Artikel 32 DSGVO in der Praxis: Die 5 wichtigsten Technischen und Organisatorischen Maßnahmen (TOMs) für KMUs in der Gesundheitsbranche

Was Sie in diesem Artikel erfahren

Das Gesundheitswesen verarbeitet hochsensible Daten, die unter den besonderen Schutz des Artikels 9 der Datenschutz-Grundverordnung (DSGVO) fallen. Kleine und mittelständische Unternehmen (KMUs) in dieser Branche – von Arztpraxen über Therapiezentren bis hin zu ambulanten Pflegediensten – stehen vor der besonderen Herausforderung, ein angemessenes Schutzniveau zu gewährleisten, ohne über die IT-Budgets oder die personellen Ressourcen großer Konzerne zu verfügen. Artikel 32 DSGVO verpflichtet Verantwortliche zur Implementierung geeigneter technischer und organisatorischer Maßnahmen (TOMs). Dieser Artikel beleuchtet die Bedeutung dieser Pflicht und stellt die fünf wichtigsten, praxisrelevanten TOMs vor, die KMUs im Gesundheitswesen unbedingt umsetzen müssen, um die Vertraulichkeit, Integrität und Verfügbarkeit von Patientendaten zu sichern und hohe Bußgelder zu vermeiden.

Die rechtliche Notwendigkeit: Art. 32 DSGVO und Gesundheitsdaten

Artikel 32 der DSGVO fordert die Verantwortlichen auf, unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen, geeignete TOMs zu treffen.

Die besondere Schutzbedürftigkeit von Gesundheitsdaten

Gesundheitsdaten sind sogenannte “besondere Kategorien personenbezogener Daten” gemäß Art. 9 DSGVO. Ihre unbefugte Verarbeitung kann zu erheblichen Schäden, Diskriminierung und einem tiefgreifenden Vertrauensverlust führen. Dies hat zur Folge, dass die Anforderungen an die Sicherheit dieser Daten im Vergleich zu “gewöhnlichen” personenbezogenen Daten signifikant höher sind. Die TOMs müssen demnach das hohe Risiko adäquat adressieren, das mit der Verarbeitung dieser sensiblen Informationen einhergeht. Für KMUs bedeutet dies, dass einfache Standardlösungen in der Regel nicht ausreichen, sondern eine risikobasierte und dokumentierte Auswahl der Maßnahmen erforderlich ist.

Die Rechenschaftspflicht als Fundament

Ein zentrales Element der DSGVO ist die Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO). Verantwortliche müssen nicht nur geeignete TOMs implementieren, sondern deren Wirksamkeit und Angemessenheit auch jederzeit nachweisen können. Dies geschieht in der Praxis durch eine sorgfältige Dokumentation in einem TOM-Katalog oder einer separaten Anlage zum Verzeichnis der Verarbeitungstätigkeiten. Ohne diese schriftliche Nachweisbarkeit gelten die Maßnahmen im Zweifel als nicht existent, was bei Datenschutzvorfällen oder behördlichen Prüfungen schnell zu empfindlichen Bußgeldern führen kann.

TOM 1: Robuste Zugangs- und Zugriffskontrolle (Technisch & Organisatorisch)

Die Kombination aus technischer Zugangskontrolle (Verhinderung unbefugten physischen Zutritts zu Datenverarbeitungsanlagen) und Zugriffskontrolle (Verhinderung unbefugter Datennutzung) bildet das Fundament der Datensicherheit. Im Gesundheitswesen ist dies essenziell, um Patientengeheimnisse zu wahren.

Technische Maßnahmen: Starke Authentifizierung

• Zwei-Faktor-Authentifizierung (2FA/MFA): Für alle Systeme, die Patientendaten verarbeiten (z. B. Praxissoftware, E-Mail-Server, VPN-Zugänge), sollte 2FA oder Multi-Faktor-Authentifizierung (MFA) zwingend vorgeschrieben werden. Dies schützt effektiv vor dem Missbrauch gestohlener Passwörter.
• Komplexe Passwortrichtlinien: Implementierung einer Richtlinie, die Mindestlänge, Komplexität und regelmäßige Wechsel von Passwörtern vorschreibt. Moderne Systeme sollten anstelle von reinen Wechseln auf die Kombination von Komplexität und MFA setzen.
• Automatische Sperrung: IT-Systeme müssen so konfiguriert werden, dass sie nach kurzer Inaktivität automatisch gesperrt werden, um einen unbefugten Zugriff beim Verlassen des Arbeitsplatzes zu verhindern (“Clean Desk Policy” technisch unterstützt).
• Protokollierung (Logging): Sämtliche Zugriffe auf Patientendaten, insbesondere administrative und potenziell kritische Vorgänge, müssen lückenlos protokolliert werden, um nachträglich feststellen zu können, wer wann auf welche Daten zugegriffen hat.

Organisatorische Maßnahmen: Least Privilege und Rollenkonzepte

• Rollenbasiertes Berechtigungskonzept (Need-to-know-Prinzip): Jeder Mitarbeiter erhält nur die Berechtigungen, die er zur Erfüllung seiner konkreten Aufgabe zwingend benötigt. Eine Arzthelferin benötigt andere Zugriffsrechte als eine Verwaltungskraft oder ein Arzt.
• Regelmäßige Überprüfung: Die vergebenen Rechte sind in festen Intervallen (z. B. halbjährlich) oder bei Rollenwechseln zu überprüfen und bei Bedarf unverzüglich zu entziehen oder anzupassen.
• Verpflichtungserklärung: Alle Mitarbeiter sind formal auf das Datengeheimnis und die ärztliche Schweigepflicht zu verpflichten und über die Konsequenzen eines Verstoßes aufzuklären.

TOM 2: Verschlüsselung (Pseudonymisierung und Vertraulichkeit)

Die Verschlüsselung dient der Vertraulichkeit und ist eine der wichtigsten technischen Schutzmaßnahmen, insbesondere bei der Verarbeitung von Gesundheitsdaten. Sie macht Daten für Unbefugte unlesbar, selbst wenn diese in ihren Besitz gelangen.

Verschlüsselung im Ruhezustand (Data at Rest)

• Festplattenverschlüsselung: Auf allen Geräten, die sensible Daten speichern (Server, Workstations, Laptops und mobile Endgeräte), sollte eine Vollverschlüsselung (z. B. BitLocker, FileVault) implementiert sein. Dies ist besonders wichtig für mobile Geräte, da diese einem erhöhten Verlustrisiko unterliegen.
• Datenbankverschlüsselung: Speziell sensible Felder in der Patientendatenbank, wie Diagnosen oder Befunde, sollten, falls technisch möglich, zusätzlich verschlüsselt werden.

Verschlüsselung bei der Übertragung (Data in Transit)

• Gesicherte Kommunikationswege: Die Übertragung von Gesundheitsdaten über unsichere Kanäle (wie unverschlüsselte E-Mail) ist strengstens untersagt. Es müssen stets sichere Verfahren wie Transport Layer Security (TLS/SSL) für Webseiten und E-Mail (Ende-zu-Ende-Verschlüsselung oder sichere Portale) oder spezialisierte Medizin-Netzwerke (wie die Telematikinfrastruktur) genutzt werden.
• VPN: Bei Fernzugriffen oder Home-Office-Tätigkeiten ist die Verwendung einer gesicherten Virtual Private Network (VPN)-Verbindung zur Praxis- oder Klinik-IT zwingend erforderlich.

TOM 3: Integritäts- und Wiederherstellungsverfahren (Verfügbarkeit und Belastbarkeit)

Art. 32 DSGVO fordert die dauerhafte Sicherstellung der Verfügbarkeit und Belastbarkeit der Systeme sowie die Fähigkeit zur schnellen Wiederherstellung nach einem physischen oder technischen Zwischenfall. Im Gesundheitswesen kann der Ausfall der IT-Systeme die Patientenversorgung unmittelbar gefährden.

Technisches Backup- und Wiederherstellungskonzept

• Regelmäßige Backups: Es muss ein strukturiertes Backup-Konzept existieren, das tägliche, idealerweise verschlüsselte, Backups der Patientendaten und der Systemkonfigurationen vorsieht.
• Getrennte Speicherung: Die Backups müssen physikalisch und logisch vom primären System getrennt gespeichert werden (z. B. in der Cloud oder auf einem externen Datenträger in einem abschließbaren, feuerfesten Raum), um sie vor Ransomware-Angriffen und lokalen Katastrophen zu schützen (3-2-1-Regel: 3 Kopien, 2 verschiedene Speichermedien, 1 Kopie extern).
• Regelmäßige Recovery-Tests: Die Wiederherstellungsfähigkeit der Backups muss in festen, dokumentierten Intervallen getestet werden, um sicherzustellen, dass die Daten im Ernstfall auch tatsächlich wiederhergestellt werden können.

Organisatorisches Notfallmanagement

• Notfallplan: Erstellung eines detaillierten IT-Notfallplans, der die Schritte zur Wiederherstellung des Betriebs nach einem Zwischenfall (Stromausfall, Ransomware-Angriff, Hardwaredefekt) klar definiert.
• Schadensminderung: Definition von Verantwortlichkeiten und Kommunikationswegen für den Fall einer Datenpanne (Meldepflicht nach Art. 33 DSGVO).

TOM 4: Verfahren zur regelmäßigen Überprüfung und Bewertung (Datenschutz-Management-System)

Die DSGVO ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. KMUs müssen ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit ihrer TOMs etablieren.

Risikomanagement und Audits

• Risikoanalyse: Durchführung einer regelmäßigen Risikoanalyse, um neue Bedrohungen (z. B. neue Ransomware-Varianten, Zero-Day-Exploits) zu erkennen und die vorhandenen TOMs an diese anzupassen.
• Interne Audits: Mindestens jährliche interne Überprüfung der Einhaltung der festgelegten TOMs, z. B. durch Stichproben bei den Zugriffsprotokollen oder die Überprüfung der Passwortkonformität.
• Penetrationstests: Bei komplexeren Systemen oder hohem Risiko kann die Beauftragung externer Spezialisten für Penetrationstests sinnvoll sein, um Schwachstellen aktiv aufzudecken.

Schulung und Awareness

• Mitarbeiterschulungen: Die wohl wichtigste organisatorische Maßnahme: Regelmäßige, dokumentierte Schulungen aller Mitarbeiter zur Sensibilisierung für Datenschutz, IT-Sicherheit und die korrekte Anwendung der implementierten TOMs (z. B. Phishing-Erkennung, Umgang mit Patientendokumenten).
• Aktualisierung: Die Schulungsunterlagen und internen Richtlinien (z. B. zur Nutzung privater Geräte oder zur E-Mail-Kommunikation) müssen regelmäßig an neue Risiken und gesetzliche Änderungen angepasst werden.

TOM 5: Auftragsverarbeitung und Dienstleistermanagement (Weitergabekontrolle)

KMUs im Gesundheitswesen lagern oft IT-Dienste, Abrechnung oder Archivierung an externe Dienstleister aus. Die Weitergabekontrolle ist hierbei essenziell, da der Verantwortliche (das KMU) für die Einhaltung der DSGVO durch den Auftragsverarbeiter haftet.

Sorgfältige Auswahl und Verträge

• Prüfung des Dienstleisters: Vor der Beauftragung muss sich das KMU von der Eignung des Dienstleisters überzeugen. Dazu gehört die Anforderung und Prüfung von dessen eigenen TOMs, die idealerweise eine Zertifizierung (z. B. nach ISO 27001) oder einen aktuellen Audit-Bericht umfassen.
• Abschluss eines AV-Vertrages: Die Zusammenarbeit mit Dienstleistern, die personenbezogene Daten verarbeiten (z. B. Hosting-Anbieter, Software-Betreiber, externe Labore), muss zwingend durch einen schriftlichen Vertrag zur Auftragsverarbeitung (AV-Vertrag nach Art. 28 DSGVO) geregelt werden. Dieser Vertrag legt die Pflichten des Auftragsverarbeiters fest und enthält dessen TOMs.

Kontrollrechte und Weisungen

• Weisungsbefugnis: Der AV-Vertrag muss dem KMU das Recht einräumen, Weisungen zur Datenverarbeitung zu erteilen.
• Kontrollrechte: Das KMU muss Kontrollrechte gegenüber dem Auftragsverarbeiter wahrnehmen können, um die Einhaltung der TOMs in der Praxis zu überprüfen. Die regelmäßige Anforderung und Prüfung der TOM-Nachweise des Dienstleisters gehört zur organisatorischen Pflicht des KMUs.

Fazit: Datenschutz als kontinuierlicher und risikobasierter Prozess

Die Umsetzung des Artikels 32 DSGVO ist für KMUs in der Gesundheitsbranche aufgrund der Verarbeitung hochsensibler Daten keine Option, sondern eine zwingende rechtliche Notwendigkeit. Die fünf dargestellten TOMs – robuste Zugangs- und Zugriffskontrolle, konsequente Verschlüsselung, verlässliche Wiederherstellungsverfahren, ein funktionierendes Datenschutz-Management-System sowie ein sorgfältiges Dienstleistermanagement – bilden das Gerüst für ein angemessenes Sicherheitsniveau.

KMUs sollten die DSGVO nicht als lästige Pflicht, sondern als Chance zur Stärkung des Patientenvertrauens begreifen. Die Maßnahmen müssen stets risikobasiert ausgewählt und kontinuierlich dokumentiert, überprüft und an den Stand der Technik angepasst werden. Die Investition in diese TOMs ist die beste Versicherung gegen Reputationsschäden und hohe Bußgelder und sichert die Grundlage für eine vertrauensvolle Patientenbeziehung.