Bevor Sie eine einzige Anforderung umsetzen, brauchen Sie eine Antwort auf eine unspektakuläre Frage: Wie groß ist Ihre Praxis im Sinne der Richtlinie? Von dieser Einordnung hängt ab, ob Sie 59 oder 92 Anforderungen betrachten müssen. Sie ist damit die günstigste Stunde Arbeit im ganzen Projekt.
Warum die Einordnung zuerst kommt
Die Richtlinie staffelt ihre Anforderungen nach Praxisgröße. Wer sich zu groß einordnet, arbeitet Anforderungen ab, die für ihn nicht gelten. Wer sich zu klein einordnet, übersieht ganze Anlagen. Beides fällt erst auf, wenn jemand nachfragt, und dann ist es unangenehm. Deshalb steht am Anfang jedes Praxischecks die Einordnung, schriftlich und begründet.
Wer als ständig betraut zählt
Die Richtlinie zählt Personen, die ständig mit der Datenverarbeitung betraut sind. Das ist bewusst weiter gefasst als „Behandelnde“. In einer typischen Praxis gehören dazu:
- Ärztinnen und Ärzte, Zahnärztinnen und Zahnärzte
- MFA, ZFA und Assistenz, soweit sie mit der Praxissoftware arbeiten
- Rezeption und Terminvergabe
- Abrechnung und Verwaltung
- Praxismanagement
Nicht mitgezählt werden Personen, die mit der Datenverarbeitung nichts zu tun haben, etwa Reinigungskräfte. Auch Ihr externer IT-Dienstleister ist keine ständig betraute Person Ihrer Praxis, für ihn greifen eigene Anforderungen: Regelungen für Fremdpersonal und eine Vertraulichkeitsvereinbarung in schriftlicher Form (Anlage 1, Nr. 3 und 4).
Die drei Größen
| Größe | Personen | Typisch |
|---|---|---|
| Praxis | bis 5 | Einzelpraxis mit kleinem Team |
| Mittlere Praxis | 6 bis 20 | Gemeinschaftspraxis, Berufsausübungsgemeinschaft |
| Großpraxis | über 20 | größere Praxen und medizinische Versorgungszentren |
Neben der Personenzahl gibt es einen zweiten Weg in die Kategorie Großpraxis: Eine Praxis, die in über die normale Datenübermittlung hinausgehendem Umfang in der Datenverarbeitung tätig ist, gilt ebenfalls als Großpraxis. Die Richtlinie nennt als Beispiele große medizinische Versorgungszentren mit krankenhausähnlichen Strukturen und Großlabore. Wer viele Befunde automatisiert austauscht, sollte diesen Punkt bewusst prüfen, auch mit weniger als 20 Personen.
Welche Anlagen daraus folgen
| Ihre Größe | Diese Anlagen gelten | Summe |
|---|---|---|
| Praxis | Anlage 1 und, bei TI-Anschluss, Anlage 5 | 50 plus 9 |
| Mittlere Praxis | Anlage 1, 2 und, bei TI-Anschluss, Anlage 5 | 50 plus 10 plus 9 |
| Großpraxis | Anlage 1, 2, 3 und, bei TI-Anschluss, Anlage 5 | 50 plus 10 plus 17 plus 9 |
| Zusätzlich bei Großgeräten | Anlage 4 | plus 6 |
- Praxis bis 5 Anlage 1 Anlage 5 59 Anforderungen
- Mittlere Praxis 6 bis 20 Anlage 1 Anlage 2 Anlage 5 69 Anforderungen
- Großpraxis über 20 Anlage 1 Anlage 2 Anlage 3 Anlage 5 86 Anforderungen
Grafik mit KI erstellt
Wichtig ist der Zusatz, den die Richtlinie an dieser Stelle macht: umzusetzen sind die Anforderungen, soweit die Zielobjekte in der Praxis genutzt werden. Eine Praxis ohne Diensthandys braucht keine Regelung zur SIM-Karten-PIN. Eine Praxis ohne eigenen Webdienst kann die Anforderungen für Anbieter von Internet-Anwendungen überspringen. Halten Sie solche Ausschlüsse schriftlich fest, dann sind sie belegt und nicht einfach übersehen.
Großgeräte: Anlage 4
Anlage 4 gilt unabhängig von der Praxisgröße, sobald medizinische Großgeräte im Einsatz sind. Die Richtlinie nennt als Beispiele medizinische Analysegeräte (IVD-Geräte) in Laboren, Computertomographen, Magnetresonanztomographen, Positronenemissionstomographen und Linearbeschleuniger. Die sechs Anforderungen drehen sich vor allem um zwei Dinge: Wer darf an die Konfigurations- und Wartungsschnittstellen, und wie hängt das Gerät im Netz?
- Zugriff auf Konfiguration und Wartung nur für vorher festgelegte Berechtigte, herstellerseitig gesetzte Passwörter wechseln, den Wechsel dokumentieren und das Passwort sicher hinterlegen (Nr. 1)
- sichere Protokolle für Konfiguration und Wartung, auch bei Fernwartung (Nr. 2)
- festlegen, was protokolliert wird, wie lange die Protokolle bleiben und wer sie einsehen darf (Nr. 3)
- nicht genutzte Dienste, Funktionen, Schnittstellen und Benutzerkonten deaktivieren (Nr. 4 und 5)
- Großgeräte von der übrigen IT trennen, ferngewartete Geräte in einem eigenen Netzsegment (Nr. 6)
Grenzfall Bildgebung in der Zahnarztpraxis
Die Beispiele in Anlage 4 sind abschließend formuliert als Aufzählung, nicht als vollständige Liste jedes denkbaren Geräts. Bei Dental-Bildgebung lohnt sich daher eine bewusste Entscheidung mit Begründung, statt die Frage offen zu lassen. Im Zweifel hilft eine Nachfrage bei Ihrer Kassenzahnärztlichen Vereinigung.
Telematikinfrastruktur: Anlage 5
Anlage 5 betrifft die dezentralen Komponenten der Telematikinfrastruktur in Ihrer Praxis. Praktisch heißt das: Konnektor oder TI-Gateway, Kartenterminals, der elektronische Heilberufsausweis und die Anbindung Ihres Primärsystems. Die neun Anforderungen verweisen an mehreren Stellen auf die Vorgaben der gematik und der Hersteller, verlangen Schutz vor unberechtigtem physischem Zugriff, zeitnahe Aktualisierungen und die sichere Aufbewahrung der Administrationsdaten.
Zwei Anforderungen sind neu und betreffen moderne Anbindungen: der gehostete Konnektor, der über einen VPN-Tunnel abgesichert werden muss (Nr. 5), und das TI-Gateway, das nach den Vorgaben des Anbieters zu konfigurieren und zu betreiben ist (Nr. 6). Wer von einem Konnektor im Serverschrank auf eine gehostete Lösung umgestiegen ist, sollte hier genau hinsehen.
Grenzfälle
Drei Fragen kommen regelmäßig, und die Richtlinie beantwortet sie nicht ausdrücklich. Meine Einschätzung mit Begründung:
- Teilzeit und geringfügig Beschäftigte: Die Richtlinie spricht von Personen, nicht von Vollzeitstellen. Wer regelmäßig mit der Praxissoftware arbeitet, ist ständig damit betraut, auch bei zwei Tagen pro Woche. Ich zähle solche Personen mit und halte die Zählweise fest.
- Auszubildende und Aushilfen: Gleiche Logik. Wer eigene Zugangsdaten hat und mit Patientendaten arbeitet, zählt mit. Für die Einarbeitung gilt ohnehin Anlage 1, Nr. 1.
- Mehrere Standorte unter einer Zulassung: Entscheidend ist die Praxis als Einheit, nicht der einzelne Standort. Wer an zwei Standorten insgesamt 14 Personen hat, ist eine mittlere Praxis. Für die Technik heißt das zusätzlich: Die Verbindung zwischen den Standorten gehört in den Netzplan.
Wo eine Entscheidung Ermessen braucht, ist die dokumentierte Begründung wichtiger als die Frage, ob man am Ende bei 20 oder 21 landet. Bleibt eine Frage offen, ist die Kassenärztliche oder Kassenzahnärztliche Vereinigung die richtige Adresse.
Einordnung dokumentieren
Eine Seite genügt. Darauf gehören:
- Stichtag der Zählung und die Zahl der ständig mit der Datenverarbeitung betrauten Personen, mit Funktionen
- die daraus folgende Kategorie und die geltenden Anlagen
- Nutzung von Großgeräten und TI-Komponenten, jeweils mit ja oder nein
- Zielobjekte, die es in der Praxis nicht gibt, mit kurzer Begründung
- Datum der nächsten Überprüfung, denn die Richtlinie verlangt eine jährliche Evaluation
Wenn Sie das nicht selbst schreiben wollen: Der Leitfaden zeigt den Gesamtzusammenhang, und der Selbstcheck auf dieser Website nimmt Ihnen die Einordnung in fünf Minuten ab, inklusive der Frage nach Großgeräten und Telematikinfrastruktur.
Quellen
Dieser Beitrag gibt den Stand vom 16.09.2026 wieder und ersetzt keine rechtliche Beratung. Maßgeblich ist immer die jeweils geltende Fassung der Richtlinie.
Der Selbstcheck zeigt in fünf Minuten, welche Anlagen für Ihre Praxis gelten und wo es offene Punkte gibt. Kostenlos und ohne Verpflichtung.