Sicherheit und Datenschutz
Eine Qualitätsprüfung schafft nur Vertrauen, wenn der Umgang mit den Daten keine Fragen offenlässt.
VIDA-QS verarbeitet Sozialdaten im Auftrag der Kasse — und deshalb ausschließlich das, was die Prüfung wirklich braucht.
Grundlagen
Betrieb in Deutschland
Betrieb und Speicherung auf eigenen Servern bei der Hetzner Online GmbH in den Rechenzentren Falkenstein und Nürnberg, zertifiziert nach ISO 27001. Kein Umweg über US-Dienste; das Anschreiben verlässt die EU nur für Druck und Postversand — in die Schweiz, sicherer Drittstaat nach Angemessenheitsbeschluss der EU-Kommission.
Durchgehend verschlüsselt
Übertragung per TLS, Speicherung verschlüsselt, Passwörter ausschließlich als Hash. Zugriff nur über persönliche Konten — geteilte Zugänge gibt es nicht.
Trennung je Kasse
Jeder Datensatz trägt seinen Mandanten. Eine Abfrage ohne Mandantenbezug gibt es in der Anwendung nicht, die Trennung liegt unterhalb der Oberfläche.
Verarbeitung im Auftrag
VIDA-QS verarbeitet Sozialdaten im Auftrag der Kasse. Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO liegt vor, die technischen und organisatorischen Maßnahmen sind dokumentiert und Bestandteil des Vertrags.
Von außen geprüft
Die Anwendung wurde von einem unabhängigen Dienstleister auf Schwachstellen geprüft; die Prüfung ist abgeschlossen. Das Ergebnis samt Stand der Behebung legen wir Ihrem Datenschutzbeauftragten vor.
Nachvollziehbar statt vertrauensselig
Jede Änderung an einem Versicherten steht mit Zeitpunkt und Konto in der Akte. Ein Support-Zugriff von VIDA-QS in eine Kasse ist ausschließlich lesend und wird protokolliert.
Welche Daten die Kasse übergibt
Pflicht sind vier Felder. Alles Weitere ist optional und wird nur übernommen, wenn die Kasse es für ihre Auswertung braucht.
| Feld | Status | Wofür |
|---|---|---|
| Vor- und Nachname | Pflicht | Anrede im Anschreiben und Zuordnung des Rücklaufs. |
| Anschrift | Pflicht | Zustellung des Briefs. |
| Leistungsbereich | Pflicht | bestimmt Fragebogen, Regeln und Auswertung. |
| Leistungserbringer | Pflicht | Bezugspunkt jeder Auswertung. |
| Versorgungszeitraum | optional | Zielgruppenauswahl und Plausibilität der Antworten. |
| Geburtsdatum | optional | Unterscheidung gleichnamiger Versicherter. |
| Versichertennummer | optional | Abgleich mit den Systemen der Kasse. |
| Pflegegrad | optional | Zielgruppenauswahl. |
| interne Referenz | optional | Rückgabe in jedem Bericht, damit die Kasse zuordnen kann. |
Was VIDA-QS gar nicht erst erhält
- Diagnosen
- Befunde
- Abrechnungsdaten
- Verordnungen
- Kontoverbindungen
- Daten anderer Leistungsbereiche als des geprüften
Was nicht übermittelt wird, kann auch nicht verloren gehen. Die Datensparsamkeit ist hier keine Einstellung, sondern die Struktur der Anwendung.
Anonym, pseudonym, personenbezogen
„Alles anonym“ wäre bequem gesagt und falsch: Wer einen Brief zustellen will, braucht eine Anschrift. Entscheidend ist, wie weit der Personenbezug reicht — und wo er endet.
Name und Anschrift des Versicherten
Ohne sie kommt kein Brief an. Sie stehen im Anschreiben und in der Akte der Kasse — und sonst nirgends. Für die Auswertung werden sie nicht gebraucht.
Der Fragebogen, den der Versicherte ausfüllt
Der QR-Code führt auf einen zufälligen Zugang zu genau einem Vorgang. Die Seite zeigt Kasse, Leistungserbringer und Leistungsbereich — keinen Namen. Wer über die Schulter schaut, sieht keine Person.
Auswertungen und Berichte
Rücklaufquoten, Risikoverteilungen und Auffälligkeiten je Leistungserbringer entstehen aus verdichteten Zahlen. Der geplante kassenübergreifende Risikoscore führt ausschließlich Ergebnisse zum Institutionskennzeichen zusammen — keine Versichertendaten.
Wer was sehen darf
Drei Rollen in der Kasse
Administrator, Sachbearbeiter und Leser. Der Leser sieht alle Daten und kann nichts ändern und nichts versenden — die Rolle für Revision und Fachaufsicht.
Rechte werden auf dem Server geprüft
Die Oberfläche blendet aus, wozu eine Rolle kein Recht hat. Verlassen darf man sich darauf nicht, deshalb prüft jede schreibende Aktion die Rolle noch einmal serverseitig.
Sitzungen unter Kontrolle
Administratoren sehen die letzte Anmeldung jedes Kontos, können offene Sitzungen einzeln beenden und Passwörter zurücksetzen — das beendet zugleich alle Sitzungen des Kontos.
VIDA-QS sieht nicht einfach mit
Die Anwendungsadministration von VIDA-QS betreut Scan-Eingang, Kassenverwaltung und Support, hat aber keinen regulären Zugriff auf die Fachdaten einer Kasse. Die Support-Ansicht in eine Kasse ist ausschließlich lesend und wird protokolliert; wann sie zulässig ist, regelt der Auftragsverarbeitungsvertrag.
Aus Sicht des Versicherten
Der Versicherte ist kein Prüfobjekt, sondern die Quelle der Information. Entsprechend wenig wird ihm abverlangt.
Kein Konto, keine Registrierung
Der QR-Code führt auf einen zufälligen Zugang, der genau einen Vorgang öffnet, einmalig gilt und ein Ablaufdatum hat. Es wird kein Konto angelegt und kein Passwort vergeben.
Transparentes Anschreiben
Das Schreiben nennt den Anlass der Befragung, die Kasse als Auftraggeberin, VIDA-QS als Durchführende, die Frist und den Umgang mit den Daten.
Freiwillig und ohne Nachteil
Wer nicht antwortet, hat keinen Nachteil. Die Nichtantwort fließt nur als schwach gewichteter Hinweis in die Bewertung des Leistungserbringers ein, nicht in eine Bewertung des Versicherten.
Nur zur Versorgung gefragt
Der Fragebogen fragt, was geliefert wurde, ob es gepasst hat und ob es regelmäßig kam. Keine Diagnosen, keine Gesundheitsangaben über die Versorgung hinaus.
Was Ihr Datenschutzbeauftragter bekommt
Prüfen lässt sich nur, was auf dem Tisch liegt. Diese Unterlagen legen wir vor, bevor über Kampagnen gesprochen wird.
Auftragsverarbeitungsvertrag nach Art. 28 DSGVO
Mit Zwecken, Weisungsrechten, Unterauftragsverhältnissen, Kontrollrechten und den technischen und organisatorischen Maßnahmen als Anlage.
Nachweise zum Hosting nach § 80 SGB X
Standort der Rechenzentren, Zertifizierung des Betreibers und die Kette der Unterauftragnehmer.
Ergebnis der externen Sicherheitsprüfung
Bericht des unabhängigen Dienstleisters zur abgeschlossenen Prüfung, samt Stand der Behebung.
Beschreibung der Verarbeitung
Welche Felder übernommen werden, wofür, wie lange und wer sie sehen kann — dieselbe Aufstellung wie auf dieser Seite, in prüffähiger Form.
Zwei Punkte gehören in den Vertrag und nicht auf eine Webseite: die datenschutzrechtliche Verantwortlichkeit für Anschreiben und Rücksendeadresse sowie die Löschfristen für Prüfungen, Antworten und Fälle. Beides legen wir mit jeder Kasse einzeln fest, bevor der erste Brief das Haus verlässt.
Fragen an Ihren Datenschutzbeauftragten?
Wir liefern die Unterlagen zur Prüfung, bevor über Kampagnen gesprochen wird.