Patientendaten sicher speichern: Was Software erfüllen muss

Patientendaten sicher speichern bedeutet: Rechtsgrundlage klären, Vertrag abschließen, Verschlüsselung prüfen, Zugriff regeln und Löschung planen. Jede Software, die Patientendaten verarbeitet – Praxisverwaltung, Terminsystem, Patienten-App – muss diese fünf Punkte erfüllen. Dieser Beitrag zeigt Ihnen die Prüfliste und die Fragen an den Anbieter. Er ersetzt keine Rechtsberatung.

Warum Gesundheitsdaten besonders geschützt sind

Gesundheitsdaten gehören nach Art. 9 DSGVO zu den besonderen Kategorien. Ihre Verarbeitung ist grundsätzlich verboten. Erlaubt ist sie nur für die Behandlung (Art. 9 Abs. 2 lit. h) oder mit ausdrücklicher Einwilligung (lit. a). Schon die Information, dass jemand Patient einer Ästhetik-Praxis ist, kann ein Gesundheitsdatum sein.

Dazu kommt § 203 StGB: Die ärztliche Schweigepflicht ist strafbar, wenn Sie sie brechen. Seit 2017 dürfen Sie IT-Dienstleister einbeziehen, müssen sie aber zur Geheimhaltung verpflichten. Wenn der Dienstleister Daten unbefugt offenbart, macht er sich selbst strafbar.

Das bedeutet: Jede Software mit Patientendaten braucht eine klare Rechtsgrundlage und einen Vertrag, der die Schweigepflicht weitergibt.

Die 5 Ebenen der sicheren Speicherung

Alle fünf Ebenen müssen stimmen. Eine gute Verschlüsselung hilft nicht, wenn der AV-Vertrag fehlt. Ein perfekter Vertrag hilft nicht, wenn jeder Mitarbeiter alles sehen kann.

1. Rechtsgrundlage: Behandlung ist nicht Marketing

Die Behandlungsdokumentation stützt sich auf den Behandlungsvertrag und Art. 9 Abs. 2 lit. h DSGVO. Für alles darüber hinaus brauchen Sie eine Einwilligung: Erinnerungen mit Werbecharakter, Treueprogramme, Push-Nachrichten.

Die Einwilligung muss freiwillig, informiert und widerrufbar sein. Sie darf nicht an die Behandlung gekoppelt werden.

Praktisch heißt das: Eine Patienten-App, die Treuepunkte und Nachrichten verarbeitet, muss die Einwilligung selbst einholen und dokumentieren. Der Patient entscheidet, was er teilt, und muss sein Konto jederzeit löschen können. Mehr dazu im Beitrag DSGVO und Patienten-App.

2. Vertrag: AV-Vertrag und Schweigepflicht

Der AV-Vertrag nach Art. 28 DSGVO regelt:

• Der Anbieter verarbeitet nur auf Ihre Weisung.
• Er setzt technische und organisatorische Maßnahmen um.
• Er benennt Subunternehmer (Hosting, Zahlungsabwicklung).
• Er informiert Sie bei Datenpannen unverzüglich.
• Er löscht oder gibt Daten nach Vertragsende zurück.

Ein seriöser Anbieter legt den Vertrag ungefragt vor und hat ihn im Onboarding integriert.

Zusätzlich sollte der Vertrag eine Verpflichtung nach § 203 StGB enthalten. Sie verpflichtet den Anbieter und seine Mitarbeiter zur Geheimhaltung.

Fragen Sie nach:

• Liegt der AV-Vertrag vor?
• Ist die Schweigepflicht nach § 203 StGB enthalten?
• Welche Subunternehmer gibt es und wo stehen deren Server?

Was im Vertrag stehen muss, erklärt der Beitrag zum AV-Vertrag mit Software-Anbietern.

3. Technik: Verschlüsselung, Hosting, Zugriff

Art. 32 DSGVO verlangt Maßnahmen nach dem Stand der Technik. Für Praxissoftware und Patienten-Apps sollten Sie mindestens diese Punkte abfragen:

• Transportverschlüsselung: Jede Verbindung zwischen App, Browser und Server läuft über TLS.
• Verschlüsselung im Ruhezustand: Datenbank und Backups sind verschlüsselt gespeichert.
• Hosting-Standort: Rechenzentren in der EU, idealerweise in Deutschland, mit benanntem Betreiber.
• Zugriffskontrolle: Rollen und Rechte, sodass die Rezeption andere Daten sieht als die Ärztin. Protokollierung der Zugriffe.
• Authentifizierung: Für das Praxis-Dashboard starke Passwörter oder Zwei-Faktor-Verfahren. Für Patienten ein Verfahren, das sicher und einfach ist, etwa Bestätigung der Handynummer.
• Backups und Wiederherstellung: Regelmäßig, verschlüsselt, getestet.
• Datensparsamkeit: Die Software speichert nur, was sie für ihren Zweck braucht. Eine Treue-App braucht keine Diagnosen.

Wichtig: Zahlungsdaten gehören nicht in die Praxis-App, sondern zu einem zertifizierten Zahlungsdienstleister. lumelle etwa wickelt Zahlungen über Stripe direkt auf Ihr Konto ab und berührt weder Geld noch Kartendaten.

4. Organisation: Wer sieht was

Die häufigsten Datenpannen entstehen nicht durch Hacker, sondern durch Alltag: ein gemeinsames Login für das ganze Team, ein offener Bildschirm an der Rezeption, eine Exportdatei auf einem privaten Laptop.

Legen Sie fest:

• Wer hat welche Rolle?
• Wer sieht welche Daten?
• Wer darf löschen?
• Wer wird bei einer Datenpanne informiert?

Schulen Sie Ihr Team einmal jährlich und dokumentieren Sie das. Nehmen Sie jede Software in Ihr Verarbeitungsverzeichnis auf.

Klären Sie außerdem den Ablauf bei einer Datenpanne. Art. 33 DSGVO verlangt die Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden. Der Anbieter muss Sie so früh informieren, dass Sie diese Frist einhalten können.

Mach den Selbsttest: Ist Ihre Organisation sicher?

• Jeder Mitarbeiter hat ein eigenes Login mit passender Rolle.
• Bildschirme an der Rezeption sind nach 5 Minuten gesperrt.
• Exportdateien mit Patientendaten werden verschlüsselt oder sofort gelöscht.
• Ihr Team weiß, wen es bei einer Datenpanne sofort informieren muss.
• Sie haben ein Verarbeitungsverzeichnis und aktualisieren es bei neuer Software.
• Ihr Team wurde im letzten Jahr zur Datensicherheit geschult.

Wenn Sie mehr als zwei Punkte nicht abhaken können, sollten Sie Ihre Organisation überarbeiten.

5. Löschung: Fristen und Selbstbestimmung

Die Behandlungsdokumentation ist nach § 630f BGB mindestens zehn Jahre aufzubewahren. Daten außerhalb der Dokumentation – Treuepunkte, Einwilligungen, App-Konten – unterliegen eigenen Fristen: Sie werden gelöscht, wenn der Zweck entfällt oder der Patient die Einwilligung widerruft.

Ein Löschkonzept beschreibt je Datenart, wann und wie gelöscht wird.

Für Patienten-Apps gilt zusätzlich: Der Patient muss sein Konto selbst löschen können, ohne Anruf in der Praxis. In lumelle ist das in den Einstellungen möglich. Die Praxis sieht danach nur noch, was sie für ihre eigenen Pflichten aufbewahren muss.

Was passiert, wenn Sie nichts ändern

Ohne AV-Vertrag, ohne EU-Hosting, ohne Löschkonzept riskieren Sie bei jeder Datenpanne ein Bußgeld. Die Aufsichtsbehörden prüfen bei Beschwerden zuerst, ob die Grundlagen stimmen. Fehlt der AV-Vertrag, ist die Verarbeitung rechtswidrig – unabhängig davon, ob etwas passiert ist.

Und: Patienten, die Ihrer Datensicherheit nicht vertrauen, kommen nicht wieder. Sie erzählen es auch nicht weiter.

Fazit

Patientendaten sicher speichern heißt: Rechtsgrundlage klären, AV-Vertrag mit § 203-Verpflichtung abschließen, Verschlüsselung und EU-Hosting prüfen, Rollen und Rechte definieren und ein Löschkonzept mit Selbstlöschung für Patienten umsetzen.

Fragen Sie jeden Anbieter nach diesen fünf Ebenen. Lassen Sie die Antworten von Ihrem Datenschutzbeauftragten oder Anwalt bewerten.

Wenn Sie sehen möchten, wie eine Patienten-App diese Anforderungen als deutscher Anbieter mit AV-Vertrag umsetzt, vereinbaren Sie ein kurzes Gespräch. Die App steht schon fertig eingerichtet bereit – das Gespräch dauert 15 Minuten.