Das Praxisverwaltungssystem: Zugriffsrechte, Verträge und KI-Module im Herzstück Ihrer Praxis

In der ersten Ausgabe dieser Newsletter-Serie haben wir eine Patientin mit Verdacht auf Meniskusläsion durch die Praxis begleitet und dabei ihre Datenspur verfolgt. Heute halten wir an der Station, an der alle Wege zusammenlaufen: dem Praxisverwaltungssystem. Anamnese, Diagnosen, Befunde, Verordnungen, Arztbriefe, Abrechnung, alles liegt hier. Ob MEDISTAR, x.isynet, ORBIS, Medical Office oder tomedo: Kein anderes System Ihrer Praxis bündelt so viele Gesundheitsdaten. Und gerade weil es so selbstverständlich zum Alltag gehört, geraten die Grundregeln leicht aus dem Blick. Deshalb beginnt unser Rundgang nicht am Anfang der Datenspur, sondern in ihrer Mitte.

Was hier gilt

Die KBV-Zulassung Ihres Systems bestätigt, dass es Abrechnung und Telematikinfrastruktur beherrscht. Wie es in Ihrer Praxis betrieben wird, entscheiden Sie, und dafür tragen Sie auch die Verantwortung. Die DSGVO verlangt, dass Gesundheitsdaten nach dem Stand der Technik geschützt sind. Was das konkret heißt, beschreibt die IT-Sicherheitsrichtlinie der KBV für jede vertragsärztliche Praxis, von Updates bis zur Datensicherung. Hat der Hersteller Zugriff auf Ihre Patientendaten, etwa für Fernwartung oder Cloud-Betrieb, braucht es dafür einen Auftragsverarbeitungsvertrag. So weit der Rahmen. Im Alltag lässt er sich auf drei Punkte herunterbrechen. Dazu kommen zwei Anlässe, bei denen sich ein genauerer Blick lohnt.

Drei Punkte für den Alltag

1. Eigene Logins, passende Rechte. Wer am Empfang arbeitet, braucht Termine und Stammdaten, nicht den OP-Bericht. Die Abrechnung braucht Ziffern und Diagnosen, nicht jeden Befund im Volltext. Das Prinzip ist einfach: Jede Person meldet sich mit eigenem Login an und sieht das, was sie für ihre Aufgabe benötigt. Gemeinsame Zugänge, bei denen sich das ganze Team unter einem Namen anmeldet, sollten Sie ablösen. Denn dann lässt sich nicht mehr nachvollziehen, wer wann welche Akte geöffnet hat. Genau diese Nachvollziehbarkeit erwartet die DSGVO, und sie schützt auch Ihr Team, falls es einmal Nachfragen gibt. Was Sie tun können: Lassen Sie sich von Ihrem Hersteller oder IT-Betreuer die Benutzerliste zeigen und legen Sie für jede Rolle fest, welche Rechte sie braucht. Bei einem kleinen Team ist das schnell erledigt.
2. Zugänge beim Ausscheiden. Die KBV nennt vergessene Zugänge ehemaliger Beschäftigter als typische Schwachstelle in Praxen. Das passiert schnell: Der Vertrag endet, der Schlüssel wird abgegeben, das PVS-Login bleibt bestehen. Dazu kommen oft Zugänge zu Bildarchiv, Terminportal oder KIM-Postfach. Was Sie tun können: Führen Sie eine kurze Liste aller Systeme, in denen Ihr Team Zugänge hat, und haken Sie sie am letzten Arbeitstag ab, zusammen mit der Schlüsselrückgabe. Wechselt jemand intern die Aufgabe, sollten die Rechte entsprechend angepasst werden.
3. Vertrag und Datensicherung. Prüfen Sie, ob der Auftragsverarbeitungsvertrag mit Ihrem PVS-Hersteller vorliegt und noch zu dem passt, was Sie heute nutzen. Läuft Ihr System inzwischen ganz oder teilweise in der Cloud, stellt sich die Frage aus der ersten Ausgabe neu: Wo liegen die Daten, und wer greift darauf zu? Für die Datensicherung genügt eine einfache Regel: regelmäßig und verschlüsselt sichern, eine Kopie außerhalb des Praxisnetzes aufbewahren und einmal im Jahr ausprobieren, ob sich die Sicherung tatsächlich zurückspielen lässt. Falls einmal etwas schiefgeht, ob durch einen Hardwaredefekt oder durch Schadsoftware, ist die Sicherung Ihr Weg zurück in den Normalbetrieb.

Zwei Anlässe für einen genaueren Blick

Wenn Sie das System wechseln. Rund ein Drittel der Praxen denkt laut Zentralinstitut für die kassenärztliche Versorgung über einen PVS-Wechsel nach, viele zögern wegen der Datenübernahme. Wer wechselt, sollte zwei Punkte in den Vertrag schreiben. Die Übernahme muss vollständig sein und sich prüfen lassen, denn Behandlungsdokumentation ist mindestens zehn Jahre aufzubewahren und muss lesbar bleiben. Und hat der bisherige Anbieter Daten bei sich gespeichert, etwa in der Cloud oder in Support-Sicherungen, sollten diese nach der Übernahme gelöscht werden, mit schriftlicher Bestätigung. So bleiben nach dem Wechsel keine Datenbestände zurück, die niemand mehr im Blick hat.

Bevor Sie eine KI-Funktion einschalten. Die Hersteller beginnen, KI-Funktionen in ihre Systeme einzubauen: Arztbriefe aus Stichworten, Zusammenfassungen der Behandlungshistorie, Vorschläge für die Kodierung. Oft kommen sie mit einem Update und sind mit einem Klick aktiviert. Dieser Klick ist der richtige Moment für drei Fragen. Wohin fließen die Daten, deckt der Auftragsverarbeitungsvertrag das ab, und ist ausgeschlossen, dass der Anbieter mit Ihren Patientendaten trainiert? Ist die Funktion im Verarbeitungsverzeichnis erfasst und die Datenschutz-Folgenabschätzung erledigt, die bei KI auf Patientendaten meist nötig ist? Und hat Ihr Team die kurze Schulung erhalten, die der EU AI Act von jeder Praxis erwartet, die KI einsetzt? Für Hilfen beim Schreiben und Dokumentieren ist damit das Wesentliche getan. Anders liegt es, sobald eine Funktion Diagnose oder Therapie unterstützt: Dann gilt sie in der Regel als Medizinprodukt, und der AI Act zählt sie ab August 2028 zu den Hochrisiko-Systemen mit zusätzlichen Pflichten. Und in jedem Fall gilt: Was die KI vorschlägt, ob Arztbrief, Zusammenfassung oder Kodierung, ist ein Entwurf. Sie sollten ihn selbst prüfen und freigeben, bevor er in die Patientenakte übernommen wird, denn die Verantwortung für den Inhalt bleibt bei Ihnen.

Praxis-Check: drei Fragen für diese Woche

1. Arbeitet jedes Teammitglied mit eigenem Login und nur mit den Rechten, die zur jeweiligen Rolle passen?
2. Gibt es eine Liste aller Systeme mit Zugängen, die beim Ausscheiden abgehakt wird?
3. Liegt der Auftragsverarbeitungsvertrag mit Ihrem PVS-Hersteller vor, und wann haben Sie zuletzt eine Sicherung zurückgespielt?

Damit unser Webinar am 14. Oktober genau Ihre Themen trifft, bitten wir Sie auch in dieser Ausgabe um zwei Minuten für drei kurze Fragen:

In der nächsten Ausgabe folgen wir der Datenspur weiter in die elektronische Patientenakte: Befüllpflicht, Widersprüche und was bei TI-Störungen zu tun ist.

Dieser Beitrag ist allgemeine Fachinformation und ersetzt keine Rechtsberatung im Einzelfall.

Quelle: Dieter – Datenschutz