepflicht sagt, wer etwas wissen darf. Die DSGVO sagt, wie die Daten geschützt werden müssen, wie lange und was passiert, wenn sie nach außen gelangen. Ein bequemes Werkzeug kann keine von beiden erfüllen, wenn es Ihre Fallnotizen still und leise für ein Unternehmen lesbar macht, das Sie nie geprüft haben.

Das Risiko ist nicht abstrakt. Ein verlorener oder gestohlener Laptop, ein wiederverwendetes Passwort, ein falsch konfiguriertes gemeinsames Laufwerk, ein Datenleck bei einem Dienstleister Ihres Cloud-Anbieters: Jedes davon kann aus einer privaten Notiz eine offengelegte machen. Ist das zugrunde liegende Dokument lesbar, bedeutet Offenlegung, dass der Inhalt draußen ist. Genau gegen dieses Szenario sollten Sie planen, und deshalb zählt das Verschlüsselungsmodell mehr als der Markenname der App.

Die eigentliche Frage: Wer kann die Datei lesen?

Der größte Teil der Verwirrung um Speicherlösungen verschwindet, sobald Sie nicht mehr fragen „Ist es verschlüsselt?“, sondern „Wer hält die Schlüssel?“. Fast jeder seriöse Dienst verschlüsselt Daten im Ruhezustand. Der entscheidende Unterschied ist, ob der Anbieter sie entschlüsseln kann.

Es gibt drei große Modelle, und es lohnt sich, ehrlich zu sagen, wo jedes davon Sie zurücklässt.

Speichermodell	Wer kann die Notizen lesen?	Eignung für Patientenakten
Verbraucher-Cloud (Google Drive, Dropbox, einfaches Notion)	Der Anbieter, und er hält die Schlüssel	Schlecht. Selten vertraglich gebunden oder für Gesundheitsdaten zertifiziert; für den Anbieter lesbar
Zertifizierter Hoster für Gesundheitsdaten (HDS in Frankreich)	Der Hoster, innerhalb eines strengen rechtlichen und technischen Rahmens	Gut und manchmal vorgeschrieben, aber aufwendiger und meist kostenpflichtig
Zero-Knowledge / clientseitige Verschlüsselung	Nur Sie; der Anbieter speichert undurchsichtigen Geheimtext	Stark für die Vertraulichkeit; die Verantwortung für die Wiederherstellung der Schlüssel liegt bei Ihnen
Local-first, verschlüsselt auf Ihrem eigenen Gerät	Nur Sie, offline	Stark für die Vertraulichkeit und die Kontrolle über Ihre Daten; die Sicherungen liegen bei Ihnen

Der Unterschied zwischen der ersten Zeile und den beiden letzten ist der Kern der Sache. Bei einem Datenleck gibt ein für den Anbieter lesbarer Speicher lesbare Dokumente preis, während ein clientseitig verschlüsselter Speicher nur unlesbares Rauschen preisgibt. Dieser Gegensatz lohnt sich im Detail zu verstehen, denn genau er verändert Ihr Risiko, wenn etwas schiefgeht. Ich habe ausführlich aufgeschrieben, was sich wirklich ändert, wenn im Ruhezustand verschlüsselte Daten nach außen gelangen statt lokal verschlüsselter Daten, und die Kurzfassung lautet: Verschlüsselung im Ruhezustand schützt die Festplatten des Anbieters, clientseitige Verschlüsselung schützt Sie vor dem Anbieter.

Eine kurze Anmerkung zum Vokabular, weil die Marketingbegriffe verschwimmen. „Ende-zu-Ende-verschlüsselt“ und „Zero-Knowledge“ sind verwandt, aber nicht identisch, und der Unterschied zählt, wenn Sie ein Werkzeug für regulierte Daten auswählen. Die genaue Fassung finden Sie unter Ende-zu-Ende- versus Zero-Knowledge-Verschlüsselung. Für gespeicherte Notizen ist die Eigenschaft, die Sie wollen, Zero-Knowledge: Der Dienst, der Ihre Daten hostet, kann sie nicht lesen, selbst wenn er gehackt wird oder eine behördliche Anfrage zur Herausgabe erhält.

Ein Wort zu HDS: wo es gilt und wo nicht

Wenn in Frankreich ein Dritter identifizierbare Gesundheitsdaten in Ihrem Auftrag hostet, braucht dieser Hoster in der Regel eine HDS-Zertifizierung (hébergement de données de santé), einen im Code de la santé publique verankerten Rahmen. Das ist ein häufiger blinder Fleck: Ein Therapeut speichert Fallakten in einer allgemeinen Cloud ohne HDS-Zertifizierung und geht davon aus, dass „es ist verschlüsselt“ genügt. Für gehostete Gesundheitsdaten genügt das meist nicht.

Aber hier ist die Nuance, die die Rechnung verändert. HDS regelt das Hosting durch einen Dritten. Wenn die Daten Ihr eigenes Gerät nie verlassen oder einen Anbieter nur als Geheimtext erreichen, den dieser nicht entschlüsseln kann, verschiebt sich das Bild. Die Zertifizierung soll einen externen Hoster vertrauenswürdig machen, der lesbare Daten hält. Lokale Speicherung umgeht die Auslagerung ganz, und Zero-Knowledge-Speicherung bedeutet, dass der Anbieter von vornherein etwas hält, das er nicht lesen kann. Keins von beidem macht HDS in jedem Fall bedeutungslos, und wenn Sie unsicher sind, ob Ihre Konfiguration als Hosting von Gesundheitsdaten durch Dritte gilt, ist genau das der Moment, eine Anwältin oder Ihre Berufskammer zu fragen. Diese Entscheidung kann Ihnen dieser Artikel nicht abnehmen.

Aufbewahrung: Notizen, die Sie nicht mehr brauchen, sind eine Belastung

Die DSGVO verlangt, personenbezogene Daten nicht länger als nötig aufzubewahren, und für Patientenakten gelten je nach Beruf und Umfeld eigene Aufbewahrungsregeln. Die praktische Folge für die Speicherung ist einfach: Sie müssen alte Akten finden, prüfen und löschen können, statt sie „sicherheitshalber“ für immer anzuhäufen. Ein riesiger, unsortierter Ordner mit Fallnotizen aus einem Jahrzehnt ist sowohl ein Compliance-Problem als auch ein Problem für das Ausmaß eines möglichen Lecks. Eine Ablage, mit der Sie ordnen, verschlagworten, suchen und aussortieren können, ist hier kein Extra, sondern Teil eines ordentlichen Vorgehens. Dieselbe Disziplin, die Mandantendokumente geordnet und an einem Ort auffindbar hält, ermöglicht es Ihnen, eine Aufbewahrungs- oder Löschpflicht tatsächlich einzuhalten, statt zu raten.

Was das in der Praxis bedeutet: eine Checkliste

Für welches Werkzeug Sie sich auch entscheiden, diese konkreten Schritte tragen den größten Teil des Schutzes:

• Verschlüsseln Sie, bevor die Daten Ihre Kontrolle verlassen. Bevorzugen Sie clientseitige oder lokale Verschlüsselung gegenüber „Die Cloud verschlüsselt das für uns“. Die Frage ist immer, wer den Schlüssel hält. Wenn Sie die Grundlagen möchten, finden Sie hier einen praktischen Leitfaden zum Verschlüsseln Ihrer Notizen und zu den Bedrohungsmodellen dahinter.
• Verwenden Sie eine starke, einzigartige Passphrase und einen echten Wiederherstellungsplan. Clientseitige Verschlüsselung bedeutet, dass niemand Ihr Passwort für Sie zurücksetzen kann. Das ist der Zweck, und es ist zugleich das Risiko. Schreiben Sie Ihr Wiederherstellungsmaterial auf und bewahren Sie es physisch sicher auf.
• Sichern Sie, ohne die Vertraulichkeit zu brechen. Eine einzige verschlüsselte Kopie ist nur eine Katastrophe vom Verlust entfernt. Bewahren Sie Sicherungen auf, die selbst verschlüsselt sind, damit eine Sicherungsfestplatte oder ein Synchronisierungsziel nie zum schwachen Glied wird.
• Trennen Sie Kennungen, wo Sie können. Notizen zu pseudonymisieren (ein Code statt des vollständigen Namens im Text der Datei) verringert den Schaden, falls eine einzelne Datei je offengelegt wird.
• Haben Sie einen Plan für verlorene Geräte. Festplattenverschlüsselung auf dem Laptop, eine Bildschirmsperre und das Wissen, dass Sie Zugänge widerrufen oder Schlüssel erneuern können, zählen mehr als jede Marke.
• Sortieren Sie regelmäßig aus. Prüfen Sie die Aufbewahrung mindestens einmal im Jahr und löschen Sie, was Sie nicht mehr aufbewahren müssen.
• Gehen Sie nicht davon aus, dass ein Werkzeug Sie konform macht. Compliance ist Ihr gesamter Prozess: Rechtsgrundlage, Information der Patienten, Sicherheit, Aufbewahrung und Umgang mit Datenpannen. Software ist eine Zutat.

Wenn Sie auch andere regulierte Unterlagen von Mandanten oder Klienten verwalten, gilt dieselbe Überlegung wie für die Notizen von Therapeuten für alle Berufe, die sensible Akten führen; meine Analyse für Steuerkanzleien, die Mandantendokumente unter der DSGVO speichern, geht ausführlicher auf die Logik „dem Risiko angemessen“ aus Art. 32 ein und lässt sich direkt übertragen.

Wobei Filarr helfen kann (und wobei nicht)

Filarr ist ein verschlüsselter Local-first-Arbeitsbereich: Notizen, Dateien und ein Graph, der sie verknüpft, alles verschlüsselt auf Ihrem eigenen Rechner. Für das Vertraulichkeitsproblem von Behandelnden deckt das den schwierigen Teil gut ab.

Was es leistet: Jede Datei wird mit AES-256-GCM verschlüsselt, unter einem einzigen zufälligen Kontoschlüssel (dem FEK) und mit einem neuen Zufallswert pro Datei; nur große, auf dem Desktop importierte Dateien und synchronisierte Blöcke leiten zusätzlich einen gesonderten Schlüssel aus dem FEK ab. Der FEK ist seinerseits durch einen Schlüssel gesperrt, der mit PBKDF2-SHA512 und 600.000 Iterationen aus Ihrer Passphrase abgeleitet wird (weit über den 210.000, die die OWASP für PBKDF2-SHA512 empfiehlt); weil er das ganze Konto öffnet, zählt eine starke Passphrase umso mehr, und die Wiederherstellung läuft über eine Phrase aus 24 Wörtern nach BIP-39, die Sie selbst verwahren. Standardmäßig bleibt alles auf Ihrem Gerät: Filarr funktioniert vollständig offline, es gibt also keinen Hoster, der Ihre Notizen liest, weil es überhaupt keinen Hoster gibt. Wenn Sie die optionale Cloud-Synchronisierung einschalten, werden Dateien verschlüsselt, bevor sie das Gerät verlassen, und der Server speichert immer nur undurchsichtige Blobs, die er nicht entschlüsseln kann – das oben beschriebene Zero-Knowledge-Modell. Eine bekannte Grenze, die sich gerade schließt: Seit dem 16. Oktober 2026 sendet die Anmeldung nicht mehr Ihr Passwort, sondern einen auf Ihrem Gerät abgeleiteten Schlüssel. Während einer Übergangszeit von etwa zwei Monaten geht das Passwort aber in zwei Fällen noch an die Server von Filarr (über HTTPS): bei einer älteren App-Version (Desktop vor 3.8.1, Mobil vor 1.7) und bei der ersten Anmeldung eines vor dem 16. Oktober 2026 erstellten Kontos; in diesen Fällen könnte ein kompromittierter Server es abfangen – ein Grund mehr, direkt identifizierbare Gesundheitsdaten lokal zu halten. Sie können Notizen, PDFs zu Patienten und Fallakten an einem Ort aufbewahren, sie mit Tags und Suche ordnen und aussortieren, was Sie nicht mehr brauchen. Für die lokale Nutzung ist Filarr dauerhaft kostenlos; der Free-Tarif synchronisiert 5 GB, und die kostenpflichtige Synchronisierung beginnt bei 4 €/Monat.

Was es nicht leistet, und das ist wichtig: Filarr ist ein Werkzeug zum Verschlüsseln und Speichern, keine Compliance-Zertifizierung und keine Rechtsberatung. Es ist selbst kein HDS-zertifizierter Hoster; wenn Ihre Situation rechtlich ein zertifiziertes Hosting durch Dritte erfordert, verändert lokale Speicherung zwar die Analyse, aber Sie müssen Ihre konkreten Pflichten mit einer qualifizierten Fachperson klären. Es legt weder Ihre Rechtsgrundlage fest noch schreibt es Ihre Patienteninformation noch bewältigt es eine Datenpanne für Sie. Es gibt Ihnen starke Vertraulichkeit und die Hoheit über Ihre Daten. Der Rest der DSGVO und die Schweigepflicht als berufliche Pflicht bleiben vollständig Ihre Aufgabe. Wenn Sie genau sehen möchten, wie die Verschlüsselung aufgebaut ist, statt der Aussage blind zu vertrauen: Die zweistufige Schlüsselhierarchie aus KEK und FEK ist hier dokumentiert.

Häufige Fragen

Kann ich Patientennotizen in Notion oder Google Docs führen? Technisch ja, in der Praxis passt es für identifizierbare Gesundheitsdaten schlecht. Beide verschlüsseln im Ruhezustand, halten aber die Schlüssel, der Anbieter kann den Inhalt also lesen, und keiner von beiden ist in der Regel vertraglich gebunden oder für Gesundheitsakten zertifiziert. Für sensible Fallnotizen sollten Sie clientseitige oder lokale Verschlüsselung bevorzugen, bei der nur Sie die Datei lesen können.

Reicht Verschlüsselung, um DSGVO-konform zu sein? Nein. Verschlüsselung ist eine der Sicherheitsmaßnahmen, die die DSGVO ausdrücklich empfiehlt, und eine starke, aber Compliance umfasst auch Rechtsgrundlage, Information der Patienten, Aufbewahrungsgrenzen und den Umgang mit Datenpannen. Ein Werkzeug kann Ihnen eine hervorragende Verschlüsselung bieten und den Rest Ihrer Pflichten trotzdem unberührt lassen.

Brauche ich rechtlich einen HDS-zertifizierten Hoster? Das hängt davon ab, ob ein Dritter identifizierbare Gesundheitsdaten in Ihrem Auftrag hostet. Ausgelagertes Hosting von Gesundheitsdaten führt in Frankreich in der Regel zu HDS. Daten, die auf Ihrem eigenen Gerät bleiben oder die ein Anbieter nur als Geheimtext hält, den er nicht lesen kann, verändern diese Analyse. Fragen Sie im Zweifel Ihre Berufskammer oder eine Anwältin; dieser Artikel kann das nicht für Sie entscheiden.

Was passiert mit meinen Notizen, wenn mein Laptop gestohlen wird? Mit lokaler, clientseitiger Verschlüsselung erhält ein Dieb verschlüsselte Dateien, die ohne Ihre Passphrase nutzlos sind, vor allem in Kombination mit Festplattenverschlüsselung und Bildschirmsperre. Ohne Verschlüsselung kann ein gestohlenes Gerät eine meldepflichtige Datenpanne mit lesbaren Patientendaten bedeuten. Das ist das klarste Argument dafür, Notizen auf Dateiebene zu verschlüsseln.

Wie sichere ich verschlüsselte Patientennotizen auf sichere Weise? Bewahren Sie Sicherungen auf, die selbst verschlüsselt sind, damit die Sicherung nie zum schwachen Glied wird, und verwahren Sie das Wiederherstellungsmaterial (etwa eine Wiederherstellungsphrase) physisch und getrennt. Das Ziel sind Kopien, die eine Katastrophe überstehen, ohne je in lesbarer Form zu existieren.

Dieser Artikel enthält allgemeine Informationen für Gesundheitsfachkräfte und ist keine Rechtsberatung. Für Ihre konkreten Pflichten aus Schweigepflicht und DSGVO wenden Sie sich an Ihre Berufskammer oder eine qualifizierte Anwältin bzw. einen qualifizierten Anwalt.