Rollen
- Verantwortlicher: die Leitung der Einrichtung.
- Auftragsverarbeiter: der Software-Anbieter.
- Datenschutzbeauftragter (DSB): kann nach Art. 37 DSGVO und nationalem Recht erforderlich sein, wenn die gesetzlichen Voraussetzungen vorliegen. Es gibt keine automatische Schwelle nach Bettenzahl.
Technische Checkliste
- AES-256-GCM-Verschlüsselung at rest und in transit.
- Unveränderliche Auditierung jedes klinischen Zugriffs.
- Mehrfaktor-Authentifizierung Pflicht für privilegierte Rollen.
- Verschlüsselte Backups mit vierteljährlich verifizierter Wiederherstellung.
- Zentralisierte Logs mit Aufbewahrung ≥ 12 Monate.
- Keine Anbieter außerhalb der EU in der produktiven Datenroute.
Organisatorische Checkliste
- Aktuelles Verzeichnis der Verarbeitungstätigkeiten (VVT).
- Datenschutz-Folgenabschätzungen (DSFA) für jeden neuen kritischen Workflow.
- Incident-Management-Richtlinie mit 72-Stunden-Frist.
- Unterzeichnete Auftragsverarbeitungsverträge mit jedem Anbieter.
- Interne Richtlinien für Betroffenenrechte (Auskunft, Löschung, Portabilität) mit 30-Tage-Frist.
Vertragliche Checkliste
- EU-Standardklauseln für Unterauftragsverarbeiter.
- Ausstiegsgarantie mit Daten in Standardformat.
- Vertragsstrafen bei Vorfällen ohne Reaktion im SLA.
Möchten Sie die Excel-Version? Fordern Sie sie an – wir passen sie an Ihre Einrichtung an.