Microsoft 365 und Azure im Krankenhaus: Was ist erlaubt?
Unter welchen Bedingungen Krankenhäuser, MVZ und Pflegeeinrichtungen Microsoft 365 und Azure nutzen dürfen, wie die Datenschutzaufsichten die Dienste bewerten, was für kirchliche Träger und die Schweigepflicht gilt und welche Maßnahmen Sie umsetzen sollten.
Michael DeinhardGeschäftsführer, Berater und TrainerKurze Antwort
Microsoft 365 und Azure dürfen im Krankenhaus genutzt werden, auch für Gesundheitsdaten – aber nur unter Bedingungen. Für Gesundheits- und Sozialdaten verlangt § 393 SGB V unter anderem eine Verarbeitung in der EU oder einem gleichgestellten Staat, eine Niederlassung im Inland und ein aktuelles C5-Testat. Dazu kommen DSGVO, die Schweigepflicht nach § 203 StGB und bei kirchlichen Trägern das kirchliche Datenschutzrecht. Ob der Einsatz zulässig ist, entscheidet sich an den konkreten Diensten, Verträgen und Einstellungen.
Stand: November 2026
Das Wichtigste in Kürze
- Ein generelles Verbot von Microsoft 365 oder Azure im Gesundheitswesen gibt es nicht. Es gibt aber mehrere Rechtsrahmen, die gleichzeitig gelten.
- § 393 SGB V regelt den Cloud-Einsatz für Gesundheits- und Sozialdaten. Microsoft stellt C5-Berichte bereit; ob sie Ihre Dienste abdecken, müssen Sie prüfen.
- Datenübermittlungen in die USA stützen sich auf das EU-US Data Privacy Framework. Ein Verfahren dagegen ist beim Europäischen Gerichtshof anhängig.
- Die Datenschutzkonferenz sah 2022 keinen Nachweis für einen datenschutzkonformen Betrieb. Der Hessische Datenschutzbeauftragte hält ihn seit November 2025 unter Bedingungen für möglich.
- Die Schweigepflicht nach § 203 StGB verlangt eine Verpflichtung des Dienstleisters zur Geheimhaltung.
- Entscheidend sind Konfiguration, Berechtigungen und klare Regeln, welche Daten in welchen Dienst dürfen.
Was verlangt § 393 SGB V von Microsoft 365 und Azure?
Kurze Antwort
Für Gesundheits- und Sozialdaten eine Verarbeitung im Inland, in der EU, einem gleichgestellten Staat oder einem Drittstaat mit Angemessenheitsbeschluss, eine Niederlassung der datenverarbeitenden Stelle im Inland, angemessene Sicherheitsmaßnahmen und ein aktuelles C5-Testat – seit Juli 2025 grundsätzlich vom Typ 2.
Die Einzelheiten der Vorschrift und des C5-Testats erklärt der Artikel § 393 SGB V: Cloud im Gesundheitswesen. Für Microsoft-Dienste heißt das praktisch:
- C5-Berichte: Microsoft stellt im Service Trust Portal einen kombinierten Bericht für Azure, Dynamics 365 und weitere Onlinedienste (SOC 2 Typ 2, C5, CSA STAR) sowie einen eigenen C5-Typ-2-Bericht für Microsoft 365 bereit. Für Azure kündigt Microsoft einen eigenständigen C5-Bericht an, der jährlich den Zeitraum vom 1. April bis 31. März abdecken soll.
- Prüfumfang: Ein Testat gilt nur für die darin genannten Dienste. Prüfen Sie für jeden genutzten Dienst – etwa Exchange Online, Teams, SharePoint oder einen bestimmten Azure-Dienst –, ob er im Bericht enthalten ist.
- Kundenkriterien: Der Bericht nennt Maßnahmen, die der Kunde selbst umsetzen muss. Ohne sie ist die Verarbeitung nach § 393 Abs. 3 Nr. 3 SGB V nicht zulässig.
- Niederlassung: Klären Sie, welche Microsoft-Gesellschaft Ihr Vertragspartner ist und wie die Anforderung einer Niederlassung im Inland in Ihrem Fall erfüllt wird. Diese Frage sollten Sie rechtlich prüfen lassen.
Wie steht es um Datenübermittlungen in die USA?
Kurze Antwort
Übermittlungen an zertifizierte US-Unternehmen sind seit Juli 2023 auf Grundlage des EU-US Data Privacy Framework zulässig. Zusätzlich verarbeitet Microsoft die Daten seiner Kerndienste seit Februar 2025 weitgehend innerhalb der EU-Datengrenze.
Data Privacy Framework: Mit dem Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023 hat die EU-Kommission festgestellt, dass die USA für Daten, die an zertifizierte Organisationen übermittelt werden, ein angemessenes Schutzniveau bieten. Das Gericht der EU hat eine Klage dagegen am 3. September 2025 abgewiesen (Rechtssache T-553/23). Der Kläger hat am 31. Oktober 2025 Rechtsmittel beim Europäischen Gerichtshof eingelegt (C-703/25 P). Bis zu einer Entscheidung bleibt der Beschluss wirksam. Da § 393 SGB V Drittstaaten mit Angemessenheitsbeschluss ausdrücklich einbezieht, hängt auch die Bewertung nach dem Sozialrecht an diesem Beschluss.
EU-Datengrenze (EU Data Boundary): Microsoft hat nach eigenen Angaben im Februar 2025 die letzte Phase abgeschlossen. Microsoft 365, Dynamics 365, Power Platform und die meisten Azure-Dienste speichern und verarbeiten Kundendaten, pseudonymisierte personenbezogene Daten und Daten aus dem technischen Support danach innerhalb von EU und EFTA. Microsoft nennt aber Ausnahmen, etwa für Sicherheitsfälle, die eine weltweite Reaktion erfordern. Einzelne Azure-Dienste brauchen zusätzliche Einstellungen.
Für Krankenhäuser bedeutet das: Das Risiko von Drittlandübermittlungen ist deutlich kleiner geworden, aber nicht verschwunden. Halten Sie im Datenschutzkonzept fest, wie Sie reagieren würden, wenn der Angemessenheitsbeschluss aufgehoben wird.
Wie bewerten die Datenschutzaufsichten Microsoft 365?
Kurze Antwort
Uneinheitlich. Die Datenschutzkonferenz sah 2022 keinen Nachweis für einen datenschutzkonformen Betrieb, der Hessische Datenschutzbeauftragte hält ihn seit November 2025 unter Bedingungen für möglich. Eine neue gemeinsame Bewertung aller Aufsichten ist uns nicht bekannt.
| Datum | Stelle | Kernaussage |
|---|---|---|
| 24./25. November 2022 | Datenschutzkonferenz (DSK) | Verantwortliche können auf Grundlage des damaligen Datenschutznachtrags von Microsoft nicht nachweisen, dass sie Microsoft 365 datenschutzkonform betreiben. |
| 25. November 2022 | Microsoft | Microsoft teilt die Bewertung nicht, verweist auf bereits umgesetzte Änderungen, die geplante EU-Datengrenze und den erwarteten Angemessenheitsbeschluss für die USA. |
| 15. November 2025 | Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI) | Nach Verhandlungen mit Microsoft hält der HBDI einen datenschutzkonformen Einsatz unter Bedingungen für möglich; Verantwortliche müssen die im Bericht beschriebenen Maßnahmen in ihr Datenschutzmanagement übernehmen. |
Wichtig zur Einordnung: Die DSK hat 2022 vor allem das Vertragswerk bewertet und kein Verbot ausgesprochen. Der Bericht des HBDI ist keine Freigabe einzelner Dienste oder Konfigurationen und keine technische Prüfung. Er ist für Hessen erarbeitet; andere Aufsichtsbehörden können anders entscheiden. Für Krankenhäuser bleiben Rechtsgrundlage, Datenschutz-Folgenabschätzung und die Bewertung der konkreten Nutzung eigene Aufgaben.
Was gilt für kirchliche Träger?
Kurze Antwort
Krankenhäuser in katholischer oder evangelischer Trägerschaft unterliegen eigenem kirchlichem Datenschutzrecht und eigenen Aufsichten. Stimmen Sie den Einsatz von Microsoft 365 und Azure mit der zuständigen kirchlichen Datenschutzaufsicht ab.
Die DSGVO erlaubt Kirchen, eigene umfassende Datenschutzregeln weiter anzuwenden, wenn sie mit der Verordnung in Einklang stehen (Art. 91 DSGVO). Für katholische Einrichtungen gilt das Gesetz über den Kirchlichen Datenschutz (KDG), für evangelische das Datenschutzgesetz der EKD (DSG-EKD). Beide kennen ähnliche Pflichten wie die DSGVO, etwa Auftragsverarbeitung und Folgenabschätzung. Bewertungen staatlicher Aufsichtsbehörden wie die des HBDI binden die kirchlichen Aufsichten nicht. § 393 SGB V und § 203 StGB gelten für kirchliche Krankenhäuser unabhängig vom Träger.
Was bedeutet die Schweigepflicht nach § 203 StGB?
Kurze Antwort
Patientengeheimnisse dürfen Dienstleistern nur offenbart werden, soweit das für deren Mitwirkung erforderlich ist. Das Krankenhaus muss den Dienstleister zur Geheimhaltung verpflichten.
§ 203 Abs. 3 StGB erlaubt Berufsgeheimnisträgern, Geheimnisse an Personen weiterzugeben, die an ihrer Tätigkeit mitwirken – etwa an IT-Dienstleister –, soweit dies erforderlich ist. Nach Abs. 4 macht sich strafbar, wer nicht dafür sorgt, dass eine mitwirkende Person zur Geheimhaltung verpflichtet wurde, wenn diese ein Geheimnis unbefugt offenbart. Für Microsoft-Dienste heißt das:
- Prüfen Sie, ob die Vertragsunterlagen eine Verpflichtung zur Geheimhaltung enthalten, die den Anforderungen des § 203 StGB genügt.
- Begrenzen Sie die Offenbarung auf das Erforderliche: Nicht jede Anwendung in Microsoft 365 braucht Patientendaten.
- Dokumentieren Sie die Prüfung zusammen mit der Datenschutzbewertung.
Welche technischen und organisatorischen Maßnahmen sind nötig?
Kurze Antwort
Ein sicheres Identitäts- und Berechtigungskonzept, Klassifizierung und Schutz sensibler Daten, Protokollierung, eine restriktive Grundkonfiguration und klare Nutzungsregeln für Beschäftigte.
| Bereich | Maßnahmen |
|---|---|
| Identität und Zugriff | Mehr-Faktor-Anmeldung für alle, bedingter Zugriff nach Gerät und Standort, getrennte Administrationskonten, regelmäßige Überprüfung von Rechten |
| Datenschutz und Klassifizierung | Vertraulichkeitsbezeichnungen für Patientendaten, Regeln gegen Datenabfluss (DLP), Verschlüsselung, Aufbewahrungs- und Löschregeln |
| Konfiguration | EU-Datengrenze und Datenstandort prüfen, Diagnosedaten und optionale verbundene Dienste auf das Nötige begrenzen, externe Freigaben in Teams und SharePoint einschränken |
| Protokollierung und Überwachung | Audit-Protokolle aktivieren und auswerten, Anbindung an die Sicherheitsüberwachung, Meldewege für Vorfälle |
| Verträge und Nachweise | Auftragsverarbeitung, Geheimhaltungsverpflichtung, C5-Bericht und Kundenkriterien, Verzeichnis der Verarbeitungstätigkeiten, Datenschutz-Folgenabschätzung |
| Organisation | Nutzungsrichtlinie, Schulung der Beschäftigten, Rollen für Betrieb und Datenschutz, jährliche Überprüfung |
| Notfall | Plan für den Ausfall der Dienste und für einen Wechsel des Anbieters, Datensicherung außerhalb des Mandanten nach Bedarf |
Hinweis zu Copilot: Microsoft 365 Copilot kann auf alle Inhalte zugreifen, die eine Person in Microsoft 365 sehen darf. Zu weit gefasste Berechtigungen werden damit schnell sichtbar. Klären Sie Berechtigungen und Klassifizierung deshalb vor der Einführung. Was beim Einsatz im Krankenhaus zu beachten ist, beschreibt der Artikel Microsoft Copilot im Krankenhaus; für KI-Dienste allgemein siehe ChatGPT im Krankenhaus.
Entscheidungshilfe: Welche Daten in welchen Dienst?
Kurze Antwort
Je sensibler die Daten, desto mehr Bedingungen müssen erfüllt sein. Beginnen Sie mit Anwendungen ohne Patientendaten und erweitern Sie schrittweise.
| Einsatz | Typische Daten | Voraussetzungen | Einschätzung |
|---|---|---|---|
| E-Mail, Kalender, Teams für Verwaltung und Organisation | Beschäftigtendaten, Geschäftsdaten | DSGVO-Prüfung, Auftragsverarbeitung, Grundkonfiguration, Beteiligung der Mitarbeitervertretung | in der Regel gut umsetzbar |
| Dokumentenablage in SharePoint und OneDrive ohne Patientenbezug | Verträge, Konzepte, Protokolle | wie oben, Berechtigungskonzept | in der Regel gut umsetzbar |
| Kommunikation über einzelne Patientinnen und Patienten in Teams oder per E-Mail | Gesundheitsdaten | § 393 SGB V mit C5-Prüfung, § 203 StGB, Klassifizierung, Datenschutz-Folgenabschätzung | möglich, aber nur mit vollständiger Prüfung und klaren Regeln |
| Datenplattform und Auswertungen in Azure | pseudonymisierte oder identifizierende Gesundheitsdaten | § 393 SGB V, Pseudonymisierung wo möglich, Netz- und Zugriffskonzept | möglich; Pseudonymisierung senkt das Risiko deutlich |
| KIS oder klinische Kernsysteme in Azure | Gesundheitsdaten, versorgungskritisch | zusätzlich Verfügbarkeit und Notfallkonzept, NIS2- und KRITIS-Anforderungen, Herstellerfreigabe | sorgfältige Einzelfallentscheidung |
| KI-Assistenten wie Copilot | alle zugänglichen Inhalte | Berechtigungen bereinigt, Klassifizierung, Nutzungsregeln, KI-Kompetenz der Beschäftigten | erst nach Vorarbeiten |
Bei Architektur, Datenplattform und Umsetzung unterstützt die Beratung Softwareentwicklung und Integration, bei Konfiguration, Zugriffsschutz und NIS2 die Cybersecurity-Beratung.
Welche Schulungen helfen bei der Einführung?
Kurze Antwort
Wer Microsoft 365 und Azure im Krankenhaus verantwortet, braucht Wissen zu Administration, Zugriffsschutz, Informationsschutz und Datenschutz.
| Aufgabe | Passendes Seminar | Dauer |
|---|---|---|
| Cloud-Grundlagen und Azure-Dienste einordnen | AZ-900 Introduction to Cloud Infrastructure | 1 Tag |
| Microsoft 365 sicher administrieren | MS-102 Microsoft 365 Administrator | 5 Tage |
| SharePoint Online administrieren, Freigaben und Berechtigungen steuern | SharePoint Online for Administrators (MOC 55238), für Governance SharePoint Online – Architektur, Governance und Plattformverantwortung | 3 Tage / 5 Tage |
| Mehr-Faktor-Anmeldung und bedingten Zugriff umsetzen | Microsoft 365 Zero Trust – Architektur, Conditional Access & sichere Umsetzung in Azure | 2 Tage |
| Patientendaten klassifizieren und vor Abfluss schützen | SC-401 Protect sensitive information with Microsoft Purview | 4 Tage |
| Datenschutzpflichten kennen und umsetzen | EU-Datenschutz Grundverordnung (DSGVO) | 3 Tage |
Wie SharePoint im Krankenhaus sinnvoll eingesetzt wird, beschreibt der Artikel SharePoint im Krankenhaus. Alle Seminare zum Thema finden Sie unter Cloud Computing.
Fazit
Microsoft 365 und Azure sind im Krankenhaus nicht verboten, aber auch nicht ohne Weiteres erlaubt. Mehrere Rechtsrahmen greifen gleichzeitig: § 393 SGB V mit dem C5-Testat, die DSGVO mit der Frage der Drittlandübermittlung, die Schweigepflicht und bei kirchlichen Trägern das kirchliche Datenschutzrecht. Die Aufsichtsbehörden bewerten Microsoft 365 nicht einheitlich, und das Verfahren zum Data Privacy Framework ist noch offen. Krankenhäuser, die ihre Dienste genau prüfen, die Kundenkriterien umsetzen, sauber konfigurieren und mit Anwendungen ohne Patientendaten beginnen, können die Werkzeuge verantwortbar einsetzen.
Hinweis: Dieser Überblick ersetzt keine Rechtsberatung.
Quellen
- § 393 SGB V – Cloud-Einsatz im Gesundheitswesen. Bundesministerium der Justiz.
- § 203 StGB – Verletzung von Privatgeheimnissen. Bundesministerium der Justiz.
- Verordnung (EU) 2016/679 (DSGVO). Art. 9, 28, 35, 45 und 91.
- Durchführungsbeschluss (EU) 2023/1795 – EU-US Data Privacy Framework. Europäische Kommission.
- Rechtsmittel in der Rechtssache C-703/25 P, Latombe gegen Kommission. Amtsblatt der Europäischen Union, 22. Dezember 2025.
- Festlegung der Datenschutzkonferenz zu Microsoft 365. Datenschutzkonferenz, 24. November 2022.
- Microsoft erfüllt und übertrifft europäische Datenschutzgesetze. Microsoft Deutschland, 25. November 2022.
- Bericht zu Microsoft 365. Hessischer Beauftragter für Datenschutz und Informationsfreiheit, 15. November 2025.
- Microsoft completes landmark EU Data Boundary. Microsoft, 26. Februar 2025.
- Cloud Computing Compliance Criteria Catalog (C5) und Germany C5 – Azure Compliance. Microsoft Learn.
Passende Schulungen
Vertiefen Sie das Thema mit Ihrem Team – im offenen Seminar oder als Inhouse-Schulung.
- Microsoft 365 Zero Trust – Architektur, Conditional Access & sichere Umsetzung in Azure2 Tage · nächster Termin 09.–10.11.2026
- SC-401 Protect sensitive information with Microsoft Purview in the AI era (SC-401T00)4 Tage · nächster Termin 09.–12.11.2026
- AZ-900 Introduction to Cloud Infrastructure (AZ-900T00)1 Tag · nächster Termin 06.11.2026
- EU-Datenschutz Grundverordnung (DSGVO)3 Tage · nächster Termin 09.–11.11.2026
- Alle Seminare: Cloud ComputingTermine, Inhalte und Inhouse-Angebote