Cloud-Konnektor in der Arztpraxis: Datenschutz und DSGVO-Konformität

Cloud-gehostete Konnektoren, von der gematik als TI-Gateway mit zentralem Highspeed-Konnektor bezeichnet, sind 2026 für viele Praxen die naheliegende Wahl. Keine Hardware im Serverschrank, zentrale Wartung, planbare Kosten. Für Datenschutzbeauftragte und Compliance-Verantwortliche verschiebt sich damit aber eine zentrale Frage: Wenn die TI-Technik im Rechenzentrum eines Dritten läuft, wer haftet dann für den Datenschutz, und was muss vertraglich geregelt sein? Dieser Artikel beantwortet das entlang der DSGVO und der TI-Spezifikation.

Die kurze Antwort: Zulassung regelt Technik, nicht Datenschutz

Ein Cloud-Konnektor ist datenschutzrechtlich zulässig, wenn zwei Dinge zusammenkommen: eine gültige gematik-Zulassung des Produkts und ein vollständiger Auftragsverarbeitungsvertrag mit dem Anbieter. Die Zulassung deckt TI-Spezifikation und IT-Sicherheit ab. Den datenschutzrechtlichen Teil, also AVV, Datenlokalität und Nachweise, müssen Sie als Praxis zusätzlich sicherstellen.

Viele Praxen gehen davon aus, dass mit der gematik-Zulassung alles erledigt sei. Das ist ein Trugschluss. Die Zulassung prüft, ob das Produkt die technischen Vorgaben und Sicherheitsanforderungen der TI erfüllt. Sie trifft keine Aussage darüber, ob Ihr konkreter Einsatz DSGVO-konform ist. Die datenschutzrechtliche Verantwortung für die Verarbeitung der Patientendaten bleibt bei Ihnen, unabhängig davon, wo die Technik physisch steht.

Wer ist Verantwortlicher, wer Auftragsverarbeiter?

Die Praxis bleibt Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Der TI-Gateway-Anbieter wird Auftragsverarbeiter nach Art. 28 DSGVO, weil er in Ihrem Auftrag und nach Ihrer Weisung Daten verarbeitet. Diese Rollenverteilung ändert sich durch die Auslagerung ins Rechenzentrum nicht. Entscheidungsgewalt und Haftung für die rechtmäßige Verarbeitung verbleiben bei Ihnen.

Das ist der zentrale Punkt für die Compliance. Der Anbieter betreibt für Sie den TI-Tunnel und verwaltet die Institutsidentität Ihrer Praxis, die SMC-B, als sogenanntes HSM-B im Rechenzentrum. Daten, die den Konnektor passieren, und die kryptografischen Schlüssel Ihrer Praxis liegen damit in fremder Hand. Genau das macht den Anbieter zum Auftragsverarbeiter und begründet die Pflicht zu einem AVV.

Wichtig ist die Abgrenzung zur ärztlichen Schweigepflicht. Nach § 203 StGB ist die Einbindung externer Dienstleister in die Verarbeitung von Patientengeheimnissen nur unter engen Voraussetzungen zulässig. Der Anbieter und seine Mitarbeiter müssen zur Geheimhaltung verpflichtet sein. Wie das mit externen IT-Dienstleistern zusammenspielt, erklärt der Beitrag zu § 203 StGB und dem externen IT-Dienstleister.

Quelle: Verordnung (EU) 2016/679 (DSGVO)Verordnung (EU) 2016/679, Art. 4 Nr. 7 und Art. 28: Verantwortlicher und Auftragsverarbeiter.

Der Auftragsverarbeitungsvertrag: Pflichtinhalte für den Cloud-Konnektor

Ein AVV nach Art. 28 DSGVO ist beim Cloud-Konnektor zwingend. Er muss alle Pflichtinhalte enthalten und zusätzlich die Besonderheiten der TI-Anbindung abbilden: Serverstandort, Unterauftragsverarbeiter inklusive Rechenzentrumsbetreiber, Löschpflichten und die Zusicherung, dass keine Patientendaten im Klartext gespeichert werden. Fehlt der AVV oder ist er unvollständig, ist der Betrieb nicht rechtmäßig.

Die allgemeinen Pflichtinhalte eines AVV gelten auch hier. Dazu gehören Gegenstand und Dauer der Verarbeitung, die Weisungsbindung, die Vertraulichkeitsverpflichtung, die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die Regelung zu Unterauftragsverarbeitern, Unterstützungspflichten bei Betroffenenanfragen und Datenpannen sowie Löschung oder Rückgabe nach Vertragsende. Einen Überblick über die DSGVO-Pflichten, die in der Praxis insgesamt gelten, gibt der Beitrag zu den DSGVO-Pflichten der Arztpraxis.

Beim Cloud-Konnektor kommen drei Punkte hinzu, die Sie nicht übersehen dürfen:

• Serverstandort verbindlich festhalten. Der AVV muss den Ort der Datenverarbeitung konkret benennen, nicht nur "EU", sondern idealerweise das Rechenzentrum und dessen Standort in Deutschland.
• Unterauftragsverarbeiter vollständig listen. TI-Gateway-Anbieter nutzen in der Regel einen Rechenzentrumsbetreiber als Unterauftragsverarbeiter. Dieser muss im AVV genannt und genehmigt sein, mit Informationspflicht bei Wechsel.
• Keine Klartext-Speicherung und Protokollierung ohne Personenbezug. Die gematik-Spezifikation sieht vor, dass in Protokolleinträgen keine personenbezogenen Daten stehen. Lassen Sie sich das vertraglich zusichern.

Datenlokalität: Warum ein deutsches Rechenzentrum allein nicht reicht

Der physische Serverstandort in Deutschland ist notwendig, aber nicht hinreichend. Entscheidend ist, welcher Jurisdiktion der Anbieter unterliegt. Ein Unternehmen mit US-Bezug kann durch den US-amerikanischen CLOUD Act zur Herausgabe von Daten verpflichtet werden, auch wenn diese in einem deutschen Rechenzentrum liegen. Für Gesundheitsdaten als besondere Kategorie nach Art. 9 DSGVO ist das ein ernstes Auswahlkriterium.

Der CLOUD Act verpflichtet US-Anbieter, gespeicherte Daten auf behördliche Anordnung herauszugeben, unabhängig vom Speicherort. Maßgeblich ist nicht, wo die Festplatte steht, sondern ob der Anbieter der US-Jurisdiktion unterliegt. Eine deutsche Tochter eines US-Konzerns kann betroffen sein, ein deutsches Unternehmen ohne US-Bezug nicht. Diese Herausgabe kollidiert mit der DSGVO, die Übermittlungen an Drittlandsbehörden grundsätzlich nur über anerkannte Rechtshilfeverfahren erlaubt.

Für die Praxis heißt das: Fragen Sie nicht nur nach dem Serverstandort, sondern nach der Konzernstruktur des Anbieters und seiner Unterauftragsverarbeiter. Gesundheitsdaten nach Art. 9 DSGVO genießen den höchsten Schutz. Die Datenschutzaufsicht und die Kassenärztlichen Vereinigungen empfehlen für solche Daten zunehmend Anbieter ohne US-Bezug. Halten Sie Ihre Entscheidung und die Begründung in Ihrem Verarbeitungsverzeichnis fest.

Quelle: Verordnung (EU) 2016/679 (DSGVO)Verordnung (EU) 2016/679, Art. 9: Verarbeitung besonderer Kategorien personenbezogener Daten.

Welche Produkte sind zugelassen? (Stand: 2026-11-09)

Für den zentral betriebenen Highspeed-Konnektor, die technische Basis des TI-Gateways, hat die gematik 2026 mehrere Produkte zugelassen. Prüfen Sie vor jeder Entscheidung die aktuelle Liste im gematik-Fachportal, denn Zulassungen kommen hinzu und haben feste Laufzeiten.

Nach aktuellem Stand sind Highspeed-Konnektor-Produkte von vier Herstellern zugelassen: eHealth Experts, KoCo Connector, RISE und secunet. Die Zulassungen wurden im Zeitraum zwischen etwa April und September 2026 erteilt und laufen jeweils rund zwei Jahre. Weil die Angaben im Fluss sind, gilt: Das konkrete Produkt Ihres Anbieters muss zum Zeitpunkt des Produktivbetriebs gültig gelistet sein.

Quelle: gematik Fachportal: Highspeed-Konnektor, zugelassene ProdukteStand: 2026-11-09. Liste wird laufend aktualisiert.

Lokaler Konnektor oder Cloud: die Datenschutz-Perspektive

Aus reiner Datenschutzsicht hat der lokale Konnektor einen Vorteil: Kein Dritter ist im laufenden Betrieb eingebunden, die Institutsidentität bleibt physisch in der Praxis. Der Cloud-Konnektor punktet mit zentraler, professioneller Absicherung im zertifizierten Rechenzentrum, verlagert aber Kontrolle und Vertrauen auf den Anbieter. Beide Wege sind zulässig, die Abwägung hängt vom Anbieter und vom Datenschutzniveau Ihrer Praxis ab.

Eine ausführliche Entscheidungshilfe, die auch Kosten und Betrieb berücksichtigt, finden Sie im Beitrag TI-Konnektor: Cloud oder lokal?. Dieser Artikel hier konzentriert sich bewusst auf die Datenschutz- und Compliance-Seite.

Was bei einem Ausfall oder Anbieterwechsel gilt

Fällt die Internetverbindung oder der Anbieter aus, bricht die TI-Verbindung ab, und das Ersatzverfahren greift wie beim lokalen Konnektor. Datenschutzrechtlich relevanter ist der geordnete Anbieterwechsel: Der AVV muss regeln, dass Daten nach Vertragsende gelöscht oder zurückgegeben werden und wie die Institutsidentität sauber übertragen oder neu ausgestellt wird.

Für den technischen Ausfall gilt dasselbe wie sonst in der TI. Hinweise zum Umgang mit einem nicht erreichbaren Konnektor finden Sie im Beitrag zur Konnektor-Soforthilfe bei Offline-Störung. Aus Compliance-Sicht sollten Sie zusätzlich dokumentieren, wie Ihre Praxis im Ersatzverfahren weiterarbeitet, damit die Versorgung nicht an der Technik scheitert.

Beim Anbieterwechsel ist die Löschung der entscheidende Punkt. Lassen Sie sich die Löschung Ihrer Daten und die Deaktivierung der im Rechenzentrum betriebenen Institutsidentität bestätigen. Halten Sie im AVV fest, welche Mitwirkungspflichten und Fristen der Anbieter beim Wechsel hat, damit Sie nicht in einer Abhängigkeit festhängen.

Konkrete Schritte zur DSGVO-konformen Einführung

1. 1
   Zulassung prüfen
   Lassen Sie sich die gematik-Zulassung des konkreten Highspeed-Konnektor-Produkts mit Nummer und Gültigkeitsdauer geben und gleichen Sie sie mit dem gematik-Fachportal ab.
2. 2
   AVV einholen und prüfen
   Fordern Sie den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO an und prüfen Sie ihn auf Vollständigkeit: Serverstandort, Unterauftragsverarbeiter, TOM, Löschpflichten, Weisungsbindung.
3. 3
   Datenlokalität und Jurisdiktion klären
   Fragen Sie nach Serverstandort und Konzernstruktur. Bei US-Bezug den CLOUD Act bewerten. Für Gesundheitsdaten nach Art. 9 DSGVO Anbieter ohne US-Bezug bevorzugen.
4. 4
   TOM dokumentieren
   Lassen Sie sich die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und möglichst eine ISO-27001-Zertifizierung vorlegen und nehmen Sie beides in Ihre Datenschutzdokumentation auf.
5. 5
   Verarbeitungsverzeichnis aktualisieren
   Tragen Sie die neue Verarbeitung, den Auftragsverarbeiter und die Begründung der Anbieterwahl in das Verzeichnis von Verarbeitungstätigkeiten ein.
6. 6
   Exit-Szenario festhalten
   Regeln Sie Löschung, Rückgabe und Übertragung der Institutsidentität für den Fall eines Anbieterwechsels, inklusive Fristen und Mitwirkungspflichten.

Was ein Verstoß kosten kann

Fehlende oder mangelhafte AVV sind kein Kavaliersdelikt, sondern ein eigenständiger DSGVO-Verstoß, der unabhängig von einem tatsächlichen Datenschutzvorfall geahndet werden kann. Der Bußgeldrahmen der DSGVO ist erheblich.

Nach Art. 83 DSGVO sieht die Verordnung ein zweistufiges Modell vor. Verstöße gegen grundlegende Pflichten von Auftragsverarbeitern, etwa bei den technischen und organisatorischen Maßnahmen oder bei Dokumentationspflichten, können mit bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Schwere Verstöße, etwa gegen die Grundsätze der Verarbeitung oder die Rechte Betroffener, können bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes kosten.

Für eine einzelne Praxis sind solche Höchstbeträge selten realistisch, die Botschaft bleibt aber eindeutig: Die Datenschutzaufsicht kann fehlende AVV und ungeregelte Auftragsverarbeitung unabhängig von einem Schaden sanktionieren. In der Prüfpraxis werden solche Lücken häufig nach Beschwerden oder bei Routineprüfungen entdeckt.

Quelle: Verordnung (EU) 2016/679 (DSGVO)Verordnung (EU) 2016/679, Art. 83: Allgemeine Bedingungen für die Verhängung von Geldbußen.

Quelle: KBV IT-Sicherheitsrichtlinie (§390 SGB V, ehemals §75b)

Wie ITCC Praxen beim Cloud-Konnektor unterstützt

ITCC ist Ihr externer IT-Dienstleister, kein Datenschutzberater und keine medizinische Einrichtung. Was wir übernehmen: Wir prüfen gemeinsam mit Ihnen die gematik-Zulassung des TI-Gateway-Anbieters, lesen den Auftragsverarbeitungsvertrag auf die hier beschriebenen Punkte gegen und bewerten Datenlokalität und Unterauftragsverarbeiter aus technischer Sicht. So entsteht keine Lücke zwischen Technik und Dokumentation.

Beim Onboarding schließen wir mit jeder betreuten Praxis selbst einen vollständigen AV-Vertrag und beschreiben die technischen und organisatorischen Maßnahmen so, dass sie direkt in Ihre Datenschutzdokumentation einfließen. Bei der Einführung eines Cloud-Konnektors begleiten wir die Migration technisch und sorgen dafür, dass Zulassung, AVV und Verarbeitungsverzeichnis am Ende zusammenpassen.

Wenn Sie unsicher sind, ob Ihr geplanter oder bestehender Cloud-Konnektor datenschutzrechtlich sauber aufgestellt ist, sprechen Sie uns an. Wir schauen uns das gemeinsam an, bevor es eine Datenschutzaufsicht tut. Jetzt Gespräch vereinbaren: Kontakt zu ITCC.