MVZ-Software auswählen: 5 Fragen, die vorher zählen

Die Suche nach Software für ein medizinisches Versorgungszentrum beginnt typischerweise beim Funktionsumfang und selten bei der Frage, welche Anforderungen für dieses Zentrum überhaupt gelten. Das ist die falsche Reihenfolge, denn ein Teil dieser Anforderungen steht nicht zur Wahl: Er ergibt sich aus einer verbindlichen Richtlinie, und welche Stufe davon greift, hängt an der Größe des Betriebs.

Die Rechtsgrundlage hat dabei gewechselt, ohne dass es überall angekommen ist. Die geltende IT-Sicherheitsrichtlinie der Kassenärztlichen Bundesvereinigung stützt sich auf § 390 SGB V und ersetzt die frühere Fassung nach § 75b SGB V vom 16. Dezember 2020. Wer mit einer älteren Checkliste arbeitet, prüft möglicherweise gegen einen Katalog, den es so nicht mehr gibt.

Dieser Beitrag führt fünf Fragen auf, die bei der Auswahl von MVZ-Software vor jedem Anbietergespräch geklärt sein sollten, und benennt am Ende, was die Richtlinie gerade nicht regelt und trotzdem über die Eignung entscheidet. „Anforderung“ meint im Zusammenhang mit der Richtlinie in der Regel deren Fachbegriff, also einen Einzelpunkt ihrer Anlagen. Produkte oder Anbieter werden hier bewusst nicht genannt.

Das Wichtigste in Kürze

• Die Anforderungen richten sich nach der Zahl der ständig mit der Datenverarbeitung betrauten Personen, nicht nach der Rechtsform.
• Drei Größenklassen nach Personenzahl: bis 5, 6 bis 20, über 20. In die dritte fällt daneben, wer über die normale Datenübermittlung hinaus Daten verarbeitet; als Beispiel dafür nennt die Richtlinie Groß-MVZ mit krankenhausähnlichen Strukturen.
• Zu zählen sind alle, die ständig mit der Datenverarbeitung zu tun haben, also auch Anmeldung, Abrechnung und Verwaltung, nicht nur die Behandler:innen.
• Zum 1. Oktober 2025 sind zahlreiche Anforderungen neu hinzugekommen, unter anderem zu Cloud-Anwendungen, zum gehosteten Konnektor, zum TI-Gateway, zu Endgeräten und zum Patch-Management.
• Die Richtlinie wird laufend fortgeschrieben: § 390 Abs. 4 SGB V verlangt von den Kassenärztlichen Bundesvereinigungen eine Anpassung an den Stand der Technik spätestens alle zwei Jahre. Der eigene Katalog kann sich also ändern, ohne dass im Zentrum etwas passiert.

Warum die Größenklasse vor der MVZ-Software steht

§ 390 Absatz 1 SGB V beauftragt die Kassenärztlichen Bundesvereinigungen, die Anforderungen zur Gewährleistung der IT-Sicherheit in einer Richtlinie festzulegen. Nach Absatz 6 ist die Richtlinie für die an der vertragsärztlichen und vertragszahnärztlichen Versorgung teilnehmenden Leistungserbringer verbindlich; für die vertragsärztliche Seite ist das die hier zitierte Richtlinie der Kassenärztlichen Bundesvereinigung. Absatz 3 gibt vor, dass die Anforderungen abgestuft im Verhältnis zum Gefährdungspotential und zum Schutzbedarf zu formulieren sind.

Genau diese Abstufung setzt die Richtlinie über drei Größenklassen um, und sie knüpft dabei nicht an Umsatz, Fachrichtung oder Rechtsform an, sondern an die Zahl der ständig mit der Datenverarbeitung betrauten Personen:

Klasse	Ständig mit Datenverarbeitung betraut	Umzusetzende Anlagen
Praxis	Bis zu 5 Personen	1 und 5
Mittlere Praxis	6 bis 20 Personen	1, 2 und 5
Großpraxis oder Datenverarbeitung in erheblichem Umfang	Über 20 Personen, oder Datenverarbeitung über die normale Datenübermittlung hinaus	1, 2, 3 und 5

Anlage 1 und Anlage 5 der Richtlinie gelten dabei für jede Praxis, unabhängig von der Klasse. Insgesamt umfasst sie fünf Anlagen. Anlage 1 enthält die Grundanforderungen, unter anderem zu Personal und Einarbeitung, zu Sensibilisierung und Schulung, zum Patch- und Änderungsmanagement, zu Endgeräten, zu E-Mail und zu Cloud-Anwendungen. Anlage 5 führt unter anderem den gehosteten Konnektor und das TI-Gateway. Anlage 2 und Anlage 3 satteln darauf auf, sie ersetzen nichts.

Die dritte Klasse ist für MVZ die bemerkenswerte, weil die Richtlinie sie nicht allein über eine Personenzahl definiert. Sie erfasst auch Praxen, die in einem über die normale Datenübermittlung hinausgehenden Umfang Daten verarbeiten, und nennt als Beispiel ausdrücklich Groß-MVZ mit krankenhausähnlichen Strukturen sowie Groß-Labore. Ein Zentrum kann also in die höchste Stufe fallen, ohne die Zwanzig-Personen-Schwelle zu überschreiten.

Hinzu kommt eine gerätebezogene Ergänzung: Werden medizinische Großgeräte eingesetzt, etwa IVD-Geräte, also In-vitro-Diagnostika, in Laboren, Computertomograph, Magnetresonanztomograph, Positronenemissionstomograph oder Linearbeschleuniger, sind zusätzlich die Anforderungen der Anlage 4 umzusetzen. Für die MVZ-Landschaft ist das keine Randfrage: Allein in der Radiologie zählte die Kassenärztliche Bundesvereinigung zum Stichtag 31. Dezember 2024 1.952 Ärztinnen und Ärzte in 457 MVZ, und Großgeräte sind dort ein typischer Bestandteil der Ausstattung.

Die 5 Fragen im Einzelnen

1. In welcher Größenklasse liegt unser MVZ?

Der erste Schritt ist eine Zählung, keine Marktrecherche: Wie viele Personen sind ständig mit der Datenverarbeitung betraut? Welche Bedingungen an der Zulassung des Zentrums dauerhaft hängen, führt der Beitrag zum MVZ-Management aus. Zur Zählung gehören nicht nur Ärztinnen und Ärzte, sondern alle ständig mit der Datenverarbeitung betrauten Personen, also auch Anmeldung, Abrechnung und Verwaltung.

Ein Blick auf die Größenordnung hilft bei der Einschätzung, ersetzt die Zählung aber nicht. Die Kassenärztliche Bundesvereinigung weist für den Stichtag 31. Dezember 2024 im Mittel 6,3 Ärzt:innen und Psychotherapeut:innen je Zentrum aus. Die beiden Größen sind nicht dasselbe: Die KBV zählt Behandler:innen, die Richtlinie zählt ständig mit der Datenverarbeitung betraute Personen, und Verwaltung und MFA gehören dort dazu. Unterstellt man, dass Behandler:innen im Praxisbetrieb durchgehend mit der Dokumentation arbeiten, ist ihre Zahl eine Untergrenze; wo sie über fünf liegt, spricht das dafür, dass die Grundstufe nicht mehr greift. Das ist eine eigene Ableitung, keine Aussage der Richtlinie. Ein Mittelwert sagt allerdings nichts über das einzelne Zentrum, und einen Median weist die Statistik nicht aus.

2. Wie werden mehrere Standorte gezählt?

Ob die Personen mehrerer Betriebsstätten für die Größenklasse zusammengezählt werden, sagt die Richtlinie nicht: Sie spricht von „einer Arztpraxis“ und regelt den Mehrstandortfall nicht ausdrücklich. Weil davon die eigene Klasse abhängt, gehört diese Frage vorab geklärt und nicht unterstellt. Anlage 2 verlangt für mittlere Praxen ohnehin Alarmierung und Protokollierung im Bereich Netzwerksicherheit (Nummer 1); bei verbundenen Standorten wird daraus die zentrale Frage. Anlage 3 fügt für die höchste Klasse die Planung des internen Netzes und die Absicherung schützenswerter Bereiche hinzu (Nummern 2 und 3).

Für die Auswahl bedeutet das eine Frage, die vor allen Funktionsfragen steht: Wie werden die Standorte technisch verbunden, wer betreibt diese Verbindung, und wie wird sie überwacht? Eine Software, die je Standort für sich funktioniert, löst diese Frage nicht, sie verschiebt sie nur auf das Netz dahinter.

3. Wer greift von außerhalb auf die Systeme zu?

Je größer das Zentrum, desto wahrscheinlicher greifen Menschen von unterwegs oder von einem anderen Standort zu. Die Richtlinie behandelt das als eigenen Anforderungsbereich. Für mittlere Praxen kommen Anforderungen an Endgeräte, Smartphones und Wechseldatenträger hinzu, etwa verschlüsselte Speicherung und restriktive Rechtevergabe (Anlage 2, Nummern 2, 3 und 5 bis 10). Für Großpraxen tritt ein eigener Block zur Verwaltung mobiler Geräte hinzu, unter anderem Berechtigungsmanagement, Zertifikatsverwaltung und Fernlöschung (Anlage 3, Nummern 7 bis 12).

Welcher Anforderungsblock überhaupt gilt, entscheidet damit die Größenklasse; ob er praktisch greift, die geplante mobile Nutzung. Für die Grundstufe sieht die Richtlinie keinen solchen Zusatzblock vor. Das gehört in die Auswahl, weil ein System, das keine zentrale Geräteverwaltung unterstützt, diese Anforderungen auf Organisation und Zusatzwerkzeuge abwälzt.

4. Ist eine zentrale Lösung überhaupt zulässig?

Für ein Zentrum mit mehreren Standorten sind zentrale Betriebsformen naheliegend, und die Richtlinie sperrt sie nicht. Sie hat für Cloud-Anwendungen, den gehosteten Konnektor und das TI-Gateway ausdrücklich Anforderungen aufgenommen. Diese Punkte gehören zu einer größeren Gruppe von Neuerungen, die seit dem 1. Oktober 2025 gelten. In Anlage 1, die für jede Klasse gilt, kamen Anforderungen zu Personal, zu Sensibilisierung und Schulung, zum Patch- und Änderungsmanagement, zu Endgeräten, zu E-Mail und zu Cloud-Anwendungen hinzu. In Anlage 3, die nur die höchste Klasse betrifft, kamen Personal, Netzwerksicherheit und E-Mail hinzu. In Anlage 5 sind es der gehostete Konnektor und das TI-Gateway. Wer den eigenen Stand zuletzt vor diesem Datum geprüft hat, prüft gegen einen überholten Katalog.

Das ist für die Auswahl ein doppeltes Signal. Erstens ist eine zentrale Lösung ein vorgesehener Weg und kein rechtfertigungsbedürftiger Sonderfall; die Dokumentation der gewählten Maßnahmen nach Artikel 32 der Datenschutz-Grundverordnung entfällt dadurch nicht. Zweitens ist sie an Bedingungen geknüpft, und die gehören in das Gespräch mit dem Anbieter, bevor ein Vertrag unterschrieben wird, nicht danach.

5. Wer ist zuständig, und wer verfolgt Änderungen?

Die Richtlinie weist die Verantwortung für die IT-Sicherheit den Praxisinhabern zu und lässt zu, dass die Umsetzung einzelner Anforderungen delegiert wird. In einer Einzelpraxis ist damit alles gesagt. In einem MVZ, in dem Trägerschaft, Geschäftsführung und ärztliche Leitung auseinanderfallen können, ist es das nicht. Wer dort „Praxisinhaber“ im Sinne der Richtlinie ist, regelt sie nicht; eine Form für die Zuordnung schreibt sie ebenso wenig vor. Wer Praxisinhaber ist und wer welche Anforderung umsetzt, schriftlich festzuhalten, ist deshalb eine Empfehlung und keine Vorgabe, aber im Streitfall die einzige belastbare Grundlage. Wie die Führungsebenen im MVZ rechtlich verteilt sind, führt der Beitrag zum MVZ-Management aus.

Dazu kommt der zeitliche Teil, und der ist häufig missverstanden. Die Zweijahresfrist des § 390 Absatz 4 SGB V richtet sich an die Kassenärztlichen Bundesvereinigungen; sie schreiben die Richtlinie fort, und zum 1. Oktober 2025 ist genau das geschehen. Bei der jährlichen Evaluationspflicht ist die Lage weniger klar: Der Wortlaut stellt die Anforderungen unter einen kontinuierlichen Verbesserungsprozess mit jährlicher Evaluationspflicht, benennt aber keinen Adressaten. Eine ausdrückliche Prüffrist für das einzelne Zentrum lässt sich daraus jedenfalls nicht ablesen. Praktisch bleibt es trotzdem dabei: Wer den eigenen Stand nicht regelmäßig gegen die geltende Fassung hält, merkt eine Änderung erst, wenn sie ihn einholt.

Was die Richtlinie nicht regelt und trotzdem entscheidet

Ein Punkt vorweg, der leicht untergeht: Adressat der Richtlinie sind nach ihrem Abschnitt zur Verantwortlichkeit die Praxisinhaber, nicht die Softwarehersteller. Eine als richtlinienkonform beworbene Software nimmt dem Zentrum die Anforderungen deshalb nicht ab, sie erleichtert sie höchstens. Und über die betriebliche Eignung sagt die Richtlinie ohnehin nichts. Drei Kriterien sind dafür nach unserer redaktionellen Auswahl die wichtigsten, und sie lassen sich vor jedem Anbietergespräch für das eigene Haus beantworten:

• Mandantenfähigkeit. Lassen sich Standorte und Fachgruppen getrennt auswerten und trotzdem zusammenführen? Ohne diese Trennung bleibt nur die Gesamtsumme, und die beantwortet keine Standortfrage; welche Kennzahlen je Betriebsstätte gebraucht werden, führt der Leitfaden Praxiscontrolling aus.
• Schnittstellen. Wie kommen Daten aus mehreren Abrechnungswegen und mehreren Standorten in eine gemeinsame Auswertung, und welches Format wird dafür wirklich unterstützt? Diese Frage gehört schriftlich beantwortet, nicht mündlich zugesagt.
• Dienst- und Vertretungsplanung. Wer plant über Standorte hinweg, und bildet das System Abwesenheiten so ab, dass sie in der Kapazitätsplanung sichtbar werden?

Zu keinem dieser drei Kriterien gibt es eine allgemein richtige Antwort, wohl aber eine für das eigene Zentrum. Wer sie vorher festlegt, führt ein Auswahlgespräch statt einer Produktvorführung.

Häufige Fehler

Bei der Auswahl von MVZ-Software führen diese Muster regelmäßig zu Fehlgriffen:

• Mit einer Checkliste nach § 75b SGB V arbeiten. Die Richtlinie stützt sich inzwischen auf § 390 SGB V.
• Die Größenklasse nur nach Ärztinnen und Ärzten bestimmen. Gezählt wird, wer ständig mit der Datenverarbeitung betraut ist.
• Annehmen, bis zwanzig Personen sei die höchste Stufe ausgeschlossen. Der Umfang der Datenverarbeitung genügt ebenfalls.
• Großgeräte übersehen. Sie lösen unabhängig von der Größenklasse eine eigene Anlage aus.
• Die Standortverbindung als Nebensache behandeln. Netzwerksicherheit ist ein eigener Anforderungsbereich.
• Die Verantwortung im MVZ nicht zuweisen. Delegieren ist erlaubt, die Verantwortung bleibt beim Praxisinhaber; wer das im MVZ ist, gehört benannt.
• Die Auswahl als einmalige Entscheidung sehen. Der Anforderungskatalog wird laufend fortgeschrieben.

Was daraus für die Auswahl der MVZ-Software folgt

Aus den fünf Fragen ergibt sich eine Reihenfolge, die den Aufwand deutlich senkt. Zuerst wird gezählt und die Größenklasse bestimmt, daraus folgt der Anlagenkatalog. Dann werden die betrieblichen Kriterien für das eigene Haus festgelegt, also Mandantenfähigkeit, Schnittstellen und Planung. Erst danach beginnt der Vergleich, und zwar gegen eine Liste, die vorher feststand.

Der Vorteil liegt weniger im Ergebnis als im Verlauf: Wer mit einer eigenen Kriterienliste in ein Gespräch geht, vergleicht Angebote miteinander statt jedes Angebot mit sich selbst. Welche Auswertungsebenen ein Zentrum dabei mindestens braucht, ist im Beitrag zum MVZ-Controlling beschrieben. Für genau diese Zusammenführung über Standorte hinweg gibt es den Praxismanager von MediPulse.

Rechtsstand und Vorbehalte

Die zitierten Normen sind auf dem Stand August 2026; welche Richtlinienfassung geprüft ist, steht in der Methodennotiz unter diesem Beitrag. Der Text dient der allgemeinen Orientierung; eine Rechts- oder Datenschutzberatung ersetzt er nicht, und die Bewertung des eigenen Schutzbedarfs gehört in fachkundige Hände.

Fazit

Die Auswahl von Software für ein MVZ beginnt nicht bei den Funktionen, sondern bei einer Zählung. Wie viele Personen ständig mit der Datenverarbeitung betraut sind, entscheidet über die Größenklasse und damit über den verbindlichen Anforderungskatalog; ein Groß-MVZ mit krankenhausähnlichen Strukturen kann sogar unabhängig von der Personenzahl in die höchste Stufe fallen, die Richtlinie nennt es als Beispiel dafür. Darauf setzen die betrieblichen Fragen auf, die keine Richtlinie beantwortet: Mandantenfähigkeit, Schnittstellen und Planung über Standorte hinweg. Und weil die Richtlinie laufend fortgeschrieben wird, ist die Entscheidung nie endgültig, sondern bekommt einen Wiedervorlagetermin.

Quellen

• Sozialgesetzbuch V § 390: Richtlinie zur IT-Sicherheit
• Kassenärztliche Bundesvereinigung: Richtlinie nach § 390 SGB V über die Anforderungen zur Gewährleistung der IT-Sicherheit
• Kassenärztliche Bundesvereinigung: Medizinische Versorgungszentren aktuell. Statistische Informationen zum Stichtag 31.12.2024
• Verordnung (EU) 2016/679 Artikel 32: Sicherheit der Verarbeitung