Die gebündelte Anonymisierung entfernt die personenbezogenen Daten inaktiver Kunden dauerhaft – für DSGVO-Anfragen auf Recht auf Löschung und für die Regeln zur Datenaufbewahrung. Sie verarbeitet viele Kunden in einem Durchlauf statt nacheinander jeweils einen Kunden. Die Funktion wird schrittweise eingeführt, und DSGVO & Datenaufbewahrung erscheint in Einstellungen, sobald sie für Ihr Unternehmen aktiviert ist.
Hinweis: Die Anonymisierung kann nicht rückgängig gemacht werden. Nach Abschluss eines Durchlaufs sind die entfernten personenbezogenen Daten dauerhaft weg. Lesen Sie diesen Artikel vollständig, bevor Sie zum ersten Mal eine gebündelte Anonymisierung durchführen.
Berechtigungen für die gebündelte Anonymisierung
Für die gebündelte Anonymisierung sind spezielle Benutzerberechtigungen erforderlich. Standardmäßig ist dies nur für die Berechtigungsgruppe „Administrator“ eingerichtet.
Drei Berechtigungen steuern, wer eine Anonymisierung ansehen und ausführen kann:
Seite Einstellungen: Lesen — erforderlich, um Einstellungen zu öffnen. Ohne diese Berechtigung sind die folgenden Einstellungen nicht erreichbar.
Organisation Einstellungen: Lesen — erforderlich, um DSGVO & Datenaufbewahrung zu öffnen. Schreiben — erforderlich, um die Aufbewahrungszeiträume und die Anonymisierungseinstellungen zu ändern.
Kunden löschen: Schreiben — erforderlich, um einen Anonymisierungsdurchlauf zu starten.
Hinweis: Standardmäßig hat die Berechtigungsgruppe „Manager“ keine Kunden löschen-Schreibberechtigung. Ein Manager kann daher die Anonymisierungseinstellungen öffnen und ändern, aber keinen Durchlauf starten.
Weitere Informationen finden Sie unter Berechtigungen anzeigen und verwalten.
Aufbewahrungszeiträume festlegen
Die Aufbewahrungszeiträume legen die Mindestdauer fest, die Daten zur Einhaltung der Vorschriften aufbewahrt werden müssen. Vetera prüft diese Zeiträume, bevor es einen Kunden anonymisiert oder löscht.
So öffnen Sie die Einstellungen: Wählen Sie oben links den Klinikstandort Name aus und gehen Sie dann zu Einstellungen > Organisation > DSGVO & Datenaufbewahrung. Die Seite öffnet sich bei Datenaufbewahrung Einstellungen und enthält drei Zeiträume:
Aufbewahrungsfrist für Konsultationsdaten: Wie lange Konsultationsdaten aufbewahrt werden, bevor sie für die Anonymisierung freigegeben sind.
Aufbewahrungsfrist für Rechnungsdaten: Wie lange Rechnungsdaten aufbewahrt werden, bevor sie für die Anonymisierung freigegeben sind.
Aufbewahrungsfrist für Revisionsprotokolldaten: Wie lange Revisionsprotokolldaten aufbewahrt werden. Vetera löscht Einträge im Revisionsprotokoll, die älter sind als dieser Zeitraum, automatisch.
Jeder Zeitraum kann in Monaten oder Jahren festgelegt werden.
Wählen Sie Anhänge, die mit Kunde und Patient verbunden sind, löschen, wenn Anhänge zusammen mit den übrigen personenbezogenen Daten des Kunden entfernt werden müssen. Anhänge können personenbezogene Daten enthalten. Das Kontrollkästchen ist standardmäßig nicht ausgewählt.
Wenn Sie einen Zeitraum oder das Kontrollkästchen ändern, werden unten auf der Seite Speichern und Änderungen verwerfen angezeigt. Die Änderung wird wirksam, sobald Sie Speichern auswählen.
Kundeneignung für die Anonymisierung
Ein Kunde wird nur dann anonymisiert, wenn er sowohl die beiden Kriterien der Aufbewahrung als auch die Kriterien der Inaktivität erfüllt. Die Aufbewahrungszeiträume werden in Datenaufbewahrung Einstellungen festgelegt. Zwei weitere Zeiträume, die in der Ansicht Gebündelte Anonymisierung festgelegt sind, steuern die Inaktivitätsseite:
Aufbewahrungsfrist für inaktive Kunden: Wie lange ein inaktiver Kunde aufbewahrt wird, bevor er für die Anonymisierung freigegeben ist.
Inaktivitätszeitraum für neue Kunden: Wie lange ein neuer Kunde ohne Aktivität aufbewahrt wird, bevor er für die Anonymisierung freigegeben ist.
Vetera überspringt außerdem automatisch einige Kunden – unabhängig von den von Ihnen festgelegten Zeiträumen. Ein Durchlauf überspringt einen Kunden immer in den folgenden Situationen:
der Kunde hat eine aktive Konsultation
der Kunde hat einen unausgewogenen Datensatz im Rechnungswesen – in beide Richtungen
der Kunde hat einen anstehenden Termin
Sie können außerdem ganze Patiententypen von einem Durchlauf ausschließen, sodass Kunden mit einem Pferd als Patiententyp beispielsweise nie anonymisiert werden. Patiententypen werden in der Ansicht Gebündelte Anonymisierung ausgeschlossen – als Teil der Einrichtung des Durchlaufs.
Vorschau anzeigen und eine gebündelte Anonymisierung starten
Wählen Sie in der rechten oberen Ecke von Datenaufbewahrung Einstellungen Gebündelte Anonymisierung aus, um die Einstellungen für den Durchlauf zu öffnen. In der Ansicht wird aufgelistet, was ein Durchlauf anonymisiert und was beibehalten wird. Sie enthält die beiden Inaktivitätszeiträume sowie die Ausschlüsse der Patiententypen und umfasst die Steuerung, mit der der Durchlauf gestartet wird. Die Anzahl der Kunden, auf die sich ein Durchlauf auswirkt, wird im Bestätigungsdialog angezeigt – nicht auf dieser Seite.
Hinweis: Sie können keinen Durchlauf starten, wenn in Einstellungen > Organisation die Option „Kunden löschen“-Aktion nur in der Heimat-Klinikstandort verfügbar aktiviert ist. Das Starten eines Durchlaufs gibt die Nachricht zurück: „Gebündelte Anonymisation ist nicht verfügbar, während das Löschen von Kunden auf eine Zweigniederlassung eingeschränkt ist.“
So führen Sie eine gebündelte Anonymisierung aus:
Gehen Sie zu Einstellungen > Organisation > DSGVO & Datenaufbewahrung.
Wählen Sie Gebündelte Anonymisierung.
Legen Sie Aufbewahrungsfrist für inaktive Kunden und Inaktivitätszeitraum für neue Kunden fest. Jeder Zeitraum kann in Monaten oder Jahren festgelegt werden.
Wenn Sie ganze Patiententypen von dem Durchlauf ausschließen möchten, wählen Sie Kunden nach Patiententyp ausschließen und wählen Sie die Patiententypen in der Dropdown-Liste aus: Kleines Tier, Bauernhof/Produktion, Pferd oder Exotisch/sonstiges. Sie können mehr als einen auswählen. Kunden mit einem ausgewählten Patiententyp werden nicht anonymisiert.
Wählen Sie Anonymisierung ausführen. Der Dialog Bestätigung erforderlich wird geöffnet und zeigt, wie viele Kundendatensätze der Durchlauf anonymisiert. Dies ist Ihre letzte Möglichkeit, die Anzahl zu prüfen, bevor etwas entfernt wird.
Geben Sie das Bestätigungswort genau so ein, wie es im Dialog angezeigt wird. Die Eingabe wird nach Groß- und Kleinschreibung unterschieden.
Wählen Sie Bestätigen und anonymisieren.
Der Durchlauf startet im Hintergrund. Während er läuft, zeigt die Fußzeile „Ein Anonymisierungsdurchlauf ist für dieses Unternehmen in Bearbeitung.“ an und Anonymisierung ausführen ist nicht verfügbar, sodass Sie nicht gleichzeitig einen zweiten Durchlauf starten können. Wenn der Durchlauf abgeschlossen ist, zeigt die Ansicht Letzte Anonymisierung am mit dem Datum des Durchlaufs an.
So schließen Sie den Dialog, ohne irgendetwas zu anonymisieren: Wählen Sie Abbrechen.
So verlassen Sie die Ansicht, ohne etwas auszuführen: Wählen Sie Zurück.
Daten entfernt und Daten behalten
Die Anonymisierung entfernt:
Kundennamen und Kontaktdaten
Adressen und Identifikationsnummern
Zahlungs- und Abrechnungsdaten
Notizen, die personenbezogene Daten enthalten
Erinnerungen und Revisionsprotokolle
alle Anhänge für Kunden und Patienten – aber nur, wenn Anhänge für Kunde und Patient löschen in Datenaufbewahrung Einstellungen ausgewählt ist
Die Anonymisierung behält:
anonymisierte Transaktionsaufzeichnungen
aggregierte Statistiken
nicht personenbezogene medizinische Daten
Verweise auf Buchungskontrolle
Anonymisierungsprotokoll prüfen
Wählen Sie in der Ansicht Gebündelte Anonymisierung Protokoll anzeigen, um das Protokoll der gebündelten Anonymisierung zu öffnen. Das Protokoll enthält eine Zeile pro Durchlauf und dokumentiert:
das Datum und den Benutzer, der den Durchlauf durchgeführt hat
die Aufbewahrungsfrist für inaktive Kunden und Inaktivitätszeitraum für neue Kunden, die in Kraft waren
die ausgeschlossenen Patiententypen
wie viele Kunden anonymisiert wurden und wie viele übersprungen wurden
Das Protokoll listet nicht die einzelnen Kunden auf, auf die sich ein Durchlauf ausgewirkt hat. Wenn Sie eine Aufzeichnung darüber benötigen, welche Kunden entfernt wurden, erstellen Sie diese, bevor Sie die Anonymisierung durchführen.
Wählen Sie Schließen, um das Protokoll zu verlassen.
Anonymisierte Kunden in der Berichterstattung
Anonymisierte Kunden erscheinen weiterhin in Ihren Berichten – dargestellt als Anonymisiert neben Ihren echten Kundenzahlen.
Ein erster Durchlauf umfasst normalerweise eine große Anzahl von Kunden. Daher ist am folgenden Tag in Ihren Dashboards eine sichtbare Änderung zu erwarten. Ihre Kennzahlen in der Berichterstattung gehen nicht verloren. Die Transaktionen bleiben bestehen – ohne die daran angebrachten personenbezogenen Daten.