Der IT-Dienstleister soll eine Störung im Praxisverwaltungssystem beheben. Dafür verlangt er einen Fernzugang und eine Datenbankkopie. Die Praxis muss vor der Freigabe klären, welcher Zugriff zur Reparatur wirklich erforderlich ist und wie die beteiligten Personen zur Geheimhaltung verpflichtet sind. Ein unterschriebener Wartungsvertrag allein beantwortet diese Fragen nicht.
Der folgende Ablauf verbindet die ärztliche Schweigepflicht nach § 203 StGB mit der datenschutzrechtlichen Organisation einer konkreten IT-Leistung. Er führt zu einem begrenzten Wartungsauftrag, einer nachvollziehbaren Verpflichtungskette und einem Abschlussvermerk. Die übrigen Pflichten der Praxis behandelt der Überblick zum Datenschutz in der Arztpraxis.
Die konkrete Mitwirkung und das erforderliche Geheimnis bestimmen
§ 203 Absatz 3 StGB erlaubt Berufsgeheimnisträgern, Geheimnisse gegenüber sonstigen mitwirkenden Personen offenzulegen, soweit dies für die Inanspruchnahme ihrer Tätigkeit erforderlich ist. Die Vorschrift eröffnet die notwendige Mitwirkung, aber keinen pauschalen Zugriff auf alle Patientendaten. Entscheidend ist, welche Leistung erbracht wird und welche Kenntnis dafür benötigt wird.
Eine fiktive hausärztliche Praxis hat ein Problem beim Erzeugen bestimmter Befundausdrucke. Der IT-Dienstleister vermutet einen Fehler in der Druckvorlage. Zunächst kann er mit einer künstlichen Patientenakte, der Vorlagendatei und technischen Protokollen arbeiten. Eine vollständige Kopie der echten Patientendatenbank wäre für diesen ersten Schritt nicht begründet. Die Praxis gibt deshalb einen Testzugang mit synthetischen Daten frei und hält die weitere Eskalation offen.
Der Begriff des Geheimnisses ist nicht auf die Diagnose begrenzt. Bereits die Tatsache, dass eine bestimmte Person die Praxis aufsucht, kann geschützt sein. Auch Bildschirmansichten, Termindaten und Dateinamen können solche Informationen enthalten. Die Freigabeprüfung muss deshalb mehr umfassen als das sichtbare Feld „Befundtext“.
Schweigepflicht und Auftragsverarbeitung getrennt prüfen
Die strafrechtliche Befugnis zur notwendigen Mitwirkung ersetzt keine datenschutzrechtliche Grundlage. Die Praxis prüft weiterhin Zweck, Erforderlichkeit, Artikel 6 und bei Gesundheitsdaten Artikel 9 DSGVO sowie die einschlägigen nationalen Vorschriften. Sie bestimmt außerdem die Rolle des Dienstleisters. Bei weisungsgebundener Verarbeitung im Auftrag sind die Anforderungen des Artikels 28 einzuhalten.
Im Beispiel behebt der IT-Betrieb nach Weisung der Praxis einen technischen Fehler und verarbeitet dabei gegebenenfalls Patientendaten. Die Praxis schließt die erforderliche Vereinbarung zur Auftragsverarbeitung und beschreibt den Wartungsumfang. Ein selbstständig behandelnder Arzt, ein Labor oder eine eigenverantwortlich tätige Fachstelle darf nicht allein wegen einer Datenübermittlung automatisch als derselbe Typ von Auftragsverarbeiter eingeordnet werden.
Der Vertrag benennt die betroffenen Systeme, die Datenarten, den zeitlichen Rahmen, Weisungen, Schutzmaßnahmen, Unterstützung bei Vorfällen und Betroffenenrechten sowie Rückgabe oder Löschung. Die Verschwiegenheitsregelung muss daneben die Mitwirkung nach § 203 tatsächlich erfassen. Ein Vertrag mit dem Unternehmen genügt als organisatorische Ausgangsbasis nur, wenn die Verpflichtung der eingesetzten Personen und weiterer Mitwirkender nachvollziehbar abgesichert wird.
Die Verpflichtungskette bis zu den eingesetzten Personen verfolgen
§ 203 Absatz 4 enthält neben der Strafbarkeit unbefugter Offenbarung auch Regelungen zur Sorge für die Geheimhaltungsverpflichtung sonstiger mitwirkender Personen. Wer weitere Personen einsetzt, muss die entsprechende Verpflichtung ebenfalls absichern; für Personen, die bereits selbst unter die genannten Berufsgeheimnisträger fallen, enthält die Vorschrift Ausnahmen. Die Praxis sollte nicht aus einer allgemeinen Unternehmensverschwiegenheit auf jede tatsächliche Person schließen.
Erfragen Sie deshalb, welche Rolle der konkrete Techniker hat, welche Vertretung vorgesehen ist und ob externe Spezialisten hinzugezogen werden können. Ein nachvollziehbarer Nachweis kann die Art der Verpflichtung, ihren Inhalt, den erfassten Personenkreis und den Zeitpunkt vor dem Zugriff dokumentieren. Es ist nicht erforderlich, ohne Zweck sämtliche privaten Personaldaten der Techniker zu sammeln. Es muss aber überprüfbar sein, dass berechtigte Mitwirkende die Regeln kennen und gebunden sind.
Für den Wartungsauftrag bestätigt der Dienstleister im Beispiel, dass nur die benannten beziehungsweise nach dem vereinbarten Verfahren zugeordneten und verpflichteten Personen eingesetzt werden. Ein weiterer Hersteller-Support wird erst nach der erforderlichen Prüfung einbezogen. Der Dienstleister darf einen Datenbankexport nicht eigenständig an ein beliebiges Supportforum oder einen unbekannten Unterauftragnehmer senden.
Einen begrenzten Wartungsauftrag ausfüllen
Vor dem Termin erstellt die Praxis einen Auftrag, der technisch ausführbar ist. Er enthält eine konkrete Fehlerbeschreibung ohne unnötige Gesundheitsangaben. „Bitte alles reparieren“ reicht nicht, wenn daraus ein dauerhafter Vollzugriff entsteht. Die zuständige Praxisperson und der Dienstleister vereinbaren zunächst den kleinsten sinnvollen Prüfschritt.
| Punkt | Auftrag W-09 im Beispiel |
|---|---|
| Fehler | Befundvorlage wird bei einer bestimmten Formatkombination nicht vollständig gedruckt |
| Erste Arbeitsumgebung | Getrennte Testinstallation mit künstlicher Akte |
| Freigegebene Daten | Vorlagendatei, Softwarestand und erforderliche technische Fehlermeldung |
| Zugang | Personenbezogenes, zeitlich begrenztes Wartungskonto |
| Nicht freigegeben | Vollständiger Datenbankexport, Aufnahme der Sitzung, Nutzung für eigene Analyseprodukte |
| Eskalation | Echte Datensicht nur nach erneuter Begründung und Freigabe des erforderlichen Ausschnitts |
| Abschluss | Ergebnis, verwendete Dateien, gelöschte Arbeitskopien und deaktivierter Zugang bestätigen |
Die Tabelle ist ein ausgefülltes Beispiel, keine für jede Störung identische Zugangsvorgabe. Bei einem tatsächlichen Datenbankdefekt kann eine weitergehende Prüfung notwendig sein. Dann werden die betroffenen Daten und Alternativen neu bewertet. Wichtig ist, dass die Erweiterung bewusst erfolgt und nicht durch eine voreingestellte Exportfunktion unbemerkt entsteht.
Der technische Auftrag und die datenschutzrechtliche Dokumentation sollten dieselbe Leistung beschreiben. Wenn der Vertrag nur „Druckerwartung“ nennt, der Dienstleister aber vollständige Patientenakten außerhalb der Praxis untersucht, stimmen sie nicht überein. Im Verzeichnis der Verarbeitungstätigkeiten bleiben die tatsächlichen Dienstleister und Übermittlungswege nachvollziehbar.
Fernwartung in der Praxis wirksam begrenzen
Die Praxis verwendet für W-09 einen gesonderten Zugang mit starker Authentisierung. Ein allgemeines, dauerhaft geteiltes Administratorkennwort lässt weder die handelnde Person noch das Ende ihrer Befugnis zuverlässig erkennen. Der Zugang wird für den vereinbarten Termin aktiviert. Die Praxis weiß, wie sie die Sitzung bei einem unerwarteten Vorgang unterbrechen kann.
Bei der Bildschirmfreigabe werden geöffnete echte Akten geschlossen, bevor der Techniker die Sitzung übernimmt. Dateitransfer, Zwischenablage, Druckumleitung und Sitzungsaufzeichnung werden entsprechend dem Auftrag eingestellt. Solche Nebenfunktionen können Daten übertragen, obwohl niemand ausdrücklich einen Exportknopf im Praxisprogramm betätigt. Protokolle dokumentieren den erforderlichen Ablauf, sollen aber nicht selbst zu einer vollständigen Aufzeichnung medizinischer Inhalte werden.
Die KBV beschreibt in ihrer aktuellen IT-Sicherheitsübersicht unter anderem die Verpflichtung externen Personals und dessen Beaufsichtigung bei kurzfristigem oder einmaligem Einsatz. Ordnen Sie die für Ihre vertragsärztliche beziehungsweise psychotherapeutische Praxis einschlägigen Anforderungen nach Größe und Ausstattung zu. Die Beschreibung eines Sicherheitsrahmens ist keine Freigabe einer bestimmten Fernwartungssoftware.
Für die Verbindung und gespeicherte Arbeitsdateien legt die Praxis fest, wer Schlüssel verwaltet und welche Konten entschlüsseln können. Der Leitfaden zum Verschlüsseln personenbezogener Daten hilft bei dieser konkreten Zuordnung. Eine verschlüsselte Festplatte schützt beispielsweise nicht vor einem angemeldeten Techniker, der über ein zu weit berechtigtes Konto sämtliche Akten öffnen kann.
Hersteller-Support und Cloud-Dienste gesondert bewerten
Lässt sich der Fehler in der Testumgebung nicht reproduzieren, benötigt der Dienstleister möglicherweise Unterstützung des Herstellers. Prüfen Sie vor der Weitergabe erneut Zweck, Personenkreis, Verpflichtung, datenschutzrechtliche Rolle und Ort des Zugriffs. Ein Server in Deutschland schließt einen Fernzugriff aus einem Drittland nicht automatisch aus. Auch eine kurzfristige Einsicht kann eine relevante Übermittlung sein.
Die Praxis entscheidet im Beispiel, zuerst eine minimierte Fehlerdatei ohne Patientenbezug bereitzustellen. Wenn ein echter Datensatz erforderlich bleibt, werden dessen Umfang und sichere Bereitstellung neu festgelegt. Die bloße Behauptung „Nur unsere Entwicklung kann das lösen“ benennt noch keine zulässige Empfängerkette. Verlangen Sie die für die Entscheidung nötigen Angaben, bevor die Datei die Praxis verlässt.
Für den Cloud-Einsatz im erfassten Gesundheitswesen enthält § 393 SGB V zusätzliche Anforderungen, unter anderem zu Verarbeitungsorten, inländischer Niederlassung, Sicherheitsnachweisen und korrespondierenden Kundenkriterien. Die Vorschrift regelt auch die Anforderungen an C5-Testate, besondere Übergangsregeln für neu in Verkehr gebrachte Systeme und mögliche gleichwertige Standards. Eine Geheimhaltungsverpflichtung nach § 203 ersetzt diese Voraussetzungen nicht. Für ein konkretes Cloud-Angebot sind deshalb das einschlägige System, die aktuelle Nachweisform und die eigenen Kundenpflichten zu prüfen.
Ausfallbehebung und Datensicherung nicht vermischen
Vor einem Eingriff muss geklärt sein, wie die Praxis bei einem Fehlschlag wieder arbeitsfähig wird. Der Dienstleister dokumentiert die geplante Änderung, den vorhandenen Sicherungsstand und den Rückweg. Eine Sicherung wird nicht einfach als zusätzliche Wartungskopie unbegrenzt beim Techniker gelagert. Sie hat einen eigenen Zweck, Schutz und geregelten Lebenszyklus.
Bei W-09 wird die geänderte Vorlage zunächst mit künstlichen Fällen geprüft. Danach bestätigt eine zuständige Praxisperson, dass Druckbild und Zuordnung stimmen. Erst diese fachliche Abnahme zeigt, dass die Reparatur im Versorgungsablauf funktioniert. Eine technische Meldung „Installation erfolgreich“ allein würde eine vertauschte Patientenzuordnung nicht erkennen.
Die Anleitung zur 3-2-1-Sicherung und Wiederherstellung hilft, Wiederherstellung und fachliche Kontrolle vorzubereiten. Für eine kritische Störung wird zusätzlich festgelegt, wie Termine, Behandlungsinformationen und dringend benötigte Unterlagen während des Ausfalls erreichbar bleiben. Vertraulichkeit und Verfügbarkeit werden gemeinsam bewertet.
Vorfälle und Abschluss nachvollziehbar behandeln
Bemerkt der Techniker, dass eine echte Akte versehentlich in ein offenes Supportticket gelangt ist, darf die Meldung nicht bis zum nächsten Wartungsbericht warten. Der Vertrag legt einen erreichbaren Meldeweg und die notwendigen ersten Angaben fest. Auftragsverarbeiter müssen den Verantwortlichen nach Artikel 33 Absatz 2 ohne unangemessene Verzögerung informieren. Eine eigene pauschale 72-Stunden-Wartefrist für den Dienstleister wäre falsch.
Die Praxis bewertet anschließend den Datenschutzvorfall, mögliche Meldung an die Aufsichtsbehörde und gegebenenfalls die Benachrichtigung betroffener Personen. Gesundheitsdaten sind ein wichtiger Risikofaktor; daraus folgt aber keine automatische identische Entscheidung für jeden Vorfall. Umfang, Empfänger, tatsächliche Zugänglichkeit und mögliche Folgen müssen festgestellt werden. Eine nachträgliche Löschbestätigung ist dabei eine relevante Maßnahme, ersetzt aber nicht die Risikobewertung.
Zum Abschluss von W-09 bestätigt der Dienstleister die behobene Vorlage, die verwendeten Testdateien und die Entfernung nicht mehr benötigter Arbeitskopien. Die Praxis deaktiviert das Wartungskonto und kontrolliert, dass kein dauerhafter Zusatzdienst zurückbleibt. Für erforderliche Betriebsdokumentation bleibt ein knapper Vermerk ohne Diagnoseinhalte erhalten. Die Geheimhaltungsverpflichtung endet nicht dadurch, dass der Wartungsauftrag technisch abgeschlossen ist. So wird aus einer allgemeinen Vertragsklausel ein überprüfbarer Umgang mit den tatsächlich berührten Patientengeheimnissen.