Sicherheit bei AgendaPlus
Wie wir Ihre Praxis- und Patientendaten schützen — die Grundsätze im Überblick.
Zuletzt aktualisiert: 28. September 2026
Standort
Die Plattform wird in der EU (Deutschland) betrieben, die verschlüsselten Sicherungen liegen in Deutschland und in der Schweiz. Alle Dienstleister, die Daten in unserem Auftrag bearbeiten, nennt der Auftragsbearbeitungsvertrag (/dpa, Anhang B).
Verschlüsselung
Alle Verbindungen zur Plattform sind verschlüsselt. Patientendaten wie Namen, Telefonnummern, Notizen und Nachrichteninhalte werden zusätzlich verschlüsselt gespeichert.
Anmeldung und Zugriff
Für Konten mit Administratorrechten ist ein zweiter Faktor verpflichtend; die Praxis kann ihn für alle Konten ihres Personals vorschreiben. Als zweiter Faktor dient eine Authenticator-App oder ein Passkey (Fingerabdruck, Gesichtserkennung oder Windows Hello). Jede Person sieht nur, was ihre Rolle erlaubt.
Trennung der Praxen
Die Daten jeder Praxis sind von denen anderer Praxen getrennt.
Protokollierung
Sicherheitsrelevante Aktionen werden protokolliert und mindestens 12 Monate aufbewahrt (Art. 4 DSV).
Datensicherung
Die Daten werden verschlüsselt gesichert.
Datensparsamkeit
Wir bearbeiten nur die Daten, die eine Funktion braucht.
Sicherheitsvorfälle
Betrifft eine Verletzung der Datensicherheit Daten einer Praxis, informieren wir die Praxis so rasch als möglich, spätestens innert 48 Stunden nach Kenntnis (AVV § 9), und unterstützen sie bei ihren Pflichten gegenüber dem EDÖB und den betroffenen Personen.
Vertragsende
Nach Vertragsende werden die Personendaten der Praxis innert 30 Tagen gelöscht, vorbehaltlich der im Auftragsbearbeitungsvertrag genannten Aufbewahrungsfristen (/dpa, § 11).
Weitere Informationen
Fragen zu unseren Sicherheitsmassnahmen beantworten wir Praxen und ihren IT-Dienstleistern gerne: . Dort erhalten sie auf Anfrage auch eine ausführliche Beschreibung. Verbindlich ist der Auftragsbearbeitungsvertrag (/dpa).
Meldung von Sicherheitslücken (Responsible Disclosure)
Haben Sie eine mögliche Schwachstelle gefunden, melden Sie sie bitte vertraulich an — nicht öffentlich. Greifen Sie dabei nicht auf fremde Daten zu, verändern Sie keine Daten und führen Sie keine automatisierten Scans durch, die echte Patientendaten betreffen könnten. Die Kontaktangaben für Meldungen stehen maschinenlesbar unter /.well-known/security.txt (RFC 9116).
Meldung einer Sicherheitslücke:
Fragen: