Ein Patient ruft an, nennt seinen Namen und beschreibt seine Symptome. Früher lief dieser Anruf über Ihre Telefonanlage im Haus, heute landet er oft auf einem Server in der Cloud. Viele Praxisinhaber wissen aber nicht, wer diese Daten genau verarbeitet, wo sie gespeichert werden und ob das rechtlich überhaupt erlaubt ist. Dabei geht es bei jedem Anruf um hochsensible Gesundheitsdaten: die strengste Kategorie im Datenschutzrecht.
Cloud-Telefonie: Warum Ihr Telefon zum Datenschutzrisiko wird
Früher stand Ihre Telefonanlage im Keller oder Technikschrank. Alle Gesprächsdaten blieben sicher im Praxisnetz, Zugriffe von außen gab es kaum. Die Cloud-Telefonie ändert das. Ihre Anlage läuft nicht mehr auf eigener Hardware. Sie wird auf den Servern eines externen Anbieters betrieben. Damit verlassen alle Verbindungsdaten Ihre Praxis und werden von einem Dritten verarbeitet.
Das hat direkte rechtliche Folgen. Sobald Sie Daten an einen externen Dienstleister geben, brauchen Sie dafür eine Rechtsgrundlage und einen Vertrag. Fehlen diese, verstoßen Sie gegen die Datenschutz-Grundverordnung. Das gilt auch dann, wenn es noch gar kein Datenleck gab.
Ein Cloud-System ist immer über das Internet erreichbar. Das schafft Angriffsflächen, die eine klassische TK-Anlage einfach nicht hatte. Unsichere Protokolle, fehlende Verschlüsselung oder schwache Passwörter sind Einfallstore für Angreifer, die es früher nicht gab.
Was ein Anruf über Ihre Patienten verrät
Die meisten Praxisinhaber denken bei Telefondaten nur an das, was im Gespräch gesagt wird. Der Umfang der relevanten Daten ist aber viel größer. Schon der Anruf selbst ist ein schützenswertes Gesundheitsdatum, denn er verrät, dass jemand medizinische Hilfe sucht.
Konkret entstehen bei jedem Anruf:
- Metadaten wie die Rufnummer des Anrufers, Zeitstempel, Gesprächsdauer und die gewählte Durchwahl.
- Die Gesprächsinhalte selbst, sobald Ihr Personal am Telefon über Symptome und Diagnosen spricht.
- Anrufaufzeichnungen, wenn die Praxis eine Rückruffunktion oder Voicemail nutzt
- Verknüpfungen mit dem Praxisverwaltungssystem (PVS), wenn die Telefonanlage über eine Schnittstelle angebunden ist und beim Eingang eines Anrufs automatisch die Patientenakte öffnet
Alle diese Daten fallen unter Artikel 9 der DSGVO als besondere Kategorie personenbezogener Daten. Das bedeutet: erhöhter Schutzbedarf, strengere Anforderungen an die Verarbeitung und kein Spielraum für laxe Sicherheitsstandards.
DSGVO, ärztliche Schweigepflicht und §203 StGB: Was wirklich gilt
Arztpraxen bewegen sich in einem Dreieck aus datenschutzrechtlichen, berufsrechtlichen und strafrechtlichen Pflichten. Die DSGVO regelt den Umgang mit personenbezogenen Daten auf europäischer Ebene und stuft Gesundheitsdaten in Artikel 9 als besonders schützenswert ein. Parallel dazu verpflichtet die ärztliche Schweigepflicht jeden Arzt zur Vertraulichkeit, und §203 StGB stellt die unbefugte Offenbarung von Patientengeheimnissen unter Strafe.
Wenn Sie einen Cloud-Telefonanbieter nutzen, geben Sie zwangsläufig Daten an einen Dritten weiter. Damit das rechtmäßig ist, müssen Sie diesen Anbieter als Auftragsverarbeiter nach Artikel 28 DSGVO vertraglich einbinden. In der Praxis ist das fast immer der einzige Weg.
Der Auftragsverarbeitungsvertrag: Darum ist er Pflicht
Ein Auftragsverarbeitungsvertrag (AVV) ist Pflicht. Wenn Sie Cloud-Telefonie ohne AVV nutzen, verstoßen Sie schon mit dem ersten Anruf gegen die DSGVO. Ob Daten dabei missbraucht werden, spielt keine Rolle.
Laut Artikel 28 DSGVO muss der AVV mindestens die folgenden Punkte abdecken:
- Was wird verarbeitet und wie lange?
- Was mit den Daten geschieht und warum.
- Welche Datenkategorien und welche Personengruppen betroffen sind.
- Was der Verantwortliche tun muss und darf.
- Wie der Auftragsverarbeiter die Daten schützt.
- Regeln für Unterauftragsverarbeiter.
- Regeln zur Löschung oder Rückgabe Ihrer Daten nach Vertragsende.
Fragen Sie nach einem AVV, die meisten Anbieter stellen ihn bereit. Bekommen Sie keinen, ist das ein klares Zeichen, den Anbieter zu wechseln.
Serverstandort EU ist ein Muss
Viele Praxisinhaber schauen nur auf den Preis und die Technik, aber übersehen den Serverstandort. Verarbeitet ein Anbieter Ihre Daten außerhalb der EU, spricht man von einem Drittlandtransfer.
Für solche Transfers gelten strenge Anforderungen. Standardvertragsklauseln (SCC) allein reichen oft nicht aus, weil zusätzliche technische und organisatorische Maßnahmen nötig sind. Ein weiteres Problem ist der US-amerikanische CLOUD Act: Er erlaubt US-Behörden den Zugriff auf Daten, selbst wenn diese in Europa gespeichert sind. Für Arztpraxen ist das ein inakzeptables Risiko.
Am sichersten ist ein Anbieter, dessen Rechenzentren in Deutschland oder der EU stehen und der keine Daten in Drittländer überträgt.
Technische Schwachstellen, die Praxen oft unterschätzen
Bei der Cloud-Telefonie gehen Technik und Recht Hand in Hand. Ein rechtlich einwandfreier AVV nützt Ihnen nichts, wenn die technische Verbindung Schwachstellen hat. In der Praxis sehen wir vor allem drei typische Probleme.
SIP-Trunk ohne TLS: Eine offene Leitung für Lauscher
SIP (Session Initiation Protocol) ist der Standard, der Ihre VoIP-Telefonate aufbaut. Fehlt die Verschlüsselung, werden die Signalisierungsdaten im Klartext durchs Internet geschickt. Ein Angreifer im gleichen Netzwerk kann dann mit einfachen Tools alles mitlesen. Man nennt das SIP-Sniffing, und der technische Aufwand dafür ist gering.
Die Kombination aus TLS (Transport Layer Security) für die Signalisierung und SRTP (Secure Real-Time Transport Protocol) für die Sprachdaten schützt Sie. So kann weder der Verbindungsaufbau noch das Gespräch selbst mitgehört werden. Klären Sie bei der Anbieterauswahl unbedingt, ob beide Protokolle standardmäßig aktiviert sind.
Gefahr am Telefon: Spoofing und Vishing
Eine oft unterschätzte Gefahr: Angreifer rufen bei Ihnen an und geben sich als Vertreter der Kassenärztlichen Vereinigung oder eines Labors aus. Technisch ist es einfach, eine falsche Rufnummer anzuzeigen. Dieses Vorgehen nennt sich Caller ID Spoofing.
Das Ziel solcher Angriffe ist Social Engineering: Das Personal wird unter Zeitdruck gebracht und gibt Patientendaten, Zugangsdaten oder interne Informationen preis. Dieser Angriff heißt Vishing, eine Kombination aus Voice und Phishing. Echte Fälle, bei denen Praxismitarbeiter auf gefälschte Anrufe hereingefallen sind und sensible Daten weitergegeben haben, sind dokumentiert. Technische Schutzmaßnahmen allein reichen hier nicht, regelmäßige Mitarbeiterschulungen sind zwingend.
Worauf es bei der Anbieterauswahl ankommt
Die Wahl des Anbieters ist Ihre wichtigste Entscheidung. Ein technisch starker Partner mit klaren Zusagen zum Datenschutz sorgt dafür, dass viele Probleme gar nicht erst entstehen. Diese Punkte gehören auf Ihre Checkliste:
- Serverstandort ausschließlich in Deutschland oder der EU, keine Drittlandtransfers
- Bereitstellung eines vollständigen AVV nach Artikel 28 DSGVO
- Die Signalisierung wird per TLS verschlüsselt, die Sprachübertragung per SRTP.
- Fordern Sie nachweisbare Sicherheitszertifikate, keine bloßen Eigenerklärungen.
- Verlangen Sie ein dokumentiertes Löschkonzept für Gesprächs- und Metadaten.
- Fragen Sie nach Referenzen aus dem Gesundheitswesen. Erfahrung mit datenschutzsensiblen Branchen ist ein Muss.
- Admin-Zugänge brauchen eine Multi-Faktor-Authentifizierung (MFA).
Wenn ein Anbieter hier keine klaren Antworten liefert, sollten Sie das als Warnsignal verstehen.
Zertifikate, die wirklich zählen
Viele Anbieter behaupten, datenschutzkonform zu sein, können das aber nicht belegen. Zwischen einer reinen Selbstaussage und einem geprüften Zertifikat liegt ein gewaltiger Unterschied.
Die ISO 27001 ist der internationale Standard für das Management von Informationssicherheit. Ein Anbieter mit diesem Zertifikat hat seine Sicherheitsprozesse von einer unabhängigen Stelle überprüfen lassen. Das BSI C5-Testat des Bundesamts für Sicherheit in der Informationstechnik ist noch strenger und speziell auf Cloud-Dienste zugeschnitten. Auch der amerikanische Standard SOC 2 setzt eine unabhängige Prüfung voraus.
Keines dieser Zertifikate allein beweist, dass die Datenverarbeitung DSGVO-konform ist. Die DSGVO kennt schlicht keine Zertifizierungspflicht. Ein Anbieter mit ISO 27001 und BSI C5 zeigt aber, dass er Informationssicherheit systematisch und professionell betreibt.
Die Cloud-Telefonanlage von vio:networks erfüllt diese Anforderungen. Die Server stehen ausschließlich in deutschen Rechenzentren, die Signalisierung wird per TLS und die Sprachübertragung per SRTP verschlüsselt. Damit sind die zwei kritischsten technischen Punkte von Haus aus abgedeckt und Sie sind auf der sicheren Seite.
Was Sie in der Praxis selbst tun müssen
Ein sicherer Anbieter ist nur die halbe Miete. Für die internen Prozesse sind Sie als Praxisinhaber verantwortlich. Vernachlässigen Sie diesen Teil, haben Sie trotz sicherer Technik ein handfestes Datenschutzproblem.
Konkret bedeutet das:
Rollenkonzept und Least Privilege: Nicht jeder Mitarbeiter braucht Zugriff auf alle Funktionen. Nach dem Prinzip der minimalen Rechtevergabe erhält jeder Nutzer nur die Berechtigungen, die er für seine Aufgaben wirklich benötigt. Legen Sie also bewusst fest, wer beispielsweise Gesprächsaufzeichnungen abhören darf.
MFA für Admin-Zugänge: Das Webinterface der Telefonanlage ist der Generalschlüssel zur gesamten Konfiguration. Schützen Sie diesen Zugang deshalb unbedingt mit einer Multi-Faktor-Authentifizierung, zum Beispiel per App oder Hardware-Token. Für Administratoren ist das eine Pflichtmaßnahme.
Ihr Team muss wissen, wie es mit verdächtigen Anrufen umgeht – Stichwort Vishing. Eine einmalige Schulung reicht nicht, denn die Angriffsmethoden entwickeln sich ständig weiter.
Wer hat wann auf welche Funktionen zugegriffen? Protokolldaten helfen Ihnen, Vorfälle aufzuklären. Gleichzeitig erfüllen Sie damit Ihre Rechenschaftspflicht nach Artikel 5 Absatz 2 DSGVO.
Wenn Sie Gesundheitsdaten verarbeiten, ist eine Datenschutz-Folgenabschätzung (DSFA) oft Pflicht. Prüfen Sie bei der Einführung von Cloud-Telefonie, ob das für Sie zutrifft. Die Aufsichtsbehörden der Länder stellen dazu Positivlisten bereit.
Laut dem Cost of a Data Breach Report 2023 von IBM Security kostet ein Datenleck im Schnitt 4,45 Millionen US-Dollar. In Arztpraxen kommen bei DSGVO-Verstößen Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des Jahresumsatzes hinzu. Angesichts dieser Summen sind Schutzmaßnahmen eine notwendige Investition.
So wird Cloud-Telefonie in Ihrer Praxis zu einer sicheren Lösung
Die möglichen Risiken der Cloud-Telefonie lassen sich minimieren, wenn Praxisinhaber die richtigen Entscheidungen treffen. Die Wahl eines Anbieters mit Serverstandort in Deutschland, vollständiger AVV-Dokumentation und nachgewiesener Verschlüsselung beseitigt die größten strukturellen Risiken. Interne Maßnahmen wie Rollenkonzepte, MFA und Mitarbeiterschulungen schließen die verbleibenden Lücken.
Cloud-Telefonie bietet Arztpraxen echte Vorteile: mehr Flexibilität, bessere Erreichbarkeit, Integration mit Praxissoftware wie Tomedo. Diese Vorteile zu nutzen, ohne die datenschutzrechtlichen Hausaufgaben zu machen, wäre fahrlässig. Wer beides zusammenbringt, hat eine Lösung, die technisch und rechtlich trägt.
Die Cloud-Telefonanlage von vio:networks ist speziell für die Anforderungen von Arztpraxen ausgelegt und lässt sich über eine API in Praxissoftware wie Tomedo integrieren. Wenn Praxen auf Patientendaten angewiesen sind, die bei einem Anruf automatisch aufgerufen werden sollen, sorgt die verschlüsselte Telefonie über Server in Deutschland dafür, dass diese Verknüpfung datenschutzkonform bleibt.
FAQs: die wichtigsten Fragen zur Sicherheit der Cloud-Telefonie
Ist Cloud-Telefonie in einer Arztpraxis überhaupt DSGVO-konform?
Ja, Cloud-Telefonie kann DSGVO-konform betrieben werden. Voraussetzung ist ein gültiger Auftragsverarbeitungsvertrag mit dem Anbieter, Serverstandorte innerhalb der EU, eine durchgängige Verschlüsselung der Verbindungen sowie interne Maßnahmen wie Rollenkonzepte und Zugangssicherung. Ohne diese Grundlagen ist ein DSGVO-konformer Betrieb nicht möglich.
Brauche ich einen Auftragsverarbeitungsvertrag mit meinem Telefonanbieter?
Ja, unbedingt. Sobald ein externer Dienstleister personenbezogene Daten für Ihre Praxis verarbeitet, schreibt Artikel 28 DSGVO einen AVV vor. Das gilt auch, wenn nie etwas passiert. Ohne diesen Vertrag verstoßen Sie schon beim ersten Anruf gegen die Verordnung.
Was kostet ein Datenschutzverstoß in der Praxis?
Ein Verstoß kann teuer werden: Die DSGVO droht mit Bußgeldern bis zu 20 Millionen Euro oder 4 Prozent des Jahresumsatzes weltweit – je nachdem, was höher ist. Zusätzlich können Patienten Schadensersatz fordern und auch der gute Ruf der Praxis leidet. Relevant ist für Ärzte zudem die Verletzung der Schweigepflicht nach §203 StGB, die strafrechtliche Folgen haben kann.
Darf ich Gespräche mit Patienten aufzeichnen?
Sie dürfen Gespräche nur mit der ausdrücklichen Einwilligung aller Teilnehmer aufzeichnen. Eine stillschweigende Zustimmung genügt nicht. Bedenken Sie, dass es sich um schutzbedürftige Gesundheitsdaten handelt. Ohne ein klares Konzept für Speicherung, Zugriff und Löschung sollten Sie darauf verzichten.
Datenschutz-Folgenabschätzung: Was ist das und wann ist sie nötig?
Mit einer Datenschutz-Folgenabschätzung (DSFA) nach Artikel 35 DSGVO analysieren Sie systematisch die Risiken Ihrer Datenverarbeitung für die Betroffenen. Gerade bei Gesundheitsdaten, und dazu können auch Telefondaten in Praxen gehören, ist sie oft Pflicht. Die Datenschutzbehörden der Länder stellen Positivlisten bereit, die genau aufzeigen, wann eine DSFA zwingend nötig ist.
Reicht ein Anbieter mit ISO-27001-Zertifikat aus?
Ein ISO 27001-Zertifikat ist eine gute Basis, aber kein Freifahrtschein. Es belegt nur, dass der Anbieter ein Managementsystem für Informationssicherheit nutzt. Wichtige Details wie Serverstandort oder die Verschlüsselung der Telefonate deckt es nicht ab. Prüfen Sie deshalb selbst: Gibt es einen AVV, werden Daten nur in der EU verarbeitet und sind TLS und SRTP standardmäßig aktiv?
Kann ich meine bestehende Rufnummer behalten, wenn ich auf Cloud-Telefonie wechsle?
Bei den meisten Anbietern ist die Rufnummernportierung möglich und kostenlos. Das bedeutet, die bisherige Praxisnummer bleibt erhalten. Patienten müssen keine neue Nummer lernen, und die Erreichbarkeit ist während des Wechsels nicht unterbrochen, sofern der Übergang sorgfältig geplant wird.