§ 203 StGB — Verletzung von Privatgeheimnissen

Hintergrund und Definition

§ 203 StGB stellt die unbefugte Offenbarung fremder Geheimnisse, die einem Arzt, Zahnarzt, Apotheker oder bestimmten weiteren Berufsgruppen anvertraut sind, unter Strafe. Strafmaß: Geldstrafe oder Freiheitsstrafe bis zu einem Jahr, in besonders schweren Fällen bis zu zwei Jahren. Der Schutzbereich umfasst alles, was nicht offenkundig ist — auch die schlichte Tatsache, dass eine Person Patient einer bestimmten Praxis ist. 2017 wurde Absatz 3 erweitert: Externe Dienstleister (IT, Abrechnung, KI) können einbezogen werden, wenn sie nach den Erfordernissen der Berufsausübung mitwirken und auf Verschwiegenheit verpflichtet sind. Auch fahrlässige Offenbarung — etwa durch unsichere Software-Architektur, offen liegende Bildschirme oder unverschlüsselte E-Mails — kann erfasst sein. Die Norm steht eng neben der DSGVO, ist aber strafrechtlich und damit persönlich gegen den Arzt gerichtet. Sie gilt unabhängig davon, ob der Patient einen Schaden erleidet.

Was das für die Praxis bedeutet

Wer Patientendaten an einen Cloud-Dienstleister gibt, muss sicherstellen, dass dieser sie nicht im Klartext verarbeitet oder einsehen kann — sonst droht ein Schweigepflicht-Bruch durch die Architektur. Die Verpflichtung externer Mitarbeiter auf Verschwiegenheit ist Pflicht, nicht Empfehlung; sie sollte schriftlich dokumentiert sein. Praxen sollten Bildschirme, Drucker und Scanner so platzieren, dass sie für Dritte nicht einsehbar sind. Auch Telefonate im Wartezimmer, lautes Diktieren auf dem Flur oder offen liegende Karteikarten sind klassische § 203-Risiken. Wer KI einsetzt, sollte schriftlich klären, ob und wie der Anbieter Daten verarbeitet, speichert oder zu Trainingszwecken nutzt. Lokale Verarbeitung reduziert das Risiko, weil keine Offenbarung an Dritte erfolgt.

Beispiele aus dem Praxisalltag

• Sprachnachrichten mit Patientennamen über WhatsApp an Kollegen — § 203-Risiko.
• Fax mit Befund an falsche Nummer — fahrlässige Offenbarung.
• Cloud-Anbieter mit Klartextzugriff durch Administratoren — strukturelle Schwachstelle.
• Praxisverkauf mit Übergabe der Karteikarten an Nachfolger — nur mit Patienteneinwilligung zulässig.

Typische Stolperfallen

• Annahme, DSGVO-Konformität reiche aus — § 203 ist eigenständig und strafrechtlich.
• Externe Reinigungskraft oder IT-Dienstleister nicht schriftlich verpflichtet.
• "Server in Deutschland" als Pauschalbegründung — entscheidend ist der Zugriff, nicht der Standort.
• Auskunft am Telefon ohne Identitätsprüfung — gefährliche Routine in vielen Praxen.

Verwandte Begriffe

• AVV — Auftragsverarbeitungsvertrag: Pflicht-Vertrag nach Art. 28 DSGVO mit jedem Software-Anbieter, der Patientendaten verarbeitet.
• Ärztliche Schweigepflicht: Berufs- und strafrechtliche Pflicht des Arztes, anvertraute Geheimnisse nicht zu offenbaren.
• US Cloud Act: US-Gesetz, das US-Konzerne weltweit zur Datenherausgabe verpflichten kann.

Quellen und weiterführende Hinweise

• gesetze-im-internet.de — Originaltext § 203 StGB
• bundesaerztekammer.de — Hinweise zur Schweigepflicht
• datenschutzkonferenz-online.de — Zusammenspiel DSGVO und § 203

Hinweis: Dieser Lexikon-Eintrag dient der Orientierung und ersetzt keine rechtliche oder medizinische Beratung im Einzelfall.