Patientendaten: gesichert und nachweisbar

Ja. Art. 32 Abs. 1 DSGVO verlangt, dass Verfügbarkeit und Belastbarkeit der Systeme sichergestellt sind und personenbezogene Daten nach einem Zwischenfall rasch wiederhergestellt werden können. Bei Gesundheitsdaten nach Art. 9 DSGVO ist der Maßstab entsprechend hoch. Hinzu kommen die Aufbewahrungspflichten für Behandlungsunterlagen.

Die Fristen ergeben sich aus dem Behandlungskontext und den berufsrechtlichen Vorgaben – nach § 630f Abs. 3 BGB grundsätzlich zehn Jahre nach Abschluss der Behandlung, in bestimmten Fällen, etwa nach dem Strahlenschutzrecht, deutlich länger. Welche Frist für Ihre Einrichtung gilt, entscheiden Sie beziehungsweise Ihre Rechtsberatung. Technisch setzen wir sie über Aufbewahrungsregeln im Object Storage um: Innerhalb der Frist ist die Sicherung geschützt, danach läuft sie automatisch ab.

Ja, für den Cloud-Einsatz. Seit dem 1. Juli 2024 erlaubt § 393 SGB V Leistungserbringern die Verarbeitung von Sozial- und Gesundheitsdaten über Cloud-Dienste nur unter bestimmten Voraussetzungen, zu denen ein aktuelles C5-Testat der datenverarbeitenden Stelle gehört. Seit dem 1. Juli 2025 ist dafür ein C5-Typ-2-Testat vorgesehen; die C5-Gleichwertigkeitsverordnung lässt daneben bestimmte alternative Zertifizierungen in Verbindung mit einem Maßnahmenplan zu. centron verfügt für die ccloud³ über ein BSI C5:2020 Typ 1-Testat und eine ISO-27001-Zertifizierung auf Basis von IT-Grundschutz; den aktuellen Stand der Testierung und die Unterlagen erhalten Sie über das Sales-Team.

§ 393 SGB V lässt die Verarbeitung in Deutschland, in der EU und im EWR zu sowie in Drittstaaten mit Angemessenheitsbeschluss, sofern die datenverarbeitende Stelle eine Niederlassung im Inland hat. Achten Sie zusätzlich darauf, welche Standorte und Dienste vom Zertifikat Ihres Anbieters tatsächlich abgedeckt sind – bei centron sind das die Standorte Hallstadt, Nürnberg und Frankfurt am Main.

Ausschließlich in deutschen Rechenzentren, ohne Drittlandübermittlung. Deployment-Standort für Cloud-Workloads ist das eigene Rechenzentrum in Hallstadt bei Bamberg. Die Nachweise dazu – Zertifikate mit Geltungsbereich, TOMs und AVV – liegen im Trust Center.

§ 393 SGB V verlangt die Verarbeitung in zulässigen Regionen, eine Niederlassung im Inland, angemessene technische und organisatorische Maßnahmen und ein aktuelles C5-Testat. centron erfüllt die Standort- und Niederlassungsanforderungen und verfügt für die ccloud³ über ein BSI C5:2020 Typ 1-Testat sowie eine ISO-27001-Zertifizierung auf Basis von IT-Grundschutz. Den aktuellen Stand und die Unterlagen erhalten Sie über das Sales-Team.

Idealerweise automatisiert und täglich. Kritische Daten können zusätzlich in kürzeren Intervallen gesichert werden.

Das hängt von Umfang und Infrastruktur ab. Professionelle Backup-Lösungen ermöglichen eine schnelle Wiederaufnahme des Praxisbetriebs – und mit cProtect steht bei Bedarf ein Failover-System in Sekunden bereit.

Für Arztpraxen, Zahnarztpraxen, Facharztzentren, MVZ und weitere medizinische Einrichtungen mit sensiblen Patientendaten.

Nur wenn es außerhalb der Reichweite des Angreifers liegt. Ransomware verschlüsselt in der Regel alles, was vom befallenen System erreichbar ist – einschließlich angebundener Sicherungen. Deshalb liegen die Sicherungen bei centron in einer getrennten Umgebung und unveränderlich über Object Lock: Innerhalb der Aufbewahrungsfrist lassen sie sich auch mit gestohlenen Zugangsdaten nicht überschreiben.

centron verantwortet Plattform und Betrieb: Rechenzentren, Virtualisierung, Netzwerk, Monitoring, Logging, Backup der Plattform sowie Incident-, Change-, Notfall- und Dienstleistermanagement. In Ihrer Verantwortung bleiben Ihre Betriebssysteme, Ihre Anwendungen, Ihre fachlichen Prozesse und Ihre Inhalte, also auch die Patientendaten selbst. Diese Grenze ist im Geltungsbereich unserer ISO-27001-Zertifizierung ausdrücklich festgehalten und damit im Audit belegbar.

Ein IT-Dienstleister, der Berufsgeheimnisträger bei der Datenverarbeitung unterstützt, ist sonstige mitwirkende Person nach § 203 Abs. 3 StGB. Die dabei eingesetzten Personen sind zur Geheimhaltung zu verpflichten – bei centron ist das über entsprechende Verpflichtungen der Mitarbeiter und die dokumentierten technischen und organisatorischen Maßnahmen umgesetzt.

Den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, die Dokumentation der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO sowie die Zertifikate und das C5-Testat einschließlich Geltungsbereich. Alle Dokumente stehen im Trust Center bereit.