Vertragsmanagement für die Hausarztpraxis

Eine kleine Hausarztpraxis trägt im Kern dieselben Pflichten wie eine große Einrichtung: Auftragsverarbeitungsverträge nach der Datenschutz-Grundverordnung, die Schweigepflicht nach § 203 StGB, die IT-Sicherheitsrichtlinie der KBV [2], sicherheitstechnische Kontrollen nach der Medizinprodukte-Betreiberverordnung. Was fehlt, sind die Mittel: keine Rechtsabteilung, kein Einkauf, kein Budget für ein langes Softwareprojekt.

Das Vertragsportfolio ist dabei breiter, als es von außen aussieht: Selektivverträge, Auftragsverarbeitungsverträge mit jedem Dienstleister, der Patientendaten berühren kann, die Verträge über Praxisverwaltungssystem und TI-Dienste, Wartungs- und Leasingverträge für Medizinprodukte, der Praxismietvertrag, Vertretungsvereinbarungen.

Jeder Typ hat ein eigenes Fehlermuster, und eine übersehene Frist kostet entweder Geld oder die Nachweisfähigkeit gegenüber Kassenärztlicher Vereinigung und Datenschutzaufsicht. Dieser Artikel beschreibt, was Vertragsmanagement in einer Hausarztpraxis leisten muss und warum Software für Klinikkonzerne hier schlecht passt.

Das Vertragsportfolio einer Hausarztpraxis

Die Vergütung in der vertragsärztlichen Versorgung verhandelt die Praxis nicht selbst: Den allgemeinen Inhalt der Gesamtverträge vereinbaren die Kassenärztlichen Bundesvereinigungen mit dem Spitzenverband Bund der Krankenkassen in den Bundesmantelverträgen, die Vergütung regeln Landesverbände und Ersatzkassen mit den Kassenärztlichen Vereinigungen (§ 82 SGB V) [1]. Deshalb liegt das, was die Praxis tatsächlich unterschreibt, an anderer Stelle.

Selektivverträge. Die Krankenkassen müssen eine hausarztzentrierte Versorgung anbieten und dafür Verträge mit Gemeinschaften schließen, die mindestens die Hälfte der Allgemeinärzte im KV-Bezirk vertreten (§ 73b SGB V). Wer teilnimmt, übernimmt vertraglich mehr als eine andere Abrechnung: Qualitätszirkel zur Arzneimitteltherapie, leitliniengestützte Behandlung, Fortbildung nach § 95d und ein einrichtungsinternes Qualitätsmanagement. Dazu kommen Verträge zur besonderen Versorgung nach § 140a SGB V [1]. Fehlermuster: Die Pflichten stehen in einem Dokument, das nach der Unterschrift niemand mehr öffnet.

Auftragsverarbeitungsverträge. Immer dann, wenn ein externer Dienstleister auf Patienten- oder Mitarbeiterdaten zugreifen kann, ist ein Vertrag zur Auftragsverarbeitung als Anlage zum Hauptvertrag erforderlich. Die KBV nennt die Wartung der Praxis-EDV, die Akten- und Datenträgervernichtung, Cloud-Systeme und die Terminvergabe durch Externe. Rein technische Arbeiten an Stromzufuhr, Kühlung oder Heizung fallen nicht darunter, ebenso wenig Steuerberater, Rechtsanwälte oder Wirtschaftsprüfer, die selbst Geheimnisträger sind [2]. Der Vertrag muss nach Artikel 28 Absatz 9 DSGVO schriftlich abgefasst sein, was auch elektronisch erfolgen kann [3]. Fehlermuster: Der Dienstleister tauscht seinen Subunternehmer aus, der Auftragsverarbeitungsvertrag bleibt auf dem alten Stand.

Verträge mit dem PVS-Anbieter. Die KBV zertifiziert die Funktionen des Praxisverwaltungssystems, die für die Abrechnung mit der Kassenärztlichen Vereinigung und weitere rechtlich geregelte Aufgaben gebraucht werden, etwa das korrekte Einlesen der elektronischen Gesundheitskarte und die bundeseinheitliche Bedruckung von Formularen [4]. Für die kaufmännische Seite hat der Gesetzgeber die Kassenärztlichen Bundesvereinigungen ermächtigt, mit Anbietern informationstechnischer Systeme Rahmenvereinbarungen zu Leistungspflichten, Vertragsstrafen, Preisen, Laufzeiten und Kündigungsfristen zu schließen (§ 332b SGB V) [1]. Für die Anbieter ist der Abschluss einer solchen Rahmenvereinbarung freiwillig [4]. Dass der Gesetzgeber Laufzeiten und Kündigungsfristen ausdrücklich benennt, sagt genug über die gelebte Vertragspraxis.

TI-Komponenten und -Dienste. Praxen erhalten seit dem 1. Juli 2023 eine monatliche TI-Pauschale von den Krankenkassen (§ 378 SGB V) [1]. Sie hängt von der Praxisgröße ab und liegt 2026 bei bis zu drei Ärztinnen oder Ärzten bei 263,62 Euro im Monat. Nachzuweisen sind unter anderem ePA, eRezept, eAU, elektronischer Arztbrief, dazu Konnektor oder TI-Gateway, Kartenterminals, eHBA, SMC-B und KIM. Fehlt der Nachweis für eine Anwendung oder einen Dienst, halbiert sich die Pauschale, bei mehreren entfällt sie [5]. Die Karten haben eigene Verfallsdaten: Ohne gültige SMC-B gibt es keinen Zugriff auf eRezept, eAU, VSDM oder ePA, und Gerätekarten der Generation gSMC-KT 2.0 müssen bis zum 31. Dezember 2026 gegen die Version 2.1 getauscht werden [6]. Das ist kein IT-Thema, sondern ein Datumsfeld mit Umsatzwirkung.

Wartungs- und Leasingverträge für Medizinprodukte. Der Betreiber muss seine Produkte instand halten oder instand halten lassen und darf damit nur Personen und Betriebe beauftragen, die die fachlichen Voraussetzungen erfüllen (§ 7 MPBetreibV). Bei Produkten nach Anlage 1 sind sicherheitstechnische Kontrollen spätestens alle zwei Jahre fällig, gerechnet ab Ablauf des Monats der Inbetriebnahme oder der letzten Kontrolle (§ 12). Messtechnische Kontrollen folgen den Fristen der Anlage 2 (§ 15), und über alle aktiven nichtimplantierbaren Produkte ist ein Bestandsverzeichnis zu führen (§ 14) [7].

Praxismietvertrag. Bei Geschäftsräumen ist die ordentliche Kündigung spätestens am dritten Werktag eines Kalendervierteljahres zum Ablauf des nächsten Kalendervierteljahrs zulässig (§ 580a Absatz 2 BGB). Wer im Mai feststellt, dass er zum Jahresende heraus möchte, ist zu spät. Umgekehrt gilt ein Mietvertrag über Räume, der für längere Zeit als ein Jahr nicht in Textform geschlossen wurde, als auf unbestimmte Zeit geschlossen (§ 578 Absatz 1 Satz 2 in Verbindung mit Absatz 2 BGB) [8].

Vertretungs- und Anstellungsverträge. Der Vertragsarzt übt seine Tätigkeit persönlich in freier Praxis aus und kann sich bei Krankheit, Urlaub, Fortbildung oder Wehrübung innerhalb von zwölf Monaten bis zu drei Monate vertreten lassen; dauert die Vertretung länger als eine Woche, ist sie der Kassenärztlichen Vereinigung mitzuteilen (§ 32 Absatz 1 Ärzte-ZV). Die Beschäftigung eines Vertreters oder Assistenten braucht nach § 32 Absatz 2 die vorherige Genehmigung der KV [9].

Vertragsbezogene Daten liegen in einem typischen Großunternehmen in 24 verschiedenen Systemen, gemessen von World Commerce and Contracting mit Deloitte im Jahr 2023 [10]. Eine Praxis hat weniger Systeme und dasselbe Muster, verteilt auf Aktenschränke, Postfächer und einen Ordner am Empfangsrechner. Mehr Zahlen dazu in den Statistiken zum Vertragsmanagement.

Warum Praxisverträge eigenen Regeln folgen

Drei Punkte unterscheiden diese Verträge von gewöhnlichen Lieferantenvereinbarungen.

Erstens die Schweigepflicht. Ein Arzt darf fremde Geheimnisse gegenüber Personen offenbaren, die an seiner beruflichen Tätigkeit mitwirken, soweit das für die Inanspruchnahme ihrer Leistung erforderlich ist. Mit Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe wird jedoch bestraft, wer nicht dafür Sorge getragen hat, dass eine solche mitwirkende Person zur Geheimhaltung verpflichtet wurde, falls sie ein Geheimnis unbefugt offenbart (§ 203 Absatz 3 und 4 StGB) [11]. Die Verschwiegenheitsklausel im Wartungsvertrag ist damit keine Formalie.

Zweitens die Nachweislast aus der DSGVO. Praxen benötigen ein Verzeichnis von Verarbeitungstätigkeiten und müssen es der Aufsichtsbehörde auf Verlangen bereitstellen [2]. Die Erleichterung für Einrichtungen mit weniger als 250 Mitarbeitenden greift nicht, weil sie bei besonderen Datenkategorien nach Artikel 9 Absatz 1 DSGVO entfällt, und Gesundheitsdaten sind genau das [3]. Zuständig ist die nach Landesrecht bestimmte Behörde, nicht der Bund (§ 40 BDSG) [11]. Für Verstöße gegen Artikel 28 DSGVO sieht Artikel 83 Absatz 4 Geldbußen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor; die häufig zitierten 20 Millionen gelten für andere Verstöße [3].

Drittens kauft die Praxis als Unternehmerin ein. Die Klauselverbote des § 309 BGB, für Verträge über regelmäßige Leistungen also die Grenzen für Laufzeiten über zwei Jahre, für stillschweigende Verlängerungen und für Kündigungsfristen von mehr als einem Monat vor Ablauf der vereinbarten Laufzeit, gelten nicht für Allgemeine Geschäftsbedingungen gegenüber Unternehmern. Es bleibt die Inhaltskontrolle nach § 307 Absatz 1 und 2 BGB (§ 310 Absatz 1 BGB) [8]. Eine automatische Verlängerung mit langer Kündigungsfrist ist im Praxisvertrag deshalb nicht von vornherein unwirksam, sondern der Normalfall, gegen den nur ein Termin im Kalender hilft.

Was im Prüfungsfall verlangt wird, ist entsprechend konkret:

• der unterzeichnete Auftragsverarbeitungsvertrag je Dienstleister, mit Datum und jeder Ergänzung
• das Verzeichnis von Verarbeitungstätigkeiten, das zu den tatsächlich aktiven Verträgen passt
• der Nachweis, dass mitwirkende Personen zur Geheimhaltung verpflichtet wurden
• die Protokolle der sicherheitstechnischen und messtechnischen Kontrollen, die der Betreiber bis zur jeweils nächsten Kontrolle aufzubewahren hat [7]
• der Nachweis der TI-Anwendungen und -Dienste, an dem die monatliche Pauschale hängt

Sind diese Unterlagen über einen Laptop-Ordner, mehrere Postfächer und einen alten Cloud-Link verteilt, lautet die ehrliche Antwort auf die Frage nach der Vorlage: nicht heute. Genau diese Lücke soll Software schließen.

Warum Enterprise-Plattformen zu schwer sind

Die Anbieter, die auf Begriffe wie Vertragsmanagement ranken, sind größtenteils für Klinikkonzerne und große Organisationen gebaut. Das Muster ist überall gleich: lange Einführungsprojekte, Freigabe-Workflows, die getrennte Rechts-, Einkaufs- und Compliance-Teams voraussetzen, tiefe Integrationen in ERP- und Finanzsysteme, Klauselbibliotheken, die erst gefüllt werden müssen.

Für eine kleine Praxis passt davon nichts. Es gibt keine Compliance-Abteilung für Freigaben und keine IT-Kapazität für eine ERP-Integration, und die nächste Kündigungsfrist wartet nicht, bis ein Einführungsprojekt abgeschlossen ist.

Die Überausstattung verdeckt außerdem die Grundfrage: Welche Verträge laufen als Nächstes aus, und wer ist zuständig? Eine lange Kette von Freigabestufen beantwortet das nicht besser als wenige klare Rollen und ein Kalender.

Was eine Hausarztpraxis wirklich braucht

Eine kurze Liste, in der Reihenfolge des Alltags.

KI-Extraktion über alle Vertragstypen. Beim Hochladen eines Stapels PDF-Dateien liest das System Beginn, Laufzeit, Kündigungsfrist, Verlängerungsklausel und Preisanpassungen selbst aus. Korrigiert wird nur, was fehlt. Das ist der Unterschied zwischen "mache ich im nächsten Quartal" und "habe ich Dienstagmorgen erledigt". Die KI-Vertragsanalyse macht den Rest praktikabel.

Eine zentrale, durchsuchbare Ablage. Jeder Vertrag an einem Ort, filterbar nach Vertragspartner, Vertragstyp, Zeitraum und eigenen Feldern. Wenn die Frage aufkommt, ob mit dem Aktenvernichter ein gültiger Auftragsverarbeitungsvertrag besteht, liegt die Antwort in der Vertragsablage und nicht in verstreuten Postfächern.

Erinnerungen auf die Fristen, die Geld kosten. Gestaffelte Hinweise vor Kündigungs- und Ablaufterminen, früh genug für die Entscheidung dahinter, zugestellt an die Person, die handeln kann: Praxisleitung für den PVS-Vertrag, Inhaberin für die Vertretungsvereinbarungen, Organisationsleitung für Wartung und Mietvertrag. Ohne diese Zuordnung landen Ablauferinnerungen bei jemandem, der sie archiviert.

Rollen statt Berechtigungsmatrix. Keine ausufernde Stufenlogik, sondern Lesen, Kommentieren, Bearbeiten und Verwalten, pro Vertrag vergeben.

Versionshistorie auf jedem Dokument. Wird ein Nachtrag unterschrieben, brauchen Sie die alte Fassung, die neue Fassung und den Unterschied. Ohne das ist "wir haben den Vertrag angepasst" eine Behauptung.

Ein Start ohne Projektplan. Keine Einkaufsabteilung, kein langes Einführungsprojekt, keine Klauselbibliothek, die erst befüllt werden muss.

Wie Contracko das abdeckt

Contracko ist für kleine und mittelgroße Organisationen gebaut, die Verträge ohne eigenes Rechtsteam und ohne Einkaufsabteilung verwalten. Die Punkte oben entsprechen direkt dem Produkt:

• KI-Extraktion im Stapel über alle Vertragstypen, ausgeführt beim Hochladen
• zentrale Ablage mit Rollen und Rechten je Vertrag, dazu Gegenparteien und eigene Felder
• wiederkehrende Erinnerungen mit frei wählbaren Empfängern
• Aktivitätsprotokoll je Vertrag, mit alten und neuen Feldwerten
• Versionsverwaltung für jedes Dokument, einschließlich Nachträgen
• Kalendersynchronisation mit Google, Outlook und Apple

Zur Sicherheit: DSGVO-konform, Hosting in der EU, Verschlüsselung bei der Übertragung und im Ruhezustand, kein Training von KI-Modellen mit Kundenverträgen. Contracko selbst ist nicht SOC-2-zertifiziert, und wir behaupten das auch nicht.

Eine Einordnung für größere Häuser steht im Beitrag zur Vertragsmanagement-Software für das Gesundheitswesen.

Die kleinste sinnvolle Einführung

Die meisten Einführungen scheitern am Umfang, nicht an der Funktion. Die Fassung, die für eine Praxis funktioniert, ist kleiner als die, die ein Anbieter verkauft.

Zuerst. Laden Sie den Vertrag mit dem PVS-Anbieter samt Auftragsverarbeitungsvertrag hoch, dazu die Verträge über TI-Komponenten und -Dienste. Das sind die Dokumente mit der höchsten finanziellen und aufsichtsrechtlichen Wirkung. Lassen Sie Laufzeit, Verlängerung und Kündigungsfrist auslesen und legen Sie je Vertrag fest, wer die Erinnerung erhält.

Danach. Ergänzen Sie die übrigen Auftragsverarbeitungsverträge (Labor, Aktenvernichtung, Cloud-Backup, externe Terminvergabe), die Wartungsverträge für Geräte nach Anlage 1 der MPBetreibV und die Selektivverträge.

Zum Schluss. Mietvertrag, Vertretungsvereinbarungen und kleinere Lieferanten. Danach ist es Pflege statt Projekt: die Verträge im Kündigungsfenster regelmäßig durchsehen, den Stand der Auftragsverarbeitungsverträge prüfen, Nachträge versioniert ablegen.

Häufige Fragen

Brauchen wir mit jedem Dienstleister einen Auftragsverarbeitungsvertrag? Mit jedem, der auf Patienten- oder Mitarbeiterdaten zugreifen kann, als Anlage zum Hauptvertrag. Rein technische Arbeiten an Stromzufuhr, Kühlung oder Heizung zählen nicht dazu, bei Steuerberatern, Rechtsanwälten oder Wirtschaftsprüfern liegt in der Regel ebenfalls keine Auftragsverarbeitung vor [2].

Wie früh müssen wir den Praxismietvertrag kündigen? Bei Geschäftsräumen spätestens am dritten Werktag eines Kalendervierteljahres zum Ablauf des nächsten Kalendervierteljahrs (§ 580a Absatz 2 BGB) [8]. Abweichende Fristen und feste Laufzeiten im Vertrag gehen dem vor, weshalb die Frist aus dem Dokument selbst kommen muss.

Was passiert, wenn eine TI-Anwendung fehlt? Fehlt der Nachweis für eine der geforderten Anwendungen oder Dienste, wird die monatliche TI-Pauschale um 50 Prozent gekürzt. Fehlen mehrere, wird sie nicht gezahlt [5].

Ersetzt eine Vertragssoftware unser Datenschutzmanagement? Nein. Sie hält fest, welche Verträge und Nachträge mit welchem Datum bestehen, wer sie sehen darf und wann eine Frist läuft. Verzeichnis und technische Maßnahmen bleiben Aufgabe der Praxis.

Mit den wirksamsten Verträgen anfangen

Wenn Sie sehen möchten, ob das zu Ihrer Praxis passt, testen Sie Contracko kostenlos und ohne Kreditkarte. Laden Sie den PVS-Vertrag und einen Auftragsverarbeitungsvertrag hoch, sehen Sie sich an, welche Daten und Fristen ausgelesen werden, und richten Sie darauf die Erinnerungen ein. Für eine Hausarztpraxis geht die Rechnung meist schon bei einer rechtzeitig gekündigten Verlängerung auf, oder bei einem Quartal, in dem die TI-Pauschale ungekürzt bleibt.

Quellen

1. Bundesministerium der Justiz. Sozialgesetzbuch Fünftes Buch, §§ 73b, 82, 95d, 140a, 332b und 378. gesetze-im-internet.de/sgb_5. Abgerufen im September 2026.
2. Kassenärztliche Bundesvereinigung. Datenschutz in der Praxis (Auftragsverarbeitung, Verzeichnis von Verarbeitungstätigkeiten) und IT-Sicherheit in der Praxis. kbv.de/praxis/praxisfuehrung/datenschutz und kbv.de/praxis/digitalisierung/it-sicherheit. Abgerufen im September 2026.
3. Amt für Veröffentlichungen der Europäischen Union. Verordnung (EU) 2016/679 (DSGVO), Artikel 28, 30 und 83. publications.europa.eu/resource/celex/32016R0679. Abgerufen im September 2026.
4. Kassenärztliche Bundesvereinigung. Praxisverwaltungssystem, Zertifizierung und Rahmenvereinbarung nach § 332b SGB V. kbv.de/praxis/digitalisierung/praxisverwaltungssystem. Abgerufen im September 2026.
5. Kassenärztliche Bundesvereinigung. Telematikinfrastruktur, TI-Pauschale 2026 sowie notwendige Anwendungen, Komponenten und Dienste. kbv.de/praxis/digitalisierung/telematikinfrastruktur. Abgerufen im September 2026.
6. gematik. Migration auf ECC, Hinweise zu SMC-B und gSMC-KT. gematik.de/telematikinfrastruktur/rsa2ecc-migration. Abgerufen im September 2026.
7. Bundesministerium der Justiz. Medizinprodukte-Betreiberverordnung, §§ 7, 12, 14 und 15. gesetze-im-internet.de/mpbetreibv_2025. Abgerufen im September 2026.
8. Bundesministerium der Justiz. Bürgerliches Gesetzbuch, §§ 307, 309, 310, 578 und 580a. gesetze-im-internet.de/bgb. Abgerufen im September 2026.
9. Bundesministerium der Justiz. Zulassungsverordnung für Vertragsärzte, § 32. gesetze-im-internet.de/zo-_rzte. Abgerufen im September 2026.
10. World Commerce and Contracting with Deloitte. The ROI of Contracting Excellence, 2023. Die Zahl zu den 24 Systemen ist in den Statistiken zum Vertragsmanagement von Contracko aufbereitet, verlinkt im Text. Abgerufen im September 2026.
11. Bundesministerium der Justiz. Strafgesetzbuch § 203 und Bundesdatenschutzgesetz § 40. gesetze-im-internet.de/stgb/__203.html und gesetze-im-internet.de/bdsg_2018/__40.html. Abgerufen im September 2026.

Die Bilder in diesem Artikel wurden mithilfe von KI erstellt.