PVS in der Cloud: Das sollten Praxen beachten
Das Praxisverwaltungssystem (PVS) ist das digitale Herzstück der Praxis. Das System bündelt alle medizinischen und organisatorischen Daten und automatisiert die täglichen Arbeitsabläufe. In der Regel läuft es auf einem Praxisserver, der im Keller, Technikraum oder Serverschrank steht, und die Mitarbeiter greifen von ihren Arbeitsplätzen darauf zu.
Diese lokale Variante ist weit verbreitet. Doch es gibt auch die Möglichkeit professionelle Rechenzentren oder Cloud-Angebote zu nutzen. In diesen Fällen läuft das PVS auf einem Server außerhalb der Praxis.
Alternativen zur lokalen Variante
Technisch gibt es für den externen PVS-Betrieb mehrere Möglichkeiten. Gängige Beispiele sind das „Hosting“ des PVS-Servers in einem Rechenzentrum und das „Cloud-PVS“, bei dem die Praxis ebenfalls auf einen externen Server zugreift.
Auch bei diesen Alternativen melden sich die Mitarbeiter von ihren Arbeitsplätzen aus über eine sichere Datenverbindung an, um mit dem PVS zu arbeiten. Somit unterscheidet sich die Anmeldung im Praxisalltag nicht wesentlich. Auch die tägliche Arbeit mit den Patientendaten, die Dokumentation oder Abrechnung der Leistungen sind nicht wesentlich anders als bei der lokalen Variante. Unterschiede gibt es beim technischen Aufwand und der IT-Sicherheit.
Vertrag zur Datenverarbeitung schließen
Generell gilt: Sofern die datenschutzrechtlichen und berufsrechtlichen Anforderungen eingehalten werden und für IT-Sicherheit gesorgt ist, dürfen sensible Gesundheitsdaten auch mit einem extern betriebenen PVS verarbeitet werden.
Aus Gründen der Datensicherheit und zur Verringerung rechtlicher Risiken wird häufig empfohlen, Serverstandorte in Deutschland oder zumindest in der Europäischen Union beziehungsweise im Europäischen Wirtschaftsraum zu bevorzugen (siehe Hinweise).
Der Praxisinhaber sollte auf jedem Fall wissen, wo der Server steht und wer Zugriff hat. In einem Vertrag sind die Regelungen zur Auftragsverarbeitung und Datensicherheit klar festzulegen (siehe Infobox).
Variante Hosting – vergleichbar mit einem Schließfach
Beim Hosting mietet der Praxisinhaber einen Server oder einen Serverbereich in einem professionellen Rechenzentrum – vergleichbar mit einem Schließfach bei einer Bank. Der Anbieter („Hoster“) betreibt den Server mit dem darauf befindlichen PVS der Praxis und ermöglicht der Praxis den Zugriff. Er übernimmt die komplette technische Betreuung des Gerätes und auch das Beheben von Störungen, was den Praxisinhaber somit entlastet.
Damit das Praxisteam mit dem PVS arbeiten kann, ist auf den Arbeitsplatz-Computern ein Zugangsprogramm installiert. Der Arbeitsplatz-Computer überträgt die Eingaben über eine sichere Datenverbindung an den PVS-Server im Rechenzentrum und spiegeln die Antwort auf den Bildschirm zurück.
Für das Funktionieren der Praxiscomputer und die sichere Datenverbindung zum Rechenzentrum bleibt der Praxisinhaber weiterhin selbst verantwortlich.
Variante Cloud-PVS – vergleichbar mit einem Abonnement
Auch hier befindet sich das PVS auf externen Servern und das Praxisteam greift über eine sichere Datenverbindung darauf zu. Anders als beim Hosting mietet der Praxisinhaber aber nicht den Server oder den Serverbereich, sondern er abonniert quasi den Zugang zum PVS. Dies kann für einen bestimmten Zeitraum erfolgen und dann verlängert oder auch gekündigt werden.
Somit muss sich der Praxisinhaber bei dieser Variante ebenfalls nicht um den Server kümmern. Auch Aktualisierungen des PVS und die Datensicherung laufen automatisiert im Hintergrund. Aber der Praxisinhaber muss darauf achten, dass er tatsächlich stets an seine Daten kommt und der Anbieter nicht den Zugang sperrt oder sein Geschäft aufgibt und die Patientendaten verloren gehen.
Insofern besteht beim Cloud-PVS eine hohe Abhängigkeit vom Anbieter. Beim Hosting und beim Cloud-PVS muss zudem für eine stabile Datenverbindung gesorgt sein.
Weniger Technik-Sorgen
Bei beiden Varianten spart die Praxis den Platz für den Server und sie hat auch weniger Technik-Sorgen, da sie sich nicht um den Server kümmern muss. Kommt es zu einem Wasserschaden in der Praxis, einem Stromausfall, einem Feuer, ist der Server sicher im Rechenzentrum, wo er auch vor Diebstahl oder Manipulation geschützt ist.
Auch muss bei einer PVS-Störung nicht mehr vor Ort durch das Praxisteam oder einen Techniker geprüft werden, ob etwas mit dem Server nicht stimmt, und eine Reparatur in die Wege geleitet werden. Überflüssig wird auch das Planen, Betreuen und Dokumentieren von Wartungsterminen.
Individuelle Entscheidung
In der Praxis oder außerhalb: Niedergelassene Ärzte und Psychotherapeuten sollten bei ihrer Entscheidung berücksichtigen, was am besten zu ihnen und ihrem Team passt. Haben sie mehrere technikaffine Mitarbeiterinnen und Mitarbeiter, die sich gern um die IT und IT-Sicherheit kümmern, so kann es sinnvoll sein, sich eher für einen eigenen PVS-Server in der Praxis zu entscheiden.
Hosting- und Cloud-Lösungen kommen weniger technikaffinen Praxisteams entgegen. Dafür entsteht der Aufwand an derer Stelle, etwa bei der Pflege der Auftragsverarbeitungsverträge für das Hosting beziehungsweise das Cloud-PVS.
Auch behalten Praxisinhaber mit einem eigenen PVS-Server in den eigenen Räumlichkeiten die volle Kontrolle über das Gerät und die darauf installierte Software und sie sind unabhängig von externen Störungen, beispielsweise einer instabilen Datenverbindung zum Rechenzentrum.
Verantwortung für IT-Sicherheit
Auch wenn ein PVS außerhalb der Praxis betrieben wird, bleibt die Praxis für den Schutz der Patientendaten verantwortlich. Deshalb sollte vor Vertragsabschluss stets geprüft werden, welche Sicherheitsmaßnahmen der Anbieter umsetzt und welche Aufgaben bei der Praxis verbleiben.
Zugriffsrechte sorgfältig abwägen und verwalten
Bei einem Fernzugriff auf das PVS müssen Praxen auf sichere Benutzernamen und starke Passwörter achten. Die Zugriffsrechte sind sorgfältig zu vergeben und regelmäßig zu überprüfen und es sollten so wenig Zugriffsrechte wie möglich eingeräumt werden. Faustregel: Jeder im Praxisteam erhält nur Zugriff auf Daten und Funktionen, die er tatsächlich für seine Arbeit benötigt.
Schutz der Praxisgeräte bleibt trotzdem wichtig
Auch wenn Serverbetrieb und Datensicherung im Rechenzentrum oder durch einen Cloud-Anbieter erfolgen, müssen die IT-Infrastruktur in der Praxis wie Computer, Drucker, Kartenlesegeräte, Router etc. weiterhin geschützt sein. Dazu gehören aktuelle Sicherheitsupdates, Virenschutz und die Sensibilisierung des Praxisteams für Phishing-Angriffe.
Auch sollten Praxen regeln, wie die Datensicherung erfolgt und welche Maßnahmen bei Störungen oder Ausfällen vorgesehen sind. Wichtig ist auch zu wissen, wie schnell der Zugriff auf das PVS nach einer Störung wiederhergestellt werden kann.
Nächster Teil am 1. Oktober
Im nächsten Teil unserer Serie am 1. Oktober geht es um smarte Geräte im Praxisalltag.