Patientendatenschutz in vertragsärztlichen Praxen Auf die Größe kommt es an

Die Kassenärztliche Bundesvereinigung hat nach § 75b SGB V den Auftrag, Anforderungen zur Gewährleistung der IT-Sicherheit in der vertragsärztlichen Versorgung zu regeln. Die umzusetzenden Anforderungen richten sich nach der Größe der Praxis.Die IT-Sicherheitsrichtlinie nach § 75b SGB V legt technische Anforderungen fest und beschreibt das Mindestmaß der zu ergreifenden Maßnahmen.In den Medien prominent diskutierte Datenschutzänderungen, wie das 2015 in Kraft getretene IT-Sicherheitsgesetz oder die europäische Datenschutz-Grundverordnung (DSGVO), sind uns allen sehr präsent. Ebenso das seit 2020 gültige Patientendatenschutzgesetz (PDSG). Nahezu unbemerkt von der Fachöffentlichkeit blieb jedoch eine entscheidende Anpassung des § 75b SGB V: Über das Digitale-Versorgung-Gesetz (DVG) verpflichtete die Legislative die Kassenärztlichen Bundesvereinigungen (KBV) bereits 2019 in Abstimmung mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI), bis zum 30. Juni 2020 eine Richtlinie über die Anforderungen zur Gewährleistung der IT-Sicherheit ihrer Vertragspartner festzulegen. Diese veröffentlichte schließlich das Ärzteblatt am 22. Januar 2021. Grundanforderungen der neuen Richtlinie im ÜberblickDie Regelungen dieser Richtlinie sind abgestuft nach Gefährdungspotenzial und Schutzbedarf: Zunächst wird anhand der Anzahl der Mitarbeitenden, die personenbezogene Daten verarbeiten (klein: bis zu fünf Personen; mittel: zwischen sechs und 20 Personen; darüber hinaus groß), nach jeweiliger Praxisgröße unterschieden. Daneben definiert der neue Paragraf gesonderte Anforderungen für die Nutzung medizinischer Großgeräte sowie von Telematik-Infrastruktur. Allerdings müssen nicht alle Praxen die Anforderungen zur gleichen Zeit erfüllen. Insbesondere Großpraxen erhalten einen Aufschub bis zum 1. Januar 2022. Viele der Grundanforderungen waren bereits zum 1. April 2021 umzusetzen. Für Medizinische Versorgungszentren (MVZ) von Großkliniken dürfte eine wesentliche Ausnahmeregelung besonders relevant sein: Häuser, die bereits angemessene Vorkehrungen getroffen haben, sind von der Richtlinie ausgenommen. Hierunter fallen organisatorische und technische Vorkehrungen nach § 8a Abs. 1 BSIG bzw. branchenspezifische Standards beispielsweise der von vielen Kritis-Häuser angewendete B3S-Standard. Befindet sich ein MVZ im Geltungsbereich dieser Zertifizierung, entfallen also die nachfolgenden Anforderungen. Was bei mobilen Endgeräten zu beachten ist Die Richtlinie orientiert sich dabei stark an der Praxis. Die verschiedenen Abstufungen lassen sich am Beispiel mobiler Endgeräte (z.B. Tablets) gut verdeutlichen: Kleinpraxen müssen SIM-Karten mit einer PIN schützen, eine sichere Grundkonfiguration gewährleisten sowie einen Entsperrcode hinterlegen. Mittelgroße Einheiten sollen zudem eine verbindliche Nutzungsrichtlinie erlassen. Bei Großpraxen hingegen erwartet die gesetzgebende Instanz ein umfassendes Mobile-Device-Management. Die KBV und die Kassenzahnärztliche Bundesvereinigung (KZBV) sollen nicht nur qua Gesetz die Praxen bei der Umsetzung unterstützen, sondern tun dies bereits aktiv. Die KBV hinterlegt beispielsweise auf ihrer Website alle Richtlinien und eine Q&A-Liste. Im Gegensatz zu den Regelungen des IT-Sicherheitsgesetzes sieht weder § 75b SGB V noch die Richtlinie eine Prüfungs- bzw. Nachweispflicht der Praxis vor. Trotzdem handelt es sich keineswegs um einen „zahnlosen Tiger“ – bei einem Datenschutzverstoß kann es zu Strafzahlungen bzw. einem Versagen der Versicherungsleistung kommen, wenn sich die Verantwortlichen ein Organisationsverschulden zuschreiben lassen müssen.

Patientendatenschutz in vertragsärztlichen Praxen Auf die Größe kommt es an

Reimbursement im Überblick

Digitale Gesundheit von A bis Z

Newsletter-Anmeldung