IT-Betreuung für Arzt- und Zahnarztpraxen
Ich betreue Praxen an der Bergstraße und im Odenwald vor Ort, bundesweit remote. Zur laufenden Betreuung kommen die Pflichten aus §390 SGB V und die Telematikinfrastruktur.
Was die Betreuung für eine Praxis umfasst
Grundlage ist meine IT-Betreuung für kleine Betriebe. Patientendaten sind besonders schützenswert (Art. 9 DSGVO) und unterliegen der Schweigepflicht (§203 StGB). Der Praxisbetrieb hängt an der Telematikinfrastruktur.
Monitoring und Wartung
Aktueller Patch-Stand, Virenschutz und Überwachung der Systeme. Dazu ein dokumentierter Notfallplan.
Backup mit getestetem Restore
Die Sicherung ist verschlüsselt und vom Netz getrennt. Die Wiederherstellung wird regelmäßig getestet, wie §390 es verlangt.
Netztrennung und Firewall
Behandlung, Verwaltung, Gäste-WLAN und TI liegen in getrennten Netzen. Ein Vorfall bleibt so lokal begrenzt.
Zugriffsschutz
Jede Person hat ein eigenes Konto mit beschränkten Rechten. Die Geräte sind verschlüsselt.
Schulung des Teams
Seit 2025 verlangt die Richtlinie, dass das Praxisteam nachweislich geschult wird.
Datenschutz
Pflicht sind ein Verzeichnis von Verarbeitungstätigkeiten, AVV und TOMs. Auf Wunsch bin ich Ihr externer Datenschutzbeauftragter.
IT für Arztpraxen und Heilberufe
Hausarzt- und Facharztpraxen
Betreuung rund um Ihr Praxisverwaltungssystem, zum Beispiel medatixx, CGM ALBIS, M1 PRO, TURBOMED, medistar oder x.isynet.
MVZ und größere Einheiten
Projektbezogen und in Abstimmung. Anlage 4 für medizinische Großgeräte beziehe ich mit ein.
IT für Zahnarztpraxen
Praxisverwaltung
Dampsoft DS-Win, solutio charly, evident und CGM Z1: Server, Clients, Backup und Updates passend zur PVS, auch in Abstimmung mit dem Hersteller.
Röntgen und DVT
Sidexis/Sirona, Dürr VistaSoft, Vatech und intraorale Scanner: Backup des Bildarchivs und ein eigenes Netz für die Bildgebung.
TI-Umstellung: Konnektor, ePA und eRezept
Stand: Juli 2026. Ich koordiniere Hersteller und Komponenten, Sie behalten einen Ansprechpartner.
RSA-Konnektoren
Seit dem 1.1.2026 ohne TI-Zugang, die RSA-Zertifikate sind zum 31.12.2025 abgelaufen. Nötig ist ein Konnektor-Tausch oder ein TI-Gateway.
HBA und SMC-B
Karten der Generation 2.0 ohne ECC mussten bis 30.06.2026 gegen Gen 2.1 getauscht werden. Die Frist ist abgelaufen.
Kartenterminals
Die Gerätekarte gSMC-KT (Gen 2.0) ist bis 31.12.2026 gegen die ECC-Variante zu tauschen.
ePA und KIM
Die ePA ist seit 1. Oktober 2025 im Praxisalltag verpflichtend. KIM ist mindestens in Version 1.5 nötig und ersetzt das unverschlüsselte Fax.
TI-Gateway oder Konnektor
Das TI-Gateway bindet die Praxis über ein Rechenzentrum an, ohne Konnektor vor Ort. Beim lokalen Konnektor bleibt alles im Haus. Ich bewerte beides herstellerunabhängig.
Hersteller und DVO
Teile der Hardware-Installation übernehmen Hersteller oder zugelassene Dienstleister vor Ort (DVO). Ich koordiniere diese Schritte und binde Ihre Praxissoftware an.
Wissen
§390 SGB V: was die Richtlinie verlangt
§390 SGB V (bis 2024 §75b SGB V) verpflichtet KBV und KZBV, verbindliche Anforderungen an die IT-Sicherheit in Praxen festzulegen. Das Ergebnis ist die IT-Sicherheitsrichtlinie mit ihren Anlagen, abgestimmt mit dem BSI.
Sie gilt für alle Praxen in der vertragsärztlichen und vertragszahnärztlichen Versorgung: Ärzte, Zahnärzte und Psychotherapeuten. Krankenhäuser fallen unter §391. Verantwortlich ist die Praxisinhaberin oder der Praxisinhaber persönlich, nicht der IT-Dienstleister.
Fehlen Pflichtmaßnahmen, kann die KV oder KZV das Honorar kürzen. Bei Datenschutzverstößen drohen Bußgelder nach DSGVO.
Ich setze die für Ihre Praxis geltenden Maßnahmen technisch um und dokumentiere sie. Ich bin IT-Dienstleister, keine Zertifizierungsstelle und keine Rechtsberatung.
Anlagen nach Praxisgröße
„Personen“ meint die ständig mit der Datenverarbeitung betrauten Personen. Die Anlagen 1 bis 3 bauen aufeinander auf.
Anlage 1: alle Praxen
Virenschutz, Firewall, Updates, Datensicherung, Netzplan, sichere Endgeräte und Apps, E-Mail und Web, Sensibilisierung des Teams.
Anlage 2: zusätzlich ab 6 Personen
Unter anderem Protokollierung und Alarmierung, Authentisierung sowie Regeln für mobile Geräte, Mobiltelefone und Wechseldatenträger.
Anlage 3: zusätzlich ab 21 Personen
Unter anderem Netzwerksegmentierung, zentrales Mobilgeräte-Management (MDM) und Anforderungen an medizinische Geräte und eigene E-Mail-Server.
Anlage 4: medizinische Großgeräte
Gilt bei Geräten wie CT, MRT, PET, Linearbeschleuniger oder IVD-Laborgeräten: Zugriffsschutz, sichere Protokolle, Protokollierung, Netzsegmentierung.
Anlage 5: Telematikinfrastruktur
Gilt für alle, die die TI nutzen: sicherer Betrieb von Konnektor oder TI-Gateway und Kartenlesegeräten, VPN-Absicherung, zeitnahe Updates, sichere Administrationsdaten.
Fristen
Stand: Juli 2026. Verbindlich ist der Wortlaut von §390 SGB V und der Richtlinie bei KBV, KZBV und BSI.
Seit 2021
Erste Anforderungen verbindlich, unter anderem Virenschutz, Backups, Apps und mobile Geräte.
Arztpraxen (KBV)
Aktualisierte Fassung seit 1. April 2025. Die ergänzten Anforderungen, unter anderem Schulung und Personalprozesse, gelten seit 1. Oktober 2025.
Zahnarztpraxen (KZBV)
Aktualisierte Fassung seit 2. Juli 2025, verbindlich seit 2. Januar 2026. Neu sind unter anderem Patch- und Change-Management, Endpoint-Security, Regeln für die Cloud und die Pflichtschulung des Personals.
Laufend
Die Richtlinie wird jährlich an den Stand der Technik angepasst.
§390-Checkliste
Pflichtmaßnahmen aus Anlage 1 und Anlage 5 zum Abhaken. Die Kürzel entsprechen den Maßnahmennummern der Richtlinie. Welche Anlagen für Ihre Praxis gelten, zeigt der §390-Selbstcheck.
Anlage 1: alle Praxen
Datenschutz (DSGVO)
Anlage 5: Telematikinfrastruktur
Stand: Juli 2026. Die Liste dient der Orientierung. Sie ersetzt weder den Richtlinientext noch eine Rechts- oder Datenschutzberatung.
§390-Check
Eine Bestandsaufnahme Ihrer Praxis-IT gegen die für Sie geltenden Anlagen: Backup mit getestetem Restore, Netz- und WLAN-Trennung, Endgeräte- und Zugriffsschutz, Patch-Stand, Datenschutz-Dokumentation und TI-Komponenten. Sie ist die Grundlage für die Umsetzung.
Anfrage
Praxisgröße und Anliegen nennen, per Formular oder Telefon.
Bestandsaufnahme
Vor Ort oder remote, etwa 60 bis 90 Minuten, störungsarm im Praxisbetrieb.
Ampel-Report
Stand je Pflichtbereich und eine priorisierte Maßnahmenliste.
Umsetzung
Auf Wunsch setze ich die Maßnahmen zum Festpreis um, mit Terminen außerhalb der Sprechzeiten. Einen Auftrag müssen Sie danach nicht erteilen.
FAQ
Häufige Fragen
Ist §390 dasselbe wie §75b?
Ja. Die Regelung wurde von §75b SGB V nach §390 SGB V überführt. Gemeint ist dieselbe IT-Sicherheitspflicht für Praxen.
Braucht eine Praxis einen von der KBV zertifizierten Dienstleister?
Nein, das ist freiwillig. Entscheidend ist, dass die Anforderungen fachgerecht umgesetzt und dokumentiert sind.
Ersetzt §390 die DSGVO?
Nein. §390 konkretisiert die IT-Sicherheit für Praxen, die DSGVO gilt zusätzlich.
Liegen die Patientendaten in der Cloud?
Nur wenn Sie es wünschen. Ich arbeite On-Premise oder in der EU, passend zu §203 StGB und Art. 9 DSGVO.
Was kostet der §390-Check?
Das Erstgespräch ist unverbindlich. Den Check biete ich zum Festpreis an. Beauftragen Sie danach die Umsetzung, wird der Aufwand angerechnet.
Was geschieht beim Check mit den Praxisdaten?
Ich greife nur nach Absprache auf Ihre Systeme zu, wenn nötig mit Auftragsverarbeitungsvertrag.
Ein Ansprechpartner für die Praxis-IT
Unverbindliches Erstgespräch per Telefon oder E-Mail an mail@jabi-it.de.