Wie sichert ein AMD-Dienst seine digitalen Daten DSGVO-konform?

Will Daniel · 14 Juli 2026

Arbeitsmedizinische Dienste sichern ihre digitalen Daten DSGVO-konform durch eine Kombination aus technischen Schutzmaßnahmen, klaren Zugriffsrechten und einer konsequenten Mandantentrennung. Da Gesundheitsdaten nach Art. 9 DSGVO als besonders schützenswerte Datenkategorie gelten, sind die Anforderungen an AMDs deutlich strenger als in anderen Branchen. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um Datenschutz, Datensicherheit und rechtskonforme Dokumentation im arbeitsmedizinischen Alltag.

Welche Datenschutzpflichten gelten speziell für arbeitsmedizinische Dienste?

Arbeitsmedizinische Dienste verarbeiten Gesundheitsdaten, die nach Art. 9 DSGVO einer besonderen Schutzkategorie angehören. Das bedeutet: Die Verarbeitung ist grundsätzlich verboten, es sei denn, es greift eine ausdrückliche Ausnahme, etwa die Erfüllung arbeitsmedizinischer Pflichten nach nationalem Recht. AMDs müssen daher jede Datenverarbeitung auf eine klare Rechtsgrundlage stützen und diese dokumentieren.

Konkret bedeutet das für den Alltag eines AMD:

Eine vollständige Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist bei der Verarbeitung von Gesundheitsdaten in der Regel Pflicht.
Es muss ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO geführt werden.
Betroffene Personen, also die untersuchten Mitarbeitenden, haben Auskunfts-, Berichtigungs- und Löschrechte, die der AMD aktiv erfüllen muss.
Sofern externe Dienstleister Zugang zu Gesundheitsdaten erhalten, ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO abzuschließen.
Die ärztliche Schweigepflicht gilt parallel zur DSGVO und schränkt die Weitergabe von Befunddaten zusätzlich ein.

Besonders relevant ist die Trennung zwischen dem, was der AMD dem Auftraggeber mitteilen darf, und dem, was unter die ärztliche Schweigepflicht fällt. Arbeitgeber erhalten in der Regel nur die Bescheinigung über die Eignung, nicht aber den medizinischen Befund.

Wie unterscheidet sich die Mandantentrennung von der allgemeinen Datentrennung?

Mandantentrennung bedeutet, dass Daten verschiedener Kundenunternehmen innerhalb desselben Systems vollständig voneinander isoliert sind, sodass kein Benutzer eines Mandanten auf Daten eines anderen zugreifen kann. Das geht über eine allgemeine Datentrennung hinaus, die lediglich verschiedene Datensätze innerhalb desselben Kontexts unterscheidet.

Für überbetriebliche AMDs ist Mandantentrennung besonders wichtig, weil sie gleichzeitig für viele verschiedene Unternehmen tätig sind. Ohne saubere Mandantentrennung besteht das Risiko, dass Mitarbeiterdaten von Unternehmen A versehentlich für Unternehmen B sichtbar werden. Das wäre ein schwerwiegender Datenschutzverstoß.

Die allgemeine Datentrennung hingegen beschreibt zum Beispiel die Trennung von Produktiv- und Testdaten oder die logische Trennung verschiedener Datenbankbereiche innerhalb eines einzigen Mandanten. Sie ist eine technische Grundmaßnahme, ersetzt aber keine echte Mandantentrennung.

In der Praxis sollte eine AMD-Software Mandanten als eigenständige, abgeschlossene Einheiten abbilden, mit separaten Zugriffsrechten, separaten Auswertungen und einer klaren Protokollierung, wer wann auf welchen Mandanten zugegriffen hat.

Welche technischen Maßnahmen schützen Gesundheitsdaten nach Art. 32 DSGVO?

Art. 32 DSGVO verpflichtet Verantwortliche dazu, dem Risiko angemessene technische und organisatorische Maßnahmen (TOMs) umzusetzen. Für Gesundheitsdaten im arbeitsmedizinischen Bereich bedeutet das ein hohes Schutzniveau, da die Daten besonders sensibel sind und ein Datenleck erhebliche Folgen für die betroffenen Personen haben kann.

Zu den wichtigsten technischen Maßnahmen gehören:

Verschlüsselung: Gesundheitsdaten sollten sowohl bei der Übertragung (Transport Layer Security, TLS) als auch im Ruhezustand verschlüsselt gespeichert werden.
Zugriffskontrolle: Nur autorisierte Personen dürfen auf bestimmte Datenbereiche zugreifen. Rollenbasierte Berechtigungskonzepte sind hier der Standard.
Protokollierung: Jeder Zugriff auf sensible Daten sollte nachvollziehbar protokolliert werden, um im Zweifelsfall Missbrauch erkennen und nachweisen zu können.
Datensicherung: Regelmäßige, verschlüsselte Backups schützen vor Datenverlust durch technische Fehler oder Angriffe.
Offline-Fähigkeit mit Sicherheitsstandards: Wenn Software auch ohne Netzwerkverbindung genutzt wird, müssen die Daten auf dem Endgerät selbst geschützt sein.
Zertifizierungen: Softwareanbieter, die nach ISO/IEC 27001 zertifiziert sind, belegen ein systematisches Informationssicherheitsmanagement.

Organisatorische Maßnahmen ergänzen die technischen: Schulungen für Mitarbeitende, klare Richtlinien zum Umgang mit Patientendaten und ein benannter Datenschutzbeauftragter sind in AMDs in der Regel Pflicht.

Wer darf im AMD auf welche Patientendaten zugreifen?

Im arbeitsmedizinischen Dienst gilt das Prinzip der Datensparsamkeit und des Need-to-know: Jede Person darf nur auf die Daten zugreifen, die sie für ihre konkrete Aufgabe tatsächlich benötigt. Ärztliche Befunddaten sind grundsätzlich nur für das medizinische Personal zugänglich, nicht für Verwaltungsmitarbeitende oder den Auftraggeber.

In der Praxis lässt sich das durch ein rollenbasiertes Berechtigungskonzept umsetzen:

Betriebsärzte und medizinisches Fachpersonal haben Zugriff auf vollständige Untersuchungsdaten, Anamnesen und Befunde.
Verwaltungsmitarbeitende sehen in der Regel nur organisatorische Daten wie Terminvereinbarungen, Rechnungsinformationen und Bescheinigungen ohne medizinischen Inhalt.
Auftraggeber (Arbeitgeber) erhalten ausschließlich die Eignungsbescheinigung, also das Ergebnis der Untersuchung, nicht die medizinischen Details.
Externe Dienstleister (z. B. IT-Support) dürfen nur im Rahmen eines AVV und mit minimalen Zugriffsrechten tätig werden.

Wichtig ist, dass diese Zugriffsrechte nicht nur konzeptionell festgelegt, sondern auch technisch erzwungen werden. Ein Berechtigungskonzept, das nur auf Papier existiert, reicht für die DSGVO-Konformität nicht aus.

Was passiert bei einem Datenschutzverstoß im arbeitsmedizinischen Dienst?

Bei einem Datenschutzverstoß, der ein Risiko für die Rechte und Freiheiten betroffener Personen darstellt, muss der AMD die zuständige Datenschutzaufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden informieren. Handelt es sich um ein hohes Risiko, sind auch die betroffenen Personen direkt zu benachrichtigen.

Die 72-Stunden-Frist beginnt, sobald der AMD von dem Vorfall Kenntnis erlangt, nicht erst, wenn alle Details geklärt sind. Eine unvollständige Meldung ist besser als eine verspätete. Folgende Schritte sind bei einem Vorfall wichtig:

Den Vorfall intern dokumentieren: Was ist passiert, welche Daten sind betroffen, wie viele Personen?
Sofortmaßnahmen ergreifen, um weiteren Schaden zu verhindern.
Prüfen, ob eine Meldepflicht besteht, und diese fristgerecht erfüllen.
Den Vorfall im internen Datenpannenregister festhalten, auch wenn keine Meldepflicht besteht.

Verstöße gegen die DSGVO können mit Bußgeldern von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes geahndet werden. Für AMDs kommt hinzu, dass ein Datenschutzverstoß das Vertrauen der betreuten Unternehmen und der untersuchten Mitarbeitenden erheblich beschädigen kann.

Welche Anforderungen muss eine DSGVO-konforme AMD-Software erfüllen?

Eine DSGVO-konforme Software für arbeitsmedizinische Dienste muss Datenschutz nicht als Zusatzfunktion, sondern als Grundprinzip umsetzen. Das bedeutet: Privacy by Design und Privacy by Default müssen in der Architektur der Software verankert sein, nicht nachträglich ergänzt werden.

Konkret sollte eine solche Software folgende Anforderungen erfüllen:

Mandantentrennung für überbetriebliche Dienste mit mehreren Kundenunternehmen
Rollenbasierte Zugriffsrechte, die technisch durchgesetzt werden
Verschlüsselung der Daten in der Datenbank und bei der Übertragung
Vollständige Protokollierung aller Datenzugriffe und Änderungen
Unterstützung bei der Erfüllung von Betroffenenrechten, z. B. Auskunft und Löschung
Rechtskonforme Dokumentation nach ArbMedVV, damit Vorsorgeuntersuchungen korrekt und nachvollziehbar abgebildet werden
Auftragsverarbeitungsvertrag mit dem Softwareanbieter
Regelmäßige Updates, die gesetzliche Änderungen zeitnah abbilden

Ein Zertifikat nach ISO/IEC 27001 beim Anbieter ist ein gutes Indiz dafür, dass Informationssicherheit systematisch und nicht nur punktuell umgesetzt wird. Bei der Auswahl einer arbeitsmedizinischen Software sollte dieser Punkt aktiv geprüft werden.

Wie Vertinex bei DSGVO-konformer Datensicherung im AMD unterstützt

Wir entwickeln unsere Software seit über 25 Jahren speziell für die Anforderungen arbeitsmedizinischer Dienste. Datenschutz und Datensicherheit sind dabei keine nachgelagerten Themen, sondern von Anfang an Teil der Produktarchitektur.

Unsere Datenbank ist auf ein Höchstmaß an Datenschutzsicherheit ausgelegt, wie es für medizinische Daten erforderlich ist.
Wir sind nach ISO/IEC 27001 zertifiziert und belegen damit ein systematisches Informationssicherheitsmanagement.
Unsere Software unterstützt die Mandantentrennung für überbetriebliche AMDs, sodass Daten verschiedener Kundenunternehmen zuverlässig voneinander isoliert bleiben.
Fabiola bildet die arbeitsmedizinische Dokumentation rechtskonform nach aktueller ArbMedVV ab, inklusive automatisierter Wiedervorlagen und debitorenspezifischer Abrechnung.
Unsere Software funktioniert auch im Außendienst ohne Internetverbindung und schützt dabei die Daten auf dem Endgerät.
Wir aktualisieren unsere Produkte regelmäßig, damit gesetzliche Änderungen zeitnah in der Software abgebildet werden.

Wenn Sie wissen möchten, wie wir Ihren AMD konkret bei der DSGVO-konformen Digitalisierung unterstützen können, stehen wir gerne für ein Beratungsgespräch zur Verfügung.