Digitale Einwilligung & Vorher/Nachher-Fotos: Ein Compliance-Leitfaden für ästhetische Kliniken

Ästhetische Kliniken arbeiten mit zwei der am stärksten regulierten Datentypen der kosmetischen Medizin — Patienteneinwilligungen und Vorher/Nachher-Fotos. Richtig gemacht, sind sie Vertrauenssignale und Marketingkapital. Falsch gemacht, sind sie ein Prüfungsrisiko und eine Haftungsklage, die nur darauf wartet, eingereicht zu werden.

1Warum Papier-Einwilligungen 2026 ein Risiko sind

Viele Praxen verlassen sich noch immer auf Aktenordner. Im Jahr 2026 ist das ein echtes Risiko — und jede Datenschutzbehörde, die Ihre Unterlagen prüft, weiß das.

• Verloren oder zu früh vernichtet. Die gesetzliche Aufbewahrungsfrist für medizinische Unterlagen beträgt typischerweise 10 Jahre, bei Minderjährigen länger.
• Kein Zeitstempel, keine Versionskontrolle. Wenn zwei Jahre später eine Beschwerde kommt, ist es nahezu unmöglich zu beweisen, welche Version der Einwilligung der Patient unterzeichnet hat.
• Schwer abrufbar im Schadenfall. Aufsichtsbehörden und Versicherer wollen Unterlagen in Minuten — nicht nach einer Kellersuche.

2Was eine digitale Einwilligung erfassen muss

Eine konforme digitale Einwilligung — wie sie nach DSGVO Art. 9 (besondere Kategorien personenbezogener Daten, Gesundheitsdaten) erforderlich ist — verlangt ausdrückliche Einwilligung und ein lückenloses Audit-Log. Konkret muss erfasst werden:

• Vollständiger Name der Patientin oder des Patienten — eine getippte Signatur ist in den meisten Jurisdiktionen zulässig; bei höherem Risikoprofil ist eine gezeichnete Signatur Best Practice.
• Behandlungsname und Version des Einwilligungsformulars, dem zugestimmt wurde.
• Unveränderlicher Zeitstempel — einmal geschrieben, nicht editierbar.
• Name der durchführenden Fachkraft — wer hat die Einwilligung eingeholt.
• Audit-Trail — wer hat den Datensatz wann eingesehen oder exportiert.

3Vorher/Nachher-Fotos — Ihr stärkstes Marketinginstrument, Ihr größtes Rechtsrisiko

Vorher/Nachher-Bilder sind das wirkungsvollste Marketingkapital einer ästhetischen Klinik. Gleichzeitig sind sie der Datentyp, der am ehesten vor einer Datenschutzbehörde landet.

• Fotos sind nach DSGVO besondere Kategorie personenbezogener Daten.
• Sie verlangen eine ausdrückliche, getrennt einholbare Marketing-Einwilligung — die klinische Nutzung ist nicht die Marketing-Nutzung.
• Speicheranforderungen: verschlüsselt im Ruhezustand, zugriffskontrolliert, dokumentierte Aufbewahrungsdauer.
• Auf Patientenwunsch muss gelöscht werden können — das Recht auf Löschung gilt.

4Im Inneren der elektronischen Einwilligung von ZibaDesk

Das Einwilligungssystem von ZibaDesk wurde direkt nach dem Vorbild der gedruckten Aufklärungsbögen modelliert, die etablierte ästhetische Praxen bereits verwenden — gleiche Struktur, gleiche Schutzmechanismen, nur digital. Die Speicherung ist DSGVO Art. 9- und GoBD-konform aufbewahrt (unveränderlich, lückenlos protokolliert).

10 sofort einsatzbereite Behandlungsvorlagen

Vorgefertigte Vorlagen liegen bei — Sie müssen keine eigenen Texte von Grund auf neu schreiben:

• Botulinumtoxin Typ A (Botox / Dysport / Xeomin)
• Hyaluronsäure-Filler
• Radiesse (Calciumhydroxylapatit)
• Hyperhidrose (Behandlung übermäßigen Schwitzens)
• Besenreiser (Sklerotherapie)
• Lipodissolve (Phosphatidylcholin + Deoxycholat)
• Plättchenreiches Plasma (PRP)
• Pearl-Aufhellungscreme
• Sculptra (Poly-L-Milchsäure)
• Generische kosmetische Behandlung (Auffangvorlage)

Jede Vorlage enthält 12 allgemeine Aufklärungspunkte (allergische Reaktionen, Infektionsrisiko, Schwangerschaftskontraindikation, Nachsorgepflichten, Kostentransparenz) plus 4–10 behandlungsspezifische Punkte — etwa „Mir ist bewusst, dass die Wirkung von Sculptra schrittweise über sechs Wochen einsetzt".

Drei Unterschriftsfelder — Patient, Behandelnder, Zeuge

Jede Einwilligung erfasst bis zu drei elektronische Unterschriften, die direkt auf dem Bildschirm gezeichnet werden — mit Finger oder Stylus auf dem iPad oder mit der Maus am Desktop:

• Patientenunterschrift — verpflichtend, plus getippter vollständiger Name als Audit-Absicherung.
• Unterschrift der Fachkraft — erfasst die durchführende Ärztin, den Arzt oder die Pflegekraft.
• Zeugen-Unterschrift — optional, bei Eingriffen mit höherem Risiko oder wenn lokale Vorgaben es verlangen.

Alle Unterschriften werden als PNG-Bilder zusammen mit dem Einwilligungsdatensatz und einem unveränderlichen Zeitstempel gespeichert.

So läuft es in der Praxis ab

1. Patientendatensatz öffnen → „Neue Einwilligung erfassen" antippen.
2. Behandlungsvorlage auswählen.
3. Patientendaten (Name, Geburtsdatum, Adresse, Telefon, E-Mail) werden automatisch aus dem bestehenden Datensatz übernommen — kein erneutes Eintippen.
4. Patient bestätigt jeden Aufklärungspunkt einzeln.
5. Patient unterschreibt auf der Zeichenfläche → Behandelnde Person unterschreibt → optional unterschreibt ein Zeuge.
6. Eine separate Einwilligung für Foto-/Videoaufnahmen zur klinischen Nutzung wird per Schalter erfasst.
7. „Einwilligung speichern" antippen — fertig. Das vollständig unterzeichnete Formular bleibt dauerhaft im Patientendatensatz.

Compliance fest eingebaut

• Deutschland: DSGVO Art. 9 konform — Gesundheitsdaten der besonderen Kategorie mit ausdrücklicher Einwilligung und Audit-Trail. GoBD-konforme, unveränderliche Aufbewahrung.
• Österreich/Schweiz: Strukturell mit DSGVO-Pendants kompatibel.
• Frankreich: RGPD Artikel 9 konform.
• Australien: AHPRA-bewusste Struktur (klinische und Marketing-Einwilligung getrennt erfassbar), TGA-konforme Wortwahl bei verschreibungspflichtigen Wirkstoffen.
• Alle anderen Länder: Struktur folgt den WHO-Leitlinien zur informierten Einwilligung.

5Wie ZibaDesk Fotos und Speicherung handhabt

Über die Einwilligungserfassung hinaus ist auch die Foto- und Speicherebene auf denselben prüfungssicheren Standard ausgelegt.

• Vorher/Nachher-Bibliothek mit Behandlungsregion-Tags, vorher/nachher/Verlauf-Labels, separatem Marketing-Einwilligungs-Schalter pro Foto und Lightbox-Ansicht.
• Browser-seitige Komprimierung auf etwa 150 KB JPEGs — kein Patientenbild verlässt unverschlüsselt das Gerät.
• Verschlüsselte, DSGVO- und GoBD-konforme Speicherung auf europäischen Servern.
• Patientenbezogener Export der gesamten Einwilligungs- und Fotohistorie in Sekunden — für Versicherer-, Aufsichts- oder Auskunftsanfragen.

6Praktische Checkliste für Ihre Praxis

• Bestehende Papier-Einwilligungen innerhalb von 90 Tagen digitalisieren.
• Gesamtes Team auf den Unterschied zwischen klinischer und Marketing-Einwilligung schulen.
• Aufbewahrungsrichtlinie dokumentieren (in den meisten Jurisdiktionen 10+ Jahre für medizinische Unterlagen).
• Automatische, verschlüsselte Backups einrichten.
• Eine dokumentierte Lösch-Prozedur für Patientendaten bereithalten.