Die Gesundheit Ihrer Patienten –
und die Ihrer Daten.

Gesundheitsdaten gehören nach der DSGVO zu den besonderen Kategorien personenbezogener Daten und verlangen in der Praxis mehr Sorgfalt als gewöhnliche Daten: Zugriff nur pro Benutzer, Verschlüsselung und ein Protokoll, wer welche Akte wann aufruft. In einer Klinik heißt das, dass das Empfangspersonal sieht, was es für Terminvergabe und Abrechnung braucht, nicht unbedingt den vollständigen medizinischen Inhalt, und dass jeder Aktenzugriff nachvollziehbar bleibt, sodass sich bei einem Datenleck feststellen lässt, wo es passiert ist. Wichtig ist auch, wie diese Daten übertragen werden, wenn die Software extern betrieben wird oder Sicherungen anderswo liegen: verschlüsselt bei der Übertragung und im Ruhezustand, nicht nur durch ein Passwort geschützt. Wir richten das ein und dokumentieren es, abgestimmt auf das, was wir unter IT-Wartung und DSGVO für Unternehmenerklären, damit Ihre Klinik die Vorgaben erfüllt, ohne dass es den Praxisalltag zusätzlich belastet.

Eine Klinik kann nicht einfach stillstehen: Fallen Terminsoftware oder Patientenakte am Vormittag aus, warten Patienten, und niemand kann eine laufende Behandlung nachsehen. Wir richten das System mit häufigen Sicherungen und Redundanz bei allem Kritischen ein, damit der Defekt eines Geräts nicht die ganze Praxis ohne Patientenakten lässt, und testen diese Sicherungen durch echte Wiederherstellung – nicht nur durch die Kontrolle, ob der Sicherungsvorgang fehlerfrei durchgelaufen ist. Liegt der Fehler in der Verwaltungssoftware selbst, lässt sich mit einem separat gespeicherten, zugänglichen Datenbestand das Wesentliche weiter erledigen, bis das Problem behoben ist, statt den ganzen Terminkalender anzuhalten. Dasselbe gilt bei Problemen mit der Internetverbindung, die bei Terminsoftware in der Cloud immer häufiger vorkommen: Ein alternativer Zugangsweg ist sinnvoll. Wir erklären das in NAS oder Cloud, je nachdem, wo Ihre tatsächliche Schwachstelle liegt.

Ja, indem das Gästenetz physisch vom Verwaltungsnetz und von den medizinischen Geräten getrennt wird, sodass ein Patient im Wartezimmer nie im selben Netzsegment ist wie der Rechner mit den Patientenakten oder der, auf dem die Termine verwaltet werden. Das ist eine technische Trennung, nicht nur ein anderes Passwort: Selbst wenn jemand im Gäste-WLAN etwas versuchen würde, hätte er keinen Weg zu den internen Systemen. Außerdem wird begrenzt, was dieses WLAN kann – nur surfen, kein Zugriff auf Drucker oder andere Geräte im Netz –, und es wird verhindert, dass der Freizeitverkehr der Besucher die Verbindung auslastet, die die medizinische Software braucht. In Praxen mit mehreren Räumen oder mit einer Verbindung, die während der Sprechzeiten nicht ausfallen darf, lohnt sich zudem eine Ausweichverbindung, um nicht von einem einzigen Anbieter abzuhängen. Mehr dazu in Backup-Internet für Ihr Unternehmen.

Ja, mit Feinheiten, die nicht immer beachtet werden. Wir installieren gekennzeichnete Videoüberwachung mit verschlüsselter Aufzeichnung und einer Speicherdauer, die auf das Nötige begrenzt ist. Darüber hinaus gibt es aber eine Grenze, die nicht überschritten werden darf: Räume, in denen Patienten behandelt werden – Sprechzimmer, Behandlungsraum, jeder Raum, in dem über ihre Gesundheit gesprochen wird –, dürfen nicht gefilmt werden, während Gemeinschaftsbereiche wie Eingang, Wartezimmer oder Flur mit gut sichtbarem Hinweisschild eine Kamera zulassen. Diese Unterscheidung zwischen Behandlungs- und Gemeinschaftsbereich wird beim Anbringen von Kameras am häufigsten übersehen, und genau sie prüfen wir bei einem Besuch zuerst. Außerdem legen wir den Bildausschnitt so fest, dass Zugänge aufgezeichnet werden und nicht mehr als nötig die Gesichter von Patienten im Wartezimmer. Das Hinweisschild ist Pflicht und keine Nebensache; wir erklären es in Hinweisschild für Kameras: was vorgeschrieben ist und wie man es richtig macht.

Es gibt keine einheitliche Frist, denn sie hängt von der Art der Daten und vom Zweck ab, aber es gibt ein klares Kriterium: Aufnahmen werden nur so lange aufbewahrt, wie sie dem Zweck dienen, für den sie gemacht wurden, und danach gelöscht. In einer Klinik betrifft das die Bilder aus Gemeinschaftsbereichen, die nicht lange gespeichert werden müssen, es sei denn, ein konkreter Vorfall rechtfertigt eine längere Aufbewahrung. Wir konfigurieren das System so, dass nach Alter automatisch gelöscht wird, statt darauf zu setzen, dass jemand regelmäßig Aufnahmen aufräumt – was ohne Automatisierung in der Praxis dazu führt, dass sich alles unkontrolliert ansammelt. Außerdem dokumentieren wir das Aufbewahrungskriterium, denn genau das muss man vorzeigen können, wenn jemand fragt, warum diese Bilder noch da sind. Ausführlicher erklären wir das in Wie lange Kameraaufnahmen aufbewahrt werden dürfen.

Ja, und in einer Klinik ist er wichtiger als in fast jedem anderen Betrieb, denn wer IT-Support leistet, arbeitet an Geräten mit Patientenakten. Die DSGVO nennt diese Rolle Auftragsverarbeiter und verlangt, dass das Verhältnis vertraglich geregelt ist: welche Daten verarbeitet werden, zu welchem Zweck, welche Vertraulichkeit das Personal mit Zugang zu Ihren Systemen zusichert, welche Sicherheitsmaßnahmen gelten und was mit den Daten geschieht, wenn Sie den Dienstleister wechseln. Wir sehen häufig Kliniken, deren gesamte Datenschutzdokumentation geprüft ist, die diesen Vertrag aber nicht unterschrieben haben – ausgerechnet mit dem, der den meisten technischen Zugriff hat. Das lässt sich ganz einfach lösen: anfordern, unterschreiben, erledigt. Und seien Sie misstrauisch bei einem Dienstleister, der sich darüber wundert, denn genau dieser Vertrag schützt Sie, falls auf seiner Seite etwas schiefgeht. Details dazu in Was ein IT-Wartungsvertrag enthalten sollte.