Cloud-Pflegesoftware und § 393 SGB V: Anwendungsbereich und C5-Nachweise richtig prüfen
§ 393 SGB V enthält konkrete Cloud-Voraussetzungen und Ausnahmen. Warum ein Serverstandort oder ein beliebiges ISO-Zertifikat als Prüfung nicht genügt.
Redaktioneller Stand:
Hintergrund & Quellenbefund
§ 393 Absatz 1 SGB V nennt Leistungserbringer im Sinne des Vierten Kapitels des SGB V, Kranken- und Pflegekassen sowie deren jeweilige Auftragsdatenverarbeiter. Daraus folgt keine pauschale unmittelbare Erfassung sämtlicher Einrichtungen allein deshalb, weil sie Leistungen nach SGB XI erbringen. Zunächst müssen Rolle, Leistung und Verarbeitung zugeordnet werden. [1]
Für erfasste Verarbeitungen nennt das Gesetz zulässige Verarbeitungsorte und eine Niederlassung im Inland. Es verlangt außerdem angemessene Sicherheitsmaßnahmen, einen einschlägigen aktuellen C5-Nachweis und die Umsetzung der korrespondierenden Kundenkriterien des Prüfberichts. Ein Standort in Frankfurt ersetzt diese weiteren Anforderungen nicht. [1]
Seit dem 1. Juli 2025 ist grundsätzlich ein aktuelles C5-Typ2-Testat maßgeblich. Für nach dem 30. Juni 2025 erstmals in Verkehr gebrachte Systeme sieht Absatz 4 eine besondere 18-monatige Typ1-Regelung vor. Die Vorschrift enthält außerdem eine Alternative für Standards mit vergleichbarem oder höherem Sicherheitsniveau. Ein beliebiges ISO-Zertifikat ist deshalb nicht ohne weitere Prüfung automatisch gleichwertig. [1]
Soweit Berufsgeheimnisse verarbeitet werden, bleiben die Voraussetzungen für die Einbindung mitwirkender Dienstleister nach § 203 StGB daneben zu prüfen. [2]
Einordnung & Grenzen
Ein C5-Testat ist kein pauschales BSI-Zertifikat für die gesamte Pflegeeinrichtung. Entscheidend sind geprüfter Dienst, Zeitraum, Umfang und Kundenpflichten. Ob eine Alternative oder Übergangsregel im Einzelfall greift, muss anhand der Unterlagen bewertet werden; dieser Beitrag erteilt keine individuelle Rechtsfreigabe.
Einfach erklärt
Fiktives Praxisbeispiel: Ein Anbieter legt einen Prüfbericht seines Infrastrukturbetreibers vor. Die Einrichtung fragt nach, welche Teile ihrer eigentlichen Fachanwendung erfasst sind und welche Maßnahmen sie selbst umsetzen muss. Erst diese Zuordnung macht aus einer Broschüre einen verwendbaren Beschaffungsnachweis.
Empfehlungen für die Praxis
Unsere Empfehlung: Dokumentieren Sie zuerst den Anwendungsbereich und die verarbeiteten Daten. Fordern Sie dann den maßgeblichen Bericht einschließlich Geltungsbereich, Prüfzeitraum, Abweichungen und Kundenkriterien an. Lassen Sie unklare Nachweisketten zwischen Fachsoftware und Infrastruktur erläutern.
Prüfen Sie Verarbeitungsorte, Supportzugriffe, Unterauftragnehmer und Geheimhaltung. Vereinbaren Sie Zuständigkeiten für Sicherheitsvorfälle und Aktualisierungen der Nachweise. Halten Sie fest, welche Kundenpflichten intern erledigt sind und wer offene Punkte übernimmt.
Testen Sie zusätzlich Datenexport, Wiederherstellung und Anbieterwechsel. Ein gesetzlicher Sicherheitsnachweis beantwortet nicht automatisch, ob Ihre Dokumentation bei Ausfall oder Vertragsende praktisch verfügbar bleibt.