Deutschlands strenge Cloud-Regeln im Gesundheitswesen: Innovationsbremse oder notwendiger Schutz?

BERLIN / MÜNCHEN (IT BOLTWISE) – Die Diskussion um die Nutzung von Cloud-Diensten im deutschen Gesundheitswesen hat eine neue Dimension erreicht. Experten kritisieren die strengen Vorgaben, die den Einsatz von Cloud-Technologien in diesem sensiblen Bereich regeln.

Die aktuellen Regelungen für den Einsatz von Cloud-Diensten im deutschen Gesundheitswesen stoßen auf heftige Kritik. Gunnar Sachs, Partner bei der Kanzlei Clifford Chance, bezeichnete die Vorgaben als innovationshemmend und nicht mit dem EU-Recht vereinbar. Insbesondere der Paragraf 393 des Sozialgesetzbuchs V, der die Verarbeitung von Gesundheitsdaten nur in der EU oder in bestimmten Drittstaaten erlaubt, wird als problematisch angesehen.

Diese Regelung verhindert theoretisch jeden Wartungszugriff von Drittunternehmen aus klassischen Outsourcing-Ländern wie Indien oder China. Dies sei laut Sachs ein Verstoß gegen die Datenschutz-Grundverordnung (DSGVO), die global bereits als überreguliert gilt. Die DSGVO erlaubt Datenverarbeitungen und Zugriffe aus Drittstaaten, sofern ein gleichwertiges Datenschutzniveau durch Standardvertragsklauseln oder Binding Corporate Rules sichergestellt wird.

Die strengen deutschen Vorgaben könnten zu einer “Deutschnationalisierung des Systems” führen, warnt Sachs. Dies sei besonders problematisch, da die Cloud-Technologie darauf ausgelegt ist, nationale Grenzen zu überschreiten und Innovationen im Gesundheitssektor zu fördern. Ein Unternehmer könnte sich daher entscheiden, die deutschen Regeln zu ignorieren und stattdessen internationale Partnerschaften einzugehen, was jedoch rechtliche Auseinandersetzungen bis zum Europäischen Gerichtshof nach sich ziehen könnte.

Ein weiteres Beispiel für die strikten deutschen Regelungen ist die Verordnung für digitale Gesundheitsanwendungen (DiGA). Aufgrund der strengen Auflagen wurden im Juli 2023 zahlreiche Anträge auf Eintrag in das Register beim Bundesinstitut für Arzneimittel und Medizinprodukte zurückgezogen. Dies zeigt, dass die aktuellen Regelungen nicht nur die Cloud-Nutzung, sondern auch andere digitale Innovationen im Gesundheitswesen behindern können.

Thomas Süptitz vom Bundesministerium für Gesundheit verteidigt die Regelungen mit dem Verweis auf die Sensibilität der Gesundheitsdaten. Es sei wichtig, Mindeststandards einzuhalten und sicherzustellen, dass personenbezogene Gesundheitsinformationen nur in Staaten mit einem ähnlichen Rechtsrahmen verarbeitet werden. Dies erfordere unter anderem, dass Daten bei großen Anbietern wie Amazon, Google oder Microsoft verschlüsselt oder durch Anonymisierungs- und Pseudonymisierungstechniken abgesichert werden.

Zusätzlich zu den bestehenden Regelungen schreibt Paragraf 393 SGB V vor, dass die datenverarbeitende Stelle den Kriterienkatalog Cloud Computing C5 des Bundesamts für Sicherheit in der Informationstechnik einhalten muss. Dies stellt für viele Unternehmen eine zusätzliche Hürde dar, da ein entsprechendes Testat umfangreiche Prüfungen erfordert.

Die Diskussion um die Cloud-Nutzung im Gesundheitswesen zeigt, wie schwierig es ist, den Spagat zwischen Datenschutz und Innovationsförderung zu meistern. Während die einen die strengen Regelungen als notwendig erachten, um die sensiblen Gesundheitsdaten zu schützen, sehen andere darin eine unnötige Innovationsbremse, die Deutschland im internationalen Vergleich ins Hintertreffen geraten lässt.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!