Gesetzliche Pflicht · IT-Sicherheit in Arztpraxen
Sightadel übersetzt die IT-Sicherheitsrichtlinie für Arzt- und Zahnarztpraxen in 49 Prüfpunkte, schaltet nur die frei, die für Ihre Praxisgröße gelten, und hält zu jedem Punkt fest, was als Nachweis zählt. Mit Vorlagen, Formulierungshilfe und echten Beratern für die schwierigen Stellen.
Nur bei Sightadel
Unter den neun GRC-Anbietern unseres Vergleichs führt nur Sightadel die IT-Sicherheitsrichtlinie nach § 390 SGB V als Framework; die anderen acht nennen sie auf ihren Websites nicht. Praxen und MVZ arbeiten die Anforderungen geführt ab und belegen sie mit Nachweisen, bei Bedarf zusammen mit DSGVO und NIS2.
Grundlage: öffentliche Angaben auf den Websites der Anbieter, Stand 10. Oktober 2026. Zum Anbietervergleich →
Worum es geht
Das Sozialgesetzbuch verpflichtet die Kassenärztliche und die Kassenzahnärztliche Bundesvereinigung, Anforderungen an die IT-Sicherheit in Praxen festzulegen. Die Regelung steht heute in § 390 SGB V; bekannt ist sie vielen noch als § 75b SGB V. Inhaltlich hat sich an der Pflicht nichts geändert. Die KBV gibt die Richtlinie für Arztpraxen heraus, die KZBV eine eigene für Zahnarztpraxen. Beide sind im Einvernehmen mit dem BSI entstanden und für Praxen in der vertragsärztlichen Versorgung verbindlich.
Die Anforderungen sind nach Praxisgröße gestaffelt. Was für jede Praxis gilt, gilt auch für die mittlere Praxis und die Großpraxis, dort kommt jeweils etwas hinzu. Maßgeblich ist, wie viele Personen ständig mit der Datenverarbeitung betraut sind und in welchem Umfang Daten verarbeitet werden. Eigene Anlagen regeln medizinische Großgeräte und die dezentralen Komponenten der Telematikinfrastruktur wie Konnektor und Kartenterminals.
Inhaltlich geht es um handfeste Dinge: Virenschutz und Updates, verschlüsselte Geräte, eine Firewall mit dokumentiertem Regelwerk, getrennte Netze, getestete Datensicherung, eine Notfalldokumentation und geschulte Beschäftigte. Die überarbeitete Fassung von 2025 legt zusätzlich Gewicht auf Sensibilisierung des Praxisteams. Maßgeblich ist immer die aktuelle Fassung der KBV beziehungsweise KZBV.
Die IT betreut ein Dienstleister, vieles ist eingerichtet, aber nichts belegt. Sie brauchen eine Liste, was gilt, und einen Ort, an dem die Nachweise liegen.
Mehr Personal, mehr Systeme, oft Großgeräte mit Fernwartung. Hier greifen die zusätzlichen Anforderungen, etwa Netzzonen, Protokollierung und eine jährliche Überprüfung.
Sie setzen die Richtlinie für mehrere Praxen um. Mit einer einheitlichen Struktur je Praxis sehen Sie, wo welcher Nachweis fehlt, und die Praxis sieht, was Sie erledigt haben.
Technik und Nachweis aus einer Hand
Die Richtlinie verlangt nicht nur Dokumentation, sondern auch Technik – allen voran eine Firewall. Gemeinsam mit Valar und veyrisk bieten wir deshalb zwei Pakete an: eines für Praxen und kleine medizinische Einrichtungen, eines für Kliniken. Sie bekommen die Nachweisführung in Sightadel, die passende Hardware-Firewall und auf Wunsch den Blick von außen auf Ihre Systeme – abgestimmt aufeinander und mit einem Ansprechpartner.
Arzt-, Zahnarzt- und Psychotherapiepraxen, MVZ und kleine medizinische Einrichtungen
Kliniken, große MVZ, Labore und Einrichtungen mit Pflichten aus NIS2
Beide Pakete stellen wir passend zu Ihrer Einrichtung zusammen. Das Angebot erhalten Sie nach einem kurzen Gespräch.
Paket anfragenAnforderungen
In eigenen Worten zusammengefasst. Maßgeblich ist immer der Originaltext in der geltenden Fassung.
Aktueller Virenschutz, regelmäßige Updates, automatische Bildschirmsperre, verschlüsselte Datenträger und kein dauerhaftes Arbeiten mit Administratorrechten. Ab der mittleren Praxis ein Geräteverzeichnis und zentral verwaltete Konten.
In SightadelJeder Prüfpunkt nennt, was als Nachweis zählt, etwa ein Patchprotokoll der letzten drei Monate. Geräte ohne Herstellerunterstützung bekommen einen Ablösetermin als Aufgabe.
Apps nur aus offiziellen Quellen, freigegebene Apps mit Zugriff auf Patientendaten benannt, mobile Geräte gesperrt, verschlüsselt und aus der Ferne löschbar.
In SightadelListe der freigegebenen Apps mit Zweck und Freigabedatum. Für private Geräte liefert die Vorlage einen Entwurf der Nutzungsvereinbarung, die Regeln legen Sie fest.
Sicher eingestellter Browser, verschlüsselte Übertragung vertraulicher Daten, verschlüsselte E-Mails mit Patientenbezug, verschlüsselte Wechseldatenträger und sicheres Löschen vor der Entsorgung.
In SightadelGeführte Fragen mit Antwortoptionen statt Fachbegriffen. Löschprotokolle und Wartungsnachweise der Praxiswebsite werden mit Datum abgelegt und laufen ab, wenn die nächste Prüfung fällig ist.
Eine Firewall zwischen Praxisnetz und Internet mit dokumentiertem Regelwerk, gesperrte eingehende Verbindungen, sicheres WLAN mit getrenntem Gastnetz. Ab der mittleren Praxis Netzzonen und Fernzugriff nur per VPN mit zweitem Faktor.
In SightadelEin Regelwerksblatt für Quelle, Ziel, Dienst, Richtung und Zweck je Regel. Ihr Dienstleister trägt ein, Sie sehen den Stand. Auf Wunsch gibt es ein Paket mit Hardware-Firewall.
Tägliche automatische Sicherung, mindestens eine Kopie getrennt vom Praxisnetz, eine getestete Wiederherstellung und eine schriftliche Notfalldokumentation. Ab der mittleren Praxis Ersatzabläufe beim Ausfall zentraler Systeme.
In SightadelTestprotokolle mit Datum, Umfang und Ergebnis. Die Notfalldokumentation entsteht als Vorlage mit Erreichbarkeiten und Wiederanlauf-Reihenfolge zum Ausdrucken.
Eine benannte verantwortliche Person, unterwiesene Beschäftigte, gesperrte Konten beim Ausscheiden und Verträge zur Auftragsverarbeitung. In größeren Praxen ein Vorfallregister und eine jährliche Überprüfung.
In SightadelUnterweisungen als wiederkehrende Zyklen mit Teilnahmeliste. Dienstleister werden im Modul Anbieter mit Vertrag und Gültigkeitsdatum geführt.
Großgeräte sind erfasst, stehen in einem eigenen Netzsegment, und Fernwartungszugänge des Herstellers sind geregelt und nur bei Bedarf offen.
In SightadelDie Prüfpunkte erscheinen nur, wenn Sie im Praxisprofil Großgeräte angeben. Freischaltungen der Fernwartung werden mit Datum protokolliert.
Konnektor und Kartenterminals stehen geschützt, laufen auf dem freigegebenen Softwarestand, Praxis- und Heilberufsausweise werden sicher verwahrt.
In SightadelVersionsstand und Aufstellort werden als Nachweis abgelegt. Erinnerungen weisen auf fällige Prüfungen hin.
Ablauf
Vier bis zwölf Wochen bis zu einem belegten Stand, abhängig von Praxisgröße und davon, wie gut der IT-Dienstleister mitarbeitet. Kleine Praxen mit gepflegter IT liegen am unteren Ende.
Zahl der mit der Datenverarbeitung betrauten Personen, Großgeräte und TI-Anschluss erfassen. Daraus ergibt sich, welche Prüfpunkte gelten.
Die geltenden Prüfpunkte gemeinsam durchgehen, vorhandene Belege hochladen und zuordnen. Am Ende steht, was belegt ist und was fehlt.
Regelwerk erfassen, Ausnahmen begründen, WLAN und Gastnetz prüfen. Fehlt eine Firewall, ist das der erste Punkt auf der Liste.
Wiederherstellung einmal tatsächlich testen und protokollieren. Notfalldokumentation ausfüllen und ausgedruckt dort ablegen, wo sie im Ernstfall gebraucht wird.
Unterweisung mit Teilnahmeliste, offene Punkte als Aufgaben mit Frist. Typische Brocken sind Verschlüsselung, Altgeräte und Verträge mit Dienstleistern.
Stand festhalten und unterschreiben. Danach erinnern die Ablaufdaten an Updates, Sicherungstests und die nächste Unterweisung.
Startklar
Wer diese Fragen früh klärt, spart später Wochen. In Sightadel sind sie als erste Aufgaben angelegt.
Arbeitsteilung
Würde eine Software alles ausfüllen, erfüllte die Norm ihren Zweck nicht – und der Auditor würde es merken. Deshalb ist klar geregelt, was bei Ihnen bleibt.
Aus der Praxis
Aus langjähriger Beratungs- und Zertifizierungspraxis: Diese Stellen kosten die meiste Zeit oder führen zu Abweichungen im Audit.
Wer nach Vollzeitstellen statt nach Personen mit Zugriff auf Patientendaten zählt, landet oft einen Typ zu niedrig. Zählen Sie jede Person, die ständig mit Patientendaten arbeitet, und halten Sie die Zählung fest.
Der Dienstleister richtet vieles ein, aber die Verantwortung bleibt in der Praxis. Klären Sie schriftlich, welche Punkte er übernimmt, und lassen Sie sich Belege liefern.
Der Router des Internetanbieters ersetzt meist keine Firewall mit dokumentiertem Regelwerk. Prüfen Sie, ob eine geeignete Firewall vorhanden ist und ob jede Regel einen Zweck hat.
Eine Sicherung, deren Wiederherstellung nie getestet wurde, versagt oft im Ernstfall. Testen Sie die Wiederherstellung regelmäßig und protokollieren Sie Datum, Umfang und Ergebnis.
Liegt die Notfalldokumentation auf dem verschlüsselten Server, ist sie im Ernstfall nicht erreichbar. Legen Sie eine ausgedruckte Fassung an einem bekannten Ort ab.
Neue Beschäftigte und neue Angriffsmuster machen regelmäßige Unterweisungen nötig. Planen Sie sie jährlich und bei jedem Eintritt, mit Teilnahmeliste.
Ein Nachweis, mehrere Frameworks
Eine Prozentzahl nennen wir bewusst nicht – sie hängt von Ihrem Geltungsbereich ab. Wo sich Anforderungen decken, hängt ein Nachweis an allen.
Patientendaten sind besonders geschützte Daten. Verschlüsselung, Zugriffsrechte, Löschverfahren und Verträge zur Auftragsverarbeitung belegen zugleich die technischen und organisatorischen Maßnahmen nach Art. 32.
NIS2Arztpraxen liegen meist unter den Schwellen des BSIG. Große Versorgungszentren und Labore können darunter fallen. Dann tragen Firewall, Datensicherung, Notfallplan und Unterweisung in mehrere Maßnahmen nach § 30 BSIG.
ISO/IEC 27001Für größere Einrichtungen der nächste Schritt. Die Nachweise aus der Richtlinie decken viele technische Maßnahmen aus Anhang A ab, Risikoanalyse und Managementsystem kommen hinzu.
ISO 9001Praxen mit Qualitätsmanagement nutzen Dokumentenlenkung, Unterweisungen und interne Prüfungen gemeinsam. Ein Nachweis lässt sich in Sightadel mehreren Regelwerken zuordnen.
Prüfung und Nachweis
Die Richtlinie sieht keine Zertifizierung der Praxis vor. Sie müssen die Anforderungen erfüllen und das im Zweifel belegen können, etwa gegenüber Ihrer Kassenärztlichen oder Kassenzahnärztlichen Vereinigung, nach einem Vorfall oder gegenüber der Datenschutzaufsicht. Sightadel zertifiziert nicht und gibt keine Rechtsberatung.
Für die Umsetzung können Praxen Dienstleister beauftragen, die von der KBV für diese Aufgabe zertifiziert sind. Ein solcher Dienstleister oder ein unabhängiger Prüfer aus unserem Partnernetz erhält in Sightadel einen eigenen Zugang: Er liest, kommentiert und legt nach Ihrer Freigabe Einträge an oder bearbeitet sie, löschen kann er nichts. Für Prüfungen fließt keine Provision – weder an uns noch an die Partner.
Zum unabhängigen AuditorennetzDas Gesetz selbst enthält keine technischen Einzelheiten. § 390 SGB V beauftragt die Kassenärztliche Bundesvereinigung und die Kassenzahnärztliche Bundesvereinigung, die Anforderungen in einer Richtlinie festzulegen, im Einvernehmen mit dem BSI und abgestimmt mit weiteren Stellen. Die Richtlinie ist an den Stand der Technik anzupassen und wird deshalb regelmäßig fortgeschrieben. Für Arzt- und Psychotherapiepraxen gilt die Richtlinie der KBV, für Zahnarztpraxen die der KZBV. Beide folgen demselben Grundgedanken, unterscheiden sich aber in Aufbau und Details. Maßgeblich ist immer die Fassung Ihrer Bundesvereinigung.
Die KBV-Richtlinie ist in einen Haupttext und Anlagen gegliedert. Die Anlagen enthalten die eigentlichen Anforderungen, gestaffelt nach Praxistyp: was für jede Praxis gilt, was in mittleren Praxen hinzukommt und was Großpraxen zusätzlich erfüllen müssen. Weitere Anlagen betreffen medizinische Großgeräte und die dezentralen Komponenten der Telematikinfrastruktur. Die Anforderungen bauen aufeinander auf, eine Großpraxis erfüllt also alle Anforderungen der kleineren Typen mit.
Die zuletzt überarbeitete Fassung der KBV ist zum 1. April 2025 in Kraft getreten, die neuen Anforderungen waren innerhalb von sechs Monaten umzusetzen. Schwerpunkte der Überarbeitung sind die Sensibilisierung und Schulung des Praxisteams, die Datensicherung und die sichere Einrichtung von E-Mail. Sightadel bildet die Anforderungen in 49 Prüfpunkten ab und zeigt nur die, die für Ihr Praxisprofil gelten. Bei einer neuen Fassung werden die Prüfpunkte angepasst, Ihre bisherigen Nachweise bleiben erhalten.
Die Einordnung ist der erste und wichtigste Schritt, denn sie bestimmt, wie viele Anforderungen gelten. Maßgeblich ist nicht die Zahl der Beschäftigten insgesamt und auch nicht der Stellenumfang, sondern die Zahl der Personen, die ständig mit der Verarbeitung von Patientendaten betraut sind. Dazu zählen Ärztinnen und Ärzte ebenso wie medizinische Fachangestellte am Empfang. Reinigungskräfte ohne Zugriff auf Systeme zählen nicht.
Bis fünf solcher Personen gilt die Praxis als Praxis im Sinne der Richtlinie. Bei sechs bis zwanzig Personen ist es eine mittlere Praxis. Darüber, oder wenn Daten in erheblichem Umfang verarbeitet werden, etwa in großen MVZ oder Laboren, ist es eine Großpraxis. Unabhängig davon kommen die Anlagen für Großgeräte und TI-Komponenten hinzu, wenn Sie solche betreiben.
In Sightadel legen Sie diese Angaben im Praxisprofil fest. Daraus ergibt sich automatisch, welche Prüfpunkte erscheinen. Ändert sich die Größe, etwa durch neue Kolleginnen und Kollegen oder einen Zusammenschluss, passen Sie das Profil an, und die zusätzlichen Anforderungen werden als offene Punkte sichtbar. Halten Sie die Begründung Ihrer Einordnung fest, damit sie später nachvollziehbar ist.
Für § 390 SGB V gibt es in Sightadel keinen Listenpreis. Der Preis richtet sich nach Praxistyp und Umfang und wird auf Anfrage angeboten. IT-Dienstleister, die mehrere Praxen betreuen, erhalten ein eigenes Angebot. Sie können Sightadel 14 Tage ohne Zahlungsdaten testen, alles Angelegte geht in den bezahlten Plan über.
Die größeren Kosten entstehen meist bei der Technik und beim Dienstleister. Typische Posten sind eine geeignete Firewall, die Ablösung von Altgeräten ohne Herstellerunterstützung, eine Datensicherung mit Kopie außerhalb des Praxisnetzes, Verschlüsselung von Geräten und Datenträgern und die Arbeitszeit des IT-Dienstleisters für Einrichtung und Dokumentation. Diese Kosten rechnen die jeweiligen Anbieter direkt mit Ihnen ab. Wenn Sie eine Hardware-Firewall suchen, sprechen Sie uns auf das passende Paket an.
Der interne Aufwand in der Praxis ist überschaubar, wenn er geplant ist: eine verantwortliche Person, die den Stand im Blick hat, eine Bestandsaufnahme gemeinsam mit dem Dienstleister, eine Unterweisung des Teams und die regelmäßige Wiedervorlage. Unterschätzt wird meist die Zeit, die es braucht, Belege vom Dienstleister zu bekommen. Ein eigener Zugang für den Dienstleister in Sightadel verkürzt diesen Weg.
Die Richtlinie selbst enthält keinen eigenen Bußgeldkatalog, und eine regelmäßige Kontrolle der Praxen durch die Kassenärztlichen Vereinigungen ist nicht vorgesehen. Daraus zu schließen, die Pflicht sei unverbindlich, wäre ein Fehler. Die Richtlinie ist für Praxen in der vertragsärztlichen und vertragszahnärztlichen Versorgung verbindlich, und sie konkretisiert, was als angemessene Sicherheit gilt.
Relevant wird das vor allem nach einem Vorfall. Wird eine Praxis verschlüsselt oder gelangen Patientendaten in falsche Hände, prüft die Datenschutzaufsicht, ob angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO getroffen waren. Die Richtlinie ist dafür ein naheliegender Maßstab. Hinzu kommen mögliche Meldepflichten nach der DSGVO, Ansprüche von Patientinnen und Patienten, Fragen der ärztlichen Schweigepflicht und gegebenenfalls Folgen gegenüber Versicherern.
Wer dagegen belegen kann, dass die Anforderungen umgesetzt, die Datensicherung getestet und das Team unterwiesen war, steht in jedem dieser Gespräche besser da. Deshalb lohnt sich ein sauberer, datierter Nachweisstand. Die rechtliche Bewertung im Einzelfall klären Sie mit Ihrer Rechtsberatung oder Ihrer Kammer, Sightadel gibt keine Rechtsberatung.
Die meisten Praxen setzen die Richtlinie nicht allein um, sondern mit einem IT-Dienstleister oder dem Anbieter ihres Praxisverwaltungssystems. Das ist sinnvoll, verlagert aber nicht die Verantwortung. Verantwortlich bleibt die Praxisinhaberin oder der Praxisinhaber. Wichtig ist deshalb eine klare Aufteilung: Was richtet der Dienstleister ein, was dokumentiert er, und was muss die Praxis selbst tun, etwa Unterweisungen, Notfallplan und Zugangsregeln.
Die KBV zertifiziert IT-Dienstleister, die Praxen bei der Umsetzung unterstützen. Ein zertifizierter Dienstleister kennt die Anforderungen. Die Zertifizierung betrifft aber den Dienstleister, nicht Ihre Praxis, und ersetzt keinen eigenen Nachweis. Fragen Sie nach, welche Prüfpunkte der Dienstleister übernimmt und welche Belege er Ihnen liefert.
In Sightadel erhält der Dienstleister einen eigenen Zugang. Er trägt Firewall-Regelwerk, Patchstände, Sicherungsprotokolle und Geräteverzeichnis direkt an den passenden Prüfpunkten ein. Sie sehen jederzeit, was erledigt ist und was fehlt. Betreut ein Dienstleister mehrere Praxen, arbeitet er überall mit derselben Struktur. Ein Vertrag zur Auftragsverarbeitung mit dem Dienstleister gehört ebenfalls in die Nachweise.
Viele Anforderungen sind keine einmaligen Aufgaben. Updates müssen laufend eingespielt, Datensicherungen regelmäßig getestet, neue Beschäftigte unterwiesen und Konten ausgeschiedener Beschäftigter gesperrt werden. Ändert sich die Technik, etwa durch ein neues Großgerät, einen neuen Konnektor oder einen Umzug, müssen Netz und Dokumentation nachgezogen werden.
Bewährt hat sich ein fester Rhythmus. Monatlich prüft der Dienstleister Updates und Sicherungen, quartalsweise wird eine Wiederherstellung stichprobenartig getestet, jährlich werden Team unterwiesen, Notfalldokumentation aktualisiert und der Gesamtstand überprüft. Für größere Praxen ist eine jährliche Überprüfung ausdrücklich vorgesehen.
In Sightadel hat jeder Nachweis ein Ablaufdatum. Läuft er ab, erinnert Sightadel die verantwortliche Person und den Dienstleister, bevor eine Lücke entsteht. Das Nachweisblatt mit dem aktuellen Stand lässt sich jederzeit erzeugen, unterschreiben und ablegen. Wird die Richtlinie fortgeschrieben, sehen Sie, welche Prüfpunkte neu hinzugekommen sind.
Wer über den Pflichtstand hinausgehen will, etwa ein großes MVZ, das unter NIS2 fallen könnte, baut auf denselben Nachweisen auf. Firewall, Datensicherung, Notfallplan und Unterweisung zählen in Sightadel auch für DSGVO, NIS2 und ISO 27001, ohne doppelt abgelegt zu werden.
Was es kostet
Sie zahlen nur für die Frameworks, die Sie wirklich brauchen. Die Editionen unterscheiden sich in Kapazität und Reaktionszeit, nicht im fachlichen Umfang. Wer mehrere Frameworks führt, spart dauerhaft. Alle Preise, Rabatte und einen Rechner finden Sie auf der Preisseite.
Die Kosten der Zertifizierungs- oder Prüfstelle rechnet diese direkt mit Ihnen ab. Beratung buchen Sie bei Bedarf als Paket in der App dazu.
Arbeitsmaterial
↓§ 390 SGB V – Nachweispaket für ArztpraxenCheckliste · XLSX, PDFArbeitshilfen, keine Rechtsberatung.
Begriffe
Ja, wenn Sie an der vertragsärztlichen oder vertragszahnärztlichen Versorgung teilnehmen. Das gilt für Einzelpraxen ebenso wie für Gemeinschaftspraxen, MVZ und Labore. Welche Anforderungen im Einzelnen gelten, hängt von Praxisgröße, Großgeräten und dem Anschluss an die Telematikinfrastruktur ab.
Die Pflicht besteht weiter, sie steht heute in § 390 SGB V. Der Begriff § 75b ist in Praxen und bei Dienstleistern geläufig geblieben. Die Richtlinie selbst gibt die KBV heraus, für Zahnarztpraxen die KZBV.
Die Anforderungen gelten bereits. Die überarbeitete Fassung der KBV ist im April 2025 in Kraft getreten, die neuen Anforderungen waren bis Oktober 2025 umzusetzen. Die Richtlinie wird regelmäßig fortgeschrieben, maßgeblich ist immer die aktuelle Fassung.
Die Richtlinie selbst enthält keinen eigenen Bußgeldkatalog. Fehlende Sicherheit kann aber teuer werden: Bei einer Datenpanne prüft die Datenschutzaufsicht, ob angemessene Maßnahmen getroffen waren, und kann nach der DSGVO Bußgelder verhängen. Dazu kommen Haftungsfragen und mögliche Folgen im Vertragsarztrecht. Im Einzelfall klären Sie das rechtlich.
Nein, für Praxen nicht. Zertifiziert werden können IT-Dienstleister, die Praxen bei der Umsetzung unterstützen. Die Praxis selbst weist ihren Stand mit Nachweisen nach, nicht mit einem Zertifikat.
Nach der Zahl der Personen, die ständig mit der Datenverarbeitung betraut sind: Bis fünf gilt die Praxis, sechs bis zwanzig die mittlere Praxis, darüber oder bei Datenverarbeitung in erheblichem Umfang die Großpraxis. Großgeräte und TI-Komponenten werden zusätzlich betrachtet.
Ja. Eine Firewall zwischen Praxisnetz und Internet gehört zu den Grundanforderungen, ebenso ein dokumentiertes Regelwerk. Der Router des Internetanbieters allein ist dafür meist nicht ausgelegt. Sprechen Sie uns an, wenn Sie ein Paket mit Hardware-Firewall suchen.
Nein, mit Absicht. Sie liefert Entwürfe und hilft beim Formulieren. Ob eine Maßnahme in Ihrer Praxis umgesetzt ist, bestätigen Sie selbst oder Ihr Dienstleister – mit Beleg.
Die Richtlinie der KBV gilt für Praxen in der vertragsärztlichen Versorgung, dazu gehören auch psychotherapeutische Praxen mit Kassenzulassung. Reine Privatpraxen sind nicht unmittelbar erfasst. Für sie gelten aber die Sicherheitspflichten der DSGVO, und die Richtlinie ist ein guter Maßstab dafür, was als angemessen gilt.
Eine regelmäßige Kontrolle aller Praxen ist nicht vorgesehen. Relevant wird der Stand vor allem nach einem Vorfall, gegenüber der Datenschutzaufsicht oder Versicherern. Halten Sie deshalb einen datierten Nachweisstand bereit, statt erst im Ernstfall Belege zu suchen.
14 Tage, voller Zugriff, keine Zahlungsdaten. Was Sie anlegen, bleibt im bezahlten Plan erhalten.
