Dürfen Krankenhäuser Gesundheitsdaten in der Cloud speichern?

Ja, seit dem Digital-Gesetz von 2024 ausdrücklich – aber nur unter den Bedingungen des § 393 SGB V. Die Verarbeitung muss im Inland, in der EU, in einem gleichgestellten Staat oder in einem Drittstaat mit Angemessenheitsbeschluss erfolgen, der Anbieter braucht eine Niederlassung in Deutschland, es müssen angemessene Sicherheitsmaßnahmen bestehen und ein aktuelles C5-Testat vorliegen.

Was ist der Unterschied zwischen C5 Typ 1 und Typ 2?

Ein Typ-1-Testat bestätigt, dass die Sicherheitsmaßnahmen eines Cloud-Dienstes so gestaltet sind, dass sie die C5-Kriterien erfüllen. Ein Typ-2-Testat prüft zusätzlich, ob die Maßnahmen über einen Berichtszeitraum tatsächlich wirksam waren. Nach § 393 SGB V ist seit dem 1. Juli 2025 grundsätzlich ein Typ-2-Testat nötig.

Wie lange ist ein C5-Testat gültig?

Ein C5-Testat bezieht sich immer auf einen abgeschlossenen Prüfzeitraum. Nach Angaben des BSI werden C5-Prüfungen in der Regel jährlich wiederholt. Kunden sollten den aktuellen Bericht deshalb jährlich anfordern und auswerten.

Reicht ein Rechenzentrum in Deutschland?

Nein. Der Ort der Verarbeitung ist nur eine Bedingung. Zusätzlich verlangt § 393 SGB V eine Niederlassung der datenverarbeitenden Stelle im Inland, angemessene technische und organisatorische Sicherheitsmaßnahmen, ein aktuelles C5-Testat und die Umsetzung der im Prüfbericht genannten Kundenkriterien. Datenschutzrecht und Schweigepflicht gelten zusätzlich.

Gilt § 393 SGB V auch für Pflegeeinrichtungen?

Die Vorschrift gilt für Leistungserbringer nach dem Vierten Kapitel des SGB V – etwa Krankenhäuser, Arztpraxen, Apotheken oder Anbieter häuslicher Krankenpflege – sowie für Kranken- und Pflegekassen und deren Auftragsverarbeiter. Pflegeeinrichtungen, die nur nach SGB XI tätig sind, sind nicht ausdrücklich genannt; die Anforderungen sind für sie trotzdem ein guter Maßstab.

§ 393 SGB V: Cloud im Gesundheitswesen und C5-Testat

Q: Was ist ein C5-Testat?

Ein Prüfbericht eines Wirtschaftsprüfers, der bestätigt, dass ein Cloud-Dienst die Kriterien des Kriterienkatalogs C5 (Cloud Computing Compliance Criteria Catalogue) des BSI erfüllt. Das BSI selbst prüft nicht und stellt kein Zertifikat aus; das Testat gilt immer für bestimmte Cloud-Dienste, nie für einen Anbieter insgesamt.

Kurze Antwort

Ja, die Gesundheitsbranche darf Cloud-Dienste nutzen – auch für Gesundheits- und Sozialdaten. § 393 SGB V erlaubt das Krankenhäusern, Arztpraxen und anderen Leistungserbringern sowie Kranken- und Pflegekassen, wenn vier Bedingungen erfüllt sind: Verarbeitung in Deutschland, der EU oder einem gleichgestellten Staat, eine Niederlassung des Anbieters im Inland, angemessene Sicherheitsmaßnahmen und ein aktuelles C5-Testat, seit Juli 2025 grundsätzlich vom Typ 2.

Stand: November 2026

Das Wichtigste in Kürze

§ 393 SGB V gilt seit dem Digital-Gesetz von 2024 und regelt den Cloud-Einsatz für Leistungserbringer, Kranken- und Pflegekassen und deren Auftragsverarbeiter.
Der Kriterienkatalog C5 des BSI ist der zentrale Nachweis. Ein Wirtschaftsprüfer testiert ihn, nicht das BSI.
Das Testat gilt nur für die geprüften Cloud-Dienste. Kunden müssen prüfen, ob ihr Dienst abgedeckt ist, und die im Bericht genannten Kundenkriterien selbst umsetzen.
Datenschutz (DSGVO, SGB X, BDSG) und die Schweigepflicht nach § 203 StGB gelten zusätzlich.
Seit Ende März 2026 gibt es die neue Fassung C5:2026; viele Testate beziehen sich noch auf C5:2020.

Was regelt § 393 SGB V?

Kurze Antwort

Die Vorschrift erlaubt Leistungserbringern sowie Kranken- und Pflegekassen ausdrücklich, Sozial- und Gesundheitsdaten mit Cloud-Diensten zu verarbeiten, und legt die Bedingungen dafür fest.

Die Überschrift lautet „Cloud-Einsatz im Gesundheitswesen“. Die Bedingungen im Überblick:

Bedingung	Inhalt	Absatz
Wer darf	Leistungserbringer nach dem Vierten Kapitel SGB V, Kranken- und Pflegekassen sowie ihre Auftragsverarbeiter	Abs. 1
Ort der Verarbeitung	Inland, EU-Mitgliedstaat, ein nach § 35 Abs. 7 SGB I gleichgestellter Staat oder ein Drittstaat mit Angemessenheitsbeschluss nach Art. 45 DSGVO	Abs. 2
Niederlassung	Die datenverarbeitende Stelle muss eine Niederlassung in Deutschland haben	Abs. 2
Sicherheitsmaßnahmen	Angemessene technische und organisatorische Maßnahmen nach dem Stand der Technik	Abs. 3 Nr. 1
C5-Testat	Aktuelles Testat zu den C5-Basiskriterien für die eingesetzten Cloud-Systeme und die Technik	Abs. 3 Nr. 2
Kundenkriterien	Die im Prüfbericht genannten „korrespondierenden Kriterien für Kunden“ sind umgesetzt	Abs. 3 Nr. 3
Typ des Testats	Bis 30. Juni 2025 genügte Typ 1, seit 1. Juli 2025 ist Typ 2 nötig; neue Systeme haben 18 Monate Übergangszeit mit Typ 1	Abs. 4
Gleichwertige Standards	Statt C5 auch ein Testat oder Zertifikat mit vergleichbarem oder höherem Sicherheitsniveau; welche Standards das sind, kann das BMG per Verordnung festlegen	Abs. 4

Was als „angemessen“ gilt, regelt Absatz 5 je nach Einrichtung: In Arzt- und Zahnarztpraxen sind es die Anforderungen nach § 390 SGB V, in zugelassenen Krankenhäusern die nach § 391 SGB V und bei Krankenkassen der branchenspezifische Sicherheitsstandard B3S-GKV/PV. In allen anderen Fällen müssen die Maßnahmen gleichwertig zu § 391 sein (Abs. 6). Datenschutzrecht nach SGB X und BDSG bleibt unberührt (Abs. 8).

Was ist ein C5-Testat?

Kurze Antwort

Der Nachweis, dass ein Cloud-Dienst die Mindestanforderungen des BSI-Kriterienkatalogs C5 an Informationssicherheit erfüllt – geprüft und bestätigt von einem Wirtschaftsprüfer.

Der Cloud Computing Compliance Criteria Catalogue (C5) des Bundesamts für Sicherheit in der Informationstechnik beschreibt Mindestanforderungen an sichere Cloud-Dienste. Er wurde 2016 erstmals veröffentlicht; seit Ende März 2026 liegt die überarbeitete Fassung C5:2026 vor, die auf C5:2020 aufbaut und unter anderem die NIS2-Richtlinie, ISO/IEC 27001:2022 und das europäische Cloud-Zertifizierungsschema berücksichtigt.

Merkmal	C5-Testat
Wer prüft?	Ein vom Cloud-Anbieter beauftragter Wirtschaftsprüfer; das BSI prüft nicht und wertet keine Berichte aus
Was wird geprüft?	Ein oder mehrere bestimmte Cloud-Dienste, nie der Anbieter insgesamt
Typ 1	Sind die Maßnahmen so gestaltet, dass die Kriterien erfüllt werden?
Typ 2	Waren die Maßnahmen im Berichtszeitraum auch wirksam?
Gültigkeit	Bezieht sich auf einen abgeschlossenen Zeitraum; Prüfungen werden in der Regel jährlich wiederholt
Ergebnis	Uneingeschränktes oder eingeschränktes Testat; der Bericht nennt Abweichungen

Wichtig für Kunden: Ein vorhandenes Testat allein reicht nicht. Das BSI weist darauf hin, dass auch ein uneingeschränktes Testat Abweichungen enthalten kann und Kunden den Bericht selbst auswerten müssen. Testierte Cloud-Systeme können auf Antrag des Anbieters zudem auf der Plattform des Kompetenzzentrums für Interoperabilität im Gesundheitswesen veröffentlicht werden (§ 393 Abs. 7).

Wo nutzt das Gesundheitswesen die Cloud heute?

Kurze Antwort

Vor allem für Büro- und Zusammenarbeitswerkzeuge, Verwaltungs- und Personalsoftware, Praxissoftware, Datenplattformen und KI-Dienste – und mit der elektronischen Patientenakte auch in der Versorgung.

Bereich	Typische Cloud-Nutzung	Hinweis
Zusammenarbeit	E-Mail, Teams, Dokumente, Microsoft 365	Gesundheitsdaten nur nach Prüfung von § 393, Datenschutz und Schweigepflicht
Verwaltung	Dienstplan, Personal, Einkauf, Finanzen als Software-as-a-Service	Häufig ohne Patientendaten, dann einfacher
Praxen und MVZ	Praxisverwaltung, Terminbuchung, Videosprechstunde	Anbieter müssen die Bedingungen des § 393 erfüllen
Telematikinfrastruktur	Elektronische Patientenakte in zentralen Aktensystemen; Anbindung über TI-Gateways statt Konnektor vor Ort	Betrieb durch zugelassene Dienstleister
Daten und Analysen	Power BI, Microsoft Fabric, Data Lakehouse	Für Auswertungen reichen oft pseudonymisierte Daten
KI	Sprachmodelle, Assistenten, Spracherkennung	Siehe ChatGPT im Krankenhaus

Wie eine Datenplattform in der Cloud aussieht, zeigen die Artikel Microsoft Fabric im Krankenhaus und Was ist ein Lakehouse?.

Was bremst den Cloud-Einsatz?

Kurze Antwort

Rechtliche Unsicherheit, die Schweigepflicht, Anforderungen an Verfügbarkeit unter NIS2 und KRITIS, Medizintechnik vor Ort, lange Verträge mit Herstellern und die Netzanbindung.

Schweigepflicht: Nach § 203 StGB dürfen Ärztinnen, Ärzte und ihre Einrichtungen Patientengeheimnisse Dienstleistern nur offenbaren, soweit dies für deren Tätigkeit erforderlich ist, und müssen sie zur Geheimhaltung verpflichten.
Datenschutz: Gesundheitsdaten sind nach Art. 9 DSGVO besonders geschützt; nötig sind Rechtsgrundlage, Auftragsverarbeitungsvertrag und eine Prüfung von Drittlandzugriffen.
Verfügbarkeit: Unter NIS2 und für kritische Infrastrukturen muss die Versorgung auch bei Störungen weiterlaufen. Notfallpläne für den Ausfall eines Cloud-Dienstes gehören dazu; siehe KRITIS und NIS2 im Gesundheitswesen.
Medizintechnik und KIS: Viele Systeme laufen eng gekoppelt vor Ort und mit langen Herstellerverträgen.
Netzanbindung: Ohne redundante Leitungen wird die Cloud zum Risiko für den Betrieb.

Wie wählen Sie einen Cloud-Dienst richtig aus?

Kurze Antwort

Testat, Ort und Niederlassung prüfen, den C5-Bericht selbst auswerten, Kundenkriterien umsetzen und Verträge, Verschlüsselung und Ausstieg regeln.

Daten einordnen: Verarbeitet der Dienst Gesundheits- oder Sozialdaten? Nur dann greift § 393 vollständig, Datenschutz gilt immer.
Ort und Niederlassung: Wo werden Daten verarbeitet, auch bei Support und Wartung? Hat der Anbieter eine Niederlassung in Deutschland?
C5-Bericht anfordern: Liegt ein aktuelles Typ-2-Testat vor? Deckt es genau den genutzten Dienst ab? Ist es eingeschränkt, und welche Abweichungen nennt es?
Kundenkriterien umsetzen: Der Bericht nennt, was der Kunde selbst tun muss, etwa Rechte vergeben oder Protokolle auswerten. Ohne Umsetzung ist die Verarbeitung nach § 393 Abs. 3 Nr. 3 nicht zulässig.
Verträge: Auftragsverarbeitung, Geheimhaltungsverpflichtung nach § 203 StGB, Unterauftragnehmer, Meldewege bei Sicherheitsvorfällen.
Technik: Verschlüsselung, Schlüsselverwaltung, Mehr-Faktor-Anmeldung und bedingter Zugriff; mehr dazu bei Zero Trust in Microsoft 365.
Ausstieg und Notfall: Datenrückgabe, Exportformate und ein Notfallplan für den Ausfall des Dienstes.
Jährlich wiederholen: Den neuen C5-Bericht anfordern und erneut bewerten.

Was gilt für Krankenhaus, Praxis, Pflege und Krankenkasse?

Einrichtung	Maßstab für die Sicherheitsmaßnahmen	Typische Cloud-Themen
Krankenhaus	§ 391 SGB V; für KRITIS-Häuser zusätzlich BSI-Gesetz und B3S	Microsoft 365, Datenplattformen, KI, Verwaltungssoftware
Arzt- und Zahnarztpraxis, MVZ	§ 390 SGB V (IT-Sicherheitsrichtlinie)	Praxissoftware aus der Cloud, Terminbuchung, Videosprechstunde
Pflegeeinrichtung	Gleichwertig zu § 391, soweit Leistungserbringer nach SGB V	Pflegedokumentation, Dienstplanung, Verwaltung
Kranken- und Pflegekasse	B3S-GKV/PV	Analysen, Kundenservice, Zusammenarbeit

Fazit

Die Cloud ist im Gesundheitswesen erlaubt und für viele Aufgaben längst Alltag – aber nicht beliebig. § 393 SGB V setzt klare Bedingungen, und das C5-Testat ist der wichtigste Nachweis. Entscheidend ist, den Prüfbericht wirklich auszuwerten, die eigenen Kundenpflichten umzusetzen und den Ausfall des Dienstes mitzuplanen. Bei Architektur, Datenplattform und Umsetzung unterstützt unsere Beratung Integration & Automatisierung, bei Sicherheit und NIS2 die Cybersecurity-Beratung.

Quellen

§ 393 SGB V – Cloud-Einsatz im Gesundheitswesen. Bundesministerium der Justiz.
§ 390 SGB V – IT-Sicherheit in der vertragsärztlichen und vertragszahnärztlichen Versorgung. Bundesministerium der Justiz.
§ 391 SGB V – IT-Sicherheit in Krankenhäusern. Bundesministerium der Justiz.
Kriterienkatalog C5. Bundesamt für Sicherheit in der Informationstechnik.
C5:2026. Bundesamt für Sicherheit in der Informationstechnik.
C5 – FAQ. Bundesamt für Sicherheit in der Informationstechnik.
§ 203 StGB – Verletzung von Privatgeheimnissen. Bundesministerium der Justiz.
Verordnung (EU) 2016/679 (DSGVO). Art. 9, 28 und 45.

Passende Schulungen

Vertiefen Sie das Thema mit Ihrem Team – im offenen Seminar oder als Inhouse-Schulung.

§ 393 SGB V: Cloud im Gesundheitswesen – Regeln, C5-Testat und Praxis

Was regelt § 393 SGB V?

Was ist ein C5-Testat?

Wo nutzt das Gesundheitswesen die Cloud heute?

Was bremst den Cloud-Einsatz?

Wie wählen Sie einen Cloud-Dienst richtig aus?

Was gilt für Krankenhaus, Praxis, Pflege und Krankenkasse?

Fazit

Quellen

Passende Schulungen

Häufige Fragen

Lassen Sie uns über Ihr Projekt sprechen.