Sicherheit · Datenschutz · Compliance
Praxishub verarbeitet Gesundheitsdaten – die nach DSGVO am strengsten geschützte Datenkategorie. Diese Sicherheit weisen wir nach: testiert nach BSI C5 (Typ 1 und Typ 2), DSGVO-konform und gehostet bei Hetzner in Nürnberg (ISO 27001:2022).
Deutsche Rechtsordnung · Europäische Datenverarbeitung · Kein US-Cloud-Zugriff
Unabhängige Stellen prüfen die Sicherheit von Praxishub und der eingesetzten Infrastruktur. Die Nachweise stellen wir Ihrer Praxis und Ihrem Datenschutzbeauftragten zur Verfügung.
Der Cloud Computing Compliance Criteria Catalogue des BSI ist der deutsche Maßstab für Cloud-Sicherheit. Typ 1 prüft die Ausgestaltung der Sicherheitskontrollen, Typ 2 deren nachgewiesene Wirksamkeit über einen Zeitraum. Praxishub ist nach beiden testiert.
Testat liegt vorVollständig konform zur Datenschutz-Grundverordnung und zum BDSG. Den Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO schließen wir mit jeder Praxis – inklusive technisch-organisatorischer Maßnahmen (TOM) und definierter Löschkonzepte.
AVV für jede PraxisPraxishub läuft bei der Hetzner Online GmbH in Nürnberg. Deren Informationssicherheits-Management ist nach ISO/IEC 27001:2022 zertifiziert (Prüfstelle SOCOTEC), die Rechenzentren zusätzlich nach BSI C5 Typ 2. Hetzner ist ein deutsches Unternehmen ohne US-Mutterkonzern.
Standort DeutschlandDer Cloud Computing Compliance Criteria Catalogue (C5) wurde vom Bundesamt für Sicherheit in der Informationstechnik (BSI) als Mindeststandard für Cloud-Dienste entwickelt. Für die Verarbeitung von Gesundheitsdaten gilt er als der maßgebliche Nachweis gegenüber Aufsichtsbehörden.
Der C5-Katalog stellt rund 120 Anforderungen an Cloud-Dienste: Verschlüsselung, Zugriffskontrolle, Notfallmanagement und die Nachvollziehbarkeit jeder Verarbeitung. Geprüft wird nicht von uns selbst, sondern von einem unabhängigen Wirtschaftsprüfer.
Andere Anbieter werben mit „sicher“ und „DSGVO-konform“, ohne einen unabhängigen Nachweis vorzulegen. Praxishub belegt beide C5-Stufen – Typ 1 und Typ 2.
Lässt eine Praxis Gesundheitsdaten durch einen Dienstleister verarbeiten, haftet sie für dessen Auswahl. Fehlt ein belastbarer Sicherheitsnachweis, drohen Bußgelder nach Art. 83 DSGVO (bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes), Strafbarkeit nach § 203 StGB sowie Sanktionen nach der IT-Sicherheitsrichtlinie gemäß § 75b SGB V. Ein BSI-C5-Testat ist der anerkannte Nachweis, dass diese Sorgfaltspflicht erfüllt ist.
Der Schutz von Patientendaten ist keine freiwillige Leistung, sondern in mehreren Gesetzen geregelt. Die folgenden Vorschriften betreffen jede Praxis, die digitale Daten verarbeitet oder verarbeiten lässt.
Verpflichtend für alle rund 38.000 vertragszahnärztlichen Praxen. Die von KZBV und KBV erlassene Richtlinie wurde zum 1. Juli 2025 aktualisiert; die verschärften Anforderungen gelten nach Übergangsfrist seit dem 2. Januar 2026. Bei Verstößen drohen Bußgelder, Regressforderungen und die Sperrung des Zugangs zur Telematikinfrastruktur.
Gesundheitsdaten sind nach Art. 9 DSGVO eine besondere Kategorie mit erhöhtem Schutzniveau. Wer sie durch Dritte verarbeiten lässt, muss nach Art. 28 DSGVO einen Auftragsverarbeitungsvertrag (AVV) schließen und den Dienstleister sorgfältig auswählen – für diese Auswahl haftet die Praxis.
Die Schweigepflicht erstreckt sich seit der Reform 2017 ausdrücklich auch auf mitwirkende Dienstleister. Wird Geheimnisschutz verletzt, droht eine Freiheitsstrafe bis zu einem Jahr oder Geldstrafe. Voraussetzung für die zulässige Einbindung eines IT-Dienstleisters ist dessen vertragliche und technische Verpflichtung.
Datenschutzverstöße können mit Bußgeldern von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes geahndet werden (untere Stufe: bis 10 Mio. € bzw. 2 %). Aufsichtsbehörden haben gegen Einrichtungen im Gesundheitswesen bereits wiederholt Bußgelder verhängt.
Quellen u. a.: KZBV zur IT-Sicherheitsrichtlinie nach § 75b SGB V; anwalt.de, datenschutz-recht-medizin.de zu verhängten DSGVO-Bußgeldern. Beispiele dienen der Veranschaulichung der Aufsichtspraxis; die Höhe richtet sich stets nach dem Einzelfall.
Was viele Anbieter als Selbstverständlichkeit beschreiben, lassen wir prüfen und legen es offen.
Darstellung typischer Marktstandards zum Vergleich; einzelne Anbieter können abweichen. „Übliche Software“ steht stellvertretend für gängige Praxis- und Patientenkommunikations-Lösungen.
Praxishub läuft in den Rechenzentren der Hetzner Online GmbH in Nürnberg – einem deutschen Unternehmen ohne US-Mutterkonzern. Anders als bei AWS oder Azure besteht damit keine Zugriffsmöglichkeit über den US CLOUD Act: Ihre Daten unterliegen ausschließlich deutschem und europäischem Recht.
Wo Praxishub KI einsetzt, geschieht das innerhalb der EU – auf Infrastruktur europäischer bzw. in der EU betriebener Anbieter, im Einklang mit DSGVO und EU AI Act. Patientendaten werden nicht zum Training fremder Modelle verwendet und verlassen den europäischen Rechtsraum nicht.
Ein Auszug der Maßnahmen, die wir technisch umsetzen und im Auftragsverarbeitungsvertrag dokumentieren.
Alle Daten sind in der Übertragung (TLS) und im Speicher (AES-256) verschlüsselt – durchgehend, nicht nur an der Oberfläche.
Rollenbasierte Rechte, Zwei-Faktor-Authentifizierung und das Prinzip der minimalen Berechtigung – jeder sieht nur, was er braucht.
Tägliche, verschlüsselte Backups mit regelmäßig getesteter Wiederherstellung und definierten Wiederanlaufzeiten.
Zugriffe und sicherheitsrelevante Ereignisse werden nachvollziehbar protokolliert – Grundlage jeder belastbaren Prüfung.
Regelmäßige Sicherheitsüberprüfungen und Penetrationstests halten den Schutz auf dem aktuellen Stand der Technik.
Klare Aufbewahrungs- und Löschfristen. Auf Wunsch werden Daten nach Vertragsende dokumentiert und vollständig gelöscht.
Gesundheitsdaten unterliegen der ärztlichen Schweigepflicht und der DSGVO. Praxishub erfüllt diese Anforderungen technisch und vertraglich – nachgewiesen durch BSI C5, ISO 27001 und einen AVV nach Art. 28 DSGVO.
Wir stellen Ihnen die Testate, den AVV und die technisch-organisatorischen Maßnahmen zur Verfügung und beantworten jede Rückfrage.
