DSGVO im Praxisalltag: Was MFA beachten müssen

Hinweis: Dieser Artikel bietet praxisorientierte Informationen und ersetzt keine Rechtsberatung. Verantwortliche Praxisinhaber sollten die konkrete Umsetzung (z. B. AV-Verträge, Löschfristen, TOMs) mit Datenschutzbeauftragten/IT-Sicherheitsdienstleistern abstimmen. Der Inhaber von Praevera Solutions ist selbst TÜV-geprüfter Datenschutzbeauftragter und unterstützt Praxen bei genau dieser Umsetzung.

Die digitale Erfassung von Patientendaten während des Hausbesuchs verhindert Übertragungsfehler und reduziert Doppelarbeit. Doch sobald Gesundheitsdaten die Praxisräume verlassen, steigen die Anforderungen an Datenschutz und IT-Sicherheit deutlich. Für MFA, VERAH®, EVA und NÄPA stellt sich daher die Frage: Wie kann ich mobil arbeiten, ohne die DSGVO zu verletzen?

1) Kurz erklärt: Warum Hausbesuche datenschutzrechtlich besonders anspruchsvoll sind

Bei Hausbesuchen werden regelmäßig Gesundheitsdaten verarbeitet – also eine „besondere Kategorie personenbezogener Daten“. Diese Verarbeitung ist grundsätzlich verboten und nur unter engen Voraussetzungen erlaubt. In der Versorgungspraxis ist häufig die Ausnahme für Behandlung/Versorgung relevant (Art. 9 Abs. 2 lit. h DSGVO), kombiniert mit einer passenden Rechtsgrundlage nach Art. 6 DSGVO.

Praxis-Tipp: Einwilligungen sind nicht automatisch die beste Lösung – im medizinischen Kontext sind andere Rechtsgrundlagen oft passender, stabiler und weniger fehleranfällig.

2) Rollen klären: Praxis, Team, Dienstleister

In fast allen Setups gilt:

Die Praxis ist Verantwortlicher (entscheidet über Zwecke und Mittel der Verarbeitung).
Software-/Hosting-Anbieter ist meist Auftragsverarbeiter → es braucht einen Auftragsverarbeitungsvertrag (AVV) inkl. technischer und organisatorischer Maßnahmen (TOMs).
MFA/VERAH®/EVA/NÄPA arbeiten weisungsgebunden im Auftrag der Praxis und müssen auf Vertraulichkeit/Geheimhaltung verpflichtet sein (insb. bei Gesundheitsdaten).

3) Der Hausbesuch als „Datenschutz-Risikozone“

Vor Ort entstehen viele Daten: Diagnosen, Medikationspläne, Vitalparameter, Assessments – manchmal auch Fotos (z. B. Wunden). Typische Risiken entstehen nicht nur digital, sondern auch organisatorisch: Gespräche im Treppenhaus, Notizen im Auto, offene Displays, ungesicherte Geräte. Deshalb braucht es klare Regeln und wirksame technische Schutzmaßnahmen.

4) Die größten Datenschutz-Fallen im Alltag

Vermeiden Sie unbedingt folgende Praktiken, die in vielen Praxen leider noch vorkommen:

Fotos mit dem privaten Smartphone: Bilder in privater Galerie oder Consumer-Cloud (z. B. automatische Foto-Backups) sind hochriskant.
Consumer-Messenger: Patientennamen, Befunde oder Fotos über ungeeignete Messenger zu senden ist ein häufiger, schwerer Fehler.
Ungesicherte Notizen / „Zettelwirtschaft“: Papier mit Klarnamen im Fahrzeug oder in der Tasche kann verloren gehen oder eingesehen werden.
Offene Bildschirme: Kein Auto-Lock, keine Displaysperre, keine Sichtschutz-Regeln (z. B. im Wartebereich oder Hausflur).
BYOD ohne Regeln: „Bring your own device“ ohne MDM, ohne Trennung privat/beruflich und ohne Löschkonzept ist organisatorisch kaum beherrschbar.

5) Was „DSGVO-konform“ in der Praxis wirklich bedeutet (TOMs)

DSGVO-Konformität ist kein einzelnes Feature, sondern eine Kombination aus Organisation und Technik. Gute Praxis orientiert sich an Schutzzielen (Vertraulichkeit, Integrität, Verfügbarkeit) und an konkreten Maßnahmen – gerade bei mobilen Endgeräten.

A) Geräteschutz (Minimum für Hausbesuche)

Gerätesperre: PIN/Passcode + Biometrie, kurze Auto-Sperre.
Updates: Betriebssystem und App regelmäßig aktualisieren.
Kein Jailbreak/Root: Solche Geräte dürfen nicht für Patientendaten genutzt werden.
Trennung privat/beruflich: Container-/Managed-App-Ansatz oder Dienstgerät statt Privatgerät.

B) Mobile-Device-Management (MDM) & Richtlinie

In vielen Praxis-Setups ist ein MDM sinnvoll bzw. in größeren Praxen faktisch Standard: Geräte registrieren, Richtlinien erzwingen, Apps verwalten, Compliance prüfen und bei Verlust Remote Wipe durchführen.

Remote Wipe / Sperre: Daten aus der Ferne löschen, wenn ein Gerät verloren geht.
Richtlinie „Mobile Geräte“: Verbindliche Regeln: Aufbewahrung, Transport, Nutzung, Verlust-Prozess.
App-Whitelisting: Nur freigegebene Apps in der beruflichen Umgebung.

C) Verschlüsselung – korrekt formuliert

Transportverschlüsselung: Datenübertragung über TLS.
Verschlüsselung ruhender Daten: Daten sind auf dem Gerät/Server verschlüsselt gespeichert (insb. Offline-Fälle).
Optional: Ende-zu-Ende-Verschlüsselung ist möglich, wenn sie technisch wirklich umgesetzt und klar abgegrenzt ist (z. B. für definierte Kommunikationsmodule).

D) Zugriff, Protokollierung, Datenminimierung

Rollen & Rechte: MFA sehen nur, was sie für den Einsatz brauchen (Need-to-know).
Protokollierung: Nachvollziehbarkeit, wer wann auf welche Akte zugegriffen hat (Audit Trail).
Datenminimierung: Nur notwendige Daten mobil, möglichst kurze Offline-Zeiten, automatische Bereinigung.

6) Wie digitale Tools (z. B. MARA Assist) in der Praxis helfen können

Spezialisierte Praxis-Apps sind darauf ausgelegt, typische Fehlerquellen zu vermeiden – vorausgesetzt, sie sind korrekt konfiguriert und organisatorisch eingebettet. Typische Bausteine einer „praxisgerechten“ Lösung:

Geschützte App-Umgebung: Daten verbleiben in der App, statt in systemweiten Ordnern (Galerie/Dateimanager).
Gerätebindung & Login-Schutz: App-PIN/Biometrie, optional 2-Faktor, Sitzungs-Timeout.
Synchronisation & Offline-Regeln: Offline nur wenn nötig; Synchronisation bei sicherer Verbindung; definierte Lösch-/Cache-Strategie.
Hosting/Backend: Serverstandort Deutschland/EU (nach Vertrag), AVV, definierte TOMs, Backups und Berechtigungskonzepte.

Wichtig: DSGVO-Konformität entsteht nicht allein durch „die App“. Entscheidend sind auch: AVV, mobile Geräte-Richtlinie, Schulung, Rollen & Rechte, Löschkonzept und ein klarer Prozess bei Verlust/Incidents.

7) Sonderfall Fotos (z. B. Wunddokumentation) – so bleibt es sicher

Fotos können medizinisch notwendig sein, sind aber datenschutzrechtlich besonders sensibel. Gute Praxis ist:

Keine Privatgeräte und keine Speicherung in Galerie/Cloud-Backups.
Direkt in der Fach-App erfassen (sofern vorgesehen) und nach dem Upload lokal minimieren/löschen.
Zweck klar dokumentieren: Warum ist das Foto erforderlich? Wer bekommt Zugriff?
Übermittlung nur über sichere Kanäle: Keine Consumer-Messenger.

8) Wenn etwas passiert: Verlust, Diebstahl, Fehlversand

Sofort melden: An Praxisleitung/IT/Datenschutzbeauftragten.
Gerät sperren & remote löschen (MDM/Account-Sperre), Passwörter/Token zurücksetzen.
Risiko bewerten & dokumentieren: Welche Daten? Welche Schutzmaßnahmen? War Verschlüsselung aktiv?
Weitere Schritte: Je nach Bewertung können Melde-/Informationspflichten relevant werden (Fristen/Anforderungen sind strikt).

9) Checkliste für den sicheren Hausbesuch (kurz & alltagstauglich)

Dienstgerät oder gemanagtes Gerät? (Kein Privatgerät ohne Regeln.)
Gerätesperre aktiv (Passcode/biometrisch), Auto-Lock kurz eingestellt.
Keine Patientennamen „außen“ (Mappen, Notizbücher, sichtbare Listen).
Bildschirm immer sperren, sobald das Gerät weggelegt wird.
Keine Patientengespräche in Treppenhaus/Aufzug/ÖPNV.
Fotos nur in der Fach-App – nie in Galerie/Cloud.
Nur sichere Kommunikation (freigegebene Kanäle, keine Consumer-Messenger).
Verlust-Prozess bekannt? Wer wird informiert, wie wird gesperrt/gelöscht?

Fazit: Datenschutz ist machbar – mit klaren Regeln und passenden Tools

Mobile Dokumentation muss kein Risiko sein. Wenn Rollen geklärt sind (Verantwortlicher/AV), mobile Geräte professionell abgesichert werden (Richtlinie/MDM/Remote Wipe) und die App korrekt konfiguriert ist (Verschlüsselung, Rechte, Protokollierung), wird Datenschutz zur Routine – auch im Außendienst.

Sicher digital dokumentieren? Jetzt unverbindlich anfragen →