Technische und organisatorische Maßnahmen
Diese Übersicht beschreibt die technischen und organisatorischen Maßnahmen (TOMs) nach Art. 32 DSGVO, mit denen lucar die Daten der Praxen und ihrer Patient:innen schützt. Sie ist Bestandteil des Auftragsverarbeitungsvertrags zwischen lucar und der jeweiligen Praxis und wird bei wesentlichen Änderungen fortgeschrieben.
Vertraulichkeit
Art. 32 Abs. 1 lit. b DSGVO
- Mandantentrennung: jeder Datenzugriff ist serverseitig auf die jeweilige Praxis beschränkt (praxisbezogenes Scoping aller Datenbankabfragen).
- Rollenbasierte Zugriffskontrolle innerhalb der Praxis (Admin, Therapeut:in, Empfang) inkl. Behandler- und Raum-Scoping.
- Verschlüsselung sensibler Patientendaten auf Feldebene (AES-256-GCM) ergänzt um Blind-Indexe (HMAC-SHA256), sodass Suche und Dublettenprüfung ohne Klartext möglich sind.
- Transportverschlüsselung: HTTPS/TLS für sämtliche Verbindungen (Zertifikate mit automatischer Erneuerung).
- Passwörter werden ausschließlich bcrypt-gehasht gespeichert; Anmeldeversuche sind rate-limitiert.
- Pseudonymisierung vor KI-Verarbeitung: an externe KI-Dienste gehen statt Klarnamen und Geburtsdatum nur Initialen und ein Altersband.
- Serverzugriff nur über SSH-Schlüssel; getrennte Benutzerkonten für Deployment (ohne Root-Rechte) und Systemverwaltung; administrative Zugriffe werden protokolliert.
- Berechtigungskonzept: Rechte werden regelmäßig überprüft; beim Ausscheiden von Benutzern werden Zugänge unverzüglich entzogen (Archivierung entzieht Login und Zugriffe sofort).
Integrität
Art. 32 Abs. 1 lit. b DSGVO
- Audit-Log: Zugriffe auf Patientendaten werden mit Aktion, Datensatz, IP-Adresse und Zeitpunkt protokolliert; die Protokolle sind gegen nachträgliche Veränderung geschützt.
- Durchgängige serverseitige Eingabevalidierung (Schema-Validierung) auf allen API-Endpunkten.
- Konsistenz-Guards für Abrechnungsdaten (u.a. Schutz vor Doppelabrechnung, idempotente Finanzbuch-Synchronisation).
- Patchmanagement: Sicherheitsupdates des Betriebssystems werden automatisiert zeitnah eingespielt; Sicherheitsupdates der eingesetzten Software-Abhängigkeiten werden regelmäßig geprüft und eingespielt.
Verfügbarkeit und Belastbarkeit
Art. 32 Abs. 1 lit. b und c DSGVO
- Tägliche automatisierte Datenbank-Backups mit rotierender Aufbewahrung (30 Generationen) und dokumentierter Wiederherstellungsprozedur; zusätzliche manuelle Sicherung vor jedem Deployment mit Datenbankmigration.
- Backups werden zusätzlich an einem logisch getrennten Speicherort aufbewahrt.
- Die Wiederherstellung der Backups wird regelmäßig stichprobenartig getestet und dokumentiert.
- System- und Sicherheitsmonitoring mit Alarmierung bei kritischen Ereignissen.
- Containerisierter Betrieb mit Health-Checks; Datenbankmigrationen laufen als vorgelagerter Schritt, die Anwendung startet erst nach erfolgreicher Migration.
Löschung und Aufbewahrung
Art. 5 Abs. 1 lit. e, Art. 17 DSGVO
- Automatisierter Aufbewahrungslauf: patientenbezogene Daten werden nach Ablauf der vom Verantwortlichen festgelegten Aufbewahrungsfrist anonymisiert; die Anonymisierung erfolgt irreversibel.
- Archivierungs- statt Hard-Delete-Konzept für abrechnungsrelevante Daten, damit Belegketten intakt bleiben.
- Nach Vertragsende werden personenbezogene Daten nach Ablauf der Exportfrist (30 Tage) gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
Incident Response
Art. 32, 33, 34 DSGVO
- Sicherheitsvorfälle werden dokumentiert und nach einem definierten Incident-Response-Prozess bearbeitet; betroffene Verantwortliche werden gemäß Auftragsverarbeitungsvertrag unverzüglich informiert.
Verfahren zur regelmäßigen Überprüfung
Art. 32 Abs. 1 lit. d DSGVO
- Automatisierte End-to-End-Testsuite (inkl. expliziter Mandantentrennungs-Tests), die vor Releases läuft.
- Eval-Harness für die KI-gestützte Anamnese (76 kuratierte medizinische Fälle, ~1.500 Prüfungen) zur Erkennung von Qualitäts- und Sicherheitsregressionen bei Modellwechseln.
- Kuratierte Red-Flag-Wissensbasis mit Quellenpflicht pro Regel und automatisierter Abdeckungsprüfung.
Auftragskontrolle
Art. 28 DSGVO
- Einsatz von Unterauftragsverarbeitern nur mit Auftragsverarbeitungsvertrag bzw. EU-Standardvertragsklauseln — vollständige Liste mit Zweck und Verarbeitungsort unter lucar.app/subprocessors.
Version 1.1 — Letzte Änderung: 06.07.2026