In diesem Ratgeber
Praxis-Check
Vier Schritte, mit denen Sie beginnen können
Alle Fernwartungswege und verwendeten Administratorzugänge inventarisieren.
Zugriffsberechtigungen, Vertragsrolle, Vertraulichkeit und Unterauftragnehmer klären.
MFA, Freigabe je Sitzung, Aufsicht und Protokollierung risikogerecht einrichten.
Entzug alter Zugänge, Incident-Meldungen und Support ohne Patienteneinsicht testen.
Der typische Fall: Der Support braucht Zugriff auf das PVS
Ein Softwareproblem darf nicht dazu führen, dass Dritte freie Sicht auf ganze Patientenakten erhalten. Prüfen Sie zunächst, ob das Problem über eine Testumgebung, geschwärzte Beispieldaten oder eine Bildschirmfreigabe ohne Akteninhalte gelöst werden kann.
Wenn Einsicht in Gesundheitsdaten zur Hilfeleistung erforderlich werden kann, braucht sie eine tragfähige rechtliche und organisatorische Absicherung. Die konkrete Rolle des Dienstleisters entscheidet auch darüber, ob ein AV-Vertrag nötig ist.
Berechtigungen und Protokolle vorbereiten
Diese Mindestfragen gehören in das Supportkonzept:
- Wer darf Fernwartung starten und wer muss sie freigeben?
- Sind individuelle Konten und Mehrfaktor-Authentisierung eingerichtet?
- Welche Systeme und Daten darf der Dienstleister tatsächlich sehen?
- Wird die Sitzung risikogerecht protokolliert und der Zugriff nach Ende beendet?
- Sind Notfallzugänge besonders abgesichert und überprüfbar?
Datenschutz und § 203 StGB getrennt prüfen
Für Auftragsverarbeitung gelten die Regeln des Art. 28 DSGVO. Daneben dürfen berufliche Geheimnisse nur im rechtlich zulässigen Rahmen offenbart werden. § 203 StGB enthält Regelungen für mitwirkende Personen und die erforderliche Geheimhaltung. Auch Unterauftragnehmer des IT-Dienstleisters können relevant sein.
Die KBV-IT-Sicherheitsrichtlinie konkret berücksichtigen
Die IT-Sicherheitsrichtlinie nach § 390 SGB V stellt abhängig von Praxisgröße und Ausstattung konkrete Anforderungen. Unter anderem müssen externe IT-Personen auf die einschlägigen Regeln verpflichtet und bei kurzfristiger beziehungsweise einmaliger Tätigkeit beaufsichtigt werden. Dokumentieren Sie, wie die Praxis diese Anforderungen tatsächlich erfüllt.
Wie man den Dienstleisterwechsel sicher abschließt
Beim Wechsel sollten Fernwartungstools, Administratorpasswörter, technische Zertifikate und Zugangsberechtigungen überprüft und soweit erforderlich entzogen oder erneuert werden. Ergänzen Sie eine Übergabeliste mit Verantwortlichen, Terminen und einem Test der verbleibenden Zugangswege.
Quellen & Rechtsgrundlagen
Grundlagen dieses Beitrags, geprüft zum angegebenen Stand. Gesetze und behördliche Hinweise können sich ändern; maßgeblich bleibt Ihre konkrete Verarbeitung.
Dieses Fachjournal ist ein Informationsangebot des Instituts für Datenschutz im Gesundheitswesen, das zugleich entgeltliche Datenschutzberatung anbietet. Die Beiträge dienen der datenschutzfachlichen und organisatorischen Orientierung und ersetzen keine anwaltliche Rechtsberatung im Einzelfall. Die Verantwortung für die Verarbeitung verbleibt bei Ihrer Einrichtung. Für die erste Anfrage genügen Angaben zum Anliegen; bitte keine Patientenakten über das öffentliche Kontaktformular übermitteln.