DSG und DSGVO Compliance mit Microsoft 365 im Gesundheitswesen
Das revidierte Schweizer Datenschutzgesetz (revDSG) trat am 1. September 2023 in Kraft und brachte strengere Anforderungen für die Verarbeitung von Personendaten – insbesondere für besonders schützenswerte Daten im Gesundheitswesen. Gleichzeitig müssen viele Schweizer Gesundheitseinrichtungen auch die EU-DSGVO beachten, wenn sie Patienten aus dem EU-Raum behandeln oder mit EU-Partnern zusammenarbeiten.
Rechtliche Grundlagen im Überblick
Das Schweizer Datenschutzgesetz (DSG)
Das revDSG orientiert sich stark an der EU-DSGVO und bringt wesentliche Neuerungen:
Erweiterte Informationspflichten:
- Transparente Information über Datenverarbeitung
- Angabe von Bearbeitungszwecken
- Nennung von Datenempfängern (auch ins Ausland)
Meldepflicht bei Datenschutzverletzungen:
- Unverzügliche Meldung an den EDÖB bei Verletzungen mit hohem Risiko
- Dokumentationspflicht aller Vorfälle
- Information der betroffenen Personen
Datenschutz-Folgenabschätzung:
- Pflicht bei risikoreicher Datenverarbeitung
- Besonders relevant für Gesundheitsdaten
- Dokumentation der Risikobewertung
Betroffenenrechte:
- Auskunftsrecht (erweitert)
- Recht auf Datenherausgabe
- Recht auf Löschung
Besonderheiten im Gesundheitswesen
Gesundheitsdaten gelten als besonders schützenswerte Personendaten (Art. 5 DSG). Dies bedeutet:
- Höhere Anforderungen an die Einwilligung
- Verstärkte technische und organisatorische Massnahmen
- Erweiterte Dokumentationspflichten
- Besondere Sorgfalt bei Datenübermittlung ins Ausland
Microsoft 365: Datenschutz by Design
Microsoft hat umfangreiche Datenschutzfunktionen in die Microsoft 365 Plattform integriert, die speziell für regulierte Branchen wie das Gesundheitswesen entwickelt wurden.
Data Loss Prevention (DLP)
DLP-Richtlinien verhindern versehentliche oder absichtliche Weitergabe sensibler Daten:
Automatische Erkennung:
- Patientendaten (AHV-Nummern, Diagnosen, Medikation)
- Finanzinformationen (Versicherungsnummern, Kostengutsprachen)
- Personalakten (Löhne, Beurteilungen, Gesundheitsdaten von Mitarbeitenden)
Schutzaktionen:
- Warnung vor Versand sensibler E-Mails
- Blockierung nicht autorisierter Dateiübertragungen
- Automatische Verschlüsselung bei Erkennung sensibler Inhalte
- Benachrichtigung der Compliance-Abteilung
Beispiel-Regel für Gesundheitsdaten:
"Wenn eine E-Mail an externe Empfänger AHV-Nummern oder Diagnosecodes enthält, wird der Versand blockiert und der Absender erhält eine Warnung mit Handlungsempfehlung."
Sensitivity Labels (Vertraulichkeitsbezeichnungen)
Sensitivity Labels ermöglichen die Klassifizierung und den Schutz von Dokumenten:
Klassifizierungsstufen (Beispiel):
- Öffentlich: Pressemitteilungen, allgemeine Informationen
- Intern: Mitarbeiterinformationen, Richtlinien
- Vertraulich: Projektdokumente, Strategien
- Streng vertraulich: Patientendaten, Personalakten, Forschungsdaten
Automatischer Schutz:
- Verschlüsselung basierend auf Label
- Zugriffsbeschränkungen (nur bestimmte Gruppen)
- Wasserzeichen bei vertraulichen Dokumenten
- Ablauffristen für temporären Zugriff
Automatische Klassifizierung:
Microsoft 365 kann Dokumente automatisch klassifizieren, wenn bestimmte Muster erkannt werden – z.B. wird ein Dokument mit ICD-10-Codes automatisch als "Streng vertraulich – Patientendaten" markiert.
Retention Policies (Aufbewahrungsrichtlinien)
Gesundheitseinrichtungen unterliegen gesetzlichen Aufbewahrungsfristen:
Typische Fristen im Schweizer Gesundheitswesen:
- Patientendossiers: 10 Jahre nach letztem Eintrag (kantonal unterschiedlich)
- Medizinische Berichte: 10-20 Jahre
- Abrechnungsunterlagen: 10 Jahre
- Röntgenbilder: 10-20 Jahre
- Personalakten: 10 Jahre nach Austritt
Microsoft 365 Retention:
- Automatische Aufbewahrung nach Dokumenttyp
- Verhinderung vorzeitiger Löschung
- Automatische Löschung nach Ablauf der Frist
- Litigation Hold für rechtliche Verfahren
- Audit-Trail aller Änderungen
Verschlüsselung und Datensicherheit
Verschlüsselung at Rest:
- AES-256-Bit-Verschlüsselung für alle gespeicherten Daten
- Customer Key Option für eigene Schlüsselverwaltung
- BitLocker für physische Festplatten in Rechenzentren
Verschlüsselung in Transit:
- TLS 1.3 für alle Verbindungen
- Perfect Forward Secrecy
- Certificate Pinning für Mobile Apps
Verschlüsselung in Use:
- Confidential Computing für besonders sensitive Workloads
- Hardware-basierte Isolation
- Secure Enclaves für Schlüsselmaterial
Präziis: Compliance-Layer auf Microsoft 365
Präziis erweitert die Microsoft 365 Datenschutzfunktionen um healthcare-spezifische Compliance-Features:
Integriertes Berechtigungsmanagement
Rollenbasierte Zugriffskontrolle:
- Vordefinierte Rollen für Gesundheitsberufe (Arzt, Pflege, Therapie, Verwaltung)
- Abteilungsbasierte Zugriffsbeschränkungen
- Zeitlich begrenzte Zugriffsrechte (z.B. für Praktikanten)
- Delegation bei Abwesenheit (mit Audit-Trail)
Kontextbasierte Berechtigungen:
- Zugriff nur während Arbeitszeit
- Zugriff nur von bestimmten Geräten
- Zugriff nur über Unternehmens-VPN
- Geo-Fencing (nur aus der Schweiz)
Compliance-Dashboard
Das Präziis Compliance-Dashboard zeigt auf einen Blick:
- Datenschutz-Score: Gesamtbewertung der Compliance-Situation
- Offene Risiken: Identifizierte Compliance-Lücken
- Aktive DLP-Verletzungen: Noch nicht behandelte Vorfälle
- Zugriffsanomalien: Ungewöhnliche Zugriffsmuster
- Audit-Status: Fortschritt bei laufenden Audits
Automatische Dokumentation
Für Audits und Nachweise generiert Präziis automatisch:
- Verzeichnis der Verarbeitungstätigkeiten (Art. 12 DSG)
- Dokumentation technischer und organisatorischer Massnahmen
- Nachweis von Datenschutz-Folgenabschätzungen
- Protokolle von Datenschutzverletzungen
- Schulungsnachweise für Mitarbeitende
Praxisbeispiel: DSG-Compliance in einem Kantonsspital
Ein Kantonsspital mit 3'500 Mitarbeitenden implementierte Microsoft 365 mit Präziis und erreichte vollständige DSG-Compliance:
Herausforderungen vor der Implementierung:
- Patientendaten in verschiedenen Systemen ohne einheitliche Klassifizierung
- Keine automatische Erkennung von Datenschutzverletzungen
- Manuelle Aufbewahrungsverwaltung mit Risiko für Fehler
- Keine durchgängige Audit-Fähigkeit
Lösung mit Microsoft 365 und Präziis:
1. Einheitliche Klassifizierung: Alle Dokumente erhalten automatisch Sensitivity Labels
2. DLP-Richtlinien: 45 healthcare-spezifische Regeln verhindern Datenlecks
3. Automatische Retention: Dokumente werden nach Ablauf der Frist gelöscht
4. Compliance-Dashboard: Echtzeit-Überblick für Datenschutzbeauftragten
Ergebnisse nach 12 Monaten:
- 0 meldepflichtige Datenschutzverletzungen (vorher: 3 pro Jahr)
- 95% automatische Klassifizierung aller neuen Dokumente
- 8 Stunden pro Woche eingespart für manuelle Compliance-Aufgaben
- Erfolgreiche EDÖB-Prüfung ohne Beanstandungen
Checkliste: DSG-Compliance mit Microsoft 365
Technische Massnahmen
- [ ] DLP-Richtlinien für Gesundheitsdaten konfiguriert
- [ ] Sensitivity Labels definiert und ausgerollt
- [ ] Retention Policies nach Dokumenttyp eingerichtet
- [ ] Verschlüsselung aktiviert (at rest und in transit)
- [ ] Multi-Faktor-Authentifizierung für alle Benutzer
- [ ] Conditional Access Policies definiert
Organisatorische Massnahmen
- [ ] Verzeichnis der Verarbeitungstätigkeiten erstellt
- [ ] Datenschutz-Folgenabschätzungen durchgeführt
- [ ] Datenschutzbeauftragter ernannt
- [ ] Mitarbeiterschulungen durchgeführt
- [ ] Prozess für Betroffenenrechte etabliert
- [ ] Incident Response Plan dokumentiert
Vertragliche Massnahmen
- [ ] Auftragsverarbeitungsvertrag mit Microsoft
- [ ] Standardvertragsklauseln für EU-Transfers
- [ ] Vertraulichkeitsvereinbarungen mit Mitarbeitenden
- [ ] Vereinbarungen mit Sub-Auftragsverarbeitern
Fazit
Die Kombination von Microsoft 365 und Präziis bietet Schweizer Gesundheitseinrichtungen eine umfassende Lösung für DSG- und DSGVO-Compliance. Die integrierten Datenschutzfunktionen – von DLP über Sensitivity Labels bis zu Retention Policies – werden durch healthcare-spezifische Features von Präziis ergänzt.
Das Ergebnis: Rechtskonforme Datenverarbeitung ohne Produktivitätsverlust, automatische Dokumentation für Audits und die Gewissheit, dass Patientendaten nach höchsten Standards geschützt sind.
Kontaktieren Sie uns für eine Demo der Compliance-Features in Ihrer Umgebung.