Arztpraxis und Kanzlei: IT mit besonderen Pflichten

Schweigepflicht reicht bis in die Technik

Die berufliche Schweigepflicht endet nicht an der Tür zum Serverraum. Sie erstreckt sich auf alle, die technisch an die Daten könnten — also auch auf den IT-Dienstleister. In der Praxis heißt das: ein Vertrag zur Auftragsverarbeitung, eine Verpflichtung auf die Verschwiegenheit und eine nachvollziehbare Regelung, wer wann worauf zugegriffen hat.

Das ist kein Papierkram um des Papierkrams willen. Es ist der Punkt, an dem eine Prüfung zuerst hinschaut.

Wer darf wohin

Der häufigste Befund in kleinen Praxen und Kanzleien ist ein flaches Netz: alles hängt an einem Switch, jedes Gerät erreicht jedes andere. Das Gäste-WLAN im Wartezimmer liegt im selben Netz wie die Verwaltungssoftware. Ein Gerät, das jemand mitbringt, steht damit neben den Patienten- oder Mandantendaten.

Die Trennung ist keine große Sache: getrennte Netzbereiche für Verwaltung, Geräte, Gäste — und Regeln dazwischen, die begründet und dokumentiert sind. Aufwand von einem Tag, Wirkung dauerhaft.

Zugriffsrechte nach Rolle, nicht nach Gewohnheit

Gewachsene Rechte sind ein Muster: Wer einmal etwas brauchte, behält es. Nach ein paar Jahren kommt jeder an fast alles. Der Grundsatz ist einfach — Zugriff auf das, was für die Aufgabe nötig ist — die Umsetzung braucht einmal eine Bestandsaufnahme und danach eine jährliche Durchsicht.

Besonders wichtig: eigene Anmeldungen statt eines gemeinsamen Kontos. Ohne die lässt sich im Zweifel nicht feststellen, wer etwas getan hat, und genau das ist im Ernstfall die Frage.

Aufbewahrung und Löschung

Für Patienten- und Mandantenunterlagen gelten je nach Bereich unterschiedliche Aufbewahrungsfristen — und nach deren Ablauf die Pflicht zur Löschung. Technisch heißt das zweierlei: Die Daten müssen so lange sicher verfügbar sein, und sie müssen danach auch aus den Sicherungen verschwinden können.

Der zweite Teil wird fast immer übersehen. Wer Sicherungen unbegrenzt aufhebt, kann Löschpflichten nicht erfüllen. Die Aufbewahrungszeit der Sicherung gehört deshalb bewusst festgelegt.

Sicherer Versand

Unverschlüsselte E-Mail ist für Berufsgeheimnisse der falsche Weg. Was es braucht, hängt vom Empfänger ab: Transportverschlüsselung als Mindestmaß, Ende-zu-Ende-Verschlüsselung oder ein geschütztes Portal, wenn regelmäßig ausgetauscht wird. Für bestimmte Bereiche gibt es vorgeschriebene Wege — die schreibt nicht die IT vor, sondern die jeweilige Berufsordnung.

Was bei einer Prüfung verlangt wird

Üblicherweise verlangt werden: ein Verzeichnis der Verarbeitungstätigkeiten, die Verträge mit Dienstleistern, ein technisches und organisatorisches Konzept, der Nachweis funktionierender Sicherungen und ein Verfahren für den Fall einer Datenpanne. Das meiste davon ist Dokumentation von Dingen, die ohnehin existieren — sie muss nur aufgeschrieben sein, bevor jemand fragt.

Zur Einordnung: Dieser Beitrag beschreibt die technische Seite. Welche Vorgaben in Ihrem Fall konkret gelten, sagt Ihnen Ihre Kammer oder Ihr Datenschutzbeauftragter — wir richten uns danach, statt Ihnen zu sagen, was Sie einzuhalten haben.