Die Praxissoftware läuft, Termine werden vergeben, Befunde dokumentiert und Abrechnungen vorbereitet. Doch genau dort verarbeitet ein externer Anbieter täglich hochsensible Gesundheitsdaten Ihrer Patienten. Ein AV-Vertrag für Praxissoftware ist deshalb keine Ablagepflicht für den Datenschutzordner. Er regelt, ob Ihr Softwareanbieter Daten ausschließlich nach Ihren Weisungen verarbeitet, wie er sie absichert und was im Ernstfall passiert.
In vielen Praxen und MVZ liegt zwar ein Vertrag zum Softwarekauf vor, aber kein belastbarer Auftragsverarbeitungsvertrag. Oder der AV-Vertrag stammt aus einer alten Vertragsversion, nennt keine Unterauftragnehmer und passt nicht mehr zu Cloud-Modulen, Fernwartung oder Patientenportalen. Bei einer Beschwerde, einem Sicherheitsvorfall oder einer Prüfung fehlt dann der entscheidende Nachweis.
Wann ein AV-Vertrag für Praxissoftware Pflicht ist
Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist erforderlich, wenn der Anbieter personenbezogene Daten im Auftrag Ihrer Einrichtung verarbeitet. Bei Praxissoftware ist das häufig der Fall, etwa wenn der Anbieter Daten hostet, Backups erstellt, Fernzugriffe für Support und Wartung nutzt oder Cloud-Funktionen bereitstellt. Werden Patientendaten, Abrechnungsdaten oder Daten von Beschäftigten dabei für Ihre Praxis verarbeitet, handelt der Anbieter in der Regel als Auftragsverarbeiter.
Die Lizenz für ein lokal installiertes Programm allein löst nicht automatisch eine Auftragsverarbeitung aus. Läuft die Anwendung ausschließlich auf Ihren eigenen Systemen und hat der Hersteller weder Zugriff auf Daten noch Zugriff auf Sicherungen, kann die Bewertung anders ausfallen. In der Praxis ist diese Konstellation jedoch seltener geworden. Schon eine Fernwartung, ein cloudbasiertes Backup, ein Online-Terminbuchungsmodul oder ein Fehleranalyse-Dienst kann die Rollenverteilung verändern.
Entscheidend ist nicht die Überschrift des Vertrags, sondern der tatsächliche Ablauf. Kann der Anbieter bei Supportfällen auf Echtdaten zugreifen? Liegen Sicherungen in einem Rechenzentrum des Herstellers? Werden Daten an weitere Dienstleister für Hosting, Ticketsysteme oder SMS-Erinnerungen übermittelt? Dann braucht Ihre Einrichtung eine saubere datenschutzrechtliche Einordnung und meist einen passenden AV-Vertrag.
Typische Lücken bei Praxissoftware-Verträgen
Die häufigste Schwachstelle ist der vermeintlich vollständige Softwarevertrag. Er enthält Preise, Laufzeiten und Kündigungsregeln, sagt aber kaum etwas über Verarbeitungsvorgänge, Sicherheitsmaßnahmen oder die Rückgabe von Daten aus. Ein kurzer Satz wie „Datenschutz wird eingehalten“ ersetzt keinen AV-Vertrag.
Auch vorhandene AV-Verträge sind nicht automatisch ausreichend. Besonders kritisch wird es, wenn die Praxis mittlerweile weitere Module gebucht hat: Cloud-Archiv, Videosprechstunde, digitale Anamnese, Online-Terminvergabe, KI-gestützte Dokumentation oder Schnittstellen zu externen Abrechnungsdiensten. Jedes Modul kann zusätzliche Datenflüsse, neue Empfänger und weitere Unterauftragnehmer mitbringen.
Ein weiteres Problem: Supportzugriffe erfolgen oft unter Zeitdruck. Ein Mitarbeiter des Softwareanbieters möchte sich „nur kurz aufschalten“, damit der Praxisbetrieb weitergeht. Ohne festgelegte Freigabe, dokumentierte Berechtigung und nachvollziehbaren Zugriff bleibt unklar, wer wann welche Patientendaten sehen konnte. Das ist nicht nur ein Datenschutzthema, sondern ein organisatorisches Risiko für die Praxisleitung.
Diese Inhalte muss der Vertrag nachvollziehbar regeln
Ein prüfungsfester AV-Vertrag muss den konkreten Einsatz Ihrer Praxissoftware abbilden. Allgemeine Mustertexte helfen nur, wenn sie tatsächlich zu den Verarbeitungsvorgängen passen. Der Vertrag sollte insbesondere klar festlegen:
- Gegenstand und Dauer der Verarbeitung, einschließlich der eingesetzten Softwaremodule und Hosting-Leistungen.
- Art, Zweck und Umfang der Verarbeitung sowie die betroffenen Datenkategorien, insbesondere Gesundheitsdaten nach Art. 9 DSGVO.
- Weisungsrechte Ihrer Einrichtung und feste Regeln für Support, Fernwartung und Administratorzugriffe.
- Technische und organisatorische Maßnahmen des Anbieters, etwa Zugriffsschutz, Verschlüsselung, Protokollierung, Backup und Wiederherstellung.
- Eingesetzte Unterauftragnehmer, deren Standorte und das Verfahren bei geplanten Änderungen.
- Meldewege bei Datenschutzverletzungen, Kontrollrechte sowie Regelungen zur Löschung oder Rückgabe der Daten nach Vertragsende.
Gerade die technischen und organisatorischen Maßnahmen werden oft zu oberflächlich geprüft. Eine Tabelle mit allgemeinen Schlagworten reicht nicht, wenn unklar bleibt, wie Zugriffe auf Patientendaten abgesichert sind oder wie schnell der Anbieter einen Verlust von Daten melden muss. Ihre Einrichtung bleibt datenschutzrechtlich verantwortlich. Sie muss daher beurteilen können, ob die Schutzmaßnahmen zum Risiko passen.
Cloud, Fernwartung und Schnittstellen getrennt bewerten
Praxissoftware ist heute selten ein geschlossenes System. Daten fließen zwischen Praxisverwaltung, KIM-Dienst, Terminplattform, Laboranbindung, TI-Komponenten, Diktierlösung und digitaler Patientenkommunikation. Nicht jeder beteiligte Dienstleister ist automatisch Unterauftragnehmer Ihres Praxissoftware-Anbieters. Manche Unternehmen handeln selbstständig verantwortlich, andere verarbeiten Daten in Ihrem Auftrag. Diese Unterscheidung muss für jeden Dienst nachvollziehbar getroffen werden.
Bei Cloud-Angeboten kommt zusätzlich der Speicherort ins Spiel. Befinden sich Server oder Supportteams außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums, braucht es eine belastbare Prüfung der Drittlandübermittlung. Aussagen wie „unsere Cloud ist DSGVO-konform“ reichen dafür nicht aus. Erforderlich sind konkrete Angaben zu Verarbeitung, Empfängern, rechtlicher Grundlage und Sicherheitsmaßnahmen.
Auch Fernwartung sollte nicht als technische Nebensache behandelt werden. Legen Sie fest, wer in Ihrer Einrichtung einen Zugriff freigibt, ob der Zugriff begleitet wird, wie lange er aktiv bleibt und wie er dokumentiert wird. Bei dringenden Störungen darf der Betrieb weiterlaufen. Dennoch muss klar bleiben, wer Verantwortung trägt und welche Daten eingesehen werden konnten.
So prüfen Sie den AV-Vertrag ohne den Praxisalltag zu blockieren
Starten Sie nicht beim Vertragstext, sondern bei der Realität. Erfassen Sie zunächst alle Funktionen Ihrer Praxissoftware: lokale Installation, Hosting, Backups, Fernwartung, Patientenportal, Online-Termine, Schnittstellen und optionale KI-Funktionen. Häufig zeigt sich erst dabei, dass der bisherige Vertrag nur einen Teil der eingesetzten Leistungen abdeckt.
Fordern Sie danach die aktuelle AV-Vereinbarung, die Liste der Unterauftragnehmer und die technischen und organisatorischen Maßnahmen an. Achten Sie auf Version und Datum. Alte Unterlagen werden oft unverändert abgelegt, obwohl sich Anbieter, Rechenzentren oder Leistungsumfang längst geändert haben. Prüfen Sie außerdem, ob die im Vertrag beschriebenen Ansprechpartner und Meldewege im Alltag erreichbar sind.
Anschließend müssen die internen Zuständigkeiten stehen. Wer darf neue Module beauftragen? Wer gibt Fernwartungen frei? Wer überprüft Änderungen bei Unterauftragnehmern? Wer meldet einen Vorfall, wenn beispielsweise ein Supportzugang falsch eingerichtet war? Ohne diese Zuordnung bleibt selbst ein guter Vertrag wirkungslos.
Was bei fehlendem oder ungeeignetem Vertrag droht
Ein fehlender AV-Vertrag bedeutet nicht automatisch, dass Patientendaten öffentlich werden. Er zeigt aber eine Pflichtverletzung in einem besonders sensiblen Bereich. Kommt zusätzlich ein Sicherheitsvorfall hinzu, wird die fehlende Dokumentation zum handfesten Problem: Die Praxis kann nicht belegen, welche Vorgaben sie dem Anbieter gemacht, welche Kontrollen sie durchgeführt und welche Schutzmaßnahmen sie verlangt hat.
Für Praxisinhaber, Geschäftsführungen und Datenschutzverantwortliche entsteht dann doppelter Druck. Neben der Klärung des technischen Vorfalls müssen sie gegenüber Aufsichtsbehörde, Patienten oder Vertragspartnern belastbare Unterlagen vorlegen. Wer erst dann Verträge zusammensucht, Verantwortlichkeiten klärt und Datenflüsse rekonstruiert, verliert wertvolle Zeit.
Eine fachliche Prüfung schafft deshalb mehr als formale Rechtssicherheit. Sie zeigt, welche Verträge fehlen, welche Klauseln angepasst werden müssen und welche Prozesse intern nachzuhalten sind. Für Einrichtungen im Gesundheitswesen zählen nicht allgemeine Datenschutzversprechen, sondern Nachweise, die im konkreten Betrieb funktionieren.
Wenn Ihre Praxissoftware morgen wegen einer Störung Fernzugriff benötigt, sollte niemand erst entscheiden müssen, ob das datenschutzrechtlich erlaubt ist. Der richtige AV-Vertrag und ein klarer Freigabeprozess sorgen dafür, dass Ihre Praxis handlungsfähig bleibt, ohne den Schutz der Patientendaten dem Zeitdruck zu überlassen.
