---

Hintergrund

Mit DIABASS lassen sich zwar die meisten Messgeräte bzw. Insulinpumpen direkt per Kabel einlesen.
Allerdings gibt es bestimmte Systeme, bei denen der Anbieter eine datensparsame Datenübertragung mit DIABASS nicht unterstützt und auch keine inoffizielle/unautorisierte Anbindung möglich ist.
In solchen Fällen ist man faktisch gezwungen, die vom Anbieter vorgegebene Cloud-Lösung zu nutzen.

Dies bringt für das Diabetes-Team unnötigen Aufwand mit sich. Das Einloggen in die Clouds ist mit nicht unerheblichem Zeitaufwand verbunden, nicht selten ist eine zeitraubende 2-Faktor-Authentifizierung und/oder "Captcha"-Bestätigung erforderlich.
Eine schlechte bzw. gestörte Internetverbindung führt meist zu Verbindungsabbrüchen bzw. sehr langsamem Bildschirmaufbau. Auch das Hochladen der Gerätedaten ist oft sehr fehleranfällig - und nicht immer erhält man schnelle und kompetentene Hilfe bei technischen Problemen.
Dazu müssen auch die juristischen Pflichten und Risiken bedacht werden, die grundsätzlich mit dem Einsatz einer Cloud verbunden sind - vor allem und erst recht, wenn dabei besonders geschützte Gesundheitsdaten verarbeitet werden.

Die Lösung: lassen Sie sich vom Patienten die Daten doch einfach schicken !

---

DIABASS SecureSend - so einfach funktioniert es

Nachstehend finden Sie kurze Videos, die den Ablauf zeigen:

---

Juristische Aspekte

Die mit rtCGM und Insulinpumpen erhobenen Daten sind für eine effektive Diabetes-Therapie unabdingbar. Das Diabetes-Team muss diese Daten auch entsprechend der gesetzlichen Bestimmungen dokumentieren und aufbewahren.
Manche Anbieter nutzen jedoch ihre Marktstellung aus, um Patienten bzw. Ärzte zu "erpressen":
Das Auslesen der Geräte, d.h. die Nutzung der Daten zum Zwecke der Behandlung des Patienten, wird nur ermöglicht, wenn die Werte zuvor in eine vom Anbieter vorgegebene Cloud übermittelt werden und die kommerzielle (Mit-)Nutzung dieser Gesundheitsdaten hingenommen wird.
Eine datensparsamere Alternative, d.h. eine Möglichkeit zur Nutzung der Daten ohne Zugriff Dritter, wird nicht angeboten, obwohl dies zwingend gesetzlich vorgeschrieben ist (vgl. Art. 5 Abs. 1 Nr 1 lit c) DS-GVO, Art 25 DS-GVO, bzw. § 91 Abs. 6 SGB V i.V.m. § 3 Abs. 6 RL-MVV).

Ärzte bzw. Kliniken werden durch den faktischen Zwang zur Cloud-Nutzung hohen Risiken ausgesetzt, denn die Weitergabe von der Schweigepflicht geschützter Daten zu kommerziellen Zwecken Dritter ist für die Behandlung nicht erforderlich.
Als Rechtsgrundlage für eine Datenweitergabe käme daher allenfalls eine Einwilligung der Patienten in Betracht. Eine wirksame Einwilligung muss jedoch freiwillig und selbstbestimmt erteilt werden.
Diese Voraussetzungen dürften jedoch selten vorliegen, da der Patient insoweit keine echte Wahl hat:
Wenn er mit der Übermittlung seiner Daten in die Cloud nicht einverstanden ist, dann können diese Daten auch nicht zur Behandlung genutzt werden und er riskiert gesundheitliche Nachteile.

Hinzu kommen die laufenden datenschutzrechtlichen Organisationspflichten, die für Arzt/Klinik erheblichen Aufwand und Kosten verursachen.
So wird die Nutzung einer Cloud durch Ärzte von den Datenschutzbehörden als besonderes risikobehaftete Datenverarbeitung angesehen und als Regelbeispiel für die Fälle angeführt, bei denen eine Datenschutzfolgeabschätzung gem. Art. 35 DS-GVO zwingend erfolgen muss.

Anders als mitunter aus industrienahen Kreisen behauptet wird, stellt die Nutzung einer Diabetes-Cloud ganz eindeutig eine relevante Datenverarbeitung im Sinne des Art. 4 Nr. 2 DS-GVO dar.
Dies gilt auch dann, wenn der Patient seine Daten selbst in die Cloud hochlädt: bereits das Einloggen des Diabetes-Teams in die Cloud in Verbindung mit der dortigen Auswahl des Patienten erzeugt relevante Gesundheitsdaten gem. Art. 4 Nr. 15 DS-GVO, denn daraus lässt sich ableiten, wann, wie oft und ggf. durch wen eine medizinische Sichtung der Daten erfolgte.
Auch die Nutzung der von der Cloud bereitgestellten Auswertungen (die Daten müssen zur Anzeige auf dem Bildschirm ja aus der Cloud auf den PC des Arztes übertragen werden),das Drucken oder das Herunterladen von PDF-Berichten sind selbstredend Datenverarbeitungen im Sinne des Gesetzes - dabei spielt es keine Rolle, ob diese Daten zuvor vom Arzt oder Patient in die Cloud eingestellt wurden.
Ein ledigliches "memorieren", d.h. keine rechtlich relevante Datenverarbeitung, wäre allenfalls dann anzunehmen, wenn das Diabetes-Team über keinen eigenen Cloud-Account verfügt und sich die in der Cloud gespeicherten Werte auf dem Display des vom Patienten mitgebrachten PC/Smartphone nur passiv anschauen würde. Ein solches Szenario dürfte aber eher realitätsfern sein.

Ein weiterer Aspekt:
Nur bei einer lokalen Speicherung der Daten ist tatsächlich gewährleistet, dass Praxis/Klinik dauerhaft auf die Daten zugreifen und auch nicht vom Zugriff ausgesperrt werden können. Die sichere Möglichkeit zum dauerhaften und ungehinderten Zugriff auf die Daten ist nicht nur aufgrund der gesetzlichen Dokumentations- und Aufbewahrungspflichten unabdingbar, sondern kann insbesondere auch bei einem etwaigen Haftungs- oder Regress-Szenario von erheblicher Bedeutung sein.

Unter nachstehenden Links finden Sie tiefergehende Informationen zu diesem Thema:

• Positionspapier der deutschen Datenschutzbehörden zu cloudbasierten Gesundheitsanwendungen, die keine DiGA sind
  (Hinweis: Der Inhalt betrifft alle derzeitigen Diabetes-Clouds, da diese keine gesetzlich geregelten DiGAs sind)
• Liste der deutschen Datenschutzbehörden, wann zwingend eine Datenschutzfolgeabschätzung gem. Art. 35 DS-GVO durchzuführen ist
  Hinweis: für Praxen/Kliniken relevant ist inbesondere die dortige Nummer 16
• Anforderungen an eine wirksame Einwilligung
  Offizielles Kurzpapier 20 der deutschen Datenschutzbehörden
• Aufbewahrung von Patientenunterlagen - Pflichten und Fristen
  Merkblatt der Landesärztekammer Hessen
• Übersicht zur datenschutzrechtlichen Problematik von Diabetes-Clouds
  Juristischer Fachbeitrag, erschienen in: Diabetes-Forum, 2021; 33 (7/8) Seite 29-32
• Datenschutzrechtlichen Pflichten beim Einsatz von Diabetes-Datenmanagementlösungen
  Informationen für Verantwortlliche (=Praxisinhaber bzw. Klinikleitung)

---

Wie erfolgt die Datenübermittlung bei DIABASS SecureSend?

Da es in Praxen/Kliniken jeweils unterschiedliche technische Anforderungen bzw. IT-Sicherheitsvorgaben gibt, bietet DIABASS SecureSend unterschiedliche Alternativen zur Datenübermittlung an.
Das Diabetes-Team (Empfänger) kann vorgeben, wie die Daten übermittelt werden sollen:

Automatische Datenabholung über den DIABASS-Server Die verschlüsselten Daten werden vom Patienten auf einen von mediaspects bereitgestellten Internet-Server hochgeladen, von dort werden die Daten dann automatisch durch DIABASS abgerufen, lokal entschlüsselt und in den Patientenbestand integriert. Vorteil: Es bedarf keiner weiteren Einrichtung, zum Datenabruf muss lediglich der http(s)-Zugriff auf unsere Server zugelassen sein (Proxy können verwendet werden). Nachteil: Es wird ein Auftragsverarbeitungsvertrag (AVV) benötigt, da auch verschlüsselte Daten der DS-GVO unterliegen. Wir stellen hierzu kostenlos einen AVV zur Verfügung.

oder

Zusendung per eMail Die verschlüsselten Daten werden vom Patienten per e-Mail versendet. Der Patient entscheidet dabei, ob er die verschlüsselten Daten über sein eigenes eMail-Programm versenden oder ob er den von mediaspects hierzu bereitgestellten Internet-Server zum Mailversand nutzen will. Bei letzterer Alternative lädt der Patient die bereits verschlüsselten Daten auf den Server, die Daten werden von dort dann mit neutraler Absenderadresse per eMail an den Empfänger geschickt. In beiden Fällen erhält der Empfänger (=Arzt/Klinik) eine eMail mit den verschlüsselten Daten. Der Empfänger kann dabei festlegen, ob die verschlüsselten Daten als Dateianhang oder base64-encoded innerhalb der eMail übermittelt werden. Die Datenübernahme in DIABASS kann dann entweder automatisch oder semi-automatisch erfolgen: automatisch DIABASS holt die eMails per POP3/IMAP ab, die Daten werden automatisch entschlüsselt und eingepflegt semi-automatisch Die Mails werden ganz normal über das Standard-Email-Programm abgerufen. Zur Datenübernahme klickt der Empfänger auf den Datei-Anhang oder speichert die eMail im Import-Ordner von DIABASS, wo sie dann automatisch abgearbeitet wird. Vorteile: Kein Auftragsverarbeitungsvertrag erforderlich, da nicht der Arzt, sondern der Patient bzgl. des Datenversands über das Mittel der Datenverarbeitung entscheidet (=entweder über seinen eigenen eMail-Provider oder er nutzt zum eMail-Versand den von mediaspects bereitgestellten Server). Es muss kein http(s)-Port geöffnet werden Nachteile: Es sollte ein separates eMail-Postfach eingerichtet werden. Die Mails müssen etwaige SPAM-Filter bzw. Anhang-Blocker passieren. Im Falle des automatischen e_Mail-Abrufs müssen die entsprechenden Einstellungen in DIABASS vorgenommen werden. Falls der Patient die Daten über sein eMail-Programm verschickt, ist er zumindest als Absender der eMail mit den verschlüsselten Daten erkennbar

---

Anleitung: So wird der Datenempfang eingerichtet

Der Datenempfang mit DIABASS SecureSend ist unkompliziert und kann in nur wenigen Minuten eingerichtet werden.

Bitte gehen Sie dazu wie nachstehend beschrieben vor.
Öffnen Sie die Konfigurationseinstellungen von DIABASS SecureSend über die Schaltfläche EINSTELLUNGEN in der Patientenverwaltung.

Nach Bestätigung der Lizenzbedingungen (nur einmalig erforderlich) erscheint das Login-Fenster. Geben Sie dort bitte die Zugangsdaten ein, die Sie mit Ihrer Lizenz erhalten haben. Falls Sie Zugangsdaten nicht mehr finden, dann können Sie diese per email an securesend@mediaspects.de nochmals anfordern.

Nach Bestätigung mit OK wird eine Internetverbindung zum Internet-Server von mediaspects aufgebaut, auf dem die Administrationseinstellungen hinterlegt werden. Es werden dabei keine patientenbezogenen Daten übermittelt !


Nun können Sie die gewünschten Einstellungen festlegen. Bei Mausberührung der blauen Info-Symbole wird eine Erklärung zum jeweiligen Eingabefeld angezeigt.


Bitte tragen Sie unter (1) die Daten Ihrer Praxis bzw. Klinik ein; unter (2) können Sie auch ein Logo auswählen. Diese Angaben werden dem Patienten in der App bzw. dem Uploader angezeigt. Unter (3) können Sie eine Nachricht hinterlegen, die den Patienten vor dem Datenversand angezeigt wird (z.B. Hinweise auf Praxisurlaub, Abwesenheiten etc.).

Im Einstellungsbereich unter (4) können Sie den Datenempfang konfigurieren.

Option	Beschreibung
Datenversand zulassen	Wenn diese Option deaktiviert wird (zB bei Praxisurlaub), dann können Patient keine Daten mehr senden und erhalten eine entsprechende Info in der App.
Daten per E-Mail empfangen	Wenn diese Option aktiviert ist, dann werden die Daten nicht automatisch von unserem Server abgerufen, sondern als verschlüsselte Datenanhänge per eMail an die angegebene Adresse übermittelt. Die Vorgehensweise zur Übernahme der Daten in DIABASS ist nachfolgend in einem separaten Abschnitt beschrieben.
Daten einbetten (keine Datenanhänge empfangen)	Wenn diese Option aktiviert ist, dann werden die Daten nicht als Anhang einer eMail, sondern verschlüsselt im Text der Mail gesendet. Dies ist erforderlich, wenn die Sicherheitsrichtlinien Ihrer Einrichtung die Anhänge von eMails blockieren. Wichtig:Diese Option ist nur verfügbar bzw. relevant, wenn „Daten per E-Mail empfangen“ eingeschaltet ist.
Erhaltene Daten direkt übernehmen	Wenn diese Option aktiviert ist, dann werden die Daten automatisch beim jeweiligen Patienten gespeichert. Ansonsten werden die Werte unter NEU EINGEGANGENE DATEN zur Übernahme angeboten und können ggf. zuvor noch korrigiert werden (zB Korrektur Sommer/Winterzeit) . Wichtig:Diese Option ist nur verfügbar bzw. relevant, wenn „Daten per E-Mail empfangen“ eingeschaltet ist.
Benachrichtigen	Wenn diese Option aktiviert ist, dann erhalten Sie eine Benachrichtigung an die angegebene E-Mail-Adresse, sobald ein Patient Daten versendet hat

Mit Bestätigung durch OK werden die Einstellungen an den zentralen Server übermittelt.

DIABASS SecureSend ist nun eingerichtet und Patienten können Daten schicken.

Tipp: Über die Karteikarte „Protokoll“ können Sie nun sehen, wann und von wem Daten geschickt wurden bzw. ob Fehler aufgetreten sind.

Wenn die Option Daten per E-Mail empfangen eingeschaltet ist, dann werden die verschlüsselten Daten an die von Ihnen angegebene eMail-Adresse übermittelt.
Dieser Abschnitt beschreibt die verschiedenen Möglichkeiten, wie solche per e-Mail empfangenen Daten nach DIABASS übernommen werden können.

Wählen Sie bitte eine der nachstehend beschriebenen Möglichkeiten:

1. Semi-Automatischer Import: Abruf (per Doppelklick):
   Die e-Mail mit den verschlüsselten Daten werden über den regulären e-Mail-Client empfangen. bei dieser Variante sind keine weiteren Einstellungen erforderlich.
   
   Die Vorgehensweise zur Datenübernahme hängt davon ab, ob vorstehend die Option Daten einbetten (keine Datenanhänge empfangen) gewählt ist.
   
   
   • Daten einbetten ist nicht ausgewählt
     Die verschlüsselten Daten sind im Anhang der e-mail enthalten. Zur Datenübernahme klicken Sie auf den Anhang der enthaltenen Mail (dieser hat die Endung „.diabass“) und wählen dann ÖFFNEN.
     
     
     Die Daten werden im Anschluss automatisch entschlüsselt und in DIABASS gespeichert.
     
     
     
   
   
   • Daten einbetten ist ausgewählt
     Die verschlüsselten Daten sind direkt in der e-mail enthalten.
     Wählen Sie im e-Mail-Programm den Befehl DATEI-SPEICHERN und speichern die eMail im Import-Ordner von DIABASS, dieser lautet standardmäßig c:\diabetes\diabass\import\.
     
     
     
     DIABASS prüft in regelmäßigen Abständen diesen Ordner und liest die dort gespeicherten Mails mit den verschlüsselten Daten automatisch ein.
     


ODER


2. Vollautomatischer Import (Abruf per POP3/IMAP):
   Die Mails werden von DIABASS direkt aus dem Postfach abgeholt (per POP3 bzw. IMAP). Es werden dazu die Zugangsdaten des Mailservers benötigt; die Firewall-Einstellungen müssen den Zugriff auf den Mailserver erlauben.
   
   So gehen Sie vor:
   
   
   
   Klicken Sie in DIABASS auf die Schaltfläche EINSTELLUNGEN (1),dort SYSTEM/DATENBANK (2), dort dann EINSTELLUNGEN (3).
   Es öffnen sich nun die Systemeinstellungen, wählen Sie dort die Karteikarte Telemedizin(4) und dann email(5).
   
   Setzen Sie das Häkchen bei Aktiviert (6). Anschließend werden die weiteren Optionen sichtbar.
   Geben Sie nun die e-Mail Adresse ein, an welche die verschlüsselten Daten vom Patient geschickt werden sollen.
   In den übrigen Feldern geben Sie die Zugangsdaten zu Ihrem Mailserver an; diese Daten erhalten Sie von Ihrem Provider.
   
   Zur Verbindungssicherheit empfehlen wir die Auswahl von „TLS/SSL“, als Port ist dann üblicherweise 995 einzugeben (abhängig vom Mailserver).
   
   Klicken Sie dann auf Verbindung testen und prüfen Sie anhand der Meldung, ob die Verbindung zum Mailserver erfolgreich war.
   Ist dies der Fall, dann klicken Sie auf Testmail senden – es wird dann eine Testmail an die angegebene E-Mail-Adresse geschickt.
   Wenn die Mail in diesem Postfach angekommen ist, klicken Sie auf OK, um die Einstellungen zu speichern.
   Ab dem nächsten Programmstart wird DIABASS in regelmäßigen Abständen dieses Postfach abrufen und eMails mit verschlüsselten Daten automatisch einlesen.