Kaufguide · Datenschutz
Eine Anbieter-Prüfliste für AVV, Unterauftragnehmer, Datenstandort, technische und organisatorische Maßnahmen, Rollen, Export und Exit — ohne Marketingbegriffe mit Prüfung zu verwechseln.
Bei Praxissoftware mit Gesundheitsdaten reicht ein „DSGVO-konform“-Badge nicht als Auswahlkriterium. Entscheidend ist, ob Rollen, Verträge, Datenwege und Sicherheitsmaßnahmen konkret dokumentiert und für die eigene Praxis prüfbar sind.
Wenn ein Anbieter Patientendaten im Auftrag der Praxis verarbeitet, sollte die Auftragsverarbeitung einschließlich Gegenstand, Dauer, Datenarten, Pflichten und Weisungsbindung nachvollziehbar geregelt sein. Klären Sie außerdem, welche Verarbeitung der Anbieter gegebenenfalls in eigener Verantwortung durchführt.
Fragen Sie nicht nur nach dem Serverstandort. Relevant sind auch Hosting, E-Mail, Fehlerdiagnose, Support, KI-Dienste und weitere Unterauftragnehmer sowie mögliche Übermittlungen außerhalb des EWR.
Artikel 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau. Für die Produktauswahl sind deshalb konkrete Angaben zu Verschlüsselung, Verfügbarkeit, Wiederherstellung, Zugriffskontrolle, Protokollierung und regelmäßiger Überprüfung hilfreicher als allgemeine Sicherheitsclaims.
Eigene Benutzerkonten, sinnvolle Rollen und Mehrfaktor-Authentifizierung sollten im echten Team-Workflow geprüft werden. Geteilte Logins erschweren sowohl Zugriffsschutz als auch Nachvollziehbarkeit.
Klären Sie Aufbewahrung, Löschfristen, Exportformate und den Zugriff nach Kündigung vor Vertragsabschluss. Ein guter Exit-Plan gehört zur Datenhoheit und reduziert spätere Abhängigkeit vom Anbieter.
Gesundheitsdaten gehören zu den besonders sensiblen Datenkategorien. Welche Maßnahmen im Einzelfall angemessen sind, hängt vom konkreten Verarbeitungsszenario der Praxis ab. Diese Checkliste ersetzt deshalb keine individuelle Datenschutz- oder Rechtsberatung.
AVV, TOMs und Unterauftragnehmerliste anfordern.
Speicherung, Support und Drittanbieter nachvollziehen.
Rollen, MFA und Audit im Testaccount prüfen.
Export und Löschung vor Vertragsabschluss klären.
Praxis als Verantwortliche, MS Nucleus als Auftragsverarbeiter, primäre Patientendaten in Frankfurt und transparente Hinweise zu weiteren technischen Dienstleistern.
02KI-GovernanceCenti trennt strukturierende KI-Unterstützung von fachlichen Entscheidungen und setzt auf nachvollziehbare Herkunft, Review und menschliche Kontrolle.
Unser Trust Center beschreibt Datenverarbeitung und KI-Governance; offene Punkte können im Gespräch konkret gegen Ihre Anforderungen geprüft werden.
Monatlich kündbar · Patientendaten primär in Frankfurt · AVV verfügbar