{"id":5562,"date":"2026-10-19T11:21:37","date_gmt":"2026-10-19T09:21:37","guid":{"rendered":"https:\/\/wwwschutz.de\/blog\/?p=5562"},"modified":"2026-10-05T11:53:22","modified_gmt":"2026-10-05T09:53:22","slug":"dsgvo-und-security-fuer-arztpraxen-was-praxisinhaber-und-praxisteams-wissen-muessen","status":"publish","type":"post","link":"https:\/\/wwwschutz.de\/blog\/dsgvo-und-security-fuer-arztpraxen-was-praxisinhaber-und-praxisteams-wissen-muessen\/","title":{"rendered":"DSGVO und Security f\u00fcr Arztpraxen: Was Praxisinhaber und Praxisteams wissen m\u00fcssen"},"content":{"rendered":"\n<p class=\"wp-block-paragraph\"><em>Arztpraxen verwalten t\u00e4glich die sensibelsten Daten, die es gibt: Diagnosen, Laborwerte, Medikationen, psychische Erkrankungen, Informationen zu Familie und Lebenssituation. Patientinnen und Patienten vertrauen darauf, dass diese Informationen in der Praxis bleiben. Dieses Vertrauen ist die Grundlage jeder Behandlung. Datenschutz und IT-Sicherheit sind deshalb in der Arztpraxis kein l\u00e4stiges Beiwerk, sondern Teil der \u00e4rztlichen Sorgfalt.<\/em><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Neben den Regularieen w\u00e4chst gleichzeitig der Druck. Die Digitalisierung des Gesundheitswesens schreitet voran, die elektronische Patientenakte (ePA) ist f\u00fcr Praxen verpflichtend geworden, und Cyberkriminelle haben l\u00e4ngst entdeckt, dass auch kleine Praxen attraktive und oft schlecht gesch\u00fctzte Ziele sind. Dieser Artikel erkl\u00e4rt verst\u00e4ndlich und ohne Juristendeutsch, welche Regeln gelten, welche Pflichten sich daraus ergeben und wie Sie Ihre Praxis mit \u00fcberschaubarem Aufwand wirksam absichern.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Das Wichtigste in K\u00fcrze<\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Gesundheitsdaten sind nach der DSGVO eine besonders gesch\u00fctzte Datenkategorie. F\u00fcr ihre Verarbeitung gelten strengere Ma\u00dfst\u00e4be als f\u00fcr gew\u00f6hnliche Daten.<\/li>\n\n\n\n<li>Neben der DSGVO gelten die \u00e4rztliche Schweigepflicht (\u00a7 203 StGB), das Bundesdatenschutzgesetz, Regelungen im Sozialgesetzbuch V und die Berufsordnung.<\/li>\n\n\n\n<li>Praxen sind verpflichtet, technische und organisatorische Schutzma\u00dfnahmen umzusetzen. Die IT-Sicherheitsrichtlinie der Kassen\u00e4rztlichen Bundesvereinigung (KBV) konkretisiert, was das im Praxisalltag hei\u00dft.<\/li>\n\n\n\n<li>Eine Datenpanne muss in vielen F\u00e4llen innerhalb von 72 Stunden der Aufsichtsbeh\u00f6rde gemeldet werden. Ein vorbereiteter Notfallplan spart in dieser Situation wertvolle Zeit.<\/li>\n\n\n\n<li>Die meisten Sicherheitsvorf\u00e4lle entstehen nicht durch Hightech-Angriffe, sondern durch Alltagsfehler: schwache Passw\u00f6rter, fehlende Updates, unachtsam ge\u00f6ffnete E-Mail-Anh\u00e4nge, fehlende Backups.<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\">Warum Arztpraxen im Fokus stehen<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr Angreifer sind Gesundheitsdaten aus mehreren Gr\u00fcnden interessant. Sie lassen sich weiterverkaufen, sie eignen sich zur Erpressung, und Praxen sind auf funktionierende IT dringend angewiesen. Wer die Praxis lahmlegt, kann L\u00f6segeld fordern, weil Behandlungen, Abrechnung und Rezepte ohne IT kaum noch m\u00f6glich sind. Dieses Muster nennt man Ransomware: Schadsoftware verschl\u00fcsselt alle Daten, und die T\u00e4ter verlangen Geld f\u00fcr die Freigabe.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Hinzu kommt, dass kleine Praxen meist keine eigene IT-Abteilung haben. Die Betreuung l\u00e4uft nebenbei, durch einen externen Dienstleister oder durch ein engagiertes Teammitglied. Das Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI) beobachtet seit Jahren, dass Angriffe sich zunehmend auf kleine und mittlere Einrichtungen verlagern. Auch eine Untersuchung des BSI zu Praxisverwaltungssystemen hat gezeigt, dass selbst zertifizierte Software Schwachstellen enthalten kann. Ein Grund mehr, sich nicht allein auf die Software des Herstellers zu verlassen.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Der rechtliche Rahmen im \u00dcberblick<\/h2>\n\n\n\n<figure class=\"wp-block-image size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"1024\" height=\"597\" src=\"https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-02-rechtlicher-rahmen-1024x597.png\" alt=\"\" class=\"wp-image-5565\" srcset=\"https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-02-rechtlicher-rahmen-1024x597.png 1024w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-02-rechtlicher-rahmen-300x175.png 300w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-02-rechtlicher-rahmen-768x448.png 768w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-02-rechtlicher-rahmen-1536x896.png 1536w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-02-rechtlicher-rahmen-2048x1195.png 2048w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-02-rechtlicher-rahmen-640x373.png 640w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><figcaption class=\"wp-element-caption\">Rechtlicher Rahmen f\u00fcr Arzpraxen.<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Die Rechtslage wirkt auf den ersten Blick un\u00fcbersichtlich, weil mehrere Regelwerke nebeneinander gelten. Im Kern sind es diese:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Datenschutz-Grundverordnung (DSGVO):<\/strong> Die EU-weit geltende Grundlage f\u00fcr jede Verarbeitung personenbezogener Daten. Gesundheitsdaten fallen unter Artikel 9, die sogenannten besonderen Kategorien.<\/li>\n\n\n\n<li><strong>Bundesdatenschutzgesetz (BDSG):<\/strong> Erg\u00e4nzt die DSGVO, zum Beispiel bei der Frage, wann ein Datenschutzbeauftragter benannt werden muss.<\/li>\n\n\n\n<li><strong>\u00c4rztliche Schweigepflicht:<\/strong> Sie ergibt sich aus der Berufsordnung und aus \u00a7 203 des Strafgesetzbuches. Eine Verletzung kann strafbar sein. Das gilt auch f\u00fcr das Praxispersonal und f\u00fcr externe Dienstleister, die Zugang zu Patientendaten haben.<\/li>\n\n\n\n<li><strong>Sozialgesetzbuch V:<\/strong> Regelt unter anderem die Telematikinfrastruktur, die elektronische Patientenakte und die IT-Sicherheitsrichtlinie f\u00fcr Praxen (heute in \u00a7 390 SGB V, fr\u00fcher \u00a7 75b).<\/li>\n\n\n\n<li><strong>Patientenrechtegesetz (BGB):<\/strong> Verpflichtet zur Dokumentation und zur zehnj\u00e4hrigen Aufbewahrung der Patientenakte (\u00a7 630f BGB) und garantiert Patienten das Recht auf Einsicht (\u00a7 630g BGB).<\/li>\n\n\n\n<li><strong>NIS-2-Umsetzung im BSI-Gesetz:<\/strong> Seit Dezember 2025 gelten versch\u00e4rfte Cybersicherheitspflichten, die vor allem gr\u00f6\u00dfere Einrichtungen betreffen. Mehr dazu weiter unten.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Wichtig zu wissen: Die Schweigepflicht und der Datenschutz erg\u00e4nzen sich, sie ersetzen sich nicht. Was datenschutzrechtlich erlaubt ist, kann trotzdem eine Schweigepflichtverletzung sein, wenn Patientendaten ohne Rechtsgrundlage oder Einwilligung weitergegeben werden.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Die DSGVO verst\u00e4ndlich erkl\u00e4rt<\/h2>\n\n\n\n<h3 class=\"wp-block-heading\">Die Grundprinzipien<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Die <a href=\"https:\/\/dr-dsgvo.de\" target=\"_blank\" rel=\"noopener\">DSGVO<\/a> beruht auf einigen Grunds\u00e4tzen, die sich gut merken lassen:<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n<li><strong>Rechtm\u00e4\u00dfigkeit und Transparenz:<\/strong> Daten d\u00fcrfen nur verarbeitet werden, wenn es daf\u00fcr eine Rechtsgrundlage gibt, und Patienten m\u00fcssen verst\u00e4ndlich erfahren, was mit ihren Daten geschieht.<\/li>\n\n\n\n<li><strong>Zweckbindung:<\/strong> Daten, die f\u00fcr die Behandlung erhoben wurden, d\u00fcrfen nicht ohne Weiteres f\u00fcr andere Zwecke genutzt werden, etwa f\u00fcr Werbung.<\/li>\n\n\n\n<li><strong>Datenminimierung:<\/strong> Es werden nur die Daten erhoben, die tats\u00e4chlich erforderlich sind.<\/li>\n\n\n\n<li><strong>Richtigkeit:<\/strong> Daten m\u00fcssen sachlich richtig und aktuell sein.<\/li>\n\n\n\n<li><strong>Speicherbegrenzung:<\/strong> Daten werden nur so lange aufbewahrt, wie es n\u00f6tig oder gesetzlich vorgeschrieben ist.<\/li>\n\n\n\n<li><strong>Integrit\u00e4t und Vertraulichkeit:<\/strong> Daten sind vor unbefugtem Zugriff, Verlust und Manipulation zu sch\u00fctzen.<\/li>\n\n\n\n<li><strong>Rechenschaftspflicht:<\/strong> Die Praxis muss nachweisen k\u00f6nnen, dass sie sich an die Regeln h\u00e4lt. Dokumentation ist deshalb keine Schikane, sondern Ihr bester Schutz.<\/li>\n<\/ol>\n\n\n\n<figure class=\"wp-block-image size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"1024\" height=\"555\" src=\"https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-03-dsgvo-grundprinzipien-1024x555.png\" alt=\"\" class=\"wp-image-5566\" srcset=\"https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-03-dsgvo-grundprinzipien-1024x555.png 1024w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-03-dsgvo-grundprinzipien-300x163.png 300w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-03-dsgvo-grundprinzipien-768x416.png 768w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-03-dsgvo-grundprinzipien-1536x832.png 1536w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-03-dsgvo-grundprinzipien-2048x1109.png 2048w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-03-dsgvo-grundprinzipien-640x347.png 640w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><figcaption class=\"wp-element-caption\">Grundprinzipien der DSGVO.<\/figcaption><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Brauche ich f\u00fcr die Behandlung eine Einwilligung?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr die Behandlung selbst ben\u00f6tigen Sie in der Regel keine datenschutzrechtliche Einwilligung. Die Verarbeitung von Gesundheitsdaten zum Zweck der Gesundheitsversorgung, der Diagnostik und der Behandlung ist durch Artikel 9 Absatz 2 Buchstabe h in Verbindung mit Absatz 3 DSGVO erlaubt, sofern die Daten von Personen verarbeitet werden, die der Schweigepflicht unterliegen. Auch die Abrechnung mit der Kassen\u00e4rztlichen Vereinigung st\u00fctzt sich auf gesetzliche Grundlagen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Eine Einwilligung wird dagegen typischerweise n\u00f6tig, wenn Daten \u00fcber den Behandlungszweck hinaus verwendet werden. Beispiele sind die Weitergabe an eine private Abrechnungsstelle, die Ver\u00f6ffentlichung von Patientenfotos, der Versand von Terminerinnerungen \u00fcber unverschl\u00fcsselte Kan\u00e4le oder die Teilnahme an Newsletter-Angeboten. Eine wirksame Einwilligung muss freiwillig, informiert, konkret und nachweisbar sein und kann jederzeit widerrufen werden.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Die Pflichten der Praxis im Einzelnen<\/h2>\n\n\n\n<h3 class=\"wp-block-heading\">Verzeichnis von Verarbeitungst\u00e4tigkeiten<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Jede Praxis, die regelm\u00e4\u00dfig Gesundheitsdaten verarbeitet, muss ein Verzeichnis ihrer Verarbeitungst\u00e4tigkeiten f\u00fchren (Artikel 30 DSGVO). Darin steht kurz und strukturiert, welche Daten zu welchem Zweck verarbeitet werden, wer Zugriff hat, an wen Daten weitergegeben werden und wie lange sie aufbewahrt werden. Typische Eintr\u00e4ge sind Patientenverwaltung, Abrechnung, Terminvergabe, Personalverwaltung, Videosprechstunde und Betrieb der Praxis-Website. Die \u00c4rztekammern und Kassen\u00e4rztlichen Vereinigungen stellen Muster zur Verf\u00fcgung, die Sie an Ihre Praxis anpassen k\u00f6nnen.<\/p>\n\n\n\n<figure class=\"wp-block-image size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"1024\" height=\"631\" src=\"https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-04-datenfluesse-dienstleister-1024x631.png\" alt=\"\" class=\"wp-image-5567\" srcset=\"https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-04-datenfluesse-dienstleister-1024x631.png 1024w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-04-datenfluesse-dienstleister-300x185.png 300w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-04-datenfluesse-dienstleister-768x474.png 768w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-04-datenfluesse-dienstleister-1536x947.png 1536w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-04-datenfluesse-dienstleister-2048x1263.png 2048w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-04-datenfluesse-dienstleister-640x395.png 640w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><figcaption class=\"wp-element-caption\">Typische Datenfl\u00fcsse in einer Arztpraxis. <\/figcaption><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Technische und organisatorische Ma\u00dfnahmen<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Nach <a href=\"https:\/\/dr-dsgvo.de\/art-32-dsgvo\/\" target=\"_blank\" rel=\"noopener\">Artikel 32 DSGVO<\/a> muss die Praxis angemessene technische und organisatorische Ma\u00dfnahmen (kurz: TOM) treffen. Angemessen bedeutet: Je sensibler die Daten, desto h\u00f6her das Schutzniveau. Bei Gesundheitsdaten ist das Niveau entsprechend hoch. Zu den TOM geh\u00f6ren unter anderem Zutrittskontrolle, Zugriffsrechte, Verschl\u00fcsselung, Datensicherung, Protokollierung, Schulung der Mitarbeitenden und ein Notfallkonzept. Die Ma\u00dfnahmen sollten schriftlich festgehalten und regelm\u00e4\u00dfig \u00fcberpr\u00fcft werden.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Datenschutzbeauftragter<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Ob eine Praxis einen Datenschutzbeauftragten benennen muss, h\u00e4ngt von der Gr\u00f6\u00dfe und der Art der Datenverarbeitung ab. Nach dem BDSG ist eine Benennung grunds\u00e4tzlich erforderlich, wenn in der Praxis in der Regel mindestens 20 Personen st\u00e4ndig mit der automatisierten Verarbeitung personenbezogener Daten besch\u00e4ftigt sind. Unabh\u00e4ngig davon kann eine Pflicht bestehen, wenn eine Datenschutz-Folgenabsch\u00e4tzung erforderlich ist oder die Kernt\u00e4tigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien liegt. Nach Erw\u00e4gungsgrund 91 der DSGVO gilt die Verarbeitung durch einen einzelnen Arzt aber nicht automatisch als umfangreich. Bei Gemeinschaftspraxen, Medizinischen Versorgungszentren oder Praxen mit besonderen Schwerpunkten kann die Einsch\u00e4tzung anders ausfallen. Im Zweifel lohnt sich die R\u00fccksprache mit der zust\u00e4ndigen Landesdatenschutzbeh\u00f6rde, der \u00c4rztekammer oder einer fachkundigen Beratung. Auch wenn keine Pflicht besteht, kann ein externer Datenschutzbeauftragter eine sinnvolle Entlastung sein.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Datenschutz-Folgenabsch\u00e4tzung<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Birgt eine Verarbeitung voraussichtlich ein hohes Risiko f\u00fcr die Rechte der Betroffenen, ist vorab eine Datenschutz-Folgenabsch\u00e4tzung durchzuf\u00fchren. F\u00fcr die klassische Einzelpraxis ist sie nach Erw\u00e4gungsgrund 91 in der Regel nicht erforderlich. Bei neuen, risikoreichen Technologien, etwa umfangreichem Einsatz von KI-Systemen oder gro\u00dfen Verbundstrukturen, sollte man diese Frage jedoch bewusst pr\u00fcfen und das Ergebnis dokumentieren.<\/p>\n\n\n\n<figure class=\"wp-block-image size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"1024\" height=\"657\" src=\"https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-05-risikokarte-praxis-1024x657.png\" alt=\"\" class=\"wp-image-5568\" srcset=\"https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-05-risikokarte-praxis-1024x657.png 1024w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-05-risikokarte-praxis-300x193.png 300w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-05-risikokarte-praxis-768x493.png 768w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-05-risikokarte-praxis-1536x986.png 1536w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-05-risikokarte-praxis-2048x1314.png 2048w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-05-risikokarte-praxis-640x411.png 640w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><figcaption class=\"wp-element-caption\">Einige der Datenschutz-Risiken in einer Arztpraxis.<\/figcaption><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Informationspflichten gegen\u00fcber Patienten<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Patienten haben ein Recht darauf zu erfahren, wer ihre Daten verarbeitet, wozu, auf welcher Rechtsgrundlage, wie lange und an wen sie weitergegeben werden (Artikel 13 DSGVO). In der Praxis hat sich bew\u00e4hrt, ein verst\u00e4ndlich geschriebenes Informationsblatt am Empfang auszulegen oder auszuh\u00e4ndigen und dieselben Informationen auf der Praxis-Website bereitzustellen. Wichtig ist die Verst\u00e4ndlichkeit. Ein Text, den niemand lesen kann, erf\u00fcllt seinen Zweck nicht.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Rechte der Patienten<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Patienten haben verschiedene Rechte, auf die Praxen vorbereitet sein sollten:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Auskunft und Kopie (Artikel 15 DSGVO):<\/strong> Patienten d\u00fcrfen wissen, welche Daten \u00fcber sie gespeichert sind. Nach der Rechtsprechung des Europ\u00e4ischen Gerichtshofs ist die erste Kopie der Patientenakte grunds\u00e4tzlich kostenlos. Die Frist betr\u00e4gt in der Regel einen Monat.<\/li>\n\n\n\n<li><strong>Berichtigung:<\/strong> Falsche Daten sind zu korrigieren. Medizinische Dokumentation darf dabei nicht r\u00fcckwirkend verf\u00e4lscht werden, Korrekturen werden als solche erg\u00e4nzt.<\/li>\n\n\n\n<li><strong>L\u00f6schung:<\/strong> Das Recht auf L\u00f6schung st\u00f6\u00dft in der Praxis an die gesetzlichen Aufbewahrungsfristen. Solange eine Aufbewahrungspflicht besteht, werden die Daten gesperrt, nicht gel\u00f6scht.<\/li>\n\n\n\n<li><strong>Einschr\u00e4nkung, Widerspruch und Daten\u00fcbertragbarkeit:<\/strong> Diese Rechte bestehen ebenfalls, spielen im Praxisalltag aber seltener eine Rolle.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Praktisch empfiehlt sich ein einfacher, festgelegter Ablauf: Wer nimmt Anfragen entgegen, wie wird die Identit\u00e4t gepr\u00fcft, wer antwortet bis wann. Ein Vordruck f\u00fcr die Dokumentation reicht aus.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Aufbewahrung und L\u00f6schung<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Die Patientenakte ist nach \u00a7 630f BGB mindestens zehn Jahre nach Abschluss der Behandlung aufzubewahren. F\u00fcr bestimmte Unterlagen gelten l\u00e4ngere Fristen, etwa bei R\u00f6ntgenaufnahmen, Strahlenbehandlungen oder Bet\u00e4ubungsmitteln. Nach Ablauf der Fristen m\u00fcssen Daten datenschutzgerecht gel\u00f6scht oder vernichtet werden. Ein L\u00f6schkonzept, das f\u00fcr jede Datenart die Frist festlegt, ist ein sinnvolles Werkzeug. Auch Papier und alte Datentr\u00e4ger geh\u00f6ren dazu: Aktenvernichtung nach anerkannten Sicherheitsstufen, zum Beispiel nach DIN 66399, und das fachgerechte L\u00f6schen oder Zerst\u00f6ren ausgemusterter Festplatten.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Auftragsverarbeitung und Dienstleister<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Sobald ein externer Dienstleister im Auftrag der Praxis Patientendaten verarbeitet oder auch nur Zugriff darauf haben kann, ist in aller Regel ein Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO erforderlich. Das betrifft zum Beispiel den IT-Dienstleister mit Fernwartungszugang, den Hersteller der Praxissoftware, Cloud-Anbieter, Abrechnungsdienste, Archivierungs- und Aktenvernichtungsfirmen oder Anbieter von Videosprechstunden. Zus\u00e4tzlich verlangt \u00a7 203 StGB, dass Dienstleister, die Zugang zu Berufsgeheimnissen erhalten, zur Verschwiegenheit verpflichtet werden. Die Verpflichtung sollte schriftlich erfolgen und dokumentiert werden.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Achten Sie bei der Auswahl auch auf den Standort der Datenverarbeitung. Verarbeitung innerhalb der EU vereinfacht die Rechtslage erheblich. Bei Anbietern mit Sitz oder Rechenzentren au\u00dferhalb der EU sind zus\u00e4tzliche Anforderungen an die Daten\u00fcbermittlung in Drittl\u00e4nder zu beachten, und die Rechtslage kann sich \u00e4ndern. Bei Gesundheitsdaten ist hier besondere Vorsicht geboten.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Schulung und Verpflichtung der Mitarbeitenden<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Alle Mitarbeitenden, die mit Patientendaten in Ber\u00fchrung kommen, m\u00fcssen auf die Schweigepflicht und den Datenschutz verpflichtet und regelm\u00e4\u00dfig geschult werden. Das gilt auch f\u00fcr Auszubildende, Praktikanten, Reinigungskr\u00e4fte mit Zugang zu Praxisr\u00e4umen und Vertretungen. Eine kurze j\u00e4hrliche Schulung mit praxisnahen Beispielen wirkt oft mehr als ein langes Dokument, das niemand liest.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Datenschutz im Praxisalltag: typische Stolperfallen<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Viele Datenschutzverst\u00f6\u00dfe in Arztpraxen entstehen nicht durch b\u00f6se Absicht, sondern durch Routine. Diese Situationen sollten Sie im Blick haben:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Anmeldung und Empfang:<\/strong> Gespr\u00e4che am Tresen werden im Wartezimmer mitgeh\u00f6rt. Diagnosen, Medikamente und Namen sollten nicht laut genannt werden. Hilfreich sind Abstandsmarkierungen, ein diskreter Bereich f\u00fcr sensible Gespr\u00e4che und Bildschirme, die von Wartenden nicht einsehbar sind.<\/li>\n\n\n\n<li><strong>Aufruf im Wartezimmer:<\/strong> Der Aufruf mit vollem Namen oder gar mit Behandlungsbezug ist heikel. Nummern oder Vornamen sind meist die bessere L\u00f6sung, sofern die Patienten informiert sind.<\/li>\n\n\n\n<li><strong>Telefon:<\/strong> Ausk\u00fcnfte am Telefon an Angeh\u00f6rige oder Dritte sind nur mit Einwilligung zul\u00e4ssig. Bei R\u00fcckfragen sollte die Identit\u00e4t des Anrufers gepr\u00fcft werden.<\/li>\n\n\n\n<li><strong>Normale E-Mail:<\/strong> Unverschl\u00fcsselte E-Mails sind wie Postkarten. Befunde und andere Gesundheitsdaten geh\u00f6ren nicht in normale E-Mails. F\u00fcr die Kommunikation unter Leistungserbringern steht KIM, der Kommunikationsdienst in der Telematikinfrastruktur, zur Verf\u00fcgung. F\u00fcr die Kommunikation mit Patienten nutzen Sie ausschlie\u00dflich geeignete, sichere Wege.<\/li>\n\n\n\n<li><strong>Messenger:<\/strong> Verbreitete Consumer-Messenger sind f\u00fcr Patientendaten nicht geeignet, auch wenn sie bequem sind. Sie bringen Probleme bei Verschl\u00fcsselung, Metadaten, Auftragsverarbeitung und Kontrolle \u00fcber die Endger\u00e4te mit sich. Nutzen Sie f\u00fcr die Kommunikation im Gesundheitswesen vorgesehene L\u00f6sungen, etwa den TI-Messenger, sobald er in Ihrer Umgebung verf\u00fcgbar ist.<\/li>\n\n\n\n<li><strong>Videosprechstunde:<\/strong> Verwenden Sie nur Anbieter, die f\u00fcr die Videosprechstunde zertifiziert sind, und schlie\u00dfen Sie die erforderlichen Vertr\u00e4ge ab. Private Videochat-Tools sind keine Option.<\/li>\n\n\n\n<li><strong>Online-Terminbuchung:<\/strong> Terminportale verarbeiten Gesundheitsdaten. Pr\u00fcfen Sie Anbieter, Serverstandort, Vertr\u00e4ge und Datenschutzinformationen sorgf\u00e4ltig.<\/li>\n\n\n\n<li><strong>Praxis-Website:<\/strong> Datenschutzerkl\u00e4rung, Impressum, Einbindung externer Dienste wie Karten, Schriftarten oder Statistikwerkzeuge und Kontaktformulare sind ein h\u00e4ufiger Gegenstand von Abmahnungen und Beschwerden. Binden Sie externe Inhalte nur ein, wenn es daf\u00fcr eine Rechtsgrundlage gibt, und holen Sie bei nicht notwendigen Cookies und Trackern eine wirksame Einwilligung ein. Kontaktformulare sollten verschl\u00fcsselt \u00fcbertragen werden und keine Gesundheitsdaten abfragen, die dort nichts zu suchen haben.<\/li>\n\n\n\n<li><strong>Fotos und Bewertungen:<\/strong> Fotos von Patienten, etwa zur Wunddokumentation, sind Teil der Patientenakte und nur auf daf\u00fcr vorgesehenen Systemen zu speichern, nicht auf privaten Smartphones. Auf Online-Bewertungen sollten Praxen niemals mit Behandlungsdetails antworten, auch nicht, um sich zu verteidigen.<\/li>\n\n\n\n<li><strong>Papier und Entsorgung:<\/strong> Zettel mit Patientendaten geh\u00f6ren nicht in den normalen Papierkorb. Rezepte, \u00dcberweisungen und Laborzettel, die im Drucker liegen bleiben, sind ein klassischer Fehler.<\/li>\n\n\n\n<li><strong>Praxis\u00fcbergabe, Schlie\u00dfung, Umzug:<\/strong> Auch dabei d\u00fcrfen Patientendaten nicht einfach weitergegeben werden. Es gibt etablierte Modelle, die den \u00dcbergang datenschutz- und schweigepflichtkonform regeln, zum Beispiel die Verwahrung durch eine Nachfolgerin oder einen Nachfolger unter klaren Bedingungen.<\/li>\n\n\n\n<li><strong>K\u00fcnstliche Intelligenz und Diktierl\u00f6sungen:<\/strong> Cloud-basierte Spracherkennung oder KI-Assistenten, in die Patientendaten gelangen, sind Auftragsverarbeitung mit allen dazugeh\u00f6rigen Pflichten. Pr\u00fcfen Sie Vertr\u00e4ge, Datenverwendung zu Trainingszwecken, Serverstandort und Schweigepflichtkonformit\u00e4t, bevor Sie solche Werkzeuge einsetzen. Geben Sie keine identifizierbaren Patientendaten in frei verf\u00fcgbare KI-Dienste ein.<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\">IT-Sicherheit: die Praxis technisch absichern<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Datenschutz sagt, was gesch\u00fctzt werden muss. IT-Sicherheit sorgt daf\u00fcr, dass der Schutz tats\u00e4chlich funktioniert. Die gute Nachricht: Mit einem \u00fcberschaubaren Satz von Grundma\u00dfnahmen l\u00e4sst sich das Risiko drastisch senken.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Die zehn wichtigsten Ma\u00dfnahmen<\/h3>\n\n\n\n<ol class=\"wp-block-list\">\n<li><strong>Regelm\u00e4\u00dfige Datensicherung nach der 3-2-1-Regel:<\/strong> Mindestens drei Kopien der Daten, auf zwei verschiedenen Medien, davon eine Kopie getrennt vom Praxisnetz, also offline oder unver\u00e4nderbar. Ein Backup, das im selben Netz liegt, wird bei einem Ransomware-Angriff oft mit verschl\u00fcsselt. Ebenso wichtig: Testen Sie regelm\u00e4\u00dfig, ob sich die Daten tats\u00e4chlich wiederherstellen lassen.<\/li>\n\n\n\n<li><strong>Updates und Patches zeitnah einspielen:<\/strong> Betriebssysteme, Praxissoftware, Browser, Router, Firewall und Drucker brauchen Sicherheitsupdates. Ungepatchte Systeme sind das h\u00e4ufigste Einfallstor.<\/li>\n\n\n\n<li><strong>Starke Passw\u00f6rter und Mehrfaktor-Authentifizierung:<\/strong> Lange Passphrasen statt kurzer Kennw\u00f6rter, kein Passwort f\u00fcr mehrere Dienste, ein Passwortmanager f\u00fcr das Team. Wo immer m\u00f6glich, sollte ein zweiter Faktor aktiviert werden, insbesondere bei Fernzug\u00e4ngen und Cloud-Diensten.<\/li>\n\n\n\n<li><strong>Zugriffsrechte nach dem Prinzip der minimalen Rechte:<\/strong> Jede Person erh\u00e4lt nur die Rechte, die sie f\u00fcr ihre Arbeit braucht. Administratorrechte geh\u00f6ren nicht in den Alltagsbetrieb. Personenbezogene Anmeldungen statt gemeinsamer Zugangsdaten machen Zugriffe nachvollziehbar.<\/li>\n\n\n\n<li><strong>Firewall und Netzwerktrennung:<\/strong> Die Praxis-IT, das G\u00e4ste-WLAN und Medizinger\u00e4te geh\u00f6ren in getrennte Netzwerksegmente. G\u00e4ste und Patienten d\u00fcrfen nie im selben Netz sein wie die Praxisrechner.<\/li>\n\n\n\n<li><strong>Virenschutz und E-Mail-Schutz:<\/strong> Aktueller Schutz auf allen Rechnern, dazu Filter gegen Spam und Phishing. Die meisten Angriffe beginnen mit einer E-Mail.<\/li>\n\n\n\n<li><strong>Verschl\u00fcsselung:<\/strong> Laptops, USB-Sticks, mobile Ger\u00e4te und Backups sollten verschl\u00fcsselt sein. Geht ein Ger\u00e4t verloren, ist das dann in der Regel keine meldepflichtige Datenpanne mehr, weil die Daten unlesbar bleiben.<\/li>\n\n\n\n<li><strong>Sichere Fernwartung:<\/strong> Dienstleister greifen oft aus der Ferne auf Praxissysteme zu. Vereinbaren Sie klare Regeln: Zugriff nur nach Freigabe durch die Praxis, protokolliert, mit eigenen Zugangsdaten und \u00fcber abgesicherte Verbindungen.<\/li>\n\n\n\n<li><strong>Physische Sicherheit:<\/strong> Server und Netzwerktechnik geh\u00f6ren in einen abschlie\u00dfbaren Raum, nicht in den Flur oder unter den Empfangstresen. Bildschirme am Empfang sollten gesperrt werden, sobald man sich entfernt. Eine Bildschirmsperre nach kurzer Zeit ist Pflicht.<\/li>\n\n\n\n<li><strong>Sensibilisierung des Teams:<\/strong> Technik allein reicht nicht. Mitarbeitende sollten Phishing-Mails erkennen, wissen, was sie bei einem Verdacht tun, und keine Hemmungen haben, einen Vorfall sofort zu melden. Ein Team, das offen \u00fcber Fehler spricht, ist sicherer als ein Team, das aus Angst schweigt.<\/li>\n<\/ol>\n\n\n\n<figure class=\"wp-block-image size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"1024\" height=\"657\" src=\"https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-07-netzwerktrennung-1024x657.png\" alt=\"\" class=\"wp-image-5570\" srcset=\"https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-07-netzwerktrennung-1024x657.png 1024w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-07-netzwerktrennung-300x193.png 300w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-07-netzwerktrennung-768x493.png 768w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-07-netzwerktrennung-1536x986.png 1536w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-07-netzwerktrennung-2048x1314.png 2048w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-07-netzwerktrennung-640x411.png 640w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><figcaption class=\"wp-element-caption\">Mehr Sicherheit duch Trennen von IT-Netzwerken.<\/figcaption><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Telematikinfrastruktur und Konnektor<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Mit der Telematikinfrastruktur (TI) sind Praxen an ein geschlossenes, besonders abgesichertes Netz des Gesundheitswesens angebunden. Die dezentralen Komponenten wie Konnektor beziehungsweise Zugangsdienst, Kartenterminals sowie Praxis- und Heilberufsausweis haben Laufzeiten und Wartungsanforderungen. Behalten Sie Zertifikatslaufzeiten und Austauschfristen im Blick, lassen Sie Installation und Wartung nur durch zertifizierte Fachleute durchf\u00fchren und ver\u00e4ndern Sie die Konfiguration nicht eigenm\u00e4chtig. Ebenso wichtig: Die TI sch\u00fctzt die Verbindung, nicht den Praxisrechner. Ein infizierter Praxisrechner ist auch im gesch\u00fctzten Netz ein Risiko.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Die elektronische Patientenakte<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Die elektronische Patientenakte ist f\u00fcr Arztpraxen seit dem 1. Oktober 2025 verpflichtend zu nutzen und zu bef\u00fcllen. F\u00fcr Praxen, die ihrer Pflicht nicht nachkommen, sind Sanktionen vorgesehen, zum Beispiel Honorark\u00fcrzungen. Wer die Akte bef\u00fcllen will, ben\u00f6tigt ein entsprechendes ePA-Modul in der Praxissoftware.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Aus Datenschutzsicht sind einige Punkte wichtig. Durch das Einstecken der Gesundheitskarte erh\u00e4lt die Praxis standardm\u00e4\u00dfig f\u00fcr 90 Tage Zugriff auf die Akte. Patienten k\u00f6nnen ihre Akte freiwillig nutzen, einzelne Dokumente verbergen oder dem Zugriff bestimmter Einrichtungen widersprechen. Jugendliche k\u00f6nnen ab 15 Jahren selbst \u00fcber ihre Akte entscheiden. In der Praxis bedeutet das: Das Team sollte die Funktionsweise verstehen und Patienten bei Fragen sachlich informieren, ohne Druck auszu\u00fcben. Dokumentieren Sie, wenn Patienten der Bef\u00fcllung bestimmter Daten widersprechen, und beachten Sie, dass besonders sensible Befunde, etwa zu psychischen Erkrankungen, Schwangerschaftsabbr\u00fcchen oder sexuell \u00fcbertragbaren Krankheiten, besonderer Sorgfalt bed\u00fcrfen. Lassen Sie sich von Ihrem Softwarehersteller und Ihrer Kassen\u00e4rztlichen Vereinigung \u00fcber den jeweils aktuellen Stand informieren, denn die Regelungen werden fortlaufend angepasst.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Notfallplan: Was tun, wenn die IT ausf\u00e4llt?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Ein Notfallplan geh\u00f6rt zu jeder Praxis. Er beantwortet im Voraus die Fragen, die im Ernstfall keine Zeit f\u00fcr Diskussionen lassen:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Wer ist die erste Ansprechperson, und wie ist sie erreichbar, auch wenn das Praxisnetz nicht funktioniert?<\/li>\n\n\n\n<li>Wo liegen die Notfallkontakte (IT-Dienstleister, Softwarehersteller, Datenschutzbeauftragter, Versicherung) in ausgedruckter Form?<\/li>\n\n\n\n<li>Wie l\u00e4uft der Praxisbetrieb auf Papier weiter (Notfallformulare, Rezepte, Terminlisten)?<\/li>\n\n\n\n<li>Wo liegt das Offline-Backup, und wer kann es wiederherstellen?<\/li>\n\n\n\n<li>Wer entscheidet \u00fcber Meldungen an Beh\u00f6rden und Betroffene?<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">\u00dcben Sie den Ernstfall einmal im Jahr, zum Beispiel mit einem Ausfall-Szenario in der Mittagspause.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Die IT-Sicherheitsrichtlinie der KBV: Pflichten nach Praxisgr\u00f6\u00dfe<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Niedergelassene \u00c4rztinnen und \u00c4rzte sind gesetzlich verpflichtet, die IT-Sicherheitsrichtlinie der Kassen\u00e4rztlichen Bundesvereinigung umzusetzen. Sie legt Mindestanforderungen fest, die nach der Gr\u00f6\u00dfe der Praxis gestaffelt sind. Grob l\u00e4sst sich die Systematik so beschreiben:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Alle Praxen:<\/strong> Grundlegende Ma\u00dfnahmen wie Virenschutz, Firewall, Updates, Passwortregeln, Datensicherung, Verschl\u00fcsselung mobiler Ger\u00e4te und Schulung.<\/li>\n\n\n\n<li><strong>Mittlere Praxen<\/strong> (grob ab etwa sechs Personen, die st\u00e4ndig mit der Datenverarbeitung befasst sind): Zus\u00e4tzliche Anforderungen, etwa zu Netzwerkabsicherung, Protokollierung und Zugriffssteuerung.<\/li>\n\n\n\n<li><strong>Gro\u00dfe Praxen<\/strong> (grob ab etwa 20 Personen): Weitergehende Anforderungen, unter anderem zu Informationssicherheitsmanagement und Notfallvorsorge.<\/li>\n\n\n\n<li><strong>Zusatzanforderungen<\/strong> gelten f\u00fcr Medizinger\u00e4te und f\u00fcr die dezentralen Komponenten der Telematikinfrastruktur.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Die genauen Schwellen und Anforderungen entnehmen Sie bitte der aktuellen Fassung der Richtlinie auf der Website der KBV. Dort finden Sie auch eine verst\u00e4ndliche Checkliste, mit der Sie den Stand Ihrer Praxis pr\u00fcfen k\u00f6nnen. Wichtig ist, dass Sie die Umsetzung dokumentieren. Gerade im Streitfall oder bei einer Pr\u00fcfung ist der Nachweis entscheidend.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">NIS-2: Betrifft das auch meine Praxis?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die europ\u00e4ische NIS-2-Richtlinie soll das Cybersicherheitsniveau in wichtigen Sektoren anheben, darunter das Gesundheitswesen. Deutschland hat sie im Dezember 2025 durch eine \u00c4nderung des BSI-Gesetzes umgesetzt. F\u00fcr die meisten Praxen \u00e4ndert sich dadurch wenig, denn die Pflichten greifen erst ab einer bestimmten Unternehmensgr\u00f6\u00dfe. Als Faustregel gelten grob 50 Besch\u00e4ftigte oder mehr als 10 Millionen Euro Jahresumsatz. Davon sind vor allem Krankenh\u00e4user, gr\u00f6\u00dfere Medizinische Versorgungszentren und gro\u00dfe Praxisverb\u00fcnde betroffen. Eine Einzelpraxis oder eine kleine Gemeinschaftspraxis bleibt in der Regel au\u00dfen vor.<\/p>\n\n\n\n<figure class=\"wp-block-image size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"1024\" height=\"640\" src=\"https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-10-nis2-entscheidungsbaum-1024x640.png\" alt=\"\" class=\"wp-image-5571\" srcset=\"https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-10-nis2-entscheidungsbaum-1024x640.png 1024w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-10-nis2-entscheidungsbaum-300x188.png 300w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-10-nis2-entscheidungsbaum-768x480.png 768w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-10-nis2-entscheidungsbaum-1536x960.png 1536w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-10-nis2-entscheidungsbaum-2048x1280.png 2048w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-10-nis2-entscheidungsbaum-640x400.png 640w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><figcaption class=\"wp-element-caption\">Ist NIS-2 f\u00fcr Ihre Praxis relevant?<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Wenn Ihre Einrichtung dennoch in den Anwendungsbereich f\u00e4llt, kommen deutlich mehr Pflichten auf Sie zu: Registrierung beim BSI, Risikomanagement, Meldung erheblicher Sicherheitsvorf\u00e4lle in gestuften Fristen (Fr\u00fchwarnung binnen 24 Stunden, n\u00e4here Meldung binnen 72 Stunden, Abschlussbericht nach einem Monat) und eine pers\u00f6nliche Verantwortung der Gesch\u00e4ftsleitung. Auch wenn Sie nicht betroffen sind, lohnt sich ein Blick auf die Inhalte, denn sie beschreiben im Kern sehr gut, was zu einer vern\u00fcnftigen Informationssicherheit geh\u00f6rt. Pr\u00fcfen Sie Ihre Betroffenheit im Zweifel mit fachkundiger Unterst\u00fctzung, da die Abgrenzung im Einzelfall komplex sein kann.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Datenpanne: Was tun, wenn etwas schiefgeht?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Eine Datenschutzverletzung liegt vor, wenn personenbezogene Daten versehentlich oder unrechtm\u00e4\u00dfig vernichtet, verloren, ver\u00e4ndert, offengelegt oder zug\u00e4nglich gemacht werden. Typische Beispiele aus der Praxis: ein Befund geht an den falschen Empf\u00e4nger, ein Laptop mit unverschl\u00fcsselten Daten wird gestohlen, ein Verschl\u00fcsselungstrojaner legt die Praxis lahm, ein ehemaliger Mitarbeiter greift unbefugt auf Daten zu.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">So gehen Sie vor<\/h3>\n\n\n\n<ol class=\"wp-block-list\">\n<li><strong>Ruhe bewahren und den Vorfall stoppen:<\/strong> Betroffene Ger\u00e4te vom Netz trennen, aber nicht ausschalten, wenn dadurch Spuren verloren gehen k\u00f6nnten. Zug\u00e4nge sperren, Passw\u00f6rter \u00e4ndern.<\/li>\n\n\n\n<li><strong>Verantwortliche informieren:<\/strong> Praxisleitung, IT-Dienstleister, gegebenenfalls Datenschutzbeauftragter.<\/li>\n\n\n\n<li><strong>Vorfall dokumentieren:<\/strong> Was ist wann passiert, welche Daten sind betroffen, wie viele Personen, welche Ma\u00dfnahmen wurden ergriffen? Jede Datenpanne muss intern dokumentiert werden, auch wenn sie nicht gemeldet wird.<\/li>\n\n\n\n<li><strong>Risiko bewerten:<\/strong> Besteht ein Risiko f\u00fcr die Rechte und Freiheiten der Betroffenen? Bei Gesundheitsdaten ist dies h\u00e4ufig der Fall.<\/li>\n\n\n\n<li><strong>Meldung an die Aufsichtsbeh\u00f6rde:<\/strong> Besteht ein Risiko, muss die Meldung nach Artikel 33 DSGVO unverz\u00fcglich erfolgen, m\u00f6glichst binnen 72 Stunden nach Bekanntwerden an die zust\u00e4ndige Landesdatenschutzbeh\u00f6rde. Die meisten Beh\u00f6rden bieten daf\u00fcr Online-Formulare an.<\/li>\n\n\n\n<li><strong>Information der Betroffenen:<\/strong> Besteht ein hohes Risiko, etwa weil Diagnosen offengelegt wurden, sind auch die betroffenen Patienten zu benachrichtigen (Artikel 34 DSGVO), in klarer und verst\u00e4ndlicher Sprache.<\/li>\n\n\n\n<li><strong>Ursachen beheben und lernen:<\/strong> Nach dem Vorfall werden Ma\u00dfnahmen angepasst, damit sich der Fehler nicht wiederholt.<\/li>\n<\/ol>\n\n\n\n<p class=\"wp-block-paragraph\">Wichtig: Ein gemeldeter Vorfall f\u00fchrt nicht automatisch zu einem Bu\u00dfgeld. Aufsichtsbeh\u00f6rden bewerten, ob eine Praxis vorbereitet war und angemessen reagiert hat. Schweigen und Vertuschen sind dagegen die schlechteste Strategie. Erg\u00e4nzend sollten Sie Ihre Cyberversicherung und gegebenenfalls Ihre Berufshaftpflicht pr\u00fcfen und im Ernstfall umgehend informieren, denn Versicherungen verlangen oft kurze Meldefristen und bestimmte Vorsorgema\u00dfnahmen.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Bu\u00dfgelder, Haftung und die Frage nach dem realistischen Risiko<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die DSGVO sieht bei schweren Verst\u00f6\u00dfen Bu\u00dfgelder von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag h\u00f6her ist. F\u00fcr andere Verst\u00f6\u00dfe gilt ein niedrigerer Rahmen. Diese Zahlen schrecken verst\u00e4ndlicherweise ab, sie bilden aber nicht den Regelfall in Arztpraxen ab. Aufsichtsbeh\u00f6rden ber\u00fccksichtigen Gr\u00f6\u00dfe, Verschulden, Kooperation und getroffene Schutzma\u00dfnahmen. Wer nachweislich ernsthaft Datenschutz betreibt, hat im Fall eines Vorfalls erheblich bessere Karten.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Daneben kommen weitere Konsequenzen in Betracht: Schadensersatzanspr\u00fcche von Patienten nach Artikel 82 DSGVO, berufsrechtliche Folgen, strafrechtliche Konsequenzen bei Verletzung der Schweigepflicht sowie ein erheblicher Vertrauens- und Reputationsschaden. Der gr\u00f6\u00dfte Schaden entsteht bei einem Cyberangriff oft nicht durch das Bu\u00dfgeld, sondern durch den Praxisstillstand, den Datenverlust und die Wiederherstellungskosten.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Praktische Checkliste f\u00fcr den Start<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Wenn Sie noch am Anfang stehen, gehen Sie schrittweise vor. Diese Reihenfolge hat sich bew\u00e4hrt:<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n<li>Bestandsaufnahme: Welche Daten verarbeiten wir, mit welchen Systemen, welche Dienstleister haben Zugriff?<\/li>\n\n\n\n<li>Verzeichnis der Verarbeitungst\u00e4tigkeiten anlegen oder aktualisieren.<\/li>\n\n\n\n<li>Vertr\u00e4ge zur Auftragsverarbeitung und Verschwiegenheitsverpflichtungen mit allen Dienstleistern pr\u00fcfen.<\/li>\n\n\n\n<li>Backup-Konzept pr\u00fcfen und die Wiederherstellung testen.<\/li>\n\n\n\n<li>Updates, Virenschutz, Firewall und Zugriffsrechte \u00fcberpr\u00fcfen.<\/li>\n\n\n\n<li>Passwortregeln und Mehrfaktor-Authentifizierung einf\u00fchren.<\/li>\n\n\n\n<li>Informationsblatt f\u00fcr Patienten und Datenschutzerkl\u00e4rung der Website aktualisieren.<\/li>\n\n\n\n<li>Mitarbeitende schulen und schriftlich verpflichten.<\/li>\n\n\n\n<li>Notfallplan und Meldeablauf f\u00fcr Datenpannen erstellen und einmal durchspielen.<\/li>\n\n\n\n<li>Die Umsetzung der KBV-IT-Sicherheitsrichtlinie anhand der Checkliste pr\u00fcfen und dokumentieren.<\/li>\n\n\n\n<li>Einmal j\u00e4hrlich alles \u00fcberpr\u00fcfen und aktualisieren.<\/li>\n<\/ol>\n\n\n\n<figure class=\"wp-block-image size-large\"><img loading=\"lazy\" decoding=\"async\" width=\"1024\" height=\"611\" src=\"https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-11-checkliste-start-1024x611.png\" alt=\"\" class=\"wp-image-5572\" srcset=\"https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-11-checkliste-start-1024x611.png 1024w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-11-checkliste-start-300x179.png 300w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-11-checkliste-start-768x458.png 768w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-11-checkliste-start-1536x916.png 1536w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-11-checkliste-start-2048x1222.png 2048w, https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-11-checkliste-start-640x382.png 640w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><figcaption class=\"wp-element-caption\">Checkliste f\u00fcr mehr IT-Sicherheit in der Arztpraxis.<\/figcaption><\/figure>\n\n\n\n<h2 class=\"wp-block-heading\">H\u00e4ufige Missverst\u00e4ndnisse<\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>&#8222;Wir sind zu klein, uns greift niemand an.&#8220;<\/strong> Angriffe laufen automatisiert und treffen Praxen jeder Gr\u00f6\u00dfe. Kleine Praxen sind oft sogar leichter zu \u00fcberwinden.<\/li>\n\n\n\n<li><strong>&#8222;Das macht doch unser IT-Dienstleister.&#8220;<\/strong> Er kann unterst\u00fctzen, die Verantwortung bleibt aber bei der Praxisleitung. Pr\u00fcfen Sie, was vertraglich vereinbart ist und was tats\u00e4chlich umgesetzt wird.<\/li>\n\n\n\n<li><strong>&#8222;Die TI ist sicher, also sind wir sicher.&#8220;<\/strong> Die TI sch\u00fctzt die Verbindung, nicht Ihre Arbeitspl\u00e4tze, Ihre E-Mail oder Ihr WLAN.<\/li>\n\n\n\n<li><strong>&#8222;Patienten haben unterschrieben, also ist alles erlaubt.&#8220;<\/strong> Eine Einwilligung ersetzt weder Schutzma\u00dfnahmen noch Transparenz, und sie kann widerrufen werden.<\/li>\n\n\n\n<li><strong>&#8222;Datenschutz verhindert gute Behandlung.&#8220;<\/strong> Das Gegenteil trifft zu: Gut organisierter Datenschutz schafft Vertrauen, und Vertrauen erleichtert die offene Kommunikation, auf die jede Behandlung angewiesen ist.<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\">Fazit<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Datenschutz und IT-Sicherheit in der Arztpraxis sind kein einmaliges Projekt, sondern eine dauerhafte Aufgabe, die zur Praxisorganisation geh\u00f6rt wie Hygiene oder Qualit\u00e4tsmanagement. Die Anforderungen sind zahlreich, aber gut beherrschbar, wenn man sie in kleine Schritte zerlegt: wissen, welche Daten man hat, Verantwortlichkeiten kl\u00e4ren, die wichtigsten technischen Grundma\u00dfnahmen umsetzen, das Team mitnehmen und f\u00fcr den Ernstfall vorbereitet sein. Wer das konsequent tut und dokumentiert, erf\u00fcllt nicht nur die gesetzlichen Pflichten, sondern sch\u00fctzt vor allem das, worum es eigentlich geht: das Vertrauen der Patientinnen und Patienten und die Handlungsf\u00e4higkeit der eigenen Praxis.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Hinweis<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Dieser Artikel dient der allgemeinen Information und ersetzt keine Rechts- oder Datenschutzberatung im Einzelfall. Gesetze, Richtlinien und Fristen im Gesundheitswesen \u00e4ndern sich schnell, insbesondere bei der elektronischen Patientenakte und der NIS-2-Umsetzung. Pr\u00fcfen Sie f\u00fcr verbindliche Aussagen die aktuellen Ver\u00f6ffentlichungen Ihrer Kassen\u00e4rztlichen Vereinigung, der KBV, der \u00c4rztekammer, des BSI und der zust\u00e4ndigen Landesdatenschutzbeh\u00f6rde.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Quellen und weiterf\u00fchrende Informationen<\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/www.aerzteblatt.de\/news\/elektronische-patientenakte-bundesweit-gestartet\" target=\"_blank\" rel=\"noopener\">Elektronische Patientenakte bundesweit gestartet, Deutsches \u00c4rzteblatt<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/web.de\/magazine\/gesundheit\/pflicht-e-patientenakte-praxen-aendert-41436424\" target=\"_blank\" rel=\"noopener\">Pflicht zur ePA f\u00fcr Praxen, web.de Magazin<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/netzpolitik.org\/2025\/gesundheitsdigitalisierung-am-limit-warum-es-bei-der-elektronischen-patientenakte-noch-immer-hakt\/\" target=\"_blank\" rel=\"noopener\">Gesundheitsdigitalisierung am Limit, netzpolitik.org<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/www.bundesaerztekammer.de\/fileadmin\/user_upload\/BAEK\/Politik\/Stellungnahmen\/BAEK_SN_NIS-2-Umsetzungs-_und_Cybersicherheitsstaerkungsgesetz_04072025.pdf\" target=\"_blank\" rel=\"noopener\">Stellungnahme der Bundes\u00e4rztekammer zum NIS-2-Umsetzungsgesetz<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/medizinio.de\/blog\/sichere-praxis-it\" target=\"_blank\" rel=\"noopener\">Sichere Praxis-IT, \u00dcberblick zu IT-Sicherheitsrichtlinie, NIS-2 und BSI-Bericht, medizinio<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/www.secjur.com\/blog\/nis2-umsetzung\" target=\"_blank\" rel=\"noopener\">NIS2-Umsetzung in Deutschland, SECJUR<\/a><\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>Arztpraxen m\u00fcssen die sensiblen Daten ihrer Patienten streng sch\u00fctzen, da diese strengen Datenschutzbestimmungen unterliegen. Neben rechtlichen Verpflichtungen ist die IT-Sicherheit in Arztpraxen essentiell, da Cyberkriminelle diese zunehmend als Ziel angreifen.  Ein robustes Sicherheitskonzept und ein Notfallplan sind deshalb f\u00fcr jede Praxis unerl\u00e4sslich.<\/p>\n","protected":false},"author":4,"featured_media":5563,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"inline_featured_image":false,"footnotes":""},"categories":[7,90],"tags":[],"class_list":["post-5562","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-datenschutz","category-security","entry"],"blocks":"<!-- wp:paragraph -->\n<p><em>Arztpraxen verwalten t\u00e4glich die sensibelsten Daten, die es gibt: Diagnosen, Laborwerte, Medikationen, psychische Erkrankungen, Informationen zu Familie und Lebenssituation. Patientinnen und Patienten vertrauen darauf, dass diese Informationen in der Praxis bleiben. Dieses Vertrauen ist die Grundlage jeder Behandlung. Datenschutz und IT-Sicherheit sind deshalb in der Arztpraxis kein l\u00e4stiges Beiwerk, sondern Teil der \u00e4rztlichen Sorgfalt.<\/em><\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Neben den Regularieen w\u00e4chst gleichzeitig der Druck. Die Digitalisierung des Gesundheitswesens schreitet voran, die elektronische Patientenakte (ePA) ist f\u00fcr Praxen verpflichtend geworden, und Cyberkriminelle haben l\u00e4ngst entdeckt, dass auch kleine Praxen attraktive und oft schlecht gesch\u00fctzte Ziele sind. Dieser Artikel erkl\u00e4rt verst\u00e4ndlich und ohne Juristendeutsch, welche Regeln gelten, welche Pflichten sich daraus ergeben und wie Sie Ihre Praxis mit \u00fcberschaubarem Aufwand wirksam absichern.<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:heading -->\n<h2 class=\"wp-block-heading\">Das Wichtigste in K\u00fcrze<\/h2>\n<!-- \/wp:heading -->\n\n<!-- wp:list -->\n<ul class=\"wp-block-list\"><!-- wp:list-item -->\n<li>Gesundheitsdaten sind nach der DSGVO eine besonders gesch\u00fctzte Datenkategorie. F\u00fcr ihre Verarbeitung gelten strengere Ma\u00dfst\u00e4be als f\u00fcr gew\u00f6hnliche Daten.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li>Neben der DSGVO gelten die \u00e4rztliche Schweigepflicht (\u00a7 203 StGB), das Bundesdatenschutzgesetz, Regelungen im Sozialgesetzbuch V und die Berufsordnung.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li>Praxen sind verpflichtet, technische und organisatorische Schutzma\u00dfnahmen umzusetzen. Die IT-Sicherheitsrichtlinie der Kassen\u00e4rztlichen Bundesvereinigung (KBV) konkretisiert, was das im Praxisalltag hei\u00dft.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li>Eine Datenpanne muss in vielen F\u00e4llen innerhalb von 72 Stunden der Aufsichtsbeh\u00f6rde gemeldet werden. Ein vorbereiteter Notfallplan spart in dieser Situation wertvolle Zeit.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li>Die meisten Sicherheitsvorf\u00e4lle entstehen nicht durch Hightech-Angriffe, sondern durch Alltagsfehler: schwache Passw\u00f6rter, fehlende Updates, unachtsam ge\u00f6ffnete E-Mail-Anh\u00e4nge, fehlende Backups.<\/li>\n<!-- \/wp:list-item --><\/ul>\n<!-- \/wp:list -->\n\n<!-- wp:heading -->\n<h2 class=\"wp-block-heading\">Warum Arztpraxen im Fokus stehen<\/h2>\n<!-- \/wp:heading -->\n\n<!-- wp:paragraph -->\n<p>F\u00fcr Angreifer sind Gesundheitsdaten aus mehreren Gr\u00fcnden interessant. Sie lassen sich weiterverkaufen, sie eignen sich zur Erpressung, und Praxen sind auf funktionierende IT dringend angewiesen. Wer die Praxis lahmlegt, kann L\u00f6segeld fordern, weil Behandlungen, Abrechnung und Rezepte ohne IT kaum noch m\u00f6glich sind. Dieses Muster nennt man Ransomware: Schadsoftware verschl\u00fcsselt alle Daten, und die T\u00e4ter verlangen Geld f\u00fcr die Freigabe.<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Hinzu kommt, dass kleine Praxen meist keine eigene IT-Abteilung haben. Die Betreuung l\u00e4uft nebenbei, durch einen externen Dienstleister oder durch ein engagiertes Teammitglied. Das Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI) beobachtet seit Jahren, dass Angriffe sich zunehmend auf kleine und mittlere Einrichtungen verlagern. Auch eine Untersuchung des BSI zu Praxisverwaltungssystemen hat gezeigt, dass selbst zertifizierte Software Schwachstellen enthalten kann. Ein Grund mehr, sich nicht allein auf die Software des Herstellers zu verlassen.<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:heading -->\n<h2 class=\"wp-block-heading\">Der rechtliche Rahmen im \u00dcberblick<\/h2>\n<!-- \/wp:heading -->\n\n<!-- wp:image {\"id\":5565,\"sizeSlug\":\"large\",\"linkDestination\":\"none\"} -->\n<figure class=\"wp-block-image size-large\"><img src=\"https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-02-rechtlicher-rahmen-1024x597.png\" alt=\"\" class=\"wp-image-5565\"\/><figcaption class=\"wp-element-caption\">Rechtlicher Rahmen f\u00fcr Arzpraxen.<\/figcaption><\/figure>\n<!-- \/wp:image -->\n\n<!-- wp:paragraph -->\n<p>Die Rechtslage wirkt auf den ersten Blick un\u00fcbersichtlich, weil mehrere Regelwerke nebeneinander gelten. Im Kern sind es diese:<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:list -->\n<ul class=\"wp-block-list\"><!-- wp:list-item -->\n<li><strong>Datenschutz-Grundverordnung (DSGVO):<\/strong> Die EU-weit geltende Grundlage f\u00fcr jede Verarbeitung personenbezogener Daten. Gesundheitsdaten fallen unter Artikel 9, die sogenannten besonderen Kategorien.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Bundesdatenschutzgesetz (BDSG):<\/strong> Erg\u00e4nzt die DSGVO, zum Beispiel bei der Frage, wann ein Datenschutzbeauftragter benannt werden muss.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>\u00c4rztliche Schweigepflicht:<\/strong> Sie ergibt sich aus der Berufsordnung und aus \u00a7 203 des Strafgesetzbuches. Eine Verletzung kann strafbar sein. Das gilt auch f\u00fcr das Praxispersonal und f\u00fcr externe Dienstleister, die Zugang zu Patientendaten haben.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Sozialgesetzbuch V:<\/strong> Regelt unter anderem die Telematikinfrastruktur, die elektronische Patientenakte und die IT-Sicherheitsrichtlinie f\u00fcr Praxen (heute in \u00a7 390 SGB V, fr\u00fcher \u00a7 75b).<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Patientenrechtegesetz (BGB):<\/strong> Verpflichtet zur Dokumentation und zur zehnj\u00e4hrigen Aufbewahrung der Patientenakte (\u00a7 630f BGB) und garantiert Patienten das Recht auf Einsicht (\u00a7 630g BGB).<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>NIS-2-Umsetzung im BSI-Gesetz:<\/strong> Seit Dezember 2025 gelten versch\u00e4rfte Cybersicherheitspflichten, die vor allem gr\u00f6\u00dfere Einrichtungen betreffen. Mehr dazu weiter unten.<\/li>\n<!-- \/wp:list-item --><\/ul>\n<!-- \/wp:list -->\n\n<!-- wp:paragraph -->\n<p>Wichtig zu wissen: Die Schweigepflicht und der Datenschutz erg\u00e4nzen sich, sie ersetzen sich nicht. Was datenschutzrechtlich erlaubt ist, kann trotzdem eine Schweigepflichtverletzung sein, wenn Patientendaten ohne Rechtsgrundlage oder Einwilligung weitergegeben werden.<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:heading -->\n<h2 class=\"wp-block-heading\">Die DSGVO verst\u00e4ndlich erkl\u00e4rt<\/h2>\n<!-- \/wp:heading -->\n\n<!-- wp:heading {\"level\":3} -->\n<h3 class=\"wp-block-heading\">Die Grundprinzipien<\/h3>\n<!-- \/wp:heading -->\n\n<!-- wp:paragraph -->\n<p>Die <a href=\"https:\/\/dr-dsgvo.de\">DSGVO<\/a> beruht auf einigen Grunds\u00e4tzen, die sich gut merken lassen:<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:list {\"ordered\":true} -->\n<ol class=\"wp-block-list\"><!-- wp:list-item -->\n<li><strong>Rechtm\u00e4\u00dfigkeit und Transparenz:<\/strong> Daten d\u00fcrfen nur verarbeitet werden, wenn es daf\u00fcr eine Rechtsgrundlage gibt, und Patienten m\u00fcssen verst\u00e4ndlich erfahren, was mit ihren Daten geschieht.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Zweckbindung:<\/strong> Daten, die f\u00fcr die Behandlung erhoben wurden, d\u00fcrfen nicht ohne Weiteres f\u00fcr andere Zwecke genutzt werden, etwa f\u00fcr Werbung.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Datenminimierung:<\/strong> Es werden nur die Daten erhoben, die tats\u00e4chlich erforderlich sind.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Richtigkeit:<\/strong> Daten m\u00fcssen sachlich richtig und aktuell sein.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Speicherbegrenzung:<\/strong> Daten werden nur so lange aufbewahrt, wie es n\u00f6tig oder gesetzlich vorgeschrieben ist.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Integrit\u00e4t und Vertraulichkeit:<\/strong> Daten sind vor unbefugtem Zugriff, Verlust und Manipulation zu sch\u00fctzen.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Rechenschaftspflicht:<\/strong> Die Praxis muss nachweisen k\u00f6nnen, dass sie sich an die Regeln h\u00e4lt. Dokumentation ist deshalb keine Schikane, sondern Ihr bester Schutz.<\/li>\n<!-- \/wp:list-item --><\/ol>\n<!-- \/wp:list -->\n\n<!-- wp:image {\"id\":5566,\"sizeSlug\":\"large\",\"linkDestination\":\"none\"} -->\n<figure class=\"wp-block-image size-large\"><img src=\"https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-03-dsgvo-grundprinzipien-1024x555.png\" alt=\"\" class=\"wp-image-5566\"\/><figcaption class=\"wp-element-caption\">Grundprinzipien der DSGVO.<\/figcaption><\/figure>\n<!-- \/wp:image -->\n\n<!-- wp:heading {\"level\":3} -->\n<h3 class=\"wp-block-heading\">Brauche ich f\u00fcr die Behandlung eine Einwilligung?<\/h3>\n<!-- \/wp:heading -->\n\n<!-- wp:paragraph -->\n<p>F\u00fcr die Behandlung selbst ben\u00f6tigen Sie in der Regel keine datenschutzrechtliche Einwilligung. Die Verarbeitung von Gesundheitsdaten zum Zweck der Gesundheitsversorgung, der Diagnostik und der Behandlung ist durch Artikel 9 Absatz 2 Buchstabe h in Verbindung mit Absatz 3 DSGVO erlaubt, sofern die Daten von Personen verarbeitet werden, die der Schweigepflicht unterliegen. Auch die Abrechnung mit der Kassen\u00e4rztlichen Vereinigung st\u00fctzt sich auf gesetzliche Grundlagen.<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Eine Einwilligung wird dagegen typischerweise n\u00f6tig, wenn Daten \u00fcber den Behandlungszweck hinaus verwendet werden. Beispiele sind die Weitergabe an eine private Abrechnungsstelle, die Ver\u00f6ffentlichung von Patientenfotos, der Versand von Terminerinnerungen \u00fcber unverschl\u00fcsselte Kan\u00e4le oder die Teilnahme an Newsletter-Angeboten. Eine wirksame Einwilligung muss freiwillig, informiert, konkret und nachweisbar sein und kann jederzeit widerrufen werden.<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:heading -->\n<h2 class=\"wp-block-heading\">Die Pflichten der Praxis im Einzelnen<\/h2>\n<!-- \/wp:heading -->\n\n<!-- wp:heading {\"level\":3} -->\n<h3 class=\"wp-block-heading\">Verzeichnis von Verarbeitungst\u00e4tigkeiten<\/h3>\n<!-- \/wp:heading -->\n\n<!-- wp:paragraph -->\n<p>Jede Praxis, die regelm\u00e4\u00dfig Gesundheitsdaten verarbeitet, muss ein Verzeichnis ihrer Verarbeitungst\u00e4tigkeiten f\u00fchren (Artikel 30 DSGVO). Darin steht kurz und strukturiert, welche Daten zu welchem Zweck verarbeitet werden, wer Zugriff hat, an wen Daten weitergegeben werden und wie lange sie aufbewahrt werden. Typische Eintr\u00e4ge sind Patientenverwaltung, Abrechnung, Terminvergabe, Personalverwaltung, Videosprechstunde und Betrieb der Praxis-Website. Die \u00c4rztekammern und Kassen\u00e4rztlichen Vereinigungen stellen Muster zur Verf\u00fcgung, die Sie an Ihre Praxis anpassen k\u00f6nnen.<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:image {\"id\":5567,\"sizeSlug\":\"large\",\"linkDestination\":\"none\"} -->\n<figure class=\"wp-block-image size-large\"><img src=\"https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-04-datenfluesse-dienstleister-1024x631.png\" alt=\"\" class=\"wp-image-5567\"\/><figcaption class=\"wp-element-caption\">Typische Datenfl\u00fcsse in einer Arztpraxis. <\/figcaption><\/figure>\n<!-- \/wp:image -->\n\n<!-- wp:heading {\"level\":3} -->\n<h3 class=\"wp-block-heading\">Technische und organisatorische Ma\u00dfnahmen<\/h3>\n<!-- \/wp:heading -->\n\n<!-- wp:paragraph -->\n<p>Nach <a href=\"https:\/\/dr-dsgvo.de\/art-32-dsgvo\/\">Artikel 32 DSGVO<\/a> muss die Praxis angemessene technische und organisatorische Ma\u00dfnahmen (kurz: TOM) treffen. Angemessen bedeutet: Je sensibler die Daten, desto h\u00f6her das Schutzniveau. Bei Gesundheitsdaten ist das Niveau entsprechend hoch. Zu den TOM geh\u00f6ren unter anderem Zutrittskontrolle, Zugriffsrechte, Verschl\u00fcsselung, Datensicherung, Protokollierung, Schulung der Mitarbeitenden und ein Notfallkonzept. Die Ma\u00dfnahmen sollten schriftlich festgehalten und regelm\u00e4\u00dfig \u00fcberpr\u00fcft werden.<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:heading {\"level\":3} -->\n<h3 class=\"wp-block-heading\">Datenschutzbeauftragter<\/h3>\n<!-- \/wp:heading -->\n\n<!-- wp:paragraph -->\n<p>Ob eine Praxis einen Datenschutzbeauftragten benennen muss, h\u00e4ngt von der Gr\u00f6\u00dfe und der Art der Datenverarbeitung ab. Nach dem BDSG ist eine Benennung grunds\u00e4tzlich erforderlich, wenn in der Praxis in der Regel mindestens 20 Personen st\u00e4ndig mit der automatisierten Verarbeitung personenbezogener Daten besch\u00e4ftigt sind. Unabh\u00e4ngig davon kann eine Pflicht bestehen, wenn eine Datenschutz-Folgenabsch\u00e4tzung erforderlich ist oder die Kernt\u00e4tigkeit in der umfangreichen Verarbeitung besonderer Datenkategorien liegt. Nach Erw\u00e4gungsgrund 91 der DSGVO gilt die Verarbeitung durch einen einzelnen Arzt aber nicht automatisch als umfangreich. Bei Gemeinschaftspraxen, Medizinischen Versorgungszentren oder Praxen mit besonderen Schwerpunkten kann die Einsch\u00e4tzung anders ausfallen. Im Zweifel lohnt sich die R\u00fccksprache mit der zust\u00e4ndigen Landesdatenschutzbeh\u00f6rde, der \u00c4rztekammer oder einer fachkundigen Beratung. Auch wenn keine Pflicht besteht, kann ein externer Datenschutzbeauftragter eine sinnvolle Entlastung sein.<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:heading {\"level\":3} -->\n<h3 class=\"wp-block-heading\">Datenschutz-Folgenabsch\u00e4tzung<\/h3>\n<!-- \/wp:heading -->\n\n<!-- wp:paragraph -->\n<p>Birgt eine Verarbeitung voraussichtlich ein hohes Risiko f\u00fcr die Rechte der Betroffenen, ist vorab eine Datenschutz-Folgenabsch\u00e4tzung durchzuf\u00fchren. F\u00fcr die klassische Einzelpraxis ist sie nach Erw\u00e4gungsgrund 91 in der Regel nicht erforderlich. Bei neuen, risikoreichen Technologien, etwa umfangreichem Einsatz von KI-Systemen oder gro\u00dfen Verbundstrukturen, sollte man diese Frage jedoch bewusst pr\u00fcfen und das Ergebnis dokumentieren.<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:image {\"id\":5568,\"sizeSlug\":\"large\",\"linkDestination\":\"none\"} -->\n<figure class=\"wp-block-image size-large\"><img src=\"https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-05-risikokarte-praxis-1024x657.png\" alt=\"\" class=\"wp-image-5568\"\/><figcaption class=\"wp-element-caption\">Einige der Datenschutz-Risiken in einer Arztpraxis.<\/figcaption><\/figure>\n<!-- \/wp:image -->\n\n<!-- wp:heading {\"level\":3} -->\n<h3 class=\"wp-block-heading\">Informationspflichten gegen\u00fcber Patienten<\/h3>\n<!-- \/wp:heading -->\n\n<!-- wp:paragraph -->\n<p>Patienten haben ein Recht darauf zu erfahren, wer ihre Daten verarbeitet, wozu, auf welcher Rechtsgrundlage, wie lange und an wen sie weitergegeben werden (Artikel 13 DSGVO). In der Praxis hat sich bew\u00e4hrt, ein verst\u00e4ndlich geschriebenes Informationsblatt am Empfang auszulegen oder auszuh\u00e4ndigen und dieselben Informationen auf der Praxis-Website bereitzustellen. Wichtig ist die Verst\u00e4ndlichkeit. Ein Text, den niemand lesen kann, erf\u00fcllt seinen Zweck nicht.<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:heading {\"level\":3} -->\n<h3 class=\"wp-block-heading\">Rechte der Patienten<\/h3>\n<!-- \/wp:heading -->\n\n<!-- wp:paragraph -->\n<p>Patienten haben verschiedene Rechte, auf die Praxen vorbereitet sein sollten:<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:list -->\n<ul class=\"wp-block-list\"><!-- wp:list-item -->\n<li><strong>Auskunft und Kopie (Artikel 15 DSGVO):<\/strong> Patienten d\u00fcrfen wissen, welche Daten \u00fcber sie gespeichert sind. Nach der Rechtsprechung des Europ\u00e4ischen Gerichtshofs ist die erste Kopie der Patientenakte grunds\u00e4tzlich kostenlos. Die Frist betr\u00e4gt in der Regel einen Monat.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Berichtigung:<\/strong> Falsche Daten sind zu korrigieren. Medizinische Dokumentation darf dabei nicht r\u00fcckwirkend verf\u00e4lscht werden, Korrekturen werden als solche erg\u00e4nzt.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>L\u00f6schung:<\/strong> Das Recht auf L\u00f6schung st\u00f6\u00dft in der Praxis an die gesetzlichen Aufbewahrungsfristen. Solange eine Aufbewahrungspflicht besteht, werden die Daten gesperrt, nicht gel\u00f6scht.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Einschr\u00e4nkung, Widerspruch und Daten\u00fcbertragbarkeit:<\/strong> Diese Rechte bestehen ebenfalls, spielen im Praxisalltag aber seltener eine Rolle.<\/li>\n<!-- \/wp:list-item --><\/ul>\n<!-- \/wp:list -->\n\n<!-- wp:paragraph -->\n<p>Praktisch empfiehlt sich ein einfacher, festgelegter Ablauf: Wer nimmt Anfragen entgegen, wie wird die Identit\u00e4t gepr\u00fcft, wer antwortet bis wann. Ein Vordruck f\u00fcr die Dokumentation reicht aus.<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:heading {\"level\":3} -->\n<h3 class=\"wp-block-heading\">Aufbewahrung und L\u00f6schung<\/h3>\n<!-- \/wp:heading -->\n\n<!-- wp:paragraph -->\n<p>Die Patientenakte ist nach \u00a7 630f BGB mindestens zehn Jahre nach Abschluss der Behandlung aufzubewahren. F\u00fcr bestimmte Unterlagen gelten l\u00e4ngere Fristen, etwa bei R\u00f6ntgenaufnahmen, Strahlenbehandlungen oder Bet\u00e4ubungsmitteln. Nach Ablauf der Fristen m\u00fcssen Daten datenschutzgerecht gel\u00f6scht oder vernichtet werden. Ein L\u00f6schkonzept, das f\u00fcr jede Datenart die Frist festlegt, ist ein sinnvolles Werkzeug. Auch Papier und alte Datentr\u00e4ger geh\u00f6ren dazu: Aktenvernichtung nach anerkannten Sicherheitsstufen, zum Beispiel nach DIN 66399, und das fachgerechte L\u00f6schen oder Zerst\u00f6ren ausgemusterter Festplatten.<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:heading {\"level\":3} -->\n<h3 class=\"wp-block-heading\">Auftragsverarbeitung und Dienstleister<\/h3>\n<!-- \/wp:heading -->\n\n<!-- wp:paragraph -->\n<p>Sobald ein externer Dienstleister im Auftrag der Praxis Patientendaten verarbeitet oder auch nur Zugriff darauf haben kann, ist in aller Regel ein Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO erforderlich. Das betrifft zum Beispiel den IT-Dienstleister mit Fernwartungszugang, den Hersteller der Praxissoftware, Cloud-Anbieter, Abrechnungsdienste, Archivierungs- und Aktenvernichtungsfirmen oder Anbieter von Videosprechstunden. Zus\u00e4tzlich verlangt \u00a7 203 StGB, dass Dienstleister, die Zugang zu Berufsgeheimnissen erhalten, zur Verschwiegenheit verpflichtet werden. Die Verpflichtung sollte schriftlich erfolgen und dokumentiert werden.<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Achten Sie bei der Auswahl auch auf den Standort der Datenverarbeitung. Verarbeitung innerhalb der EU vereinfacht die Rechtslage erheblich. Bei Anbietern mit Sitz oder Rechenzentren au\u00dferhalb der EU sind zus\u00e4tzliche Anforderungen an die Daten\u00fcbermittlung in Drittl\u00e4nder zu beachten, und die Rechtslage kann sich \u00e4ndern. Bei Gesundheitsdaten ist hier besondere Vorsicht geboten.<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:heading {\"level\":3} -->\n<h3 class=\"wp-block-heading\">Schulung und Verpflichtung der Mitarbeitenden<\/h3>\n<!-- \/wp:heading -->\n\n<!-- wp:paragraph -->\n<p>Alle Mitarbeitenden, die mit Patientendaten in Ber\u00fchrung kommen, m\u00fcssen auf die Schweigepflicht und den Datenschutz verpflichtet und regelm\u00e4\u00dfig geschult werden. Das gilt auch f\u00fcr Auszubildende, Praktikanten, Reinigungskr\u00e4fte mit Zugang zu Praxisr\u00e4umen und Vertretungen. Eine kurze j\u00e4hrliche Schulung mit praxisnahen Beispielen wirkt oft mehr als ein langes Dokument, das niemand liest.<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:heading -->\n<h2 class=\"wp-block-heading\">Datenschutz im Praxisalltag: typische Stolperfallen<\/h2>\n<!-- \/wp:heading -->\n\n<!-- wp:paragraph -->\n<p>Viele Datenschutzverst\u00f6\u00dfe in Arztpraxen entstehen nicht durch b\u00f6se Absicht, sondern durch Routine. Diese Situationen sollten Sie im Blick haben:<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:list -->\n<ul class=\"wp-block-list\"><!-- wp:list-item -->\n<li><strong>Anmeldung und Empfang:<\/strong> Gespr\u00e4che am Tresen werden im Wartezimmer mitgeh\u00f6rt. Diagnosen, Medikamente und Namen sollten nicht laut genannt werden. Hilfreich sind Abstandsmarkierungen, ein diskreter Bereich f\u00fcr sensible Gespr\u00e4che und Bildschirme, die von Wartenden nicht einsehbar sind.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Aufruf im Wartezimmer:<\/strong> Der Aufruf mit vollem Namen oder gar mit Behandlungsbezug ist heikel. Nummern oder Vornamen sind meist die bessere L\u00f6sung, sofern die Patienten informiert sind.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Telefon:<\/strong> Ausk\u00fcnfte am Telefon an Angeh\u00f6rige oder Dritte sind nur mit Einwilligung zul\u00e4ssig. Bei R\u00fcckfragen sollte die Identit\u00e4t des Anrufers gepr\u00fcft werden.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Normale E-Mail:<\/strong> Unverschl\u00fcsselte E-Mails sind wie Postkarten. Befunde und andere Gesundheitsdaten geh\u00f6ren nicht in normale E-Mails. F\u00fcr die Kommunikation unter Leistungserbringern steht KIM, der Kommunikationsdienst in der Telematikinfrastruktur, zur Verf\u00fcgung. F\u00fcr die Kommunikation mit Patienten nutzen Sie ausschlie\u00dflich geeignete, sichere Wege.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Messenger:<\/strong> Verbreitete Consumer-Messenger sind f\u00fcr Patientendaten nicht geeignet, auch wenn sie bequem sind. Sie bringen Probleme bei Verschl\u00fcsselung, Metadaten, Auftragsverarbeitung und Kontrolle \u00fcber die Endger\u00e4te mit sich. Nutzen Sie f\u00fcr die Kommunikation im Gesundheitswesen vorgesehene L\u00f6sungen, etwa den TI-Messenger, sobald er in Ihrer Umgebung verf\u00fcgbar ist.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Videosprechstunde:<\/strong> Verwenden Sie nur Anbieter, die f\u00fcr die Videosprechstunde zertifiziert sind, und schlie\u00dfen Sie die erforderlichen Vertr\u00e4ge ab. Private Videochat-Tools sind keine Option.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Online-Terminbuchung:<\/strong> Terminportale verarbeiten Gesundheitsdaten. Pr\u00fcfen Sie Anbieter, Serverstandort, Vertr\u00e4ge und Datenschutzinformationen sorgf\u00e4ltig.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Praxis-Website:<\/strong> Datenschutzerkl\u00e4rung, Impressum, Einbindung externer Dienste wie Karten, Schriftarten oder Statistikwerkzeuge und Kontaktformulare sind ein h\u00e4ufiger Gegenstand von Abmahnungen und Beschwerden. Binden Sie externe Inhalte nur ein, wenn es daf\u00fcr eine Rechtsgrundlage gibt, und holen Sie bei nicht notwendigen Cookies und Trackern eine wirksame Einwilligung ein. Kontaktformulare sollten verschl\u00fcsselt \u00fcbertragen werden und keine Gesundheitsdaten abfragen, die dort nichts zu suchen haben.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Fotos und Bewertungen:<\/strong> Fotos von Patienten, etwa zur Wunddokumentation, sind Teil der Patientenakte und nur auf daf\u00fcr vorgesehenen Systemen zu speichern, nicht auf privaten Smartphones. Auf Online-Bewertungen sollten Praxen niemals mit Behandlungsdetails antworten, auch nicht, um sich zu verteidigen.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Papier und Entsorgung:<\/strong> Zettel mit Patientendaten geh\u00f6ren nicht in den normalen Papierkorb. Rezepte, \u00dcberweisungen und Laborzettel, die im Drucker liegen bleiben, sind ein klassischer Fehler.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Praxis\u00fcbergabe, Schlie\u00dfung, Umzug:<\/strong> Auch dabei d\u00fcrfen Patientendaten nicht einfach weitergegeben werden. Es gibt etablierte Modelle, die den \u00dcbergang datenschutz- und schweigepflichtkonform regeln, zum Beispiel die Verwahrung durch eine Nachfolgerin oder einen Nachfolger unter klaren Bedingungen.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>K\u00fcnstliche Intelligenz und Diktierl\u00f6sungen:<\/strong> Cloud-basierte Spracherkennung oder KI-Assistenten, in die Patientendaten gelangen, sind Auftragsverarbeitung mit allen dazugeh\u00f6rigen Pflichten. Pr\u00fcfen Sie Vertr\u00e4ge, Datenverwendung zu Trainingszwecken, Serverstandort und Schweigepflichtkonformit\u00e4t, bevor Sie solche Werkzeuge einsetzen. Geben Sie keine identifizierbaren Patientendaten in frei verf\u00fcgbare KI-Dienste ein.<\/li>\n<!-- \/wp:list-item --><\/ul>\n<!-- \/wp:list -->\n\n<!-- wp:heading -->\n<h2 class=\"wp-block-heading\">IT-Sicherheit: die Praxis technisch absichern<\/h2>\n<!-- \/wp:heading -->\n\n<!-- wp:paragraph -->\n<p>Datenschutz sagt, was gesch\u00fctzt werden muss. IT-Sicherheit sorgt daf\u00fcr, dass der Schutz tats\u00e4chlich funktioniert. Die gute Nachricht: Mit einem \u00fcberschaubaren Satz von Grundma\u00dfnahmen l\u00e4sst sich das Risiko drastisch senken.<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:heading {\"level\":3} -->\n<h3 class=\"wp-block-heading\">Die zehn wichtigsten Ma\u00dfnahmen<\/h3>\n<!-- \/wp:heading -->\n\n<!-- wp:list {\"ordered\":true} -->\n<ol class=\"wp-block-list\"><!-- wp:list-item -->\n<li><strong>Regelm\u00e4\u00dfige Datensicherung nach der 3-2-1-Regel:<\/strong> Mindestens drei Kopien der Daten, auf zwei verschiedenen Medien, davon eine Kopie getrennt vom Praxisnetz, also offline oder unver\u00e4nderbar. Ein Backup, das im selben Netz liegt, wird bei einem Ransomware-Angriff oft mit verschl\u00fcsselt. Ebenso wichtig: Testen Sie regelm\u00e4\u00dfig, ob sich die Daten tats\u00e4chlich wiederherstellen lassen.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Updates und Patches zeitnah einspielen:<\/strong> Betriebssysteme, Praxissoftware, Browser, Router, Firewall und Drucker brauchen Sicherheitsupdates. Ungepatchte Systeme sind das h\u00e4ufigste Einfallstor.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Starke Passw\u00f6rter und Mehrfaktor-Authentifizierung:<\/strong> Lange Passphrasen statt kurzer Kennw\u00f6rter, kein Passwort f\u00fcr mehrere Dienste, ein Passwortmanager f\u00fcr das Team. Wo immer m\u00f6glich, sollte ein zweiter Faktor aktiviert werden, insbesondere bei Fernzug\u00e4ngen und Cloud-Diensten.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Zugriffsrechte nach dem Prinzip der minimalen Rechte:<\/strong> Jede Person erh\u00e4lt nur die Rechte, die sie f\u00fcr ihre Arbeit braucht. Administratorrechte geh\u00f6ren nicht in den Alltagsbetrieb. Personenbezogene Anmeldungen statt gemeinsamer Zugangsdaten machen Zugriffe nachvollziehbar.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Firewall und Netzwerktrennung:<\/strong> Die Praxis-IT, das G\u00e4ste-WLAN und Medizinger\u00e4te geh\u00f6ren in getrennte Netzwerksegmente. G\u00e4ste und Patienten d\u00fcrfen nie im selben Netz sein wie die Praxisrechner.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Virenschutz und E-Mail-Schutz:<\/strong> Aktueller Schutz auf allen Rechnern, dazu Filter gegen Spam und Phishing. Die meisten Angriffe beginnen mit einer E-Mail.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Verschl\u00fcsselung:<\/strong> Laptops, USB-Sticks, mobile Ger\u00e4te und Backups sollten verschl\u00fcsselt sein. Geht ein Ger\u00e4t verloren, ist das dann in der Regel keine meldepflichtige Datenpanne mehr, weil die Daten unlesbar bleiben.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Sichere Fernwartung:<\/strong> Dienstleister greifen oft aus der Ferne auf Praxissysteme zu. Vereinbaren Sie klare Regeln: Zugriff nur nach Freigabe durch die Praxis, protokolliert, mit eigenen Zugangsdaten und \u00fcber abgesicherte Verbindungen.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Physische Sicherheit:<\/strong> Server und Netzwerktechnik geh\u00f6ren in einen abschlie\u00dfbaren Raum, nicht in den Flur oder unter den Empfangstresen. Bildschirme am Empfang sollten gesperrt werden, sobald man sich entfernt. Eine Bildschirmsperre nach kurzer Zeit ist Pflicht.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Sensibilisierung des Teams:<\/strong> Technik allein reicht nicht. Mitarbeitende sollten Phishing-Mails erkennen, wissen, was sie bei einem Verdacht tun, und keine Hemmungen haben, einen Vorfall sofort zu melden. Ein Team, das offen \u00fcber Fehler spricht, ist sicherer als ein Team, das aus Angst schweigt.<\/li>\n<!-- \/wp:list-item --><\/ol>\n<!-- \/wp:list -->\n\n<!-- wp:image {\"id\":5570,\"sizeSlug\":\"large\",\"linkDestination\":\"none\"} -->\n<figure class=\"wp-block-image size-large\"><img src=\"https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-07-netzwerktrennung-1024x657.png\" alt=\"\" class=\"wp-image-5570\"\/><figcaption class=\"wp-element-caption\">Mehr Sicherheit duch Trennen von IT-Netzwerken.<\/figcaption><\/figure>\n<!-- \/wp:image -->\n\n<!-- wp:heading {\"level\":3} -->\n<h3 class=\"wp-block-heading\">Telematikinfrastruktur und Konnektor<\/h3>\n<!-- \/wp:heading -->\n\n<!-- wp:paragraph -->\n<p>Mit der Telematikinfrastruktur (TI) sind Praxen an ein geschlossenes, besonders abgesichertes Netz des Gesundheitswesens angebunden. Die dezentralen Komponenten wie Konnektor beziehungsweise Zugangsdienst, Kartenterminals sowie Praxis- und Heilberufsausweis haben Laufzeiten und Wartungsanforderungen. Behalten Sie Zertifikatslaufzeiten und Austauschfristen im Blick, lassen Sie Installation und Wartung nur durch zertifizierte Fachleute durchf\u00fchren und ver\u00e4ndern Sie die Konfiguration nicht eigenm\u00e4chtig. Ebenso wichtig: Die TI sch\u00fctzt die Verbindung, nicht den Praxisrechner. Ein infizierter Praxisrechner ist auch im gesch\u00fctzten Netz ein Risiko.<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:heading {\"level\":3} -->\n<h3 class=\"wp-block-heading\">Die elektronische Patientenakte<\/h3>\n<!-- \/wp:heading -->\n\n<!-- wp:paragraph -->\n<p>Die elektronische Patientenakte ist f\u00fcr Arztpraxen seit dem 1. Oktober 2025 verpflichtend zu nutzen und zu bef\u00fcllen. F\u00fcr Praxen, die ihrer Pflicht nicht nachkommen, sind Sanktionen vorgesehen, zum Beispiel Honorark\u00fcrzungen. Wer die Akte bef\u00fcllen will, ben\u00f6tigt ein entsprechendes ePA-Modul in der Praxissoftware.<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Aus Datenschutzsicht sind einige Punkte wichtig. Durch das Einstecken der Gesundheitskarte erh\u00e4lt die Praxis standardm\u00e4\u00dfig f\u00fcr 90 Tage Zugriff auf die Akte. Patienten k\u00f6nnen ihre Akte freiwillig nutzen, einzelne Dokumente verbergen oder dem Zugriff bestimmter Einrichtungen widersprechen. Jugendliche k\u00f6nnen ab 15 Jahren selbst \u00fcber ihre Akte entscheiden. In der Praxis bedeutet das: Das Team sollte die Funktionsweise verstehen und Patienten bei Fragen sachlich informieren, ohne Druck auszu\u00fcben. Dokumentieren Sie, wenn Patienten der Bef\u00fcllung bestimmter Daten widersprechen, und beachten Sie, dass besonders sensible Befunde, etwa zu psychischen Erkrankungen, Schwangerschaftsabbr\u00fcchen oder sexuell \u00fcbertragbaren Krankheiten, besonderer Sorgfalt bed\u00fcrfen. Lassen Sie sich von Ihrem Softwarehersteller und Ihrer Kassen\u00e4rztlichen Vereinigung \u00fcber den jeweils aktuellen Stand informieren, denn die Regelungen werden fortlaufend angepasst.<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:heading {\"level\":3} -->\n<h3 class=\"wp-block-heading\">Notfallplan: Was tun, wenn die IT ausf\u00e4llt?<\/h3>\n<!-- \/wp:heading -->\n\n<!-- wp:paragraph -->\n<p>Ein Notfallplan geh\u00f6rt zu jeder Praxis. Er beantwortet im Voraus die Fragen, die im Ernstfall keine Zeit f\u00fcr Diskussionen lassen:<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:list -->\n<ul class=\"wp-block-list\"><!-- wp:list-item -->\n<li>Wer ist die erste Ansprechperson, und wie ist sie erreichbar, auch wenn das Praxisnetz nicht funktioniert?<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li>Wo liegen die Notfallkontakte (IT-Dienstleister, Softwarehersteller, Datenschutzbeauftragter, Versicherung) in ausgedruckter Form?<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li>Wie l\u00e4uft der Praxisbetrieb auf Papier weiter (Notfallformulare, Rezepte, Terminlisten)?<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li>Wo liegt das Offline-Backup, und wer kann es wiederherstellen?<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li>Wer entscheidet \u00fcber Meldungen an Beh\u00f6rden und Betroffene?<\/li>\n<!-- \/wp:list-item --><\/ul>\n<!-- \/wp:list -->\n\n<!-- wp:paragraph -->\n<p>\u00dcben Sie den Ernstfall einmal im Jahr, zum Beispiel mit einem Ausfall-Szenario in der Mittagspause.<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:heading -->\n<h2 class=\"wp-block-heading\">Die IT-Sicherheitsrichtlinie der KBV: Pflichten nach Praxisgr\u00f6\u00dfe<\/h2>\n<!-- \/wp:heading -->\n\n<!-- wp:paragraph -->\n<p>Niedergelassene \u00c4rztinnen und \u00c4rzte sind gesetzlich verpflichtet, die IT-Sicherheitsrichtlinie der Kassen\u00e4rztlichen Bundesvereinigung umzusetzen. Sie legt Mindestanforderungen fest, die nach der Gr\u00f6\u00dfe der Praxis gestaffelt sind. Grob l\u00e4sst sich die Systematik so beschreiben:<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:list -->\n<ul class=\"wp-block-list\"><!-- wp:list-item -->\n<li><strong>Alle Praxen:<\/strong> Grundlegende Ma\u00dfnahmen wie Virenschutz, Firewall, Updates, Passwortregeln, Datensicherung, Verschl\u00fcsselung mobiler Ger\u00e4te und Schulung.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Mittlere Praxen<\/strong> (grob ab etwa sechs Personen, die st\u00e4ndig mit der Datenverarbeitung befasst sind): Zus\u00e4tzliche Anforderungen, etwa zu Netzwerkabsicherung, Protokollierung und Zugriffssteuerung.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Gro\u00dfe Praxen<\/strong> (grob ab etwa 20 Personen): Weitergehende Anforderungen, unter anderem zu Informationssicherheitsmanagement und Notfallvorsorge.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Zusatzanforderungen<\/strong> gelten f\u00fcr Medizinger\u00e4te und f\u00fcr die dezentralen Komponenten der Telematikinfrastruktur.<\/li>\n<!-- \/wp:list-item --><\/ul>\n<!-- \/wp:list -->\n\n<!-- wp:paragraph -->\n<p>Die genauen Schwellen und Anforderungen entnehmen Sie bitte der aktuellen Fassung der Richtlinie auf der Website der KBV. Dort finden Sie auch eine verst\u00e4ndliche Checkliste, mit der Sie den Stand Ihrer Praxis pr\u00fcfen k\u00f6nnen. Wichtig ist, dass Sie die Umsetzung dokumentieren. Gerade im Streitfall oder bei einer Pr\u00fcfung ist der Nachweis entscheidend.<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:heading -->\n<h2 class=\"wp-block-heading\">NIS-2: Betrifft das auch meine Praxis?<\/h2>\n<!-- \/wp:heading -->\n\n<!-- wp:paragraph -->\n<p>Die europ\u00e4ische NIS-2-Richtlinie soll das Cybersicherheitsniveau in wichtigen Sektoren anheben, darunter das Gesundheitswesen. Deutschland hat sie im Dezember 2025 durch eine \u00c4nderung des BSI-Gesetzes umgesetzt. F\u00fcr die meisten Praxen \u00e4ndert sich dadurch wenig, denn die Pflichten greifen erst ab einer bestimmten Unternehmensgr\u00f6\u00dfe. Als Faustregel gelten grob 50 Besch\u00e4ftigte oder mehr als 10 Millionen Euro Jahresumsatz. Davon sind vor allem Krankenh\u00e4user, gr\u00f6\u00dfere Medizinische Versorgungszentren und gro\u00dfe Praxisverb\u00fcnde betroffen. Eine Einzelpraxis oder eine kleine Gemeinschaftspraxis bleibt in der Regel au\u00dfen vor.<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:image {\"id\":5571,\"sizeSlug\":\"large\",\"linkDestination\":\"none\"} -->\n<figure class=\"wp-block-image size-large\"><img src=\"https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-10-nis2-entscheidungsbaum-1024x640.png\" alt=\"\" class=\"wp-image-5571\"\/><figcaption class=\"wp-element-caption\">Ist NIS-2 f\u00fcr Ihre Praxis relevant?<\/figcaption><\/figure>\n<!-- \/wp:image -->\n\n<!-- wp:paragraph -->\n<p>Wenn Ihre Einrichtung dennoch in den Anwendungsbereich f\u00e4llt, kommen deutlich mehr Pflichten auf Sie zu: Registrierung beim BSI, Risikomanagement, Meldung erheblicher Sicherheitsvorf\u00e4lle in gestuften Fristen (Fr\u00fchwarnung binnen 24 Stunden, n\u00e4here Meldung binnen 72 Stunden, Abschlussbericht nach einem Monat) und eine pers\u00f6nliche Verantwortung der Gesch\u00e4ftsleitung. Auch wenn Sie nicht betroffen sind, lohnt sich ein Blick auf die Inhalte, denn sie beschreiben im Kern sehr gut, was zu einer vern\u00fcnftigen Informationssicherheit geh\u00f6rt. Pr\u00fcfen Sie Ihre Betroffenheit im Zweifel mit fachkundiger Unterst\u00fctzung, da die Abgrenzung im Einzelfall komplex sein kann.<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:heading -->\n<h2 class=\"wp-block-heading\">Datenpanne: Was tun, wenn etwas schiefgeht?<\/h2>\n<!-- \/wp:heading -->\n\n<!-- wp:paragraph -->\n<p>Eine Datenschutzverletzung liegt vor, wenn personenbezogene Daten versehentlich oder unrechtm\u00e4\u00dfig vernichtet, verloren, ver\u00e4ndert, offengelegt oder zug\u00e4nglich gemacht werden. Typische Beispiele aus der Praxis: ein Befund geht an den falschen Empf\u00e4nger, ein Laptop mit unverschl\u00fcsselten Daten wird gestohlen, ein Verschl\u00fcsselungstrojaner legt die Praxis lahm, ein ehemaliger Mitarbeiter greift unbefugt auf Daten zu.<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:heading {\"level\":3} -->\n<h3 class=\"wp-block-heading\">So gehen Sie vor<\/h3>\n<!-- \/wp:heading -->\n\n<!-- wp:list {\"ordered\":true} -->\n<ol class=\"wp-block-list\"><!-- wp:list-item -->\n<li><strong>Ruhe bewahren und den Vorfall stoppen:<\/strong> Betroffene Ger\u00e4te vom Netz trennen, aber nicht ausschalten, wenn dadurch Spuren verloren gehen k\u00f6nnten. Zug\u00e4nge sperren, Passw\u00f6rter \u00e4ndern.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Verantwortliche informieren:<\/strong> Praxisleitung, IT-Dienstleister, gegebenenfalls Datenschutzbeauftragter.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Vorfall dokumentieren:<\/strong> Was ist wann passiert, welche Daten sind betroffen, wie viele Personen, welche Ma\u00dfnahmen wurden ergriffen? Jede Datenpanne muss intern dokumentiert werden, auch wenn sie nicht gemeldet wird.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Risiko bewerten:<\/strong> Besteht ein Risiko f\u00fcr die Rechte und Freiheiten der Betroffenen? Bei Gesundheitsdaten ist dies h\u00e4ufig der Fall.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Meldung an die Aufsichtsbeh\u00f6rde:<\/strong> Besteht ein Risiko, muss die Meldung nach Artikel 33 DSGVO unverz\u00fcglich erfolgen, m\u00f6glichst binnen 72 Stunden nach Bekanntwerden an die zust\u00e4ndige Landesdatenschutzbeh\u00f6rde. Die meisten Beh\u00f6rden bieten daf\u00fcr Online-Formulare an.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Information der Betroffenen:<\/strong> Besteht ein hohes Risiko, etwa weil Diagnosen offengelegt wurden, sind auch die betroffenen Patienten zu benachrichtigen (Artikel 34 DSGVO), in klarer und verst\u00e4ndlicher Sprache.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>Ursachen beheben und lernen:<\/strong> Nach dem Vorfall werden Ma\u00dfnahmen angepasst, damit sich der Fehler nicht wiederholt.<\/li>\n<!-- \/wp:list-item --><\/ol>\n<!-- \/wp:list -->\n\n<!-- wp:paragraph -->\n<p>Wichtig: Ein gemeldeter Vorfall f\u00fchrt nicht automatisch zu einem Bu\u00dfgeld. Aufsichtsbeh\u00f6rden bewerten, ob eine Praxis vorbereitet war und angemessen reagiert hat. Schweigen und Vertuschen sind dagegen die schlechteste Strategie. Erg\u00e4nzend sollten Sie Ihre Cyberversicherung und gegebenenfalls Ihre Berufshaftpflicht pr\u00fcfen und im Ernstfall umgehend informieren, denn Versicherungen verlangen oft kurze Meldefristen und bestimmte Vorsorgema\u00dfnahmen.<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:heading -->\n<h2 class=\"wp-block-heading\">Bu\u00dfgelder, Haftung und die Frage nach dem realistischen Risiko<\/h2>\n<!-- \/wp:heading -->\n\n<!-- wp:paragraph -->\n<p>Die DSGVO sieht bei schweren Verst\u00f6\u00dfen Bu\u00dfgelder von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag h\u00f6her ist. F\u00fcr andere Verst\u00f6\u00dfe gilt ein niedrigerer Rahmen. Diese Zahlen schrecken verst\u00e4ndlicherweise ab, sie bilden aber nicht den Regelfall in Arztpraxen ab. Aufsichtsbeh\u00f6rden ber\u00fccksichtigen Gr\u00f6\u00dfe, Verschulden, Kooperation und getroffene Schutzma\u00dfnahmen. Wer nachweislich ernsthaft Datenschutz betreibt, hat im Fall eines Vorfalls erheblich bessere Karten.<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:paragraph -->\n<p>Daneben kommen weitere Konsequenzen in Betracht: Schadensersatzanspr\u00fcche von Patienten nach Artikel 82 DSGVO, berufsrechtliche Folgen, strafrechtliche Konsequenzen bei Verletzung der Schweigepflicht sowie ein erheblicher Vertrauens- und Reputationsschaden. Der gr\u00f6\u00dfte Schaden entsteht bei einem Cyberangriff oft nicht durch das Bu\u00dfgeld, sondern durch den Praxisstillstand, den Datenverlust und die Wiederherstellungskosten.<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:heading -->\n<h2 class=\"wp-block-heading\">Praktische Checkliste f\u00fcr den Start<\/h2>\n<!-- \/wp:heading -->\n\n<!-- wp:paragraph -->\n<p>Wenn Sie noch am Anfang stehen, gehen Sie schrittweise vor. Diese Reihenfolge hat sich bew\u00e4hrt:<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:list {\"ordered\":true} -->\n<ol class=\"wp-block-list\"><!-- wp:list-item -->\n<li>Bestandsaufnahme: Welche Daten verarbeiten wir, mit welchen Systemen, welche Dienstleister haben Zugriff?<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li>Verzeichnis der Verarbeitungst\u00e4tigkeiten anlegen oder aktualisieren.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li>Vertr\u00e4ge zur Auftragsverarbeitung und Verschwiegenheitsverpflichtungen mit allen Dienstleistern pr\u00fcfen.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li>Backup-Konzept pr\u00fcfen und die Wiederherstellung testen.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li>Updates, Virenschutz, Firewall und Zugriffsrechte \u00fcberpr\u00fcfen.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li>Passwortregeln und Mehrfaktor-Authentifizierung einf\u00fchren.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li>Informationsblatt f\u00fcr Patienten und Datenschutzerkl\u00e4rung der Website aktualisieren.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li>Mitarbeitende schulen und schriftlich verpflichten.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li>Notfallplan und Meldeablauf f\u00fcr Datenpannen erstellen und einmal durchspielen.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li>Die Umsetzung der KBV-IT-Sicherheitsrichtlinie anhand der Checkliste pr\u00fcfen und dokumentieren.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li>Einmal j\u00e4hrlich alles \u00fcberpr\u00fcfen und aktualisieren.<\/li>\n<!-- \/wp:list-item --><\/ol>\n<!-- \/wp:list -->\n\n<!-- wp:image {\"id\":5572,\"sizeSlug\":\"large\",\"linkDestination\":\"none\"} -->\n<figure class=\"wp-block-image size-large\"><img src=\"https:\/\/wwwschutz.de\/blog\/wp-content\/uploads\/abb-11-checkliste-start-1024x611.png\" alt=\"\" class=\"wp-image-5572\"\/><figcaption class=\"wp-element-caption\">Checkliste f\u00fcr mehr IT-Sicherheit in der Arztpraxis.<\/figcaption><\/figure>\n<!-- \/wp:image -->\n\n<!-- wp:heading -->\n<h2 class=\"wp-block-heading\">H\u00e4ufige Missverst\u00e4ndnisse<\/h2>\n<!-- \/wp:heading -->\n\n<!-- wp:list -->\n<ul class=\"wp-block-list\"><!-- wp:list-item -->\n<li><strong>\"Wir sind zu klein, uns greift niemand an.\"<\/strong> Angriffe laufen automatisiert und treffen Praxen jeder Gr\u00f6\u00dfe. Kleine Praxen sind oft sogar leichter zu \u00fcberwinden.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>\"Das macht doch unser IT-Dienstleister.\"<\/strong> Er kann unterst\u00fctzen, die Verantwortung bleibt aber bei der Praxisleitung. Pr\u00fcfen Sie, was vertraglich vereinbart ist und was tats\u00e4chlich umgesetzt wird.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>\"Die TI ist sicher, also sind wir sicher.\"<\/strong> Die TI sch\u00fctzt die Verbindung, nicht Ihre Arbeitspl\u00e4tze, Ihre E-Mail oder Ihr WLAN.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>\"Patienten haben unterschrieben, also ist alles erlaubt.\"<\/strong> Eine Einwilligung ersetzt weder Schutzma\u00dfnahmen noch Transparenz, und sie kann widerrufen werden.<\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><strong>\"Datenschutz verhindert gute Behandlung.\"<\/strong> Das Gegenteil trifft zu: Gut organisierter Datenschutz schafft Vertrauen, und Vertrauen erleichtert die offene Kommunikation, auf die jede Behandlung angewiesen ist.<\/li>\n<!-- \/wp:list-item --><\/ul>\n<!-- \/wp:list -->\n\n<!-- wp:heading -->\n<h2 class=\"wp-block-heading\">Fazit<\/h2>\n<!-- \/wp:heading -->\n\n<!-- wp:paragraph -->\n<p>Datenschutz und IT-Sicherheit in der Arztpraxis sind kein einmaliges Projekt, sondern eine dauerhafte Aufgabe, die zur Praxisorganisation geh\u00f6rt wie Hygiene oder Qualit\u00e4tsmanagement. Die Anforderungen sind zahlreich, aber gut beherrschbar, wenn man sie in kleine Schritte zerlegt: wissen, welche Daten man hat, Verantwortlichkeiten kl\u00e4ren, die wichtigsten technischen Grundma\u00dfnahmen umsetzen, das Team mitnehmen und f\u00fcr den Ernstfall vorbereitet sein. Wer das konsequent tut und dokumentiert, erf\u00fcllt nicht nur die gesetzlichen Pflichten, sondern sch\u00fctzt vor allem das, worum es eigentlich geht: das Vertrauen der Patientinnen und Patienten und die Handlungsf\u00e4higkeit der eigenen Praxis.<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:heading -->\n<h2 class=\"wp-block-heading\">Hinweis<\/h2>\n<!-- \/wp:heading -->\n\n<!-- wp:paragraph -->\n<p>Dieser Artikel dient der allgemeinen Information und ersetzt keine Rechts- oder Datenschutzberatung im Einzelfall. Gesetze, Richtlinien und Fristen im Gesundheitswesen \u00e4ndern sich schnell, insbesondere bei der elektronischen Patientenakte und der NIS-2-Umsetzung. Pr\u00fcfen Sie f\u00fcr verbindliche Aussagen die aktuellen Ver\u00f6ffentlichungen Ihrer Kassen\u00e4rztlichen Vereinigung, der KBV, der \u00c4rztekammer, des BSI und der zust\u00e4ndigen Landesdatenschutzbeh\u00f6rde.<\/p>\n<!-- \/wp:paragraph -->\n\n<!-- wp:heading -->\n<h2 class=\"wp-block-heading\">Quellen und weiterf\u00fchrende Informationen<\/h2>\n<!-- \/wp:heading -->\n\n<!-- wp:list -->\n<ul class=\"wp-block-list\"><!-- wp:list-item -->\n<li><a href=\"https:\/\/www.aerzteblatt.de\/news\/elektronische-patientenakte-bundesweit-gestartet\">Elektronische Patientenakte bundesweit gestartet, Deutsches \u00c4rzteblatt<\/a><\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><a href=\"https:\/\/web.de\/magazine\/gesundheit\/pflicht-e-patientenakte-praxen-aendert-41436424\">Pflicht zur ePA f\u00fcr Praxen, web.de Magazin<\/a><\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><a href=\"https:\/\/netzpolitik.org\/2025\/gesundheitsdigitalisierung-am-limit-warum-es-bei-der-elektronischen-patientenakte-noch-immer-hakt\/\">Gesundheitsdigitalisierung am Limit, netzpolitik.org<\/a><\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><a href=\"https:\/\/www.bundesaerztekammer.de\/fileadmin\/user_upload\/BAEK\/Politik\/Stellungnahmen\/BAEK_SN_NIS-2-Umsetzungs-_und_Cybersicherheitsstaerkungsgesetz_04072025.pdf\">Stellungnahme der Bundes\u00e4rztekammer zum NIS-2-Umsetzungsgesetz<\/a><\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><a href=\"https:\/\/medizinio.de\/blog\/sichere-praxis-it\">Sichere Praxis-IT, \u00dcberblick zu IT-Sicherheitsrichtlinie, NIS-2 und BSI-Bericht, medizinio<\/a><\/li>\n<!-- \/wp:list-item -->\n\n<!-- wp:list-item -->\n<li><a href=\"https:\/\/www.secjur.com\/blog\/nis2-umsetzung\">NIS2-Umsetzung in Deutschland, SECJUR<\/a><\/li>\n<!-- \/wp:list-item --><\/ul>\n<!-- \/wp:list -->","_links":{"self":[{"href":"https:\/\/wwwschutz.de\/blog\/wp-json\/wp\/v2\/posts\/5562","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/wwwschutz.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/wwwschutz.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/wwwschutz.de\/blog\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/wwwschutz.de\/blog\/wp-json\/wp\/v2\/comments?post=5562"}],"version-history":[{"count":3,"href":"https:\/\/wwwschutz.de\/blog\/wp-json\/wp\/v2\/posts\/5562\/revisions"}],"predecessor-version":[{"id":5573,"href":"https:\/\/wwwschutz.de\/blog\/wp-json\/wp\/v2\/posts\/5562\/revisions\/5573"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/wwwschutz.de\/blog\/wp-json\/wp\/v2\/media\/5563"}],"wp:attachment":[{"href":"https:\/\/wwwschutz.de\/blog\/wp-json\/wp\/v2\/media?parent=5562"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/wwwschutz.de\/blog\/wp-json\/wp\/v2\/categories?post=5562"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/wwwschutz.de\/blog\/wp-json\/wp\/v2\/tags?post=5562"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}