Cloudwechsel in der Zahnarztpraxis: Ein Fall mit Rechnung
Der Beitrag spielt den Wechsel eines Cloud-Dienstleisters in einer Zahnarztpraxis durch. Anhand einer Beispielrechnung zeigt er, welche Dokumentationsänderungen vor Freigabe, Umstellung und Vertragsende nachweisbar sein müssen.
Eine Zahnarztpraxis ersetzt ihren bisherigen Cloud Dienst für die Praxisverwaltung durch einen neuen Anbieter. Der Anlass ist zunächst kaufmännisch, die neue Rechnung liegt vor. Datenschutzrechtlich ist der Vorgang jedoch erst abgeschlossen, wenn die Entscheidung, die Datenübernahme und das Ende beim bisherigen Dienstleister nachvollziehbar dokumentiert sind.
Dieses Praxisbeispiel folgt einer Akte, die eine externe Datenschutzbeauftragte für die Praxis prüffähig aufbaut. Maßstab ist nicht, ob einzelne Unterlagen irgendwo vorhanden sind. Maßstab ist, ob Rechnung, Vertrag, Verzeichnis von Verarbeitungstätigkeiten, technische Prüfung und Löschvorgang dieselbe Verarbeitung beschreiben und zeitlich zusammenpassen. Hinweise des Autors dieses Magazins ersetzen dabei keine Prüfung des konkreten Vertragswerks.
Der Ausgangsfall beginnt mit einer neuen Rechnung für die Praxissoftware
Die Praxis erhält ein Angebot beziehungsweise eine Rechnung für die neue cloudbasierte Praxissoftware: zwölf Monatslizenzen zu jeweils 49 Euro netto und eine einmalige Datenmigration zu 480 Euro netto. Die Lizenzposition betrifft den fortlaufenden Betrieb, die Migration ist ein gesonderter Verarbeitungsvorgang. Beide Positionen gehören zur Entscheidungsakte, weil sie Leistungsumfang und Zeitpunkt der beabsichtigten Umstellung belegen.
Die Rechnung beweist allerdings nicht, dass die Datenverarbeitung datenschutzrechtlich freigegeben ist. Sie kann nur den Anlass für die Prüfung markieren. Vor Bestellung oder spätestens vor einer Datenübertragung muss die Praxis klären, welche Daten in die neue Umgebung gelangen, welche Personen Zugriff erhalten und ob der Anbieter tatsächlich im Auftrag handelt.
Rechnung in einen prüfbaren Vorgang übersetzen
Die Datenschutzbeauftragte legt deshalb einen Vorgang „Wechsel Praxisverwaltung Cloud“ an. Darin werden Rechnungsdatum, Leistungsbeschreibung, vorgesehener Starttermin und die verantwortliche Entscheidung der Praxisleitung festgehalten. Die Migrationsleistung wird nicht nur als Kostenpunkt erfasst, sondern als Anlass für eine eigene Freigabe.
Für die Akte ist außerdem wichtig, ob die Datenübernahme durch den neuen Anbieter, einen eingebundenen Unterauftragnehmer oder durch Beschäftigte der Praxis erfolgt. Davon hängen Vertragstext, Zugriffsprüfung und die Beschreibung der Empfänger ab. Ist der Leistungsumfang aus der Rechnung zu ungenau, fordert die Praxis eine Leistungsbeschreibung an, statt Vermutungen in das Verzeichnis zu schreiben.
Patientendaten sind besondere Kategorien personenbezogener Daten
Behandlungsdaten, Befunde, Röntgenbilder, Terminangaben mit Behandlungsbezug und Abrechnungsdaten können Gesundheitsdaten sein. Gesundheitsdaten zählen nach Artikel 9 Absatz 1 Datenschutz Grundverordnung, DSGVO, zu besonderen Kategorien personenbezogener Daten. Die Einordnung folgt dem Inhalt und dem Verarbeitungszweck, nicht allein der Bezeichnung eines Datenfeldes.
Im Verzeichnis sollte die Tätigkeit in diesem Fall etwa als „Praxisverwaltung, Patientenbehandlung und Abrechnung“ geführt werden, sofern sie tatsächlich so organisiert ist. Die Praxis dokumentiert dabei getrennt von der bloßen Softwarebezeichnung den Zweck, die betroffenen Personengruppen und die Kategorien personenbezogener Daten. Zur Verarbeitung können neben Patienten auch Beschäftigten oder Ansprechpartnerdaten gehören, wenn die Anwendung diese Daten verarbeitet.
Die besondere Sensibilität ändert nicht die Pflicht, die Rechtsgrundlage jeder einzelnen Behandlung pauschal im Verzeichnis zu wiederholen. Sie verlangt aber eine sorgfältige Beschreibung der Verarbeitung und angemessene Schutzmaßnahmen. Die Praxis sollte insbesondere nicht annehmen, eine Cloud Speicherung sei wegen einer wirksamen Behandlungsdokumentation automatisch ohne weitere Prüfung zulässig.
Die Tätigkeit bleibt, die Ausgestaltung ändert sich
Der Wechsel zu einem Cloud Anbieter ist häufig keine völlig neue Haupttätigkeit. Praxisverwaltung bleibt Praxisverwaltung, doch Empfänger, eingesetztes System, Übertragungsweg, Speicherort und Sicherheitsmaßnahmen können sich ändern. Genau diese Änderungen müssen im VVT Zahnarztpraxis erkennbar sein. Eine allgemeine Formulierung wie „Cloud Anbieter“ ist als Nachweis regelmäßig zu unbestimmt.
Vor Vertragsabschluss wird die Rolle des Cloud-Anbieters geprüft
Verarbeitet der Cloud Anbieter Patientendaten ausschließlich nach dokumentierten Weisungen der Praxis und nicht für eigene Zwecke, handelt er grundsätzlich als Auftragsverarbeiter. Dann ist ein Vertrag über Auftragsverarbeitung nach Artikel 28 Absatz 3 DSGVO erforderlich. Die Praxis bleibt Verantwortliche und kann ihre Rechenschaftspflicht nicht auf den Dienstleister verlagern.
Die Prüfung beginnt mit dem tatsächlichen Leistungsmodell. Nutzt der Anbieter Daten etwa für eigene Analyse, Produktentwicklung oder eigene Zwecke, kann die Rollenverteilung anders ausfallen. Vertragsüberschriften sind kein ausreichender Beleg. Die Praxis dokumentiert daher die Begründung ihrer Einordnung anhand von Leistungsbeschreibung, Datenschutzunterlagen und Vertragsklauseln.
Der Auftragsverarbeitungsvertrag muss den Einsatz tragen
Der Vertrag nach Artikel 28 Absatz 3 DSGVO muss unter anderem Gegenstand und Dauer der Verarbeitung, Art und Zweck, Datenarten, Kategorien betroffener Personen sowie die Pflichten und Rechte der Verantwortlichen festlegen. Er muss zudem Regelungen zu Weisungen, Vertraulichkeit, technischen und organisatorischen Maßnahmen, Unterauftragsverarbeitern, Unterstützungspflichten, Prüfungen sowie Rückgabe oder Löschung enthalten. Die Praxis legt die unterzeichnete Fassung ab, nicht nur ein unverbindliches Muster.
Stehen Verarbeitung oder Fernzugriffe in einem Drittland außerhalb des Europäischen Wirtschaftsraums im Raum, prüft die Praxis zusätzlich Kapitel V DSGVO. Sie hält fest, welche Länder und Empfänger betroffen sind, auf welches Übermittlungsinstrument sie sich stützt und welche zusätzlichen Angaben der Anbieter bereitstellt. Der bloße Hinweis auf europäische Server beantwortet diese Frage nicht zwingend, wenn Support oder Administration anderswo erfolgen.
Für das Nachziehen eines neuen Dienstleisters hilft der Beitrag Neuen Auftragsverarbeiter im Verzeichnis richtig nachziehen. Im konkreten Fall bleibt jedoch der individuelle Vertrag maßgeblich, insbesondere bei Unterauftragsverarbeitern und internationalen Zugriffsmöglichkeiten.
Das Verzeichnis erhält den neuen Empfänger und die geänderte Verarbeitung
Artikel 30 Absatz 1 DSGVO verlangt ein Verzeichnis der Verarbeitungstätigkeiten des Verantwortlichen. Nach der Freigabe, jedoch vor dem produktiven Start, aktualisiert die Praxis den Eintrag zur Praxisverwaltung. Sie versieht die neue Version mit einem Stand und bewahrt die vorherige Fassung in der Freigabeakte auf. So lässt sich später erklären, was zu welchem Zeitpunkt galt.
Der Eintrag muss nicht den Vertrag abschreiben. Er muss aber die tatsächliche Verarbeitung ausreichend konkret abbilden. Dazu gehört der neue Cloud Anbieter als Empfänger oder Empfängerkategorie, soweit Artikel 30 Absatz 1 Buchstabe d DSGVO dies verlangt. Soweit der alte Anbieter nach dem Umstellungstermin noch Daten vorhält, darf er nicht aus der Dokumentation verschwinden, bevor Rückgabe oder Löschung nachgewiesen sind.
Änderungsprotokoll zum VVT Eintrag
- Datenkategorien prüfen: Stammdaten, Behandlungsdaten, Befunde, Bilddaten, Abrechnungsdaten und sonstige tatsächlich übertragene Inhalte.
- Empfänger und gegebenenfalls Unterauftragsverarbeiter anhand der aktuellen Vertragsunterlagen abgleichen.
- Speicherfristen und Löschregeln prüfen, weil technische Verfügbarkeit, Sicherungen und gesetzliche Aufbewahrungspflichten auseinanderfallen können.
- Drittlandübermittlungen einschließlich möglicher Fernwartung ergänzen, wenn sie tatsächlich vorliegen.
- Die Angaben zu technischen und organisatorischen Maßnahmen, TOM, auf den neuen Dienst aktualisieren.
Bei Speicherfristen darf die Praxis keine pauschale Cloud Frist mit der Aufbewahrung der Behandlungsdokumentation verwechseln. Fachrechtliche und steuerrechtliche Pflichten können je nach Datenart und Einzelfall unterschiedliche Anforderungen begründen. Das Verzeichnis verweist deshalb nachvollziehbar auf das einschlägige Löschkonzept und die dort dokumentierten Auslöser.
Wer bisher mit fortgeschriebenen Word Dateien arbeitet, sollte Versionsstände und Änderungsgründe besonders diszipliniert sichern. Welche Risiken dabei entstehen und welche Alternativen es gibt, erläutert Word, Excel oder Software: Wege zum aktuellen Verzeichnis.
Die TOM-Prüfung umfasst Zugriff, Übertragung und Wiederherstellung
Artikel 32 Absatz 1 DSGVO verlangt unter Berücksichtigung von Risiko, Stand der Technik, Implementierungskosten sowie Art, Umfang, Umständen und Zwecken der Verarbeitung geeignete technische und organisatorische Maßnahmen. Bei Gesundheitsdaten muss die Praxis daher nicht mit einem Werbeversprechen des Anbieters vorliebnehmen. Sie dokumentiert ihre risikobezogene Prüfung der verfügbaren Informationen.
Die TOM Prüfung betrachtet mindestens Zugangskontrolle, Zugriffskontrolle und die Trennung von Berechtigungen. Sie klärt, wie sich Beschäftigte anmelden, ob Mehrfaktorverfahren vorgesehen sind, welche Rollen etwa Anmeldung, Behandlung und Administration erhalten und wie Rechte bei Eintritt, Wechsel oder Austritt angepasst werden. Auch administrative Zugriffe des Anbieters und deren Protokollierung gehören in die Prüfung.
Migration und laufender Betrieb getrennt bewerten
Für die Übertragung werden Verschlüsselung während des Transports, der sichere Übergabekanal, die Berechtigungen für die Migrationsphase und die Protokollierung der Übernahme bewertet. Im laufenden Betrieb sind Verschlüsselung, Datensicherung, Wiederherstellbarkeit und Verfahren zur regelmäßigen Überprüfung der Maßnahmen zu betrachten. Artikel 32 Absatz 1 Buchstabe c DSGVO nennt die Fähigkeit, Verfügbarkeit und Zugang zu personenbezogenen Daten nach einem physischen oder technischen Zwischenfall rasch wiederherzustellen.
Als Nachweis eignen sich eine strukturierte TOM Auskunft des Anbieters, Vertragsanlagen, technische Beschreibungen und ein internes Prüfblatt. Ein Zertifikat kann ein Anhaltspunkt sein, ersetzt aber nicht die Bewertung, ob der konkrete Dienst die Anforderungen der Praxis abdeckt. Offene Punkte erhalten eine verantwortliche Person und eine Freigabeentscheidung, nicht bloß einen Hinweis „noch zu prüfen“.
Die Altdaten werden nicht durch eine Kündigung automatisch gelöscht
Die Kündigung des Altvertrags beendet nicht automatisch jede Speicherung. Daten können sich noch im Produktivbestand, in Exportdateien, Sicherungen oder abgegrenzten Wiederherstellungsumgebungen befinden. Die Praxis muss zunächst sicherstellen, dass sie die für Behandlung, Abrechnung, Aufbewahrung und Nachweis benötigten Daten vollständig und nutzbar zurückerhalten hat.
Nach Artikel 28 Absatz 3 Buchstabe g DSGVO muss der Auftragsverarbeiter nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten nach Wahl des Verantwortlichen entweder löschen oder zurückgeben und vorhandene Kopien löschen, sofern keine Pflicht zur Speicherung nach Unionsrecht oder dem Recht der Mitgliedstaaten besteht. Die Wahl der Praxis und die vereinbarte Durchführung müssen schriftlich nachvollziehbar sein.
Rückgabe zuerst nachweisen, Löschung danach belegen
Die Praxis protokolliert, wann sie den Export erhalten, auf Vollständigkeit geprüft und für die Praxisverwaltung freigegeben hat. Erst dann erklärt sie gegenüber dem alten Anbieter eindeutig, ob Rückgabe, Löschung oder eine vertraglich zulässige Resthaltung verlangt wird. Ist eine gesetzliche Aufbewahrungspflicht relevant, muss geklärt werden, ob die Praxis selbst die Daten aufbewahrt oder ob eine fortgesetzte Verarbeitung beim bisherigen Anbieter überhaupt noch erforderlich und vertraglich geregelt ist.
Zum Abschluss fordert die Praxis einen Lösch oder Rückgabenachweis an. Der Nachweis sollte den betroffenen Dienst, den Abschluss der Verarbeitung, Umfang oder Datenbestände, Datum, mögliche Ausnahmen und den Umgang mit Sicherungen nachvollziehbar benennen. Eine bloße Bestätigung über die Vertragskündigung genügt nicht. Die Grundlogik von Fristen, Auslösern und Nachweisen vertieft Löschkonzept verstehen: Fristen, Auslöser und Nachweise.
Die Freigabeakte verbindet Rechnung, Vertrag und Dokumentationsstand
Der Fall ist erst dann belastbar abgeschlossen, wenn sich die Entscheidung ohne mündliche Ergänzungen nachvollziehen lässt. Die Freigabeakte bündelt deshalb die Rechnung und Leistungsbeschreibung, die Rollenprüfung, den Auftragsverarbeitungsvertrag samt Anlagen, die dokumentierte Drittlandprüfung, die alte und neue Verzeichnisversion sowie die TOM Prüfung. Hinzu kommen Migrationsfreigabe, Übergabeprotokoll und Löschbestätigung des alten Anbieters.
| Nachweis | Prüffrage | Status in der Akte |
|---|---|---|
| Rechnung und Leistungsbeschreibung | Was wird wann beauftragt? | Auslöser und Leistungsumfang |
| Auftragsverarbeitungsvertrag | Ist die Rollenverteilung und Weisungsbindung geregelt? | Unterzeichnete Fassung |
| VVT und TOM Prüfung | Bildet die Dokumentation den neuen Betrieb ab? | Version und Freigabe |
| Rückgabe und Löschung | Wo befinden sich die Altdaten noch? | Protokoll und Bestätigung |
Damit passt die Akte auch zu einer Anfrage der Aufsichtsbehörde oder zu einer internen Prüfung: Sie zeigt nicht nur Dokumente, sondern deren sachlichen Zusammenhang. Verarbeitungsbuch für gepflegte Verzeichnisse, TOM und Löschfristen in einem vorzeigbaren Dokument unterstützt diesen Zusammenhang. Wenn Sie den Ablauf für Ihre Mandanten oder Praxis vorführen lassen oder frühen Zugang erhalten möchten, nutzen Sie das Kontaktformular.
