Datenschutz in der Tierphysio-Praxis

21. August 2026 · 8 Min. Lesezeit · Von Daniel Renner und Tim Schneider

Die DSGVO gilt ab der ersten Kundin — der Aufwand für eine kleine Praxis ist trotzdem überschaubar. Was Sie brauchen und wo die Fehler liegen.

Mit KI erstelltes Bild

Datenschutz gilt als Thema für große Unternehmen mit eigener Rechtsabteilung. Tatsächlich trifft die DSGVO jede Praxis — ab der ersten Kundin. Es gibt keine Bagatellgrenze, unterhalb derer die Pflichten entfallen; der Aufwand richtet sich nach der Größe, die Pflicht selbst besteht immer.

Die gute Nachricht: Für eine kleine Tierphysio-Praxis ist der Umfang überschaubar. Dieser Artikel erklärt, welche Daten überhaupt geschützt sind, was Sie brauchen und wo die typischen Fehler liegen.

Die wichtigste Klarstellung zuerst

Die DSGVO schützt personenbezogene Daten natürlicher Personen — also die Daten der Halter:innen, nicht die des Tieres. Name, Adresse, Telefonnummer, E-Mail und Zahlungsdaten der Kundschaft fallen darunter. Der Behandlungsverlauf eines Hundes für sich genommen nicht.

In der Praxis hängt aber beides zusammen: Die Tierakte ist einer Person zugeordnet, und über diese Verknüpfung wird sie zum personenbezogenen Datum. Der Unterschied zur Humanmedizin ist trotzdem erheblich: Behandlungsdaten eines Tieres sind keine Gesundheitsdaten im Sinne von Art. 9 DSGVO, weil dieser Artikel Gesundheitsdaten natürlicher Personen meint. Die besonders strengen Anforderungen für Patientendaten gelten für Sie also nicht.

Was Sie brauchen

• Datenschutzhinweise für Kund:innen. Wer Sie sind, welche Daten Sie wofür verarbeiten, auf welcher Rechtsgrundlage, wie lange Sie speichern und welche Rechte bestehen (Art. 13 DSGVO). Beim Erstkontakt aushändigen.
• Ein Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO). Klingt nach Konzern, sind bei einer kleinen Praxis wenige Seiten: Kundenverwaltung, Terminplanung, Rechnungsstellung, Website.
• Auftragsverarbeitungsverträge mit allen Dienstleistern, die Daten für Sie verarbeiten — Softwareanbieter, E-Mail-Dienst, Steuerbüro-Schnittstelle, Website-Hosting (Art. 28 DSGVO).
• Technische Absicherung. Bildschirmsperre, Passwörter, verschlüsselte Geräte, keine Kundenliste auf dem ungesicherten Privatrechner.
• Ein Löschkonzept. Was wird wann gelöscht — und was muss aus steuerlichen Gründen bleiben.

Brauche ich eine Datenschutzbeauftragte?

In der Regel nicht. Die Pflicht greift nach § 38 BDSG erst ab zwanzig Personen, die ständig mit automatisierter Verarbeitung befasst sind. Eine Solo-Praxis oder ein kleines Team fällt nicht darunter. Verantwortlich für die Einhaltung bleiben Sie trotzdem.

Der häufigste Stolperstein: Fotos

Fotos vom behandelten Tier sind fachlich wertvoll — für den Verlauf, den Seitenvergleich, die Dokumentation. Hier lohnt eine saubere Trennung:

• Fotos für die Akte sind Teil der Behandlungsdokumentation und stützen sich auf die Vertragserfüllung. Eine gesonderte Einwilligung ist dafür meist nicht nötig — ein Hinweis in den Datenschutzhinweisen aber sehr wohl.
• Fotos für Website oder Social Media sind etwas völlig anderes. Dafür brauchen Sie eine ausdrückliche, freiwillige und dokumentierte Einwilligung — die jederzeit widerrufen werden kann. Sind Menschen auf dem Bild, kommt das Recht am eigenen Bild dazu.

Die Einwilligung fürs Marketing gehört auf ein eigenes Feld, nicht in denselben Satz wie die Behandlungszustimmung. Ein Formular, das beides koppelt („Ich stimme der Behandlung und der Veröffentlichung zu"), ist als Einwilligung angreifbar, weil sie dann nicht freiwillig ist.

Aufbewahren und löschen

Diese beiden Pflichten widersprechen sich scheinbar: Daten sollen gelöscht werden, sobald der Zweck entfällt — Rechnungen müssen aber aufbewahrt werden. Die Auflösung: Unterlagen mit gesetzlicher Aufbewahrungspflicht bleiben, alles andere geht.

• Rechnungen und Buchungsbelege: acht Jahre nach § 147 Abs. 3 AO; laufende Aufzeichnungen wie die EÜR-Unterlagen zehn Jahre
• Behandlungsdokumentation: keine gesetzliche Frist wie in der Humanmedizin — aus Haftungsgründen ist eine Aufbewahrung über die Verjährungsfristen hinaus aber sinnvoll
• Kontaktdaten ohne laufende Behandlung: löschen, wenn kein Zweck mehr besteht
• Werbeeinwilligungen: mit dem Widerruf endet die Nutzung, der Widerruf selbst wird dokumentiert

Wenn jemand Auskunft verlangt

Kund:innen dürfen fragen, welche Daten Sie über sie gespeichert haben (Art. 15 DSGVO) — und Sie müssen binnen eines Monats antworten. In der Praxis scheitert das selten am Willen, sondern daran, dass die Daten über Handy, Karteikasten, Tabelle und E-Mail-Postfach verteilt liegen.

Das ist der praktische Grund, warum die Struktur aus dem Artikel Kundenverwaltung erleichtern auch beim Datenschutz hilft: Ein Ort pro Information heißt auch, dass Auskunft und Löschung überhaupt möglich sind.

Was bei einer Panne zu tun ist

Ein verlorenes Handy, ein gestohlener Laptop, eine E-Mail mit offenem Verteiler an dreißig Kund:innen: Datenschutzverletzungen sind meldepflichtig — innerhalb von 72 Stunden an die Aufsichtsbehörde, sofern ein Risiko für die Betroffenen besteht (Art. 33 DSGVO). Bei hohem Risiko müssen zusätzlich die Betroffenen informiert werden.

Vorbeugen ist einfacher: Geräteverschlüsselung, Bildschirmsperre, und beim Rundmail an mehrere Kund:innen immer BCC statt CC.

Häufige Fragen