Arztpraxen und medizinische Einrichtungen
Schweigepflicht endet nicht an der Serverschranktür.
Praxen, MVZ, Pflegedienste und therapeutische Einrichtungen arbeiten unter einer Bedingung, die für kaum eine andere Branche gilt: Die Vertraulichkeit der Daten ist nicht nur datenschutzrechtlich, sondern strafrechtlich bewehrt.
Das Umfeld
Wie es in diesem Umfeld meistens aussieht.
Die Praxis-EDV ist über Jahre gewachsen, das Praxisverwaltungssystem gibt vor, was möglich ist, und der Support dafür endet an der Systemgrenze. Alles daneben – Netz, Sicherung, Fernzugriff, Arbeitsplätze – fällt niemandem konkret zu.
Gleichzeitig ist der Betrieb ausgesprochen ausfallempfindlich: Steht das System, steht das Wartezimmer. Ein Wiederanlauf am nächsten Werktag ist keine akzeptable Antwort.
Beispielszenario
So kann die Zusammenarbeit aussehen.
Eine hausärztliche Gemeinschaftspraxis mit zehn Arbeitsplätzen.
Die Organisation ist erfunden. Lösungsweg und Ergebnis beschreiben, wie wir in einem solchen Fall vorgehen – mit den Leistungen, die weiter unten verlinkt sind.
Ausgangslage
Für das Praxisverwaltungssystem gibt es Support. Für alles daneben niemanden.
Der Anbieter des Praxisverwaltungssystems kümmert sich um seine Software – nicht um die Firewall, den Virenschutz auf den Arbeitsplätzen oder die Sicherung. Die Firewall hat vor Jahren ein Bekannter eingerichtet, die Lizenzen für den Virenschutz laufen zu unterschiedlichen Zeitpunkten aus, und das Backup liegt auf einer Festplatte im Schrank neben dem Server.
Gleichzeitig kommen jeden Tag Befunde, Überweisungen und Rechnungen per E-Mail – mit Anhängen, die jemand am Empfang öffnen muss.
Unser Lösungsweg
Ein abgestimmtes Schutzkonzept, auf Wunsch von uns betrieben.
Wir setzen auf Securepoint: eine UTM-Firewall mit Intrusion Prevention, Content- und Virenfilter für Web und E-Mail, Schutz für die Arbeitsplätze und Backup mit Servern in Deutschland – Bausteine, die füreinander gebaut sind und zentral verwaltet werden.
Auf Wunsch betreiben wir das System als Managed Service, mit einem Ansprechpartner für Konfiguration, Updates und laufenden Betrieb. Das Praxisverwaltungssystem bleibt, wo es ist, und bei dem Anbieter, der es betreut. Ein Awareness-Training für das Praxisteam lässt sich dazunehmen.
Das Ergebnis
Die Technik neben dem Praxisverwaltungssystem hat einen Plan.
- Firewall, Mailfilter, Arbeitsplatzschutz und Backup sind aufeinander abgestimmt statt einzeln gewachsen.
- Statt mehrerer Verträge mit eigenen Laufzeiten gibt es ein Setup, das als Ganzes geplant ist.
- Die Sicherung liegt nicht mehr im selben Schrank wie der Server.
- Hersteller, Support-Hotline und Backup-Datenhaltung sitzen in Deutschland.
Aufgabenteilung
Wer bleibt wofür zuständig?
So ist es im Beispiel verteilt: Die fachlichen Entscheidungen bleiben bei Ihnen, um die Technik darunter kümmern wir uns. Wo genau die Grenze verläuft, legen wir mit Ihnen fest.
- Praxisverwaltungssystemmit dem Anbieter, der es betreutSie
- Behandlungsdaten und Zugriffewer in der Praxis was sehen darfSie
- Aufmerksamkeit im TeamAwareness-Training, wenn Sie es dazunehmengemeinsam
- Firewall, Web- und Mailfilterauf Wunsch als Managed ServiceStylite
- Schutz der Arbeitsplätzezentral verwaltet, auf Wunsch von unsStylite
- BackupDatenhaltung in DeutschlandStylite
Ein Beispiel, keine Vorgabe: Den Betrieb übernehmen wir auf Wunsch – welche Teile, legen wir gemeinsam fest.
Der Rahmen
Was bei Ihnen gilt – und was daraus für die IT folgt.
Nicht jede Vorgabe betrifft jede Organisation gleich. Diese hier begegnen uns in Ihrem Umfeld am häufigsten.
- § 203 StGB – Verletzung von Privatgeheimnissen
- Gesundheitsdaten nach Artikel 9 DSGVO
- Aufbewahrung und Verfügbarkeit
Drei Vorgaben im EinzelnenErläuterungen ausblenden
§ 203 StGB – Verletzung von Privatgeheimnissen
Ärztinnen, Ärzte und ihre Berufshelfer sind Berufsgeheimnisträger. Die unbefugte Offenbarung von Patientengeheimnissen ist strafbar – und der Zugriff auf unverschlüsselte Daten durch Dritte kann bereits ein Offenbaren sein.
Seit der Neufassung 2017 erlaubt Absatz 3 ausdrücklich, IT-Dienstleister einzubeziehen. Dafür müssen sie sorgfältig ausgewählt, zur Geheimhaltung verpflichtet und auf das erforderliche Maß begrenzt werden. Das ist gestaltbar – aber es muss ausdrücklich gestaltet werden.
Gesundheitsdaten nach Artikel 9 DSGVO
Patientendaten gehören zu den besonderen Kategorien personenbezogener Daten und unterliegen strengeren Anforderungen an Rechtsgrundlage und Schutzmaßnahmen.
Zusätzlich zum Auftragsverarbeitungsvertrag nach Artikel 28 sind technische und organisatorische Maßnahmen zu dokumentieren – bei einer Prüfung wird danach gefragt.
Aufbewahrung und Verfügbarkeit
Behandlungsunterlagen sind nach § 630f BGB grundsätzlich zehn Jahre aufzubewahren; berufsrechtliche und spezialgesetzliche Fristen können darüber hinausgehen.
Eine Sicherung, die nur die letzten Wochen abdeckt, erfüllt das nicht. Gefordert ist ein Konzept, das über die gesamte Frist lesbar bleibt.
Diese Übersicht ordnet ein, welche Vorgaben in Ihrem Umfeld typischerweise greifen, und ersetzt keine Rechtsberatung. Was für Ihre Organisation konkret gilt, hängt von Trägerschaft, Rechtsform und Tätigkeit ab – klären Sie es mit Ihrer Rechts- oder Datenschutzberatung.
Aus der Praxis
Wofür Medizin & Pflege unsere Leistungen einsetzen.
Typische Einsatzbeispiele – jedes führt zu der Leistung, aus der es stammt.
Wo man anfängt
Mit der Abgrenzung: Was verantwortet der Anbieter des Praxisverwaltungssystems, und was liegt daneben? Diese Lücke ist in fast jeder Praxis die eigentliche Schwachstelle – und sie lässt sich in einem Gespräch benennen.
Kontakt
Medizin & Pflege unverbindlich anfragen
Sie möchten ein konkretes Angebot, eine Demo oder haben Fragen zur Migration? Schreiben Sie uns – wir melden uns in der Regel innerhalb eines Werktags.
Persönlich für Sie da
Matteo Keller
Marketing