Cloud-Dienste in der Arztpraxis: Was DSGVO-konform ist
Cloud-Dienste sind bequem und kostengünstig — aber für Berliner Arztpraxen gelten strenge Regeln, welche Dienste für Patientendaten genutzt werden dürfen. Die kurze Antwort: Google Drive, Dropbox, iCloud und andere US-amerikanische Cloud-Dienste sind für die Verarbeitung von Patientendaten in deutschen Arztpraxen nicht zulässig. Dieser Artikel erklärt, warum — und zeigt datenschutzkonforme Alternativen.
Warum US-Cloud-Dienste für Patientendaten verboten sind
Der zentrale Grund liegt im Datenschutzniveau: US-amerikanische Anbieter unterliegen dem US CLOUD Act, der US-Behörden unter bestimmten Umständen Zugriff auf Daten ermöglicht, selbst wenn diese auf Servern in Europa gespeichert sind. Das gefährdet die Vertraulichkeit von Patientendaten.
Hinzu kommt: Für die Übermittlung personenbezogener Daten in Länder außerhalb der EU (Drittländer) ist nach DSGVO Art. 46 ein besonderer Schutz erforderlich. Nach dem Schrems-II-Urteil des EuGH (2020) sind viele Standard-Datenschutzklauseln mit US-Anbietern ungültig, wenn US-Gehälter ungehinderter Zugriff möglich ist. Gesundheitsdaten — als besondere Datenkategorie nach DSGVO Art. 9 — sind dabei besonders kritisch.
Konkret unzulässig für Patientendaten:
- Google Drive / Google Workspace (US-Anbieter, US CLOUD Act)
- Microsoft OneDrive / Microsoft 365 (ohne spezifische EU-Datenschutzkonfiguration)
- Dropbox (US-Anbieter)
- iCloud (Apple, US-Anbieter)
DSGVO-konforme Cloud-Alternativen für Arztpraxen
- Nextcloud auf eigenem oder Hetzner-Server: Nextcloud ist eine Open-Source-Plattform für Dateiablage, Kalender und Kommunikation. Auf einem deutschen Server betrieben, ist sie voll DSGVO-konform. Hosting auf Hetzner (DE) oder einem anderen deutschen Anbieter empfohlen.
- Strato HiDrive: Deutscher Cloud-Speicher mit Server-Standort in Deutschland, DSGVO-konform, mit AVV. Geeignet für Backups und weniger kritische Daten.
- Hetzner Storage Box: Günstiger Netzwerkspeicher von einem deutschen Anbieter — ideal für verschlüsselte Backups.
- Microsoft 365 (EU Data Boundary): Microsoft bietet seit 2023 eine EU Data Boundary an, bei der Daten europäischer Kunden ausschließlich in der EU gespeichert werden. Mit einem konfigurierten AVV kann Microsoft 365 für Arztpraxen nutzbar sein — allerdings ist die Konfiguration anspruchsvoll und sollte von einem Datenschutzfachmann begleitet werden.
Wichtig: Auch bei EU-konformen Cloud-Diensten müssen Sie einen AVV abschließen und sicherstellen, dass Backups verschlüsselt sind. Cloud ist kein Freifahrtschein für Sorglosigkeit — aber mit der richtigen Auswahl eine sichere und effiziente Lösung für Berliner Arztpraxen.
Haben Sie Fragen zu IT oder Datenschutz in Ihrer Praxis? Nehmen Sie Kontakt auf — wir beraten Berliner Arztpraxen kostenlos und unverbindlich.
