Datenschutz-Wissen
AnyDesk DSGVO-konform in der Zahnarztpraxis: Der Konfigurations-Guide
Kurzantwort
AnyDesk ist in der Zahnarztpraxis DSGVO-konform einsetzbar, wenn drei Bedingungen erfüllt sind: ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit dem zugreifenden Dienstleister, aktivierte Verschlüsselung (AES-256, TLS 1.2 oder höher) und personalisierte Zugänge ohne unbeaufsichtigten Zugriff. Die Installation allein genügt nicht, die Konfiguration entscheidet über den Schutz der Patientendaten.
Warum ist AnyDesk in der Zahnarztpraxis nicht automatisch DSGVO-konform?
Das Szenario kennt jedes Praxismanagement: Die Abrechnung soll extern laufen, der Dienstleister sagt "wir schalten uns einfach per AnyDesk auf", und mitten im Quartalsstress steht die Frage im Raum: Dürfen wir das überhaupt? Die Antwort: Ja, mit der richtigen Konfiguration.
Ihre Praxissoftware enthält Gesundheitsdaten nach Art. 9 Abs. 1 DSGVO. Das ist die höchste Schutzklasse, die die Verordnung kennt. Sobald ein Dritter per Fernzugriff auf diese Daten zugreift, sei es ein Abrechnungsdienstleister, der IT-Support oder eine externe ZMV, liegt datenschutzrechtlich eine Auftragsverarbeitung vor. Für diese gelten klare Regeln.
Drei Dinge sollten Sie wissen:
- Die Verantwortung bleibt bei der Praxis. AnyDesk liefert die Technik. Für die korrekte Konfiguration und die Vertragslage haftet die Praxisinhaberin oder der Praxisinhaber als Verantwortlicher im Sinne der DSGVO.
- Die Kammern haben sich positioniert. Mehrere Zahnärztekammern, darunter Berlin und Baden-Württemberg, haben Stellungnahmen und Leitfäden zu Datenschutz und Fernzugriff in der Praxis veröffentlicht.
- Die Bußgelder sind gesetzlich geregelt. Verstöße können nach Art. 83 Abs. 5 DSGVO mit bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist.
Die gute Nachricht: Mit drei Voraussetzungen und zehn Einstellungen ist AnyDesk sauber einsetzbar. Genau die zeigt dieser Guide.
Welche drei Voraussetzungen machen den AnyDesk-Einsatz DSGVO-konform?
1. Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO
Wer per AnyDesk auf Patientendaten zugreift, wird zum Auftragsverarbeiter und braucht einen AVV mit Ihrer Praxis. Der Vertrag regelt die Pflichtinhalte nach Art. 28 Abs. 3 DSGVO: Gegenstand und Dauer der Verarbeitung, Art der Daten, Kategorien betroffener Personen sowie die technisch-organisatorischen Maßnahmen (TOM). Wichtig: Das gilt nicht nur für den Abrechnungsdienstleister. Auch der IT-Support, der "nur mal kurz draufschaut", braucht einen AVV.
2. Verschlüsselung aktiv und auf aktuellem Stand
AnyDesk nutzt laut Hersteller-Sicherheitsdokumentation AES-256-Verschlüsselung und baut Verbindungen über TLS 1.2 auf. Das ist solide, solange niemand die Schutzmechanismen aushebelt. Kritisch sind Komfort-Funktionen wie der unbeaufsichtigte Zugriff: Sie sparen Klicks, öffnen aber Zugänge, die keine konkrete Person mehr autorisiert. Veraltete Protokoll-Versionen (TLS 1.0 und 1.1) gehören deaktiviert.
3. Personalisierter Zugang ohne Auto-Login
Jeder externe Zugriff braucht eine konkrete, identifizierbare Person, die ihn auslöst, und eine Person in der Praxis, die ihn freigibt. Das heißt konkret: kein gespeichertes Passwort am Praxisrechner, Zwei-Faktor-Authentifizierung auf der zugreifenden Seite, jede Session manuell bestätigt, Sitzungs-Protokollierung aktiviert. So bleibt nachvollziehbar, wer wann worauf zugegriffen hat.
Welche AnyDesk-Einstellungen gehören in die DSGVO-konforme Konfiguration?
Die folgende Tabelle fasst die zehn Einstellungen zusammen, die über die DSGVO-Konformität entscheiden. Sie eignet sich als Checkliste für das Gespräch mit Ihrem IT-Dienstleister oder Datenschutzbeauftragten.
| Einstellung | DSGVO-konforme Vorgabe | Hinweis |
|---|---|---|
| Verschlüsselung | AES-256 aktiv | laut Hersteller Standard in aktuellen Versionen |
| Verbindungs-Protokoll | TLS 1.2 oder höher | TLS 1.0/1.1 deaktivieren |
| Unbeaufsichtigter Zugriff | deaktiviert | jede Session braucht eine Freigabe in der Praxis |
| Passwort am Endgerät | nicht gespeichert | jede Session manuell autorisieren |
| Sitzungs-Protokollierung | aktiviert | Aufbewahrungsfrist mit dem Datenschutzbeauftragten festlegen |
| Zwei-Faktor-Authentifizierung | aktiviert | TOTP-App empfohlen |
| Auto-Update | aktiviert | Sicherheits-Patches sofort einspielen |
| Whitelist für Empfänger | konfiguriert | nur bekannte AnyDesk-IDs akzeptieren |
| Verbindungs-Anzeige | sichtbar für das Praxis-Personal | Zugriff nur bei Anwesenheit oder mit dokumentierter Regelung |
| Datei-Transfer | überwacht und protokolliert | Übertragungen nachvollziehbar dokumentieren |
Menüpunkte und Standardwerte ändern sich mit neuen AnyDesk-Versionen. Gleichen Sie die Punkte mit Ihrer installierten Version ab und prüfen Sie nach jedem größeren Update nach.
Die 5 häufigsten DSGVO-Fehler beim AnyDesk-Einsatz in der Praxis
- Auto-Connect ohne Bestätigung. Der Praxisrechner akzeptiert Verbindungen automatisch. Niemand am Empfang merkt, wenn sich jemand aufschaltet, das Gegenteil von nachvollziehbarem Zugriff.
- Ein gemeinsames Passwort für alle externen Zugriffe. Abrechnungsdienst, IT-Support und Software-Hotline nutzen denselben Zugang. Im Zweifel lässt sich nicht mehr klären, wer wann in der Software war.
- Kein AVV mit dem Abrechnungsdienstleister. Ohne Auftragsverarbeitungsvertrag haftet die Praxis allein für Datenschutzverstöße rund um den Fernzugriff.
- Veraltete AnyDesk-Version. Bekannte Sicherheitslücken bleiben offen. Dass das kein theoretisches Risiko ist, zeigt der vom Hersteller bestätigte Vorfall vom Februar 2024.
- Fernzugriff über ungesicherte Netze. Das offene Patienten-WLAN ist kein Kanal für Zugriffe auf die Praxissoftware. Fernzugriff gehört ins gesicherte Praxisnetz.
Fehler 1 und 2 haben übrigens einen Verwandten in der Abrechnung selbst: lückenhafte Dokumentation. Was fehlende Einträge rechtlich und finanziell bedeuten, zeigt der Artikel zur Dokumentationspflicht in der Zahnarztpraxis.
Wie arbeitet DentCon per AnyDesk in Ihrer Praxissoftware?
Die externe zahnärztliche Abrechnung läuft bei DentCon in den meisten Fällen digital per sicherem Fernzugriff, per AnyDesk, TeamViewer oder VPN, je nachdem, was Ihre Praxis bereits nutzt. Sie installieren nichts Neues, wir richten uns nach Ihrem Setup.
So läuft die Zusammenarbeit konkret:
- Die Arbeit läuft in der Software Ihrer Praxis. Unsere Abrechnungsexpertinnen arbeiten direkt in Ihrer Praxissoftware. Ihre Patientendaten bleiben in Ihrem System, und Sie sehen jede Position in Ihrer eigenen Software.
- AVV vor dem Start. Den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO setzen wir vor dem ersten Zugriff gemeinsam auf, inklusive der technisch-organisatorischen Maßnahmen, die zu Ihrer Praxis passen.
- Konfiguration im Onboarding. Welche Sicherheits-Einstellungen konkret gelten, also Sitzungs-Protokollierung, personalisierte Zugänge und Zugriffsfenster, legen wir gemeinsam mit Ihnen und Ihrem IT-Verantwortlichen fest, so dass alles dokumentiert ist.
Ihre Abrechnungskraft fällt aus und die Monats- oder Quartalsabrechnung steht an? Dann finden wir kurzfristig eine Lösung für Sie. Wie das abläuft, steht auf der Seite zur kurzfristigen Übernahme bei Personalausfall.
Häufige Fragen zu AnyDesk und DSGVO in der Zahnarztpraxis
Was das für Ihre Praxis bedeutet
Sie möchten die Abrechnung auslagern, und der Datenschutz soll dabei sauber geregelt sein? Genau dafür ist dieser Guide entstanden, und genau so arbeiten wir. DentCon übernimmt die zahnärztliche Abrechnung deutschlandweit, komplett oder in Teilbereichen, direkt in der Software Ihrer Praxis, mit 1-2 festen Abrechnungsexpertinnen, die Ihre Praxis kennen.
Für Praxisinhaber heißt das: Der Fernzugriff ist sauber geregelt, und Sie können sich Zeit für Ihre Patienten und Behandlungsabläufe nehmen, während wir für ein optimales Honorar-Ergebnis sorgen. Honorar bleibt dabei an den immer gleichen Stellen liegen: vergessene Leistungen, fehlerhafte Leistungsketten, lückenhafte Dokumentation und Lücken bei Material- und Laborkosten. Was das in Summe ausmacht, steht auf der Hauptseite zur externen Abrechnung.
Sie haben Fragen zu Ihrer Situation? Rufen Sie uns gerne an, wir ordnen Ihr Anliegen sofort ein.
Quellen
- DSGVO-Verordnungstext: Art. 9, Art. 28, Art. 32, Art. 33, Art. 83
- Zahnärztekammer Berlin: Datenschutz-Stellungnahmen
- Landeszahnärztekammer Baden-Württemberg: Kapitel EU-Datenschutz-Grundverordnung
- BfDI: Hinweise zu Telemedizin und Fernzugriff
- AnyDesk Sicherheitsdokumentation (Hersteller)
- ZÄK Niedersachsen: IT-Sicherheit im Praxis-Alltag
- AnyDesk, Stellungnahme zum Vorfall vom 2. Februar 2024
Brauche ich einen AVV mit AnyDesk selbst?
In der Regel nicht mit AnyDesk, sondern mit dem Dienstleister, der per AnyDesk auf Ihre Praxisdaten zugreift, also Abrechnungsdienstleister, IT-Support oder externe ZMV. AnyDesk gilt bei reiner Verbindungs-Nutzung als Werkzeug-Lieferant, dessen Mitarbeiter keine Patientendaten einsehen. Da die juristische Einordnung vom konkreten Setup abhängt, klären Sie diesen Punkt mit Ihrem Datenschutzbeauftragten.
Ist TeamViewer die bessere Alternative?
TeamViewer und AnyDesk unterscheiden sich in den DSGVO-relevanten Grundlagen kaum: Beide bieten starke Verschlüsselung, personalisierbare Zugänge und Sitzungs-Protokolle. Die Unterschiede liegen vor allem im Lizenzmodell. Entscheidend ist nicht das Tool, sondern die Konfiguration. Für TeamViewer gibt es hier den eigenen Guide: TeamViewer DSGVO-konform in der Zahnarztpraxis.
Was passiert bei einem AnyDesk-Sicherheitsvorfall?
AnyDesk hat am 2. Februar 2024 in einer eigenen Stellungnahme einen Vorfall bestätigt. Nach Herstellerangaben waren Produktionssysteme betroffen. AnyDesk hat daraufhin alle sicherheitsrelevanten Zertifikate widerrufen, das Code-Signing-Zertifikat ausgetauscht und alle Passwörter des Webportals my.anydesk.com zurückgesetzt. Der Hersteller schreibt zugleich, dass keine Hinweise auf betroffene Endgeräte von Nutzern vorlagen und dass es sich nicht um Ransomware handelte. Für die Praxis heißt das: Auto-Update aktiv halten und bei Verdacht auf eine Kompromittierung von Patientendaten die Meldepflicht nach Art. 33 DSGVO beachten, binnen 72 Stunden an die zuständige Aufsichtsbehörde.
Reicht es, AnyDesk einfach zu installieren?
Nein. DSGVO-Konformität entsteht aus drei Bausteinen: einem Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit dem zugreifenden Dienstleister, aktivierter Verschlüsselung (AES-256, TLS 1.2 oder höher) und personalisierten Zugängen ohne unbeaufsichtigten Zugriff. Dazu kommen Sitzungs-Protokollierung und ein geregelter Freigabe-Prozess in der Praxis. Die Installation ist nur der erste Schritt.
Wie informiere ich meine Patienten über den Fernzugriff?
Die Datenschutzerklärung der Praxis muss den Einsatz externer Dienstleister offenlegen, etwa als Kategorie "externe Abrechnung über gesicherten Fernzugriff". Das konkrete Werkzeug müssen Sie nicht zwingend benennen. Prüfen Sie zusätzlich, ob Ihr Verzeichnis von Verarbeitungstätigkeiten den Fernzugriff bereits abbildet.
Hinweis: Dieser Guide ist sorgfältig recherchiert, ersetzt aber keine Rechtsberatung. Verbindliche Aussagen für Ihre Praxis treffen Ihr Datenschutzbeauftragter oder ein auf IT-Recht spezialisierter Anwalt.
Der nächste Schritt
Eine Frage zu Ihrer Abrechnung? Wir freuen uns auf Ihren Anruf!
Rufen Sie uns gerne an und erzählen Sie uns von Ihrem Anliegen. Im persönlichen Gespräch klären wir gemeinsam, was für Ihre Praxis der nächste sinnvolle Schritt ist.
Für Ihre Praxis - Immer ein Gewinn!
KI-generiert