Darf man Gesundheitsdaten in der Cloud verarbeiten?

Was zu prüfen ist

Auftragsverarbeitung. Vertrag nach Art. 28 DSGVO mit dem Anbieter – und mit dessen Unterauftragnehmern in der Kette.

Schweigepflicht. Nach § 203 StGB müssen Dienstleister mit Zugriff gesondert zur Geheimhaltung verpflichtet werden. Dieser Punkt fehlt in Standardverträgen häufig.

Verarbeitungsort. Innerhalb der EU ist deutlich einfacher zu begründen. Bei Drittländern braucht es eine geeignete Grundlage – und bei Gesundheitsdaten eine sorgfältige Abwägung.

Verschlüsselung. Bei Übertragung und Speicherung. Idealerweise so, dass der Anbieter die Inhalte selbst nicht lesen kann.

Rollen und Protokollierung. Wie in jedem System mit Patientendaten.

Zusätzliche Anforderungen

Im Bereich der gesetzlichen Krankenversicherung bestehen für bestimmte Verarbeitungen besondere Vorgaben, unter anderem zum Ort der Verarbeitung. Diese sind je nach Konstellation zu prüfen.

Cloud ist nicht automatisch unsicherer

Ein professionell betriebenes Rechenzentrum ist in der Regel besser gesichert als ein Server im Praxiskeller, den niemand aktualisiert. Die Frage ist nicht Cloud oder nicht, sondern welche Zusagen vertraglich abgesichert sind.

Praktischer Rat

Lassen Sie sich vom Anbieter schriftlich bestätigen: Verarbeitungsort, Unterauftragnehmer, Verschlüsselung, Verpflichtung nach § 203 StGB und was bei Vertragsende mit den Daten geschieht.

Dieser Text ersetzt keine Rechtsberatung.