Datenschutz & Sicherheit
Ihre Patientendaten bleiben in Ihrer Praxis. Das ist keine Zusage, das ist die Bauweise.
Die Software läuft auf einem Server, den Ihre Praxis kontrolliert. Ihre Patientendaten verlassen ihn nicht. Wir haben keinen eigenen Zugang, keine Kopie und keinen Schlüssel — nicht vertraglich, sondern weil es technisch keinen Weg dorthin gibt.
Diese Seite beschreibt die Installation in Ihrer Praxis nach Produktivfreigabe. Die öffentliche Demo verarbeitet ausschließlich synthetische Daten einer erfundenen Musterperson.
Der Aufbau
Zwei getrennte Räume, dazwischen keine Tür.
Stellen Sie sich zwei Räume vor. In Ihrem liegen die Bögen, die Antworten, die Unterschriften und die PDFs. In unserem liegt, welche Version Ihrer Software läuft und ob sie gerade online ist.
Ihre Praxis · Ihr Server
- Anamnesebögen
- Antworten der Patienten
- Unterschriften
- Fertige PDF-Dokumente
Der Schlüssel dazu
Ihr Server holt Formularvorlagen und Logo ab
Ihr Server meldet Version und Status
Anamio
- Welche Softwareversion läuft
- Online oder offline
- Ein Fehlercode aus fester Liste
Keine Namen. Keine Antworten. Keine Dokumente.
Zwischen den Räumen gibt es keine Tür — nur einen Briefschlitz, durch den Ihre Software sich neue Formularvorlagen und Ihr Logo abholt. Wir können nichts hineinschieben und nichts herausholen.
Für Ihren Datenschutzbeauftragten
Jede Praxis erhält eine eigene Installation mit eigener Datenbank auf einem Server, dessen Hostingvertrag auf die Praxis lautet. Unsere Verwaltungsumgebung führt je Installation ausschließlich technische Angaben und besitzt keinen Datenbankzugang zu Praxisservern. Konfiguration — Formularvorlagen und Logo — wird von der Installation abgerufen; zurück fließen ausschließlich Onlinestatus, Softwareversion und Fehlercodes aus einer festen Liste. Die Verbindung besteht genau so lange wie der einzelne Abruf; ein Fernzugang entsteht dabei nicht.
Was bei uns ankommt
Das sehen wir — und das sehen wir nie.
Das sehen wir nie
- Namen von Patienten
- Antworten aus Bögen
- Unterschriften
- PDF-Dokumente
- Zugangsdaten Ihres Teams
- Ihren Verschlüsselungsschlüssel
Das sehen wir
- Eine Installationskennung
- Tarif und Lizenzstatus
- Softwareversion
- Online / offline, zuletzt gemeldet
- Einen Fehlercode aus einer festen Liste
Für Ihren Datenschutzbeauftragten
Die Felder, die eine Installation melden kann, sind eine geschlossene Liste. Freitext wird nicht durchgereicht, sondern gegen ein festes Muster geprüft. Es gibt kein Feld, in das versehentlich ein Name geraten könnte. Auch technische Angaben sind praxisweise getrennt: eine Praxis kann keine Daten und keine technischen Informationen einer anderen abrufen.
Verschlüsselung
Der Schlüssel liegt in Ihrer Praxis.
Alles, was Ihre Patienten eingeben, wird verschlüsselt. Der Schlüssel dazu liegt auf Ihrem Server — nicht bei uns. Wir könnten die Daten nicht lesen, selbst wenn wir wollten.
Und wenn der Schlüssel verloren geht, können wir ihn nicht wiederherstellen, weil wir ihn nie hatten. Deshalb gehört er in Ihre Datensicherung — wie das eingerichtet wird, steht im Prüfpaket.
Für Ihren Datenschutzbeauftragten
Formularantworten und erzeugte PDFs werden mit AES-256-GCM verschlüsselt gespeichert; der Schlüssel liegt in der Umgebungskonfiguration des Praxisservers. Bei uns existiert kein Hauptschlüssel, mit dem sich Daten mehrerer Praxen entschlüsseln ließen. Verlust des Schlüssels bedeutet Verlust der noch nicht in die Akte übernommenen Vorgänge — bereits übernommene Dokumente liegen ohnehin in Ihrer Patientenakte.
§ 393 SGB V
Warum wir kein C5-Testat vorlegen.
Seit Juli 2025 dürfen Praxen Gesundheitsdaten nur bei Cloud-Anbietern mit BSI-C5-Testat verarbeiten lassen. Die Frage kommt zu Recht — und unsere Antwort ist unbequemer als ein Siegel.
Nach unserer Einordnung sind wir kein solcher Anbieter: Bei uns liegen keine Patientendaten. Die Anforderung richtet sich dann an den Hoster Ihres Servers. Wir empfehlen deshalb einen Hoster mit gültigem C5-Typ-2-Testat und nennen Ihnen einen; den Vertrag schließen Sie selbst und können sich das Testat unmittelbar vorlegen lassen.
Für Ihren Datenschutzbeauftragten
Datenverarbeitende Stelle im Sinne des § 393 Abs. 3 Nr. 2 SGB V ist der Cloud-Anbieter, der die Daten technisch verarbeitet; eine C5-Prüfung bezieht sich auf einen konkret definierten Cloud-Dienst, nicht auf Software, die selbst kein Cloud-Dienst ist. Welche Stelle einer Anbieterkette die Testatpflicht trifft, ist gesetzlich nicht ausdrücklich geregelt; zuständig für die verbindliche Auslegung ist das Bundesgesundheitsministerium, nicht das BSI. Wir legen unsere Einordnung deshalb offen dar, statt sie als geklärt auszugeben. Die tatsächliche Grundlage ist dieselbe wie oben: Eine Verarbeitung durch uns findet nicht statt.
Rechtliche Einordnung folgt. Ein anwaltliches Kurzgutachten zu dieser Frage und zur Rollenverteilung nach DSGVO ist beauftragt. Sobald es vorliegt, veröffentlichen wir es an dieser Stelle — Sie müssen sich also nicht auf unsere eigene Einordnung verlassen.
Häufige Fragen
Die Fragen Ihres Datenschutzbeauftragten.
Wer ist Verantwortlicher, wer Auftragsverarbeiter?
Verantwortliche im Sinne der DSGVO ist Ihre Praxis — die Daten werden ausschließlich auf Ihrer Infrastruktur verarbeitet. Wir liefern die Software und verarbeiten im Regelbetrieb keine Patientendaten. Die vollständige Herleitung steht im Prüfpaket, Abschnitt 3; ein anwaltliches Kurzgutachten dazu ist beauftragt.
Brauchen wir einen Auftragsverarbeitungsvertrag?
Das klären wir anhand des Prüfpakets mit Ihrem Datenschutzbeauftragten — im Regelbetrieb verarbeiten wir keine Patientendaten. Für den Fall eines Fernsupports, den ausschließlich Sie auslösen können, treffen wir vorher eine schriftliche Vereinbarung.
Brauchen wir eine Datenschutz-Folgenabschätzung?
Das entscheidet Ihre Praxis als Verantwortliche. Das Prüfpaket enthält in Abschnitt 8 die Anhaltspunkte, die Ihr Datenschutzbeauftragter dafür braucht — Art der Daten, Verarbeitungszweck, Betroffenenkreis, Risiken und die dagegen getroffenen Maßnahmen.
Wie informieren wir unsere Patienten?
Das Prüfpaket enthält in Abschnitt 9 einen Musterbaustein für Ihre Patienteninformation. Der Verarbeitungszweck bleibt derselbe: Anamnese und Dokumentation, dieselben Angaben wie auf Ihrem Papierbogen. Ob durch den Umstieg ein neuer Empfänger hinzukommt, hängt von Ihrer Infrastruktur ab — mieten Sie den Server bei einem Hoster, ist dieser Ihr Auftragsverarbeiter und gehört in Ihre Patienteninformation und Ihr Verarbeitungsverzeichnis. Wir kommen als Empfänger nicht hinzu.
Was müssen wir selbst tun?
Den Server betreiben: Betriebssystem aktuell halten, Datensicherung, Zugriffsschutz und die Aufbewahrung Ihres Schlüssels. Das kann Ihr IT-Dienstleister übernehmen. Der Vertrag benennt diese Pflichten ausdrücklich, weil wir sie technisch nicht ersetzen können — das ist die Kehrseite davon, dass niemand außer Ihnen an die Daten kommt.
Können Sie sich auf unseren Server schalten?
Nicht von uns aus. Es gibt keinen dauerhaften Fernzugang und keinen versteckten Support-Zugang. Wird im Einzelfall ein Blick auf Ihr System nötig, starten Sie die Sitzung selbst, geben sie ausdrücklich frei, sie ist zeitlich begrenzt und endet automatisch; jeder Zugriff wird protokolliert. Im Normalfall arbeiten wir mit technischen Diagnosedaten ohne Personenbezug.
Was passiert mit unseren Daten bei Vertragsende?
Ihre Daten liegen auf Ihrem Server — wir können sie weder herausgeben noch löschen, weil wir sie nicht besitzen. Übernommene Dokumente sind ohnehin als PDF in Ihrer Akte. Nach Vertragsende erlischt das Nutzungsrecht und die Installation wird deaktiviert; Ihr Hostingvertrag läuft davon unberührt weiter und wird von Ihnen selbst gekündigt. Die technischen Datensätze zu Ihrer Installation löschen wir bei uns innerhalb von 90 Tagen. Beim Export und beim Abschalten unterstützen wir Sie auf Wunsch — das vereinbaren wir gesondert. Es entsteht kein Datenbestand bei uns, der Sie an uns bindet.
Was, wenn es Ihr Unternehmen in drei Jahren nicht mehr gibt?
Ihre Dokumente liegen bei Ihnen, nicht bei uns. Der Wechsel zurück zu Papier oder zu einem anderen Anbieter ist jederzeit ohne Datenverlust möglich — das ist eine Folge der Architektur, keine Zusicherung, die jemand einhalten müsste.
Wo sitzt Ihr Unternehmen?
Die Betreibergesellschaft hat ihren Sitz in Zypern, einem EU-Mitgliedstaat; die DSGVO gilt dort ohne Abstriche. Für Vertrag, Rechnung und Support ist sie Ihr Gegenüber. Wo Ihre Patientendaten liegen, bestimmt der Sitz im Regelbetrieb nicht: Sie liegen auf dem Server Ihrer Praxis und erreichen unsere Gesellschaft nicht — weder in Zypern noch sonstwo.
Was wir nicht tun
Negativ ist überprüfbarer als positiv.
- Keine Diagnose, kein Score, keine Triage
- Keine KI-Auswertung von Patientenangaben
- Keine E-Mail und keine SMS mit Gesundheitsdaten
- Keine Weitergabe von Patientendaten aus dem Produkt an Analyse- oder KI-Dienste
- Kein dauerhafter Fernzugang zu Ihrem System
- Keine Backups mit Patientendaten bei uns
- Keine gemeinsame Datenbank mehrerer Praxen
- Kein Hauptschlüssel und kein Superadmin auf Patientendaten
Zum Mitnehmen.
Geben Sie diese Unterlagen Ihrem Datenschutzbeauftragten oder Anwalt. Sie enthalten Datenflüsse, Rollen nach DSGVO, die Einordnung zu § 393 SGB V, technische und organisatorische Maßnahmen, das Löschkonzept und Musterbausteine für Ihre Patienteninformation.
Rückfragen Ihres Datenschutzbeauftragten beantworten wir schriftlich: info@anamio.de
Und jetzt?
Sie wissen jetzt, wie es gebaut ist. Sehen Sie, wie es sich anfühlt.
Zwei Minuten am eigenen Gerät sagen mehr über die Patientenaufnahme als jede Beschreibung — Sie durchlaufen den echten Bogen mit Musterdaten und sehen das fertige PDF.
Lieber direkt fragen?
Markus Weber
20 Minuten: Wir zeigen den kompletten Ablauf an einem Musterbogen und klären, wie Ihre drei wichtigsten Bögen digital aussehen würden. Danach entscheiden Sie in Ruhe.