StartseiteRatgeber
Praxissoftware und Datenschutz
Wer darf auf welche Daten zugreifen? Was muss im Vertrag stehen? Und was passiert bei einem Softwarewechsel?
In der Praxissoftware laufen Stammdaten, Befunde, Röntgenbilder, Termine, Abrechnung und Schriftverkehr zusammen. Deshalb müssen Vertrag, Zugriffsrechte, Datensicherung, Fernwartung und ein späterer Anbieterwechsel von Anfang an geregelt sein.
Wann Sie einen AV-Vertrag brauchen
Wenn der Hersteller oder ein IT-Dienstleister bei Wartung und Support auf Patientendaten zugreifen kann, liegt typischerweise eine Auftragsverarbeitung vor. Die niedersächsische Aufsicht nennt außerdem EDV-Installation, Abrechnung, externe Archivierung, Scannen und Aktenvernichtung. Factoring und Laboraufträge ordnet sie dagegen nicht als Auftragsverarbeitung ein. Die Kassenärztliche Vereinigung Bayerns vertritt diese Auffassung auch für Steuerberater, die aufgrund eigener Fachkunde tätig werden.
Artikel 28 Absatz 3 DSGVO legt die Pflichtinhalte eines Auftragsverarbeitungsvertrags fest. Dazu gehören Gegenstand und Dauer, Art und Zweck der Verarbeitung, Datenarten, betroffene Personen, Weisungsbindung, Vertraulichkeit, Sicherheitsmaßnahmen, Unterstützungspflichten sowie die Rückgabe oder Löschung der Daten am Vertragsende.
Besonders wichtig ist die Liste der Unterauftragnehmer. Für ihren Einsatz braucht der Anbieter eine vorherige gesonderte oder allgemeine schriftliche Genehmigung der Praxis. Bei einer allgemeinen Genehmigung muss er Änderungen ankündigen und der Praxis die Möglichkeit zum Einspruch geben.
Prüfen Sie bei Ihrem bestehenden Vertrag:
- Liegt eine aktuelle Liste aller Unterauftragnehmer mit Standorten vor?
- Ist geregelt, ob die Daten am Vertragsende zurückgegeben oder gelöscht werden?
- Sind die Beschäftigten des Anbieters ausdrücklich zur Geheimhaltung verpflichtet?
- Erhalten Sie Änderungen am Vertrag und an den Unterauftragnehmern rechtzeitig?
Praxissoftware in der Cloud
§ 393 SGB V regelt die Verarbeitung von Sozial- und Gesundheitsdaten durch Cloud-Computing-Dienste im Gesundheitswesen. Für die von der Vorschrift erfassten Dienste sind die zulässigen Verarbeitungsorte beschränkt. Außerdem ist ein aktuelles C5-Testat erforderlich, seit dem 1. Juli 2025 vom Typ 2.
Die IT-Sicherheitsrichtlinie nach § 390 SGB V gilt für vertragszahnärztliche Praxen. Ihre Anforderung Nummer 50 verlangt für Cloud-Anwendungen, die Sozial- oder Gesundheitsdaten verarbeiten, ebenfalls ein aktuelles C5-Testat. Diese Fassung gilt seit dem 2. Januar 2026.
Lassen Sie sich das aktuelle Testat vom Anbieter vorlegen und nehmen Sie es in die Praxisdokumentation auf. Eine Produktseite mit einem C5-Hinweis ersetzt das Dokument nicht.
Auch bei lokal betriebener Praxissoftware ist eine Cloud-Einstellung zu beachten: Auf Windows-Endgeräten verlangt die Richtlinie, die Synchronisierung von Nutzerdaten mit Microsoft-Cloud-Diensten vollständig zu deaktivieren.
Benutzer, Rollen und Zugriffe
Artikel 32 DSGVO verlangt ein Schutzniveau, das zum Risiko der Verarbeitung passt. Für Gesundheitsdaten nennt § 22 BDSG unter anderem Zugangs-, Zugriffs-, Eingabe-, Weitergabe- und Trennungskontrollen sowie die Sensibilisierung der Beschäftigten.
Für die Praxissoftware bedeutet das:
- Jede Person arbeitet mit einem eigenen Zugang.
- Rollen und Berechtigungen werden pro Personengruppe und pro Person festgelegt.
- Beschäftigte erhalten nur die Rechte, die sie für ihre Aufgaben benötigen.
- Beim Verlassen des Arbeitsplatzes wird das Gerät gesperrt oder der Benutzer abgemeldet.
- Beim Ausscheiden eines Mitarbeiters werden bekannte Zugangsdaten geändert oder vernichtet.
Diese Anforderungen ergeben sich aus der IT-Sicherheitsrichtlinie. Sie unterscheidet zwischen Praxen mit bis zu fünf, mittleren Praxen mit sechs bis 20 und Großpraxen mit mehr als 20 ständig mit der Datenverarbeitung betrauten Personen.
Für Röntgen- und Bildarchive gelten zusätzliche Anforderungen. Aufzeichnungen müssen gegen unbefugten Zugriff und unbefugte Änderungen geschützt sein. Änderungen an elektronischen Patientenakten sind nur zulässig, wenn der ursprüngliche Inhalt und der Zeitpunkt der Änderung erkennbar bleiben.
Alle angebundenen Systeme gehören in das Verzeichnis der Verarbeitungstätigkeiten, zum Beispiel Röntgen, DVT, Intraoralscanner, Laborsoftware und Terminbuchung. Für den Austausch von Bildern und Objekten mit der Praxissoftware gibt es unter anderem die Schnittstellenfamilie VDDS-media.
Ihr Ansprechpartner: Lukasz Lepiocha
Lukasz ist DEKRA-zertifizierter Datenschutzauditor und bei neuen Anfragen Ihr erster Ansprechpartner. Auch wenn eine E-Mail falsch verschickt wurde, ein Datenträger fehlt oder Post von der Aufsichtsbehörde kommt, erreichen Sie uns direkt.
Datensicherung testen
Relevante Daten müssen regelmäßig gesichert und vor unbefugtem Zugriff geschützt werden. Die Praxis legt fest, wie gesichert wird und wer dafür zuständig ist. Außerdem sollte regelmäßig geprüft werden, ob sich die Daten vollständig und funktionsfähig wiederherstellen lassen.
Dokumentieren Sie deshalb nicht nur den Sicherungslauf. Halten Sie auch fest, wann eine Rücksicherung getestet wurde und ob sie funktioniert hat.
Systemwechsel vorbereiten
Für den strukturierten Datentransfer haben gematik und KZBV auf Grundlage von VDDS-transfer eine Systemwechselschnittstelle entwickelt. Sie wird in der Spezifikation Version 2.0 im ina-Verzeichnis der gematik geführt.
Das Recht auf Datenübertragbarkeit aus Artikel 20 DSGVO ist ein Recht der Patienten und kein Anspruch der Praxis gegen den Softwarehersteller. Für die Praxis ist der Auftragsverarbeitungsvertrag entscheidend: Nach Ende der Leistung muss der Anbieter personenbezogene Daten nach Wahl der Praxis löschen oder zurückgeben und vorhandene Kopien löschen.
Klären Sie vor der Kündigung schriftlich:
- In welchem Format werden Stamm-, Behandlungs- und Bilddaten exportiert?
- Welche Daten können nicht automatisiert übernommen werden?
- Was kostet der Export?
- Wann löscht der bisherige Anbieter seine Kopien?
Bei einer Praxisübergabe gelten zusätzliche berufsrechtliche Regeln. Die Musterberufsordnung sieht vor, übernommene Unterlagen getrennt von den eigenen und unter Verschluss aufzubewahren. Bei digitalen Akten müssen die Datensätze entsprechend getrennt und geschützt werden. Verbindlich ist die Berufsordnung der jeweiligen Landeszahnärztekammer.
Fernwartung und Schweigepflicht
Bei der Fernwartung greift neben dem Datenschutzrecht die zahnärztliche Schweigepflicht. § 203 StGB erlaubt externen mitwirkenden Personen den Zugriff nur, soweit er für die konkrete Tätigkeit erforderlich ist. Die Praxis muss dafür sorgen, dass die eingesetzten Personen zur Geheimhaltung verpflichtet werden. Das kann über eine Verpflichtung des Dienstleistungsunternehmens geschehen, das die Pflicht an seine Beschäftigten weitergibt.
Die IT-Sicherheitsrichtlinie verlangt außerdem schriftliche Vertraulichkeitsvereinbarungen, bevor externe Personen Zugang zu vertraulichen Informationen erhalten. Kurzfristig eingesetztes Fremdpersonal ist in sicherheitsrelevanten Bereichen zu beaufsichtigen.
Prüfen Sie deshalb, ob Ihr Vertrag neben der Auftragsverarbeitung ausdrücklich die Geheimhaltung nach § 203 StGB regelt. Wir sehen uns im kostenlosen Check den vorhandenen Vertrag, die Unterauftragnehmer und die Fernwartungsregelung mit Ihnen an.
Weitere Grundlagen finden Sie unter Datenschutz in der Zahnarztpraxis, Verarbeitungsverzeichnis und technische Maßnahmen sowie Künstliche Intelligenz in der Zahnarztpraxis.
Was nach Ihrer Anfrage passiert
Sie fragen an
Antwort innerhalb eines Werktags
Schreiben Sie uns über das Formular oder suchen Sie sich direkt einen Termin im Kalender aus.
Das Gespräch
45 Minuten
Wir sprechen über die Abläufe in Ihrer Praxis – von der Anmeldung über die Software bis zur Abrechnung. Sie müssen nichts vorbereiten.
Die schriftliche Einschätzung
Danach fassen wir zusammen, was bereits gut läuft und welche Punkte Sie angehen sollten. Falls Sie Unterstützung möchten, erhalten Sie auch ein aufgeschlüsseltes Angebot.
Ihre Entscheidung
Sie entscheiden in Ruhe, ob und wobei wir Sie unterstützen sollen. Das Gespräch verpflichtet Sie zu nichts.
Ratgeber für Zahnarztpraxen
Verständliche Antworten auf die Datenschutzfragen, die uns in Zahnarztpraxen regelmäßig begegnen.
Datenschutz in der Zahnarztpraxis
Ein verständlicher Überblick über die Datenschutzthemen, die im Praxisalltag wirklich eine Rolle spielen.
Weiterlesen02WhatsApp in der Zahnarztpraxis
WhatsApp ist schnell und bequem. Bei Patientendaten braucht Ihre Praxis trotzdem klare Regeln und sichere Alternativen.
Weiterlesen03Künstliche Intelligenz in der Zahnarztpraxis
Viele Praxen nutzen bereits KI. Wir erklären, welche Pflichten daraus entstehen und was Sie dokumentieren sollten.
Weiterlesen04Telematikinfrastruktur und Datenschutz
Wir ordnen die Vorgaben zur Telematikinfrastruktur ein und zeigen, was davon für Zahnarztpraxen gilt.
Weiterlesen05Online-Terminbuchung und Praxiswebsite
Schon beim ersten Seitenaufruf können Daten an externe Dienste fließen. Wir zeigen, wo Sie genau hinsehen sollten.
Weiterlesen06Patientendaten in der Zahnarztpraxis
Patientenakten, Röntgenbilder und Abrechnungsunterlagen haben unterschiedliche Fristen. Ihr Löschkonzept muss sie auseinanderhalten.
WeiterlesenWas im kostenlosen Check passiert
Im Check prüfen wir Ihren vorhandenen Vertrag, die Fernwartung und die Zugriffsrechte.
In 45 Minuten sprechen wir über die wichtigsten Abläufe Ihrer Praxis: Anmeldung, Dokumentation, Kommunikation, Software und Abrechnung. Anschließend erhalten Sie unsere Einschätzung schriftlich.
Der Check ist kostenlos und unverbindlich. Danach wissen Sie, welche Punkte Sie selbst erledigen können und wobei Unterstützung sinnvoll wäre.
- Keine Vorbereitung nötig
- Schriftliche Zusammenfassung
- Persönlicher Ansprechpartner