Question 1

Ist Cloud-Hosting von Patientendaten in Deutschland erlaubt?

Accepted Answer

Ja. § 393 SGB V erlaubt Leistungserbringern und Kassen sowie deren Auftragsverarbeitern ausdrücklich die Verarbeitung von Sozial- und Gesundheitsdaten im Wege des Cloud-Computing-Dienstes. Voraussetzung sind Verarbeitung im Inland oder in der EU (bzw. gleichgestellten Staaten), eine inländische Niederlassung der verarbeitenden Stelle, Maßnahmen nach dem Stand der Technik und ein aktuelles C5-Testat, dessen Kundenkriterien umgesetzt sind.

Question 2

Was ist der Unterschied zwischen C5 Typ 1 und Typ 2?

Accepted Answer

Ein Typ-1-Testat bescheinigt die Angemessenheit der Kontrollen zu einem Stichtag. Ein Typ-2-Testat bescheinigt zusätzlich deren Wirksamkeit über einen definierten Berichtszeitraum, typischerweise sechs oder zwölf Monate. Seit dem 1. Juli 2025 ist im Anwendungsbereich des § 393 SGB V grundsätzlich ein aktuelles Typ-2-Testat maßgeblich; für nach dem 30. Juni 2025 erstmalig in Verkehr gebrachte Systeme gilt für 18 Monate eine Typ-1-Übergangsregel.

Question 3

Ist ein selbst betriebener Server sicherer als ein Cloud-Dienst?

Accepted Answer

Nicht automatisch. § 391 SGB V verlangt für selbst betriebene Systeme denselben Maßstab — Vorkehrungen nach dem Stand der Technik, angemessen zum Schutzbedarf. Der Unterschied liegt in der Nachweisbarkeit: Für einen testierten Dienst existiert ein unabhängiger Prüfbericht, für den Eigenbetrieb muss die Klinik die Angemessenheit selbst belegen. Da die Beweislast nach der EuGH-Rechtsprechung beim Verantwortlichen liegt, ist das ein realer Nachteil.

Question 4

Wer haftet, wenn Patientendaten aus einem Klinik-System abfließen?

Accepted Answer

Verantwortliche im Sinne der DSGVO ist die Klinik; Auftragsverarbeiter können nach Art. 82 DSGVO mithaften. Nach dem EuGH-Urteil C-340/21 muss der Verantwortliche beweisen, dass seine Maßnahmen nach Art. 32 DSGVO geeignet waren — ein Angriff Dritter allein entlastet nicht. Hinzu treten seit Dezember 2025 die Pflichten und die persönliche Haftung der Leitungsorgane nach dem NIS2-Umsetzungsgesetz.

Question 5

Verstößt der Einsatz eines externen IT-Dienstleisters gegen die ärztliche Schweigepflicht?

Accepted Answer

Nein, sofern die Voraussetzungen des § 203 Abs. 3 StGB eingehalten werden. Seit der Reform 2017 dürfen Berufsgeheimnisträger:innen mitwirkende Personen einbeziehen, soweit die Offenbarung für deren Tätigkeit erforderlich ist. Die Dienstleister sind sorgfältig auszuwählen und förmlich zur Geheimhaltung zu verpflichten, einschließlich ihrer Unterauftragnehmer.

Question 6

Welche Nachweise sollte eine Klinik von einem Anbieter verlangen?

Accepted Answer

Mindestens: C5-Prüfbericht mit Typ und Zeitraum sowie Kontrollliste der Kundenkriterien, ISO/IEC 27001-Zertifikat mit Geltungsbereich, AVV mit TOM-Anlage und Subdienstleisterliste, Verpflichtungserklärung nach § 203 StGB sowie Nachweise zu Schwachstellenmanagement und Vorfallsmeldeprozessen.

Compliance

Cloud oder On-Premise im Krankenhaus: Was IT-Sicherheit und Haftungsrecht tatsächlich verlangen

ISO 27001 und BSI C5: Was Klinik-IT-Verantwortliche bei der Auswahl digitaler Patientenaufnahme-Software prüfen müssen

medudoc Platform

Resources

About medudoc