Ein Patient möchte seine gesamte Akte einsehen. Am Empfang stellt Lucie F. fest, dass sie gar nicht sagen könnte, wo all diese Informationen genau liegen: teils in der Praxissoftware, teils in E-Mails, ein paar Scans auf einem USB-Stick. Dr. Anne P. wiederum stellt sich eine einfachere und beunruhigendere Frage: Dürfen wir überhaupt so arbeiten?
Datenschutz: was das revDSG wirklich erwartet
Seit dem 1. September 2023 wendet die Schweiz das revDSG an — das revidierte Datenschutzgesetz. Es richtet sich nicht nur an Grosskonzerne: Jede Organisation, die Personendaten hält, ist betroffen, auch eine Arztpraxis im Quartier. Vor dem Gesetz ist diese Praxis ein «Verantwortlicher»: derjenige, der entscheidet, warum und wie Personendaten bearbeitet werden. Er trägt die Verantwortung — nicht seine Software und nicht sein IT-Dienstleister.
Zwei Begriffe verändern für eine Praxis alles. Erstens «besonders schützenswerte Daten»: Gesundheitsdaten gehören dazu, ebenso wie religiöse Ansichten, Gewerkschaftszugehörigkeit oder biometrische Daten. Das Gesetz schützt sie strenger als Ihre Lieferantenliste. Zweitens «angemessene» Sicherheit: Das revDSG verlangt nirgends einen perfekten Schutz oder einen digitalen Tresor wie bei einer Grossbank. Es verlangt Massnahmen, die dem Risiko angemessen sind — je sensibler und umfangreicher die Daten, desto höher das erwartete Niveau. Für eine Praxis liegt die Latte damit eine Stufe höher als für ein Quartiergeschäft, bleibt aber gut erreichbar.
Im Klartext, wie Camille, unsere Beraterin, sagen würde: Das revDSG verlangt nicht, dass Sie perfekt sind, sondern dass Sie sorgfältig sind und dies belegen können. Für konkrete Schritte veröffentlicht das Bundesamt für Cybersicherheit (BACS, ehemals NCSC) praxisnahe Empfehlungen für KMU — ein guter Kompass, wenn man nicht weiss, wo anfangen.
Konkret beschränkt sich «Daten bearbeiten» nicht darauf, sie in einer Software zu speichern. Es bedeutet auch, sie anzusehen, auszudrucken, zu versenden, auf einen Stick zu kopieren, zu archivieren oder zu löschen. Jede dieser alltäglichen Handlungen fällt in den Anwendungsbereich des Gesetzes. Deshalb ist «angemessene» Sicherheit nicht nur eine Frage der Firewall: Sie beruht auch auf sehr menschlichen Dingen, etwa zu wissen, wer welche Akte geöffnet hat. Ein Empfang, an dem alle dasselbe Konto teilen, kann diese Frage nicht beantworten — und genau auf solche Details schaut das Gesetz, weil sie die Nachvollziehbarkeit im Problemfall bestimmen.
Und die DSGVO, die europäische Verordnung, von der alle reden? Sie betrifft Sie nur, wenn Sie Daten von Personen in der Europäischen Union bearbeiten — etwa Grenzgänger-Patienten mit Wohnsitz in Frankreich. Für die grosse Mehrheit der Schweizer KMU hat das revDSG Vorrang, und dort sollten Sie beginnen. Man muss nicht im europäischen Recht versinken, wenn die Patientschaft schweizerisch ist.
Das Wichtigste in Kürze
Drei Gedanken genügen, um das Thema zu fassen.
Erstens: Das revDSG denkt in Verantwortung, nicht in Zertifikaten. Niemand wird Ihnen einen Stempel «konform» ausstellen. Von Ihnen wird erwartet, dass Sie auf Nachfrage eines Patienten oder einer Behörde erklären können, welche Daten Sie halten und wie Sie sie schützen. Das ist eine Haltung über die Zeit, keine Prüfung, die man ein für alle Mal besteht.
Zweitens: «Angemessen» heisst verhältnismässig. Sie müssen nicht bis morgen früh alles verschlüsseln und abriegeln. Sie müssen zuerst wissen, was bei Ihnen die grösste Aufmerksamkeit verdient — und das sind fast immer die Gesundheitsdaten und die Zugänge, die zu ihnen führen. Ein persönliches Konto pro Person, eine bewusst festgelegte statt einfach hingenommene Aufbewahrungsdauer, ein ehemaliger Mitarbeitender, dessen Zugang tatsächlich gesperrt wurde: Das sind bescheidene Massnahmen, aber genau das meint «angemessen» für eine Gesundheitseinrichtung.
Drittens: Bei einem Leck sieht das Gesetz eine Meldung vor. Wenn eine Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt, muss der Verantwortliche den EDÖB — den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten, die Schweizer Aufsichtsbehörde — so rasch als möglich benachrichtigen. Es ist nicht die feste 72-Stunden-Frist der DSGVO, aber der Geist ist derselbe: Man verheimlicht einen Vorfall nicht, man meldet ihn.
Schritte für diese Woche
1. Kartieren Sie Ihre schützenswerten Daten
Nehmen Sie ein Blatt Papier — wirklich — und listen Sie auf, was Sie halten: Patientenakten, Analyseergebnisse, Rechnungen mit der Versicherung, Personaldaten. Notieren Sie für jede Kategorie, wo sie gespeichert ist, wer Zugriff hat und wie lange Sie sie aufbewahren. Diese Liste hat im Gesetz einen Namen: das Verzeichnis der Bearbeitungstätigkeiten, also die schlichte Beschreibung dessen, was Sie mit den Daten tun. Kleine Unternehmen sind grundsätzlich befreit, doch sobald schützenswerte Daten bearbeitet werden — der Fall einer Praxis — wird das Verzeichnis wieder zur Norm. Es erlaubt Ihnen nebenbei, einem Patienten, der seine Akte verlangt, innert zehn Minuten zu antworten, statt wie Lucie F. überall zu suchen.
2. Reservieren Sie einen sicheren Kanal für Gesundheitsdaten
Eine gewöhnliche E-Mail ist eine Postkarte: von mehr Leuten lesbar, als man denkt, und selten in der Schweiz gehostet. Ein Analyseergebnis auf diesem Weg zu versenden, ist die häufigste und riskanteste Handlung einer Praxis. Die meisten Praxisprogramme bieten eine sichere Nachrichtenfunktion oder ein Patientenportal: Machen Sie es zum Standardkanal für alles Gesundheitsbezogene. Und stellen Sie eine einfache Regel für das Team auf: Keine schützenswerten Daten verlassen das Haus per Standard-E-Mail oder auf einem unverschlüsselten USB-Stick (einem Stick, dessen Inhalt ohne Passwort nicht unlesbar gemacht wird).
3. Bereiten Sie den «Verletzungs»-Reflex vor
Niemand denkt gern daran, und genau deshalb sollte man es in Ruhe tun. Schreiben Sie eine halbe Seite: Was tun wir, wenn ein Laptop verschwindet, wenn eine Akte an den falschen Empfänger geht oder wenn die Praxis von einem Erpressungstrojaner getroffen wird (einer Software, die Ihre Dateien bis zur Zahlung eines Lösegelds blockiert)? Wer wird intern alarmiert, wer entscheidet, und in welchen Fällen kontaktieren wir den EDÖB? Diese Antworten vor dem Vorfall schriftlich zu haben, spart Ihnen am Tag X die Stunden, die wirklich zählen.
Wo stehen Sie wirklich?
Die gute Nachricht: Keiner dieser Schritte erfordert ein grosses Budget oder eine interne IT-Fachperson. Die weniger gute: Allein ist es schwer zu wissen, ob man genug tut — oder ob man sich an einem Detail abarbeitet und dabei eine Tür weit offen lässt.
Genau hier setzt eine strukturierte Selbstbeurteilung gegenüber den Anforderungen des revDSG an. Cyber Passport zertifiziert nichts und vergibt kein Label: Es führt Sie Frage um Frage durch das, was das Gesetz erwartet und was Sie tatsächlich umgesetzt haben, und zeigt Ihnen dann schwarz auf weiss, wo Sie solide sind und wo Sie noch allein auf guten Willen bauen. Und um aus dieser Momentaufnahme einen Aktionsplan für den Datenschutz zu machen — vom Verzeichnis bis zu den Patientenrechten — legt unser dedizierter Blueprint den Weg Schritt für Schritt dar.
