Patientendaten bleiben in der Praxis, Ihr Konto bleibt in Ihrer Hand
MediPulse liest zwei Quellen: die Abrechnung aus Ihrem Praxisverwaltungssystem und die Umsätze Ihrer Praxiskonten. Aus der Praxis kommt eine praxisinterne Nummer und die Zeile, die daran hängt — kein Name, kein Geburtsdatum, keine Adresse. Vom Konto kommen ausschließlich Angaben über bereits erfolgte Buchungen; verfügen können wir darüber nicht. Ein Rechtsgutachten bestätigt, dass die Praxisdaten aus unserer Sicht anonym sind.
Nur eine Nummer
Vom Patienten wird ausschließlich die praxisinterne ID übertragen. Sie ist nur innerhalb Ihres Praxisverwaltungssystems auflösbar.
Nur lesend
Der Connector auf Ihrem Praxisserver liest aus der Datenbank. Er schreibt nicht zurück und verändert nichts an Ihren Daten.
Keine Verfügung
Vom Konto erhalten wir nur Informationen über Buchungen. Zugangsdaten liegen nicht bei uns, und eine Zahlung lässt sich über MediPulse nicht auslösen.
Nur in Deutschland
Speicherung und Verarbeitung ausschließlich in deutschen Rechenzentren. Keine Drittlandtransfers, keine Support-Zugriffe von außerhalb.
- DSGVO-konform
- Server ausschließlich in Deutschland
- Rechenzentren ISO 27001 zertifiziert
- Rechenzentren BSI C5 attestiert
- Kontoanbindung über finAPI, BaFin-lizenziert
Der Aufbau auf einen Blick
Zwei Quellen, ein Ziel — und in beiden Fällen nur eine Leserichtung.
In Ihrer Praxis
- Praxisserver mit Praxisverwaltungssystem
- MediPulse-Connector: liest, schreibt nicht
- Pseudonymisierung vor dem Versand
Ihre Bankkonten
- PSD2-Schnittstelle Ihrer Bank, über finAPI
- Anmeldung direkt bei der Bank
- Keine Zugangsdaten bei MediPulse
MediPulse
- Rechenzentren in Deutschland
- Gespeichert mit AES-256
- Keine Drittlandtransfers
Wie die Daten fließen
- 1
Der Connector liest
Auf Ihrem Praxisserver läuft der MediPulse-Connector. Er greift ausschließlich lesend auf die Datenbank Ihres Praxisverwaltungssystems zu und schreibt nichts zurück. Installiert wird er von Ihrem Administrator.
- 2
Die Daten werden pseudonymisiert
Noch auf Ihrem Server fällt alles weg, was einen Patienten benennt. Übrig bleibt eine praxisinterne ID und die Abrechnungszeile, die daran hängt.
- 3
Die Übertragung
Der Export geht über eine authentifizierte, SSL-verschlüsselte Verbindung an MediPulse. Es verlässt kein personenbezogenes Patientendatum Ihr Praxisnetzwerk.
- 4
Die Auswertung
In der MediPulse-Cloud entstehen daraus Umsatz-, Kosten- und Liquiditätskennzahlen. Gespeichert wird AES-256-verschlüsselt, ausschließlich in Rechenzentren in Deutschland.
Was übertragen wird — und was nicht
Die vollständige Feldliste, kein Auszug. Was hier nicht steht, wird nicht exportiert.
Wird übertragen
- Standort
- Praxisinterne ID, Name der Praxis, BSNR
- Leistungserbringer
- Praxisinterne ID, Titel, Vor- und Nachname, LANR
- Patient
- Ausschließlich die praxisinterne ID
- Patientenfall
- Abrechnungsart, Rechnungsnummer, Start-, End- und Rechnungsdatum
- Leistung
- Datum, Ziffer, Abrechnungsart, Punktwerte, Cents, Faktoren, Tarif, Materialkosten, Menge, Prozent
Namen von Ärztinnen und Ärzten werden übertragen: Ohne sie ließe sich keine arztbezogene Auswertung erstellen. Rechtsgrundlage dafür ist Art. 88 DSGVO in Verbindung mit § 26 Abs. 1 S. 1 BDSG.
Bleibt in der Praxis
- Name und Vorname
- Geburtsdatum
- Adresse
- Telefonnummer und E-Mail-Adresse
- Versichertennummer
- Krankenkasse
- Die Tabelle, die eine ID einem Patienten zuordnet
Warum sich die Daten nicht zurückverfolgen lassen
Kein Schlüssel wird übertragen
Der Export zieht ausschließlich die praxisinterne ID. Die Tabelle, die diese ID einem Patienten zuordnet, bleibt im Praxisverwaltungssystem.
Kein Schlüssel entsteht bei uns
Weil keine identifizierenden Merkmale ankommen, gibt es keine Grundlage, aus der sich nachträglich eine Zuordnung bilden ließe.
Die ID trägt keine Bedeutung
Sie ist praxisspezifisch und außerhalb Ihres Systems nicht referenzierbar. Ohne diesen Kontext bleibt sie nicht auflösbar.
Die Re-Identifizierung ist damit nicht bloß untersagt, sondern technisch ausgeschlossen: Die dafür nötigen Daten verlassen Ihr Praxisnetzwerk nicht.
Ein Rechtsgutachten, nicht unsere eigene Einschätzung
Die datenschutzrechtliche Zulässigkeit von MediPulse ist von KWM LAW PartG mbB geprüft worden, einer auf Medizinrecht spezialisierten Kanzlei. Das Gutachten vom 14. Oktober 2025 (Az. 10086/25) kommt zu zwei Ergebnissen.
Zu den Patientendaten
Die Pseudonymisierung ist nachweislich wirksam, eine Re-Identifikation faktisch ausgeschlossen. Entscheidend ist, dass MediPulse nicht über den Schlüssel verfügt. Das Gutachten stützt sich dabei auf das Urteil des Europäischen Gerichtshofs vom 4. September 2025 (Az. C-413/23 P), nach dem pseudonymisierte Daten nicht in jedem Fall personenbezogen sind, sondern aus der Sicht des jeweiligen Verarbeiters zu beurteilen sind. Ergebnis: Die Daten sind aus Sicht von MediPulse anonym.
Zu den Beschäftigtendaten
Hier greift die DSGVO, und auch hier bestehen laut Gutachten keine Bedenken: MediPulse bereitet bereits vorhandene Leistungsdaten auf und erzeugt daraus keine neuen Datensätze. Insbesondere werden keine Mitarbeiterprofile erstellt, was nach Art. 22 Abs. 1 DSGVO grundsätzlich unzulässig wäre. Die Verarbeitung bleibt auf das beschränkt, was für den Zweck erforderlich ist.
Ihr Konto: Wir sehen Buchungen, mehr nicht
Die Kontoanbindung läuft über finAPI, nicht über MediPulse. finAPI ist bei der BaFin als Kontoinformationsdienst registriert und als Zahlungsinstitut nach dem Zahlungsdiensteaufsichtsgesetz beaufsichtigt. Verbunden werden Ihre Konten über die PSD2-Schnittstelle Ihrer Bank.
Bei uns liegen keine Zugangsdaten
Über die PSD2-Schnittstelle authentifizieren Sie sich direkt bei Ihrer Bank — mit Ihrem gewohnten Verfahren, TAN inklusive. Ihre Zugangsdaten zum Online-Banking erreichen MediPulse nie und werden bei uns nicht hinterlegt. Es gibt sie hier schlicht nicht.
Über MediPulse ist keine Verfügung möglich
Genutzt wird ausschließlich der Kontoinformationsdienst nach § 1 Abs. 34 ZAG — ein Dienst, der Kontoinformationen abruft, mehr nicht. Eine Zahlung auszulösen wäre ein Zahlungsauslösedienst nach § 1 Abs. 33 ZAG. Den nutzen wir nicht. Über MediPulse lässt sich deshalb keine Überweisung anstoßen, keine Lastschrift einziehen und kein Dauerauftrag ändern.
Es kommen nur Informationen an
Was Ihre Bank übermittelt, sind Angaben über bereits erfolgte Ein- und Ausgänge — eine Leserichtung, kein Kanal zurück. Aus diesen Angaben entsteht die Gegenprobe zur Abrechnung: Was ist fakturiert, was ist tatsächlich eingegangen, wie steht die Liquidität heute.
Sie behalten die Kontrolle
Sie entscheiden, welche Konten angebunden werden, und richten die Verbindung selbst ein. Löschen können Sie sie jederzeit selbst — in MediPulse und zusätzlich im Online-Banking Ihrer Bank, die jede erteilte Zustimmung führt. Die Zustimmung ist ohnehin befristet und muss regelmäßig erneuert werden.
Was aus einer Buchung verarbeitet wird
- Buchungsdatum
- Betrag
- IBAN des Kontos
- Name des Zahlungspartners
- IBAN des Zahlungspartners
- Verwendungszweck
Ein Missbrauch im Sinne einer Zahlung ist damit nicht eine Frage von Vertrauen oder Berechtigungen, sondern technisch ausgeschlossen: Der genutzte Dienst kennt keine Funktion, die Geld bewegt, und die Zugangsdaten, mit denen man sie umgehen könnte, liegen nicht bei uns.
Wofür Ihre Daten genutzt werden — und wofür nicht
Vergleichswerte nur als Gruppe
Ihre Zahlen fließen in Vergleichswerte ein, aber ausschließlich aggregiert über eine Gruppe von Praxen. Eine einzelne Praxis ist darin nicht nachverfolgbar, und keine andere Praxis sieht Ihre Werte. So steht es auch als Zweck in Annex 1 des Auftragsverarbeitungsvertrags.
Kein Zugriff ohne Ihre Zustimmung
Es gibt keinen Zugriff auf Ihre Daten bei MediPulse. Braucht der Support für einen Fehlerfall Einblick, geschieht das erst nach Ihrer Zustimmung. Die Zustimmung wird dokumentiert, der Zugriff protokolliert, und Sie können das Protokoll einsehen.
Kein Training von KI-Modellen
Ihre Daten werden nicht zum Training von KI-Modellen verwendet — weder für unsere eigenen noch für die von Dritten.
Keine Weitergabe an Dritte
Ihre Daten werden nicht verkauft, nicht vermietet und nicht zu Werbezwecken ausgewertet. Beteiligt sind nur die beiden Dienstleister, die den Betrieb und die Kontoanbindung möglich machen.
Wer in Ihrer Praxis was sieht
Nicht jede Rolle braucht jede Zahl. Der Zugriff ist abgestuft.
Praxisinhaber
Voller Zugriff auf alle Funktionen und Daten.
Arzt
Eingeschränkter Zugriff auf die arztbezogene Sicht.
Verwaltung
Zugriff auf die administrativen Funktionen.
Technische und organisatorische Maßnahmen
Verbindlich vereinbart als Annex 2 des Auftragsverarbeitungsvertrags, nicht als Absichtserklärung.
Zutrittskontrolle
Räume, in denen Daten verarbeitet werden, sind durch Schließsysteme, Zugangskarten und Überwachung auf autorisierte Personen beschränkt.
Zugangskontrolle
Individuelle Benutzerkennungen, strenge Passwortrichtlinien und Mehr-Faktor-Authentifizierung.
Zugriffskontrolle
Zugriffsrechte nach dem Need-to-Know-Prinzip, regelmäßig überprüft.
Trennungskontrolle
Daten unterschiedlicher Zwecke sind logisch und physisch getrennt, mit eigenen Berechtigungskonzepten.
Weitergabekontrolle
Übermittlung nur über gesicherte, verschlüsselte Verbindungen. Datenweitergaben werden protokolliert.
Eingabekontrolle
Erfassung, Änderung und Löschung werden revisionssicher protokolliert und regelmäßig geprüft.
Dazu die Pseudonymisierung nach Art. 32 Abs. 1 lit. a und Art. 25 Abs. 1 DSGVO sowie ein Verfahren zur regelmäßigen Überprüfung: interne Audits, Sicherheitsprüfungen und Penetrationstests. Unsere Server stehen in Rechenzentren, die nach ISO 27001 zertifiziert und nach dem BSI-C5-Kriterienkatalog attestiert sind; die Zertifikate legen wir Ihnen auf Anfrage vor. Die Schlüssel der Speicherverschlüsselung verwaltet MediPulse. Der Schlüssel, der über die Zuordnung zu einem Patienten entscheidet, liegt dagegen nicht bei uns — er bleibt in Ihrem Praxisverwaltungssystem.
Wen wir einsetzen — und woran er gebunden ist
Zwei Dienstleister sind an der Verarbeitung beteiligt: das Rechenzentrum in Deutschland, in dem unsere Server stehen, und finAPI für die Kontoanbindung. Beide sind Unterauftragsverarbeiter im Sinne des Art. 28 DSGVO, und der Auftragsverarbeitungsvertrag bindet sie eng.
- Jeder Unterauftragsverarbeiter wird schriftlich auf dieselben Pflichten verpflichtet, die wir Ihnen gegenüber tragen.
- Ihre Kontrollrechte gelten unmittelbar auch gegenüber ihm.
- Wir prüfen die Einhaltung mindestens einmal jährlich und dokumentieren das Ergebnis.
- Für ein Verschulden eines Unterauftragsverarbeiters haften wir wie für eigenes.
- Vor einem Wechsel informieren wir Sie rechtzeitig; Sie können widersprechen.
Wie lange wir Ihre Daten speichern
Aufbewahrung nur so lange, wie der Zweck es verlangt (Art. 5 Abs. 1 lit. e DSGVO). Konkret:
- Abrechnungs- und Leistungsdaten
- Für die Dauer des Vertrags. Die Zeitreihe ist hier der Zweck — ein Mehrjahresvergleich braucht die Vorjahre.
- Zahlungsverkehrsdaten der angebundenen Konten
- Für die Dauer des Vertrags.
- Nach Vertragsende
- Rückgabe oder vollständige, unwiderrufliche Löschung binnen 30 Tagen.
- Backups
- 30 Tage, danach überschrieben. Verschlüsselt und ebenfalls ausschließlich in Deutschland. Eine Löschung greift dort spätestens nach Ablauf dieser Frist.
- Protokolle und Telemetrie
- 90 Tage.
Häufiges Missverständnis: Die zehnjährige Aufbewahrungsfrist nach § 147 AO trifft Ihre Praxis als Verantwortliche, nicht MediPulse als Auftragsverarbeiter. Ihre steuerlich relevanten Aufzeichnungen bleiben im Praxisverwaltungssystem und in Ihrer Buchhaltung — dort, wo die Frist gilt.
Was vertraglich zugesichert ist
Vor der Anbindung schließen wir einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Er ist als Anlage 1 Bestandteil der Allgemeinen Geschäftsbedingungen und läuft so lange wie der Hauptvertrag. Das Wesentliche daraus steht hier, damit Sie es nicht erst im Dokument suchen müssen — die Ziffern in Klammern verweisen auf die Stelle dort.
Weisungsbindung
- MediPulse verarbeitet Ihre Daten ausschließlich in Ihrem Auftrag und nach Ihren Weisungen (2.1).
- Zwingt ein Gesetz zu einer anderen Verarbeitung, teilen wir Ihnen das vor der Verarbeitung mit — außer das Gesetz verbietet die Mitteilung (2.1).
- Sie können jederzeit weitere Weisungen zu Art, Umfang, Zweck und Mitteln erteilen; wesentliche Weisungen werden dokumentiert (2.3).
- Halten wir eine Weisung für rechtswidrig, weisen wir Sie darauf hin und dürfen die Ausführung mit 14 Tagen Ankündigung aussetzen, bis Sie sie bestätigen oder ändern (2.4).
Vertraulichkeit
- Jede Person bei MediPulse, die Ihre Daten verarbeitet, ist zur Vertraulichkeit verpflichtet (3.1).
- Diese Personen verarbeiten Ihre Daten nur auf Anweisung, nicht aus eigenem Anlass (3.2).
- Abgesichert wird das arbeitsrechtlich über Geheimhaltungsvereinbarungen (AGB Ziffer 19).
- Die Verpflichtung gilt auch für Kooperationspartner (AGB Ziffer 19).
Rechte Ihrer Patienten und Mitarbeitenden
- Wir unterstützen Sie mit technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen zu beantworten (6.1).
- Wendet sich eine betroffene Person direkt an uns, informieren wir Sie unverzüglich (6.2).
- Auf Anfrage geben wir Ihnen alle Informationen zur Verarbeitung heraus, die Sie zur Beantwortung brauchen und selbst nicht haben (6.2).
Meldepflichten
- Jede Verletzung des Schutzes Ihrer Daten melden wir unverzüglich, nachdem sie uns bekannt geworden ist (7.1).
- Die Meldung beschreibt die Art der Verletzung, Kategorien und ungefähre Zahl der Betroffenen und der Datensätze, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen (7.1).
- Müssen Sie Aufsichtsbehörde oder Betroffene nach Art. 33 und 34 DSGVO informieren, unterstützen wir Sie dabei (7.2).
- Auch bei einer Datenschutz-Folgenabschätzung und einer anschließenden Konsultation der Aufsichtsbehörde nach Art. 35 und 36 DSGVO unterstützen wir Sie (7.3).
Löschung und Rückgabe
- Nach Vertragsende oder jederzeit auf Ihr Verlangen geben wir alle Unterlagen, Daten und Datenträger zurück oder löschen sie vollständig und unwiderruflich (8).
- Einzige Ausnahme ist eine gesetzliche Aufbewahrungsfrist (8).
- Widerspricht ein Patient der Aufbewahrung, geben wir die Daten an Sie zurück (8).
- Die Verarbeitung endet mit der Kündigung des Hauptvertrags oder dieses Vertrags; im Zweifel gilt die Kündigung des einen als Kündigung des anderen (2.5).
Nachweis und Kontrolle
- Wir kontrollieren selbst regelmäßig, dass die Verarbeitung mit dem Vertrag, dem festgelegten Umfang und Ihren Weisungen übereinstimmt (9.1).
- Die Umsetzung dokumentieren wir und legen Ihnen die Nachweise auf Anfrage vor (9.2).
- Sie dürfen vor Beginn der Verarbeitung und danach regelmäßig prüfen — selbst oder durch einen Prüfer, den Sie beauftragen (9.2).
- Wir ermöglichen diese Prüfungen und tragen mit allen zumutbaren Maßnahmen dazu bei (9.2).
Art. 82 DSGVO
Die Haftung richtet sich nach Art. 82 DSGVO (10.1). Von ihr frei wird eine Partei nur, wenn sie nachweist, dass sie für den Umstand, durch den der Schaden entstanden ist, in keinerlei Hinsicht verantwortlich ist — bei einer Geldbuße entsprechend im Umfang der jeweiligen Verantwortung (10.2).
Was dabei bei Ihnen liegt
- Sichere Passwörter nutzen und Zugangsdaten nicht weitergeben (AGB Ziffer 6).
- Zugangsdaten vor dem Zugriff Dritter geschützt aufbewahren; für Handlungen Dritter mit Ihren Zugangsdaten sind Sie verantwortlich (AGB Ziffer 6).
- Einen vermuteten unbefugten Zugriff umgehend an uns melden — wir sperren Zugänge bei auffälligem Nutzungsverhalten (AGB Ziffer 6).
- Die Systemvoraussetzungen so pflegen, dass eine neue Version jederzeit bereitgestellt werden kann (AGB Ziffer 5).
Der Connector auf Ihrem Server
Installiert wird er von Ihrem Administrator, per Fernzugriff oder eigenständig unter unserer Anleitung. Updates laufen automatisch, sind signiert und werden vor der Installation auf Integrität geprüft; ein Rollback-Mechanismus ist vorhanden. Störungen melden Sie an support@medipulse.de; Servicezeiten und das Verfahren dafür stehen in Ziffer 9 und 10 der AGB.
Was der Connector im Netzwerk braucht
Nur ausgehend
Alle Verbindungen baut der Connector selbst auf, TLS-verschlüsselt. Ihre Firewall braucht keine eingehende Regel aus dem Internet — auch dann nicht, wenn MediPulse eine Aktualisierung anstößt.
Die Datenbank bleibt lokal
Der Connector läuft auf demselben Server wie die Datenbank Ihres Praxisverwaltungssystems und liest dort über die lokale Schnittstelle. Für die Datenbankverbindung ist keine Freischaltung nötig.
Abweichende Installationen
Liegt die Datenbank auf einem anderen Server oder weicht die Installation vom Standard des Herstellers ab, richtet unser Support die Verbindung individuell ein. Die vollständigen Netzwerk-Voraussetzungen bekommt Ihr IT-Dienstleister vor der Einrichtung schriftlich.
Die Dokumente selbst
Sie haben einen Datenschutzbeauftragten, der tiefer prüfen will? Das Rechtsgutachten und die vollständige Datenschutzdokumentation stellen wir auf Anfrage bereit.
Verantwortlich und erreichbar
Vertragspartner und Betreiber von MediPulse ist die Pulse Technologies GmbH, Augustenstraße 87, 80798 München. Fragen zum Datenschutz beantworten wir unter info@medipulse.de.
Häufig gestellte Fragen
Muss unsere Firewall eine eingehende Verbindung zulassen?
Nein. Der Connector baut alle Verbindungen selbst auf, TLS-verschlüsselt. Eine eingehende Freigabe aus dem Internet ist nicht erforderlich. Die Datenbank liest er lokal auf demselben Server, dafür braucht es ebenfalls keine Freischaltung.
Darf ich als Arzt einen externen Dienstleister überhaupt einbinden?
Bei MediPulse kommt kein Patientengeheimnis an: Übertragen wird ausschließlich die praxisinterne Kennung, und den Schlüssel dazu hat MediPulse nicht. Zusätzlich ist jede Person bei MediPulse, die Ihre Daten verarbeitet, arbeitsrechtlich zur Vertraulichkeit verpflichtet. Das Rechtsgutachten und die vollständige Datenschutzdokumentation stellen wir Ihrem Datenschutzbeauftragten auf Anfrage bereit.
Wie lange werden meine Daten gespeichert?
Abrechnungs-, Leistungs- und Zahlungsverkehrsdaten für die Dauer des Vertrags, weil der Mehrjahresvergleich die Vorjahre braucht. Nach Vertragsende erfolgt Rückgabe oder vollständige, unwiderrufliche Löschung binnen 30 Tagen. Backups werden 30 Tage aufbewahrt, Protokolle und Telemetrie 90 Tage.
Sehen andere Praxen meine Zahlen?
Nein. Ihre Zahlen fließen in Vergleichswerte ein, aber ausschließlich aggregiert über eine Gruppe von Praxen und ohne Rückführbarkeit auf eine einzelne Praxis. Keine andere Praxis sieht Ihre Werte.
Kann jemand bei MediPulse in meine Daten hineinsehen?
Nein. Es gibt keinen Zugriff auf Ihre Daten. Braucht der Support für einen Fehlerfall Einblick, geschieht das erst nach Ihrer Zustimmung.
Verlassen Patientendaten die Praxis, wenn MediPulse angebunden ist?
Nein. Übertragen wird ausschließlich eine praxisinterne ID zusammen mit der Abrechnungszeile. Name, Geburtsdatum, Adresse, Kontakt- und Versicherungsdaten bleiben im Praxisverwaltungssystem, ebenso die Tabelle, die eine ID einem Patienten zuordnet.
Kann MediPulse die Daten einzelnen Patienten wieder zuordnen?
Nein. MediPulse verfügt nicht über den Schlüssel: Die Zuordnungstabelle verlässt das Praxisnetzwerk nie, und es werden keine identifizierenden Merkmale übertragen, aus denen sich nachträglich eine Zuordnung bilden ließe.
Kann MediPulse Daten in meinem Praxisverwaltungssystem verändern?
Nein. Der MediPulse-Connector greift ausschließlich lesend auf die Datenbank des Praxisverwaltungssystems zu.
Wo werden die Daten gespeichert?
Ausschließlich in Rechenzentren in Deutschland, die nach ISO 27001 zertifiziert und nach dem BSI-C5-Kriterienkatalog attestiert sind. Es findet kein Transfer personenbezogener Daten in Drittländer außerhalb der EU und des EWR statt, und es gibt keine Support-Zugriffe aus Drittländern.
Wie ist die Bankanbindung abgesichert?
Über finAPI, einen von der BaFin lizenzierten und beaufsichtigten Kontoinformationsdienst, über die PSD2-Schnittstelle Ihrer Bank. Sie binden die Konten selbst an, entscheiden welche, und können die Verbindung jederzeit selbst löschen.
Sehen Sie im Demo-Termin selbst, welche Daten ankommen — und welche nicht.
Testen Sie MediPulse unverbindlich und erleben Sie, wie Daten und Automatisierung Ihnen Zeit zurückgeben.