lemniscus®
#dsgvo-konformität ist kein produktmerkmal
#„dsgvo-konform“ ist ein versprechen ohne deckung
„DSGVO-konform“, „automatisiert rechtssicher“, „zu 100 % abgesichert“: Solche Aussagen klingen beruhigend, sind aber irreführend. Keine Software kann den Datenschutz einer Praxis allein herstellen, denn er hängt immer auch vom Verhalten der Menschen ab, die mit ihr arbeiten.
Wer eine Software für die eigene Heilpraktiker-Praxis sucht, liest es überall: Das eine Produkt sei „DSGVO-konform“, das nächste erledige den Datenschutz „automatisiert“, das dritte prahlt mit den Zertifikaten seiner Rechenzentren. Das wirkt fürsorglich und nimmt dir scheinbar ein unangenehmes Thema ab.
Genau das ist der Denkfehler. Datenschutz ist keine Eigenschaft, die man mit einer Software einkauft und danach abhaken kann. Die DSGVO nimmt die verantwortliche Stelle in die Pflicht, und das ist im Zweifel deine Praxis, nicht dein Software-Anbieter. Eine Software kann dich dabei hervorragend unterstützen. Erledigen kann sie es nicht.
„Rechtssicherheit“ und „DSGVO-Konformität“ lassen sich softwareseitig nicht pauschal und vollständig herstellen. Eine Zusicherung „zu 100 %“ suggeriert eine Garantie, die es in der Sache gar nicht geben kann.
Der Schaden zeigt sich erst später. Wer glaubt, mit dem Kauf einer „DSGVO-konformen“ Software sei das Thema erledigt, kümmert sich um Einwilligungen, Zugriffsrechte, Aufbewahrung und den Umgang mit den eigenen Geräten nicht mehr so genau. Man wiegt sich in Sicherheit, die tatsächlich nicht besteht, und stellt das erst im Ernstfall fest, etwa bei einer Auskunftsanfrage, einer Panne oder einer Prüfung.
Deshalb ist das nicht nur eine Frage des guten Stils. Solche Werbung ist unlauter, und sie ist eine Gefahr für die ganze Branche, weil sie ein falsches Bild davon zeichnet, was Datenschutz im Praxisalltag wirklich bedeutet.
Worum es hier geht
Wir wollen niemanden schlechtreden und behaupten auch nicht, dass Datenschutz kompliziert gemacht werden muss. Auf dieser Seite geht es darum, warum pauschale Konformitäts-Versprechen nicht halten, was sie versprechen, und worauf du stattdessen achten solltest.
#werbeversprechen gegen wirklichkeit
Viele gängige Aussagen klingen nach Sicherheit, halten der Realität aber nicht stand. Die folgende Gegenüberstellung zeigt, was hinter den beliebtesten Formulierungen wirklich steckt.
Das Werbeversprechen
- „Unsere Software ist DSGVO-konform.“
- „Datenschutz läuft bei uns automatisiert.“
- „Mit uns bist du zu 100 % rechtssicher.“
- „Unsere Rechenzentren sind zertifiziert, also bist du sicher.“
- „Einfach installieren und der Datenschutz ist erledigt.“
Was tatsächlich stimmt
- Konform ist immer eine konkrete Verarbeitung, kein Produkt „an sich“.
- Automatisieren lässt sich Technik, nicht das Verhalten der Nutzys.
- Eine 100-%-Garantie kann es rechtlich nicht geben.
- Zertifikate des Rechenzentrums sagen nichts über deinen Praxisbetrieb aus.
- Ein Teil der Verantwortung bleibt immer bei der Praxis.
Warum solche Aussagen unlauter sind
Pauschale Konformitäts-Versprechen sind nicht nur sachlich falsch. Sie können auch wettbewerbsrechtlich abgemahnt werden, weil sie über wesentliche Merkmale einer Dienstleistung in die Irre führen.
So kann eine Abmahnung klingen
„Bei der Werbeaussage, Ihre Software sorge ‚automatisiert‘ für die ‚DSGVO-Konformität‘ und biete zu ‚100 % Rechtssicherheit‘, handelt es sich um eine Irreführung über die wesentlichen Merkmale der Dienstleistung, § 5 Abs. 2 Nr. 1 UWG. Die Werbebehauptung erweckt bei den angesprochenen Verkehrskreisen den Fehlglauben, dass allein durch die Installation oder den Einsatz der Software auf jeden Fall alle rechtlichen Anforderungen der Datenschutz-Grundverordnung vollautomatisch und ohne weiteres menschliches Zutun erfüllt sind. Rechtssicherheit und DSGVO-Konformität lassen sich softwareseitig aber nicht pauschal und vollständig herstellen, da die rechtssichere und datenschutzkonforme Nutzung stets auch vom Verhalten der einzelnen Nutzer abhängt.“
Konform ist die Verarbeitung, nicht das Produkt
Die DSGVO bewertet konkrete Verarbeitungen: welche Daten zu welchem Zweck, auf welcher Rechtsgrundlage, mit welchen Maßnahmen. Ob das passt, entscheidet sich in deiner Praxis. Eine Software kann die Voraussetzungen dafür schaffen, aber nicht die Bewertung abnehmen. „DSGVO-konform“ als Produkt-Etikett führt deshalb in die Irre.
„Automatisiert“ endet an der Tastatur
Technik kann verschlüsseln, protokollieren und Zugriffe steuern. Ob eine Einwilligung wirksam eingeholt wurde, wer Zugriff auf den Rechner hat, wie mit E-Mails oder Ausdrucken umgegangen wird und ob Geräte gesperrt sind, kann keine Automatik erzwingen. An dieser Stelle beginnt die Mitwirkung der Praxis.
„Zu 100 %“ ist eine Garantie, die niemand geben kann
Datenschutz und IT-Sicherheit sind ein fortlaufender Prozess, kein Endzustand. Eine Zusicherung „zu 100 %“ suggeriert eine Absicherung, die es tatsächlich nicht gibt, und ist geeignet, die Entscheidung der angesprochenen Verkehrskreise, insbesondere von Heilpraktikys, unzulässig zu beeinflussen.
Zertifikate des Rechenzentrums sind nicht deine Konformität
Ein sicheres, zertifiziertes Rechenzentrum ist eine wichtige Grundlage. Es sagt aber nichts darüber aus, ob in deiner Praxis rechtmäßig verarbeitet wird. Wer das Zertifikat eines Dienstleistys als eigene DSGVO-Konformität verkauft, vermischt zwei völlig verschiedene Ebenen.
Warum das eine Gefahr für die Branche ist
Das eigentliche Problem sind nicht die Werbeworte, sondern ihre Wirkung: Sie erzeugen eine trügerische Sicherheit, die am Ende die Praxen trifft, die sich darauf verlassen haben.
Trügerische Sicherheit lähmt die Vorsorge
Wer glaubt, mit dem Kauf einer „DSGVO-konformen“ Software sei alles erledigt, hört auf, sich um das eigene Verhalten zu kümmern: um Einwilligungen, Zugriffsrechte, den Umgang mit Geräten und die Frage, wer wann worauf zugreifen darf. Genau dort entstehen dann die realen Datenschutzvorfälle.
Der Schaden wird sichtbar, wenn es zu spät ist
Eine Auskunftsanfrage, eine verlorene Festplatte oder eine Prüfung durch die Aufsichtsbehörde fördert zutage, was vorher niemand sehen wollte. Dann steht die Praxis in der Verantwortung, nicht das Werbeversprechen des Anbietys.
Ehrliche Anbietys geraten ins Hintertreffen
Wer sauber erklärt, dass ein Teil der Verantwortung immer bei der Praxis bleibt, klingt neben „100 % rechtssicher, vollautomatisch“ zunächst unattraktiver. So belohnt der Markt die kühnsten Versprechen statt der belastbarsten Lösungen. Das schadet am Ende allen.
Wie sieht das bei lemniscus aus?
Wir werben bewusst nicht damit, dass lemniscus deinen Datenschutz „automatisch“ oder „zu 100 %“ erledigt. Das wäre nicht seriös. Stattdessen sagen wir klar, welchen Teil wir übernehmen und welcher Teil bei dir bleibt.
Mit lemniscus helfen wir dir, die technischen Voraussetzungen für einen datenschutzkonformen Praxisbetrieb zu schaffen. Wir betreiben lemniscus in sicheren, zertifizierten Rechenzentren, sind dadurch unabhängiger von der Infrastruktur in deinen Räumlichkeiten und können ein hohes Niveau an Datensicherheit umsetzen. Dass wir das tatsächlich tun, lassen wir uns von unabhängigen Dritten bestätigen, etwa im C5-Testat.
Den Teil, den wir übernehmen, machen wir also nachprüfbar, statt ihn nur zu behaupten. Zugleich sagen wir offen: Ein Teil der Verantwortung bleibt immer bei dir. Für einen datenschutzkonformen Praxisbetrieb wird es immer Mitwirkungspflichten auf deiner Seite geben, und die sind teilweise unabhängig davon, was eine Software tut oder nicht.
Das ist kein Nachteil, sondern ehrlich. Denn nur wer weiß, wo die eigene Verantwortung anfängt, kann sie auch tatsächlich wahrnehmen, statt sich in einer Sicherheit zu wiegen, die es nie gab.
Kurz gesagt
- „DSGVO-konform“, „automatisiert“ und „100 % rechtssicher“ sind als pauschale Werbeaussagen irreführend und können abgemahnt werden.
- Konform ist immer eine konkrete Verarbeitung in deiner Praxis, kein Produkt und kein Zertifikat eines Rechenzentrums.
- Solche Versprechen sind gefährlich, weil sie eine trügerische Sicherheit erzeugen und die eigene Vorsorge einschläfern.
- lemniscus hilft dir, die technischen Voraussetzungen zu schaffen, macht seinen Teil nachprüfbar und benennt offen die Mitwirkungspflichten, die bei dir bleiben.