Praxissoftware auswählen: Ablauf, AVV, Cloud und Stichtag
Digitale Werkzeuge neben dem PVS auswählen: erst den Ablauf messen, dann AVV und Cloud-Testat prüfen, zu einem festen Stichtag umstellen und erneut messen.
Praxissoftware meint hier die digitalen Werkzeuge neben dem Praxisverwaltungssystem, also Dokumenteneingang, Online-Rezeption, Telefonassistenz oder Terminbuchung. Ob eines davon Arbeit abnimmt, zeigt eine Zahl, die die Praxis selbst erhebt: die Bearbeitungszeit je Vorgang vor dem Kauf und nach der Umstellung. Rechtlich stehen zwei Prüfungen fest, ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und, sobald Gesundheitsdaten in einer Cloud verarbeitet werden, die Bedingungen des § 393 SGB V. Seit dem 1. Juli 2025 verlangt dieser grundsätzlich ein aktuelles C5-Testat vom Typ 2 oder einen gleichwertigen Nachweis. Anbieter und Produkte nennt der Beitrag nicht.
| Prüfpunkt | Grundlage | Kernaussage |
|---|---|---|
| Auftragsverarbeitung | Art. 28 DSGVO | Schriftlicher Vertrag, elektronisch genügt: Weisung, Genehmigung weiterer Auftragsverarbeiter, Nachweise, Löschen oder Rückgabe |
| Ort der Cloud-Verarbeitung | § 393 Abs. 2 SGB V | Inland, EU, gleichgestellter Staat oder Drittstaat mit Angemessenheitsbeschluss; dazu Niederlassung im Inland |
| Sicherheitsnachweis der Cloud | § 393 Abs. 3 und 4 SGB V | Aktuelles C5-Testat, seit 1. Juli 2025 Typ 2; neue Systeme 18 Monate Typ 1; gleichwertiger Standard zulässig |
| Schnittstellen zum PVS | § 371 SGB V | Frist läuft erst nach Festlegung der Spezifikationen, kein Termin im Gesetz |
Das Wichtigste in Kürze
- Gemessen wird zweimal, vor dem Kauf und nach der Anlaufzeit: Minuten je Vorgang und Zahl der manuellen Übertragungen, gegen die eigene Ausgangszahl.
- Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO kommt vor dem ersten echten Datensatz.
- Cloud nur unter § 393 SGB V: zulässiger Ort, Niederlassung im Inland, seit dem 1. Juli 2025 grundsätzlich C5-Testat Typ 2 oder gleichwertiger Nachweis.
- „PVS-Schnittstelle“ gehört zerlegt in Daten, Richtung, Auslöser und verbleibende Handarbeit. § 371 SGB V nennt keinen Termin.
- Der Ausstieg wird beim Einstieg geregelt: Format und Frist der Rückgabe gehören in den Vertrag.
Elektronische Akte heißt noch nicht durchgängiger Ablauf
Eine Praxis mit elektronischer Akte kann an vielen Stellen trotzdem von Hand arbeiten. Entscheidend ist, wie oft ein Vorgang zwischen zwei Systemen oder zwischen Bildschirm und Papier wechselt und jemand ihn dabei weitertragen muss. Jeder solche Wechsel ist ein Medienbruch.
Ein ausgedachtes Beispiel: Eine Patientin bittet über das Kontaktformular der Website um ein Folgerezept. Die Nachricht landet in einem Postfach, jemand liest sie, sucht die Patientin im PVS, legt die Anfrage der Ärztin vor, notiert die Freigabe und ruft zurück. Das Formular ist digital, der Vorgang dahinter besteht aus Handgriffen, von denen keiner von selbst an den nächsten anschließt.
Durchgängig ist ein Ablauf erst, wenn die Information ohne Abschreiben von einer Station zur nächsten gelangt und ein Mensch nur dort eingreift, wo etwas zu entscheiden ist: bei der ärztlichen Freigabe, nicht beim Übertragen von Name und Geburtsdatum. Die Frage an jedes Werkzeug lautet deshalb: An welcher Stelle hört es auf, und wer übernimmt dort?
Den eigenen Ablauf skizzieren und messen
Vor dem ersten Anbietergespräch stehen eine Skizze des Vorgangs, der heute am meisten Zeit kostet, und eine Ausgangszahl. Für die Skizze genügen fünf Stationen. Das Raster ist eine Arbeitshilfe, keine Norm.
| Station | Was dort passiert | Frage an das Werkzeug |
|---|---|---|
| Eingang | Ein Dokument, ein Anruf oder eine Anfrage kommt an | Über welche Wege nimmt es an, und kommt alles an einer Stelle zusammen? |
| Zuordnung | Patient:in, Art des Vorgangs und zuständige Person werden bestimmt | Ordnet es selbst zu oder schlägt es nur vor, und wer bestätigt? |
| Prüfung | Ärztliche oder fachliche Sichtung, wo sie nötig ist | Wie wird ein dringender Fall sichtbar, bevor er untergeht? |
| Aufgabe | Was folgt, wer es erledigt, bis wann | Entsteht eine Aufgabe mit Zuständigkeit oder nur eine Notiz? |
| Abschluss | Erledigt, dokumentiert, abgelegt | Wo liegt das Ergebnis am Ende, im PVS oder im Werkzeug? |
Für jede Station halten Sie fest, in welchem System sie stattfindet und wer sie erledigt. Wechselt das System zwischen zwei Stationen, wird der Medienbruch markiert.
Dazu kommen zwei Zahlen: die Bearbeitungszeit je Vorgang in Minuten, je nach Werkzeug je Befund, je Anruf oder je Rezeptanfrage, erhoben an einer Stichprobe und am besten von den Personen, die die Vorgänge bearbeiten, und die Zahl der manuellen Übertragungen in der Skizze. Eine allgemeingültige Vergleichszahl für solche Zeiten liefern die hier verwendeten Quellen nicht; Maßstab ist die eigene Ausgangszahl. Legen Sie gleich fest, ab welcher Veränderung das Werkzeug bleiben soll. Eine Schwelle, die erst nach dem Kauf bestimmt wird, entsteht mit Blick auf das Ergebnis.
Das Angebot am eigenen Ablauf prüfen
Mit Skizze und Ausgangszahl wird aus der Produktvorführung eine Prüfung. Drei Fragen tragen sie.
Womit beginnt das erste Gespräch?
Mit Ihrem Vorgang, nicht mit dem Funktionsumfang. Schicken Sie die Skizze vorab, dazu einen nachgestellten Fall ohne echte Patientendaten, etwa einen Befund ohne eindeutige Zuordnung oder eine Rezeptanfrage, die ärztlich freigegeben werden muss, und bitten Sie darum, genau diesen Fall durchzuspielen. Aufschlussreich ist, an welcher Station die Vorführung endet und welcher Schritt danach in der Praxis bleibt.
Wo endet die Übergabe ins PVS?
Hinter „PVS-Schnittstelle“ kann eine automatische Übergabe in beide Richtungen stehen oder eine Exportdatei, die jemand von Hand einliest. Die Frage gehört deshalb zerlegt: Welche Daten fließen in welche Richtung, wer stößt die Übergabe an, und bleibt eine manuelle Übertragung? In der Skizze heißt das: Liegt die Station Abschluss im PVS oder im Werkzeug?
§ 371 SGB V verlangt offene und standardisierte Schnittstellen in informationstechnischen Systemen der vertragsärztlichen Versorgung. Nach Absatz 3 beginnt die Frist zur Integration aber erst, wenn die jeweiligen Spezifikationen erstellt und vom Bundesministerium für Gesundheit verbindlich festgelegt sind. Wann die Pflicht für ein bestimmtes System greift, ergibt sich aus dem Gesetzestext allein nicht. Belastbar ist die schriftliche Zusage des Anbieters für das eigene PVS. Was die Vorschrift für den Datenexport bedeutet, ordnet der Beitrag zur Auswertung im Praxisverwaltungssystem ein.
Welche Pflege kommt neu dazu?
Jedes Werkzeug verlangt eigene Handgriffe: Vorlagen anlegen, Vorschläge bestätigen, falsche Zuordnungen korrigieren, Zugänge verwalten. Fragen Sie, welche davon in der Praxis anfallen, wer sie übernimmt und was bei einem Ausfall gilt. Diese Zeit zählt in der zweiten Messung mit, denn ein Werkzeug, das beim Übertragen Minuten spart und sie beim Korrigieren wieder kostet, hat nichts gewonnen. Wie knapp Personalzeit ist, hängt auch davon ab, wie viel Personal Praxen je Arzt einsetzen.
Die Rechtsprüfung: Auftragsverarbeitung und Cloud
Verarbeitet der Anbieter Patientendaten im Auftrag der Praxis, braucht es einen Vertrag nach Art. 28 DSGVO; läuft die Verarbeitung über einen Cloud-Dienst, kommt § 393 SGB V hinzu.
Was der Vertrag nach Art. 28 DSGVO regeln muss
Nach Art. 28 Abs. 1 DSGVO arbeitet die Praxis nur mit Auftragsverarbeitern, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Der Vertrag muss unter anderem vorsehen, dass der Anbieter nur auf dokumentierte Weisung der Praxis verarbeitet (Abs. 3 Buchst. a) und alle Informationen zum Nachweis bereitstellt sowie Überprüfungen einschließlich Inspektionen ermöglicht (Buchst. h). Weitere Auftragsverarbeiter, etwa ein Rechenzentrum, darf er nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung einsetzen (Abs. 2). Schriftlich heißt nicht zwingend Papier: Nach Abs. 9 genügt ein elektronisches Format.
Wann Gesundheitsdaten in die Cloud dürfen
§ 393 SGB V erlaubt Leistungserbringern und ihren Auftragsdatenverarbeitern, Sozial- und Gesundheitsdaten per Cloud-Computing zu verarbeiten, aber nur unter Bedingungen. Zum Ort nennt Absatz 2 das Inland, einen EU-Mitgliedstaat, einen nach § 35 Abs. 7 SGB I gleichgestellten Staat oder einen Drittstaat mit Angemessenheitsbeschluss nach Art. 45 DSGVO, dazu eine Niederlassung der datenverarbeitenden Stelle im Inland. Zur Sicherheit verlangt Absatz 3 technische und organisatorische Maßnahmen nach dem Stand der Technik, ein aktuelles C5-Testat für die eingesetzten Cloud-Systeme und die Umsetzung der Kriterien, die der Prüfbericht des Testats für Kunden nennt. Der letzte Punkt kann die Praxis selbst betreffen und gehört deshalb erfragt.
Was „aktuell“ heißt, hat sich mit dem 1. Juli 2025 geändert. Bis zum 30. Juni 2025 genügte ein Testat vom Typ 1, seitdem verlangt Absatz 4 ein aktuelles Testat vom Typ 2. Für Systeme, die nach dem 30. Juni 2025 erstmals in Verkehr gebracht wurden, reicht in den ersten 18 Monaten Typ 1, ab dem 19. Monat gilt Typ 2. Zulässig ist außerdem ein Testat oder Zertifikat nach einem Standard mit vergleichbarem oder höherem Sicherheitsniveau.
Wie kommen die Daten wieder heraus?
Der Ausstieg wird beim Einstieg verhandelt. Art. 28 Abs. 3 Buchst. g DSGVO gibt der Praxis die Wahl, ob der Anbieter die Daten nach Ende der Leistung löscht oder zurückgibt, und verpflichtet ihn, vorhandene Kopien zu löschen, sofern keine gesetzliche Pflicht zur Speicherung besteht. Format und Frist der Rückgabe regelt die Vorschrift nicht. Beides gehört in den Vertrag: ein Export in einem Format, das ein anderes System einlesen kann, eine Frist dafür und eine Bestätigung der Löschung.
So gehen Sie vor
Die Schritte sind Empfehlungen, keine Vorgaben. Ihre Reihenfolge folgt aus den Abschnitten oben.
- Den Vorgang skizzieren und messen, bei dem heute am häufigsten jemand Daten von Hand von einem System ins andere trägt; Schwelle festlegen.
- Das Angebot am eigenen Fall prüfen. Übergabe ins PVS und neue Pflegearbeit schriftlich beantworten lassen.
- Vertrag und Cloud klären. Liste der weiteren Auftragsverarbeiter erfragen; bei Cloud Ort, Niederlassung, Art, Datum und Geltungsbereich des Nachweises vorlegen lassen, bei Typ 1 das Datum für Typ 2. Rückgabeformat, Frist und Löschbestätigung vereinbaren.
- Die Technik vor der Unterschrift prüfen lassen. Die IT-Betreuung klärt, ob das Werkzeug auf den vorhandenen Rechnern läuft, was es im Praxisnetz braucht und wie es ans PVS angebunden wird; welche Stufe der IT-Sicherheitsrichtlinie gilt, beschreibt der Beitrag zur MVZ-Software. Das Werkzeug wird vollständig eingerichtet, bevor das Team es sieht. Getestet wird mit echten Daten erst, wenn der Auftragsverarbeitungsvertrag unterschrieben ist.
- Aufgaben verteilen und mit einer Pilotgruppe starten. Vor dem Stichtag steht fest, wer Vorschläge bestätigt und Fehlzuordnungen korrigiert, wer Vorlagen und Zugänge pflegt und welches System gilt, wenn PVS und Werkzeug Verschiedenes zeigen. Eine kleine Gruppe aus Anmeldung, Labor, Abrechnung und ärztlichem Dienst arbeitet zuerst im Echtbetrieb und meldet, was im Alltag nicht passt; die Einarbeitung steht im Dienstplan.
- Zu einem festen Stichtag umstellen. Ab diesem Datum läuft der Vorgang nur noch über das neue Werkzeug. Zwei Wege nebeneinander bedeuten doppelte Arbeit und lassen offen, welcher Weg gilt.
- Nach der Anlaufzeit ein zweites Mal messen und entscheiden. Dieselbe Messung an vergleichbaren Vorgängen, einschließlich der neuen Pflegezeit. Weiterführen, wenn Bearbeitungszeit und manuelle Übertragungen gesunken sind und die Pflege den Gewinn nicht aufzehrt. Nachsteuern, wenn die Zeit nicht sinkt, die Skizze aber zeigt, warum, etwa eine verbliebene Übertragung oder eine nicht eingelöste Zusage; dann diesen Punkt ändern und erneut messen. Kündigen, wenn auch danach keine Verbesserung messbar ist; dann greifen die Regeln zu Rückgabe und Löschung aus dem Vertrag.
Häufige Fehler
- Mit echten Patientendaten testen, bevor der Auftragsverarbeitungsvertrag unterschrieben ist.
- Eine Cloud-Lösung ohne aktuelles C5-Testat oder gleichwertigen Nachweis einsetzen. Seit dem 1. Juli 2025 ist das grundsätzlich Typ 2.
- Weitere Auftragsverarbeiter nicht erfragen. Ohne vorherige Genehmigung der Praxis darf der Anbieter keine einsetzen.
- Ohne Ausgangsmessung kaufen. Dann fehlt der Maßstab, und die Schwelle entsteht mit Blick auf das Ergebnis.
- Die Datenrückgabe offen lassen. Format und Frist regelt Art. 28 DSGVO nicht; sie gelten nur, wenn der Vertrag sie festlegt.
- Auf § 371 SGB V als Termin bauen. Die Frist hängt an Spezifikationen; belastbar ist die schriftliche Zusage für das eigene PVS.
Was daraus für die Praxis folgt
Die Auswahl entscheidet sich am Vorgang, nicht am Produkt. Wer Ausgangszahl und Schwelle vor dem Kauf festlegt, kann nach der Anlaufzeit begründet weiterführen, nachsteuern oder kündigen, statt nach Eindruck zu urteilen. Aus Minuten wird dabei ein Betrag: Differenz je Vorgang mal Zahl der Vorgänge im Quartal mal Stundenlohn der bearbeitenden Personen, gehalten gegen die Lizenzkosten desselben Quartals. Das ist eine eigene Hochrechnung und bleibt als solche gekennzeichnet.
Rechtsstand und Vorbehalte
Die Vorschriften sind im Wortlaut gelesen, Stand Oktober 2026. § 393 SGB V enthält zudem eine Verordnungsermächtigung des Bundesministeriums für Gesundheit; ob daraus weitere Anforderungen folgen, ist bei der Auswahl zu prüfen. Raster, Prüffragen, Reihenfolge der Umstellung und Messmethode sind redaktionelle Empfehlungen. Der Beitrag ersetzt keine Datenschutz- oder Rechtsberatung zu einem konkreten Vertrag.
Fazit
Ein digitales Werkzeug lohnt sich, wenn ein Vorgang damit ohne Abschreiben bis ins PVS durchläuft und die eigene Messung das zeigt. Vor dem Kauf stehen Skizze, Ausgangszahl und Schwelle, dazu der Vertrag nach Art. 28 DSGVO und bei Cloud-Verarbeitung die Bedingungen des § 393 SGB V. Bleibt die Frage, mit der alles beginnt: Bei welchem Vorgang trägt in Ihrer Praxis heute am häufigsten jemand Daten von Hand von einem System ins andere?
Quellen
Häufige Fragen
Was muss im Auftragsverarbeitungsvertrag mit einem Softwareanbieter stehen?
Nach Art. 28 DSGVO unter anderem, dass der Anbieter nur auf dokumentierte Weisung der Praxis verarbeitet, weitere Auftragsverarbeiter nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung einsetzt, alle Informationen zum Nachweis bereitstellt und Überprüfungen einschließlich Inspektionen ermöglicht und nach Ende der Leistung die Daten nach Wahl der Praxis löscht oder zurückgibt. Der Vertrag ist schriftlich abzufassen, ein elektronisches Format genügt.
Darf eine Arztpraxis Patientendaten in der Cloud verarbeiten lassen?
Ja, unter den Bedingungen des § 393 SGB V. Die Verarbeitung muss im Inland, in einem EU-Mitgliedstaat, in einem nach § 35 Abs. 7 SGB I gleichgestellten Staat oder in einem Drittstaat mit Angemessenheitsbeschluss nach Art. 45 DSGVO erfolgen, Absatz 2 nennt zudem eine Niederlassung der datenverarbeitenden Stelle im Inland. Hinzu kommen technische und organisatorische Maßnahmen nach dem Stand der Technik, ein aktuelles C5-Testat oder ein gleichwertiger Nachweis und die Umsetzung der Kriterien, die der Prüfbericht für Kunden nennt.
Welches C5-Testat ist seit dem 1. Juli 2025 nötig?
Seit dem 1. Juli 2025 gilt nach § 393 Abs. 4 SGB V grundsätzlich nur ein aktuelles C5-Testat vom Typ 2 als aktuelles Testat, vorher genügte Typ 1. Für Systeme, die nach dem 30. Juni 2025 erstmals in Verkehr gebracht wurden, reicht in den ersten 18 Monaten Typ 1, ab dem 19. Monat gilt Typ 2. Zulässig ist auch ein Testat oder Zertifikat nach einem Standard mit vergleichbarem oder höherem Sicherheitsniveau.
Woran erkennt man, was ein Angebot mit PVS-Schnittstelle meint?
An den Antworten auf drei Fragen: Welche Daten fließen in welche Richtung, wer stößt die Übergabe an, und bleibt eine manuelle Übertragung? Das Wort reicht von einer automatischen Übergabe in beide Richtungen bis zu einer Exportdatei, die jemand von Hand einliest. § 371 SGB V verlangt offene und standardisierte Schnittstellen, die Frist läuft nach Absatz 3 aber erst nach der verbindlichen Festlegung der Spezifikationen. Belastbar ist deshalb die schriftliche Zusage des Anbieters für das eigene System.
Wie misst eine Praxis, ob sich ein digitales Werkzeug lohnt?
Mit zwei selbst erhobenen Zahlen vor dem Kauf und nach der Anlaufzeit: der Bearbeitungszeit je Vorgang in Minuten, etwa je Befund oder je Anruf, und der Zahl der manuellen Übertragungen zwischen Systemen. Maßstab ist die eigene Ausgangszahl, gegen eine vorher festgelegte Schwelle. Daraus folgt die Entscheidung: weiterführen, nachsteuern oder kündigen.
Dr. med. Jonas Kraska ist approbierter und promovierter Arzt und hat als ausgebildeter Krankenpfleger davor die Seite kennengelernt, die den Betrieb tatsächlich trägt. Er weiß, wie eine Sprechstunde abläuft und welche Zahlen für eine Praxis wirklich zählen. Als CTO und Full-Stack-Entwickler mit über fünf Jahren Erfahrung verantwortet er Architektur und Datensicherheit, und damit den Schutz der Praxisdaten.