Verantwortung in vernetzten Gesundheitssystemen
Wo mehrere Einrichtungen, Plattformen und technische Dienste an einer Verarbeitung beteiligt sind, entsteht im Störungsfall schnell ein Zuständigkeits-Pingpong. Datenschutzrechtlich kommt es jedoch nicht darauf an, wer im Vertrag an erster Stelle steht oder bei wem der Server steht. Entscheidend ist, wer für welchen Verarbeitungsvorgang über Zwecke und Mittel entscheidet und wem das Gesetz einen bestimmten Bereich zuweist.
Wenn jeder auf den anderen zeigt
Ein Krankenhaus bindet ein extern betriebenes Patientenportal an sein Krankenhausinformationssystem an. Nach einem Softwareupdate können einzelne Nutzer auf Dokumente zugreifen, die nicht für sie bestimmt sind. Der Plattformanbieter verweist auf das Berechtigungskonzept des Krankenhauses, das Krankenhaus auf das Update des Anbieters und der Hostingdienstleister erklärt, er stelle lediglich die technische Infrastruktur bereit.
Für die betroffenen Patientinnen und Patienten ist diese Rollenverteilung zunächst gleichgültig. Für die rechtliche und operative Reaktion ist sie dagegen entscheidend. Jemand muss den Zugriff unterbinden, den Vorfall untersuchen, Risiken bewerten, Beweise sichern und gegebenenfalls die Aufsichtsbehörde sowie die Betroffenen informieren. Bleibt erst im Ernstfall zu klären, wer welchen Teil der Verarbeitung beherrscht, wird aus einem Sicherheitsvorfall schnell auch ein Organisationsproblem. Die datenschutzrechtlichen Melde- und Benachrichtigungspflichten ergeben sich insbesondere aus Art. 33 und 34 DSGVO.
Die zentrale Frage lautet deshalb nicht schlicht, wer den Fehler verursacht hat. Vielmehr ist zu bestimmen, wer für den betroffenen Verarbeitungsschritt datenschutzrechtlich verantwortlich ist und welche weiteren Beteiligten ihn hierbei unterstützen oder gemeinsam mit ihm handeln. Erst auf dieser Grundlage lassen sich Pflichten, Meldewege und Haftungsrisiken sinnvoll zuordnen.
Nicht jede digitale Anwendung ist rechtlich dasselbe
Die digitale Versorgungslandschaft besteht aus sehr unterschiedlichen Systemen. Zur gesetzlich organisierten Telematikinfrastruktur gehören etwa Anwendungen wie die elektronische Patientenakte, KIM und das E-Rezept. Daneben stehen regulierte digitale Gesundheits- und Pflegeanwendungen, private Termin-, Kommunikations- und Telemedizinplattformen sowie interne oder cloudbasierte Systeme der Leistungserbringer.
Technisch können diese Angebote eng miteinander verbunden sein. Rechtlich folgen sie dennoch keinem einheitlichen Verantwortungsmodell. Bei der Telematikinfrastruktur verteilt das SGB V in § 307 die Verantwortung für einzelne Bereiche ausdrücklich. Bei einer privaten Plattform richtet sich die Rolle dagegen regelmäßig danach, wer die konkrete Verarbeitung tatsächlich gestaltet. Auch ein und dasselbe Unternehmen kann dabei für einen Vorgang Auftragsverarbeiter und für einen anderen Vorgang selbst Verantwortlicher sein.
Die Verantwortung folgt dem konkreten Verarbeitungsvorgang
Verantwortlicher ist nach Art. 4 Nr. 7 DSGVO, wer allein oder gemeinsam mit anderen über Zwecke und Mittel der Verarbeitung entscheidet. Vereinfacht gesagt geht es um das Warum und die wesentlichen Fragen des Wie. Ein Auftragsverarbeiter verarbeitet Daten dagegen für einen Verantwortlichen und auf dessen dokumentierte Weisung. Bestimmen mehrere Stellen Zwecke und Mittel gemeinsam, kommt eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO in Betracht.
Diese Rollen werden nicht durch die Überschrift eines Vertrages erzeugt. Eine Vereinbarung über Auftragsverarbeitung macht einen Dienstleister nicht zum Auftragsverarbeiter, wenn er für die Daten eigene Zwecke verfolgt oder wesentliche Entscheidungen selbst trifft. Umgekehrt wird ein technischer Dienstleister nicht schon deshalb zum Verantwortlichen, weil er fachliche Kenntnisse besitzt und über technische Einzelheiten seiner Leistung entscheidet.
Ebenso wenig führt jede Zusammenarbeit automatisch zu einer gemeinsamen Verantwortlichkeit. Erforderlich ist ein gemeinsamer Einfluss auf Zwecke und Mittel der konkreten Verarbeitung. Dieser Einfluss muss nicht gleich stark sein. Er kann sich zudem auf einen bestimmten Abschnitt der Verarbeitung beschränken. Die präzisere Frage lautet daher nicht: Wer ist für die Plattform verantwortlich? Sie lautet: Wer ist für welchen Verarbeitungsvorgang verantwortlich?
Die Telematikinfrastruktur verteilt die Verantwortung
Gerade bei der Telematikinfrastruktur liegt die Vorstellung nahe, eine zentrale Stelle müsse für sämtliche Verarbeitungsvorgänge innerhalb des Gesamtsystems verantwortlich sein. § 307 SGB V wählt allerdings einen anderen Ansatz. Die Vorschrift zerlegt die Infrastruktur in Verantwortungsbereiche und ordnet diese denjenigen zu, die den jeweiligen Verarbeitungsschritt beherrschen oder denen das Gesetz hierfür die Verantwortung zuweist.
Die Nutzer der dezentralen Infrastrukturkomponenten sind verantwortlich, soweit sie über die Mittel der Verarbeitung mitentscheiden. Diese Verantwortung umfasst insbesondere die ordnungsgemäße Inbetriebnahme, Wartung und Verwendung der Komponenten. Für den Betrieb des Zugangsdienstes ist jedoch dessen Anbieter verantwortlich. Innerhalb des gesicherten Netzes trägt der mit dem Betrieb beauftragte Anbieter die Verantwortung für die Datenübertragung. Die Anbieter der Dienste der Anwendungsinfrastruktur sind wiederum für die Verarbeitung zum Zweck der Nutzung ihres jeweiligen Dienstes verantwortlich.
Die Gematik ist nach § 307 Abs. 5 SGB V verantwortlich, soweit sie im Rahmen ihrer gesetzlichen Aufgaben die Mittel der Verarbeitung bestimmt und die Verantwortung nicht bereits einem der zuvor genannten Bereiche zugeordnet ist. Außerdem unterhält sie eine koordinierende Stelle, die Betroffenen Auskunft über Zuständigkeiten innerhalb der Telematikinfrastruktur erteilt. Das Gesetz schafft damit keinen einheitlichen Verantwortungsblock. Es verteilt die Verantwortung entlang der technischen und funktionalen Architektur.
Was das BSG tatsächlich entschieden hat
Diese Verteilung spielt auch im Urteil des Bundessozialgerichts vom 6. März 2024 – B 6 KA 23/22 R eine zentrale Rolle. Gegenstand des Verfahrens war die verpflichtende Anbindung einer vertragsärztlichen Praxis an die Telematikinfrastruktur im ersten Quartal 2019. Die Praxis wandte sich gegen eine Honorarkürzung, die wegen der unterbliebenen Durchführung des Onlineabgleichs der Versichertenstammdaten festgesetzt worden war.
Das BSG stellte zunächst klar, dass die DSGVO auf die Verarbeitung in der Telematikinfrastruktur anwendbar ist. Die Praxis war für die rechtmäßige Verarbeitung in den von ihr genutzten dezentralen Komponenten Verantwortliche. Wer Verarbeitungsvorgänge zu eigenen Zwecken in eigener Regie durchführt und hierauf tatsächlich Einfluss nimmt, verliert diese Stellung nicht allein deshalb, weil eine gesetzliche Pflicht zur Nutzung des Systems besteht.
Der heute geltende § 307 SGB V bestätigt diese Zuordnung. Zur lokalen Verantwortung gehören danach insbesondere die ordnungsgemäße Nutzung und Wartung der Komponenten, ihre Verbindung mit dem Praxisverwaltungssystem und erforderliche Softwareaktualisierungen. Auch die Pflicht, vorgegebene Komponenten zu verwenden, entbindet den Leistungserbringer nach der Entscheidung des BSG nicht davon, zusätzliche angemessene technische und organisatorische Maßnahmen zu treffen.
Wichtig ist allerdings eine häufig übersehene Präzisierung. Das BSG hat ausdrücklich offengelassen, ob und in welchem Umfang die Gematik für Verarbeitungen in den dezentralen Komponenten ebenfalls gemeinsam verantwortlich war. Für das Gericht kam es darauf nicht an, weil eine mögliche Mitverantwortung der Gematik die eigene Verantwortlichkeit der Praxis nicht beseitigte. Die verkürzte Aussage, Arzt und Gematik seien nach dem Urteil stets gemeinsam verantwortlich, geht deshalb zu weit.
Plattformen können mehrere Rollen zugleich haben
Außerhalb der gesetzlich geregelten Telematikinfrastruktur ist die Abgrenzung häufig weniger eindeutig. Nimmt eine Terminplattform Buchungen ausschließlich für ein Krankenhaus entgegen, verarbeitet die Daten nach dessen Vorgaben und verfolgt damit keine eigenen Zwecke, spricht vieles für eine Auftragsverarbeitung. Nutzt der Anbieter dieselben Daten dagegen für eine eigene Nutzerverwaltung, Reichweitenanalyse, Profilbildung oder die Entwicklung weiterer Dienste, kann er für diese Verarbeitung selbst Verantwortlicher sein.
Entwickeln ein Leistungserbringer und ein Plattformanbieter den Verarbeitungsprozess gemeinsam und legen sie die wesentlichen Zwecke und Mittel zusammen fest, kann für diesen Prozessabschnitt eine gemeinsame Verantwortlichkeit bestehen. Daraus folgt allerdings keine pauschale Gesamtverantwortung für sämtliche Datenverarbeitungen beider Seiten. Die Rolle muss für jeden Verarbeitungsschritt gesondert betrachtet werden.
Vor der technischen Anbindung sollte deshalb der tatsächliche Datenfluss nachvollzogen werden. Zu klären ist, wer Daten erhebt, ergänzt, übermittelt, speichert, protokolliert und löscht, wer Zugriffsrechte festlegt und wer über Aufbewahrungsfristen entscheidet. Erst danach lässt sich beurteilen, ob ein Vertrag nach Art. 28 DSGVO oder eine Vereinbarung nach Art. 26 DSGVO erforderlich ist. In beiden Fällen müssen Meldewege, Sicherheitsanforderungen und die Unterstützung bei Betroffenenrechten so geregelt sein, dass sie im laufenden Betrieb funktionieren.
Die ärztliche Schweigepflicht bleibt daneben bestehen
Mit der datenschutzrechtlichen Rollenverteilung ist die rechtliche Prüfung noch nicht abgeschlossen. Eine nach der DSGVO zulässige Verarbeitung beantwortet nicht automatisch die Frage, ob Patientengeheimnisse gegenüber einem externen Dienstleister offenbart werden dürfen. § 203 StGB schützt die berufliche Vertraulichkeit insoweit eigenständig.
Ärztinnen, Ärzte und andere Berufsgeheimnisträger dürfen externe Personen in ihre berufliche Tätigkeit einbeziehen und ihnen Geheimnisse offenbaren, soweit dies für deren Mitwirkung erforderlich ist. Sie müssen jedoch dafür Sorge tragen, dass die mitwirkenden Personen zur Geheimhaltung verpflichtet werden. Zugriffsrechte, Supportverfahren und Wartungszugänge sollten deshalb auch danach gestaltet werden, welche Kenntnisnahme für die konkrete Aufgabe wirklich notwendig ist. Ein Vertrag zur Auftragsverarbeitung ersetzt diese Prüfung nicht.
Verantwortung muss im Ernstfall funktionieren
Eine zutreffende Rollenbezeichnung im Vertragsordner genügt noch nicht. Die Verteilung muss in der Organisation ankommen. Im Vorfall muss feststehen, wer Zugänge sperren kann, wer Protokolldaten bereitstellt, wer die Risikobewertung vornimmt, wer Meldungen vorbereitet und wer gegenüber Betroffenen Auskunft gibt. Ebenso wichtig sind erreichbare Ansprechpartner und verbindliche Fristen für die Weitergabe sicherheitsrelevanter Informationen.
Praktisch beginnt dies mit einer verarbeitungsspezifischen Übersicht. Sie sollte die beteiligten Stellen, Systeme, Zwecke, Datenkategorien, Schnittstellen und jeweiligen Rollen abbilden. Verträge und Datenschutzinformationen müssen dazu passen. Werden neue Funktionen eingeführt oder Datenflüsse verändert, ist die Zuordnung erneut zu prüfen. Verantwortlichkeit ist keine einmalige Etikettierung, sondern Teil des laufenden Änderungs- und Risikomanagements.
Kein verantwortungsfreier Zwischenraum
In vernetzten Gesundheitssystemen folgt Verantwortung weder allein dem Standort des Servers noch dem Namen des Produkts. Sie folgt dem konkreten Verarbeitungsvorgang, dem tatsächlichen Einfluss auf Zwecke und Mittel sowie einer möglichen gesetzlichen Zuweisung. Deshalb können mehrere Stellen beteiligt sein, ohne für jeden Schritt gemeinsam verantwortlich zu sein. Ebenso wenig darf sich eine Stelle hinter der Komplexität des Gesamtsystems verstecken, wenn sie den eigenen Bereich tatsächlich beherrscht.
Gerade im Gesundheitswesen ist diese Zuordnung mehr als eine datenschutzrechtliche Formalie. Unklare Zuständigkeiten verzögern die Reaktion auf Sicherheitsvorfälle und können damit zugleich die Rechte der Betroffenen, die Verfügbarkeit der Systeme und die Versorgung gefährden. Wer digitale Prozesse einführt, muss deshalb nicht nur fragen, ob das System funktioniert. Er muss ebenso beantworten können, wer handelt, wenn es nicht funktioniert.
Ausblick
Ist die Verantwortung geklärt, folgt die nächste Frage: Was muss der jeweilige Verantwortliche konkret tun, um ein angemessenes Sicherheitsniveau zu erreichen? Der nächste Beitrag übersetzt den risikobasierten Ansatz in praktische Anforderungen an Organisation, Technik und Nachweisführung.
Rechtliche Bezugspunkte: Art. 4 Nr. 7 und 8, Art. 24, Art. 26, Art. 28 und Art. 32 DSGVO; § 203 Abs. 3 und 4 StGB; § 306 SGB V und § 307 SGB V; BSG, Urteil vom 6. März 2024 – B 6 KA 23/22 R. Rechtsstand: September 2026.
Häufige Fragen
Wer ist bei einem extern betriebenen Patientenportal verantwortlich?
Das hängt vom jeweiligen Verarbeitungsvorgang ab. Maßgeblich ist, wer über dessen Zwecke und wesentliche Mittel entscheidet. Ein Anbieter kann für bestimmte Vorgänge Auftragsverarbeiter und für andere selbst Verantwortlicher sein. Die Begriffe definiert Art. 4 Nr. 7 und 8 DSGVO.
Hat das BSG Arztpraxis und Gematik generell als gemeinsam verantwortlich eingestuft?
Nein. Das BSG ließ im Urteil vom 6. März 2024 – B 6 KA 23/22 R offen, ob die Gematik für die dort betrachteten Verarbeitungen in dezentralen Komponenten mitverantwortlich war. Eine mögliche Mitverantwortung hätte die eigene Verantwortlichkeit der Praxis nicht aufgehoben.
Ersetzt ein Auftragsverarbeitungsvertrag die Prüfung der ärztlichen Schweigepflicht?
Nein. Neben den Pflichten aus Art. 28 DSGVO müssen die Anforderungen des § 203 StGB beachtet werden, wenn externe Personen Zugang zu Patientengeheimnissen erhalten.
Quellen & Verweise
Wissen, was im Medizinrecht zählt.
Erhalten Sie aktuelle Urteile und Fachbeiträge direkt in Ihr Postfach.
