In psychotherapeutischen Praxen werden besonders sensible personenbezogene Daten verarbeitet. Dazu gehören neben Kontaktdaten und Terminen insbesondere Diagnosen, Behandlungsdokumentationen, Rechnungen und weitere Informationen über die gesundheitliche Situation von Patienten.
Der Schutz dieser Daten hat bei Tymia oberste Priorität. Datenschutz und Datensicherheit sind daher zentrale Bestandteile der technischen Infrastruktur und der fortlaufenden Produktentwicklung.
Tymia wurde speziell für psychotherapeutische Privatpraxen entwickelt und ist auf die besonderen Anforderungen beim Umgang mit Gesundheitsdaten ausgerichtet.
Tymia wird auf der Infrastruktur der Open Telekom Cloud betrieben. Die von Tymia genutzten Server befinden sich in Deutschland.
Die Open Telekom Cloud wird von der Deutschen Telekom bereitgestellt und ist speziell auf die hohen Anforderungen datenschutzsensibler Anwendungen im Gesundheitssystem ausgerichtet. Für die zugrunde liegende Cloud-Infrastruktur der Telekom liegt ein C5-Testat vor. Der C5-Kriterienkatalog des Bundesamtes für Sicherheit in der Informationstechnik definiert Anforderungen an die Sicherheit von Cloud-Diensten.
Die Verbindung zwischen Ihrem Endgerät und Tymia erfolgt verschlüsselt über TLS. Dadurch werden die übertragenen Daten während der Kommunikation zwischen Browser und Server geschützt.
Auch die in Tymia gespeicherten Daten werden verschlüsselt. Dies betrifft insbesondere die in der Praxissoftware verarbeiteten Patienten-, Termin-, Dokumentations- und Abrechnungsdaten.
Tymia funktioniert vollständig browserbasiert. Eine lokale Installation auf dem Praxiscomputer ist nicht erforderlich. Sie sollten dennoch darauf achten, auch Ihre eigenen Endgeräte durch aktuelle Betriebssysteme, sichere Passwörter und eine automatische Bildschirmsperre zu schützen.
Die in Tymia gespeicherten Daten werden täglich durch Backups gesichert. Die regelmäßige Datensicherung dient insbesondere dazu, einem Verlust von Daten infolge technischer Störungen vorzubeugen und die Wiederherstellbarkeit des Systems zu unterstützen.
Ein Backup schützt allerdings nicht davor, dass Daten durch einen dazu berechtigten Nutzer bewusst gelöscht oder verändert werden. Praxen sollten daher unabhängig von der technischen Datensicherung sorgfältig mit Benutzerkonten und Zugangsrechten umgehen.
Der Zugang zur Praxissoftware ist durch eine persönliche Benutzeranmeldung mit Passwort geschützt. Zusätzlich steht eine Zwei-Faktor-Authentifizierung per E-Mail zur Verfügung.
Zugangsdaten sollten ausschließlich von der jeweils berechtigten Person verwendet und nicht innerhalb der Praxis weitergegeben werden. Für mitarbeitende Therapeuten und Praxisassistenzen können eigene Benutzerkonten eingerichtet werden.
Psychotherapeutische Rechnungen können Diagnosen und andere Gesundheitsdaten enthalten. Tymia versendet solche Rechnungen deshalb nicht als ungeschützten Anhang einer gewöhnlichen E-Mail.
Stattdessen erhält der Patient eine E-Mail mit einem Download-Link. Die E-Mail selbst enthält keine Rechnung und keine darin enthaltenen Gesundheitsdaten. Beim Aufruf des Links wird eine SMS-TAN an die in der Patientenakte hinterlegte Mobiltelefonnummer versandt. Erst nach Eingabe dieser TAN kann die Rechnung heruntergeladen werden.
Auf diese Weise verbindet Tymia einen komfortablen digitalen Rechnungsversand mit einem zusätzlichen Schutz vor dem Zugriff unberechtigter Personen.
Der in Tymia integrierte Videochat ist Ende-zu-Ende-verschlüsselt. Die Verbindung wird direkt zwischen den Gesprächsteilnehmern hergestellt.
Die technische Sicherheit von Tymia wird regelmäßig durch unabhängige externe Penetrationstests überprüft. Bei diesen kontrollierten Sicherheitstests versuchen spezialisierte Fachleute, mögliche technische Schwachstellen zu erkennen.
Erkannte Sicherheitsrisiken können auf diese Weise bewertet und behoben werden. Die Prüfungen ergänzen die laufenden technischen und organisatorischen Maßnahmen zum Schutz der Systeme.
Aus Sicherheitsgründen veröffentlicht Tymia keine detaillierten Angaben zur internen Systemarchitektur, Verschlüsselungsschlüsselverwaltung oder zu konkreten Prüf- und Wiederherstellungsverfahren.
Die Praxis behält die Kontrolle über die in Tymia gespeicherten Behandlungsdaten. Praxisdaten können über die vorgesehenen Exportfunktionen aus Tymia ausgegeben werden. Auch der Export einzelner Patientenakten ist möglich.
Daten können im Rahmen der verfügbaren Löschfunktionen gelöscht werden. Dabei müssen Praxen insbesondere die gesetzlichen und berufsrechtlichen Dokumentations- und Aufbewahrungspflichten beachten. Die technische Möglichkeit zur Löschung hebt diese Pflichten nicht auf.
Bei den im Rahmen einer Behandlung verarbeiteten Patientendaten bleibt die jeweilige Praxis beziehungsweise der behandelnde Therapeut datenschutzrechtlich verantwortlich. Die Praxis entscheidet insbesondere darüber, welche Patientendaten erhoben, dokumentiert, aufbewahrt oder gelöscht werden.
Tymia verarbeitet diese Daten im Auftrag der Praxis und ist insoweit Auftragsverarbeiter nach Art. 28 DSGVO. Tymia verarbeitet die Patientendaten ausschließlich im Rahmen des mit der Praxis geschlossenen Auftragsverarbeitungsvertrages. Die Daten werden nicht für eigene Zwecke von Tymia verwendet. Über die Verarbeitung der Behandlungsdaten entscheidet weiterhin die jeweilige Praxis.
Soweit Tymia personenbezogene Daten für eigene Zwecke verarbeitet – beispielsweise zur Verwaltung von Nutzerkonten oder zum Betrieb eigener Plattformfunktionen –, ergeben sich die jeweiligen Verantwortlichkeiten aus der Datenschutzerklärung.
Für die Verarbeitung von Praxis- und Patientendaten stellt Tymia einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO zur Verfügung.
Dieser regelt unter anderem:
Die technischen und organisatorischen Maßnahmen sind Bestandteil des Auftragsverarbeitungsvertrages. Die eingesetzten Unterauftragnehmer und die Verarbeitungskette werden in den Vertragsunterlagen ausgewiesen.
Neben den Anforderungen der DSGVO unterliegen Psychotherapeuten und Ärzte der beruflichen Schweigepflicht nach § 203 StGB. Deshalb muss beim Einsatz externer Dienstleister nicht nur der allgemeine Datenschutz, sondern auch die Vertraulichkeit der dem Berufsgeheimnis unterliegenden Informationen berücksichtigt werden.
Tymia ist für den Einsatz in Gesundheitsberufen konzipiert. Die erforderlichen rechtlichen Regelungen zur Vertraulichkeit und zur Einbindung der an der Datenverarbeitung beteiligten Dienstleister werden in den Vertragsunterlagen abgebildet.
Die Datenschutzerklärung erläutert, welche personenbezogenen Daten durch Tymia verarbeitet werden, zu welchen Zwecken dies geschieht und welche Rechte betroffene Personen haben.
Sie enthält insbesondere Informationen über:
Der Auftragsverarbeitungsvertrag einschließlich der technischen und organisatorischen Maßnahmen, die Datenschutzerklärung und die weiteren Vertragsunterlagen stehen Ihnen nach dem Login in Tymia zur Verfügung.
Damit erhalten Praxen die für ihre datenschutzrechtliche Prüfung erforderlichen Informationen, ohne dass vertrauliche Einzelheiten der internen Sicherheitsarchitektur öffentlich gemacht werden.
Datensicherheit ist eine gemeinsame Aufgabe. Zusätzlich zu den technischen Maßnahmen von Tymia sollten Praxen insbesondere:
Sobald Daten aus Tymia exportiert oder auf einem lokalen Gerät gespeichert werden, ist die Praxis für den Schutz dieser lokalen Kopien verantwortlich.
Wo werden die Daten gespeichert?
Die Datenverarbeitung erfolgt auf der Infrastruktur der Open Telekom Cloud in Deutschland.
Werden die Daten verschlüsselt?
Ja. Sowohl die Übertragung als auch die Speicherung der in Tymia verarbeiteten Daten erfolgt verschlüsselt.
Werden Backups erstellt?
Ja. Die Daten werden täglich durch Backups gesichert.
Werden Rechnungen als E-Mail-Anhang verschickt?
Nein. Die E-Mail enthält lediglich einen Download-Link. Für den Abruf der Rechnung ist eine zusätzliche Authentifizierung per SMS-TAN erforderlich.
Ist der Videochat verschlüsselt?
Ja. Der Videochat ist Ende-zu-Ende-verschlüsselt.
Wer ist für die Patientendaten verantwortlich?
Für die im Rahmen der Behandlung verarbeiteten Patientendaten bleibt die jeweilige Praxis beziehungsweise der behandelnde Therapeut verantwortlich. Tymia verarbeitet diese Daten als Auftragsverarbeiter im Auftrag der Praxis.
Kann ich meine Daten exportieren?
Ja. Praxisdaten und einzelne Patientenakten können über die vorgesehenen Funktionen exportiert werden.
Welche Unterlagen stellt Tymia zur Verfügung?
Tymia stellt einen Auftragsverarbeitungsvertrag einschließlich der technischen und organisatorischen Maßnahmen, die Datenschutzerklärung und die AGB zur Verfügung.
Praxen benötigen nachvollziehbare Informationen, um den Einsatz einer Praxissoftware datenschutzrechtlich beurteilen zu können. Gleichzeitig dürfen detaillierte Angaben zur internen Sicherheitsarchitektur nicht selbst zu einem Sicherheitsrisiko werden.
Tymia stellt deshalb die relevanten rechtlichen und organisatorischen Informationen transparent bereit, veröffentlicht jedoch keine sensiblen technischen Einzelheiten, die für einen sicheren Betrieb nicht öffentlich zugänglich sein sollten.