1. Recht­li­cher Rah­men: Was gilt für Pati­en­ten­da­ten #

§630f BGB: Pati­en­ten­do­ku­men­ta­ti­on #

§630f BGB ver­pflich­tet Ärz­te und Kran­ken­häu­ser, Pati­en­ten­ak­ten voll­stän­dig zu füh­ren und min­des­tens zehn Jah­re nach Abschluss der Behand­lung auf­zu­be­wah­ren, soweit nicht ande­re Vor­schrif­ten län­ge­re Fris­ten vor­se­hen. Die Auf­be­wah­rungs­frist beginnt mit dem Ende der Behand­lung, nicht mit der Erstel­lung des Dokuments.

Kon­kret betrifft das:

  • Ana­mne­sen und Befundberichte
  • Ope­ra­ti­ons­be­rich­te und Narkoseprotokolle
  • Labor­be­fun­de und Arztbriefe
  • Ein­wil­li­gungs­er­klä­run­gen und Aufklärungsbögen
  • Pfle­ge­do­ku­men­ta­ti­on

§85 StrlSchG / §127 StrlSchV: Rönt­gen­auf­nah­men und Strah­len­the­ra­pie #

Das Strah­len­schutz­ge­setz (StrlSchG) und die Strah­len­schutz­ver­ord­nung (StrlSchV), die die frü­he­re Rönt­gen­ver­ord­nung (RöV) seit dem 31. Dezem­ber 2018 abge­löst haben, schrei­ben geson­der­te Fris­ten vor:

  • Rönt­gen­auf­nah­men: min­des­tens 10 Jah­re Aufbewahrungsfrist
  • Strah­len­the­ra­pie-Unter­la­gen: Auf­be­wah­rungs­frist bis 30 Jahre

Die 30-Jah­res-Frist für Strah­len­the­ra­pie­un­ter­la­gen ist eine der längs­ten Auf­be­wah­rungs­fris­ten im deut­schen Gesund­heits­we­sen. Sie stellt beson­de­re Anfor­de­run­gen an die Lang­le­big­keit und Les­bar­keit der Archivmedien.

§203 StGB: Ver­let­zung von Pri­vat­ge­heim­nis­sen #

§203 StGB stellt die unbe­fug­te Offen­ba­rung von Pati­en­ten­da­ten unter Stra­fe. Als Offen­ba­rung gilt dabei auch die Über­mitt­lung an Drit­te, ein­schließ­lich Cloud-Anbie­ter, wenn die­se ohne aus­rei­chen­de recht­li­che Grund­la­ge erfolgt.

Für die Cloud-Nut­zung bedeu­tet das: Der Ein­satz eines Cloud-Anbie­ters, des­sen Mit­ar­bei­ter tech­nisch auf Pati­en­ten­da­ten zugrei­fen kön­nen, ist nur unter engen Vor­aus­set­zun­gen zuläs­sig. Die Auf­trags­ver­ar­bei­tung nach Art. 28 schafft eine recht­li­che Grund­la­ge. Sie ent­bin­det jedoch nicht von der Pflicht zu prü­fen, ob die Daten­wei­ter­ga­be dem Umfang nach gerecht­fer­tigt ist.

US-ame­ri­ka­ni­sche Cloud-Anbie­ter unter­lie­gen zudem dem US CLOUD Act, der US-Behör­den unter bestimm­ten Umstän­den Zugriff auf gespei­cher­te Daten ermög­licht. Ein sol­cher Zugriff ohne Ein­wil­li­gung des Pati­en­ten steht in direk­tem Kon­flikt mit dem Schutz­ge­bot des §203 StGB.

DSGVO Art. 9: Beson­de­re Kate­go­rien per­so­nen­be­zo­ge­ner Daten #

Pati­en­ten­da­ten sind Gesund­heits­da­ten im Sin­ne von Art. 9 . Sie unter­lie­gen als beson­de­re Kate­go­rie per­so­nen­be­zo­ge­ner Daten einem erhöh­ten Schutz­ni­veau. Die Ver­ar­bei­tung ist nur auf Basis einer der in Art. 9 Abs. 2  abschlie­ßend genann­ten Rechts­grund­la­gen zuläs­sig. Bei Ver­stö­ßen dro­hen Buß­gel­der bis 20 Mil­lio­nen Euro oder 4 Pro­zent des welt­wei­ten Jahresumsatzes.

Für Kran­ken­häu­ser bedeu­tet das in der Praxis:

  • Stren­ge Zugriffs­kon­trol­len: Nur behan­deln­de Per­so­nen dür­fen auf die jewei­li­gen Daten­sät­ze zugreifen
  • Pro­to­kol­lie­rungs­pflicht: Jeder Zugriff auf Pati­en­ten­da­ten muss nach­voll­zieh­bar doku­men­tiert sein
  • Daten­spar­sam­keit: Es dür­fen nur die für den Behand­lungs­zweck not­wen­di­gen Daten gespei­chert werden
  • Ver­schlüs­se­lung: Pati­en­ten­da­ten müs­sen im Ruhe­zu­stand und bei der Über­tra­gung ver­schlüs­selt sein

2. War­um Cloud-Spei­che­rung für Pati­en­ten­da­ten ein recht­li­ches Risi­ko ist #

§203 StGB und die Cloud-Pro­ble­ma­tik #

Die Über­tra­gung von Pati­en­ten­da­ten an einen Cloud-Anbie­ter ist als Wei­ter­ga­be an Drit­te zu bewer­ten. Zuläs­sig ist das nur, wenn:

  • Ein Auf­trags­ver­ar­bei­tungs­ver­trag nach Art. 28 abge­schlos­sen ist
  • Der Anbie­ter wirk­sa­me tech­ni­sche und orga­ni­sa­to­ri­sche Maß­nah­men nachweist
  • Der Anbie­ter aus­schließt, dass sei­ne Mit­ar­bei­ter auf die Daten zugrei­fen kön­nen, oder dies auf das abso­lut not­wen­di­ge Mini­mum beschränkt

In der Pra­xis ist ins­be­son­de­re der letz­te Punkt schwer nach­zu­wei­sen. Cloud-Anbie­ter behal­ten sich in ihren Stan­dard­ver­trä­gen das Recht vor, auf Kun­den­da­ten zuzu­grei­fen, wenn der Betrieb es erfordert.

CLOUD Act: Aus­län­di­scher Behör­den­zu­griff #

US-Cloud-Anbie­ter kön­nen von US-Behör­den ver­pflich­tet wer­den, Daten her­aus­zu­ge­ben, unab­hän­gig davon, in wel­chem Land die Daten phy­sisch gespei­chert sind. Pati­en­ten­da­ten, die bei einem US-Anbie­ter in einem deut­schen Rechen­zen­trum lie­gen, sind von die­ser Rege­lung nicht ausgenommen.

Die­ser Kon­flikt zwi­schen US-Recht und dem Schutz­ge­bot des §203 StGB ist bis­her nicht abschlie­ßend gelöst. Für Kran­ken­häu­ser, die recht­li­che Klar­heit benö­ti­gen, ist die Spei­che­rung bei einem rein euro­päi­schen Anbie­ter oder On-Pre­mi­ses die siche­re Option.

3. Tech­ni­sche Anfor­de­run­gen: Was die Archi­vie­rung leis­ten muss #

Revi­si­ons­si­cher­heit #

Die Auf­be­wah­rung von Pati­en­ten­da­ten muss revi­si­ons­si­cher erfol­gen. Das bedeutet:

  • Unver­än­der­lich­keit: Ein­mal archi­vier­te Daten dür­fen nicht über­schrie­ben oder gelöscht wer­den können
  • Voll­stän­dig­keit: Alle rele­van­ten Doku­men­te müs­sen lücken­los archi­viert sein
  • Auf­find­bar­keit: Doku­men­te müs­sen inner­halb einer ange­mes­se­nen Zeit auf­find­bar sein
  • Les­bar­keit: For­ma­te müs­sen auch nach zehn oder drei­ßig Jah­ren noch les­bar sein (PDF/A als Langzeitformat)

Soft­ware--Lösun­gen erfül­len die Unver­än­der­lich­keits­an­for­de­rung nur bedingt: Admi­nis­tra­tor-Rech­te kön­nen in vie­len Sys­te­men Sper­ren umge­hen. Hard­ware--Spei­cher (wie Silent Cubes) ver­an­kert den Schreib­schutz in der Hard­ware selbst, unab­hän­gig von Betriebs­sys­tem, Soft­ware oder Benutzerrechten.

Zugriffs­pro­to­kol­lie­rung #

Jeder Zugriff auf Pati­en­ten­da­ten muss pro­to­kol­liert wer­den. Die Pro­to­kol­le selbst müssen:

  • Mani­pu­la­ti­ons­si­cher gespei­chert sein (-Spei­cher für Audit-Logs)
  • Anga­ben zu Zeit­punkt, Benut­zer und auf­ge­ru­fe­nem Daten­satz enthalten
  • Min­des­tens für die Dau­er der Auf­be­wah­rungs­frist der Pati­en­ten­da­ten ver­füg­bar sein

Lang­le­big­keit der Archiv­me­di­en #

Für 30-jäh­ri­ge Auf­be­wah­rungs­fris­ten aus der Strah­len­the­ra­pie ist die Lang­le­big­keit des Spei­cher­sys­tems eine tech­ni­sche Her­aus­for­de­rung. Ein­zel­ne Fest­plat­ten haben typi­sche Lebens­dau­ern von drei bis fünf Jah­ren im Dau­er­be­trieb. Band­bi­blio­the­ken sind pro­prie­tär, pfle­ge­inten­siv und erfor­dern regel­mä­ßi­ge Gene­ra­ti­ons­wech­sel mit auf­wen­di­gen Migrationsprojekten.

Silent Cubes sind für Archiv­fris­ten über Jahr­zehn­te aus­ge­legt: hoch­red­un­dan­te Spei­che­rung, kon­ti­nu­ier­li­che Selbst­über­wa­chung und die Migra­ti­on auf neue Gerä­te­ge­ne­ra­tio­nen im lau­fen­den Betrieb sichern die Les­bar­keit über die gesam­te Auf­be­wah­rungs­frist, auch über 30 Jahre.

4. Pra­xis­ar­chi­tek­tur für Kran­ken­häu­ser #

Eine rechts­si­che­re und betrieb­lich belast­ba­re Archi­tek­tur für Pati­en­ten­da­ten glie­dert sich in drei Ebenen:

Ebe­ne 1: Pri­mär­spei­cher, akti­ve Pati­en­ten­da­ten #

Aktiv genutz­te Pati­en­ten­da­ten (lau­fen­de Behand­lun­gen, kurz­fris­tig abruf­ba­re Befun­de) lie­gen auf pri­mä­rem, netz­ge­bun­de­nem Speicher:

  • On-Pre­mi­ses-Ser­ver oder NAS im eige­nen Rechenzentrum
  • Zugriffs­schutz durch rol­len­ba­sier­tes Berech­ti­gungs­sys­tem (RBAC)
  • Ver­schlüs­se­lung im Ruhe­zu­stand und bei der Übertragung
  • Zugriffs­pro­to­kol­lie­rung auf Datensatzebene
  • Anbin­dung an das Kran­ken­haus­in­for­ma­ti­ons­sys­tem (KIS) oder den Radiologie-PACS-Server

Ebe­ne 2: Lang­zeit­ar­chiv, Hard­ware-WORM #

Abge­schlos­se­ne Behand­lungs­fäl­le und archiv­pflich­ti­ge Auf­zeich­nun­gen wer­den in ein Hard­ware--Archiv überführt:

  • Silent Cubes als -Plattform
  • Phy­si­sche Unver­än­der­lich­keit der archi­vier­ten Daten
  • Spei­che­rung in PDF/A oder stan­dar­di­sier­ten DICOM-For­ma­ten für Röntgenbilder
  • Archi­vie­rungs­fris­ten auto­ma­ti­siert kon­fi­gu­riert: 10 Jah­re nach §630f BGB, 30 Jah­re für Strah­len­the­ra­pie-Unter­la­gen nach Strahlenschutzrecht
  • Migra­ti­ons­rou­ti­nen für For­ma­tak­tua­li­sie­run­gen bei Langzeitarchivierung

Ebe­ne 3: Back­up, Air-Gap-geschützt #

Par­al­lel zum Archiv läuft ein voll­stän­di­ges Back­up der Pri­mär- und Archivdaten:

  • Silent Brick Sys­tem mit Air-Gap-Schutz
  • Silent Brick Pro (phy­sisch aus dem Con­trol­ler X ent­nehm­bar) oder Silent Brick Max Air (gal­va­ni­sche Trennung)
  • Off­line-Back­up schützt gegen Ran­som­wa­re: Angrei­fer, die das Pro­duk­ti­ons­netz kom­pro­mit­tie­ren, errei­chen das air-gap­ped Back­up nicht
  • Regel­mä­ßi­ge Res­to­re-Tests mit doku­men­tier­ten Ergebnissen

Zusam­men­fas­sung der Archi­tek­tur #

  • Pri­mär­spei­cher: On-Pre­mi­ses-Ser­ver oder NAS für die akti­ve Pati­en­ten­ver­sor­gung, lau­fen­der Betrieb
  • Lang­zeit­ar­chiv: Silent Cubes (Hard­ware-) für revi­si­ons­si­che­re Archi­vie­rung über 10 bezie­hungs­wei­se 30 Jahre
  • Back­up: Silent Brick Sys­tem () für Ran­som­wa­re-Schutz und Reco­very, lau­fen­der Betrieb

5. KRI­TIS im Gesund­heits­we­sen: Zusätz­li­che Anfor­de­run­gen #

Wer ist als KRI­TIS ein­ge­stuft? #

Kran­ken­häu­ser ab einer bestimm­ten Bet­ten­zahl oder Behand­lungs­ka­pa­zi­tät fal­len unter KRI­TIS (gemäß den sek­tor­spe­zi­fi­schen Schwel­len­wer­ten). Die genau­en Schwel­len­wer­te publi­ziert das BSI.

Für KRI­TIS-ein­ge­stuf­te Kran­ken­häu­ser gel­ten zusätz­li­che Pflichten:

  • Regis­trie­rung beim BSI (Frist nach dem NIS2UmsuCG war der 6. März 2026)
  • Nach­weis von Maß­nah­men zur IT-Resi­li­enz nach §30 BSIG
  • Regel­mä­ßi­ge Nach­wei­se und Prü­fun­gen durch das BSI
  • Mel­de­pflicht für erheb­li­che Sicher­heits­vor­fäl­le: Früh­war­nung bin­nen 24 Stun­den, Mel­dung bin­nen 72 Stun­den, Abschluss­be­richt bin­nen 1 Monat
  • Not­fall­ma­nage­ment mit nach­ge­wie­se­nen Wiederherstellungstests

Off­line-Back­up als KRI­TIS-Pflicht #

Das BSI for­dert von KRI­TIS-Betrei­bern im Gesund­heits­we­sen expli­zit Off­line-Back­ups als Schutz gegen Ran­som­wa­re. Ein Kran­ken­haus, des­sen gesam­te Daten­si­che­rung netz­ge­bun­den ist, erfüllt die­se Anfor­de­rung nicht.

6. Check­lis­te: Daten­schutzau­dit für Kran­ken­haus-IT #

Nut­zen Sie die­se Check­lis­te zur Vor­be­rei­tung inter­ner Audits oder behörd­li­cher Prüfungen:

Recht­li­che Grundlagen

  • Auf­be­wah­rungs­fris­ten für alle Daten­ty­pen doku­men­tiert (§630f BGB: 10 Jah­re; Rönt­gen: 10 Jah­re; Strah­len­the­ra­pie: 30 Jahre)
  • Auf­trags­ver­ar­bei­tungs­ver­trag nach Art. 28 für alle exter­nen Ver­ar­bei­ter vorhanden
  • §203-StGB-Risi­ko­be­wer­tung für alle exter­nen Dienst­leis­ter (Cloud-Anbie­ter, IT-Dienst­leis­ter) durchgeführt
  • CLOUD-Act-Risi­ko für alle US-Anbie­ter bewertet

Tech­ni­sche Maßnahmen

  • Hard­ware- für Lang­zeit­ar­chi­vie­rung implementiert
  • Air-Gap-Back­up vor­han­den und getestet
  • Zugriffs­pro­to­kol­lie­rung auf Daten­satz­ebe­ne aktiv
  • Pro­to­koll­da­ten selbst revi­si­ons­si­cher gespeichert
  • Ver­schlüs­se­lung im Ruhe­zu­stand und bei der Über­tra­gung nachgewiesen

Ver­füg­bar­keit und Recovery

  • Reco­very Time Objec­ti­ve (RTO) defi­niert und getestet
  • Res­to­re-Tests regel­mä­ßig durch­ge­führt und dokumentiert
  • Not­fall­plan für voll­stän­di­gen Sys­tem­aus­fall vorhanden
  • Back­up auch ohne Netz­werk­ver­bin­dung zugäng­lich (Off­line-Medi­um)

Lang­zeit­ar­chi­vie­rung

  • Archiv­for­mat lang­zeit­taug­lich (PDF/A, DICOM für Bilder)
  • For­mat­mi­gra­ti­ons­plan für Lang­zeit­fris­ten vorhanden
  • Les­bar­keit der ältes­ten Archiv­da­ten stich­pro­ben­ar­tig geprüft

Zugriff und Berechtigungen

  • Rol­len­ba­sier­tes Berech­ti­gungs­kon­zept implementiert
  • Zugriffs­rech­te regel­mä­ßig über­prüft (min­des­tens jährlich)
  • Ehe­ma­li­ge Mit­ar­bei­ter zeit­nah aus dem Sys­tem entfernt

7. Häu­fi­ge Feh­ler bei der Digi­ta­li­sie­rung im Kran­ken­haus #

Feh­ler 1: Cloud als pri­mä­res Archiv­me­di­um #

Pati­en­ten­da­ten in Public-Cloud-Spei­chern abzu­le­gen ist aus §203-StGB-Sicht recht­lich ris­kant. Vie­le Häu­ser tun es den­noch, weil Public Cloud güns­ti­ger erscheint. Die recht­li­chen Risi­ken und poten­zi­el­le Buß­gel­der nach sind in der Kos­ten­kal­ku­la­ti­on sel­ten enthalten.

Feh­ler 2: Soft­ware-WORM als aus­rei­chend betrach­ten #

Soft­ware-basier­ter -Schutz ( in S3-kom­pa­ti­blen Sys­te­men, soft­ware­sei­ti­ge Schreib­sper­ren) kann durch Angrei­fer mit aus­rei­chen­den Rech­ten umgan­gen wer­den. Für regu­la­to­risch gefor­der­te Unver­än­der­lich­keit über 10 oder 30 Jah­re ist Hard­ware- tech­nisch zuverlässiger.

Feh­ler 3: Kei­ne regel­mä­ßi­gen Res­to­re-Tests #

Ein Back­up, des­sen Wie­der­her­stell­bar­keit nicht regel­mä­ßig getes­tet wird, ist im Ernst­fall kein Back­up. Die­ser Feh­ler zeigt sich erst, wenn er teu­er wird: nach einem Ran­som­wa­re-Angriff oder einem Systemausfall.

Feh­ler 4: Auf­be­wah­rungs­fris­ten nicht frist­ge­recht star­ten #

Die 10-Jah­res-Frist nach §630f BGB beginnt mit dem Abschluss der Behand­lung, nicht mit dem Behand­lungs­be­ginn oder dem Erstel­lungs­da­tum des Doku­ments. Eine jah­re­lan­ge Behand­lung ver­län­gert die Frist ent­spre­chend. Archiv­sys­te­me, die Fris­ten nicht dyna­misch berech­nen, füh­ren zu Fehlklassifikationen.

Feh­ler 5: Alt­da­ten nicht ins neue Sys­tem migrie­ren #

Bei der Ein­füh­rung neu­er Archiv­lö­sun­gen wer­den Alt­da­ten häu­fig nicht voll­stän­dig migriert. Nach §630f BGB sind aber auch älte­re Unter­la­gen auf­be­wah­rungs­pflich­tig. Eine unvoll­stän­di­ge Migra­ti­on erfüllt die gesetz­li­che Auf­be­wah­rungs­pflicht nicht.

Wei­ter­füh­ren­de Res­sour­cen #

→ Was ist -Spei­cher? (/de/­b­log/­was-ist-immu­ta­bi­li­ty-worm/) → Soft­ware- vs. Hard­ware-: Tech­ni­scher Ver­gleich (/de/­b­log/­soft­ware-worm-vs-hard­ware-worm/) → Strah­len­schutz: Auf­be­wah­rungs­fris­ten für Rönt­gen­auf­nah­men und Strah­len­the­ra­pie­un­ter­la­gen (/de/­b­log/­pa­ra­graph-28-roe­v/) → KRI­TIS und Daten­sou­ve­rä­ni­tät: Anfor­de­run­gen an kri­ti­sche Infra­struk­tur (/de/­b­log/­kri­tis-daten­sou­ve­rae­ni­tae­t/) → und Cloud-Spei­che­rung: Was Unter­neh­men beach­ten müs­sen (/de/­b­log/dsgvo-cloud-spei­che­run­g/)

Disclaimer

Dieser Beitrag wurde redaktionell erstellt und mit KI-Unterstützung aufbereitet. Er gibt einen allgemeinen Überblick und stellt keine Rechtsberatung dar – für Ihre konkrete Situation empfehlen wir professionellen Rat.