Cyberversicherung für Arztpraxen und MVZ

Die Praxisgröße allein sagt wenig über das Risiko aus. Entscheidend ist, wie viele Patientendaten verarbeitet werden und wie abhängig der Praxisbetrieb von funktionierender IT ist. Beides trifft auch auf kleine Praxen zu. Ob und in welchem Umfang sich eine Cyberversicherung lohnt, lässt sich am besten im persönlichen Gespräch anhand der individuellen Situation einschätzen.

Eine Überprüfung zeigt, ob der Vertrag zur heutigen Praxis passt. Das Ergebnis kann auch sein, dass er passt. Wichtig sind Versicherungssumme und Begrenzungen einzelner Bausteine, Selbstbehalt sowie bei Betriebsunterbrechungen zeitliche Selbstbeteiligung und Haftzeit. Hinzu kommen die Regelungen zu externen Dienstleistern wie dem Anbieter des Praxisverwaltungssystems, die Obliegenheiten im Abgleich mit der tatsächlichen IT und Änderungen seit Vertragsschluss, die dem Versicherer gegebenenfalls mitzuteilen sind. Außerdem zählt das Zusammenspiel mit Berufshaftpflicht und Elektronikversicherung. Hilfreich sind Versicherungsschein mit Nachträgen, vollständige Bedingungen und Klauseln sowie der ausgefüllte Antrag.

Behördliche Bußgelder sind Sanktionen und von Schadenersatzansprüchen zu unterscheiden. Ihre Übernahme darf nicht vorausgesetzt werden: Neben der konkreten Vertragsklausel ist die rechtliche Zulässigkeit zu prüfen. Für Schadenersatzansprüche und Rechtsverteidigungskosten gelten eigene vertragliche Regelungen.

Hier gibt es zwei Fälle. Fällt das System beim Anbieter aus und die Praxis kann nicht arbeiten, kommt es darauf an, ob der Vertrag Betriebsunterbrechungen durch Ausfälle externer Dienstleister einschließt. Das ist nicht automatisch der Fall, auch nicht nach einem Angriff auf den Anbieter. Werden beim Anbieter Patientendaten abgegriffen oder verändert und verarbeitet er die Daten im Auftrag der Praxis, muss er ihr eine ihm bekannt gewordene Datenschutzverletzung unverzüglich melden. Die Praxis prüft ihre eigenen Melde- und Benachrichtigungspflichten.

Ein Fehlversand ist kein Hackerangriff, kann aber eine Datenschutzverletzung sein. Ob eine Meldung an die Datenschutzaufsicht nötig ist, hängt davon ab, ob voraussichtlich ein Risiko für die Betroffenen besteht. Bei Gesundheitsdaten ist das sorgfältig zu prüfen und in jedem Fall zu dokumentieren. Cyberversicherungen können auch Datenschutzverletzungen ohne Angriff erfassen. Ob das für den konkreten Fall gilt, besonders bei Papier oder Fax, hängt vom Tarif ab.

Vor Vertragsabschluss stellt der Versicherer Fragen zur IT-Sicherheit, etwa zu Datensicherung, Updates, Zugängen, Schutz vor Schadsoftware oder Schulungen. Welche Angaben er braucht und ob er zusätzlich Unterlagen anfordert, legt der jeweilige Versicherer fest. Wichtig ist, alle Fragen vollständig und zutreffend zu beantworten. Falsche Angaben können den Versicherungsschutz gefährden. Ändert sich nach Vertragsschluss etwas Wesentliches, kann eine Mitteilung an den Versicherer nötig sein. Eine gepflegte Dokumentation, wie sie die KBV-Richtlinie in Teilen verlangt, erleichtert beides.

Nein. Eine Cyberversicherung kann die finanziellen Folgen eines Vorfalls im vereinbarten Umfang abfedern, ersetzt aber keine Datenschutz- und IT-Sicherheitspflichten. Für Vertragsarztpraxen gehört dazu insbesondere die IT-Sicherheitsrichtlinie der KBV. Beides greift am besten zusammen: Technische und organisatorische Maßnahmen senken das Risiko, die Versicherung sichert je nach Vertrag einen Teil dessen ab, was trotzdem passieren kann.