Behandlungsdokumentation sicher führen: Leitfaden Schweiz

Kurz gesagt:

• Eine revisionssichere Behandlungsdokumentation schützt Patienten und Ärzte durch rechtliche Konformität und Vollständigkeit. Sie erfordert besondere technische Sicherheitsmaßnahmen, klare Prozesse und eine geeignete Praxissoftware. Nur durch Kombination aus richtiger Software und diszipliniertem Umgang bleibt die Dokumentation im Streitfall rechtskräftig.

Sichere Behandlungsdokumentation ist die revisionssichere, rechtlich konforme und vollständige Erfassung aller relevanten Behandlungsdaten zum Schutz von Patienten und medizinischem Fachpersonal. Sie bildet das Fundament ärztlicher Sorgfaltspflicht und ist in der Schweiz durch das revDSG, das KVG sowie internationale Standards wie die DSGVO geregelt. Wer Dokumentation als Sorgfaltspflicht versteht und nicht bloss als Verwaltungsaufwand, schützt Patienten, sichert Behandlungsqualität und vermeidet Haftungsrisiken. Dieser Leitfaden richtet sich an Ärzte, Therapeuten und medizinische Fachkräfte in der Schweiz, die ihre Dokumentationsprozesse auf ein rechtssicheres Fundament stellen wollen.

Welche rechtlichen Anforderungen gelten für eine sichere Behandlungsdokumentation?

Die gesetzliche Pflicht zur Behandlungsdokumentation ergibt sich in der Schweiz aus mehreren Rechtsquellen gleichzeitig. Das KVG verpflichtet Leistungserbringer zur vollständigen Dokumentation erbrachter Leistungen. Das revDSG regelt den Umgang mit besonders schützenswerten Personendaten, zu denen Gesundheitsdaten ausdrücklich zählen. Ergänzend gelten die Standesordnung der FMH sowie kantonale Gesundheitsgesetze.

Medizinische Behandlungsakten müssen mindestens zehn Jahre aufbewahrt werden. Für spezielle Behandlungen wie Strahlentherapie beträgt die Frist bis zu 30 Jahre. Diese Fristen gelten ab dem letzten Behandlungsdatum und sind nicht verhandelbar.

Die rechtliche Konsequenz mangelhafter Dokumentation ist gravierend. Bei einem Haftungsfall wird die Beweislast zugunsten des Patienten umgekehrt: Was nicht dokumentiert ist, gilt als nicht durchgeführt. Dieser Grundsatz gilt auch in der Schweiz und kann im Streitfall dazu führen, dass korrekt erbrachte Leistungen juristisch nicht anerkannt werden.

Patienten haben ein umfassendes Einsichtsrecht in ihre Dokumentation. Saubere, vollständige Akten stärken das Vertrauen und verringern das Risiko von Beschwerden. Praxen, die Auskunftsanfragen nicht innerhalb der gesetzlichen Frist beantworten können, setzen sich zusätzlichen Risiken aus.

Die wichtigsten rechtlichen Anforderungen im Überblick:

• Vollständigkeit: Alle relevanten Diagnosen, Massnahmen, Medikamente und Verlaufsnotizen müssen erfasst sein.
• Zeitnähe: Einträge sind unverzüglich nach der Behandlung vorzunehmen.
• Nachvollziehbarkeit: Änderungen und Ergänzungen müssen als solche erkennbar sein, mit Datum und Urheberangabe.
• Aufbewahrung: Mindestens 10 Jahre, bei Strahlenbehandlung bis zu 30 Jahre.
• Auskunftspflicht: Patienten erhalten auf Anfrage Einsicht oder Kopien ihrer Unterlagen.

Profi-Tipp: Führen Sie ein internes Dokumentationsprotokoll, das festhält, wann welche Einträge erstellt oder geändert wurden. Das schützt Sie im Streitfall auch dann, wenn das Softwaresystem keinen automatischen Audit-Trail bietet.

Was sind die technischen Anforderungen an elektronische Behandlungsdokumentation?

Revisionssicherheit ist das zentrale technische Merkmal jeder rechtskonformen elektronischen Patientenakte. Sie bedeutet konkret: Einträge dürfen nicht spurlos überschrieben werden. Elektronische Dokumentation erfordert Unveränderbarkeit, dokumentierte Änderungen mit Zeitstempel und Nutzerkennung sowie dauerhafte Verfügbarkeit der Daten über die gesamte Aufbewahrungsfrist.

Versionierung und Protokollierung sind dabei keine optionalen Zusatzfunktionen. Sie sind rechtlich notwendig. Jede Änderung an einem Eintrag muss die ursprüngliche Version erhalten und die neue Version mit Zeitstempel, Benutzerkennung und Änderungsgrund speichern. Systeme ohne diesen Mechanismus sind für die rechtskonforme Dokumentation ungeeignet.

Beim Datenschutz gelten nach revDSG und DSGVO strenge Anforderungen für Gesundheitsdaten. Cloudlösungen für medizinische Dokumentation müssen neben Datenschutz technische Massnahmen wie AES-256-Verschlüsselung und TLS 1.3 für die Datenübertragung bieten und den Einsatz von KI zur Verarbeitung von Patientendaten explizit ausschliessen. Der Serverstandort muss in der Schweiz oder im EWR liegen.

Beim sicheren Löschen von Gesundheitsdaten gelten besondere Pflichten. Sensible Daten müssen durch Überschreiben oder vollständige Schlüsselentfernung unwiderruflich vernichtet werden. Löschprotokolle und Zertifikate sind für mindestens 10 Jahre aufzubewahren. Das ist ein Punkt, den viele Praxen unterschätzen.

Die technischen und organisatorischen Mindestanforderungen (TOM) umfassen:

• Zugriffsschutz: Rollenbasierte Berechtigungen, sodass nur autorisiertes Personal Einblick erhält.
• Verschlüsselung: AES-256 für gespeicherte Daten, TLS 1.3 für die Übertragung.
• Audit-Trail: Automatische Protokollierung aller Zugriffe, Änderungen und Löschvorgänge.
• Datensicherung: Regelmässige, verschlüsselte Backups mit dokumentierter Wiederherstellbarkeit.
• Löschkonzept: Dokumentiertes Verfahren zur sicheren Vernichtung von Daten nach Ablauf der Aufbewahrungsfrist.

Profi-Tipp: Fragen Sie Ihren Softwareanbieter schriftlich nach dem aktuellen Verarbeitungsverzeichnis und dem Auftragsverarbeitungsvertrag (AVV). Fehlt eines dieser Dokumente, ist das ein klares Warnsignal.

Welche Praxissoftware eignet sich für sichere Behandlungsdokumentation?

Die Wahl der richtigen Software entscheidet darüber, ob Ihre Dokumentation im Ernstfall standhält. Standard-Bürosoftware wie Word, OneNote oder Excel bietet keinen versionierten Audit-Trail. Änderungen werden spurlos überschrieben. Das macht solche Dokumente juristisch wertlos, auch wenn der Inhalt korrekt ist.

Spezialisierte Praxissoftware für die Schweiz muss dagegen konkrete Sicherheitsmerkmale nachweisen. Die Unterschiede zwischen geeigneten und ungeeigneten Lösungen sind erheblich:

Sichere Praxissoftware bietet einen DSGVO-konformen Auskunftsexport für Patientendaten im strukturierten PDF-Format, inklusive Behandlungshistorie, Rechnungen und Dokumenten. Das erfüllt die Anforderungen aus Art. 15 DSGVO direkt und ohne manuellen Aufwand.

Ein wichtiger Punkt, den viele Praxen übersehen: Die Nutzung eines DSGVO-konformen Cloud-Anbieters ist keine Garantie für rechtssichere Praxissoftware. Technische und organisatorische Massnahmen müssen aktiv geprüft werden. Ein Zertifikat allein reicht nicht.

Checkliste für die Auswahl sicherer Praxissoftware in der Schweiz:

• Audit-Trail mit Zeitstempel und Nutzerkennung vorhanden?
• Serverstandort in der Schweiz oder im EWR bestätigt?
• Auftragsverarbeitungsvertrag (AVV) verfügbar?
• Verschlüsselung nach AES-256 und TLS 1.3 dokumentiert?
• Auskunftsexport nach Art. 15 DSGVO integriert?
• Löschkonzept mit Zertifikatspflicht vorhanden?
• Kompatibilität mit TARMED, TARDOC oder SwissDRG gegeben?

Wie setzt man sichere Behandlungsdokumentation im Praxisalltag um?

Sichere Dokumentation scheitert in der Praxis selten an der Software. Sie scheitert an Prozessen und Gewohnheiten. Elektronische Dokumentation muss unverzüglich, vollständig und mit erkennbarem Änderungsnachweis geführt werden. Das klingt selbstverständlich, wird aber im hektischen Praxisalltag regelmässig vernachlässigt.

Die folgenden Schritte helfen dabei, sichere Dokumentationsprozesse dauerhaft zu verankern:

1. Zeitnahe Dokumentation als Pflicht definieren: Legen Sie fest, dass Einträge spätestens am Ende des Behandlungstages abgeschlossen sein müssen. Nachträgliche Einträge sind zwar möglich, müssen aber als solche gekennzeichnet werden.

2. Änderungen immer kennzeichnen: Korrekturen dürfen nie den ursprünglichen Eintrag überschreiben. Ergänzungen erhalten Datum, Uhrzeit und Kürzel des Verfassers. Das ist keine Formalität, sondern rechtliche Pflicht.

3. Zuständigkeiten klar regeln: Definieren Sie, wer in Ihrer Praxis welche Einträge vornehmen darf. Medizinische Fachangestellte dokumentieren administrative Daten, Ärzte und Therapeuten klinische Befunde. Rollenbasierte Zugriffsrechte in der Software bilden das ab.

4. Mitarbeiterschulungen regelmässig durchführen: Neue Mitarbeitende erhalten eine Einführung in das Dokumentationssystem. Bestehende Teams werden mindestens einmal jährlich auf aktuelle rechtliche Anforderungen hingewiesen. Schulungsnachweise gehören in die Personalakte.

5. Regelmässige Sicherheitsüberprüfungen einplanen: Prüfen Sie halbjährlich, ob Zugriffsrechte noch aktuell sind, ob ausgeschiedene Mitarbeitende deaktiviert wurden und ob Backups funktionieren. Ein kurzes internes Audit genügt dafür.

Papierdokumente, die noch in vielen Praxen existieren, müssen gesondert gesichert werden. Originale gehören in abschliessbare Schränke mit Zugangskontrolle. Digitalisierte Kopien ersetzen das Original nur dann rechtssicher, wenn das Scanverfahren dokumentiert und die Bildqualität nachweislich ausreichend ist.

Profi-Tipp: Erstellen Sie eine einseitige interne Dokumentationsrichtlinie, die alle Kernpflichten zusammenfasst. Hängen Sie sie im Behandlungsraum aus. Das reduziert Fehler und zeigt bei einer Prüfung, dass Ihre Praxis Dokumentationssicherheit ernst nimmt.

Was ich nach Jahren im Schweizer Praxisumfeld gelernt habe

Der häufigste Fehler, den ich beobachte, ist nicht die falsche Software. Er ist die falsche Einstellung zur Dokumentation. Viele Praxen behandeln sie als lästige Pflicht, die man so schnell wie möglich hinter sich bringt. Das rächt sich.

Ich habe Praxen gesehen, die jahrelang mit Word-Dokumenten gearbeitet haben, weil “das ja immer so gemacht wurde”. Kein Audit-Trail, keine Versionierung, keine Zugriffsprotokoll. Als es dann zu einem Haftungsfall kam, waren diese Dokumente vor Gericht praktisch wertlos. Nicht weil der Inhalt falsch war, sondern weil er nicht nachweisbar war.

Digitale Lösungen lösen dieses Problem, aber nur wenn sie richtig eingerichtet sind. Ein Cloud-System mit Schweizer Serverstandort, AVV und AES-256-Verschlüsselung ist ein guter Anfang. Aber ich habe auch Praxen gesehen, die solche Systeme hatten und trotzdem keine Zugriffsrechte gepflegt haben. Ehemalige Mitarbeitende hatten noch Monate nach ihrem Austritt aktiven Zugang. Das ist ein Datenschutzvorfall, der sich mit einem einfachen Prozess verhindern lässt.

Was wirklich funktioniert, ist die Kombination aus guter Software und klaren internen Regeln. Die Software schafft die technische Grundlage. Die Regeln sorgen dafür, dass sie auch genutzt wird. Wer beides hat, schläft ruhiger. Und seine Patienten sind besser geschützt.

Auf dem Blog von Medicloudmed finden sich weitere praxisnahe Beiträge zu Datensicherheit und Dokumentationspflichten im Schweizer Gesundheitswesen.

— Uli

Medicloudmed: Behandlungsdokumentation für Schweizer Praxen

Wer eine rechtskonforme, revisionssichere Dokumentation führen will, braucht eine Software, die dafür gebaut wurde. Medicloudmed ist eine cloudbasierte Praxissoftware für die Schweiz, entwickelt von der Zaala AG, mit integrierter elektronischer Patientenakte, Audit-Trail, Zugriffsschutz und Abrechnung nach TARMED, TARDOC und SwissDRG. Der Serverstandort ist in der Schweiz. AVV und Datenschutzkonzept sind verfügbar. Die Software ist modular aufgebaut, für alle Fachrichtungen geeignet und jederzeit kündbar. Für eine persönliche Beratung steht ein Termin über calendly.com/medicloudmed zur Verfügung.

FAQ

Wie lange muss eine Behandlungsdokumentation aufbewahrt werden?

Medizinische Behandlungsakten müssen mindestens 10 Jahre aufbewahrt werden. Bei Strahlenbehandlungen beträgt die Frist bis zu 30 Jahre, gerechnet ab dem letzten Behandlungsdatum.

Was bedeutet Revisionssicherheit bei der elektronischen Patientenakte?

Revisionssicherheit bedeutet, dass Einträge nicht spurlos verändert werden können. Jede Änderung wird mit Zeitstempel, Nutzerkennung und ursprünglichem Inhalt protokolliert und bleibt dauerhaft nachvollziehbar.

Darf ich Behandlungsdokumentation mit Word oder Excel führen?

Nein. Standard-Bürosoftware bietet keinen versionierten Audit-Trail. Änderungen werden spurlos überschrieben, was die Dokumente im Haftungsfall juristisch wertlos macht.

Was passiert bei mangelhafter Dokumentation im Haftungsfall?

Bei unvollständiger oder fehlerhafter Dokumentation wird die Beweislast umgekehrt. Was nicht dokumentiert ist, gilt als nicht durchgeführt. Das kann dazu führen, dass korrekt erbrachte Leistungen rechtlich nicht anerkannt werden.

Welche Datenschutzanforderungen gelten für Cloud-Praxissoftware in der Schweiz?

Cloud-Praxissoftware muss einen Serverstandort in der Schweiz oder im EWR haben, AES-256-Verschlüsselung und TLS 1.3 einsetzen sowie einen Auftragsverarbeitungsvertrag (AVV) bereitstellen. Die Nutzung eines DSGVO-konformen Anbieters allein reicht nicht aus. Technische und organisatorische Massnahmen müssen aktiv geprüft werden.