PDF herunterladen
PDF im A4-Format · sofort herunterladbar · kein Login nötig
<strong>Hinweis:</strong> Dies ist eine Muster-Vorlage ohne Rechtsberatung. Sie ist an die eigene Berufsgruppe und Praxissituation anzupassen — eine juristische Prüfung durch eine:n Datenschutz-Anwält:in wird empfohlen. GenoEasy übernimmt keine Haftung für die Verwendung dieser Vorlage.
Wozu eine Einwilligung — und warum reicht ein Vertrag nicht?
Genogramm-Daten sind besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO. Sie umfassen Gesundheitsdaten, Angaben zur ethnischen Herkunft, religiöser oder weltanschaulicher Überzeugung, Sexualleben und biografische Konstellationen — bei psychisch belasteten Klient:innen meist über mehrere Generationen hinweg. Das macht ihre Verarbeitung per Default verboten (Art. 9 Abs. 1); zulässig wird sie nur, wenn ein Ausnahmetatbestand des Abs. 2 greift. In der freiberuflichen Beratung ist das praktisch fast immer lit. a — die ausdrückliche Einwilligung.
Ein Beratungsvertrag nach §§ 611 ff. BGB rechtfertigt die Erhebung gewöhnlicher Daten (Name, Adresse, Honorardaten) über Art. 6 Abs. 1 lit. b DSGVO. Für besondere Kategorien wie Diagnosen, Medikation, Familienkrankheiten oder Suchtgeschichte reicht das nicht. Hier braucht es eine zweite, getrennte, ausdrückliche Einwilligung — schriftlich oder elektronisch, granular nach Verarbeitungszweck, frei widerruflich.
Drei Gründe, warum eine sauber dokumentierte Einwilligung existenziell ist: Erstens rechtlich — ohne wirksame Einwilligung sind Erhebung und Speicherung rechtswidrig (Art. 5 Abs. 1 lit. a, Art. 9, Art. 7 DSGVO). Die Aufsichtsbehörden verhängen Bußgelder bis 20 Mio EUR oder 4 % des Jahresumsatzes (Art. 83 Abs. 5). Zweitens zivilrechtlich — Klient:innen können nach Art. 82 DSGVO immateriellen Schadenersatz verlangen; der BGH hat 2024 bestätigt, dass schon der „Kontrollverlust" über Daten genügt (BGH VI ZR 10/24). Drittens beruflich — bei approbierten Therapeut:innen ist die DSGVO-Pflicht zusätzlich Berufsrechtspflicht; bei freien Berater:innen ist sie das härteste Compliance-Risiko, das praktisch kaum versichert ist.
Genogramm-Spezialproblem: Die Klient:in erhebt Daten über Dritte (Eltern, Großeltern, Geschwister, Partner, ggf. Kinder Dritter). Diese Personen können nicht selbst einwilligen — und die „Haushaltsausnahme" (Art. 2 Abs. 2 lit. c) greift bei professioneller Verarbeitung nicht. Die DSK (Datenschutzkonferenz) löst das pragmatisch: Klient:in muss informiert sein, dass sie aus eigener Erinnerung berichtet; die Drittinformationen werden ausschließlich im therapeutischen Kontext zwischen Klient:in und Berater:in verarbeitet, nicht extern weitergegeben, und so kurz wie möglich gespeichert. Dieser Sonderfall gehört in jede Einwilligungserklärung als eigene Klausel.
Inhalt: Art. 6 Rechtsgrundlage · Art. 7 Bedingungen der Einwilligung · Art. 9 besondere Kategorien · Art. 13/14 Informationspflichten · Art. 30 Verzeichnis · Pflicht-Klauseln · Stolperfallen · FAQ · Druckhinweis-Cover · ausfüllbare Einwilligungserklärung · Anpassungs-Checkliste · Quellen.
Art. 6 DSGVO — Rechtmäßigkeit der Verarbeitung
DSGVO Art. 6 Abs. 1 (Auszug)
„Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
a) Die betroffene Person hat ihre Einwilligung … gegeben;
b) die Verarbeitung ist für die Erfüllung eines Vertrags … erforderlich;
c) die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich;
d) die Verarbeitung ist erforderlich, um lebenswichtige Interessen … zu schützen;
e) die Verarbeitung ist für die Wahrnehmung einer Aufgabe … im öffentlichen Interesse … erforderlich;
f) die Verarbeitung ist zur Wahrung der berechtigten Interessen … erforderlich, sofern nicht … die Grundrechte der betroffenen Person überwiegen."
Klartext-Erläuterung. Art. 6 ist die Eingangshürde für jede Datenverarbeitung. In der Beratungspraxis sind nur drei Tatbestände relevant: lit. a (Einwilligung) als Default für freie Berater:innen, lit. b (Vertragserfüllung) für Honorardaten und Kontaktangaben aus dem Beratungsvertrag, lit. c (rechtliche Verpflichtung) für die zehnjährige Aufbewahrung von Rechnungen nach § 147 AO. Genogramm-Inhalte fallen nicht unter lit. b — auch wenn die Beratung selbst Vertragsgegenstand ist, ist die konkrete Erhebung sensibler Familiendaten ein eigener Verarbeitungsvorgang.
Was muss in die Einwilligung? Eine klare Angabe, welche Rechtsgrundlage für welche Datenkategorie greift. Sammelformulierungen („für die Beratung notwendige Daten") sind nach BfDI-Praxis unzureichend. Trennen: §1 Vertragsdaten (lit. b), §2 Genogramm-Inhalte (lit. a + Art. 9 lit. a), §3 Rechnungs-Archiv (lit. c).
Stolperfallen
- Pauschal-Klausel „Sie willigen ein in die für die Beratung erforderliche Datenverarbeitung" — unwirksam, weil nicht informiert (Art. 4 Nr. 11)
- Vermischung lit. a und lit. b in einer einzigen Unterschrift — Widerruf wird unmöglich, weil keine getrennten Verarbeitungen erkennbar sind
- Berufung auf „berechtigtes Interesse" (lit. f) für Therapie-/Beratungsdaten — Art. 9 lit. f ist abschließend; lit. f aus Art. 6 verdrängt das nicht
Art. 7 DSGVO — Bedingungen der Einwilligung
DSGVO Art. 7 (Auszug)
„(1) Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person … eingewilligt hat.
(2) Erfolgt die Einwilligung … im Rahmen einer schriftlichen Erklärung, die noch andere Sachverhalte betrifft, so muss das Ersuchen … in verständlicher und leicht zugänglicher Form … klar von … anderen Sachverhalten unterscheidbar … sein. …
(3) Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen. … Der Widerruf der Einwilligung berührt nicht die Rechtmäßigkeit der … erfolgten Verarbeitung. Vor Abgabe der Einwilligung wird die betroffene Person hiervon in Kenntnis gesetzt.
(4) Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, muss … berücksichtigt werden, ob … die Erfüllung eines Vertrags … von der Einwilligung zu einer Verarbeitung … abhängig ist, die für die Erfüllung des Vertrags nicht erforderlich ist."
Klartext-Erläuterung. Art. 7 ist die Qualitätskontrolle der Einwilligung. Vier Pflichten: Nachweispflicht (Abs. 1 — das Original unterschriebene Formular muss zu jeder Zeit auffindbar sein), Trennungspflicht (Abs. 2 — Einwilligung darf nicht im Vertragstext untergehen, deshalb separates Dokument), Widerrufsbelehrung (Abs. 3 — Klient:in muss vorab über Widerrufsrecht informiert werden, sonst ist die Einwilligung unwirksam), Freiwilligkeit / Koppelungsverbot (Abs. 4 — Beratung darf nicht von einer Einwilligung in nicht-notwendige Verarbeitungen abhängig gemacht werden).
Was muss in die Einwilligung? Ein eigenes Dokument (nicht Teil des Beratungsvertrags), vor jeder Datenerhebung unterschrieben, mit ausdrücklicher Widerrufsbelehrung. Jede granulare Einwilligung (Aktenführung, Supervision, Tonaufnahme, Information an Hausärzt:in) bekommt eine eigene Checkbox. Klient:in muss bei jeder Box wählen können, ohne dass Beratung sonst verweigert wird.
Stolperfallen
- Einwilligung als Anlage zum Beratungsvertrag, mit-unterzeichnet — verstößt gegen Trennungsgebot (Abs. 2)
- Widerrufsbelehrung erst auf Rückseite oder in „Datenschutzhinweisen" — vor Unterschrift muss sie sichtbar sein
- „Nur mit dieser Einwilligung kann die Beratung durchgeführt werden" — Koppelungsverbot, macht Einwilligung unfreiwillig
- Digitales Häkchen ohne Logging des Zeitpunkts — Nachweispflicht (Abs. 1) nicht erfüllt
Art. 9 DSGVO — Besondere Kategorien (Herzstück der Genogrammarbeit)
DSGVO Art. 9 Abs. 1 + Abs. 2 lit. a (Auszug)
„(1) Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.
(2) Absatz 1 gilt nicht in folgenden Fällen: a) die betroffene Person hat in die Verarbeitung … für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt …"
Klartext-Erläuterung. Art. 9 ist die Spezialnorm für sensible Daten — und Genogramm-Inhalte fallen praktisch immer darunter. Die ethnische Herkunft (Migrationsfragen, „familiäre Wurzeln"), religiöse Überzeugungen (kirchliche Bindung, Konfessions-Übertritte), Gesundheitsdaten (Erkrankungen, psychische Diagnosen, Suchtgeschichte), Daten zum Sexualleben (sexuelle Orientierung, Untreuemuster) — all das kann im Genogramm auftauchen, und sobald eine dieser Kategorien berührt ist, gilt Art. 9 für den gesamten Datensatz dieser Person.
Die Schwelle für „ausdrücklich" (Abs. 2 lit. a) ist höher als bei normaler Einwilligung: nicht nur „eindeutige bestätigende Handlung" wie bei Art. 6 lit. a, sondern ein explizites Ja zu dieser konkreten Kategorie. Konkludente Einwilligung (durch Erzählen) reicht nicht.
Was muss in die Einwilligung? Pro Kategorie (Gesundheit, Herkunft, Religion, Sexualleben, ggf. genetische Daten bei Familienkrankheiten) eine eigene Checkbox mit konkretem Verarbeitungszweck. Beispiel: „☐ Ich willige in die Erhebung von Gesundheitsdaten (eigene und familiäre Erkrankungen) zum Zweck der Genogramm-Erstellung ein." — getrennt von „☐ Ich willige in die Erhebung von Daten zur ethnischen Herkunft (Migrationsgeschichte der Familie) ein."
Stolperfallen
- Eine Sammeleinwilligung „Gesundheitsdaten und alle sonstigen sensiblen Daten" — Art. 9 verlangt zweckgebundene Granularität
- Mündliche Einwilligung am Anfang einer Sitzung („Sie können mir alles erzählen, was wichtig ist") — keine ausdrückliche Einwilligung im Sinne lit. a, Nachweispflicht nicht erfüllt
- Annahme, dass eine pauschale Einwilligung im Erstgespräch alle weiteren Sitzungen abdeckt — sie deckt nur die zum Zeitpunkt bekannten Verarbeitungszwecke ab
- Vergessen der Drittinformationen (Eltern, Großeltern) — diese sind ebenfalls Art.-9-Daten, aber nicht von der Klient:in einwilligungsfähig
Art. 13 / 14 DSGVO — Informationspflichten
DSGVO Art. 13 Abs. 1 + 2 (zusammengefasst)
Bei Erhebung von Daten direkt bei der betroffenen Person hat der Verantwortliche zum Zeitpunkt der Erhebung mitzuteilen: (a) Name und Kontakt des Verantwortlichen, ggf. Datenschutzbeauftragte:n; (b) Verarbeitungszwecke + Rechtsgrundlage; (c) bei lit. f berechtigte Interessen; (d) Empfänger oder Empfängerkategorien; (e) ggf. Drittland-Übermittlung + Sicherheitsmaßnahmen; (f) Speicherdauer oder Kriterien dafür; (g) Betroffenenrechte (Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit); (h) Widerrufsrecht bei Einwilligung; (i) Beschwerderecht bei Aufsichtsbehörde; (j) Hinweis, ob Bereitstellung gesetzlich/vertraglich erforderlich ist; (k) automatisierte Entscheidungen.
Art. 14 erweitert diese Pflicht auf bei Dritten erhobene Daten — mit Frist „spätestens 1 Monat nach Erhebung", spätestens bei erster Kontaktaufnahme.
Klartext-Erläuterung. Art. 13/14 sind die Transparenzpflichten, die der Einwilligung vorgelagert sind. Eine wirksame Einwilligung setzt voraus, dass die Klient:in vorher weiß, was passiert. Verstöße sind häufiger und teurer als Verstöße gegen Art. 7 — Aufsichtsbehörden prüfen routinemäßig, ob die Informationen vollständig sind.
Praktisch: Das Informationsblatt nach Art. 13 ist ein eigenes Dokument, das vor der Einwilligungserklärung ausgehändigt und mit unterzeichnet wird („Ich habe die Datenschutzinformation erhalten und gelesen"). In der Praxis: Doppeldokument — Seite 1 Informationsblatt, Seite 2 Einwilligung mit granularen Checkboxen.
Genogramm-Spezialfall Art. 14: Wenn die Klient:in Daten über Dritte (Großmutter, verstorbener Onkel) berichtet, werden diese Daten bei Dritten erhoben. Strenge Lesart: die genannten Personen müssten innerhalb eines Monats informiert werden. In der Beratungspraxis ist das absurd — die DSK akzeptiert eine Reduktion auf das Notwendige (Datenminimierung) und Nicht-Weitergabe. Trotzdem in die Einwilligung schriftlich aufnehmen, dass Drittinformationen ausschließlich für die Beratung verwendet werden.
Stolperfallen
- Informationspflicht erst im laufenden Beratungsverlauf erfüllt — der „Zeitpunkt der Erhebung" ist bereits das Erstgespräch
- Generischer Datenschutzhinweis aus dem Internet, ohne eigene Praxis-Adresse, Speicherdauer, Empfängerkategorien — wird von Aufsichtsbehörden regelmäßig als unzureichend bewertet
- Vergessen, das Beschwerderecht bei der zuständigen Landesaufsichtsbehörde zu nennen (nicht „beim BfDI" — der ist nur für Bundesbehörden zuständig)
- Kein Hinweis auf Speicherdauer — „solange wie nötig" reicht nicht, konkrete Frist (10 Jahre Rechnung, 3 Jahre Beratungsdoku oder Berufsstandsfrist) angeben
Art. 30 DSGVO — Verzeichnis von Verarbeitungstätigkeiten
DSGVO Art. 30 Abs. 1 + 5 (Auszug)
„(1) Jeder Verantwortliche … führt ein Verzeichnis aller Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen. Dieses Verzeichnis enthält …: Name und Kontaktdaten des Verantwortlichen, … Verarbeitungszwecke; Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten; Kategorien von Empfängern; … Übermittlungen in Drittländer; … vorgesehene Fristen für die Löschung; … allgemeine Beschreibung der technischen und organisatorischen Maßnahmen.
(5) Die … Pflichten gelten nicht für Unternehmen … die weniger als 250 Mitarbeiter beschäftigen, es sei denn … die … vorgenommene Verarbeitung birgt ein Risiko … oder erfolgt nicht nur gelegentlich oder umfasst … besondere Datenkategorien gemäß Artikel 9 …"
Klartext-Erläuterung. Art. 30 ist die Pflicht zur Dokumentation der eigenen Verarbeitung — und der Ausnahmevorbehalt in Abs. 5 greift bei Beratungspraxen praktisch nie: Genogramm-Daten sind Art.-9-Daten und werden regelmäßig (nicht nur gelegentlich) verarbeitet. Damit ist das Verarbeitungsverzeichnis für jede Beratungspraxis Pflicht — auch die freie Einzelpraxis.
Inhalt: Pro Verarbeitungszweck (1. Beratung, 2. Honorarabrechnung, 3. ggf. Supervision, 4. ggf. Werbung) ein Datenblatt. Die Aufsichtsbehörden können das Verzeichnis jederzeit anfordern; Verspätung oder Fehlen wird als eigenständiger Verstoß sanktioniert.
Was muss in die Einwilligung? Eigentlich nichts — das Verzeichnis ist intern. Aber: Die in der Einwilligung versprochenen Verarbeitungszwecke und Speicherdauern müssen mit dem Verzeichnis konsistent sein. Aufsichtsbehörden prüfen genau diesen Abgleich. Mustervorlage in dieser PDF auf der letzten Erläuterungs-Seite — Minimum-Verzeichnis zum Selbstausfüllen.
Stolperfallen
- Annahme, „bin Einzelpraxis, brauche kein Verzeichnis" — gilt wegen Art. 9 nicht
- Verzeichnis und Einwilligungstext widersprechen sich in Speicherdauern — automatischer DSGVO-Verstoß
- Verzeichnis nur als interne Notiz im Kopf — Nachweispflicht (Art. 5 Abs. 2) verlangt schriftliche/elektronische Form
Pflicht-Klauseln der Einwilligungserklärung (Checkliste)
Die folgende Liste ist die konsolidierte Pflicht-Liste aus BfDI-Mustertext, BPtK-Praxisinfo Datenschutz 2018 und DSK-Beschlüssen. Fehlt eine der Kategorien, gilt die Einwilligung im Streitfall regelmäßig als unwirksam:
- Identität des Verantwortlichen — Name, Anschrift, Telefon, E-Mail
- Datenschutzbeauftragte:r (sofern vorhanden) — Kontakt
- Zwecke der Verarbeitung — konkret, pro Datenkategorie getrennt
- Rechtsgrundlage — Art. 6 + Art. 9 ausdrücklich nennen
- Kategorien der erhobenen Daten — Art. 9 ausdrücklich kennzeichnen
- Empfänger / Empfängerkategorien — Steuerberater, IT-Dienstleister mit AVV, Supervisor:in
- Drittland-Übermittlung — i. d. R. „nein" bei lokaler/EU-Speicherung
- Speicherdauer — konkret (10 Jahre Rechnung, X Jahre Beratungsdoku)
- Betroffenenrechte — Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit
- Widerrufsrecht — jederzeit für die Zukunft, formlos
- Beschwerderecht — bei der zuständigen Landesaufsichtsbehörde namentlich
- Hinweis Freiwilligkeit — Folgen einer Nichteinwilligung
- Hinweis automatisierte Entscheidung — i. d. R. „nein"
- Datum + Unterschrift Klient:in + ggf. Sorgeberechtigte
- Granulare Checkboxen — pro Verarbeitungszweck einzeln
- Genogramm-Spezialklausel — Drittinformationen (Familienangehörige) ausschließlich für Beratung
Drei Spezialfälle der Beratungspraxis
Minderjährige
Kinder unter 16 Jahren (DSGVO-Standard; einzelne Bundesländer haben tiefer angesetzt, in DE 16) können nicht selbst wirksam einwilligen — Einwilligung aller Sorgeberechtigten erforderlich. Ab ca. 14 Jahren ist eine altersgerechte zusätzliche Aufklärung des Kindes berufsethischer Standard (BPtK, DGSF). Bei getrennt lebenden Eltern: Beide Sorgeberechtigten unterzeichnen, auch wenn nur eine Person erscheint. Bei alleinigem Sorgerecht: Nachweis (Beschluss) in der Akte.
Tonband- und Videoaufnahmen
Aufnahmen sind eine eigene, gesonderte Verarbeitungstätigkeit mit zusätzlichem Risiko (Bildrechte nach § 22 KunstUrhG, Stimme als biometrisches Datum). Separate Einwilligung mit eigener Zweckangabe (Lehre, Selbstreflexion, Supervision), eigener Speicherdauer und Löschvorbehalt nach Zweckende. Niemals als „Häkchen unter der Haupt-Einwilligung" — eigenes Formular.
Supervision und Intervision
Auch anonymisierte Fallbesprechungen sind eine Datenweitergabe (an die Supervisor:in). Wenn diese unter § 203 StGB fällt (approbierte:r Therapeut:in), genügt der Schweigepflichtsverweis. Bei freier Supervision ohne § 203: vertragliche Verschwiegenheitsverpflichtung der Supervisor:in einholen und als Empfängerkategorie in der Einwilligung namentlich nennen oder zumindest als „beruflich verschwiegene Supervisor:in" kennzeichnen.
Stolperfallen Spezialfälle
- Minderjährige: Einwilligung nur eines Sorgeberechtigten bei gemeinsamem Sorgerecht — unwirksam
- Tonaufnahmen: „Sie haben ja damals zugestimmt" Jahre später — Einwilligung ist zeit- und zweckgebunden
- Supervision: pauschal „mit Kolleg:innen besprechen" — zu vage, Empfängerkategorie muss erkennbar sein
FAQ — Sechs zentrale Klient:innen-Fragen
1. Was passiert, wenn ich meine Einwilligung widerrufe?
Ihr Widerruf wirkt sofort und für die Zukunft (Art. 7 Abs. 3 DSGVO). Alle bis dahin rechtmäßig verarbeiteten Daten dürfen wir behalten — neue Erhebungen oder Auswertungen unterbleiben. Honorarunterlagen müssen wir 10 Jahre aufbewahren (§ 147 AO), das ist eine gesetzliche Pflicht und kein Widerruf-Verstoß. Die Beratungsdoku können Sie löschen lassen, soweit keine berufsständische Aufbewahrungsfrist greift. Eine bereits laufende Sitzungsreihe können wir gemeinsam abschließen oder beenden — Sie entscheiden.
2. Wer hat außer Ihnen Zugriff auf meine Daten?
Niemand ohne Ihre ausdrückliche Zustimmung. Innerhalb der gesetzlichen Pflichten: meine Steuerberater:in für Honorarbelege (mit Auftragsverarbeitungsvertrag), mein IT-Dienstleister für die technische Sicherheit (ebenfalls AVV), bei Online-Sitzungen die genutzte Plattform (auf EU-Server beschränkt). Supervision findet ausschließlich anonymisiert statt — Ihr Name fällt dort nicht. Krankenkassen, Familie oder Arbeitgeber bekommen ohne Ihre schriftliche Zustimmung keinerlei Auskunft.
3. Wo werden meine Daten gespeichert und wie lange?
Sitzungsnotizen und Genogramm-Daten werden lokal und verschlüsselt auf meinem Gerät gespeichert (kein Cloud-Speicher ohne ausdrückliche Vereinbarung). Honorarbelege bewahre ich 10 Jahre auf (§ 147 AO). Beratungsdokumentation behalte ich entsprechend meiner Berufsstandfrist (in der freien Beratung üblich: 3 Jahre nach Vertragsende; bei Approbation 10 Jahre). Danach werden die Daten datenschutzgerecht gelöscht. Backups werden ebenfalls nach Ablauf gelöscht.
4. Was bedeutet die Klausel zu Daten meiner Familienangehörigen?
Bei der Genogrammarbeit erzählen Sie mir aus eigener Erinnerung von Eltern, Großeltern und weiteren Verwandten. Diese Drittinformationen werden Teil Ihrer Beratungsakte. Sie versichern, dass Sie aus eigener Erinnerung berichten — wir holen keine Auskünfte von außen ein. Diese Daten verlassen den Beratungsraum nicht und werden nicht an Familienangehörige weitergegeben. Auch sie unterliegen Ihrem Widerruf.
5. Welche Rechte habe ich nach DSGVO konkret?
Sie können jederzeit (a) Auskunft verlangen, welche Daten ich über Sie gespeichert habe (Art. 15); (b) Berichtigung falscher Daten verlangen (Art. 16); (c) Löschung verlangen, soweit keine Aufbewahrungspflicht entgegensteht (Art. 17); (d) Einschränkung der Verarbeitung verlangen (Art. 18); (e) eine Kopie Ihrer Daten in maschinenlesbarem Format erhalten (Art. 20); (f) Ihre Einwilligung jederzeit widerrufen (Art. 7 Abs. 3); (g) sich bei der Landesdatenschutzbehörde beschweren. Alle Anfragen bearbeite ich kostenlos und binnen eines Monats.
6. Was passiert bei einer Datenpanne?
Ich bin verpflichtet, jede Datenpanne mit Risiko für Ihre Rechte und Freiheiten binnen 72 Stunden an die Aufsichtsbehörde zu melden (Art. 33 DSGVO). Bei hohem Risiko — etwa Verlust unverschlüsselter Sitzungsnotizen — werde ich Sie zusätzlich persönlich informieren (Art. 34). Konkret: Verlust des verschlüsselten Geräts ist meldepflichtig; ich werde Sie zeitnah informieren und beraten, welche Schutzmaßnahmen Sie ergreifen können. Vorsorgemaßnahmen: Festplattenverschlüsselung, getrennte Backups, Zwei-Faktor-Authentifizierung.
Hinweis zur Nutzung der Kopiervorlage
Die folgenden Seiten enthalten eine ausdruckbare, ausfüllbare Einwilligungserklärung nach Art. 6, 7 und 9 DSGVO. Sie können diese Seiten herauslösen, ausfüllen und gemeinsam mit Ihrer Klient:in unterzeichnen.
- Unterstrichene Lücken sind auszufüllen (Name, Anschrift, Speicherort, Speicherdauer …).
- ☐ Kästchen sind anzukreuzen — pro Verarbeitungszweck getrennt. Klient:in entscheidet granular.
- Erläuterungen zu jeder Klausel finden Sie auf den vorhergehenden Seiten dieser Vorlage (Art. 6 / 7 / 9 / 13 / 30).
- Diese Vorlage ist eine Diskussionsgrundlage für einen Termin mit einer Fachanwält:in für Datenschutzrecht. Sie ist keine rechtsverbindliche Vorlage.
- Vor Praxiseinsatz: Anpassungs-Checkliste am Ende dieser Vorlage abarbeiten.
Einwilligungserklärung
nach Art. 6 Abs. 1 lit. a · Art. 7 · Art. 9 Abs. 2 lit. a DSGVO
Verantwortliche Stelle (Berater:in / Praxis)
— betreffend —
Betroffene Person (Klient:in)
— Hiermit erteile ich folgende Einwilligungen. Jede Klausel ist einzeln ankreuzbar; ich kann sie jederzeit für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). —
1. Zweck der Datenerhebung
☐ Ich willige in die Erhebung, Speicherung und Verarbeitung meiner personenbezogenen Daten zum Zweck der systemischen Beratung und Genogramm-Erstellung ein. Konkrete weitere Zwecke (z.B. begleitende Fragebogen-Auswertung, Bericht an Auftraggeber, sofern zutreffend):
2. Art der erhobenen Daten (Art. 9 DSGVO — besondere Kategorien)
Ich willige in die Erhebung folgender Datenkategorien ein. Jede Kategorie einzeln ankreuzen:
☐ Gesundheitsdaten (eigene und familiäre Erkrankungen, psychische Diagnosen, Suchterkrankungen, Medikation)
☐ Daten zur ethnischen Herkunft (Migrationsgeschichte der Familie, kulturelle Verortung)
☐ Religiöse / weltanschauliche Überzeugungen (Konfession, Konfessionswechsel, religiöse Konflikte in der Familie)
☐ Daten zum Sexualleben / sexuelle Orientierung (sofern für das Anliegen relevant)
☐ Sonstige Daten:
Drittinformationen: Ich nehme zur Kenntnis, dass die Genogrammarbeit Informationen über meine Familienangehörigen umfasst. Diese erfasse ich aus eigener Erinnerung; sie werden ausschließlich im Rahmen meiner Beratung verarbeitet und nicht an Dritte weitergegeben.
3. Speicherort und Speicherdauer
☐ Speicherort: lokal/verschlüsselt auf Geräten der Berater:in. Konkret:
☐ Speicherdauer Beratungsdokumentation: Jahre nach Beratungsende
☐ Speicherdauer Honorarbelege: 10 Jahre (§ 147 AO — gesetzlich vorgeschrieben)
☐ Speicherdauer Tonaufnahmen (falls separat zugestimmt): Monate / Jahre, danach Löschung
4. Weitergabe an Dritte
Standardmäßig keine Weitergabe. Ich willige einzeln in folgende Weitergaben ein:
☐ Steuerberater:in (nur Honorarbelege, Auftragsverarbeitungsvertrag liegt vor)
☐ IT-Dienstleister mit AVV nach Art. 28 DSGVO. Name:
☐ Supervisor:in (anonymisierte Fallbesprechung)
☐ Hausärzt:in / behandelnde Therapeut:in (Name: · Inhalt: )
☐ Bei Online-Sitzungen: Plattform-Anbieter (Name: · Server-Standort: )
☐ Sonstige (mit gesonderter Schweigepflichtsentbindung):
5. Widerrufsrecht
Ich nehme zur Kenntnis: Ich kann diese Einwilligung jederzeit für die Zukunft widerrufen — formlos, schriftlich oder per E-Mail, ohne Angabe von Gründen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt (Art. 7 Abs. 3 DSGVO).
Folgen eines Widerrufs: Neue Genogramm-Erhebung unterbleibt; bereits dokumentierte Daten verbleiben, soweit gesetzliche oder berufsständische Aufbewahrungspflichten dies erfordern, andernfalls werden sie auf Wunsch gelöscht. Die Beratung kann ohne diese Einwilligung in reduzierter Form fortgesetzt werden.
6. Beschwerderecht und sonstige Rechte
Ich nehme die folgenden Betroffenenrechte zur Kenntnis: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21).
Beschwerderecht bei der zuständigen Landesdatenschutzbehörde:
Automatisierte Entscheidungen / Profiling: ☐ finden nicht statt ☐ siehe gesondertes Hinweisblatt
Hinweis zur Freiwilligkeit: Die Erteilung der Einwilligung ist freiwillig. Ohne Einwilligung in die jeweilige Datenkategorie kann der entsprechende Teil der Beratung (z.B. Genogramm-Erstellung) nicht durchgeführt werden; andere Beratungsformen bleiben möglich.
Die Klient:in erhält eine unterzeichnete Kopie. Original verbleibt bei der Berater:in als Nachweis nach Art. 7 Abs. 1 DSGVO.
Anpassungs-Checkliste vor Praxis-Einsatz
Vor dem Einsatz im Klient:innen-Kontakt sollten alle Punkte mit einer Fachanwält:in für Datenschutzrecht geklärt sein:
☐ Verantwortliche Stelle (Name, Anschrift, Kontakt) eingetragen
☐ Datenschutzbeauftragte:r angegeben (falls erforderlich nach § 38 BDSG)
☐ Konkrete Speicherdauern eingesetzt — kein „X Jahre"-Platzhalter
☐ Berufsstandsfrist für Beratungsdoku geprüft (3 vs. 10 Jahre)
☐ Empfänger-Liste (Steuerberater, IT, Supervisor) konkret + AVV-Status
☐ Landesdatenschutzbehörde namentlich genannt (je Bundesland eigene)
☐ Granularität: jede Datenkategorie einzeln ankreuzbar (Art. 9)
☐ Drittinformations-Klausel (Genogramm-Spezialfall) eingebaut
☐ Widerrufsbelehrung VOR Unterschrift platziert, ohne Koppelung
☐ Informationsblatt Art. 13 als getrenntes Dokument vorbereitet
☐ Verarbeitungsverzeichnis nach Art. 30 angelegt + konsistent mit Einwilligung
☐ Bei Online-Sitzungen: Plattform + Server-Standort + Schrems-II-Status
☐ Bei Tonaufnahmen: separate Einwilligung mit eigenem Zweck
☐ Bei Minderjährigen: alle Sorgeberechtigten + altersgerechte Aufklärung
☐ Bei Supervision ohne § 203: Schweigepflicht der Supervisor:in vertraglich
☐ Datenpannen-Reaktionsplan (72-h-Meldung Art. 33) vorhanden
☐ Festplattenverschlüsselung + 2FA technisch implementiert
☐ Einwilligungs-Original sicher und auffindbar archiviert (Nachweispflicht)
☐ Vertragstext durch Fachanwält:in für Datenschutzrecht geprüft
Quellen und weiterführende Literatur
- DSGVO Art. 5, 6, 7, 9, 13, 14, 28, 30, 33, 34, 82, 83 — Volltexte unter dsgvo-gesetz.de.
- § 203 StGB — strafrechtlich geschützte Schweigepflicht (Anbindung an Art. 9 Abs. 2 lit. h).
- § 147 AO — Aufbewahrungspflicht 10 Jahre für Buchführungsunterlagen.
- § 38 BDSG — Bestellungspflicht Datenschutzbeauftragte:r.
- BfDI — Basiswissen Einwilligung (bfdi.bund.de) — Bundesbeauftragter für Datenschutz und Informationsfreiheit, Mustertexte.
- Datenschutzkonferenz (DSK) (datenschutzkonferenz.de) — Beschlüsse und Orientierungshilfen der Aufsichtsbehörden, insbesondere zur Verarbeitung besonderer Datenkategorien.
- BPtK — Muster-Datenschutzerklärung Psychotherapeut:innen + BPtK Praxisinfo Datenschutz 2018 (bptk.de) — Bundespsychotherapeutenkammer.
- Psychotherapeutenkammer Berlin — Datenschutz in der psychotherapeutischen Praxis (2018, ausführliche Praxis-Anleitung).
- DGVT — Datenschutzrecht für Psychotherapeutische Praxen (dgvt.de).
- LPK Rheinland-Pfalz — FAQ Datenschutz (lpk-rlp.de).
- KV Baden-Württemberg — Datenschutz & Schweigepflicht (kvbawue.de).
- PTK NRW — Recht / Datenschutz (ptk-nrw.de).
- Berufsverband der Datenschutzbeauftragten Deutschlands (BvD) — Datenschutz-Wiki (datenschutz-wiki.de) — Hintergrund.
- BGH VI ZR 10/24 (2024) — immaterieller Schadenersatz bei Kontrollverlust nach Art. 82 DSGVO.
Bei jeder Klausel: anwaltliche Prüfung vor produktiver Übernahme. Gesetze, Rechtsprechung und Aufsichtspraxis ändern sich — dieses Muster ist eine Momentaufnahme zum Stand 2026-06-03.