„Wir sind DSGVO-konform“ ist ein Satz, den jeder Anbieter sagen kann. Er ist auch keine Antwort auf die Frage, die Praxen und Kliniken eigentlich stellen müssen: Wo werden unsere Daten verarbeitet, wer kann darauf zugreifen, und was passiert damit in drei Jahren?
Dieser Teil unserer Serie erklärt, warum der Verarbeitungsort bei Gesundheitsdaten ein Qualitätsmerkmal ist – und wie Sie in zehn Minuten erkennen, ob ein Angebot belastbar ist oder nur gut klingt.
Warum es hier um mehr als Datenschutz geht
Bei Gesundheitsdaten kommen drei Regelkreise zusammen:
- Datenschutz: Gesundheitsdaten sind besonders geschützt. Zweckbindung, Rechtsgrundlage, Löschung und Auftragsverarbeitung müssen geregelt sein.
- Ärztliche Schweigepflicht: Sie gilt für alle, die im Rahmen der Praxis tätig werden. Wer Zugriff auf Gesprächsinhalte, Dokumente oder Befunde hat, muss zur Verschwiegenheit verpflichtet sein – technisch und organisatorisch, nicht nur als Absichtserklärung.
- Zugriffsmöglichkeiten Dritter: Je nach Rechtsraum des Mutterunternehmens oder der Supportstruktur können behördliche Zugriffe oder Supportzugänge entstehen, die mit deutschem Berufsrecht schwer vereinbar sind.
Verarbeitung in der Europäischen Union ist deshalb kein Marketingvorteil, sondern eine Voraussetzung, die man belegen können muss – Anbieteransässigkeit in der EU genügt dafür nicht automatisch.
Sechs Fragen, die niemand gerne beantwortet
| Frage | Warum sie entscheidend ist | Woran Sie eine belastbare Antwort erkennen |
|---|---|---|
| 1. Wo liegt die Verarbeitung? | Speicherort und Zugriffsweg bestimmen, welches Recht gilt | Konkrete Region und Betreiber, nicht „Cloud in Europa“ |
| 2. Wer kann auf Daten zugreifen? | Support- und Wartungszugriffe sind der häufigste blinde Fleck | Dokumentierte Rollen, Zugriff nur auf Anforderung, jederzeit nachvollziehbar |
| 3. Wer sind die Unterauftragnehmer? | Ohne Liste gibt es keine Kontrolle über den Weg der Daten | Aktuelle Liste mit Zweck und Ort, Änderungen müssen angekündigt werden |
| 4. Was passiert mit den Daten darüber hinaus? | Training mit Kundendaten ist bei Gesundheitsdaten nicht sinnvoll legitimierbar | Vertraglicher Ausschluss, nicht eine Einstellung in der Oberfläche |
| 5. Wie lange und wie wird gelöscht? | Löschung muss auch Kopien, Protokolle und Sicherungen erfassen | Fristen plus ein beschriebener Löschweg |
| 6. Was passiert bei Einstellung des Dienstes? | Datenrückgabe und Migration sind Teil der Betriebssicherheit | Format, Frist und Ansprechpartner für den Beendigungsfall |
Nachweise statt Zusicherungen
Fünf Dokumente genügen, um die meisten Risiken zu bewerten. Wenn ein Anbieter sie nicht vorlegt, ist das eine Information über Ihre künftige Zusammenarbeit:
- Auftragsverarbeitungsvertrag mit klaren Weisungsketten und Löschregelungen
- Beschreibung technisch-organisatorischer Maßnahmen, nicht als Standardsatz, sondern bezogen auf dieses System
- Subunternehmerliste mit Verarbeitungsorten
- Lösch- und Aufbewahrungskonzept für alle Komponenten, inklusive Protokolle
- Sicherheitsnachweise: Schwachstellentest oder Prüfbericht – und ein Vorgangsprozess für den Fall, dass etwas passiert. Dazu unser Beitrag zu Sicherheitslücken in KI-Systemen.
Warnsignale, die schnell Klarheit bringen
„Wir sind DSGVO-konform“ – ohne Dokument. Eine Aussage ist kein Nachweis.
Support außerhalb der EU mit uneingeschränktem Zugriff. Fachlich gut begründet oder rechtlich riskant – dazwischen gibt es nichts.
Keine Subunternehmerliste. Wo niemand Auskunft gibt, kann niemand Aufsicht führen.
Training mit Kundendaten „zur Produktverbesserung“. Bei Gesundheitsdaten eine rote Linie.
Updates ohne Ankündigung. Ändert sich das Verhalten eines Systems unangekündigt, ändert sich auch Ihr Prozess – ohne Sie.
Erreichbarkeit nur über Formulare ohne Verantwortlichen. Im Störungsfall brauchen Sie einen Menschen, keine Ticketnummer.
Was das für die Auswahl bedeutet
Praktisch hat sich eine Reihenfolge bewährt, die viele umdrehen:
- Erst Betriebsmodell klären: Läuft das System in Ihrer Umgebung oder in einer EU-Region mit vertraglich geregeltem Zugriff? Beides ist möglich, beides muss beschrieben sein.
- Dann Nachweise sichten: die fünf Dokumente oben, in dieser Reihenfolge.
- Dann testen: technische Prüfung vor dem Rollout, wie in Teil 6 zur Governance beschrieben.
- Und erst dann über Funktionen und Preis sprechen. Wer in dieser Reihenfolge arbeitet, macht Funktionen zur Entscheidung über Qualität, nicht über Sicherheit.
Fazit
Der Verarbeitungsort ist kein Detail, sondern der Beweis, dass ein Anbieter die Besonderheit von Gesundheitsdaten verstanden hat. Sechs Fragen, fünf Dokumente und die Bereitschaft, eine unbefriedigende Antwort als Ausschlusskriterium zu behandeln – mehr braucht es nicht, um eine belastbare Entscheidung zu treffen. Wer hier Zeit investiert, spart sie später bei jeder Diskussion mit Datenschutz, Aufsicht oder Prüfstelle.
Diese Hinweise ersetzen keine Rechtsberatung. Wenn Sie Systeme suchen oder prüfen lassen, die im europäischen Rechtsraum betrieben und kontrollierbar bleiben, sprechen Sie uns an: cybereiche.de – methodisch dazu passend unser 5-Punkte-Selbstcheck für KI-Audits.