Sensible Daten in sicheren digitalen Händen

© Springer Wien

Die ärztliche Praxis im Jahr 2025 ist digitaler denn je. Patienten bringen ihre e-Card zum Termin mit, der Medikamentenplan wird per Mausklick aktualisiert, Befunde landen direkt in die Elektronische Gesundheitsakte (ELGA) und im Hintergrund fließen Gesundheitsdaten durch ein hochkomplexes Netz aus Servern, Schnittstellen und Anwendungen. Doch mit der Digitalisierung wachsen auch die Herausforderungen.

In der Europäischen Union wird Datenschutz großgeschrieben. Die EU-Datenschutz-Grundverordnung legt fest: Je wertvoller und privater Daten sind, desto mehr müssen sie geschützt werden. Und das heißt: Patientendaten genießen den höchsten Schutz. Verantwortlich dafür ist der Praxisinhaber. Daraus folgt: Diese Fragen betreffen nicht nur IT-Experten – sie betreffen jede niedergelassene Ärztin und jeden niedergelassenen Arzt. Im Folgenden wird ein praxisorientierter Überblick darüber gegeben, was die Gesetze verlangen. Und darüber, wie man sich in der Ordination darauf einstellen muss. Grundlage dafür ist das Gesundheitstelematikgesetz (GTelG).

Was verlangt das Gesundheitstelematikgesetz?

Das Gesundheitstelematikgesetz schafft den gesetzlichen Rahmen für die digitale Kommunikation im Gesundheitswesen. Es gilt für alle, die Gesundheitsdaten elektronisch verarbeiten – und somit auch für jede Arztpraxis. Das Gesetz verfolgt drei Ziele:

• Schutz der Patientendaten vor unbefugtem Zugriff
• Förderung des Datenaustausches zwischen verschiedenen medizinischen IT-Systemen
• Sicherstellung der Verfügbarkeit und Integrität medizinischer Informationen

Für die Praxis bedeutet das: Wer digitale Systeme nutzt – sei es für die Dokumentation, die Terminverwaltung oder die Kommunikation mit Apotheken –, muss diese gesetzeskonform betreiben. Das betrifft sowohl die Auswahl der Software als auch die organisatorischen Abläufe in der Ordination.

Mircosoft 365 und Co. sind in der Ordination tabu

In den USA haben Gerichte und Geheimdienste praktisch freien Zugang auf alles, was sich in den Cloudspeichern von US-basierten IKT-Unternehmen befindet – also Microsoft, Apple, Google, und viele kleinere andere. Der US Cloud Act erlaubt amerikanischen Behörden, auch auf Daten europäischer Nutzer zuzugreifen – ein klarer Verstoß gegen das europäische Datenschutzverständnis.

Für Arztpraxen heißt das: US-basierte Cloudanbieter sind für die Verarbeitung medizinischer Daten nicht geeignet. Selbst wenn die Server in Europa stehen, genügt das nicht. Die US-Gesetze verpflichten die Cloudanbieter nämlich auch dann zur Auskunft.

Daraus folgt: Medizinische Daten dürfen nur in Datenspeichern von europäischen Anbietern mit Sitz in der EU gespeichert werden. Diese müssen der Datenschutz-Grundverordnung entsprechen. In der Praxis hat sich die Nextcloud bewährt. Viele europäische Praxissoftware-Anbieter verwenden sie (mehr unter https://nextcloud.com/de).

Welche Software darf ich verwenden?

Nicht jede Praxissoftware ist mit dem Gesundheitstelematikgesetz vereinbar. Empfehlenswert sind daher Anbieter, die explizit für den österreichischen Gesundheitsmarkt entwickelt wurden und folgende Kriterien erfüllen:

• Standort der Server in der EU – und idealerweise in Österreich
• Nachweisbare und zugesicherte DSGVO- und GTelG-Konformität
• ELGA-Kompatibilität
• Versprechen langfristiger Wartung und Unterstützung

Solche bewährten Anbieter hierzulande sind PROMEDOX (nur für Apple), offisy, Latido, CompuGroup Medical oder Medatixx. IT-Dienstleister wie IT United oder Datadus bieten zudem spezialisierte Unterstützung bei der Implementierung.

Hinweis: Die Wiener Ärztekammer stellt auf ihrer Website https://bit.ly/Ordi-Software eine lange Liste von Anbietern von DGSVO-konformer Software für verschlüsselte elektronische Kommunikation und für Videotelefonie bereit. Die Liste findet man auf der Startseite am rechten Rand unter dem Titel „DSGVO Produkte Verschlüsselte Mails.pdf“.

Sicherheitsmaßnahmen für den Datenschutz

Das Gesundheitstelematikgesetz schreibt eine Reihe von Sicherheitsmaßnahmen vor, die jede Ordination erfüllen muss. Es geht einerseits um die IT-Technik und andererseits auch um den Umgang des Ordinationsteams mit Daten. Zu den technischen Schutzmaßnahmen gehören:

• Verschlüsselung von Datenträgern und Datenübertragungen
• Zugriffs- und Berechtigungssysteme
• Protokollierung aller Zugriffe auf Gesundheitsdaten
• Regelmäßige Software-Updates und Sicherheits-Patches
• Backups mit sicherer Aufbewahrung

Es genügt aber nicht, dass die IT-Hardware und die Cloud den gesetzlichen Anforderungen entsprechen. Praxisinhaber müssen auch dafür sorgen, dass ihre Mitarbeiterinnen und Mitarbeiter wissen, was in Sachen Datenschutz zu tun ist:

• Kein gemeinsames Passwort für alle in der Ordination! Jeder Mitarbeiter, jede Mitarbeiterin muss über einen persönlichen Usernamen und ein nur ihm oder ihr bekanntes Passwort verfügen.
• Passwörter müssen häufig gewechselt werden – und dann nicht bloß durch Auswechseln eines Buchstabens …
• Alle Mitarbeitenden müssen in Vertraulichkeitserklärungen bestätigen, dass sie darüber informiert wurden, was Datenschutz in der Praxis bedeutet.
• In regelmäßigen Schulungen muss überprüft werden, ob im Ordinationsteam noch allen klar ist, was in Sachen Datenschutz zu tun ist.
• Wichtig ist auch das regelmäßige Update aller Softwareprogramme in der Ordination. Von Kriminellen erkannte Schwachstellen können dazu führen, dass diese die Ordinations-Software ausspähen.
• In einer Checkliste sollen die Mitarbeitenden der Ordination täglich daran erinnert werden, was in Sachen Datenschutz zu beachten ist. Diese Checkliste sollte am besten an einem Ort ausgehängt werden, an dem jeder und jede jeden Tag vorbeikommen.

Fazit: Verantwortung ernst nehmen, Chancen nutzen

Die Gesundheitstelematik ist kein Selbstzweck, sondern eine Voraussetzung für eine moderne, qualitativ hochwertige medizinische Versorgung. Sie bietet große Chancen – etwa in der Arzneimittelsicherheit, in der Versorgungskontinuität oder beim schnellen Informationsaustausch. Gleichzeitig ist sie mit Verantwortung verbunden: für den Schutz sensibler Patientendaten, für die Auswahl geeigneter IT-Partner und für die Schulung des Teams.

Wer das Gesundheitstelematikgesetz ernst nimmt, schützt nicht nur sich selbst vor rechtlichen Risiken, sondern vor allem das Vertrauen der Patientinnen und Patienten – und genau dieses Vertrauen ist die Grundlage jeder medizinischen Tätigkeit.

Statista-Grafik „Durchschnittliche Kosten von Datenlecks weltweit nach Branchen in den Jahren 2023 und 2024“:
https://de.statista.com/statistik/daten/studie/1196727/umfrage/durchschnittliche-kosten-von-datenlecks-weltweit-nach-branchen/
 

Bericht: Josef Broukal