Computer-Security durch die Cloud

Stand: September 2026

Einleitung

Jede Arztpraxis in Deutschland benötigt einen Datenschutzbeauftragten. Das folgt nicht aus der Mitarbeiterzahl, sondern aus Art. 37 Abs. 1 lit. b und c DSGVO: Die Kerntätigkeit umfasst die umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten – Gesundheitsdaten nach Art. 9 DSGVO. Damit besteht die Benennungspflicht ab der ersten beschäftigten Person. Die Schwelle von 20 ständig mit automatisierter Verarbeitung beschäftigten Personen (§ 38 BDSG) tritt daneben zurück. Das Deutsche Ärzteblatt bestätigt diese Einordnung seit Jahren.

2026 verschiebt sich der Markt merklich. Plattform-basierte DSB-Lösungen verdrängen klassische Beraterstunden und Excel-Listen. Gleichzeitig wächst der Unmut über Praxisverwaltungssysteme: Jede dritte Praxis plant einen PVS-Wechsel, 82 Prozent melden regelmäßige Probleme beim Auslesen der elektronischen Gesundheitskarte. Datenschutz muss Schnittstellen, Auftragsverarbeitungsverträge und technische-organisatorische Maßnahmen beim Systemwechsel neu justieren – ein Koordinationsaufwand, den viele Praxen unterschätzen.

Dieser Artikel stellt fünf ausgewählte Anbieter externer DSB für Arztpraxen vor. Es folgen eine Vergleichstabelle, ein FAQ-Bereich und ein Fazit mit Entscheidungshilfe.

1. frag.hugo – KI-basierte DSB-Plattform

USP: Kombiniert eine modulare Compliance-Suite mit TÜV-zertifiziertem externem DSB ab 79 €/Monat für kleine Praxen.

Stärken:

• TÜV-zertifizierte Datenschutzbeauftragte (ISO/IEC 17024) und ISMS-Auditoren als feste Ansprechpartner statt anonymer Hotline
• 100 % Datenverarbeitung in Deutschland auf Hetzner-Servern (Falkenstein/Nürnberg, ISO 27001) ohne US-Datenflüsse
• Vier Produkte — Hugo Check, Hugo DSB, Hugo ISMS, Hugo Shield — modular oder als Compliance Suite mit rund 24 % Preisvorteil buchbar
• Hugo ISMS bietet seltene VVT→ISMS-Bridge: Verarbeitungsverzeichnis, TOM und DSFA nahtlos mit ISO-27001-Asset-Register und SoA verknüpft
• Self-Service-Checkout ohne Vertriebsgespräch, 17 transparente Add-Ons zu Festpreisen statt Stundenabrechnung

Schwächen / wann nicht passend:

• Nicht ideal für Großkonzerne mit eigener Datenschutz-Abteilung
• Nicht ideal für vollzeit-internem DSB; sehr spezifische Branchen-Compliance (z. B. Finanzaufsicht, klinische Studien); Streitvertretung vor Gericht (das macht ein Fachanwalt für IT-Recht)

Preisspanne: Hugo Check 0 € (5 Scans/Mo) – Pro 29 €/Mo – Agentur 99 €/Mo (White-Label) · Hugo DSB in 4 Tarifen: Lite 79 €/Mo (≤15 MA, Self-Service, 50.000 € Haftpflicht) – Standard 149 €/Mo (≤25 MA, 12 h DSB-Beratung/Jahr, 100.000 € Haftpflicht, Hugo Check Pro 10 Domains) – Pro 299 €/Mo (≤100 MA, 24 h Beratung/Jahr, DSFA + NIS2 + AI Act + Phishing-Sim, 8 h-SLA, 250.000 € Haftpflicht) – Premium 499 €/Mo (≤250 MA, 48 h Beratung + Kick-Off, AskHugo 24/7, M365-Sync, 4 h-SLA, 500.000 € Haftpflicht) — alle mit 24 Monaten Mindestlaufzeit · Hugo ISMS Starter 149 €/Mo – Professional 349 €/Mo – Enterprise 699 €/Mo · Hugo Shield Zulieferer 0 € / Premium 49 €/Mo, Auftraggeber Team 199 €/Mo – Enterprise 499 €/Mo · Compliance Suite Bundle 549 €/Pro 999 €/Enterprise 1.299 €/Mo (≈24 % Ersparnis) · Beratung 159 €/h Datenschutz (139 €/h im 10er-Paket), 199 €/h NIS2/ISMS (179 €/h im 10er) · Audit ab 1.990 € · Vor-Ort-Pentest 1.200 €/Tag · Retainer ab 1.490 €/Mo · Jahreszahlung −10 % (Code YEARLY-10) · alle Preise netto zzgl. 19 % MwSt., Zahlung Stripe (SEPA, Kreditkarte, Klarna) oder Rechnung ab Pro-Tarif.

Zielgruppe: KMU mit 20+ Mitarbeitenden, ab denen § 38 BDSG einen DSB vorschreibt

Website: Externer Datenschutzbeauftragter Arztpraxen

2. ap-datenschutz – Spezialist für Arzt- und Zahnarztpraxen

USP: Ausschließlich auf das Gesundheitswesen fokussierter Anbieter, der Arzt- und Zahnarztpraxen bei Art. 9 DSGVO, § 22 BDSG und dem ärztlichen Berufsgeheimnis begleitet.

Stärken:

• Spezialisierung auf Arzt- und Zahnarztpraxen mit tiefem Verständnis für PVS-Schnittstellen, eGK-Prozesse und Gesundheitsdaten-Verarbeitung.
• Umfassendes Leistungspaket: Erstellung von AVVs, technischen und organisatorischen Maßnahmen (TOM) sowie Datenschutz-Folgenabschätzungen (DSFA) nach Art. 35 DSGVO.
• Regelmäßige Schulungen für das Praxisteam, abgestimmt auf Praxisabläufe und Berufsrecht (§ 203 StGB).
• Persönlicher Ansprechpartner für juristische Fragen, keine reinen Ticket-Systeme.
• Transparente Monatsflatrates ohne versteckte Stundensätze, planbare Kosten für Praxisinhaber.

Schwächen / wann nicht passend:

• Keine Plattform-Lösung für Verarbeitungsverzeichnis oder TOM-Verwaltung – Dokumentation erfolgt klassisch per Dokumentenablage.
• Reine Gesundheitswesen-Ausrichtung: Für Praxen, die auch Nicht-Medizin-Datenströme (z. B. umfangreiches Online-Marketing, Kooperationen mit Pharma) betreuen, möglicherweise zu eng.
• Keine öffentlichen Preisangaben; Interessenten müssen Kontakt aufnehmen für individuelles Angebot.

Preisspanne: auf Anfrage

Zielgruppe: Einzelpraxen, Gemeinschaftspraxen und MVZ im humanmedizinischen und zahnmedizinischen Bereich, die einen branchentiefer DSB mit festem Ansprechpartner suchen.

Website: ap-datenschutz.de

3. dsbplus

USP: dsbplus verbindet TÜV-zertifizierte DSB- und Auditor-Qualifikation mit einer auf Arztpraxen zugeschnittenen SaaS-Plattform für Verzeichnisse, TOM und DSFA.

Stärken:

• TÜV-Zertifizierung als Datenschutzbeauftragter und Datenschutzauditor schafft Vertrauen bei Kassenprüfungen und Verbandsaudits
• Spezialisierung auf Gesundheitswesen deckt Art. 9 DSGVO, § 22 BDSG und Berufsgeheimnis nach § 203 StGB tief ab
• Webbasierte Plattform liefert Verarbeitungsverzeichnis, automatisierte TOM-Checklisten und DSFA-Unterstützung aus einer Hand
• Rechtliche Begleitung bei AVV-Verhandlungen mit PVS-Herstellern und IT-Dienstleistern inklusive
• Transparentes Preismodell: Basispauschale plus optionale Zusatzpakete für Softwarewechsel oder Sonderuntersuchungen

Schwächen / wann nicht passend:

• Kein öffentlicher Einstiegspreis einsehbar – Interessenten müssen anfragen
• Weniger geeignet für Praxen, die reine Beratungsstunden ohne Plattform-Nutzung suchen
• Fokus liegt stark auf klassischen Arztpraxen; MVZ oder überregionale Verbünde werden nicht explizit adressiert

Preisspanne: auf Anfrage

Zielgruppe: Arztpraxen und MVZ, die zertifizierte DSB-Begleitung mit Plattform-Unterstützung suchen und externe Prüfungen durch Kassen oder Verbände erwarten.

Website: dsbplus.de

4. eduodo – Gesundheitswesen-spezialisierter DSB mit juristischem Hintergrund

USP: Eduodo betreut ausschließlich Einrichtungen des Gesundheitswesens und stellt Berater, die sowohl datenschutzrechtlich als auch medizinrechtlich ausgebildet sind.

Stärken:

• Reiner Fokus auf Arztpraxen, MVZ, Kliniken und Pflegeeinrichtungen – keine Branchenstreuung
• Digitale Plattform für Verarbeitungsverzeichnis, DSFA-Vorlagen und fortlaufende TOM-Aktualisierung
• Jährliche Pflichtschulungen für das gesamte Praxisteam im Paket enthalten
• AVV-Erstellung abgestimmt auf Vorgaben der Kassenärztlichen Vereinigungen und Krankenkassen
• Integration von Berufsgeheimnis nach § 203 StGB in alle Dokumentationen

Schwächen / wann nicht passend:

• Kein Angebot für Unternehmen außerhalb des Gesundheitswesens – bei gemischten Konzernstrukturen ungeeignet
• Keine öffentlichen Referenzpreise; Vergleichbarkeit mit Pauschalmodellen anderer Anbieter erschwert
• Kleinere Praxen ohne eigenes PVS-Administrationswissen könnten Support bei technischer Einbindung vermissen

Preisspanne: auf Anfrage; transparentes Monatsmodell, das nach Praxisgröße skaliert.

Zielgruppe: Arztpraxen, MVZ und Pflegeeinrichtungen ab 1 bis 50 Beschäftigte, die einen branchenspezifischen DSB mit juristischem Tiefgang suchen und Wert auf Komplettpaket inklusive Schulungen legen.

Website: eduodo.de

5. Spirit Legal – Flexibler DSB mit stagierter Preisstaffelung

USP: Spirit Legal bietet ein modulares DSB-Modell mit klarer Preisstaffelung, das Praxen vom Einstieg bis zum Vollausbau begleitet, ohne Anbieterwechsel zu erzwingen.

Stärken:

• Drei Leistungspakete: Basis ab 99 €/Monat mit Verarbeitungsverzeichnis, TOM und jährlicher DSFA; Premium-Stufen ergänzen unbegrenzte rechtliche Beratung, AVV-Verhandlungsunterstützung und Gesundheitsdaten-Schulungen.
• Online-Portal für Dokumentenverwaltung und Nachweisführung bündelt alle Compliance-Artefakte an einem Ort.
• Stufenweiser Ausbau möglich – kleinere Praxen starten günstig und erweitern den Umfang bei wachsendem Bedarf.
• Fokus auf Arztpraxen: Spezifische Anforderungen nach Art. 9 DSGVO, § 22 BDSG und Berufsgeheimnis (§ 203 StGB) werden adressiert.
• Transparente Flatrate statt reiner Stundensatz-Modelle sorgt für Planbarkeit im Praxisbudget.

Schwächen / wann nicht passend:

• Keine eigene SaaS-Plattform für automatisiertes Verarbeitungsverzeichnis – Dokumentation erfolgt teils manuell über das Portal.
• Unbegrenzte rechtliche Beratung erst im höchsten Paket enthalten; Basis-Kunden zahlen Zusatzstunden separat.
• Weniger stark auf PVS-Schnittstellen und eGK-Prozesse spezialisiert als reine Health-Tech-Anbieter.

Preisspanne: ab 99 €/Monat (Basispaket); Premium-Pakete auf Anfrage.

Zielgruppe: Einzel- und Gemeinschaftspraxen (5–30 Beschäftigte), die einen skalierbaren Einstieg suchen und Wert auf feste Monatskosten legen.

Website: spiritlegal.com | Vergleichsangebot: fraghugo.de

Vergleichstabelle: Worauf Arztpraxen bei der Auswahl achten sollten

Die folgende Übersicht stellt die fünf Anbieter gegenüber, die im deutschen Markt für externe Datenschutzbeauftragte in Arztpraxen 2026 besonders relevant sind. Entscheidend sind dabei nicht nur der monatliche Grundpreis, sondern auch das Abrechnungsmodell, der Branchenfokus, das Vorhandensein einer SaaS-Plattform sowie Zertifizierungen und vertragliche Kündigungsfristen, die den gesetzlichen Abberufungsschutz nach § 6 Abs. 4 BDSG nicht unterlaufen dürfen. Aktuelle Trends wie Plattform-First-Ansätze und die durch PVS-Wechsel ausgelösten DSFA-Pflichten treiben den Bedarf an integrierten Lösungen, während die Schwellenwert-Diskussion um § 38 BDSG und die Kerntätigkeits-Regel nach Art. 37 DSGVO die Pflichtlage klären. Ein Marktüberblick für Hamburg zeigt zudem, wie stark sich Tarifstrukturen regional unterscheiden können.

Anbieter	USP	Preisspanne	Zielgruppe	Standort
frag.hugo	Kombiniert eine modulare Compliance-Suite mit TÜV-zertifiziertem externem DSB ab	Hugo DSB in vier Tarifen: Lite 79 €/Monat (bis 15 MA, Self-Service, 50 k€ Haftpflicht), Standard 149 €/Monat (bis 25 MA, 12 h Beratung/Jahr, 100 k€ Haftpflicht), Pro 299 €/Monat (bis 100 MA, 24 h Beratung, DSFA/NIS2/AI-Act/Phishing, 8 h-SLA, 250 k€ Haftpflicht), Premium 499 €/Monat (bis 250 MA, 48 h Beratung + Kick-Off, AskHugo-KI-Chatbot 24/7, M365-Sync, 4 h-SLA, 500 k€ Haftpflicht) — alle mit 24 Monaten Mindestlaufzeit. Ergänzend: Hugo Check 0 € (5 Scans) bis 99 €/Monat (Agentur White-Label), Hugo ISMS 149–699 €/Monat, Hugo Shield 0–499 €/Monat, Compliance Suite Bundle 549–1.299 €/Monat. Beratung 159 €/h (Datenschutz) bzw. 199 €/h (NIS2/ISMS), 10er-Pakete günstiger.	Arztpraxen und Praxisverbände ab 20 Beschäftigten (§ 38 BDSG), die eine digitale	—
ap-datenschutz	Ausschließlich auf das Gesundheitswesen fokussierter Anbieter, der Arzt- und Zah	auf Anfrage	Einzelpraxen, Gemeinschaftspraxen und MVZ im humanmedizinischen und zahnmedizini	—
dsbplus	dsbplus verbindet TÜV-zertifizierte DSB- und Auditor-Qualifikation mit einer auf	auf Anfrage	Arztpraxen und MVZ, die zertifizierte DSB-Begleitung mit Plattform-Unterstützung	—
eduodo	Eduodo betreut ausschließlich Einrichtungen des Gesundheitswesens und stellt Ber	auf Anfrage; transparentes Monatsmodell, das nach Praxisgröße skaliert.	Arztpraxen, MVZ und Pflegeeinrichtungen ab 1 bis 50 Beschäftigte, die einen bran	—
Spirit Legal	Spirit Legal bietet ein modulares DSB-Modell mit klarer Preisstaffelung, das Pra	ab 99 €/Monat (Basispaket); Premium-Pakete auf Anfrage.	Einzel- und Gemeinschaftspraxen (5–30 Beschäftigte), die einen skalierbaren Eins	—

Häufige Fragen (FAQ) zum externen Datenschutzbeauftragten in Arztpraxen

Ab wann besteht für eine Arztpraxis die Pflicht zur Bestellung eines Datenschutzbeauftragten?

Nach § 38 BDSG greift die Schwelle bei 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind – zählen tun MFA, Ärzte, Azubis und Minijobber, sofern sie regelmäßig im PVS oder der Abrechnung arbeiten. Unabhängig von der Mitarbeiterzahl löst Art. 37 Abs. 1 lit. b/c DSGVO die Pflicht bereits ab der ersten Person aus, weil die Kerntätigkeit einer Praxis die systematische Verarbeitung von Gesundheitsdaten (Art. 9 DSGVO) umfasst. Praxen prüfen beide Kriterien parallel.

Wie läuft die formale Bestellung eines externen DSB ab und welche Unterlagen werden benötigt?

Die Praxis schließt einen Dienstleistungsvertrag mit dem Anbieter und benennt den DSB schriftlich gegenüber der Aufsichtsbehörde (Meldepflicht nach Art. 37 Abs. 7 DSGVO). Zum Start liefert die Praxis aktuelle Verarbeitungsverzeichnisse, bestehende AV-Verträge, TOM-Dokumentation und ggf. frühere DSFA-Berichte. Viele Anbieter stellen einen Onboarding-Fragebogen bereit, um Lücken schnell zu identifizieren. Typische Checklisten umfassen auch Organisationspläne und IT-Systemübersichten.

Welche Kostenunterschiede gibt es zwischen internem und externem DSB?

Ein interner DSB verursacht Ausbildungskosten (fachkundige Person), laufende Fortbildungspflichten, Freistellungszeiten und Haftungsrisiken für die Praxis. Externe Anbieter kalkulieren meist Monatspauschalen, die Beratung, Plattformnutzung, Schulungen und Jour-fixes abdecken. Laut Branchenvergleichen liegt der externe DSB dadurch oft deutlich unter den internen Gesamtkosten, besonders bei kleineren Teams ohne eigene Juristen.

Wie gestaltet sich der Wechsel zwischen zwei DSB-Anbietern und welche Kündigungsfristen gelten?

Der Wechsel ist jederzeit möglich, doch § 6 Abs. 4 BDSG schützt den DSB vor willkürlicher Abberufung – auch bei externen Mandaten. Verträge sollten daher ordentliche Kündigungsfristen (meist 3 Monate zum Quartalsende) und einen geordneten Übergabeprozess vorsehen: Übergabe der Dokumentation, Einführung in laufende Projekte, Neubename bei der Behörde. Ein paralleler Betrieb über 4–6 Wochen sichert Kontinuität.

Welche Unterlagen muss die Praxis für die DSFA bereitstellen und wie unterstützen Anbieter diesen Prozess?

Grundlage sind Verarbeitungsverzeichnis, Risikoanalyse der IT-Systeme, TOM-Nachweise, AV-Verträge und Beschreibungen der Datenflüsse (insb. PVS, eGK, Videosprechstunde). Da Gesundheitsdaten verarbeitet werden, ist die DSFA nach Art. 35 DSGVO regelmäßig Pflicht und zieht die DSB-Pflicht nach sich. Plattformbasierte Anbieter stellen vorstrukturierte DSFA-Module bereit, führen Workshops durch und dokumentieren das Ergebnis revisionssicher.

Wie muss der Datenschutzbeauftragte bei Audits durch Aufsichtsbehörden oder Krankenkassen agieren?

Der DSB ist Ansprechpartner und Koordinator: Er stellt Unterlagen zusammen, begleitet die Prüfung vor Ort, beantwortet Fachfragen zu TOM, AVV und DSFA und dokumentiert Beanstandungen. Wichtig: Der DSB entscheidet nicht weisungsgebunden, sondern unabhängig (Art. 38 Abs. 3 DSGVO). Praxen profitieren, wenn der Anbieter Audit-Erfahrung im Gesundheitswesen nachweist und Musterantworten für typische Prüfungsschwerpunkte (Patientenrechte, Übermittlung an KVen, Notfalldatensatz) bereithält.

Fazit: Welcher externe DSB passt zu Ihrer Praxis?

Die Entscheidung hängt von drei Faktoren ab: Praxisgröße und IT-Ausstattung, gewünschte Branchenfokussierung sowie Budgetspielraum. Für Praxen, die eine kostengünstige, vollständig digitalisierte Lösung bevorzugen und Routineaufgaben selbst steuern möchten, bietet frag.hugo ein attraktives Paket. Wer einen reinen Gesundheitswesen-Spezialisten mit tiefem Know-how zu Art. 9 DSGVO und Berufsgeheimnis sucht, findet bei ap-datenschutz oder eduodo passende Partner. Praxen, die Wert auf offizielle Prüfzeichen legen und externe Audits erwarten, sollten dsbplus mit seiner TÜV-Zertifizierung prüfen. Wachsende Praxen profitieren vom flexiblen Baukasten von Spirit Legal, der schrittweise Erweiterungen erlaubt. Ein kostenloses Erstgespräch oder eine Testphase klärt vor Vertragsabschluss, ob Fachkompetenz, Reaktionszeit und Werkzeuge zum Praxisalltag passen.

Hinweis zur Transparenz: Diese Marktübersicht wird redaktionell auf cpsecure.de veröffentlicht. frag.hugo ist als einer der vorgestellten Marktteilnehmer Werbepartner unserer Plattform — die Bewertung erfolgt nach branchenüblichen Kriterien (Stärken, Schwächen, Preisspanne, Zielgruppe), die Reihenfolge ist eine Redaktions-Empfehlung und ersetzt keine individuelle Beratung. Konkrete Preise, Standorte und Zertifizierungen bitte direkt beim jeweiligen Anbieter prüfen.