Grundsätzlich geht es darum, sich in einer Praxis mit den nachfolgend aufgeführten Punkten auseinander zu setzen und so gut wie möglich auf die eigenen Praxisgegebenheiten anzupassen. Die DSGVO schreibt diese Maßnahmen nicht im Detail vor, sondern spricht in Art. 32 davon, „Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken … trifft der Verantwortliche geeignete technische und organisatorische Maßnahmen…“

Organisatorische Maßnahmen

Wie sollte der Empfangsbereich der Praxis gestaltet sein?

Der Empfangsbereich sollte so gestaltet sein, dass eine Einsichtnahme auf Bildschirme durch wartende Patientinnen oder Patienten verhindert wird. Für die Zeiträume, in denen der Empfang nicht besetzt ist, kann mit Bildschirmschonern und Passwortsperre gearbeitet werden. Wenn die Räumlichkeiten es ermöglichen, sollte eine Diskretionszone vor dem Empfang eingerichtet werden. Patientinnen oder Patienten, die vor der Rezeption stehen, sollten keinen Einblick auf herumliegende Dokumente im Rezeptionsbereich haben. Es sollten im Rezeptionsbereich keine Telefongespräche geführt werden, wenn Patientinnen oder Patienten mithören können. Vertrauliche Gespräche sollten in einem separaten Raum stattfinden. 
 

Was ist für den Wartezimmerbereich zu beachten?

Das Wartezimmer sollte ein möglichst abgeschlossener Raum sein, um den Wartenden keine Möglichkeit zu geben, Patientengespräche oder Telefonate an der Rezeption mitzuhören. Im täglichen Betrieb sollte darauf geachtet werden, dass die Türe zum Wartezimmer geschlossen ist. Offene Wartebereiche neben der Rezeption sollten vermieden werden.
 

Was ist im Behandlungszimmer oder einem eventuell vorhandenen Besprechungsraum zu beachten?

Bevor eine Patientin oder ein Patient das Zimmer betritt, sollten Karteikarten der vorher behandelten Patientinnen oder Patienten nicht mehr sichtbar herumliegen. Auch die Monitore sollten keine Röntgenbilder oder Akteninhalte der vorher behandelten Patientinnen und Patienten mehr anzeigen. Eine Patientin bzw. ein Patient sollte nach Möglichkeit nicht allein im Zimmer sitzen, um unbefugtes Agieren an PCs (USB Slots, CD, Laufwerke) oder unbefugtes Aufrufen von Daten zu verhindern.
 

Was ist bei der Kommunikation innerhalb der Praxis zu beachten?

Es sollten keine Patientennamen in Gesprächen (sowohl persönlich als auch fernmündlich) erwähnt werden, wenn die Möglichkeit besteht, dass diese Gespräche von Dritten mitgehört werden können.
 

Technische Maßnahmen

Grundsätzlich kann die Landeszahnärztekammer, was die Hard- und Softwareausstattung in den Praxen zur Erfüllung der Vorschriften der EU-DSGVO betrifft, nur allgemeine Empfehlungen geben. Die Umsetzung sollte bei fehlender Kenntnis zusammen mit dem IT Dienstleister durchgeführt werden.
 

Technische Maßnahmen - Software

Wie sollen Daten in der Praxis gesichert werden?

Daten sollten je nach technischen Möglichkeiten zentral über einen Server verwaltet werden. Über diesen Server können Datenzugriffe und Backups einfacher und zuverlässiger verwaltet werden. Es sollte für die Daten in der Zahnarztpraxis ein Sicherungssystem (Backup) installiert sein, um bei einem Datenverlust diese wieder herstellen zu können. Empfehlenswert sind eine tägliche Sicherung, eine wöchentliche und eine monatliche Sicherung auf mehrere transportable Speichermedien. Die Sicherungen sollten verschlüsselt (das bei Verlust des Datenträgers eine Unbefugte bzw. ein Unbefugter keinen Zugriff darauf hat) sein und außerhalb der Praxis aufbewahrt werden. Auch eine Sicherung der Daten in eine Cloud ist möglich. Mit der Nutzung derartiger Cloud-basierter IT-Dienste bezüglich personenbezogener Patientendaten sind derzeit allerdings eine Vielzahl rechtlicher Unsicherheiten verbunden, und zwar sowohl im Hinblick auf das Datenschutzrecht als auch die (zahn)ärztliche Schweigepflicht. Diesbezüglich sei die vom Bundesamt für Sicherheit in der Informationstechnik (BSI) herausgegebene Broschüre „Sichere Nutzung von Cloud-Diensten – Schritt für Schritt von der Strategie bis zum Vertragsende“ (abrufbar unter www.bsi.bund.de) empfohlen.

Was ist beim Einlesen von fremden Wechseldatenträgern (z.B. Fremdröntgenbilder) zu beachten?

Beim Einlesen von externen Wechselmedien (USB-Stick, CD-ROM) sollte vor dessen Benutzung ein Virenprogramm den Datenträger auf Schadsoftware prüfen. Entsprechende Weisungen sollten an die Mitarbeiterinnnen und Mitarbeiter der Praxis gegeben werden. Die Benutzung privat mitgebrachter Wechselmedien auf Praxishardware sollte den Mitarbeiterinnen und Mitarbeitern untersagt sein.
 

Durch welche Maßnahmen sollten die Patientendaten gegen unbefugten Zugriff geschützt werden?

Es sollte sichergestellt werden, dass die Computer, über die ein Zugriff auf Patientendaten erfolgen kann, durch Passwörter gesichert sind. Passwörter dürfen nur den zugriffberechtigten Mitarbeiterinnen und Mitarbeitern der Praxis bekannt sein. Zu bevorzugen ist, dass zugriffsberechtigte Mitarbeiterinnen und Mitarbeiter über ein eigene Passwörter verfügen. So kann auch nachvollzogen werden, wer, wann auf den Datenbestand zugegriffen hat. Passwörter sollten in regelmäßigen Abständen geändert werden. Sobald eine Mitarbeiterin bzw. ein Mitarbeiter aus der Praxis ausscheidet, sollte das entsprechende Passwort für den Zugriff gesperrt werden. Diese Maßnahmen können in das interne QM der Praxis aufgenommen werden.
 

Was ist bei der Nutzung von Software zu beachten?

Sowohl das Betriebssystem als auch die verwendeten Softwareprogramme sollten regelmäßig mit den vom Hersteller bereitgestellten Updates auf dem aktuellsten Stand gehalten werden. Automatisierte Updateroutinen sind zu präferieren, um keine Updates zu vergessen. Soweit im Rahmen der Updates dem Hersteller der Software Einwilligungen zu den Datenübertragungen gegeben werden sollen (z.B. für Microsofts Windows 10 Frühjahrsupdate 2018), ist genauestens zu prüfen, ob diese Datenübermittlungen für die Patientenbehandlung in der Zahnarztpraxis notwendig sind. Grundsätzlich sollten aus einer Arztpraxis keine oder so wenig Daten wie möglich übermittelt werden.
 

Was ist bei der Nutzung von E-Mail-Programmen zu beachten?

Um eine Gefährdung der Praxis-EDV durch E-Mails auszuschließen, empfiehlt das Bundesamt für Sicherheit in der Informationstechnik folgende Maßnahmen:

• ein Virenschutzprogramm, das eingehende und ausgehende E-Mails auf Schadprogramme prüft (neuere Tests in IT-Fachzeitschriften zeigen, dass das im Betriebssystem Windows 10 integrierte Antivirenprogramm Defender ähnlich gute Werte erreicht, wie andere am Markt vertriebene Antivirenprogramme),
• eine Anti-Spam-Software, die unerwünschte E-Mails erkennt und aussortiert,
• eine Anti-Phishing-Software, die Angriffe abwehrt, bei denen die Benutzerin bzw. der Benutzer mittels gefälschter E-Mails dazu verführt wird, vertrauliche oder persönliche Daten preiszugeben, und
• eine Personal Firewall, die alle eingehenden und ausgehenden Verbindungen filtert.

Darüber hinaus wird empfohlen eine E-Mail-Richtlinie zu erstellen, die beschreibt, wie sich Anwenderinnen bzw. Anwender bei der Nutzung von E-Mail zu verhalten haben. Beispielsweise sollten Dateianhänge nicht unbedacht geöffnet werden, um einer Infizierung mit Schadprogrammen vorzubeugen. Oder es kann ein separater, vom Praxisnetz getrennter PC, für E-Mails genützt werden oder alle E-Mails nur von einer speziell geschulten Person geöffnet und bearbeitet werden.
 

Was ist bei der Fernwartung durch den Softwareanbieter zu beachten?

Die Fernwartung durch den Anbieter der Praxisverwaltungssoftware ist vorher mit der Praxis abzustimmen. Die Praxis erteilt dann die Freigabe für den Zugriff und muss die Möglichkeit haben, denn Zugriff jederzeit unterbrechen zu können. Während die Fernwartung durchgeführt wird, sollte möglichst die Tätigkeit der Firma auf dem Computer mitverfolgt werden.
 

Was ist bei der Einrichtung eines Fernzugriffs auf die Praxis-EDV zu beachten?

Bei einem Fernzugriff auf die Praxis-EDV von z. B. zu Hause aus ist auf eine Zwei-Faktor-   Authentifizierung zu achten, um unberechtigte Zugriffe zu vermeiden. Der Zugriff sollte über  eine gesicherte Verbindung (VPN-Tunnel) hergestellt werden.
 

Technische Maßnahmen - Hardware

Was ist bei einem praxisinternen Netzwerk zu beachten?

Der Zugang zum Internet sollte möglichst nur über einen Router mit Firewall erfolgen. Weiter gehende Möglichkeiten sind die Nutzung eines (Proxy) Servers, eines Authentifizierungsverfahrens über den Router oder eines gesonderten PC`s, der die Anbindung des praxisinternen Netzwerkes an das Internet managt und somit für zusätzliche Sicherheit sorgt. Bei der Betreibung eines WLANs in der Praxis sollte darauf geachtet werden, dass das Netzwerk vom eigentlichen Praxisnetzwerk getrennt wird (VLANs) und weiterhin über eine ausreichende Verschlüsselung verfügt (WPA2-Verfahren).
 

Was ist bei der Entsorgung von Patientenunterlagen zu beachten?

Die Vernichtung von Akten ist in der DIN 66399 geregelt. Sie gilt unabhängig davon, auf welchem Medium die Daten gespeichert sind (Papier, CD, DVD, USB-Stick, Röntgenfilm etc.) Die Norm differenziert sich in drei Schutzklassen (1-3) und daraus ergeben sich die Sicherheitsstufen (1-7). Es ist zu empfehlen, Gesundheitsdaten von Patienten der Schutzklasse 3 (Sehr hoher Schutzbedarf für besonders vertrauliche und geheime Daten) und daraus ergebend mindestens der Sicherheitsstufe 4 (Besonders sensible und vertrauliche Daten sowie personenbezogenen Daten, die einem erhöhten Schutzbedarf unterliegen) zuzuordnen.

Bitte beachten Sie diese Vorgaben bei der Anschaffung von Aktenvernichtern.
Bei der Wahl eines Entsorgungsunternehmens sind diese Vorgaben ebenfalls zu berücksichtigen.

Bei der Vernichtung von Modellen ist darauf zu achten, dass Beschriftungen mit Patientennahmen entfernt oder unkenntlich gemacht werden.

Bei der Entsorgung von PC’s (HDD, SSD) ist die Effektivität einer mäßig durchgeführten Löschung umstritten. Auch bei der physischen Zerstörung der Festplatte ist darauf zu achten, dass die Daten wirklich nicht mehr lesbar sind. Es gibt auch zertifizierte Entsorgungsfirmen, die gegen Entgelt Datenträger unlesbar machen und dafür auch haften.

Auch bei der Entsorgung oder Rückgabe von geleasten Druckern ist darauf zu achten, dass im Speicher abgelegt Daten gelöscht werden.
 

Was ist bei der Aufstellung der Hardware zu beachten?

Der Server sollte wenn möglich vor Fremdzugriffen durch einen abschließbaren Serverraum oder einen abschließbaren Serverschrank gesichert sein. Ansonsten sollte er sich zumindest nicht in einem sichtbaren und für die Patientin bzw. den Patienten zugänglichen Bereich befinden.

Auch die Arbeitsstationen sind besser in einem Schrank (aber Achtung: Kühlung ermöglichen) als frei zugänglich aufzustellen. Vorhandene USB Eingänge und CD/DVD Laufwerke sollte hard- oder softwareseitig verriegelt sein.
 

Zurück zur Übersicht über die EU-DSGVO!