TL;DR:
- Viele Schweizer Praxen glauben fälschlicherweise, einfache digitale Lösungen seien ausreichend, um alle rechtlichen Vorgaben zu erfüllen. Die komplexen Anforderungen des revidierten Datenschutzgesetzes, des Elektronischen Patientendossiers und branchenspezifischer Standards erfordern jedoch umfassende technische und organisatorische Maßnahmen. Nur eine systematische Umsetzung dieser Regeln schützt Praxen vor rechtlichen Konsequenzen, Sanktionen und Vertrauensverlust.
Viele Praxen in der Schweiz glauben, mit einer einfachen digitalen Lösung für Termine und Patientenakten bereits alle rechtlichen Anforderungen zu erfüllen. Diese Einschätzung ist falsch und kann teuer werden. Die gesetzliche Realität ist deutlich komplexer: Mit dem revidierten Datenschutzgesetz, den Anforderungen des Elektronischen Patientendossiers und branchenspezifischen IT-Standards stehen Ärzt:innen und Therapeut:innen vor einem dichten Geflecht aus Pflichten. Dieser Artikel zeigt Ihnen, welche gesetzlichen Grundlagen wirklich gelten, wo typische Stolperfallen liegen und wie Sie Ihre gesetzliche Grundlagen für Praxissoftware strukturiert und praxistauglich umsetzen.
Wichtige Erkenntnisse
| Punkt | Details |
|---|---|
| Rechtliche Grundlagen kennen | Das revidierte DSG und das EPDG definieren die zentrale Basis für jede Praxissoftware in der Schweiz. |
| Praktische Umsetzung beachten | Neben Technik spielen organisatorische Maßnahmen und klare Verantwortlichkeiten eine Schlüsselrolle. |
| EPD-Anforderungen einplanen | Die neuen Vorgaben zur Integration und Protokollierung müssen bis 2027 umgesetzt werden. |
| Software gezielt auswählen | Nur Lösungen, die gesetzlichen und branchenspezifischen Standards entsprechen, schützen vor Risiken. |
Gesetzliche Grundlagen und Schutzziele für Praxissoftware
Der rechtliche Rahmen für Praxissoftware in der Schweiz hat sich in den letzten Jahren erheblich verdichtet. Wer als Arzt oder Therapeut eine digitale Lösung einsetzt, trägt die volle Verantwortung für die korrekte Verarbeitung von Gesundheitsdaten. Ein kurzer Überblick über die relevantesten Gesetze ist deshalb keine akademische Übung, sondern gelebte Praxispflicht.
Das revidierte Datenschutzgesetz (nDSG) und seine Bedeutung
Das neue Schweizer Datenschutzgesetz (nDSG) ist seit September 2023 vollständig in Kraft. Gesundheitsdaten gelten darin ausdrücklich als besonders schützenswert. Die Einhaltung des nDSG beim Umgang mit solchen Daten ist seither gesetzliche Pflicht ohne Ausnahme. Das bedeutet konkret: Praxen müssen technische und organisatorische Maßnahmen nachweisbar umsetzen, nicht nur ankündigen.
Das nDSG stärkt insbesondere die Rechte der betroffenen Personen. Patient:innen können Auskunft über ihre gespeicherten Daten verlangen, Korrekturen fordern und unter bestimmten Voraussetzungen die Löschung beantragen. Die Praxis muss diese Prozesse so organisieren, dass sie darauf fristgerecht und vollständig reagieren kann.
EPDG und EPDV-EDI: Gesetzlicher Rahmen für das Elektronische Patientendossier
Neben dem nDSG reguliert das Bundesgesetz über das Elektronische Patientendossier (EPDG) den Umgang mit digitalen Patienteninformationen auf einer weiteren Ebene. Die zugehörige Verordnung des Eidgenössischen Departements des Innern (EPDV-EDI) konkretisiert die technischen und organisatorischen Anforderungen für alle Beteiligten. Diese beiden Instrumente schaffen die Grundlage dafür, wie Patientendaten sicher und interoperabel verwaltet werden müssen.
| Gesetz / Verordnung | Stichtag / Gültigkeit | Schutzziel |
|---|---|---|
| nDSG (revidiertes DSG) | September 2023 | Schutz besonders sensibler Gesundheitsdaten |
| EPDG | Seit 2020, laufend angepasst | Interoperabilität und Datensouveränität |
| EPDV-EDI (revidiert) | Ab 1. Juni 2025, Übergangsfristen bis 2027 | Technische Standards für EPD-Zugriff und Protokollierung |
| Kantonale Ausführungsgesetze | Je nach Kanton unterschiedlich | Lokale Vernetzungspflichten |
Vier Kernbereiche, die jede konforme Praxissoftware abdecken muss
Die rechtlichen Risiken digitaler Praxissoftware werden häufig unterschätzt, weil sie sich über mehrere Rechtsbereiche verteilen. Folgende vier Kernbereiche sind für jede Praxis nicht verhandelbar:
- Datensicherheit: Verschlüsselung gespeicherter und übertragener Daten, Zugriffskontrollen und Backupkonzepte müssen dokumentiert und regelmäßig geprüft werden.
- Dokumentation: Sämtliche Verarbeitungsschritte, Änderungen an Patientendaten und Zugriffshistorien müssen lückenlos nachvollziehbar sein.
- Transparenz: Patient:innen müssen jederzeit Auskunft über die Verwendung ihrer Daten erhalten können; dies erfordert definierte Prozesse und klare Verantwortlichkeiten.
- Nachvollziehbarkeit: Bei Audits oder Sicherheitsvorfällen muss die Praxis belegen können, wer wann welche Daten eingesehen oder verändert hat.
Praxen, die diese vier Bereiche systematisch adressieren, sind nicht nur rechtlich sicherer aufgestellt, sondern stärken auch das Vertrauen ihrer Patient:innen.
Kernthemen der Compliance: Datenschutz, Sicherheit und organisatorische Maßnahmen
Gesetzliche Vorgaben formulieren Anforderungen oft bewusst technologieneutral. Begriffe wie “angemessene Maßnahmen” klingen auf den ersten Blick interpretationsoffen. In der Praxis bedeutet das jedoch nicht Beliebigkeit, sondern Verantwortung für eine fundierte Einschätzung des aktuellen Stands der Technik.
Was “angemessen” in der Praxis bedeutet: Der FMH IT-Grundschutz
Der FMH IT-Grundschutz konkretisiert für Ärzt:innen, wie angemessene technische und organisatorische Maßnahmen nach nDSG aussehen. Dieser Leitfaden der Verbindung der Schweizer Ärztinnen und Ärzte (FMH) hat sich als faktischer Branchenstandard etabliert. Er benennt konkrete Anforderungen an Netzwerksicherheit, Passwortverwaltung, Backupstrategien und Mitarbeiterzugang.
Obwohl der FMH IT-Grundschutz kein Gesetz ist, spielt er bei rechtlichen Auseinandersetzungen eine erhebliche Rolle. Wer die dort beschriebenen Maßnahmen nachweisbar umgesetzt hat, kann im Streitfall glaubhaft machen, den gesetzlichen Sorgfaltsanforderungen gerecht geworden zu sein. Wer sie ignoriert, riskiert, dass ein Gericht oder eine Datenschutzbehörde mangelnde Sorgfalt feststellt.
Technische versus organisatorische Maßnahmen: Ein gezielter Vergleich
Ein häufiger Irrtum besteht darin, Compliance ausschließlich als technische Aufgabe zu betrachten. Die Realität zeigt, dass organisatorische Maßnahmen mindestens gleich bedeutsam sind.
| Maßnahmentyp | Beispiele | Typische Schwachstellen in Praxen |
|---|---|---|
| Technisch | Verschlüsselung, Firewall, Zwei-Faktor-Authentifizierung, automatische Backups | Veraltete Software, fehlende Updates, ungesicherte WLAN-Zugänge |
| Organisatorisch | Zugriffsrechtekonzept, Schulungen, Vertraulichkeitsverpflichtungen, Notfallprozesse | Keine klaren Verantwortlichkeiten, fehlende schriftliche Richtlinien |
| Dokumentation | Verarbeitungsverzeichnis, Zugriffsprotokoll, Datenpannenprotokoll | Lückenhafte oder nicht aktualisierte Aufzeichnungen |
Die 5 elementaren IT-Sicherheitsvorgaben für Ihre Praxis
Bei der praktischen Umsetzung von Datenschutzpflichten empfehlen wir, folgende fünf Punkte priorisiert anzugehen:
- Zugriffskontrolle: Jede Person im Praxisteam erhält nur die Rechte, die für ihre Aufgaben notwendig sind. Administratorrechte sind restriktiv zu vergeben.
- Sichere Authentifizierung: Mindestens Zwei-Faktor-Authentifizierung für alle Systeme mit Patientendaten, besonders bei cloudbasierten Lösungen.
- Regelmäßige Datensicherung: Automatisierte, verschlüsselte Backups mit definierten Wiederherstellungszeiten und regelmäßigen Testrestore-Prozessen.
- Protokollierung: Sämtliche Datenzugriffe und Änderungen werden mit Zeitstempel und Benutzerkennung gespeichert, ohne Möglichkeit der nachträglichen Manipulation.
- Sicherheitsvorfallmanagement: Klare Prozesse für den Fall einer Datenpanne, inklusive Meldepflicht an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) innerhalb von 72 Stunden.
Profi-Tipp: Erstellen Sie ein schriftliches Verarbeitungsverzeichnis und aktualisieren Sie es bei jeder Änderung Ihrer Software oder Prozesse. Dieses Dokument ist bei einem Audit der erste Nachweis Ihrer Sorgfalt und kann Sanktionen abwenden.
Die Compliance-Strategien für Teams zeigen, dass strukturierte Schulungen und klare interne Verantwortlichkeiten die häufigsten Compliance-Lücken schließen, die rein technische Lösungen allein nicht beheben können. Schulen Sie Ihr Praxisteam mindestens einmal jährlich und dokumentieren Sie diese Schulungen nachweisbar.
Das Elektronische Patientendossier (EPD): Neue Verordnung und technische Anforderungen
Das Elektronische Patientendossier ist einer der ambitioniertesten Vernetzungsschritte im Schweizer Gesundheitswesen. Mit der revidierten EPDV-EDI entstehen ab 2025 konkrete neue Pflichten, die Praxen frühzeitig planen müssen.
Was sich ab Juni 2025 und bis 2027 ändert
Die revidierte EPDV-EDI bringt ab 1. Juni 2025 neue Pflichten und Übergangsfristen bis 2027. Diese Revision ist nicht nur eine technische Anpassung, sondern verändert grundlegend, wie Gesundheitsfachpersonen mit dem EPD interagieren müssen.
Zentral sind dabei folgende Änderungen: Die Anforderungen an die digitale Identifikation von Fachpersonen werden verschärft. Das Zugriffssystem muss auf aktuellen Sicherheitsstandards basieren. Stammgemeinschaften müssen ihre technischen Infrastrukturen anpassen, was sich direkt auf angebundene Praxen auswirkt.
Technische Standards: FHIR, OAuth und OpenID Connect
Wer das EPD heute korrekt implementieren möchte, kommt an bestimmten technischen Standards nicht vorbei. FHIR (Fast Healthcare Interoperability Resources) ist der international anerkannte Standard für den Datenaustausch im Gesundheitswesen. Er definiert, wie Informationen strukturiert, gespeichert und übermittelt werden.
Für die sichere Authentifizierung kommen OAuth 2.0 und OpenID Connect zum Einsatz. Diese Protokolle regeln, wie Anwendungen auf Patientendaten zugreifen dürfen, ohne dass Zugangsdaten direkt weitergegeben werden. Die korrekte Umsetzung dieser Standards ist keine optionale Zusatzleistung, sondern Voraussetzung für die EPD-Konformität.
| EPD-Vorgabe | Anforderung | Gültigkeit |
|---|---|---|
| Identifikation | Zertifizierter digitaler Ausweis (HIN-Zertifikat oder gleichwertig) | Ab sofort |
| Zugriffskontrolle | Rollenbasiert, protokolliert, revisionssicher | Ab 1. Juni 2025 |
| Protokollierung | Alle Zugriffe mit Zeitstempel, 10 Jahre aufzubewahren | Ab 1. Juni 2025 |
| Notfallzugriff | Technisch definierter Notfallmodus mit separater Protokollierung | Übergangsfristen bis 2027 |
| Schnittstellen | FHIR-konform, OAuth/OpenID Connect | Übergangsfrist bis 2027 |
Was Praxen konkret dokumentieren und beachten müssen
“EPD-Zugriff, Identifikation und Protokollierung müssen technisch und organisatorisch umgesetzt werden.” Die Datenschutz- und Zugriffsrechte beim EPD sind verbindliche Minimalanforderungen, keine Empfehlungen.
Praktisch bedeutet das für Ihre Praxis:
- Identifikationsnachweise aller Fachpersonen müssen aktuell und im System hinterlegt sein.
- Zugriffsprotokolle sind so zu führen, dass sie auf Anfrage vollständig exportiert und vorgelegt werden können.
- Notfallzugriffsprozesse müssen schriftlich definiert und technisch implementiert sein, inklusive nachträglicher Dokumentationspflicht.
- Schnittstellen zu Laboren, Radiologie und anderen Leistungserbringern müssen EPD-konform gestaltet sein.
- Übergangsfristen aktiv beobachten: Nicht alle Vorgaben müssen sofort, aber definitiv bis spätestens 31. Mai 2027 erfüllt sein.
Die Healthcare Compliance-Artefakte zeigen, dass Praxen, die EPD-Anforderungen strukturiert in einem Compliance-Register führen, deutlich seltener bei Audits Nachbesserungsbedarf haben.
Konkrete Auswahlkriterien und Umsetzungstipps für Praxissoftware
Die bisher besprochenen rechtlichen und technischen Anforderungen haben direkte Konsequenzen für die Wahl und den Betrieb Ihrer Praxissoftware. Nicht jede Lösung auf dem Markt erfüllt alle Kriterien. Eine strukturierte Evaluation schützt Sie vor kostspieligen Fehlentscheidungen.
Funktionsmerkmale einer rechtskonformen Praxissoftware
Die Auswahl von Praxissoftware sollte stets die gesetzlichen und sicherheitstechnischen Anforderungen an Zugriffskontrolle, Protokollierung und Schnittstellenintegration abbilden. Konkret heißt das: Prüfen Sie, ob Ihr Softwareanbieter diese Anforderungen auch schriftlich bestätigt und im Vertrag verankert.
Folgende Funktionsmerkmale sind für eine konforme Lösung zwingend:
- Revisionssichere Protokollierung aller Datenzugriffe und Änderungen mit Zeitstempel und Benutzerkennung
- Rollenbasiertes Zugriffskonzept mit granularen Berechtigungsebenen für Ärzt:innen, Assistenzpersonal und administrative Mitarbeiter:innen
- Ende-zu-Ende-Verschlüsselung für Datenübertragung und Datenspeicherung
- EPD-Schnittstelle nach aktuellem FHIR-Standard mit OAuth/OpenID-Connect-Unterstützung
- Automatisierte, verschlüsselte Backups mit vertraglich definierter Wiederherstellungszeit
- Hosting in der Schweiz oder EU mit nachweisbarer DSGVO/nDSG-Konformität des Rechenzentrums
- Auftragsdatenverarbeitungsvertrag (ADV) mit dem Softwareanbieter, inklusive klarer Regelungen zur Unterauftragnehmerkette
- Exportfunktion für Patientendaten in standardisierten Formaten zur Sicherstellung der Portabilität
Checkliste: Kontrollfragen vor der Produktentscheidung
Bevor Sie sich für eine Praxissoftware entscheiden, sollten Sie folgende Fragen klären können:
- Wo werden Ihre Patientendaten physisch gespeichert und welches Recht gilt dort?
- Gibt es einen schriftlichen ADV und ist dieser nDSG-konform?
- Ist die Lösung EPD-zertifiziert oder zertifizierungsbereit?
- Wie wird die Protokollierung technisch umgesetzt und wie lange werden Logs aufbewahrt?
- Welche Zertifizierungen oder Prüfberichte (z.B. ISO 27001) kann der Anbieter vorweisen?
- Wie werden Sicherheitsupdates eingespielt und wie schnell reagiert der Anbieter auf neue Schwachstellen?
- Gibt es eine Testumgebung, in der Sie die Compliance-Funktionen vor der Produktivsetzung prüfen können?
Profi-Tipp: Verlangen Sie vom Anbieter eine schriftliche Bestätigung, welche gesetzlichen Anforderungen seine Lösung konkret erfüllt und welche organisatorisch durch Ihre Praxis selbst abgedeckt werden müssen. Diese klare Aufgabenteilung ist nicht nur sinnvoll, sondern bei einem Datenschutzaudit entscheidend.
IT-Dienstleister kompetent evaluieren: Inhouse oder Outsourcing?
Viele Praxen stehen vor der Frage, ob sie IT-Aufgaben selbst übernehmen oder an spezialisierte Dienstleister auslagern. Beide Modelle haben ihre Berechtigung, jedoch unterschiedliche Anforderungen an Ihre Steuerungsverantwortung.
Beim Outsourcing an einen cloudbasierten Anbieter übernimmt dieser zwar die technische Verantwortung für Infrastruktur und Updates, die datenschutzrechtliche Verantwortung verbleibt jedoch bei Ihnen als Praxisinhaber:in. Das bedeutet: Sie müssen den Anbieter aktiv steuern, regelmäßig prüfen und dokumentieren. Eine Praxissoftware-Auswahl praxisnah gestalten beinhaltet daher immer auch eine klare Vertragsgestaltung mit definierten Prüfrechten, Auditrechten und Reaktionszeiten.
Beim Inhouse-Betrieb tragen Sie die volle technische und organisatorische Verantwortung. Das erfordert entweder eigenes qualifiziertes Personal oder die Beauftragung eines IT-Dienstleisters mit nachgewiesener Erfahrung im Gesundheitsbereich. Bitte beachten Sie: Allgemeine IT-Dienstleister ohne Gesundheits-Fachkenntnis sind oft mit den spezifischen Anforderungen der EPDV-EDI oder des nDSG überfordert.
Weitergedacht: Warum reine Techniklösungen nicht alle Compliance-Probleme lösen
Wer sich intensiv mit dem Thema Praxissoftware und Compliance befasst, stößt auf ein verbreitetes Missverständnis: die Annahme, dass das richtige Tool automatisch Rechtskonformität erzeugt. Diese Sichtweise greift zu kurz und kann gefährlich sein.
Compliance ist eine Führungsaufgabe, keine Software-Checkbox
Selbst die beste Praxissoftware kann nur so sicher betrieben werden, wie es die Organisation dahinter zulässt. Wenn Zugangsdaten geteilt werden, Sicherheitsupdates verschoben werden oder Schulungen ausbleiben, nützt die sicherste Architektur wenig. Compliance entsteht durch gelebte Praxis, durch klare Verantwortlichkeiten und durch eine Praxisführung, die Sicherheitsthemen aktiv auf die Agenda setzt.
Technische Neuerungen wie das EPD oder neue FHIR-Schnittstellen erhöhen die Komplexität zusätzlich. Ohne klare interne Verantwortlichkeiten werden diese Neuerungen zum Risiko statt zur Chance. Die rein technische Umsetzung vernachlässigt oft wirtschaftliche und organisatorische Faktoren, die für den Projekterfolg genauso relevant sind.
Der unterschätzte Wert eigener Prozessdokumentation
Viele Praxen verlassen sich vollständig auf die Dokumentation des Softwareanbieters. Das ist ein Fehler. Prüfbehörden und Datenschutzbeauftragte erwarten, dass Sie als Praxisinhaber:in Ihre eigenen Prozesse kennen und dokumentiert haben. Dazu gehören: Wie werden Zugriffsrechte vergeben und entzogen? Was passiert, wenn ein Mitarbeitender die Praxis verlässt? Wer ist im Notfall erreichbar?
Diese Prozessdokumentation ist keine bürokratische Last, sondern Ihr wichtigstes Schutzinstrument. Sie zeigt, dass Sie die Verantwortung aktiv wahrgenommen haben.
Multiprofessionelle Perspektiven einbeziehen
Unsere Empfehlung: Binden Sie bei der Compliance-Planung nicht nur die IT-verantwortliche Person ein, sondern auch Ärzt:innen, Praxisassistent:innen und ggf. externe Datenschutzberatende. Jede Gruppe bringt eine andere Perspektive auf Risiken und Anforderungen. IT-Fachleute sehen technische Schwachstellen, das Praxisteam kennt die tatsächlichen Arbeitsabläufe, und Fachärzt:innen verstehen die klinischen Konsequenzen von Datenpannen.
Die praktischen Compliance-Schritte zeigen: Organisationen, die Compliance als gemeinschaftliche Aufgabe aller Berufsgruppen verstehen, erzielen nachhaltig bessere Ergebnisse als solche, die das Thema ausschließlich der IT-Abteilung überlassen. Ein jährlicher interner Compliance-Review, bei dem alle Beteiligten ihre Perspektive einbringen, ist kein Luxus, sondern Mindeststandard für Praxen, die langfristig sicher und rechtskonform arbeiten wollen.
Kurz gesagt: Technologie ermöglicht Compliance, aber sie erzeugt sie nicht automatisch. Wer das verinnerlicht, ist als Praxisinhaber:in einen entscheidenden Schritt weiter.
Nächste Schritte: Mit sicherer Praxissoftware entspannt gesetzeskonform bleiben
Die gesetzlichen Anforderungen an Praxissoftware in der Schweiz sind real, konkret und mit klaren Fristen verbunden. Wer jetzt handelt, schützt nicht nur Patientendaten, sondern auch die eigene Praxis vor Sanktionen, Reputationsschäden und technischen Nachbesserungen unter Zeitdruck. Die digitale Praxissoftware für die Schweiz von MediCloud Med wurde von Grund auf für diese Anforderungen entwickelt: mit revisionssicherer Protokollierung, rollenbasierter Zugriffskontrolle, verschlüsselter Datenhaltung in der Schweiz und EPD-konformen Schnittstellen. Sie erhalten eine modulare Lösung, die mit Ihrer Praxis wächst und jederzeit an neue gesetzliche Anforderungen angepasst wird. Vereinbaren Sie jetzt eine kostenlose Beratung und erfahren Sie, wie MediCloud Med Ihren Praxisalltag sicherer und effizienter gestaltet.
Häufig gestellte Fragen zu rechtlichen Anforderungen an Praxissoftware
Muss jede Praxis in der Schweiz das Elektronische Patientendossier (EPD) einführen?
Das EPD ist nicht für alle Praxen sofort zwingend vorgeschrieben; die spezifischen EPD-Pflichten richten sich nach der jeweiligen Rechtsgrundlage und dem Kanton. Informieren Sie sich frühzeitig über Ihre kantonalen Anforderungen, da die Vernetzungspflichten schrittweise ausgeweitet werden.
Gelten die FMH IT-Grundschutz-Vorgaben als gesetzlich verpflichtend oder nur als Empfehlung?
Der FMH IT-Grundschutz ist formal kein Gesetz, gilt aber als maßgeblicher Branchenstandard und wird als Konkretisierung der nDSG-Anforderungen herangezogen. In der Praxis bedeutet das: Wer diese Vorgaben nicht erfüllt, muss im Streitfall erklären können, warum die eigene Lösung gleichwertig sicher ist.
Wie lange ist die Übergangsfrist für die neuen EPDV-EDI-Anforderungen?
Die Übergangsfrist EPDV-EDI läuft bis zum 31. Mai 2027, sodass alle betroffenen Einrichtungen die neuen Vorgaben bis zu diesem Datum vollständig umsetzen müssen. Starten Sie die Planung rechtzeitig, denn technische Anpassungen und Schulungen brauchen Zeit.
Welche Folgen drohen bei Nichtbeachtung der gesetzlichen Vorschriften für Praxissoftware?
Praxisinhaber:innen riskieren bei Verstößen gegen das nDSG empfindliche Sanktionen, darunter Bußgelder, zivilrechtliche Haftungsansprüche und erheblichen Reputationsverlust. Im schlimmsten Fall kann die Datenschutzbehörde auch den Betrieb bestimmter Systeme untersagen, bis die Konformität hergestellt ist.
