ePraxis Digital

News

PVS auslagern: Was trotzdem Aufgabe der Praxis bleibt

Ein Cloud-PVS kann technischen Betriebsaufwand verlagern. Vor dem Vertrag sollten Praxen C5-Nachweis, Kundenkriterien, Datenrückgabe, Notbetrieb und eigene Zugänge klären.

Veröffentlicht
Fachlich geprüft
Von
Derek
Geprüft von
Karim Winter, Miriam Seidel, Henrik Dahl

Dieser Artikel wurde mithilfe generativer KI automatisch aus Fremdquellen zusammengefasst, überarbeitet, ergänzt oder aktualisiert und noch nicht von einem Menschen redaktionell geprüft oder freigegeben. Er kann Fehler enthalten. Mehr zu unserem Umgang mit KI.

Ein Cloud-PVS kann Serverbetrieb, Updates und Datensicherung aus der Praxis verlagern. Der Anbieter übernimmt die vereinbarten technischen Leistungen. Bei der Praxis bleiben insbesondere Auswahl und Kontrolle des Dienstes, die Sicherheit der eigenen Geräte und Zugänge sowie eine belastbare Notfallplanung.

Die naheliegende Rechnung lautet: Server raus, Verantwortung raus. Tatsächlich kann der physische Serverbetrieb beim Anbieter liegen. Nach Darstellung der Kassenärztlichen Bundesvereinigung (KBV) bleibt die Praxis jedoch für den Schutz der Patientendaten sowie für ihre eigenen Geräte und Zugänge verantwortlich. Eigene gesetzliche und vertragliche Pflichten des Anbieters bleiben davon unberührt.

Was C5 belegt – und was nicht

Paragraf 393 SGB V setzt für die Verarbeitung von Gesundheits- und Sozialdaten in der Cloud mehrere Sicherheitsanforderungen. Das Bundesgesundheitsministerium erläutert: Seit 1. Juli 2025 ist grundsätzlich ein aktuelles C5-Typ2-Testat für die eingesetzten Cloud-Systeme und die zugrunde liegende Technik erforderlich. Unter den gesetzlichen Voraussetzungen sind auch bestimmte alternative Testate oder Zertifikate zulässig. Die Praxis muss außerdem die für sie einschlägigen Kundenkriterien aus dem Prüfbericht umsetzen.

Ein C5-Testat bewertet Sicherheitskontrollen des Cloud-Dienstes. Es belegt weder die fachliche Qualität des PVS noch garantiert es eine bestimmte Verfügbarkeit.

Fünf Prüfpunkte vor dem Vertrag

  1. Sicherheitsnachweis: Welches aktuelle C5-Testat oder welcher nach Paragraf 393 SGB V zulässige alternative Nachweis liegt vor? Welche C5-Kundenkriterien muss die Praxis erfüllen?
  2. Verarbeitung und Zugriff: In welchem nach Paragraf 393 Absatz 2 SGB V zulässigen Staat werden die Daten verarbeitet? Verfügt die datenverarbeitende Stelle über eine Niederlassung in Deutschland, wer kann zugreifen und wie ist die Auftragsverarbeitung geregelt?
  3. Datenrückgabe: In welchem Format, zu welchen Kosten und innerhalb welcher Frist erhält die Praxis ihre Daten bei Anbieterwechsel, Kündigung oder Geschäftsaufgabe des Anbieters zurück?
  4. Ausfallbetrieb: Welche Verfügbarkeit und Wiederherstellungszeiten sind vereinbart, und welches Notbetriebsverfahren ist dokumentiert? Dabei sollten auch lokale TI-, Bildgebungs- oder CAD/CAM-Schnittstellen berücksichtigt werden, soweit die Praxis sie nutzt.
  5. Eigene Zugänge: Wie schützt die Praxis ihre Endgeräte, Konten und Zugänge – etwa durch aktuelle Sicherheitsupdates, restriktive Rechte und Mehrfaktor-Authentifizierung?

Die praktische Konsequenz

Ein Cloud-PVS kann Serverarbeit abnehmen. Die Praxis muss Zuständigkeiten mit dem Anbieter jedoch festlegen und kontrollieren. Sicherheitsnachweis, Vertrag, Ausstiegsszenario und eigene Zugangssicherheit müssen zusammen betrachtet werden.

Diese Einordnung ersetzt keine individuelle rechtliche oder datenschutzrechtliche Beratung.

Quellen