Datenschutz für Ihre Arztpraxis —
DSGVO, KBV §390 und ePA in einem System

Custodio ist kein Praxisverwaltungssystem. Es ersetzt weder Ihre Praxissoftware noch das Abrechnungsmodul, und es ist nicht von der KBV zertifiziert — zertifiziert werden Praxisverwaltungssysteme, nicht Compliance-Werkzeuge.

Das wird häufig verwechselt, weil zwei verschiedene Dinge denselben Namen tragen:

• Ihre Praxissoftware verwaltet Patienten, Termine, Befunde und die Abrechnung. Sie muss für die vertragsärztliche Abrechnung von der KBV zertifiziert sein.
• Die IT-Sicherheitsrichtlinie nach § 390 SGB V richtet sich dagegen an die Praxis, nicht an die Software. Eine zertifizierte Praxissoftware allein erfüllt sie nicht.

Custodio arbeitet auf der zweiten Ebene: es dokumentiert, welche Daten Ihre Praxis verarbeitet — einschließlich derer in Ihrer Praxissoftware —, hält die Nachweise zusammen und erinnert an Fristen. Die Praxissoftware bleibt, wo sie ist; sie taucht im Verzeichnis der Verarbeitungstätigkeiten als System auf, und mit ihrem Anbieter brauchen Sie einen Auftragsverarbeitungsvertrag.

Wenn Sie also prüfen, ob Ihre Praxissoftware DSGVO-konform eingesetzt wird, ist das eine Frage an Ihre Dokumentation und Ihre Verträge — nicht allein an das Produkt. Genau dafür ist Custodio gebaut.

Was verlangt die IT-Sicherheitsrichtlinie seit dem 1. Oktober 2025?

Die neu eingeführten Anforderungen zur Einweisung, Sensibilisierung und Schulung des Praxispersonals sind seit dem 1. Oktober 2025 umzusetzen. Die KBV formuliert: „Das Praxispersonal muss in den sicheren Umgang mit der Praxis-IT eingewiesen und sensibilisiert werden, soweit dies für die Arbeit relevant ist."

Warum finde ich die Richtlinie mal unter § 75b, mal unter § 390 SGB V?

Die Regelung wurde bis zum 25. März 2024 unter der früheren Nummer § 75b SGB V geführt und durch das Digital-Gesetz mit Wirkung zum 26. März 2024 in § 390 SGB V überführt und ergänzt. Beide Nummern bezeichnen dieselbe Richtlinie; § 390 ist die aktuelle.

Welche Anlage gilt für meine Praxis?

Maßgeblich ist die Anzahl der Personen, die ständig mit der Datenverarbeitung betraut sind: bis fünf Personen die Basisanforderungen der Anlage 1, bei sechs bis zwanzig Personen zusätzlich Anlage 2, bei mehr als zwanzig Personen oder bei Datenverarbeitung in erheblichem Umfang weitere zusätzliche Anforderungen. Hinzu kommen anwendungsbezogene Anforderungen, etwa für medizinische Großgeräte und die Telematikinfrastruktur.

Welche Strafe droht bei Verstößen?

Die IT-Sicherheitsrichtlinie enthält selbst keinen eigenen Bußgeldtatbestand. Unabhängig davon können Verstöße gegen Datenschutz-, berufsrechtliche oder sonstige gesetzliche Pflichten rechtliche Folgen haben.

Erfüllt Custodio die Richtlinie für mich?

Nein — und kein Werkzeug kann das. Custodio unterstützt Praxen bei der strukturierten Umsetzung und Dokumentation relevanter Anforderungen. Die Verantwortung für die tatsächliche und vollständige Umsetzung verbleibt bei der jeweiligen Praxis. Custodio enthält dafür einen Anforderungskatalog zur KBV-IT-Sicherheitsrichtlinie mit derzeit 92 Einträgen: den Anforderungen der Anlagen 1 bis 5 mit ihren Erläuterungen, strukturiert nach Anlagen. Der Katalog ist ein Auszug und erhebt keinen Anspruch auf Vollständigkeit; maßgeblich ist stets die jeweils aktuelle Fassung der Richtlinie.

Brauchen wir einen Datenschutzbeauftragten?

Das hängt vom Einzelfall ab, unter anderem von Umfang und Art der Verarbeitung sowie der Zahl der ständig mit der Verarbeitung beschäftigten Personen. Wir beraten dazu kostenlos unter 030 - 91 74 77 13 (Mo–Fr 8–15 Uhr) und stellen den externen Datenschutzbeauftragten auf Wunsch selbst.