Sicherheit & Datenschutz
Podologie-Praxen arbeiten mit Gesundheitsdaten und unterliegen der Schweigepflicht. Hier beschreiben wir, was technisch umgesetzt ist – und ebenso offen, was noch aussteht.
Hosting in Deutschland
PodoCRM läuft auf Servern in Deutschland (Docker, PostgreSQL, automatisches HTTPS). Keine US-Cloud für Praxisdaten. Datensicherungen werden verschlüsselt und rollierend 14 Tage aufbewahrt.
Verschlüsselung
Übertragung immer per TLS mit HSTS. Fotos, Audio und Dokumente werden vor dem Speichern mit AES-256-GCM verschlüsselt – mit eigenem Schlüssel je Praxis. Zugangsdaten zu Schnittstellen und 2FA-Geheimnisse sind ebenfalls verschlüsselt.
Doppelte Mandantentrennung
Jede Abfrage ist in der Anwendung auf die eigene Praxis beschränkt. Zusätzlich erzwingt PostgreSQL Row-Level-Security; die Anwendung verbindet sich mit einer Rolle ohne Sonderrechte. Automatische Tests prüfen, dass Praxis B keine Daten von Praxis A sieht.
Unveränderbare Dokumentation
Behandlungseinträge, Nachträge, Anamnesen, Einwilligungen und ausgestellte Rechnungen können in der Datenbank nicht geändert oder gelöscht werden (Trigger). Eine Hash-Kette je Patient macht Manipulationen erkennbar.
Zugriffsprotokoll
Lesen und Schreiben von Akten und Fotos, Exporte, Anmeldungen und Einstellungsänderungen werden protokolliert. Das Protokoll ist ebenfalls unveränderbar und für Inhaber:innen einsehbar.
Anmeldung & Zwei-Faktor
Passwörter mit Argon2id, Sperre nach wiederholten Fehlversuchen, Zwei-Faktor-Anmeldung mit jeder Authenticator-App, kurze Sitzungen mit sicherem Cookie.
Rollen & Rechte
Inhaber:in, Podolog:in, Empfang (ohne medizinische Inhalte), Azubi (mit Gegenzeichnung) und Steuerberatung (nur Finanzen). Der Betreiber hat keinen Dauerzugriff auf Praxisdaten.
Kein KI-Training
Ihre Daten werden nicht zum Training von KI-Modellen verwendet. KI-Funktionen laufen im Testmodus, bis ein EU-Anbieter mit AVV und ohne Datenspeicherung bestätigt ist. Namen werden vor dem Versand entfernt.
Schnittstellen: echt oder Testmodus?
Im Testmodus werden keine Daten an den Anbieter übertragen; Ergebnisse sind klar als Test markiert. Für den Echtbetrieb schließt die Praxis einen eigenen Vertrag mit dem jeweiligen Anbieter.
| Dienst | Stand | Hinweis |
|---|---|---|
| lexoffice (Belege) | echte Anbindung | Anbindung implementiert; aktiv erst mit Ihrem API-Schlüssel, bis dahin Testmodus |
| SumUp (Kartenterminal, Zahlungslink) | echte Anbindung | Anbindung implementiert; aktiv erst mit Ihrem SumUp-Zugang, bis dahin Testmodus |
| Doctolib | Testmodus | CSV-Import und Auswertung von Bestätigungsmails; keine Live-Schnittstelle |
| E-Mail-Versand | Testmodus | vorbereitet, Versand über einen Mailserver noch einzurichten |
| SMS, WhatsApp | Testmodus | Testmodus; nur Organisatorisches, nur mit Einwilligung |
| Google-Bewertungen | Testmodus | Testmodus bis zur API-Freigabe |
| Sprachbericht (Transkription, KI) | Testmodus | technisch gesperrt bis zur Freigabe eines EU-Anbieters mit AVV |
| Kassen-TSE (fiskaly) | Testmodus | Schnittstelle vorbereitet, Vertrag erforderlich |
| KI-Telefon | geplant | Pilot in Vorbereitung |
Noch offen
- Externer Penetrationstest vor dem Start mit fremden Praxen
- Externe Signatur der Hash-Kette (manipulationssicherer Zeitstempel)
- Zweiter Standort für Datensicherungen, Schlüsselverwaltung in einem externen Tresor
- Anwaltliche Prüfung von AGB, AVV und Datenschutzerklärung
Ihre Daten bleiben Ihre Daten
Inhaber:innen können jederzeit einen vollständigen Export erstellen: alle Tabellen als JSON und alle Fotos entschlüsselt, als ZIP-Datei. Nach einer Kündigung löschen wir die Praxis nach 30 Tagen Karenzzeit vollständig. Ihre gesetzlichen Aufbewahrungspflichten (z. B. 10 Jahre Behandlungsdokumentation) erfüllen Sie mit dem Export.