Rollen und Rechte im PVS: Berechtigungskonzept und Zugriffsprotokolle für die Arztpraxis richtig aufsetzen

Was ist ein Berechtigungskonzept im PVS?

Ein Berechtigungskonzept legt schriftlich und technisch fest, welche Rolle im Praxisverwaltungssystem auf welche Patientendaten und Funktionen zugreifen darf. Statt jedem Nutzer einzeln Rechte zu geben, definieren Sie Rollen wie Empfang, MFA, Ärztin oder Abrechnung und weisen jeder Rolle genau die Rechte zu, die ihre Aufgabe erfordert. Das ist keine Kür, sondern Pflicht.

Der Leitgedanke dahinter heißt Need-to-know: Wer keinen Behandlungsbezug zu einem Patienten hat, soll dessen Akte auch nicht sehen können. Eine MFA am Empfang braucht Stammdaten und Termine, aber nicht den psychotherapeutischen Verlaufsbericht aus einer anderen Abteilung. Das Berechtigungskonzept übersetzt diesen Grundsatz in konkrete, nachvollziehbare Zugriffsregeln.

Gerade in MVZ und größeren Praxen mit mehreren Behandlern, Fachgruppen oder Standorten ist das mehr als Theorie. Je mehr Menschen am selben System arbeiten, desto wichtiger wird die Frage, wer eigentlich was sehen darf, und desto größer der Schaden, wenn jeder alles kann. Dieser Beitrag zeigt, wie Sie Rollen, Rechte und Protokolle sauber aufsetzen.

Warum ein Berechtigungskonzept Pflicht ist

Ein Berechtigungskonzept für Patientendaten ist in der Arztpraxis gesetzlich vorgeschrieben, nicht optional. Es ergibt sich aus Art. 32 DSGVO in Verbindung mit §22 Abs. 2 BDSG und, für Vertragsarztpraxen, aus der IT-Sicherheitsrichtlinie der KBV nach §390 SGB V. Alle drei verlangen, dass der Zugriff auf Gesundheitsdaten auf das Erforderliche begrenzt und nachweisbar geregelt ist.

Art. 32 DSGVO fordert technisch-organisatorische Maßnahmen, die ein dem Risiko angemessenes Schutzniveau sicherstellen. Bei Gesundheitsdaten, die nach Art. 9 DSGVO besonders schützenswert sind, ist dieses Risiko hoch. Ein rollenbasiertes Zugriffskonzept und die Zugriffskontrolle gehören zum Standardrepertoire dieser Maßnahmen. §22 Abs. 2 BDSG konkretisiert das für Gesundheitsdaten und nennt die Beschränkung des Zugangs sowie die nachträgliche Überprüfbarkeit ausdrücklich.

Hinzu kommt die berufsrechtliche und strafrechtliche Ebene: Die ärztliche Schweigepflicht nach §203 StGB gilt auch im Innenverhältnis. Ein Mitarbeiter, der ohne Behandlungsbezug in einer Akte liest, verletzt sie. Ein sauberes Rollenkonzept schützt die Praxis also gleich auf mehreren Ebenen vor Haftung und vor dem teuren Vertrauensverlust nach einem Vorfall.

Quelle: Verordnung (EU) 2016/679 (DSGVO)Verordnung (EU) 2016/679 (DSGVO), insbesondere Art. 9 (besondere Kategorien personenbezogener Daten), Art. 32 (Sicherheit der Verarbeitung) und Art. 83 Abs. 4 (Bußgeldrahmen bis 10 Millionen Euro oder 2 Prozent des Jahresumsatzes).

Quelle: Bundesdatenschutzgesetz (BDSG)Bundesdatenschutzgesetz (BDSG), §22 Abs. 2: besondere Schutzmaßnahmen bei der Verarbeitung von Gesundheitsdaten, darunter die Beschränkung des Zugangs und die nachträgliche Überprüfbarkeit von Zugriffen.

Die KBV-IT-Sicherheitsrichtlinie nach §390 SGB V

Für Vertragsarztpraxen und MVZ ist die IT-Sicherheitsrichtlinie der KBV die konkreteste Vorgabe. Sie beruht auf §390 SGB V (bis Anfang 2024 als §75b bekannt) und verlangt, dass Berechtigungen und Zugriffe pro Personengruppe und pro Person geregelt werden. Die überarbeitete Fassung ist seit dem 1. April 2025 in Kraft und war bis zum 1. Oktober 2025 umzusetzen.

Die Richtlinie staffelt die Anforderungen nach Praxisgröße, gemessen an der Zahl der Personen mit Zugriff auf die Datenverarbeitung. Grob gilt: bis 5 Personen kleine Praxis, 6 bis 20 Personen mittlere Praxis, über 20 Personen oder der Betrieb medizinischer Großgeräte wie CT oder MRT große Praxis. Je größer die Einrichtung, desto mehr zusätzliche Anlagen und Maßnahmen gelten zusätzlich zur Basis in Anlage 1. MVZ landen damit fast immer in der höchsten Kategorie.

Für das Thema dieses Beitrags heißt das konkret: Je nach Größe fordert die Richtlinie ein dokumentiertes Berechtigungskonzept, restriktive Zugangsrechte, persönliche Benutzerkonten und beim Weggang von Mitarbeitenden die Rückgabe von Zugängen sowie das Ändern oder Löschen von Passwörtern. Was §390 SGB V insgesamt für die Praxis bedeutet, vertieft der Beitrag zur KBV-IT-Sicherheitsrichtlinie.

Quelle: KBV IT-Sicherheitsrichtlinie (§390 SGB V, ehemals §75b)KBV IT-Sicherheitsrichtlinie nach §390 SGB V (ehemals §75b): gestaffelte Anforderungen nach Praxisgröße, Regelung von Berechtigungen und Zugriffen pro Personengruppe und pro Person, neue Fassung in Kraft seit dem 1. April 2025, Umsetzung bis zum 1. Oktober 2025.

Das Rollenmodell: wer darf was sehen

Ein praxistaugliches Berechtigungskonzept arbeitet mit Rollen statt mit Einzelrechten. Dieses Prinzip heißt rollenbasierte Zugriffskontrolle (Role-Based Access Control, RBAC): Sie definieren einmal eine überschaubare Zahl an Rollen, hängen die passenden Rechte daran und weisen jeder Person eine Rolle zu. Das ist weniger Aufwand und deutlich weniger fehleranfällig als Rechte für jeden Nutzer einzeln zu pflegen.

In einer Praxis oder einem MVZ haben sich meist fünf bis sieben Rollen bewährt. Die folgende Übersicht zeigt eine typische Aufteilung. Sie ist ein Ausgangspunkt, kein Gesetz: Fachgruppen, Standorte und besonders sensible Bereiche wie Psychotherapie oder Suchtmedizin verlangen oft noch feinere Trennungen.

• Empfang und Terminverwaltung: Stammdaten, Termine, Kontaktdaten. Kein Zugriff auf Behandlungsdokumentation oder Befunde.
• MFA und Behandlungsassistenz: Behandlungsdaten im Kontext der eigenen Abteilung oder des eigenen Behandlers, Dokumentation von Maßnahmen, Laboranforderungen.
• Ärztliches und therapeutisches Personal: volle Behandlungsdokumentation im eigenen Behandlungskontext, Befunde, Diagnosen, Verordnungen.
• Abrechnung: Falldaten, Leistungsziffern, Abrechnungsunterlagen. Kein Bedarf an der vollständigen klinischen Verlaufsdokumentation.
• Praxisleitung und Administration: Benutzerverwaltung, Rollenvergabe, Systemeinstellungen. Administrative Rechte bedeuten nicht automatisch Einsicht in jede Patientenakte.

Die wichtigste Grenze verläuft zwischen administrativen Rechten und inhaltlichem Datenzugriff. Wer Benutzer anlegt und Rollen vergibt, braucht dafür keine automatische Akteneinsicht. Diese Trennung ist in größeren Einrichtungen entscheidend und einer der häufigsten blinden Flecken in gewachsenen Praxen. Wie man IT in einem MVZ insgesamt strukturiert, behandelt der Beitrag zur IT-Architektur im MVZ.

Zugriffsprotokolle: nachvollziehbar statt blind

Ein Berechtigungskonzept allein genügt nicht, Sie müssen Zugriffe auch protokollieren. Die Protokollierung macht nachvollziehbar, wer wann auf welche Patientendaten zugegriffen hat. Erst dadurch fällt eine unbefugte Einsichtnahme überhaupt auf, etwa wenn jemand ohne Behandlungsbezug die Akte eines bekannten oder prominenten Patienten öffnet. Ohne Protokoll bleibt so etwas unsichtbar.

Ein brauchbares Zugriffsprotokoll erfasst mindestens vier Angaben pro Ereignis: den Zeitpunkt, den handelnden Benutzer, den betroffenen Patienten und die Art des Zugriffs, also ob gelesen, geändert oder gelöscht wurde. Die meisten gängigen Praxisverwaltungssysteme bringen eine solche Protokollfunktion mit. Entscheidend ist, dass sie aktiviert ist, dass die Protokolle vor nachträglicher Veränderung geschützt sind und dass tatsächlich jemand hineinschaut.

Genau hier liegt der praktische Haken. Protokolle, die niemand auswertet, erfüllen zwar formal eine Pflicht, entfalten aber keine Schutzwirkung. Sinnvoll ist eine stichprobenartige oder anlassbezogene Auswertung: nach einem Verdacht, bei Beschwerden, bei auffälligen Zugriffen außerhalb der Dienstzeit. Die Protokolle selbst sind ebenfalls personenbezogene Daten und dürfen nur zweckgebunden und befristet genutzt werden, nicht zur heimlichen Leistungskontrolle des Personals.

Quelle: BSI IT-Grundschutz-KompendiumBSI IT-Grundschutz-Kompendium: Anforderungen an Berechtigungsmanagement und Protokollierung, unter anderem in den Bausteinen zur Identitäts- und Berechtigungsverwaltung sowie zur Detektion und Auswertung von Ereignissen.

So setzen Sie das Berechtigungskonzept auf

Der Weg zu einem sauberen Berechtigungskonzept ist klar strukturiert und einmalig abgearbeitet. Es geht darum, die Rollen an der tatsächlichen Aufgabenverteilung auszurichten, die Rechte im PVS technisch umzusetzen, die Protokollierung zu aktivieren und das Ganze zu dokumentieren. Danach ist es reine Pflege.

1. 1
   Aufgaben und Rollen erfassen
   Listen Sie auf, welche Tätigkeiten in der Praxis welchen Zugriff auf Patientendaten brauchen. Leiten Sie daraus eine überschaubare Zahl an Rollen ab, zum Beispiel Empfang, MFA, ärztliches Personal, Abrechnung und Administration. Orientierung ist das Need-to-know-Prinzip: so viel wie nötig, so wenig wie möglich.
2. 2
   Rechte je Rolle festlegen
   Bestimmen Sie für jede Rolle, welche Datenbereiche und Funktionen sie sehen und bearbeiten darf. Trennen Sie administrative Rechte (Nutzerverwaltung) klar vom inhaltlichen Datenzugriff. Halten Sie das Ergebnis schriftlich fest, das ist Ihr eigentliches Berechtigungskonzept.
3. 3
   Persönliche Benutzerkonten einrichten
   Legen Sie für jede Person einen eigenen, namentlichen PVS-Account mit eigenem Passwort an und weisen Sie die passende Rolle zu. Keine Sammel-Logins. Schützen Sie Konten mit Zugriff auf besonders sensible Daten zusätzlich mit Mehr-Faktor-Authentifizierung.
4. 4
   Protokollierung aktivieren
   Schalten Sie die Zugriffsprotokollierung im PVS ein, sodass Zeitpunkt, Benutzer, betroffener Patient und Art des Zugriffs erfasst werden. Legen Sie fest, wer die Protokolle wann und aus welchem Anlass auswertet und wie lange sie aufbewahrt werden.
5. 5
   Dokumentieren und einbinden
   Nehmen Sie das Berechtigungskonzept in Ihre technisch-organisatorischen Maßnahmen und das Verzeichnis der Verarbeitungstätigkeiten auf. So ist es bei einer Prüfung durch die Datenschutzbehörde oder im Rahmen der KBV-Richtlinie sofort belegbar.
6. 6
   Regelmäßig überprüfen
   Gehen Sie mindestens jährlich alle Konten und Rollen durch und prüfen Sie, ob die Rechte noch zur Aufgabe passen. Ergänzen Sie anlassbezogene Prüfungen bei Eintritt, Austritt und Rollenwechsel. So sammeln sich keine überflüssigen Rechte an.

Onboarding und Offboarding: der kritische Moment

Die meisten Zugriffsprobleme entstehen nicht im laufenden Betrieb, sondern bei Eintritt und Austritt von Mitarbeitenden. Ein neuer Account wird schnell mit zu vielen Rechten angelegt, und ein ausgeschiedener Zugang bleibt über Monate offen. Beides ist ein konkretes Datenschutz- und Sicherheitsrisiko und ein typischer Prüfpunkt.

Beim Eintritt gilt: Die Person bekommt genau die Rolle, die ihre Aufgabe verlangt, und nicht vorsorglich mehr. Beim Austritt muss der Zugang am letzten Arbeitstag gesperrt werden, nicht irgendwann. Die KBV-Richtlinie nennt das ausdrücklich: Beim Weggang sind Zugänge zurückzugeben und Passwörter zu ändern oder zu löschen. Ein verwaister Account, über den ein ehemaliger Mitarbeitender noch ins PVS kommt, ist genau die Art von Datenpanne, die nach Art. 33 DSGVO meldepflichtig werden kann.

Der zuverlässigste Weg, das nicht zu vergessen, ist ein fester Prozess mit Checkliste, der Personalwechsel und IT-Rechte verbindet. Wie ein solcher Ablauf aussieht, beschreibt der Beitrag zu Onboarding und Offboarding in der IT. Für den Schutz einzelner Konten lohnt sich zusätzlich ein Blick auf Mehr-Faktor-Authentifizierung und Passwortmanager.

Häufige Fehler in der Praxis

Die teuersten Fehler sind selten technisch kompliziert, sondern organisatorisch. Der häufigste ist der Vollzugriff für alle: Jeder sieht jede Akte, weil es nie jemand eingeschränkt hat. Das verstößt gegen das Need-to-know-Prinzip, macht jedes Protokoll aussagelos und sorgt dafür, dass ein einziger kompromittierter Account sofort alle Patientendaten betrifft.

Fast ebenso verbreitet sind geteilte Sammel-Logins, verwaiste Accounts ausgeschiedener Mitarbeitender und ein Berechtigungskonzept, das zwar auf dem Papier existiert, aber im PVS nie technisch umgesetzt wurde. Ein weiterer Klassiker: Administrative Vollrechte werden großzügig verteilt, weil es im Alltag bequemer ist, statt sie auf die wenigen Personen zu beschränken, die sie wirklich brauchen.

Der Grund ist fast immer derselbe: Das Konzept wird einmal aufgesetzt und dann nie wieder angefasst. Rechte wachsen mit, wenn Menschen Aufgaben wechseln, aber sie werden selten wieder entzogen. Nach ein paar Jahren hat niemand mehr einen Überblick, wer eigentlich worauf zugreifen kann. Genau deshalb gehört die regelmäßige Überprüfung fest zum Konzept, nicht als Kür, sondern als Teil der Pflicht.

Wie ITCC Ihre Praxis dabei unterstützt

ITCC ist externe IT-Abteilung für medizinische Einrichtungen in der Region Pfalz/Rhein-Neckar und Rhein-Main. Wir sind kein Datenschutzberater und ersetzen keine Rechtsberatung. Was wir übernehmen, ist die technische und organisatorische Umsetzung dessen, was DSGVO und KBV-Richtlinie von Ihrer Praxis verlangen.

Konkret heißt das: Wir entwickeln mit Ihnen ein Rollenmodell, das zu Ihren Abläufen passt, legen persönliche Benutzerkonten an, konfigurieren die Rechte im PVS und aktivieren die Zugriffsprotokollierung. Die inhaltliche Entscheidung, welche Rolle welche Daten sehen darf, bleibt bei Ihnen als verantwortlicher Praxis, wir setzen sie sauber und nachvollziehbar um. Dafür bringen wir den AV-Vertrag nach Art. 28 DSGVO und die Verpflichtung zur Geheimhaltung nach §203 StGB standardmäßig mit.

Wenn Sie wissen wollen, ob Ihr PVS heute schon ein belastbares Berechtigungskonzept hat, prüfen wir das mit Ihnen: Wer hat welche Rechte, gibt es Sammel-Logins oder verwaiste Zugänge, ist die Protokollierung aktiv und auswertbar. Schreiben Sie uns unter info@itcc.de oder rufen Sie an. Sie bekommen eine ehrliche Einschätzung und eine klare Liste, was zu tun ist.