TI-Sicherheit bei gemeinsam genutzter Praxis-IT

In vielen Praxisräumen ist die technische Infrastruktur über Jahre gewachsen. Arbeitsplätze, Netzwerk, Kartenlesegeräte und der Zugang zur Telematikinfrastruktur sind vorhanden und funktionieren. Ändert sich die Organisationsform, liegt daher ein Gedanke nahe: Warum sollte die vorhandene Technik nicht einfach weiter gemeinsam genutzt werden?

Technisch kann eine gemeinsame Infrastruktur unter bestimmten Voraussetzungen möglich sein. Datenschutzrechtlich kommt es jedoch nicht allein darauf an, welche Geräte im selben Raum stehen oder über welche Leitung die Verbindung läuft. Entscheidend ist, ob Patientendaten zuverlässig getrennt bleiben und nur diejenigen Personen darauf zugreifen können, die dazu berechtigt sind.

Gerade bei Praxisgemeinschaften, einer räumlichen Kooperation oder der Trennung bisher gemeinsamer Strukturen sollte die IT deshalb neu bewertet werden. Eine Konfiguration, die für eine Berufsausübungsgemeinschaft passend war, muss nicht automatisch zu zwei rechtlich eigenständigen Praxen passen.

TI-Zugang und Patientendaten sind nicht dasselbe

Die Telematikinfrastruktur, kurz TI, verbindet Praxen mit digitalen Anwendungen des Gesundheitswesens. Dazu zählen beispielsweise das E-Rezept, KIM und die elektronische Patientenakte. Der Anschluss an die TI ist aber nur ein Teil der Praxis-IT. Patientendaten liegen in der Regel im Praxisverwaltungssystem und gegebenenfalls in angebundenen Archiv-, Labor- oder Dokumentationssystemen.

Deshalb sollte nicht nur gefragt werden: „Können beide Praxen denselben TI-Zugang verwenden?“ Die wichtigeren Fragen lauten:

Welche Praxis wird gegenüber der TI eindeutig identifiziert?
Welche Institutionskarten und persönlichen Heilberufsausweise werden eingesetzt?
Welcher Datenbestand ist welchem Verantwortlichen zugeordnet?
Können Beschäftigte ausschließlich die Daten ihrer Praxis einsehen?
Lassen sich Zugriffe und Änderungen eindeutig einer Person und einer Praxis zuordnen?

Eine gemeinsam genutzte technische Komponente darf nicht dazu führen, dass die Grenzen der Praxen im System verschwimmen.

Organisatorische Trennung braucht eine technische Entsprechung

Gesundheitsdaten gehören nach Artikel 9 DSGVO zu den besonders geschützten personenbezogenen Daten. Praxen müssen geeignete technische und organisatorische Maßnahmen treffen, um unter anderem Vertraulichkeit, Integrität und Verfügbarkeit zu gewährleisten. Die IT-Sicherheitsrichtlinie der KBV beschreibt hierfür ein verbindliches Mindestniveau für die vertragsärztliche Versorgung.

Bei rechtlich getrennten Praxen bedeutet das vor allem: Die Trennung auf dem Papier muss sich auch in der Praxissoftware und in den Berechtigungen wiederfinden. Die Hinweise von Bundesärztekammer und KBV zur ärztlichen Schweigepflicht empfehlen bereits bei der Planung der Praxis-EDV, Patientenakten unterschiedlicher Tätigkeitsbereiche getrennt zu führen und vor der Einsichtnahme Unbefugter zu schützen.

Eine bloße interne Absprache reicht dafür nicht aus. Wenn das System allen Mitarbeitenden technisch den Zugriff auf sämtliche Akten erlaubt, bleibt der Zugriff auch dann problematisch, wenn das Team verspricht, nur die „eigenen“ Patientinnen und Patienten aufzurufen.

Fünf Punkte, die vor einer gemeinsamen Nutzung geklärt sein müssen

1. Getrennte Mandanten und Datenbestände

Das Praxisverwaltungssystem sollte die eigenständigen Praxen als getrennte Mandanten abbilden können. Dabei müssen Patientenakten, Termine, Abrechnung, Dokumente und Kommunikationsdaten eindeutig zugeordnet sein. Auch angebundene Systeme wie Laborsoftware, digitales Archiv, Diktierlösung oder Online-Terminvergabe gehören in die Prüfung.

Wichtig ist zudem der Umgang mit früher gemeinsam behandelten Patientinnen und Patienten. Eine bestehende Dokumentation darf nicht einfach kopiert oder beiden Praxen vollständig zugänglich gemacht werden. Für die weitere Nutzung und eine mögliche Übermittlung sind Behandlungszusammenhang, Aufbewahrungspflichten, Rechtsgrundlage und gegebenenfalls die Einwilligung der betroffenen Person zu prüfen.

2. Individuelle Benutzerkonten und passende Rollen

Jede Mitarbeiterin und jeder Mitarbeiter benötigt ein eigenes Benutzerkonto. Sammelzugänge wie „Anmeldung“ oder gemeinsam verwendete Passwörter verhindern eine verlässliche Zuordnung und erhöhen das Sicherheitsrisiko. Die KBV weist ausdrücklich darauf hin, dass gemeinsame Benutzerkonten ebenso problematisch sind wie schwache Passwörter.

Die vergebenen Rechte sollten dem tatsächlichen Aufgabenbereich entsprechen. Wer für Praxis A arbeitet, benötigt grundsätzlich keinen Zugriff auf die Akten von Praxis B. Bei gemeinsam eingesetztem Personal muss genau geregelt und technisch abgebildet werden, in welcher Rolle die Person jeweils tätig ist.

3. Eindeutige Identitäten in der TI

Beim Zugriff auf TI-Anwendungen muss erkennbar bleiben, für welche Praxis und in welcher beruflichen Rolle gehandelt wird. Institutionskarten, elektronische Heilberufsausweise, KIM-Adressen und die Zuordnung im Praxisverwaltungssystem dürfen daher nicht undifferenziert gemeinsam verwendet werden.

Ob vorhandene Komponenten weiter genutzt werden können, hängt von der konkreten Architektur, der Mandantenfähigkeit des Systems und den Vorgaben des jeweiligen Herstellers ab. Das sollte vor der Umstellung mit einem qualifizierten IT-Dienstleister und dem PVS-Anbieter geprüft und dokumentiert werden.

4. Getrennte Netze oder kontrollierte Netzwerkbereiche

Nicht jede Kooperation benötigt zwangsläufig zwei vollständig voneinander unabhängige Leitungen und doppelte Hardware. Ein gemeinsames Netzwerk ohne wirksame Abschottung ist jedoch riskant. Je nach Aufbau können getrennte Netzwerksegmente, restriktive Firewall-Regeln und kontrollierte Freigaben erforderlich sein.

Auch Drucker, Scanner, Netzlaufwerke, Datensicherungen und Fernwartungszugänge verdienen Aufmerksamkeit. Gerade solche gemeinsam genutzten Komponenten schaffen häufig unbemerkte Zugriffswege. Die Firewall und alle Freigaben sollten nach organisatorischen Veränderungen neu konfiguriert und regelmäßig überprüft werden.

5. Klare Verantwortung und schriftliche Vereinbarungen

Jede Praxis bleibt für die Verarbeitung ihrer Patientendaten verantwortlich. Deshalb muss feststehen, wer Systeme betreibt, Berechtigungen vergibt, Protokolle kontrolliert, Updates veranlasst und bei einer Störung oder Datenpanne handelt.

Greift ein externer Dienstleister bei Wartung oder Support möglicherweise auf Patienten- oder Beschäftigtendaten zu, ist regelmäßig ein Vertrag zur Auftragsverarbeitung erforderlich. Nutzen zwei Praxen gemeinsam einzelne Dienste oder entscheiden sie gemeinsam über bestimmte Verarbeitungsvorgänge, muss zusätzlich geprüft werden, welche datenschutzrechtliche Rollenverteilung vorliegt. Diese Einordnung gehört in fachkundige Hände.

Eine organisatorische Zustimmung ersetzt keine Sicherheitsprüfung

Ob eine bestimmte Praxisform zulässig ist oder vertragsärztliche Vorgaben erfüllt, ist eine andere Frage als die datenschutzkonforme Ausgestaltung der IT. Eine organisatorische oder abrechnungsbezogene Zustimmung bedeutet daher nicht automatisch, dass auch jede technische Umsetzung zulässig und sicher ist.

Praxen sollten sich die geplante Konfiguration konkret beschreiben lassen. Aussagen wie „Das funktioniert bei anderen auch“ oder „Beide sitzen schließlich im selben Gebäude“ reichen nicht. Benötigt werden ein nachvollziehbares Berechtigungskonzept, eine dokumentierte Netzstruktur und ein Test, der belegt, dass ein praxisfremder Zugriff tatsächlich ausgeschlossen ist.

Checkliste vor der Umstellung

Vor dem Start sollten die beteiligten Praxen mindestens folgende Fragen mit ihrem IT- und Datenschutzdienstleister klären:

Sind beide Praxen im PVS und in allen angebundenen Systemen sauber getrennt?
Besitzt jede Person ein individuelles Benutzerkonto mit passenden Rechten?
Sind TI-Identitäten, Karten und KIM-Adressen korrekt zugeordnet?
Können Mitarbeitende versehentlich Daten der anderen Praxis suchen, öffnen oder exportieren?
Sind Drucker, Scanner, Netzlaufwerke, Archive und Backups in das Trennungskonzept einbezogen?
Werden Zugriffe protokolliert und regelmäßig kontrolliert?
Sind Wartung, Fernzugriff und Auftragsverarbeitung vertraglich geregelt?
Wurden Datenschutzinformationen und Verzeichnisse von Verarbeitungstätigkeiten angepasst?
Gibt es klare Zuständigkeiten für Sicherheitsvorfälle und Datenpannen?
Wurde die Trennung vor dem Echtbetrieb praktisch getestet und dokumentiert?

Gemeinsam nutzen heißt sauber trennen

Gemeinsame Räume und technische Ressourcen können Kosten und Verwaltungsaufwand reduzieren. Bei eigenständigen Praxen darf daraus jedoch kein gemeinsamer, unkontrollierter Datenraum entstehen. Ausschlaggebend sind eine mandantenfähige Praxissoftware, individuelle Zugänge, korrekt zugeordnete TI-Identitäten, eine abgesicherte Netzwerkarchitektur und klare Verantwortlichkeiten.

Planen Sie eine neue Praxisstruktur oder möchten Sie vorhandene TI-Komponenten gemeinsam nutzen? Lassen Sie die technische Umgebung prüfen, bevor die organisatorische Änderung wirksam wird. Delfs unterstützt Sie dabei, Zugriffe, Komponenten und Abläufe sicher zu konfigurieren und eine tragfähige Lösung für Ihren Praxisalltag zu entwickeln.