Cloud-Systeme im Gesundheitswesen: Was rechtlich erlaubt ist

Ausgangslage: Cloud-Nutzung war lange ein Graubereich

Jahrelang gab es im deutschen Gesundheitswesen keine spezifische gesetzliche Grundlage dafür, ob und wie Patientendaten in der Cloud verarbeitet werden dürfen. Datenschutzrechtliche Anforderungen aus der DSGVO und dem SGB X bestanden zwar, ließen aber viele praxisrelevante Fragen offen – etwa ob ein C5-Testat des BSI tatsächlich verpflichtend ist, oder ob eine ISO-27001-Zertifizierung ausreicht.

Diese Unsicherheit hat der Gesetzgeber mit dem Digitalgesetz (DigiG) beendet. Der seit dem 1. Juli 2024 anwendbare § 393 SGB V schafft erstmals eine klare Rechtsgrundlage für den Einsatz von Cloud-Computing-Diensten zur Verarbeitung von Gesundheits- und Sozialdaten – und legt konkrete Nachweispflichten fest.

§393 SGB V: Der neue Rahmen für Cloud im Gesundheitswesen

§ 393 SGB V richtet sich an Leistungserbringer im Sinne des SGB V – darunter Krankenhäuser, Arztpraxen, MVZ, Apotheken und Pflegeeinrichtungen – sowie an deren Auftragsverarbeiter, also Cloud-Dienstleister und IT-Anbieter, die im Auftrag Gesundheits- und Sozialdaten verarbeiten.

Die Norm erlaubt die Cloud-Nutzung ausdrücklich, knüpft sie aber an zwei zentrale Anforderungen:

Erstens müssen angemessene technische und organisatorische Maßnahmen nach dem Stand der Technik ergriffen werden (vergleichbar mit Art. 32 DSGVO, aber spezifisch für die Cloud-Umgebung).

Zweitens muss die datenverarbeitende Stelle – in der Regel der Cloud-Anbieter – ein aktuelles BSI C5-Testat vorweisen können. Ohne dieses Testat ist die Verarbeitung von Gesundheits- und Sozialdaten in der Cloud nach §393 SGB V nicht zulässig.

Parallel gilt für alle Krankenhäuser der § 75c SGB V (in Kraft seit 1. Januar 2022), der allgemeine IT-Sicherheitsanforderungen nach dem Stand der Technik vorschreibt und eine Aktualisierungspflicht alle zwei Jahre vorsieht. §75c gilt unabhängig von der Cloud-Nutzung, §393 SGB V tritt ergänzend hinzu, wenn Cloud-Dienste eingesetzt werden.

Das BSI C5-Testat: Pflicht, Fristen und neuer Standard

Das Cloud Computing Compliance Criteria Catalogue (C5)-Testat des Bundesamts für Sicherheit in der Informationstechnik (BSI) definiert Mindestanforderungen an die Informationssicherheit von Cloud-Diensten. Es wird durch einen Wirtschaftsprüfer geprüft und ausgestellt.

Es gibt zwei Testattypen:

• C5-Typ-1-Testat: Prüft die Angemessenheit der beschriebenen Sicherheitskontrollen zu einem bestimmten Stichtag.
• C5-Typ-2-Testat: Prüft zusätzlich die tatsächliche Wirksamkeit der Kontrollen über einen Berichtszeitraum (in der Regel 6–12 Monate).

Die zeitlichen Anforderungen nach §393 Abs. 4 SGB V:

• Bis 30. Juni 2025 war ein C5-Typ-1-Testat ausreichend.
• Seit 1. Juli 2025 ist zwingend ein C5-Typ-2-Testat erforderlich.
• Für neu in Verkehr gebrachte Cloud-Dienste nach dem 30. Juni 2025 gilt eine Übergangsfrist von 18 Monaten, in der ein Typ-1-Testat noch genügt.

Ein fehlendes oder abgelaufenes C5-Typ-2-Testat führt nicht nur zu einem Compliance-Verstoß: Da die Verarbeitung ohne gültigen Nachweis unzulässig ist, können sich Vertragsstörungen und in der Folge Sonderkündigungsrechte ergeben.

Das BSI hat im April 2026 den aktualisierten Standard C5:2026 veröffentlicht, der den bisherigen C5:2020 ersetzt. Er verschärft unter anderem Anforderungen an Mandantentrennung, Datenlokalisierung und Transparenzpflichten. Cloud-Anbieter und ihre Kunden im Gesundheitswesen sollten prüfen, ab wann Bestehende Testate auf den neuen Standard migriert werden müssen.

Quelle: BSI, Cloud Computing Compliance Criteria Catalogue C5:2026, April 2026; §393 SGB V i. d. F. des DigiG (BGBl. I 2024); Baker Tilly, Analyse C5:2026, 2026.

ISO 27001 allein reicht nicht mehr aus

Eine verbreitete Fehleinschätzung in der Praxis ist, dass eine ISO-27001-Zertifizierung des Cloud-Anbieters die C5-Anforderungen erfüllt. Das ist nicht der Fall. Das BSI verlangt explizit ein C5-Testat; eine ISO-27001-Zertifizierung kann in Teilbereichen angerechnet werden, ersetzt das Testat aber nicht.

Als Übergangslösung lässt die C5-Gleichwertigkeitsverordnung des BMG (erlassen 2025) in definierten Fällen alternative Nachweise zu – konkret: eine ISO-27001-Zertifizierung kombiniert mit einem SOC-2-Type-II-Bericht oder einer CSA-STAR-Level-2-Bewertung. Diese Übergangsregelung läuft jedoch am 1. Juli 2027 aus. Danach ist das C5-Typ-2-Testat ohne Ausnahme verpflichtend.

DSGVO und Auftragsverarbeitung: Was vertraglich geregelt sein muss

Die Cloud-Nutzung im Gesundheitswesen ist immer auch eine Auftragsverarbeitung im Sinne von Art. 28 DSGVO. Gesundheitsdaten sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO; ihre Verarbeitung unterliegt erhöhten Anforderungen.

Folgende vertragliche und organisatorische Maßnahmen sind verpflichtend:

Auftragsverarbeitungsvertrag (AVV): Mit jedem Cloud-Dienstleister, der Zugang zu Gesundheitsdaten hat, muss ein schriftlicher AVV nach Art. 28 DSGVO abgeschlossen werden. Dieser regelt Zweck, Art und Umfang der Verarbeitung sowie die Pflichten des Dienstleisters.

Verarbeitungsverzeichnis: Die Nutzung des Cloud-Dienstes muss im Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO dokumentiert sein.

Datenschutz-Folgenabschätzung (DSFA): Bei der Verarbeitung sensibler Gesundheitsdaten in der Cloud ist regelmäßig eine DSFA nach Art. 35 DSGVO erforderlich.

Datenspeicherort: Cloud-Dienste sollten ausschließlich in der EU oder in Ländern mit einem DSGVO-Angemessenheitsbeschluss der EU-Kommission betrieben werden. Datentransfers in Drittstaaten ohne Angemessenheitsbeschluss erfordern geeignete Garantien (z. B. Standardvertragsklauseln) und erhöhten Prüfaufwand.

Checkliste für Entscheider

Vor der Entscheidung für einen Cloud-Dienst im klinischen oder praxisbezogenen Umfeld sollten folgende Punkte geprüft sein:

• Liegt ein aktuelles C5-Typ-2-Testat des Anbieters vor (ab Juli 2025 Pflicht)?
• Ist das Testat auf den C5:2026-Standard abgestimmt oder läuft eine Migration?
• Ist ein AVV nach Art. 28 DSGVO abgeschlossen?
• Sind Datenspeicherort und etwaige Subauftragsverarbeiter dokumentiert und geprüft?
• Ist eine DSFA durchgeführt und dokumentiert?
• Sind die IT-Sicherheitsmaßnahmen des eigenen Hauses nach §75c SGB V aktuell?

Die Anforderungen an Cloud-Nutzung im Gesundheitswesen sind seit 2024 deutlich konkreter geworden. Für Entscheider in Kliniken und Praxen bedeutet das mehr Rechtssicherheit – aber auch mehr nachweispflichtigen Aufwand.