Microsoft Purview: Data Governance und Compliance im Gesundheitswesen
Gesundheitseinrichtungen unterliegen strengen Aufbewahrungs- und Compliance-Pflichten. Patientenakten müssen 10 Jahre aufbewahrt werden, E-Mails können vor Gericht als Beweismittel dienen, und das DSG verlangt Datenlöschung auf Anfrage. Microsoft Purview automatisiert diese komplexen Anforderungen und schützt vor rechtlichen Risiken.
Was ist Microsoft Purview?
Microsoft Purview ist eine umfassende Data Governance und Compliance-Plattform. Sie vereint Data Classification (automatische Erkennung sensibler Daten), Information Protection (Verschlüsselung und Zugriffskontrolle), Data Lifecycle Management (automatische Aufbewahrung und Löschung), eDiscovery (rechtskonforme Datensuche), Communication Compliance (Überwachung regelwidriger Kommunikation) und Insider Risk Management.
eDiscovery: Rechtskonforme Datensuche
Bei Gerichtsverfahren, Audits oder behördlichen Untersuchungen müssen Organisationen relevante Daten finden und bereitstellen. eDiscovery automatisiert diesen Prozess.
Praxisbeispiel: Arbeitsgericht-Klage
Ein ehemaliger Mitarbeitender klagt wegen ungerechtfertigter Kündigung. Das Gericht fordert alle E-Mails zwischen Mitarbeitenden und HR (Januar-März 2024).
Ohne eDiscovery: IT durchsucht manuell Mailboxen über mehrere Tage, Risiko übersehener E-Mails, Kosten CHF 5'000-20'000.
Mit eDiscovery: Legal-Team erstellt einen Case mit Suchkriterien, Purview durchsucht alle Mailboxen, Teams-Chats und SharePoint in Sekunden, findet 347 relevante Nachrichten, Export als PDF-Archiv für Gericht – Dauer: 2-4 Stunden statt mehrerer Tage.
Auskunftsbegehren: Bei Patientenanfragen (Auskunftsrecht nach Art. 25 DSG) durchsucht Purview alle Systeme nach Patientendaten und ermöglicht Export – die gesetzliche Auskunftsfrist wird problemlos eingehalten.
Advanced eDiscovery: Machine Learning reduziert Review-Aufwand um 70-90% durch Predictive Coding, Duplikaterkennung, E-Mail-Threading und automatische Themenerkennung.
Retention Policies: Automatische Aufbewahrung
Gesundheitseinrichtungen haben komplexe Aufbewahrungspflichten: Patientenakten 10 Jahre, Finanzunterlagen 10 Jahre, HR-Dossiers 10 Jahre nach Austritt. Purview automatisiert dies durch Retention Policies.
Policy-Beispiele:
- Patientendokumente: SharePoint-Bibliothek "Patientenakten", 10 Jahre Aufbewahrung, nach Ablauf zur Löschprüfung vorschlagen
- E-Mails mit Patientenbezug: Erkennung via Sensitivity Label "Streng vertraulich" + Inhalt "Patient", 10 Jahre Aufbewahrung, dann Löschen nach Compliance-Review
- Standard-E-Mails: 3 Jahre Aufbewahrung, automatisches Löschen (außer Legal Hold)
- Teams-Nachrichten: 7 Jahre Aufbewahrung
Legal Hold: Bei Gerichtsverfahren werden relevante Daten "eingefroren" – selbst wenn User Daten löscht oder Aufbewahrungsfristen ablaufen, bleiben sie für das Verfahren erhalten.
Communication Compliance: Regelwidrige Kommunikation erkennen
Communication Compliance überwacht E-Mails und Teams-Nachrichten auf Verstöße gegen Richtlinien:
- Diskriminierung/Belästigung: Erkennung von Schimpfwörtern, diskriminierenden Begriffen → Alert an Compliance-Team und HR
- Datenlecks: Patientennamen + Diagnose in E-Mail an externe Empfänger → E-Mail blockieren, Absender schulen
- Interessenskonflikte: Verdächtige Kommunikation mit Pharma-Unternehmen → Alert an Compliance-Team
Machine Learning reduziert False Positives: "Dieser Patient ist schwierig" → kein Alert (normaler Sprachgebrauch), während diskriminierende Begriffe erkannt werden.
Präziis nutzt Microsoft Purview nativ
Präziis ist auf Microsoft 365/SharePoint aufgebaut und profitiert automatisch:
Automatische Retention: Dokumente im Präziis Dokumentenmanagement unterliegen Retention Policies. Qualitätsmanagement-Dokumente werden 10 Jahre aufbewahrt, nach Ablauf erfolgt automatische Löschprüfung.
eDiscovery: Bei Audits oder Gerichtsverfahren sind Präziis-Dokumente und Kommunikation durchsuchbar – Legal-Team findet relevante Inhalte in Minuten.
Communication Compliance: News-Kommentare und Community-Diskussionen werden auf regelwidrige Inhalte überwacht.
Data Classification: Sensitivity Labels in Präziis-Workflows, automatische Klassifizierung beim Dokument-Upload.
Praxisbeispiel: Universitätsspital
Ein Universitätsspital mit 15'000 Mitarbeitenden, 10 Millionen Dokumenten und 500 TB Daten implementierte Purview für komplexe Aufbewahrungspflichten, laufende Gerichtsverfahren und EDÖB-Audits.
Die Lösung umfasste 15 Retention Policies, 3 eDiscovery-Cases, Communication Compliance und automatische Data Classification.
Ergebnis nach 12 Monaten:
- eDiscovery: 85% weniger Legal-Aufwand (von 200h auf 30h pro Case)
- Retention: 3 TB automatisch gelöscht (abgelaufene Daten)
- Compliance: 12 potenzielle Datenschutzverstösse erkannt und verhindert
- Audit: EDÖB-Audit bestanden mit Bestnote
- ROI: Payback in 3 Monaten (CHF 50'000 Investition, CHF 200'000 jährliche Einsparungen)
Fazit
Microsoft Purview verwandelt Compliance von einer Belastung in einen Wettbewerbsvorteil. Automatische Aufbewahrung, rechtskonforme Datensuche und proaktive Compliance-Überwachung reduzieren Risiken und Kosten dramatisch.
Für Präziis-Nutzer bedeutet dies: Compliance ist eingebaut. Sie müssen sich nicht um Aufbewahrungsfristen kümmern, eDiscovery ist on-demand verfügbar, und regelwidrige Kommunikation wird automatisch erkannt.
Schweizer Gesundheitseinrichtungen, die Microsoft Purview nutzen, sind rechtlich abgesichert, operativ effizienter und für Audits jederzeit bereit. Keine andere Plattform bietet diese umfassende Integration von Data Governance und Compliance.