§ 203 Abs. 3 und 4 StGB: Der IT-Dienstleister einer Arztpraxis ist selbst strafbar, wenn er ein Geheimnis offenbart, und die Praxis ist strafbar, wenn sie ihn nicht zur Geheimhaltung verpflichtet hat

Wichtige Erkenntnisse

• Berufsgeheimnisträger sind die in § 203 Abs. 1 StGB genannten Personen, darunter „Arzt, Zahnarzt, Tierarzt, Apotheker oder Angehörigen eines anderen Heilberufs“ (Nr. 1), „Rechtsanwalt, … Notar, … Wirtschaftsprüfer, … Steuerberater“ (Nr. 3) und „Angehörigen eines Unternehmens der privaten Kranken-, Unfall- oder Lebensversicherung“ (Nr. 7). Wer für sie IT betreibt, wirkt an ihrer Tätigkeit mit.
• § 203 Abs. 3 Satz 2 StGB ist die Erlaubnisnorm: Offenbaren gegenüber mitwirkenden Personen ist zulässig, aber nur „soweit dies für die Inanspruchnahme der Tätigkeit der sonstigen mitwirkenden Personen erforderlich ist“. Ein Zugriff, der über das Erforderliche hinausgeht, ist von der Erlaubnis nicht gedeckt.
• Die Erlaubnis reicht in die Kette: Satz 2 Halbsatz 2 gilt „für sonstige mitwirkende Personen, wenn diese sich weiterer Personen bedienen“. Der Subunternehmer des IT-Dienstleisters ist erfasst.
• § 203 Abs. 4 Satz 1 StGB macht die mitwirkende Person selbst strafbar: „Freiheitsstrafe bis zu einem Jahr oder … Geldstrafe“ für das unbefugte Offenbaren eines Geheimnisses, das ihr „bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit“ bekannt geworden ist. Dasselbe gilt für den bei einem Berufsgeheimnisträger tätigen Datenschutzbeauftragten.
• § 203 Abs. 4 Satz 2 Nr. 1 StGB trifft den Auftraggeber: strafbar ist, wer „als in den Absätzen 1 und 2 genannte Person nicht dafür Sorge getragen hat, dass eine sonstige mitwirkende Person, die unbefugt ein fremdes … Geheimnis offenbart, zur Geheimhaltung verpflichtet wurde“. Nr. 2 verlängert diese Pflicht auf den Dienstleister gegenüber seinen eigenen Subunternehmern.
• § 203 Abs. 6 StGB erhöht den Rahmen auf „Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe“, wenn der Täter „gegen Entgelt oder in der Absicht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen“ handelt.
• Die Verpflichtung zur Geheimhaltung ist kein Ersatz für den Vertrag nach Art. 28 DSGVO und dieser kein Ersatz für sie; § 203 StGB schützt das Geheimnis, die DSGVO die personenbezogenen Daten. Beides ist nebeneinander zu erfüllen.

Zwei Absätze, die den Anbieter und seinen Kunden gleichzeitig treffen

Wer Software oder Cloud-Dienste für Arztpraxen, Krankenhäuser, Kanzleien oder Steuerberatungen betreibt, arbeitet mit Geheimnissen, die § 203 StGB schützt. Bis zur Neufassung der Vorschrift war umstritten, ob der Berufsgeheimnisträger solchen Dienstleistern überhaupt Zugang gewähren darf. Die geltende Fassung löst das mit einem Tausch: Abs. 3 Satz 2 erlaubt das Offenbaren gegenüber „sonstigen mitwirkenden Personen“, und Abs. 4 zieht dafür zwei neue Täterkreise in den Straftatbestand hinein, den Dienstleister selbst und den Berufsgeheimnisträger, der ihn nicht verpflichtet hat. Beide Seiten eines Softwarevertrags im Gesundheitswesen tragen seither ein eigenes strafrechtliches Risiko.

Dieser Beitrag gibt § 203 Abs. 1, 3, 4 und 6 StGB in der Fassung wieder, die gesetze-im-internet.de am 17. September 2026 bereitstellt.

Abs. 1: wessen Geheimnisse geschützt sind

§ 203 Abs. 1 StGB bestraft, „wer unbefugt ein fremdes Geheimnis, namentlich ein zum persönlichen Lebensbereich gehörendes Geheimnis oder ein Betriebs- oder Geschäftsgeheimnis, offenbart, das ihm als“ einer der dort genannten Personen „anvertraut worden oder sonst bekanntgeworden ist“. Die Liste beginnt mit Nr. 1: „Arzt, Zahnarzt, Tierarzt, Apotheker oder Angehörigen eines anderen Heilberufs, der für die Berufsausübung oder die Führung der Berufsbezeichnung eine staatlich geregelte Ausbildung erfordert“. Nr. 3 nennt „Rechtsanwalt, Kammerrechtsbeistand, Patentanwalt, Notar, Verteidiger in einem gesetzlich geordneten Verfahren, Wirtschaftsprüfer, vereidigtem Buchprüfer, Steuerberater, Steuerbevollmächtigten“, Nr. 7 „Angehörigen eines Unternehmens der privaten Kranken-, Unfall- oder Lebensversicherung oder einer privatärztlichen, steuerberaterlichen oder anwaltlichen Verrechnungsstelle“. Wer für eine dieser Personen Daten hostet, Systeme wartet oder Support leistet, kommt mit deren Geheimnissen in Berührung.

Abs. 3: die Erlaubnis und ihre Grenze

§ 203 Abs. 3 StGB: „Kein Offenbaren im Sinne dieser Vorschrift liegt vor, wenn die in den Absätzen 1 und 2 genannten Personen Geheimnisse den bei ihnen berufsmäßig tätigen Gehilfen oder den bei ihnen zur Vorbereitung auf den Beruf tätigen Personen zugänglich machen. Die in den Absätzen 1 und 2 Genannten dürfen fremde Geheimnisse gegenüber sonstigen Personen offenbaren, die an ihrer beruflichen oder dienstlichen Tätigkeit mitwirken, soweit dies für die Inanspruchnahme der Tätigkeit der sonstigen mitwirkenden Personen erforderlich ist; das Gleiche gilt für sonstige mitwirkende Personen, wenn diese sich weiterer Personen bedienen, die an der beruflichen oder dienstlichen Tätigkeit der in den Absätzen 1 und 2 Genannten mitwirken.“

Satz 1 betrifft die eigenen Gehilfen, etwa die medizinische Fachangestellte; ihnen gegenüber liegt schon begrifflich kein Offenbaren vor. Satz 2 betrifft die „sonstigen Personen, die an ihrer beruflichen oder dienstlichen Tätigkeit mitwirken“, und das ist die Kategorie des externen IT-Dienstleisters, des Rechenzentrums, des Softwareanbieters mit Fernwartungszugang. Ihnen gegenüber darf offenbart werden, aber nur „soweit dies für die Inanspruchnahme der Tätigkeit … erforderlich ist“. Die Grenze liegt also nicht beim Dienstleister als solchem, sondern beim Umfang: Ein Wartungszugang, der die Patientendatenbank im Klartext einsehbar macht, obwohl die Wartung das nicht erfordert, ist von Satz 2 nicht gedeckt. Der zweite Halbsatz zieht die Erlaubnis in die Kette hinein: Auch der Dienstleister darf sich „weiterer Personen bedienen“, unter derselben Bedingung.

Abs. 4 Satz 1: der Dienstleister als Täter

§ 203 Abs. 4 Satz 1 StGB: „Mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe wird bestraft, wer unbefugt ein fremdes Geheimnis offenbart, das ihm bei der Ausübung oder bei Gelegenheit seiner Tätigkeit als mitwirkende Person oder als bei den in den Absätzen 1 und 2 genannten Personen tätiger Datenschutzbeauftragter bekannt geworden ist.“

Das ist die Vorschrift, die den Softwareanbieter unmittelbar trifft. Wer als mitwirkende Person ein Geheimnis erfährt, „bei der Ausübung oder bei Gelegenheit“ der Tätigkeit, und es unbefugt offenbart, macht sich strafbar, ohne selbst Arzt oder Anwalt zu sein. „Bei Gelegenheit“ erfasst auch das, was ein Techniker zufällig sieht. Die Vorschrift nennt neben der mitwirkenden Person ausdrücklich den bei einem Berufsgeheimnisträger tätigen Datenschutzbeauftragten; ein externer Datenschutzbeauftragter einer Praxis steht damit im selben Tatbestand wie der IT-Dienstleister.

Abs. 4 Satz 2 Nr. 1 und 2: die Verpflichtungspflicht

§ 203 Abs. 4 Satz 2 StGB: „Ebenso wird bestraft, wer 1. als in den Absätzen 1 und 2 genannte Person nicht dafür Sorge getragen hat, dass eine sonstige mitwirkende Person, die unbefugt ein fremdes, ihr bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis offenbart, zur Geheimhaltung verpflichtet wurde; dies gilt nicht für sonstige mitwirkende Personen, die selbst eine in den Absätzen 1 oder 2 genannte Person sind, 2. als im Absatz 3 genannte mitwirkende Person sich einer weiteren mitwirkenden Person, die unbefugt ein fremdes, ihr bei der Ausübung oder bei Gelegenheit ihrer Tätigkeit bekannt gewordenes Geheimnis offenbart, bedient und nicht dafür Sorge getragen hat, dass diese zur Geheimhaltung verpflichtet wurde; dies gilt nicht für sonstige mitwirkende Personen, die selbst eine in den Absätzen 1 oder 2 genannte Person sind“.

Nr. 1 trifft die Praxis, die Kanzlei, das Krankenhaus: Strafbar ist, wer „nicht dafür Sorge getragen hat“, dass der Dienstleister „zur Geheimhaltung verpflichtet wurde“, wenn dieser später ein Geheimnis offenbart. Die Strafbarkeit hängt an zwei Bedingungen, der unterlassenen Verpflichtung und der späteren Offenbarung durch den Dienstleister; die Verpflichtung ist die einzige davon, die der Berufsgeheimnisträger selbst in der Hand hat. Nr. 2 verlängert dieselbe Pflicht auf den Dienstleister gegenüber seinen Subunternehmern: Wer sich „einer weiteren mitwirkenden Person bedient“, muss diese verpflichten. Für einen Softwareanbieter, der Hosting oder Support an Dritte vergibt, heißt das, dass er selbst zum Adressaten der Verpflichtungspflicht wird. Die Ausnahme am Ende beider Nummern gilt nur, wenn die mitwirkende Person selbst Berufsgeheimnisträger ist, etwa ein Arzt, der für einen anderen Arzt tätig wird.

Abs. 6: der erhöhte Rahmen

§ 203 Abs. 6 StGB: „Handelt der Täter gegen Entgelt oder in der Absicht, sich oder einen anderen zu bereichern oder einen anderen zu schädigen, so ist die Strafe Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe.“ Der Verkauf von Patientendaten fällt darunter; der Rahmen gilt für alle Täter der Absätze 1 bis 4.

Was das neben der DSGVO bedeutet

§ 203 StGB und der Auftragsverarbeitungsvertrag nach Art. 28 der Verordnung (EU) 2016/679 werden in der Praxis oft in einem Dokument erledigt, sind aber zwei verschiedene Pflichten. Der Vertrag nach Art. 28 DSGVO regelt die Verarbeitung personenbezogener Daten im Auftrag; die Verpflichtung nach § 203 Abs. 4 Satz 2 StGB betrifft die Geheimhaltung fremder Geheimnisse, die auch Betriebs- und Geschäftsgeheimnisse ohne Personenbezug einschließen. Ein Art.-28-Vertrag ohne ausdrückliche Verpflichtung zur Geheimhaltung nach § 203 StGB belegt die Verpflichtung nicht; eine Verpflichtung nach § 203 StGB ohne Art.-28-Vertrag erfüllt die DSGVO nicht. Dieser Beitrag nennt keine Bußgelder der DSGVO; er behandelt die Strafvorschrift.

Was ein Anbieter und was sein Kunde vorhalten muss

Aus dem Wortlaut ergeben sich für beide Seiten je zwei Positionen. Der Berufsgeheimnisträger braucht erstens den Nachweis, dass jeder mitwirkende Dienstleister „zur Geheimhaltung verpflichtet wurde“, mit Datum und vor dem ersten Zugriff, und zweitens eine Begrenzung des Zugriffs auf das, was „für die Inanspruchnahme der Tätigkeit … erforderlich ist“. Der Dienstleister braucht erstens denselben Nachweis gegenüber jedem eigenen Subunternehmer nach Nr. 2 und zweitens eine interne Regelung, die seinen Beschäftigten den Tatbestand des Abs. 4 Satz 1 bekannt macht, weil diese selbst Täter sein können.

In CIVAC lassen sich die Verpflichtungserklärungen je Dienstleister und je Subunternehmer als Dokumente mit Datum ablegen, die Prüfung der Zugriffsreichweite als wiederkehrende Aufgabe des Datenschutzbeauftragten führen und die Unterweisung der eigenen Beschäftigten zu § 203 Abs. 4 StGB als Schulungsnachweis festhalten. Für die Pflicht selbst ändert das nichts. Ob ein Zugriff erforderlich war und ob eine Offenbarung unbefugt war, entscheidet im Ernstfall das Strafgericht; die Plattform hält fest, dass verpflichtet, begrenzt und unterwiesen wurde.

Wo dieser Beitrag endet

CIVAC ist keine Rechtsanwaltskanzlei und erbringt keine Rechtsdienstleistung im Sinne des Rechtsdienstleistungsgesetzes. Dieser Beitrag gibt § 203 Abs. 1, 3, 4 und 6 StGB im Wortlaut wieder. Ob ein bestimmter Dienstleister mitwirkende Person ist, welcher Zugriff im Einzelfall erforderlich ist, welche Form eine Verpflichtung zur Geheimhaltung haben muss und ob eine bestimmte Offenbarung unbefugt war, entscheidet nicht dieser Text, sondern im Streitfall das zuständige Gericht.

Häufige Fragen

Darf eine Arztpraxis ihre Patientendaten überhaupt bei einem externen Anbieter hosten?

§ 203 Abs. 3 Satz 2 StGB erlaubt das Offenbaren gegenüber „sonstigen Personen, die an ihrer beruflichen oder dienstlichen Tätigkeit mitwirken, soweit dies für die Inanspruchnahme der Tätigkeit der sonstigen mitwirkenden Personen erforderlich ist“. Die Erlaubnis besteht, ist aber auf das Erforderliche begrenzt und setzt nach Abs. 4 Satz 2 Nr. 1 voraus, dass der Anbieter zur Geheimhaltung verpflichtet wird.

Macht sich der Softwareanbieter selbst strafbar?

Ja, nach § 203 Abs. 4 Satz 1 StGB, wenn er „unbefugt ein fremdes Geheimnis offenbart, das ihm bei der Ausübung oder bei Gelegenheit seiner Tätigkeit als mitwirkende Person … bekannt geworden ist“. Der Rahmen ist Freiheitsstrafe bis zu einem Jahr oder Geldstrafe, nach Abs. 6 bis zu zwei Jahren bei Handeln gegen Entgelt oder in Bereicherungs- oder Schädigungsabsicht.

Was passiert, wenn die Praxis den Anbieter nicht verpflichtet hat?

Offenbart der Anbieter später unbefugt ein Geheimnis, ist nach § 203 Abs. 4 Satz 2 Nr. 1 StGB auch strafbar, wer „nicht dafür Sorge getragen hat, dass eine sonstige mitwirkende Person … zur Geheimhaltung verpflichtet wurde“. Die unterlassene Verpflichtung wird also im Fall der Offenbarung zur eigenen Strafbarkeit des Berufsgeheimnisträgers.

Gilt das auch für den Subunternehmer des Anbieters?

Ja. § 203 Abs. 3 Satz 2 Halbsatz 2 StGB erstreckt die Erlaubnis auf „weitere Personen“, deren sich die mitwirkende Person bedient, und § 203 Abs. 4 Satz 2 Nr. 2 StGB bestraft die mitwirkende Person, die „nicht dafür Sorge getragen hat, dass diese zur Geheimhaltung verpflichtet wurde“.

Reicht der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO?

§ 203 Abs. 4 Satz 2 Nr. 1 StGB verlangt, dass die mitwirkende Person „zur Geheimhaltung verpflichtet wurde“. Ob ein bestimmter Vertragstext diese Verpflichtung enthält, ist eine Frage seines Inhalts; ein Vertrag, der nur die Verarbeitung personenbezogener Daten regelt, ohne die Geheimhaltung nach § 203 StGB anzusprechen, belegt sie nicht.