DSGVO-konforme Praxissoftware für maximale Datensicherheit

Die Datenschutzgrundverordnung ist für viele unserer Ärzte und Ärztinnen inzwischen Alltag. Sie tragen die Verantwortung, Datenschutz in ihrer Praxis umzusetzen und auch nachzuweisen. Die Kassenärztliche Bundesvereinigung betont: „Ärzte und Psychotherapeuten […] sind verpflichtet nachzuweisen, dass sie die datenschutzrechtlichen Grundsätze einhalten.“ (KBV PraxisInfo DSGVO, April 2024). Für veraltete Praxissoftware ist das oft schwer abbildbar. Vor allem dann, wenn in der Praxis digitale Patientendienste, Vernetzung und Telemedizin angeboten werden sollen.

Im Folgenden zeigen wir, worauf bezüglich DSGVO in einer Praxis zu achten ist und wie die Praxissoftware inSuite Sie dabei strukturiert unterstützt.

Inhaltsverzeichnis

Seit 2018 bildet die Datenschutzgrundverordnung (kurz DSGVO) den verbindlichen Rahmen für die Verarbeitung personenbezogener Gesundheitsdaten. Es handelt sich hier um besonders schützenwerte Daten. Im Praxisalltag treffen zwei Anforderungen aufeinander:

maximaler Schutz der persönlichen Gesundheitsdaten
reibungslose Abläufe des Praxisalltags

inSuite von Doc Cirrus bringt beides zusammen, indem zentrale Schutz- und Nachweisfunktionen technisch verankert sind (Privacy by Design & Default, Art. 25 DSGVO).

Im Überblick:

Gesundheitsdaten erfordern technische und organisatorische Maßnahmen (TOMs) (Art. 32 DSGVO).
Praxen brauchen Verzeichnisse von Verarbeitungstätigkeiten, Patienteninformationen und – wo nötig – Auftragsverarbeitungsverträge (Art. 30, 12–14, 28 DSGVO; vgl. KBV-PraxisInfo).
Nachweispflicht/Accountability: Prozesse müssen belegt werden können (Art. 5 Abs. 2, Art. 24 DSGVO).

Wer muss die Datenschutz-Vorgaben umsetzen?

Die Verantwortung liegt bei den Ärzten in der Praxis. Nur dort sind Prozesse, Rechtsgrundlagen und Zugriffe umfassend bekannt. Die KBV stellt dafür Checklisten und Muster bereit (z. B. Verzeichnis von Verarbeitungstätigkeiten und Patienteninformation). Diese Anforderungen lassen sich mit modernen Praxissoftwaresystemen deutlich einfacher, konsistent und prüfbar abbilden. Der Einsatz eines Systems der „3.Generation“ ist damit ein Baustein unter mehreren für einen validen Datenschutz.

Hinweis: Die Software ist kein Ersatz für Organisation, Schulung und Verträge.

Alles erledigt?:

AV-Vertrag mit IT-Dienstleistern/Hostern prüfen (Art. 28 DSGVO).
Patienteninformation bereitstellen (Art. 13/14 DSGVO).
Lösch-/Aufbewahrungsfristen festlegen und dokumentieren (Art. 5 Abs. 1 e DSGVO; berufs-/sozialrechtliche Vorgaben beachten).
Datenschutzbeauftragte/r erforderlich? Schwelle/Anforderungen prüfen (landesrechtliche Vorgaben/DSGVO, vgl. KBV-PraxisInfo).

inSuite: Praxissoftware mit integriertem Datenschutz

Die technische Grundlage für sicheres Arbeiten basiert auf Privacy by Design & Default (Art. 25 DSGVO). Das bedeutet: Datenschutz ist in die Software integriert und datenschutzfreundliche Voreinstellungen reduzieren Fehler und senken den operativen Aufwand.

inSuite setzt dieses Prinzip auf die Sicherheit um: Security by Design & Default. Sicherheit ist von Beginn an in die Systemarchitektur eingebaut – z. B. durch verschlüsselte lokale Datenhaltung, fein abgestufte Zugriffsrechte und vollständige Protokolle.

Wichtig: Sicherheitsmaßnahmen minimieren Risiken, schließen sie jedoch nie vollständig aus. Deshalb gehören kontinuierliches Monitoring, regelmäßige Updates und definierte Incident-Prozesse zum Standard.

Wie ist der Datenschutz von Beginn an integriert?

Privacy by Default bedeutet, dass die Voreinstellungen so gesetzt sind, dass sicher gearbeitet werden kann. Dazu ist kein manuelles Feinjustieren nötig. inSuite ist darauf ausgelegt und wurde nach anerkannten Standards entwickelt (z. B. ISO/IEC 27001 im Unternehmen.

Praxisnutzen:

Sichere Standardrechte je Rolle (Empfang, MFA, Ärztin/Arzt).
Freigabepflicht für kritische Aktionen (z. B. Ausleitung, Druck, Abrechnung).
Audit-Logs als Nachweisführung.

Datenspeicherung & Datensicherung von Patientendaten

Flexibel und sicher schließen sich nicht aus. inSuite speichert private (Gesundheits-) Daten lokal verschlüsselt im Datensafe der Praxissoftware. Das ist ein verschlüsseltes Dateisystem mit USB-Key für Systemstart und gehärtetem OS. Die Backups sind automatisiert. Hier noch einmal genauer aufgelistet:

Verschlüsseltes Dateisystem

Alle Patientendaten werden verschlüsselt gespeichert. Das bedeutet: Selbst wenn jemand eine Festplatte stiehlt, kann er die Daten nicht lesen, weil sie ohne den passenden Schlüssel nur „Datenmüll“ darstellen.

USB-Key für den Systemstart

Zum Starten des Servers (Doc Cirrus „Datensafe“) wird ein spezieller USB-Stick benötigt. Nur wer diesen physischen Schlüssel besitzt, kann das System hochfahren. Nach dem Start kann der Stick abgezogen und sicher verwahrt werden. Dadurch ist ein zusätzlicher Schutz gegen Diebstahl und unbefugten Zugriff vorhanden.

Gehärtetes Betriebssystem

Das System läuft auf einer speziell abgesicherten Version von Linux. „Gehärtet“ bedeutet: unnötige Funktionen und Dienste sind abgeschaltet, Angriffsflächen sind stark reduziert, es können keine Fremdprogramme installiert werden. So wird das Risiko von Schadsoftware oder Fehlbedienung minimiert.

Automatisierte Backups

Sicherungen laufen automatisch – zum Beispiel:

auf externe Festplatten,
ins Praxisnetzwerk,
oder ins Doc Cirrus inBackup-System.

Wichtiger Hinweis: Auch bei Härtung und Monitoring bleibt ein Restrisiko (z. B. Zero-Day-Exploits). Das wird durch Patch-Management, Alarmierung und Response-Prozesse adressiert.

DSGVO-konforme Kommunikation direkt aus der Arztsoftware

E-Mail-Versand an Patientinnen und Patienten ist nützlich – rechtlich aber zu unterscheiden:

Medizinische Kommunikation stützt sich regelmäßig auf gesetzliche Erlaubnistatbestände (Art. 9 Abs. 2 h DSGVO i. V. m. Berufs-/Sozialrecht) und sollte technisch sicher erfolgen (Portal, Ende-zu-Ende-Kanäle).
Marketing/Newsletter erfordern Einwilligung (Opt-in, dokumentiert; Art. 6 Abs. 1 a, Art. 7 DSGVO).

inSuite unterstützt hier mit Double-Opt-in beim Hinterlegen von E-Mail-Adressen und mit Opt-out-Kennzeichnung in den Stammdaten.

Sensible Gesundheitsdaten korrekt bereitstellen

Das integrierte Gesundheitsportal (typisch in die Praxiswebsite eingebettet) erlaubt kontrollierten Zugang zu Diensten wie Terminbuchung, Dokumentenaustausch oder Akteneinsicht. Das passiert aber jeweils nur nach expliziter Freischaltung durch die Praxis. Übertragungen sind Ende-zu-Ende verschlüsselt; der Browser des Patienten wird einmalig registriert.

Vertrauen, Vernetzen und Vidieren: Wie passt das technisch zusammen?

Freigaben („Vidierung“) sichern, dass abrechnungsrelevante oder extern geteilte Inhalte vorher ärztlich geprüft sind. Freigegebene Einträge werden unveränderbar abgelegt; Ausleitungen/Drucke können an die Freigabe geknüpft werden. Das erleichtert die Beweisführung bei Prüfungen und reduziert Fehldokumentationen.

Mobile Nutzung gemäß DSGVO: Voll verschlüsselt auf allen Wegen

Externe Zugriffe erfolgen verschlüsselt; bei Aktivierung – also optional - wird zusätzlich 2-Faktor verlangt (Benutzername/Passwort + Einmalcode). Datenerfassung unterwegs (z. B. Hausbesuch) wird Ende-zu-Ende verschlüsselt (AES-256) in den Datensafe übertragen und im Team sichtbar. Externe Zugriffe können nutzerbasiert erlaubt oder deaktiviert werden.

Patientenrechte effizient umsetzen

Die DSGVO gewährt u. a. Auskunft (Art. 15), Löschung (Art. 17) und Datenübertragbarkeit (Art. 20). inSuite unterstützt mit Exports (z. B. freigegebene Akteneinträge als PDF) und der Deaktivierung von Portalrechten. So lassen sich Anforderungen fristgerecht und nachvollziehbar erfüllen.

Telemedizin & DSGVO: Integriert statt fragmentiert

Audio-Video-Konferenzen, Telekonsile, Tumorkonferenzen und Zuweisernetzwerke funktionieren in inSuite über WebRTC mit Ende-zu-Ende-Verschlüsselung. Für Datentransfers gilt: nur freigegebene Inhalte, immer protokolliert, auf Wunsch pseudonymisiert.

Netzwerkaufbau, Partner und digitales Teamwork

Mit dem zusätzlichen Modul (Sol) inTouch lassen sich Partnerbeziehungen strukturieren. So können Sie Daten unabhängig von E-Mails sicher mit anderen Praxen, Kliniken oder Partnern austauschen. In dem Modul wird alles dokumentiert: manuell/automatisiert übertragene Einträge (Status „freigegeben oder höher“), Aufgaben-Routing auf Empfängerseite, pseudonymisierte Übertragung optional. Sender und Empfänger sehen alle Vorgänge im Transferbuch und im Audit-Log – revisionssicher und nachvollziehbar.

Abschließende Gedanken

Die DSGVO verlangt klare Prozesse, dokumentierte Entscheidungen und belastbare Technik. Eine moderne Praxissoftware wie die inSuite wird damit zum Schlüsselwerkzeug: Sie reduziert Risiken, macht Abläufe prüfbar und erleichtert die Umsetzung von Patientenrechten in Bezug auf DSGVO. Der Praxisbetrieb wird dabei in allen Belangen unterstützt. inSuite kombiniert lokale Datensicherheit, transparente Protokollierung, Rechteverwaltung und integrierte Kommunikationswege zu einem stimmigen Gesamtkonzept.

Quellen

KBV PraxisInfo „Datenschutz-Grundverordnung – Was Praxen dazu wissen müssen“, Stand April 2024.
Doc Cirrus: „Arzt- und Praxissoftware der 3. Generation – Technologie, Datenschutz & DSGVO“, Stand 10/2023.
Angaben zu Datensafe, Verschlüsselung, 2FA, Audit-Logs, Replikation, WebRTC.

Anfrage senden

DSGVO & Arztpraxis: Praxissoftware für rechtssicheren Datenschutz