In diesem Ratgeber
Praxis-Check
Vier Schritte, mit denen Sie beginnen können
Anwendungsfall, Datenarten, Schnittstellen und Datenflüsse inventarisieren.
Auftragsverarbeitung, Mitwirkende nach § 203 StGB, Unterauftragnehmer und Drittlandzugriffe prüfen.
Verschlüsselung, Schlüsselverwaltung, Zugriffsprotokolle, Backups und Ausfallkonzept kontrollieren.
Datenexport, Löschung und Anbieterwechsel vor der Beauftragung schriftlich regeln.
Am Anfang steht die Datenflusskarte
Legen Sie fest, welche Daten den Praxisserver verlassen, wer sie erhält und wofür der Dienst sie nutzt. Terminverwaltung, Patientenakten, Bildgebung und medizinische Diktate unterscheiden sich im Schutzbedarf. Neben Inhaltsdaten sind Protokolle, Supportzugriffe und eventuelle Analysefunktionen zu berücksichtigen.
Ein Dienstleister darf die Daten nicht automatisch für eigene Zwecke nutzen. Prüfen Sie insbesondere die Vertragstexte zu Produktverbesserung, Telemetrie, Training und weiteren Empfängern.
AV-Vertrag und Schweigepflicht sind zwei Prüfungen
Fordern Sie vor Vertragsabschluss an:
- Klare Beschreibung der verantwortlichen Stellen und der datenschutzrechtlichen Rollen
- AV-Vertrag nach Art. 28 DSGVO, wenn tatsächlich eine Auftragsverarbeitung vorliegt
- Unterauftragnehmerliste und Verfahren zur Information über Änderungen
- TOM-Nachweise, Unterstützungsregeln für Datenpannen und Löschung
- Vertraulichkeitsregelungen und erforderliche Einbindung von Mitwirkenden nach § 203 StGB
EU-Speicherort ersetzt keine Transferprüfung
Auch bei EU-Hosting können Drittlandübermittlungen oder Fernzugriffe eine Rolle spielen, etwa beim Support oder bei konzerninternen Unterauftragnehmern. Prüfen Sie, welche Stellen tatsächlich Zugriff erhalten und welche Anforderungen des Kapitels V DSGVO gegebenenfalls greifen.
Sicherheit praktisch nachweisen
Die technische Mindestprüfung muss zum Risiko passen:
- Mehrfaktor-Authentisierung, Rollen- und Berechtigungskonzept
- Verschlüsselung während der Übertragung und Speicherung sowie Kontrolle der Schlüssel
- Protokollierung privilegierter Zugriffe und geregelte Supportfreigaben
- Geprüfte Datensicherung, Wiederherstellung und Notfallkommunikation
- Vollständiger Export und dokumentierte Löschung bei Vertragsende
DSFA-Vorprüfung nicht vergessen
Der Einsatz einer Cloud löst nicht automatisch eine DSFA aus. Für umfangreiche, neuartige oder besonders risikoreiche Verarbeitung von Gesundheitsdaten kann sie aber notwendig werden. Dokumentieren Sie die Vorprüfung, bevor Sie produktiv starten.
Quellen & Rechtsgrundlagen
Grundlagen dieses Beitrags, geprüft zum angegebenen Stand. Gesetze und behördliche Hinweise können sich ändern; maßgeblich bleibt Ihre konkrete Verarbeitung.
- KBV – IT-Sicherheit in der Praxis: Checkliste Cloud-Anbieter und Rechenzentren (öffnet in neuem Tab)Abruf 31.10.2026
- KBV – Datenschutz und Auftragsverarbeitung in der Praxis (öffnet in neuem Tab)
- DSGVO – Art. 28, 32, 35 und Kapitel V (öffnet in neuem Tab)
- § 203 StGB – Schutz beruflicher Geheimnisse (öffnet in neuem Tab)
Dieses Fachjournal ist ein Informationsangebot des Instituts für Datenschutz im Gesundheitswesen, das zugleich entgeltliche Datenschutzberatung anbietet. Die Beiträge dienen der datenschutzfachlichen und organisatorischen Orientierung und ersetzen keine anwaltliche Rechtsberatung im Einzelfall. Die Verantwortung für die Verarbeitung verbleibt bei Ihrer Einrichtung. Für die erste Anfrage genügen Angaben zum Anliegen; bitte keine Patientenakten über das öffentliche Kontaktformular übermitteln.