Datenschutz und Schweigepflicht

Dieser Artikel ist für Praxisleitungen und Datenschutzbeauftragte. Er sagt, was TheraPlanner technisch zusichert – und wo diese Zusicherungen enden.

Auf einen Blick

Wo die Daten liegen und wer beteiligt ist

Server, Datenbank, Dateien und Mailversand liegen bei Uberspace in Deutschland. Davor steht der Schutzdienst von Cloudflare: Aufrufe der Anwendung und des Patientenportals laufen darüber, die verschlüsselte Verbindung endet dort und wird zum Server neu verschlüsselt. Cloudflare ist deshalb Unterauftragsverarbeiter; nimm es in Dein Verarbeitungsverzeichnis auf.

SMS verschickt TheraPlanner über ein eigenes Gerät mit SIM-Karte, nicht über einen SMS-Dienst. Schriften liefert TheraPlanner selbst aus; Portal und Anmeldeseite bauen keine Verbindung zu fremden Schriftdiensten auf.

Nur wenn Du sie einschaltest, kommen dazu:

• WhatsApp: Meta wird beteiligt, mit Drittlandbezug. Der Kanal ist ab Werk aus und wird mit einem Risikohinweis freigeschaltet, siehe WhatsApp.
• KI-Textvorschläge: Mistral wird beteiligt, siehe unten.

Deine Bank beim Kontoabruf und Dein Mail-Anbieter beim Abruf Deines Postfachs sind keine Unterauftragsverarbeiter von TheraPlanner – die beauftragt Deine Praxis selbst.

Was verschlüsselt ist

In der Akte verschlüsselt sind unter anderem Vor- und Nachname, E-Mail, Telefon, Anschrift, Kostenträger, behandelnde Ärztin, die Angaben zu Erziehungsberechtigten, Diagnose, Anamnese, Notizen und eigene Felder. Verfahren: AES-256-GCM. Jede Praxis hat einen eigenen Datenschlüssel; derselbe Name ergibt in zwei Praxen verschiedene Werte.

Nicht verschlüsselt sind unter anderem das Geburtsdatum, Terminzeiten und Beträge. Am Geburtsdatum hängen Fachfragen (Alter, Zuzahlung, wer einwilligen muss), und es unterscheidet zwei Personen gleichen Namens.

Den Datenschlüssel Deiner Praxis bekommst Du nicht zu sehen und musst ihn nicht sichern: Er liegt nur umschlossen vom Hauptschlüssel des Anbieters in der Datenbank. Ein Datenbankauszug allein nützt deshalb niemandem. Gegen jemanden, der den Server selbst kontrolliert, schützt die Verschlüsselung nicht – dort greifen Vertrag und § 203 StGB. Was Du sicherst, sind Deine Daten über den Datenexport, siehe Umstieg und Kündigung.

Der Preis der Verschlüsselung: Die Suche findet Namen nur am Wortanfang, und nach Namen lässt sich nicht sortieren, siehe Grenzen.

Vertrag zur Auftragsverarbeitung und § 203 StGB

Als Berufsgeheimnisträgerin brauchst Du zweierlei: den Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO und die Verpflichtung des Anbieters zur Verschwiegenheit nach § 203 Abs. 4 StGB. Der AV-Vertrag allein regelt Datenschutz, nicht Strafrecht.

• Den Vertrag bestätigt die Inhaber:in beim Anlegen der Praxis unter „Nutzungsbedingungen und AV-Vertrag bestätigen“. Ändert sich die Fassung, fragt TheraPlanner erneut.
• Die Verschwiegenheitsverpflichtung ist versioniert: Unter Verwaltung → Praxis → Einstellungen steht im Abschnitt „Verschwiegenheitsverpflichtung (§ 203 Abs. 4 StGB)“, welche Fassung wann und von wem angenommen wurde. Zuständig ist das Recht „Verschwiegenheitsverpflichtung erklären“.

Innerhalb der Praxis gilt die Schweigepflicht auch: Empfang und Abrechnung sehen ab Werk keine Behandlungsdaten, siehe Rollen und Rechte.

KI-Textvorschläge und Mistral

Die Textvorschläge für Therapieberichte können mit einem Sprachmodell von Mistral arbeiten. Dafür müssen drei Dinge zusammenkommen: die Einstellung „Textvorschläge für Therapieberichte“ unter Verwaltung → Praxis → Einstellungen ist an, ein Modell von Mistral ist unter „Modell für Textvorschläge“ gewählt, und das Add-on „KI-Textvorschläge“ ist unter Vertrag gebucht. Ab Werk ist alles aus. Ohne Sprachmodell entsteht der Vorschlag aus den Angaben in TheraPlanner, und nichts verlässt den Server.

Mistral ist Unterauftragsverarbeiter des Anbieters. Einen eigenen Vertrag mit Mistral schließt Du nicht: Du genehmigst Mistral, indem Du die Textvorschläge einschaltest. Wer wann umgeschaltet hat, steht im Zugriffsprotokoll Deiner Praxis (Gegenstand „Einstellung“).

Übertragen werden nie Name, Geburtsdatum, Anschrift, Versichertennummer, die verordnende Ärztin oder die interne Notiz. Den Namen der Patientin und der Erziehungsberechtigten ersetzt TheraPlanner auch im Freitext durch „[Name]“. Das ist eine Pseudonymisierung, keine Anonymisierung: Behandlungsdaten und Freitext bleiben Gesundheitsdaten. Jede Übertragung steht in der Änderungshistorie der Akte.

Verarbeitet wird über den EU-Rechner von Mistral in Rechenzentren in EU und EFTA. Unter den Unterauftragsverarbeitern von Mistral sind US-Konzerne, und der Vertrag von Mistral erlaubt Übermittlungen in Drittländer auf Grundlage von Standardvertragsklauseln.

Stand 06.10.2026 nutzt Mistral die Daten nicht zum Training (im Konto des Anbieters widersprochen) und speichert Ein- und Ausgaben nicht über die Erzeugung der Antwort hinaus (Zero Data Retention). Beides gilt für dieses Konto und die normalen Modelle, nicht für Labs- oder Preview-Modelle; die stehen nicht im Katalog.

Zugriff durch den Anbieter

Der Support kann Deine Daten nicht einfach ansehen. Backoffice-Konten sind keine Praxiskonten, und im Backoffice gibt es keine Bildschirme für Patientendaten. Hineinsehen kann der Support nur nach Deiner befristeten Freigabe; jede geöffnete Ansicht wird protokolliert, siehe Dem Support Einblick geben.

All das wirkt innerhalb der Anwendung. Wer Zugang zum Server selbst hat, umgeht es – deshalb gibt es die Verpflichtung nach § 203 Abs. 4 StGB.

Für Dein Verarbeitungsverzeichnis

Auftragsverarbeiter: der Anbieter von TheraPlanner (AV-Vertrag und Verpflichtung nach § 203 StGB), dazu Uberspace und Cloudflare als Unterauftragsverarbeiter; Meta nur bei WhatsApp.

Optionaler Unterauftragsverarbeiter — nur wenn Du die KI-Textvorschläge einschaltest (Vorgabe aus): Mistral AI SAS, 15 rue des Halles, 75001 Paris. Zweck: KI-Textvorschläge für Therapieberichte. Datenarten: pseudonymisierte Behandlungsdaten (Diagnoseschlüssel, Heilmittel, Behandlungsnotizen, Angaben aus dem Anamnesebogen). Nachweis: Dein Einschalten im Zugriffsprotokoll und die Datenschutz-Folgenabschätzung.

Diese Aufstellung ersetzt keine eigene Prüfung.