Sicherheit
Praxiswirtschaft und Banking nutzen, ohne die Kontrolle über Ihre Daten zu verlieren
HealthFlow erfüllt strengste Datenschutzvorschriften, schützt vertrauliche Praxis- und Patientendaten mit EU-Hosting, Verschlüsselung, Zero Data Retention bei KI-Modulen und ohne Nutzung Ihrer Inhalte für Modelltraining.
DSGVO-konform in der EU
Verarbeiten Sie Praxis- und Patientendaten DSGVO-konform — mit EU-Hosting, AVV und klar geregelten Subprozessoren.
Verschlüsselt gespeichert
Ihre Daten sind bei HealthFlow verschlüsselt gespeichert. Die Verbindung zwischen Browser und Plattform ist zusätzlich abgesichert.
Kein Training mit Ihren Daten
Ihre Eingaben, Dateien und Ergebnisse werden nicht für das Training von KI-Modellen verwendet.
Für Berufsgeheimnisträger
HealthFlow unterstützt vertrauliche Nutzung für Ärzte, Heilberufe, Kanzleien und weitere sensible Bereiche.
Datenschutz im Detail
Wie werden Daten bei HealthFlow geschützt?
Bei HealthFlow hat der Schutz der Daten unserer Praxen und Patienten höchste Priorität. Datensicherheit braucht beides: klare rechtliche Rahmenbedingungen und moderne technische Maßnahmen. Wir behandeln Ihre Daten vertraulich, speichern sie sicher und nutzen sie nur für den Zweck, für den sie vorgesehen sind.
Im Folgenden erklären wir Ihnen freundlich und nachvollziehbar, wie wir Daten rechtlich und technisch schützen — von der DSGVO über Verschlüsselung bis zur laufenden Überwachung.
Vorschriften und gesetzliche Bestimmungen
Wir halten uns an europäische, nationale und branchenspezifische Vorgaben, damit Praxis- und Patientendaten den Schutz erhalten, den sie verdienen.
01
Einhaltung der Datenschutzgesetze
HealthFlow orientiert sich an den zentralen Regelwerken für Datenschutz und sicheren Betrieb:
- DSGVO: Schutz der Rechte von Patientinnen, Patienten und Praxisnutzerinnen — mit Datenminimierung, Transparenz und nachvollziehbarer Einwilligung, wo sie erforderlich ist.
- DORA: Für Banking- und Finanzprozesse stärken wir die digitale Betriebsresilienz — mit klarem Risikomanagement und nachvollziehbaren IT-Sicherheitsabläufen.
02
Transparente Datennutzung
In unserer Datenschutzerklärung finden Sie in klarer Sprache:
- welche Datenarten wir erheben,
- zu welchem Zweck wir sie verarbeiten,
- auf welcher Rechtsgrundlage die Verarbeitung erfolgt,
- ob und wie Daten an Partner weitergegeben werden — nur wenn es nötig ist,
- welche Rechte Sie haben: Auskunft, Berichtigung, Löschung und Einschränkung.
03
Verträge und Auftragsverarbeitung
Mit Partnern und Dienstleistern gelten verbindliche Vereinbarungen:
- Einhaltung der Datenschutzgesetze, inklusive AVV nach DSGVO.
- Angemessene Sicherheitsmaßnahmen gegen unbefugten Zugriff und Datenpannen.
- Datenübermittlungen nur mit geeigneten Garantien und im Einklang mit geltendem Recht.
Technische Sicherheitsmaßnahmen
Unser technischer Schutz richtet sich gegen Cyber-Bedrohungen, unbefugten Zugriff und Datenlecks — schichtweise und nachvollziehbar.
01
Verschlüsselung und sichere Speicherung
Daten sind unterwegs und im Ruhezustand geschützt:
- Im Ruhezustand: AES-256 — der branchenübliche Standard für gespeicherte Daten.
- Beim Transfer: moderne TLS-Protokolle zwischen Browser, Apps und unseren Servern.
- Datenbank: mehrschichtige Verschlüsselung und strikte Mandantentrennung.
02
Identität und Zugriffsmanagement
Zugriff erhalten nur Menschen, die ihn wirklich brauchen:
- Multi-Faktor-Authentifizierung (MFA), damit Konten nicht allein über ein Passwort offenstehen.
- Rollenprinzip (RBAC): Rechte folgen der Aufgabe — Need-to-know statt pauschaler Freigabe.
- Privilegierte Zugriffe nur zeitlich begrenzt und nachvollziehbar, um administrative Risiken zu senken.
- Regelmäßige Prüfung der Berechtigungen, wenn Rollen oder Teams sich ändern.
03
Netzwerk- und Infrastrukturschutz
- Firewalls und Erkennung verdächtiger Zugriffe auf extern erreichbare Dienste.
- Zero-Trust-Ansatz: Nutzer und Geräte werden geprüft, bevor Zugriff gewährt wird.
- Laufende Sicherheitsupdates, damit bekannte Schwachstellen zügig geschlossen werden.
04
Rechenzentren in Deutschland
Die primäre Datenspeicherung liegt bei Amazon Web Services in Frankfurt — im Einklang mit EU-Datenschutz und branchenüblichen Sicherheitsstandards.
- Georedundante, verschlüsselte Backups in sicheren AWS-Regionen.
- Datenhoheit und Verarbeitung nach europäischen Vorgaben.
- Hohe Verfügbarkeit durch Failover- und Wiederanlaufkonzepte.
05
Anonymisierung und Maskierung
- Personenbezogene Daten in Nicht-Produktionsumgebungen werden verschleiert.
- Wo eine vollständige Identifizierung nicht nötig ist, anonymisieren wir Daten.
- Pseudonymisierung schützt Patienten- und Praxisdaten im Alltag der Plattform.
06
Überwachung und Bedrohungserkennung
- Erkennung und Eindämmung von Bedrohungen in Echtzeit.
- Durchgehende Überwachung kritischer Systeme.
- Klare Abläufe für die Reaktion auf Sicherheitsmeldungen.
07
Audits und Penetrationstests
- Interne und externe Prüfungen, um Schwachstellen früh zu finden.
- Regelmäßige Penetrationstests, die Angriffe realistisch simulieren.
- Compliance-Reviews, damit gesetzliche Anforderungen nicht nur auf dem Papier stehen.
Sicherheit bleibt eine Daueraufgabe
Bei HealthFlow ist Datenschutz keine einmalige Checkliste. Wir verbessern unsere Schutzmaßnahmen laufend — rechtlich und technisch.
- Schulungen und klare Verpflichtungen für unser Team zu sicherem Umgang mit Daten.
- Aktuelle Sicherheitstechnologien, damit wir neuen Bedrohungen einen Schritt voraus bleiben.
- Transparente Hinweise für Praxen, damit auch Ihre Teams Daten sicher nutzen können.
Wenn Sie darüber hinaus wissen möchten, wie wir Ihre Daten schützen, schreiben Sie uns gern. Unser Datenschutz- und Sicherheitsteam antwortet über das Kontaktformular.
Sicherheit bei HealthFlow
Mit EU-exklusiver Datenhaltung auf deutschen Servern, Zero Data Retention bei KI-Anbietern und vollständiger Konformität mit den Datenschutzvorschriften der DACH-Region setzt HealthFlow den Standard für sichere Praxis- und Banking-Software. Diese Seite gibt einen vollständigen Überblick über unsere Schutzmaßnahmen.
Datenhaltung & Verarbeitung
- Praxis- und Anwendungsdaten ausschließlich auf deutschen Servern — in ISO-27001-zertifizierten Rechenzentren in Deutschland.
- Banking- und Zahlungsdaten werden über regulierte Partner verarbeitet; HealthFlow speichert nur die für Praxiscontrolling erforderlichen Metadaten mandantensicher.
- Zero Data Retention: Mit allen eingesetzten KI-Modulanbietern aktivieren wir, sofern technisch möglich, Zero Data Retention (ZDR). Anfragen werden nach der Verarbeitung nicht beim Modellanbieter gespeichert.
- Kein Modell-Training mit Kundendaten — vertraglich und technisch ausgeschlossen und Voraussetzung für die Einbindung in die HealthFlow-Plattform.
- DATEV- und ERP-Sync: Buchungsstapel und Stammdaten werden verschlüsselt übertragen und mandantenspezifisch gespeichert.
Entwickelt für Berufsgeheimnisträger — §203 StGB, §121 öStGB, Art. 321 CH-StGB
- HealthFlow ist für den Einsatz durch Berufsgeheimnisträger entwickelt und erfüllt die Anforderungen nach §203 StGB (Deutschland), §121 StGB (Österreich) und Art. 321 StGB (Schweiz).
- Abgedeckte Berufsgruppen umfassen unter anderem Ärzte, Heilberufe, Rechtsanwälte, Steuerberater und Notare.
- Patienten- und Praxisdaten werden pseudonymisiert und mandantenscharf getrennt — Zugriff nur für berechtigte Nutzer Ihrer Organisation.
- Strafbewehrte Verschwiegenheitspflicht: Alle Mitarbeiter und Dienstleister, die potenziell mit Kundendaten in Berührung kommen, sind der strafbewehrten Verschwiegenheit verpflichtet — vertraglich und gesetzlich.
Verschlüsselung & technische Sicherheit
- AES-256 & TLS 1.3: Alle Kundendaten werden im Ruhezustand verschlüsselt. Sämtliche Datenübertragungen sind mit TLS 1.3 abgesichert.
- Mandantentrennung (Row-Level Security): Daten verschiedener Organisationen werden durch Row-Level Security (RLS) auf Datenbankebene und zusätzlich auf Anwendungsebene strikt getrennt.
- 24/7-Monitoring, WAF & DDoS-Schutz: Extern erreichbare Dienste sind durch Web Application Firewall und DDoS-Schutz abgesichert. Kritische Systeme werden rund um die Uhr überwacht.
- Externe Penetrationstests: Externe Sicherheitsexperten überprüfen unsere Architektur regelmäßig auf Schwachstellen.
Compliance & Datenschutz
- DSGVO: HealthFlow ist vollständig DSGVO-konform — inkl. Datenschutz by Design und by Default (Art. 25 DSGVO), formalisierter Prozesse für Betroffenenrechte (Art. 15 ff. DSGVO) mit 30-Tage-Bearbeitungsfrist sowie dokumentiertem Löschkonzept.
- Externer Datenschutzbeauftragter: Ein externer DSB begleitet HealthFlow bei allen datenschutzrechtlichen Fragen und ist bei der zuständigen Aufsichtsbehörde gemeldet.
- ISO-27001-zertifizierte Kerninfrastruktur: Für Core Services setzen wir ausschließlich ISO-27001-zertifizierte Anbieter ein.
- Vendor Risk Management: Alle Subprozessoren werden vertraglich auf Datenschutz und Geheimhaltung verpflichtet und regelmäßig auf Compliance überprüft. Die Subprozessorenliste ist fester Bestandteil unserer AVV.
Sicherheitsfeatures für Ihre Organisation
HealthFlow gibt Ihrer IT-Abteilung die Kontrolle, die moderne Compliance-Anforderungen in Praxen und MVZs verlangen.
Multi-Faktor-Authentifizierung (MFA) & Passkeys
Verpflichtende MFA oder passwortfreie Anmeldung via Passkeys lassen sich für alle Nutzer Ihrer Organisation aktivieren.
Single Sign-On (SSO)
Nahtlose Integration in bestehende Identity-Provider: Microsoft Entra ID, Google Workspace, Okta und weitere SAML-2.0-kompatible Anbieter.
SCIM-Provisioning
Nutzeranlagen und -deaktivierungen werden automatisch über SCIM mit Ihrem Identity-Provider synchronisiert — keine Offboarding-Lücken.
Rollen, Rechte & Admin-Kontrollen
Organisationsadmins steuern Zugriffsrechte, Freigabe-Workflows und Systemeinstellungen zentral — mandantenfähig pro Standort.
Als externer Datenschutzbeauftragter begleite ich HealthFlow bei der Umsetzung der DSGVO — von der AVV über Betroffenenrechte bis zum Löschkonzept. Praxisinhaber erhalten damit die Unterlagen, die IT, Legal und Datenschutz für eine Freigabe benötigen.
Externer Datenschutzbeauftragter
HealthFlow Plattform
Alle Unterlagen für Ihre Datenschutzfreigabe
Alles, was IT, Legal und Datenschutz für die Prüfung von HealthFlow benötigen: AVV, Datenschutzerklärung und Vertraulichkeitsvereinbarungen.
AVV
Auftragsverarbeitungsvertrag nach DSGVO, inklusive TOMs und Informationen zu eingesetzten Subprozessoren.
Anfragen →Datenschutzerklärung
Transparente Übersicht, welche Daten HealthFlow verarbeitet, zu welchen Zwecken und auf welcher Rechtsgrundlage.
Lesen →Verschlüsselung
Ihre Daten sind verschlüsselt gespeichert und die Verbindung zur Plattform ist geschützt — unter anderem mit AES-256 und TLS 1.3.
Mehr erfahren →Berufsgeheimnis-Vereinbarung
Für vertrauliche Berufsgruppen stehen passende Vereinbarungen zur digitalen Unterschrift in der Plattform bereit.
Digital unterschreiben →Häufig gestellte Fragen und Antworten
Pricing FAQ
Ja. HealthFlow ist DSGVO-konform und nach europäischen Sicherheitsstandards entwickelt. Hosting und Datenverarbeitung erfolgen in der EU — Ihre Praxis- und Patientendaten werden nicht zum Training von KI-Modellen verwendet.
Praxis- und Anwendungsdaten werden ausschließlich in Deutschland in ISO-27001-zertifizierten Rechenzentren gespeichert. Banking-Daten werden über regulierte Partner verarbeitet.
Ja. HealthFlow ist für Berufsgeheimnisträger entwickelt — einschließlich Ärzte und Heilberufe. Mandantentrennung, Zugriffskontrollen und Verschlüsselung schützen Patienten- und Praxisdaten.
Nein. Ihre Eingaben, Uploads und Ergebnisse — auch im AI-Dokumentationsassistenten — werden nicht zum Training von Sprachmodellen verwendet. Zero Data Retention wird bei KI-Anbietern aktiv eingesetzt.
Sie können HealthFlow 14 Tage kostenlos testen — ohne Kreditkarte. Onboarding-Wizards führen Sie durch ERP-Anbindung, Leistungserbringer und Finanzmanagement. Unser Team unterstützt bei der Datenschutzfreigabe.
Die Kerninfrastruktur basiert auf ISO-27001-zertifizierten Anbietern. HealthFlow selbst setzt AES-256, TLS 1.3, RLS-Mandantentrennung, WAF, DDoS-Schutz und regelmäßige Penetrationstests ein.