Datenschutz und Sicherheit

Wir schützen Patient:innendaten durch technische und organisatorische Maßnahmen: Verschlüsselung, rollenbasierte Zugriffskontrollen, klare Verantwortlichkeiten und regelmäßige Audits. Unsere Cloud-Komponenten sind nach dem C5-Anforderungskatalog des BSI geprüft. Unsere Prozesse sind nach ISO/IEC 27001 zertifiziert. Mehr Informationen finden Sie in unserem Security Whitepaper.

‍

Elefant verarbeitet Daten in lokal installierten Praxiskomponenten und in zentral betriebenen Cloud-Komponenten. Sensible Daten in der Cloud werden ausschließlich in der AWS-Region Frankfurt, Deutschland, verarbeitet und gespeichert. Kund:innen informieren wir transparent über die eingesetzten Komponenten und die jeweils genutzten Standorte.

‍

Ja. Elefant ist so aufgebaut, dass die Verarbeitung sensibler Gesundheitsdaten durch Rollen- und Rechtekonzepte, dokumentierte Prozesse, Auftragsverarbeitungsverträge und nachprüfbare Sicherheitsmaßnahmen unterstützt wird. Nachweise stellen wir in Form von AV-Verträgen, Whitepaper und Zertifikaten bereit.

‍

Externe Dienstleister werden nur vertraglich gebunden eingesetzt und regelmäßig geprüft. Eine aktuelle Übersicht der eingesetzten Unterauftragnehmer stellen wir Kund:innen zur Verfügung. Wir informieren Kund:innen, wenn sich die Art der Verarbeitung ändert oder neue Unterauftragnehmer eingebunden werden.

‍

Bei lokaler Installation verbleiben bestimmte Verantwortlichkeiten in der Praxis, etwa für lokale Infrastruktur, Endgeräte und organisatorische Maßnahmen. Gleichzeitig gelten auch dort die Sicherheitsmechanismen von Elefant. Unterschiede zwischen lokaler Verantwortung und Cloud-Sicherheit dokumentieren wir klar.

‍

Ja. Sie können den Link zu dieser Trust & Security Seite, unser Security Whitepaper, den AV-Vertrag sowie auf Wunsch weitere Prüf- und Compliance-Statements an Ihre Berater:innen weitergeben. Diese Unterlagen fassen technische Maßnahmen, Verantwortlichkeiten und Prüfungen zusammen.

‍

Sicherheitsvorfälle werden nach definierten Prozessen behandelt, dokumentiert und vertraglich sowie rechtlich erforderlich kommuniziert. Meldepflichtige Vorfälle werden an die zuständigen Stellen gemeldet. Betroffene Kund:innen werden entsprechend informiert.

‍

Ja. Die Praxis bleibt datenschutzrechtlich verantwortlich für die Verarbeitung im Behandlungskontext. HASOMED verarbeitet Daten nur im vereinbarten Rahmen und auf Grundlage dokumentierter Rollen, Verträge und Prozesse.

‍

Kurz: Nein.

Für die Verarbeitung von Behandlungsdaten ist in der Regel keine gesonderte Einwilligung der Patient:innen erforderlich. Die Praxis muss Patient:innen jedoch transparent informieren. Konkret heißt das: in den Datenschutzhinweisen angeben, dass Elefant genutzt wird und welche Kategorien von Empfängern beteiligt sind. Die erforderlichen Auftragsverarbeitungsverträge sind vorzuhalten. Solange dies erfolgt, sind meist keine weiteren Prozessänderungen gegenüber Patient:innen notwendig.

‍

Technisch ist ein lesbarer Zugriff durch AWS ausgeschlossen. HASOMED betreibt ein Kryptographiekonzept und Schlüsselmanagement, bei dem kryptographische Schlüssel außerhalb der AWS-Infrastruktur verwaltet werden. Im Rahmen der Verschlüsselungs- und Entschlüsselungsvorgänge,  sowie der  Schlüsselverwaltung, arbeiten wir mit T-Systems, sodass AWS selbst keine Möglichkeit hat, gespeicherte Daten in lesbarer Form zu entschlüsseln. Diese Architektur verhindert, dass der Cloudanbieter Klartext-Zugriff erhält.

‍

Unverschlüsselter Zugriff durch Dritte, einschließlich Behörden, wird durch unser Architektur- und Schlüsselmanagement technisch verhindert. Da die Schlüssel außerhalb von AWS und unter deutscher Kontrolle gehalten werden, sind die Daten im Cloud-Speicher nicht in lesbarer Form verfügbar. Zusätzlich speichern wir Daten ausschließlich in der AWS-Region Frankfurt, es erfolgt keine automatische Übertragung in Drittstaaten. Diese Maßnahmen reduzieren das Risiko eines behördlichen Zugriffs auf lesbare Daten erheblich.

‍

Ja. Das Digitalgesetz erlaubt die Verarbeitung von Gesundheits- und Sozialdaten unter Einbezug von Cloud-Dienstleistern, wenn hohe Sicherheitsstandards wie das C5-Testat eingehalten werden. Unsere Cloud-Architektur ist am BSI C5-Kriterienkatalog ausgerichtet. Elefant ist zudem konzipiert, um die Vorgaben der KBV IT-Sicherheitsrichtlinie zu erfüllen.

‍

Ein C5-Testat dokumentiert, dass die eingesetzte Cloud-Umgebung definierte Sicherheitsanforderungen erfüllt. Eine erfolgreiche C5-Prüfung unserer Cloud-Komponenten erleichtert Praxen die Nachweisführung, dass eingesetzte Dienste in einem regulierten Gesundheitskontext angemessen abgesichert sind.

‍