Eine DSGVO-Prüfung der Praxissoftware wird konkret, wenn Sie Ihren tatsächlichen Ablauf beschreiben. Halten Sie für jede gewünschte Funktion fest: Welche Aufgabe wird erledigt, welche Daten fließen, wer ist beteiligt, wer erhält sie und zu welchem Zweck? Damit beziehen Sie Anbieterinformationen auf Ihre Praxis statt auf ein allgemeines Werbeversprechen.
easymed bündelt Terminplanung, Patientenakte und Behandlungsdokumentation in einer gemeinsamen Praxisverwaltung; Rechte je Mitarbeiter bestimmen, welche Bereiche sichtbar und bearbeitbar sind. Die Praxisinstanz läuft laut Datenschutzerklärung in Nürnberg, Sicherungsdaten liegen in Frankfurt. Diese Angaben geben konkrete Startpunkte. Für Ihre Entscheidung zählt zusätzlich, welche Funktion Sie tatsächlich nutzen und welche weiteren Stellen am Datenweg beteiligt sind.
Beschreiben Sie Ihren vorgesehenen Einsatz
Stellen Sie zunächst die Bereiche zusammen, die Ihre Praxis einsetzen möchte: Online-Terminbuchung, Kalender, Patientenakte, Behandlungsdokumentation, Privatabrechnung, Kommunikation, Schnittstellen oder optionale KI-Berichte. In easymed verbinden Kalender, Patientenakte und Dokumentation die Arbeit am selben Patientenbezug. Ein gemeinsamer Rundgang zeigt, wo eine Information entsteht und wo sie weiterverwendet wird.
KI Generiert
Beschreiben Sie danach zwei oder drei typische Situationen aus Ihrem Praxisalltag. Zum Beispiel bucht der Empfang einen Termin, eine behandelnde Person dokumentiert den Verlauf und eine Rechnung wird an die Buchhaltung übergeben. So unterscheiden Sie interne Arbeitsschritte von einer Übermittlung an ein anderes System oder einen externen Empfänger.
Notieren Sie pro gewünschter Funktion den Startpunkt, die verwendeten Daten, den Empfänger und den Zweck. Kennzeichnen Sie optionale Erweiterungen als solche und halten Sie fest, ob Ihre Praxis sie wirklich einsetzen will. Diese kleine Einsatzübersicht bildet den Rahmen für die Unterlagen, die Sie beim Anbieter anfordern.
Einen tatsächlichen Datenweg statt des Produktnamens prüfen
Bei der Online-Terminbuchung wählen Patienten über das easymed-Portal einen verfügbaren Termin; die Praxis organisiert den Eintrag anschließend im Kalender. Der Weg führt damit von der Portalbuchung zum Termin im Kalender und zur Bearbeitung durch eine berechtigte Praxisrolle.
Ein Fachbericht folgt einem anderen Weg. Er wird für die Behandlung erstellt und dem Patientenfall zugeordnet. Falls Sie eine Weitergabe planen, benennen Sie den Empfänger und den benötigten Inhalt. Das hilft zu klären, ob die Übergabe an eine Arztpraxis, einen Kostenträger oder eine andere Stelle tatsächlich Teil des vorgesehenen Einsatzes ist.
Fassen Sie jeden Weg in einer Zeile zusammen: Ausgang, Empfänger, Inhalt und Zweck. Ergänzen Sie bei einer Verbindung zu einem weiteren Dienst den beteiligten Anbieter und den Ort, an dem die Daten verarbeitet werden. Damit kann der Anbieter die passende Verarbeitung beschreiben, ohne dass Sie eine Liste aller denkbaren Funktionen durchgehen müssen.
Die Online-Buchung und die Berichtsübergabe sind also nicht automatisch derselbe Datenweg, nur weil beide zur Praxissoftware gehören. Wenn Sie die konkrete Aufgabe und den Empfänger nennen, lässt sich auch die passende Anbieterinformation leichter zuordnen.
Auftragsverarbeitung und beteiligte Stellen prüfen
Artikel 28 DSGVO verlangt für eine Auftragsverarbeitung einen bindenden schriftlichen Vertrag. Er beschreibt unter anderem Gegenstand und Dauer, Art und Zweck der Verarbeitung, Datenarten und betroffene Personengruppen. Außerdem regelt er dokumentierte Weisungen, Vertraulichkeit, Sicherheitsmaßnahmen, den Einsatz weiterer Auftragsverarbeiter, Unterstützung sowie Rückgabe oder Löschung der Daten und Informationen für Prüfungen.
Bitten Sie um eine aktuelle Übersicht, welche Stelle welche Aufgabe übernimmt und wie Sie sie erreichen. Der Europäische Datenschutzausschuss hält in seiner Opinion 22/2024 fest, dass die Identität der beteiligten Auftragsverarbeiter und Unterauftragsverarbeiter verfügbar sein sollte. Die Prüfung der zugesagten Schutzmaßnahmen bleibt erforderlich; wie weit sie gehen muss, richtet sich unter anderem nach Art, Umfang und Risiko der konkreten Verarbeitung. Sie können zunächst auf die bereitgestellten Informationen aufbauen und gezielt nachfragen, wenn Angaben fehlen oder widersprüchlich wirken.
Kommt ein weiterer Dienst hinzu, ergänzen Sie dessen Zweck und die beteiligte Stelle; die bisherige Übersicht bleibt erhalten. Halten Sie die zugehörige Unterlage mit Dienst und Stand fest. Die Opinion stellt außerdem klar, dass Praxen nicht systematisch jede Vereinbarung zwischen Anbietern und deren Unterauftragnehmern anfordern müssen; ob eine Kopie nötig ist, wird im Einzelfall beurteilt. Diese Einordnung verhindert, dass eine kleine Erweiterung die gesamte Prüfung neu startet.
Die easymed-Datenschutzerklärung beschreibt die Praxis als Verantwortliche für Patientendaten in der eigenen Praxisinstanz und aimbit als Auftragsverarbeiterin. Sie nennt außerdem den Hosting-Standort. Ordnen Sie diese Angaben dem tatsächlich gebuchten Funktionsumfang zu und fragen Sie bei einer zusätzlichen Verbindung nach dem konkreten Datenweg dieser Funktion.
Standort, KI und Datensicherung getrennt betrachten
Prüfen Sie Speicherort, Hosting-Sicherung und zusätzliches Cloud-Backup als getrennte Punkte. Die easymed-Datenschutzerklärung nennt die Praxisinstanzen bei Hetzner in Nürnberg und verschlüsselte Sicherungsdaten in Frankfurt. Das Cloud-Backup ist ein optionales Zusatzmodul mit nächtlicher vollständiger Datenbanksicherung und Abgleich hinterlegter Dokumente. Die Daten werden vor der Übertragung verschlüsselt und 90 Tage in Frankfurt aufbewahrt.
Artikel 32 DSGVO nennt als Sicherheitsmaßnahmen unter anderem Verschlüsselung, Verfügbarkeit und die Möglichkeit, den Zugang zu personenbezogenen Daten nach einem physischen oder technischen Vorfall zeitnah wiederherzustellen. Die Regelung sieht außerdem ein regelmäßiges Prüfen und Bewerten der Maßnahmen vor. Fragen Sie deshalb, was genau gesichert wird, wie lange ein Sicherungsstand verfügbar bleibt und wer die Wiederherstellung ausführt. Bei easymed begleitet die technische Betreuung die Wiederherstellung aus dem Cloud-Backup.
Eine optionale KI-Funktion ist ein eigener Datenweg. In easymed wählt die Praxis den Endpunkt; er kann lokal oder bei einem externen Dienst liegen, auch außerhalb der EU. Vor der Anfrage werden Name, Geburtsdatum und Kontaktdaten durch Platzhalter ersetzt, der Behandlungstext selbst wird jedoch übertragen. Pseudonymisierte Angaben bleiben personenbezogene Daten. Nehmen Sie den gewählten Endpunkt in Ihre Übersicht auf oder lassen Sie die KI-Funktion deaktiviert, wenn sie nicht zu Ihrem Einsatz gehört.
Rollen und Rechte an einem Teambeispiel prüfen
Wählen Sie für die Vorführung eine Situation mit klar getrennten Aufgaben: Der Empfang organisiert den Termin, die behandelnde Person dokumentiert den Verlauf. Prüfen Sie, welche Bereiche jede Rolle sehen und bearbeiten kann. easymed führt Rechte je Mitarbeiter, sodass Sie die Rollen an den tatsächlich benötigten Bereichen ausrichten können.
Gehen Sie außerdem einen Vertretungs- oder Rollenwechsel durch. Klären Sie, wer in Ihrer Praxis Berechtigungen anpasst und wie ein ausscheidender Zugang beendet wird. Ein kurzer Test mit einem neutralen Beispiel zeigt, ob das Team denselben Patientenbezug nutzt und trotzdem nach seinen Aufgaben arbeitet.
Export und Wiederherstellung konkret prüfen
Ein lesbarer Bericht und ein strukturierter Datensatz erfüllen unterschiedliche Zwecke. Bitten Sie um eine verständliche Musterinformation und legen Sie fest, welcher Inhalt für die spätere Verwendung gebraucht wird. So wird der geplante Übergabeweg klar, bevor Sie Export und Import anhand einzelner Dateien beurteilen.
Fachlichen Inhalt bereitstellen.
Dem zugehörigen Vorgang zuordnen.
Daten für die weitere Verwendung übernehmen.
Den vorbereiteten Migrationsweg nutzen.
Bei einem Wechsel zu easymed gibt es vorbereitete Migrationswege für Simplimed, eTermin und Billfox; für andere Ausgangssysteme nennt easymed CSV oder API. Fragen Sie, welche Felder und Dokumente Ihres Bestands mit dem vorbereiteten Migrationsweg übernommen werden und wie die Zuordnung geprüft wird. Der konkrete Umfang richtet sich nach dem bisherigen System und den verfügbaren Daten.
Auch das Vertragsende gehört zur Datenübernahme: Artikel 28 sieht vor, dass der Auftragsverarbeiter die personenbezogenen Daten nach Wahl der Praxis zurückgibt oder löscht, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Halten Sie daher fest, in welchem Format Sie Daten erhalten, wer die Übergabe ausführt und wie mit vorhandenen Kopien umgegangen wird.
Für Ihren Anbietertermin genügt eine kurze Übersicht mit den aktiven Funktionen, Datenwegen, beteiligten Stellen, Rollen sowie den Fragen zu Sicherung und Rückgabe. Gehen Sie einen konkreten Praxisablauf mit easymed durch und ordnen Sie die dazugehörigen Datenschutzinformationen direkt zu. So verbinden Sie die Softwareauswahl mit der Organisation Ihres Teams.
