Die IT- und Daten-Prüfung betrachtet die eingesetzten Systeme (z. B. Praxisverwaltung), Verträge mit Dienstleistern, die Datenschutz-Organisation sowie technische und organisatorische Maßnahmen. Gesundheitsdaten sind nach Art. 9 DSGVO besonders geschützt.
Geprüft werden Strukturen und Prozesse – nicht die Inhalte einzelner Patientenakten. Die Überführung der Patientendaten erfolgt separat und erst beim tatsächlichen Übergang nach den anerkannten Modellen und mit Einwilligung bzw. Sperrung von Altbeständen.
Verstöße gegen die Vertraulichkeit sind nicht nur datenschutzrechtlich, sondern über § 203 StGB auch strafrechtlich relevant. Entsprechend sorgfältig ist der Umgang mit Zugriffen und Übergabeprozessen zu gestalten.