Selbstcheck · 2 Minuten
Cloud-Check nach § 393 SGB V
Darf Ihre Einrichtung einen Cloud-Dienst für Gesundheits- oder Sozialdaten nutzen? Beantworten Sie sieben Fragen zu einem Dienst und sehen Sie sofort, welche Bedingungen erfüllt sind und was noch fehlt.
Ihre Angaben bleiben in Ihrem Browser. Nichts wird übertragen oder gespeichert.
Der Check
Prüfen Sie jeweils einen Cloud-Dienst, zum Beispiel Microsoft 365, eine Praxissoftware aus der Cloud oder eine Datenplattform.
Ihr Ergebnis
Auswertung
Was jetzt zu tun ist
Orientierung auf Grundlage Ihrer Angaben, keine Rechtsberatung.
Die Bedingungen im Überblick
§ 393 SGB V erlaubt Leistungserbringern sowie Kranken- und Pflegekassen ausdrücklich, Gesundheits- und Sozialdaten mit Cloud-Diensten zu verarbeiten – wenn alle Bedingungen erfüllt sind.
| Bedingung | Inhalt | Absatz |
|---|---|---|
| Ort der Verarbeitung | Inland, EU-Mitgliedstaat, ein nach § 35 Abs. 7 SGB I gleichgestellter Staat oder ein Drittstaat mit Angemessenheitsbeschluss nach Art. 45 DSGVO | Abs. 2 |
| Niederlassung | Die datenverarbeitende Stelle hat eine Niederlassung in Deutschland | Abs. 2 |
| Sicherheitsmaßnahmen | Angemessene technische und organisatorische Maßnahmen nach dem Stand der Technik | Abs. 3 Nr. 1 |
| C5-Testat | Aktuelles Testat zu den C5-Basiskriterien für die eingesetzten Cloud-Systeme; seit 1. Juli 2025 Typ 2, für neue Systeme 18 Monate Typ 1; alternativ ein gleichwertiges Testat oder Zertifikat | Abs. 3 Nr. 2, Abs. 4 |
| Kundenkriterien | Die im Prüfbericht genannten Kriterien für Kunden sind umgesetzt | Abs. 3 Nr. 3 |
Was als „angemessen“ gilt
| Einrichtung | Maßstab für die Sicherheitsmaßnahmen |
|---|---|
| Krankenhaus | § 391 SGB V; für KRITIS-Häuser zusätzlich BSI-Gesetz und B3S Krankenhaus |
| Arzt- und Zahnarztpraxis, MVZ | § 390 SGB V (IT-Sicherheitsrichtlinie der KBV bzw. KZBV) |
| Kranken- und Pflegekasse | Branchenspezifischer Sicherheitsstandard B3S-GKV/PV |
| Alle anderen | Maßnahmen gleichwertig zu § 391 SGB V |
Ausführlich: § 393 SGB V und C5-Testat Microsoft 365 und Azure im Krankenhaus C5 im Glossar
Häufige Fragen zum Cloud-Einsatz nach § 393 SGB V
Für wen gilt § 393 SGB V?
Für Leistungserbringer nach dem Vierten Kapitel des SGB V – etwa Krankenhäuser, Arztpraxen, MVZ, Apotheken und Anbieter häuslicher Krankenpflege –, für Kranken- und Pflegekassen sowie für deren Auftragsverarbeiter. Pflegeeinrichtungen, die nur nach SGB XI tätig sind, sind nicht ausdrücklich genannt; die Anforderungen sind für sie trotzdem ein guter Maßstab.
Reicht ein Rechenzentrum in Deutschland?
Nein. Der Ort der Verarbeitung ist nur eine Bedingung. § 393 SGB V verlangt außerdem eine Niederlassung der datenverarbeitenden Stelle im Inland, angemessene Sicherheitsmaßnahmen, ein aktuelles C5-Testat und die Umsetzung der im Prüfbericht genannten Kundenkriterien.
Genügt ein C5-Testat vom Typ 1?
Seit dem 1. Juli 2025 ist grundsätzlich ein Typ-2-Testat nötig, das auch die Wirksamkeit der Maßnahmen über einen Berichtszeitraum bestätigt. Für neue Cloud-Systeme genügt für 18 Monate ein Typ-1-Testat. Statt C5 ist auch ein Testat oder Zertifikat mit vergleichbarem oder höherem Sicherheitsniveau möglich.
Was sind die Kundenkriterien im C5-Bericht?
Der Prüfbericht nennt „korrespondierende Kriterien für Kunden“: Maßnahmen, die der Kunde selbst umsetzen muss, etwa Rechte vergeben, Mehr-Faktor-Anmeldung einrichten oder Protokolle auswerten. Ohne ihre Umsetzung ist die Verarbeitung nach § 393 Abs. 3 Nr. 3 SGB V nicht zulässig.
Was gilt zusätzlich zu § 393 SGB V?
Datenschutzrecht nach DSGVO, SGB X und BDSG bleibt unberührt: Nötig sind eine Rechtsgrundlage und ein Vertrag zur Auftragsverarbeitung. Für Berufsgeheimnisträger gilt die Schweigepflicht nach § 203 StGB; Dienstleister müssen zur Geheimhaltung verpflichtet werden.
Ersetzt der Check eine Rechtsberatung?
Nein. Der Check gibt eine erste Orientierung auf Grundlage Ihrer Angaben. Ob ein Cloud-Dienst zulässig genutzt werden kann, hängt vom Einzelfall, vom Prüfbericht und von den Verträgen ab.
Quellen und Hinweis
- § 393 SGB V – Cloud-Einsatz im Gesundheitswesen
- BSI: Kriterienkatalog C5 (Cloud Computing Compliance Criteria Catalogue)
- § 203 StGB – Verletzung von Privatgeheimnissen
Stand: November 2026. Der Check ersetzt keine Rechtsberatung.
Lassen Sie uns über Ihr Projekt sprechen.
Unverbindliches Erstgespräch zu Beratung, Projekt oder Schulung.