Ein Laborbefund muss in die behandelnde Praxis, ein Arztbrief an die weiterbetreuende Klinik, eine Bildaufnahme zum Facharzt. Medizinische Versorgung braucht Informationen, die rechtzeitig und zuverlässig dort ankommen, wo sie benötigt werden.
Cloud-Dienste können diesen Austausch erleichtern. Sie ermöglichen es, Dokumente digital bereitzustellen und berechtigten Personen zugänglich zu machen. Gleichzeitig stellen Gesundheitsdaten hohe Anforderungen an den Schutz der Inhalte, die Organisation der Zugriffe und den Betrieb der eingesetzten Systeme.
Für Arztpraxen, Kliniken und Labore kommt es deshalb darauf an, die technischen Möglichkeiten mit den rechtlichen und organisatorischen Anforderungen zusammenzubringen.
Was Cloud Computing im Gesundheitswesen bedeutet
Cloud Computing umfasst die Bereitstellung von IT-Ressourcen über ein Netzwerk. Dazu gehören Speicherplatz, Rechenleistung und Anwendungen. Eine Einrichtung kann beispielsweise einen Dienst für den Dateiaustausch nutzen oder medizinische Software in einer Cloud-Umgebung betreiben.
Dabei gibt es unterschiedliche Betriebsmodelle:
- Private Cloud: Die Infrastruktur steht ausschließlich einer Einrichtung zur Verfügung. Sie kann intern oder durch einen Dienstleister betrieben werden.
- Public Cloud: Ein Anbieter stellt Dienste für mehrere Kunden bereit. „Public“ bedeutet dabei nicht, dass die gespeicherten Daten öffentlich zugänglich sind.
- Hybrid Cloud: Mehrere eigenständige Cloud-Infrastrukturen werden miteinander verbunden, etwa eine private Umgebung mit externen Cloud-Diensten.
Diese Begriffe beschreiben die Bereitstellung der Infrastruktur. Ob eine Lösung für Gesundheitsdaten geeignet ist, hängt zusätzlich von ihrer konkreten Ausgestaltung ab: von Sicherheitsmaßnahmen, Verträgen, Verarbeitungsorten und den einschlägigen gesetzlichen Vorgaben. Eine Private Cloud ist daher nicht automatisch sicher, und eine Public Cloud ist nicht grundsätzlich ausgeschlossen. Eine Private Cloud ist daher nicht automatisch sicher, und eine Public Cloud ist nicht grundsätzlich ausgeschlossen. Quelle: BSI – Sicherheitsempfehlungen für Cloud-Anbieter
Typische Einsatzmöglichkeiten im medizinischen Alltag
Ein häufiger Anwendungsfall ist der Austausch von Befunden und Behandlungsunterlagen zwischen Einrichtungen. Statt Dokumente auf wechselnden Übertragungswegen zu versenden, lassen sie sich in einer dafür vorgesehenen Umgebung bereitstellen. Zugriffsrechte legen fest, welche Personen die jeweiligen Inhalte erhalten.
Auch innerhalb einer Einrichtung können Cloud-Dienste die Zusammenarbeit unterstützen. Gemeinsam benötigte Unterlagen stehen an verschiedenen Standorten zur Verfügung. Bei geeigneter Versionierung lässt sich nachvollziehen, welche Fassung aktuell ist.
Für Patienten können geschützte digitale Zugänge die Bereitstellung eigener Befunde erleichtern. Dabei müssen Identität, Berechtigung und der Umfang der freigegebenen Informationen zuverlässig geklärt sein.
Weitere Einsatzfelder sind cloudbasierte Anwendungen für die Versorgung sowie die Zusammenarbeit in Forschungsprojekten. Dort ist gesondert zu prüfen, welche Daten für welchen Zweck verarbeitet werden dürfen. Dass Informationen technisch verfügbar sind, erlaubt noch keine beliebige Weiterverwendung.
Diese Einsatzmöglichkeiten werden auch auf der bisherigen TeamDrive-Anwenderseite zum Gesundheitswesen beschrieben.
Gesundheitsdaten brauchen eine passende Rechtsgrundlage
Gesundheitsdaten gehören nach Artikel 9 DSGVO zu den besonders geschützten Kategorien personenbezogener Daten. Ihre Verarbeitung benötigt eine Rechtsgrundlage nach Artikel 6 und eine einschlägige Ausnahme vom Verarbeitungsverbot nach Artikel 9.
Eine ausdrückliche Einwilligung ist eine mögliche Grundlage, aber nicht für jede Verarbeitung zwingend erforderlich. Auch die medizinische Versorgung kann unter den gesetzlichen Voraussetzungen eine Verarbeitung erlauben.
Wird ein Cloud-Anbieter als Auftragsverarbeiter eingebunden, ist die Zusammenarbeit nach Artikel 28 DSGVO vertraglich zu regeln. Dazu gehören unter anderem Weisungen, Sicherheitsmaßnahmen und der Umgang mit weiteren Auftragsverarbeitern. Ob eine Datenschutz-Folgenabschätzung erforderlich ist, richtet sich insbesondere nach den Risiken der geplanten Verarbeitung. Quelle: DSGVO, insbesondere Artikel 6, 9, 28 und 35
Zusätzlich ist die berufliche Schweigepflicht zu berücksichtigen. § 203 StGB erlaubt unter bestimmten Voraussetzungen die Einbindung sonstiger mitwirkender Personen, etwa externer IT-Dienstleister. Dabei kommt es unter anderem auf die Erforderlichkeit der Einbindung und die Verpflichtung zur Geheimhaltung an. Verschlüsselung unterstützt den Schutz der Inhalte; sie ersetzt die Prüfung dieser Voraussetzungen nicht. Quelle: § 203 StGB
Zusätzliche Anforderungen nach § 393 SGB V
Für Leistungserbringer im Anwendungsbereich des § 393 SGB V, Kranken- und Pflegekassen sowie ihre jeweiligen Auftragsdatenverarbeiter gelten besondere Vorgaben für die Verarbeitung von Sozial- und Gesundheitsdaten durch Cloud-Dienste.
Dazu zählen zulässige Verarbeitungsorte, eine Niederlassung der datenverarbeitenden Stelle in Deutschland sowie angemessene technische und organisatorische Maßnahmen nach dem Stand der Technik. Außerdem sind Sicherheitsnachweise und die Umsetzung der im Prüfbericht genannten korrespondierenden Kundenkriterien erforderlich.
Grundsätzlich verlangt die Vorschrift seit dem 1. Juli 2025 ein aktuelles C5-Typ2-Testat. Für neu in Verkehr gebrachte Systeme bestehen Übergangsregeln. Unter festgelegten Voraussetzungen können auch gleichwertige Sicherheitsnachweise anerkannt werden.
Bei der Auswahl eines Dienstes sollte deshalb geprüft werden, welche Systeme und Leistungen der Nachweis tatsächlich abdeckt. Ein geprüftes Rechenzentrum allein beantwortet nicht automatisch alle Fragen zur eingesetzten Cloud-Anwendung. Quellen: § 393 SGB V, BMG – Fragen und Antworten zum Digital-Gesetz
Sichere Cloud-Nutzung braucht klare Abläufe
Die Einführung beginnt mit dem vorgesehenen Arbeitsprozess: Welche Informationen sollen bereitgestellt werden, wer benötigt sie und welche Systeme sind beteiligt? Daraus ergeben sich Anforderungen an Berechtigungen, Schnittstellen und den Betrieb.
Für den praktischen Einsatz sollten Einrichtungen insbesondere folgende Punkte festlegen:
- Zugriffsrechte: Beschäftigte und externe Beteiligte erhalten nur die Berechtigungen, die sie für ihre Aufgaben benötigen. Beim Ausscheiden werden Zugänge entzogen.
- Schutz der Inhalte: Das Verschlüsselungs- und Schlüsselkonzept muss zum vorgesehenen Einsatz passen. Bei Ende-zu-Ende-Verschlüsselung ist auch die Wiederherstellung verlorener Schlüssel zu berücksichtigen.
- Schutz der Endgeräte: Geräte, auf denen Dokumente geöffnet werden, benötigen ebenfalls geeignete Sicherheitsmaßnahmen.
- Ausfallvorsorge: Für Störungen müssen Zuständigkeiten, Wiederherstellungsverfahren und erforderliche alternative Arbeitswege feststehen.
- Beendigung der Nutzung: Datenexport, Löschung und ein möglicher Anbieterwechsel sollten vor Vertragsabschluss geklärt sein.
Solche Entscheidungen gehören über den gesamten Lebenszyklus eines Cloud-Dienstes hinweg zur sicheren Nutzung. Sie lassen sich nicht vollständig an den Anbieter abgeben. Quelle: BSI – Sichere Nutzung von Cloud-Diensten
Cloud-Speicherung, Backup und Archivierung erfüllen unterschiedliche Aufgaben
Eine Datei in der Cloud ist noch kein vollständiges Archivierungskonzept. Für medizinische Unterlagen müssen Aufbewahrungsfristen und Anforderungen an die Dokumentation berücksichtigt werden.
Nach § 630f BGB ist die Behandlungsakte grundsätzlich zehn Jahre nach Abschluss der Behandlung aufzubewahren, sofern andere Vorschriften keine abweichenden Fristen vorsehen. Eine allgemeine gesetzliche Aufbewahrungspflicht von 30 Jahren für sämtliche Patientenakten besteht daraus nicht.
Bei Änderungen an der Behandlungsakte müssen der ursprüngliche Inhalt und der Zeitpunkt der Änderung erkennbar bleiben. Das gilt auch für elektronisch geführte Akten. Quelle: § 630f BGB
Für die technische Planung sollten drei Aufgaben getrennt betrachtet werden: Die laufende Speicherung stellt Unterlagen im Alltag bereit. Ein Backup dient der Wiederherstellung nach einem Datenverlust. Die Archivierung erhält Dokumente und ihre Nachvollziehbarkeit über die erforderliche Dauer.
Dazu gehört auch die langfristige Lesbarkeit. Dateiformate, Exportmöglichkeiten und notwendige Migrationen sollten Teil des Konzepts sein. Ein Cloud-Speicher allein löst diese Aufgabe nicht.
Die elektronische Patientenakte ist eine eigene Anwendung
Die elektronische Patientenakte und ein Cloud-Dienst für den Dateiaustausch erfüllen unterschiedliche Aufgaben. Die ePA ist eine Anwendung der Telematikinfrastruktur mit eigenen Zugriffs- und Widerspruchsregeln. Sie lässt sich nicht mit einem beliebigen gemeinsam genutzten Dateiordner gleichsetzen.
Bei der ePA für gesetzlich Versicherte gilt das Widerspruchsmodell. Der Zugriff von Leistungserbringern ist an festgelegte Voraussetzungen gebunden. Krankenkassen können die medizinischen Inhalte der ePA nicht einsehen. Quelle: Bundesgesundheitsministerium – ePA für alle
Ein zusätzlicher Cloud-Dienst kann andere Austauschprozesse unterstützen. Seine Rolle sollte gegenüber der ePA und den vorhandenen Praxis- oder Krankenhausinformationssystemen klar definiert sein.
Vom einzelnen Austauschprozess zur passenden Lösung
Ein sinnvoller Einstieg ist ein konkret abgegrenzter Vorgang, etwa die Bereitstellung bestimmter Unterlagen zwischen einer Praxis und einem Labor. So lässt sich im Alltag prüfen, ob Berechtigungen, Bedienung und technische Anbindung funktionieren.
Die Qualität einer Cloud-Lösung zeigt sich dabei auch daran, ob Beschäftigte sie zuverlässig nutzen können. Klare Zuständigkeiten und verständliche Abläufe helfen, dass der vorgesehene Austauschweg tatsächlich verwendet wird.
Informationen zur Umsetzung mit TeamDrive finden Sie auf unserer Seite zu Cloud-Lösungen für Arztpraxen, Kliniken und Labore.
