Wie wir Zugriff, Akten und Betrieb zusammenhalten.
Was wir tun, damit die Akte hält: Verschlüsselung, Rollentrennung, Append-only-Protokoll — und ein Export, den eine Aufsicht annimmt. Jede Kontrolle nennt die Klausel, die sie umsetzt.
- Patient
- PT-04182
- Zeitraum
- 2024-01-01 → 2026-09-17
- Benutzer
- Alle (7)
- Zeilen
- 1.284
Pro Patient, pro Benutzer, pro Zeitraum — ohne Tabellenkalkulation.
Identität und Zugriffskontrolle.
Eindeutige Konten, ein zweiter Faktor auf jedem neuen Gerät, zeitlich begrenzte Sitzungen und Rollen, die der Verwahrer selbst konfiguriert.
Eindeutige Konten
Keine geteilten Logins. Jeder Benutzer hat ein Konto, das einer Person zugeordnet ist — und jede Aktion trägt diesen Namen.
Zweiter Faktor auf neuen Geräten
Die erste Anmeldung von einem neuen Gerät verlangt einen zweiten Faktor, bevor das Gerät vertraut wird. Fehlende Registrierungen erscheinen im Tagescheck.
Sitzungs-Timeout und Sperre
Inaktive Sitzungen enden automatisch nach einer pro Praxis konfigurierten Zeit. Wiederholte Fehlversuche sperren das Konto und melden es dem Verwahrer.
Rollenbasierter Zugriff
Rechte hängen an Rollen, Rollen an Personen. Der Verwahrer konfiguriert sie selbst; jede Änderung wird mit Vorher/Nachher protokolliert.
Rollen-gestufte Sensibilität
Klinische Details von Flags, Grenzen und Praxisfähigkeit sehen nur klinische bzw. Melde-Rollen. Der Empfang sieht die operative Auswirkung.
Signaturen mit Bindung
Jede elektronische Signatur ist an Identität, Zeitstempel und Inhalts-Hash gebunden. Eine spätere Änderung verlangt eine neue Signatur und bewahrt die alte Version.
Verschlüsselt, gesichert, wiederherstellbar.
Die Kontrollen, die jede andere Datenschutzaussage überprüfbar machen — mit Nachweisen, die auf Anfrage vorliegen.
Verschlüsselung in Übertragung und Speicherung
Kein Klartext-Fallback auf dem Weg; Datenbanken, Dateiablagen und Backups verschlüsselt, Schlüssel getrennt verwaltet und turnusmäßig rotiert.
Backups, die zurückgespielt werden
Backups werden beim Schreiben und beim Wiederherstellen per Prüfsumme geprüft. Ein Restore-Test pro Quartal wird mit Operator, Zeit und Wiederherstellungspunkt protokolliert.
Integritätsalarm
Änderungen an gespeicherten Akten außerhalb des Anwendungspfads werden erkannt und gemeldet; signierte Versionen bleiben gegen ihren Inhalt prüfbar.
Datenresidenz pro Praxis
Speicherung und Verarbeitung sind auf eine benannte Region festgelegt und in der Praxisakte dokumentiert. Ein Wechsel braucht die Zustimmung des Verwahrers.
Entsorgungsnachweise
Für jedes Medium, das Gesundheitsdaten enthielt, liegt ein Entsorgungs- oder Löschnachweis vor; lokale Offline-Caches werden bei Abmeldung unlesbar.
Tagescheck
Ablaufende Schlüsselrotation, Backup-Fehler, überfällige Restore-Übungen und MFA-Lücken erscheinen jeden Tag im Compliance-Hub — nicht erst im Audit.
Akten und Nachweise.
Append-only Audit-Log, Aufbewahrungs-Floor pro Akte, ein Offenlegungsprotokoll pro Patient — in die Plattform integriert, nicht angebaut.
Append-only Audit-Log
Jede Authentifizierung, Autorisierung, jeder Aktenzugriff, Export, Druck und jede administrative Änderung wird unveränderlich geloggt. Ein Manipulationsversuch wird selbst protokolliert.
Aufbewahrungs-Floor an der Akte
Berechnet aus SP 5.4, durchgesetzt an der Akte. Löschung vor dem Floor ist blockiert; Vernichtung danach hinterlässt einen Nachweis.
Audit-Export
Regulator-bereite Exporte pro Patient, Benutzer und Zeitraum. Ein Patient erhält die Offenlegungshistorie seiner Akte auf Anfrage.
Offenlegungsprotokoll
Jede Offenlegung an Dritte braucht eine Autorisierung mit Beginn, Ablauf, Zweck, Empfänger und Widerrufbarkeit — und landet im Protokoll des Patienten.
Nur gesicherte Kanäle
Gesundheitsdaten verlassen die Akte über einen gesicherten Pfad. Es gibt keinen Weg zu SMS, Messenger-Apps oder Social Media.
Information Manager Agreement
Vor der ersten Akte unterschrieben, gegen jede Appendix-4-Komponente geprüft, versioniert und vor Ablauf verlängert.
Operative Integrität.
Belastbar unter Netzwerk- und Anbieterstörungen, mit einem Kontinuitätsprotokoll, das der Standard verlangt — und regelmäßig bewiesen.
Read-only-Fallback
Ist die primäre Anwendung nicht erreichbar, bleibt die zuletzt synchronisierte Akte in einem klar gekennzeichneten Lesemodus zugänglich.
Offline-Erfassung mit Abgleich
Klinische Notizen werden offline erfasst und beim Reconnect zusammengeführt. Konflikte werden gezeigt, nie stillschweigend überschrieben.
Monatlicher Chaos-Test
Ein automatisierter Test beweist jeden Monat den Fallback-Pfad von Ende zu Ende, bevor ein echter Ausfall ihn braucht.
Status-Seite und Support-Referenz
Öffentlicher Status mit Incident-Historie; jeder Fehlerbildschirm trägt eine eindeutige Referenz und die Zusicherung, dass der Vorfall protokolliert ist.
Verfügbarkeitsziel
Ein veröffentlichtes Ziel für das Laden der Akte, in Produktion gemessen. Komponenten unter dem Ziel erscheinen im Tagescheck.
Onboarding-Schranken
Ohne gebundene Regulierungsbehörde, unterschriebenes IMA, benannte HIA-Verantwortliche und freigegebenes PIA werden keine Gesundheitsdaten aufgenommen.