Sicherheit und Datenschutz - Zwei-Faktor-Login, Verschlüsselung, DSGVO

Der sensibelste Datensatz in einer Praxissoftware ist nicht Ihrer, sondern der Ihrer Klientinnen und Klienten: Gesundheitsgeschichte, Messwerte, Sitzungsnotizen, Kontaktdaten. Die DSGVO stuft das als besondere Kategorie personenbezogener Daten ein, also mit höherem Schutzbedarf als eine gewöhnliche Kundenakte.

Die Rollen sind so verteilt: Sie sind verantwortlich für diese Daten, Vitena verarbeitet sie in Ihrem Auftrag. Diese Seite behandelt beide Hälften getrennt – die Maßnahmen auf unserer Seite und die, die auf Ihrer Seite liegen. Keine ersetzt die andere.

Wer in einen Praxiszugang gelangt, sieht sämtliche Klientenakten darin. Damit ist die Eingangstür der wertvollste Punkt im ganzen System. Ein Passwort allein ist nur so stark wie die unachtsamste Stelle, an der Sie es wiederverwendet haben – oder wie die überzeugendste Phishing-Mail, die an einem hektischen Morgen hereinkommt.

Vitena bietet optionale Zwei-Faktor-Authentifizierung. Ist sie aktiv, braucht die Anmeldung zweierlei: etwas, das Sie wissen (Ihr Passwort), und etwas, das Sie besitzen (Ihr Telefon). Die sechsstelligen Codes erzeugt jede gängige Authenticator-App: Google Authenticator, Microsoft Authenticator, Authy, 1Password. Der Code wird auf dem Telefon aus dessen eigener Uhr berechnet, er braucht also weder Internet noch Mobilfunknetz.

Auf SMS verzichten wir bewusst: SIM-Swapping hat den Code per Kurznachricht als zweiten Schritt unzuverlässig gemacht.

Daten sind an zwei Punkten angreifbar: unterwegs und im Ruhezustand. Für beides gibt es eigene Maßnahmen.

• Verschlüsselung bei der Übertragung: der gesamte Verkehr zwischen Ihrem Browser oder der mobilen App und unseren Servern läuft über HTTPS (TLS). Selbst im offenen WLAN eines Cafés kann niemand dazwischen mitlesen.
• Passwörter sind nicht umkehrbar: Passwörter werden als bcrypt-Hash gespeichert, nie im Klartext. Wer die Datenbank liest, liest Ihr Passwort nicht, und wenn Sie es vergessen, senden wir Ihnen einen Link zum Zurücksetzen statt des alten Passworts.
• Sensible Schlüssel bekommen eine zweite Schicht: Ihr Zwei-Faktor-Geheimnis und, falls verbunden, Ihr Google-Kalender-Zugriffstoken werden mit AES-256-GCM verschlüsselt, bevor sie in die Datenbank geschrieben werden.
• Hochgeladene Dateien: Klientendokumente, Behandlungsfotos und Berichtsanhänge liegen verschlüsselt auf der Platte (AES-256). Der Speicher ist nicht zum Internet hin offen, Dateien werden nur über kurzlebige Links an eine berechtigte Sitzung ausgeliefert; läuft der Link ab, ist er wertlos.
• Kartendaten erreichen uns nie: Abo-Zahlungen laufen mit 3D Secure über den Zahlungsdienstleister. Die Kartennummer berührt keinen Vitena-Server.
• Entzug wirkt sofort: in dem Moment, in dem Sie einen Benutzer archivieren oder sperren, endet dessen Sitzung – ohne Wartezeit bis zum nächsten Tag oder zur nächsten Anmeldung.

Vitena läuft auf Amazon Web Services innerhalb der Europäischen Union, in der Region Frankfurt (eu-central-1). Anwendungsserver, Datenbank, Dateispeicher, Auslieferung der Inhalte und ausgehende E-Mails liegen dort. Dort werden Ihre Klientenakten gespeichert.

• Die Datenbank ist zum Internet hin geschlossen: sie liegt in einem privaten Netzabschnitt ohne Weg von außen. Nur die Anwendung selbst erreicht sie.
• Sicherungen: die Datenbank wird automatisch gesichert, und die Sicherungen bleiben in derselben EU-Region.
• Unterauftragsverarbeiter: wir veröffentlichen jeden eingesetzten Dienst und wofür er genutzt wird. Die vollständige Liste: vitena.care/data-protection

KI-Funktionen sind ein eigenes Thema, und sie sind freiwillig. Text geht nur dann an einen Modellanbieter, wenn Sie selbst eine Aufgabe starten: ein Planentwurf, ein Notizentwurf, das Auslesen eines Dokuments. Nichts durchsucht Ihre Akten im Hintergrund. Diese Anbieter sitzen in den USA und sind über Standardvertragsklauseln gebunden; welche Funktion was sendet, steht auf derselben Datenschutzseite.

Jede Praxis liegt in ihrem eigenen Datenbankschema, die Akten zweier Praxen vermischen sich also nie in denselben Tabellen. Zu welcher Praxis eine Anfrage gehört, wird auf Verbindungsebene bestimmt, und lässt sich das nicht bestimmen, wird die Anfrage abgewiesen – ein "im Zweifel trotzdem anzeigen" gibt es nicht.

Die zweite Trennungsebene liegt innerhalb Ihrer eigenen Praxis:

• Rollen und Berechtigungen: jedes Teammitglied bekommt nur, was seine Aufgabe braucht. Der Empfang sieht den Termin, ohne die Sitzungsnotizen zu sehen.
• Klientenportal: eine Klientin sieht ausschließlich ihre eigenen Akten, ihren Plan und ihre Termine.
• Selbstanmeldung am Eingang: der Kiosk-Bildschirm trägt nichts über die Patienten des Tages, weder eine Zahl noch eine Initiale. Wer die Adresse findet, erfährt nichts.
• Ausscheidende Mitarbeitende: mit dem Archivieren endet die Sitzung sofort, auch der offen gelassene Tab.

Rechtlich sieht es so aus: Sie sind verantwortlich für die Daten Ihrer Klientinnen und Klienten, Vitena verarbeitet sie nach Ihren Weisungen. Der Vertrag, der das schriftlich festhält, der AV-Vertrag nach Art. 28 DSGVO, ist in jedem Tarif kostenlos, auch im kostenlosen: vitena.care/dpa

Das System macht die Rechte Ihrer Klientinnen und Klienten außerdem praktisch erfüllbar:

• Auskunft: was zu welchem Zweck verarbeitet wird, steht unter vitena.care/privacy.
• Datenübertragbarkeit: Sie exportieren die Akte einer Klientin mit wenigen Klicks.
• Recht auf Löschung: Löschanfragen werden mit Identitätsprüfung unter vitena.care/gdpr-verify bearbeitet.
• Einschränkung und Einwilligung: Einwilligungen werden genau so aufbewahrt, wie sie unterschrieben wurden. Ändert sich der Text später, bleibt die unterschriebene Fassung unangetastet.

Ein System ist nur so stark wie sein schwächstes Glied, und dieses Glied ist meist eine Alltagsgewohnheit, keine Codezeile. Diese Liste kostet fünf Minuten und schließt den größten Teil dessen, was in Praxen tatsächlich schiefgeht: