Datenschutz-News | DURY CONSULT Blog zu Datenschutz und Informationssicherheit

Warum eine Norm, die Rechtssicherheit schaffen soll, in der Praxis neue Auslegungsfragen aufwirft

Gesundheitsdaten in der Cloud zu verarbeiten, ist technisch längst Alltag. Rechtlich bleibt es anspruchsvoll. § 393 SGB V soll hierfür verbindliche Mindeststandards setzen. Bei näherem Hinsehen zeigt sich jedoch: Die Norm beantwortet wichtige Fragen – und eröffnet zugleich neue.

Mit dem Digital-Gesetz hat der Gesetzgeber 2024 § 393 SGB V eingeführt. Die Vorschrift schafft eine Befugnis zur Verarbeitung von Gesundheitsdaten im Bereich der gesetzlichen Krankenversicherung und formuliert Anforderungen an Datenschutz und IT-Sicherheit beim Einsatz von Cloud-Diensten.

Schon am Ausgangspunkt bleibt allerdings offen, ob § 393 SGB V der einzige zulässige Weg für eine Verarbeitung von Gesundheitsdaten in der Cloud ist oder ob daneben andere Rechtsgrundlagen bestehen. Abgesehen von der Gleichwertigkeitsregelung in Absatz 6 gibt der Wortlaut darauf keine eindeutige Antwort.

1. Was ist überhaupt ein Cloud-Computing-Dienst?

Ob § 393 SGB V anwendbar ist, richtet sich nach der Definition in § 384 Nr. 5 SGB V. Danach müssen fünf Merkmale kumulativ vorliegen:

• Digitaler Dienst: Der Dienst wird elektronisch bereitgestellt.
• Auf Abruf: Der Nutzer kann sich selbstständig Rechenkapazitäten – etwa Serverzeit – zuweisen, ohne dass eine Interaktion mit dem Anbieter erforderlich ist.
• Umfassender Fernzugang: Der Zugriff erfolgt aus der Ferne; das Internet ist dabei nicht zwingend vorgeschrieben.
• Skalierbarer und elastischer Ressourcenpool: Der Anbieter kann Ressourcen flexibel an die Nachfrage anpassen.
• Gemeinsame Nutzung: Die Infrastruktur wird von mehreren Nutzern verwendet, während die Verarbeitung getrennt erfolgt.

In einfachen Konstellationen ist die Einordnung klar: Werden Daten etwa in Microsoft Azure oder AWS verarbeitet, liegt regelmäßig ein Cloud-Dienst im Sinne der Vorschrift vor. Komplexer wird es bei mehrstufigen Leistungsketten. Eine SaaS-Anwendung kann einen zusätzlichen Cloud-Dienst darstellen, auch wenn sie ihrerseits auf der Infrastruktur eines Hyperscalers betrieben wird. Deshalb ist nicht nur die technische Basis, sondern jede einzelne Anwendung und Leistungsebene gesondert auf die fünf Merkmale zu prüfen.

Praxispunkt: Cloud-Dienste können mit mehreren Anbietern und auf verschiedenen Ebenen bestehen. Die Prüfung darf daher nicht bei einem Rechenzentrum enden.

2. Wer ist die datenverarbeitende Stelle?

Ist eine Leistung als Cloud-Dienst einzuordnen, folgt die nächste – und entscheidende – Frage: Wer ist die datenverarbeitende Stelle? Gerade an diesen Begriff knüpft § 393 SGB V zentrale Rechtsfolgen. Die betreffende Stelle muss insbesondere über eine Niederlassung im Inland verfügen (§ 393 Abs. 2 SGB V) und ein aktuelles C5-Testat vorweisen (§ 393 Abs. 3 Nr. 2 SGB V).

Das Problem: Der Gesetzgeber definiert den Begriff nicht, und auch die DSGVO kennt ihn in dieser Form nicht. Damit kommen mehrere Lesarten in Betracht:

• Der Cloud-Anbieter: Das erscheint naheliegend, weil er typischerweise Auftragsverarbeiter ist, den Cloud-Betrieb technisch beherrscht und für „seine“ Cloud sinnvollerweise ein C5-Testat erlangen kann. Auch die Pflicht zu einer Niederlassung im Inland passt zu diesem Akteur.
• Der Leistungserbringer: Er ist regelmäßig datenschutzrechtlich Verantwortlicher. Für diese Auslegung wird unter anderem angeführt, dass Verantwortliche in älteren Landesdatenschutzgesetzen als „datenverarbeitende Stellen“ bezeichnet wurden.
• Die Krankenkasse: Teilweise wird auch sie als datenverarbeitende Stelle angesehen, weil Krankenkassen zu den Normadressaten gemäß Absatz 1 gehören. Diese Auslegung überzeugt allerdings weniger.
• Jede zugriffsberechtigte Stelle: Denkbar ist schließlich ein weites Verständnis, nach dem jeder Beteiligte erfasst ist, der im Verarbeitungsprozess auf Gesundheitsdaten zugreifen kann.

Je nachdem, welcher Auslegung man folgt, verschieben sich die Pflichten erheblich. Genau das macht die Norm für Leistungserbringer, Cloud-Anbieter und weitere Dienstleister schwer kalkulierbar.

3. Welche Anforderungen gelten – und für wen?

Sind die Voraussetzungen des § 393 SGB V erfüllt, gelten insbesondere folgende Anforderungen:

• Die Verarbeitung darf nur im Inland, im EU-/EWR-Raum oder in einem Drittstaat mit Angemessenheitsbeschluss erfolgen. Andere nach Art. 46 DSGVO grundsätzlich zulässige Garantien – etwa Binding Corporate Rules oder Standarddatenschutzklauseln der EU-Kommission – genügen im Anwendungsbereich des § 393 SGB V nicht.
• Die datenverarbeitende Stelle muss über eine Niederlassung im Inland verfügen.
• Es müssen angemessene technische und organisatorische Maßnahmen der IT-Sicherheit umgesetzt sein.
• Die datenverarbeitende Stelle benötigt ein aktuelles C5-Testat vom Typ 2.

Unklar bleibt jedoch, welcher Beteiligte welche Anforderung erfüllen muss. In Betracht kommen der Leistungserbringer als Verantwortlicher, der eigentliche Cloud-Anbieter, weitere Auftragsverarbeiter mit Datenzugriff, die gesetzlichen Krankenkassen oder – bei weiter Auslegung – sämtliche Beteiligten der Verarbeitungskette.

Das praktische Dilemma: Die Rechtsfolgen sind verbindlich, ihr Adressat ist aber nicht hinreichend eindeutig bestimmt.

4. Was bedeutet das für die Praxis?

Bis zu einer gesetzlichen oder gerichtlichen Klärung empfiehlt sich ein vorsichtiger Ansatz:

• Datenstandorte begrenzen: Gesundheitsdaten sollten möglichst ausschließlich im Inland oder im EU-/EWR-Raum verarbeitet werden. Bei einer Verarbeitung in Drittstaaten sollte jedenfalls ein Angemessenheitsbeschluss bestehen.
• Die gesamte Leistungskette prüfen: Nicht nur der Hyperscaler, sondern auch SaaS-Anbieter, Unterauftragnehmer und sonstige Dienstleister mit möglichem Datenzugriff sind einzubeziehen.
• C5-Nachweise vertraglich absichern: Leistungserbringer sollten sich das einschlägige, aktuelle C5-Testat des Cloud-Anbieters vorlegen lassen und dessen Geltungsbereich genau prüfen.
• Auslegungsrisiken dokumentieren: Die gewählte rechtliche Einordnung, Verantwortlichkeiten und technischen Schutzmaßnahmen sollten nachvollziehbar festgehalten werden.

Auch dieses Vorgehen schafft keine vollständige Rechtssicherheit. Es reduziert aber das Risiko, dass wesentliche Anforderungen übersehen werden, und verbessert die Verteidigungsposition, falls die eigene Auslegung später überprüft wird.

5. Fazit: Eine Befugnisnorm mit Schwebezustand

• 393 SGB V will einen verlässlichen Rahmen für Cloud-Verarbeitung im Gesundheitswesen schaffen. Derzeit wirkt die Vorschrift jedoch wie eine Befugnisnorm, die an zentralen Stellen in der Luft hängt. Solange insbesondere der Begriff der „datenverarbeitenden Stelle“ nicht präzisiert ist, bleibt die rechtskonforme Umsetzung für alle Beteiligten mit erheblichen Auslegungsrisiken verbunden.

Mehr Rechtssicherheit könnte durch eine gesetzliche Klarstellung, durch einschlägige höchstrichterliche Rechtsprechung oder – mit begrenzter Bindungswirkung – eine Auslegungshilfe des Bundesministeriums für Gesundheit entstehen. Bleibt eine Klärung aus, droht ausgerechnet eine Vorschrift zur Förderung sicherer Digitalisierung den digitalen Wandel im Gesundheitswesen auszubremsen.