Ein Bestellformular für Patientenbedarf, das einer Sicherheitsprüfung Standhält
Klinisches Personal bestellt Gerätebedarf für namentlich genannte Patienten. Damit wird ein gewöhnliches Webformular zum Patientendatensystem — DSGVO-pflichtig und Gegenstand einer Sicherheitsprüfung, an der die meisten solcher Formulare scheitern.
Globaler Medizintechnik-Hersteller · Patientenversorgung EMEA
healthcareDer Bedarf
Verbrauchsmaterial für ein implantiertes oder getragenes Medizinprodukt zu bestellen ist kein Warenkorb. Jede Position ist eine Katalognummer, die an eine bestimmte Therapie gebunden ist — das Gerät selbst, seine Reservoirs, seine Sensoren — und jede Bestellung nennt einen Patienten, sein Geburtsdatum, sein Schulungsdatum und, wenn die Therapie endet, den Abbruchgrund. Diese Nutzlast sind Gesundheitsdaten einer identifizierten Person, fallen also in jedem bedienten EMEA-Markt unter die DSGVO und müssen die Sicherheitsprüfung des Herstellers bestehen, bevor sie in die Nähe der Produktion kommen. Der ursprüngliche Bau authentifizierte gegen die Konzern-Identitätsplattform, wodurch jede Umgebungsfreigabe ein Ticket in einem wochenlangen internen Prozess war.
Der Ansatz
Wir haben die Bestellung um Katalognummern statt Freitext modelliert: Die drei Bedarfslinien — Gerät, Reservoirs, Sensoren — tragen je eigene Teilenummer und Menge und lassen sich nicht in etwas Nichtexistentes vertippen. Patientenidentität, Geburtsdatum, Schulungsdatum und Therapieendgrund werden auf Schemaebene validiert; der Abbruchgrund bietet eine definierte Auswahl plus Freitext, damit reale klinische Situationen nicht in die falsche Schublade gezwungen werden. Das Formular ist mehrsprachig, denn EMEA ist kein einzelner Markt. Jede Übermittlung rendert ein PDF, das die Fachkraft vor dem Versand prüfen kann, dazu eine Zusammenfassungsansicht; die fertige Bestellung wird per E-Mail zugestellt, statt in einer Datenbank auf Entdeckung zu warten. Anschließend haben wir die Abhängigkeit von der Konzern-Identität durch Magic-Link-Authentifizierung ersetzt: kein Passwort wird erzeugt, gespeichert oder übertragen — und ein Firmen-Mailgateway, das Links vorab abruft (der Scanner öffnet die Mail vor dem Menschen), wurde ausdrücklich behandelt statt in der Produktion entdeckt.
