Cloud-Hosting Deutschland – Warum der Serverstandort für Pflegedaten entscheidend ist

25. Juni 2026 | Lesezeit: ca. 9 Minuten

Pflegedaten in der Cloud – das klingt für viele Pflegedienstleitungen nach einem Risiko. Dabei ist das Gegenteil der Fall: Ein professionelles Cloud-Hosting in Deutschland ist sicherer als jeder Server im Keller. Entscheidend ist nicht das „Ob", sondern das „Wo" und „Wie". Mit dem neuen § 393 SGB V, dem BSI-Kriterienkatalog C5:2026 und den verschärften DSGVO-Anforderungen gibt es klare Regeln, wann Cloud-Computing für Gesundheits- und Sozialdaten zulässig ist – und wann nicht. Dieser Artikel zeigt, worauf es beim Serverstandort ankommt, welche Zertifizierungen Pflicht sind und wie Sie mit einer strukturierten Checkliste den richtigen Cloud-Anbieter für Ihre Pflegeeinrichtung finden.

Cloud-Hosting im Gesundheitswesen: Kein Verbot, sondern klare Regeln

Lange Zeit galt in der Pflegebranche die Devise: „Patientendaten gehören nicht in die Cloud." Diese pauschale Aussage ist überholt – und rechtlich falsch. Der Gesetzgeber hat mit dem Digitale-Versorgung-Gesetz (DVG) und dem Digital-Gesetz (DigiG) einen klaren Rechtsrahmen geschaffen. Der am 1. Juli 2024 in Kraft getretene § 393 SGB V regelt erstmals explizit den „Cloud-Einsatz im Gesundheitswesen" und definiert verbindliche Voraussetzungen für die Verarbeitung von Sozial- und Gesundheitsdaten in der Cloud.

Die Kernbotschaft des Gesetzgebers: Cloud-Computing ist ausdrücklich erlaubt – aber nur unter strengen Auflagen. Wer diese Auflagen einhält, profitiert von höherer Verfügbarkeit, besserem Schutz vor Ransomware und automatischen Backups, die ein eigener Server im Keller niemals leisten könnte.

§ 393 SGB V: Die vier zentralen Anforderungen an Cloud-Dienste

Der § 393 SGB V definiert, unter welchen Bedingungen Leistungserbringer – also auch Pflegedienste, Pflegeheime und Tagespflegen – Sozial- und Gesundheitsdaten in der Cloud verarbeiten dürfen. Die Vorschrift gilt nicht nur für spezialisierte Pflegesoftware, sondern für alle Cloud-Dienste, in denen personenbezogene Daten von Pflegebedürftigen verarbeitet werden – also auch E-Mail, Dokumentenmanagement oder Personalplanung.

1. Verarbeitungsort: Inland, EU/EWR oder Angemessenheitsbeschluss

§ 393 Abs. 2 SGB V schreibt vor: Die Verarbeitung von Sozial- und Gesundheitsdaten im Wege des Cloud-Computing-Dienstes darf nur erfolgen:

• im Inland (Deutschland),
• in einem Mitgliedstaat der Europäischen Union,
• in einem Vertragsstaat des EWR (Norwegen, Island, Liechtenstein) oder
• in einem Drittstaat mit Angemessenheitsbeschluss nach Art. 45 DSGVO (z. B. Schweiz, Japan, Großbritannien).

Wichtig: Die USA haben keinen Angemessenheitsbeschluss. Das EU-US Data Privacy Framework (DPF) gilt nicht als Angemessenheitsbeschluss im Sinne des § 393 SGB V. Cloud-Dienste mit Serverstandort USA oder mit US-Mutterkonzern (Stichwort: US CLOUD Act) sind daher für Pflegedaten grundsätzlich unzulässig – auch dann, wenn der Anbieter mit Standardvertragsklauseln wirbt.

2. Niederlassungspflicht im Inland

Die datenverarbeitende Stelle muss über eine Niederlassung in Deutschland verfügen (§ 393 Abs. 2 SGB V). Ein reiner Briefkastensitz genügt nicht – es muss eine tatsächliche Geschäftstätigkeit in Deutschland vorliegen. Diese Anforderung schließt Anbieter aus, die ihre Dienste ausschließlich aus dem Ausland betreiben und in Deutschland keine eigene Rechtspersönlichkeit haben.

3. C5-Zertifizierung nach BSI-Standard

§ 393 Abs. 3 Nr. 2 SGB V verlangt ein aktuelles Zertifikat nach dem Cloud Computing Compliance Criteria Catalogue (C5) des Bundesamtes für Sicherheit in der Informationstechnik (BSI). Seit dem 1. Juli 2025 ist zwingend ein C5-Testat Typ 2 erforderlich – also nicht nur die Prüfung der Angemessenheit der Kontrollmechanismen (Typ 1), sondern der Nachweis ihrer tatsächlichen Wirksamkeit über einen definierten Prüfungszeitraum (in der Regel 12 Monate).

Im März 2026 hat das BSI den C5:2026 veröffentlicht – die zweite große Überarbeitung des Kriterienkatalogs. Er integriert die Anforderungen der NIS-2-Richtlinie, der ISO/IEC 27001:2022 und der CSA Cloud Controls Matrix Version 4. Neue Kriterien betreffen unter anderem Asset Management, Remote Work und Post-Quanten-Kryptografie. Ab dem 1. Juni 2027 müssen alle neuen C5-Prüfungen nach C5:2026 durchgeführt werden.

4. Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Jeder Cloud-Anbieter, der für Ihre Pflegeeinrichtung personenbezogene Daten verarbeitet, ist Auftragsverarbeiter im Sinne der DSGVO. Sie benötigen einen schriftlichen AVV, der mindestens folgende Punkte regelt: Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, Kategorien betroffener Personen, technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO sowie Regelungen zu Subunternehmern, Löschung und Kontrollrechten.

Quelle: § 393 SGB V – Cloud-Einsatz im Gesundheitswesen (gesetze-im-internet.de)

Warum der Serverstandort Deutschland die sicherste Wahl ist

Auch wenn § 393 SGB V die Verarbeitung in der gesamten EU erlaubt, gibt es gute Gründe, auf einen ausschließlich deutschen Serverstandort zu bestehen:

• Rechtssicherheit: Deutsches Datenschutzrecht gilt unmittelbar. Bei Servern im EU-Ausland können abweichende nationale Regelungen und unterschiedliche Aufsichtsbehörden zu Rechtsunsicherheit führen.
• Kein US-Zugriff: Anbieter mit US-Mutterkonzern unterliegen dem US CLOUD Act – US-Behörden können unter bestimmten Umständen Zugriff auf Daten verlangen, selbst wenn die Server in der EU stehen. Ein rein deutscher Anbieter ohne US-Bezug eliminiert dieses Risiko.
• BSI-Aufsicht: Deutsche Rechenzentren unterliegen der direkten Aufsicht durch das BSI und die deutschen Datenschutzbehörden – keine Umwege über ausländische Regulierungsbehörden.
• Physische Sicherheit: Deutsche Rechenzentren müssen hohe bauliche und organisatorische Sicherheitsstandards erfüllen – von Zutrittskontrollen über Brandschutz bis zur unterbrechungsfreien Stromversorgung.
• TI-Kompatibilität: Die Telematikinfrastruktur (TI) des deutschen Gesundheitswesens setzt auf in Deutschland betriebene Dienste. Ein deutscher Serverstandort vereinfacht die TI-Anbindung erheblich.

BSI C5:2026 – Der Goldstandard für Cloud-Sicherheit

Der C5-Kriterienkatalog des BSI ist das maßgebliche Rahmenwerk für Cloud-Sicherheit in Deutschland. Er definiert 17 Kontrollbereiche mit insgesamt über 120 Einzelanforderungen – von der Organisation der Informationssicherheit über physische Sicherheit bis zum Notfallmanagement. Die wichtigsten Kontrollbereiche im Überblick:

• OIS – Organisation der Informationssicherheit: ISMS, strategische Ziele, Verantwortlichkeiten, Funktionstrennung
• PS – Personal und Sicherheit: Hintergrundchecks, Schulungen, Vertraulichkeitsverpflichtungen
• AM – Asset Management: Inventarisierung, Klassifizierung, Umgang mit Datenträgern (neu in C5:2026)
• RBAC – Zugriffssteuerung: Rollenbasierte Zugriffskontrolle, Least-Privilege-Prinzip, Mehr-Faktor-Authentifizierung
• KRY – Kryptographie: Verschlüsselung in Transit und at Rest, Schlüsselmanagement, Post-Quanten-Vorbereitung (neu in C5:2026)
• OPS – Betriebssicherheit: Malware-Schutz, Protokollierung, Schwachstellenmanagement, Remote Work (neu in C5:2026)
• COM – Kommunikationssicherheit: Netzwerksicherheit, Netzsegmentierung, sichere Übertragungswege
• BCM – Business Continuity Management: Notfallpläne, Wiederanlaufpläne, regelmäßige Tests

Ein C5-Testat Typ 2 bedeutet: Ein unabhängiger, vom BSI zugelassener Wirtschaftsprüfer hat nicht nur die Existenz dieser Kontrollen bestätigt, sondern auch deren tatsächliche Wirksamkeit über mindestens 6 Monate geprüft. Das ist ein entscheidender Unterschied zu reinen „Papier-Zertifikaten".

Quelle: BSI – C5:2026 Kriterienkatalog

Checkliste: So wählen Sie den richtigen Cloud-Anbieter für Pflegedaten

Die folgende Checkliste hilft Ihnen, Cloud-Anbieter systematisch zu bewerten und die gesetzlichen Anforderungen des § 393 SGB V sowie der DSGVO zu erfüllen. Gehen Sie die Punkte mit jedem potenziellen Anbieter durch und lassen Sie sich die Nachweise schriftlich geben.

1. Serverstandort und Rechtsraum

2. Zertifizierungen und Nachweise

3. Technische Sicherheitsmaßnahmen

4. Vertragliche und organisatorische Anforderungen

Typische Fallstricke: Woran Sie unseriöse Anbieter erkennen

Der Markt für Cloud-Dienste ist unübersichtlich, und nicht jeder Anbieter, der mit „DSGVO-konform" wirbt, hält die Anforderungen tatsächlich ein. Achten Sie auf folgende Warnsignale:

• „Unsere Server stehen in der EU" – ohne konkrete Nennung des Landes. Seriöse Anbieter nennen den exakten Standort ihrer Rechenzentren. „EU" kann auch Bulgarien oder Rumänien bedeuten – rechtlich zulässig, aber mit potenziell geringeren Sicherheitsstandards.
• „Wir sind ISO-27001-zertifiziert" – ohne C5-Testat. ISO 27001 allein genügt nicht den Anforderungen des § 393 SGB V. Nur mit einem zusätzlichen Maßnahmenpaket und Nachweis der Gleichwertigkeit kann sie das C5-Testat ersetzen – was in der Praxis kaum Erleichterung bringt.
• „Standardvertragsklauseln reichen aus" – bei US-Anbietern. Standardvertragsklauseln (SCC) sind ein DSGVO-Instrument für Drittlandtransfers, aber sie heilen nicht das CLOUD-Act-Risiko und genügen nicht den Anforderungen des § 393 SGB V.
• Kein eigener AVV – „Unsere AGB decken das ab". Ein AVV ist ein separates, unterschriebenes Dokument. AGB-Klauseln ersetzen keinen ordnungsgemäßen Auftragsverarbeitungsvertrag.
• „C5-zertifiziert" – aber nur Typ 1 oder abgelaufen. Fragen Sie nach dem konkreten Testat-Datum und dem Typ. Ein Typ-1-Testat ist seit dem 1. Juli 2025 nicht mehr ausreichend.

itbuddy.care: Cloud-Hosting, das die Checkliste erfüllt

itbuddy.care wurde von Grund auf für die Anforderungen des deutschen Gesundheitswesens entwickelt. Die Plattform erfüllt alle Kriterien dieser Checkliste:

• Serverstandort Deutschland: Alle Daten werden ausschließlich in deutschen Rechenzentren gespeichert und verarbeitet – Primärsysteme und Backups. Kein US-Mutterkonzern, kein CLOUD-Act-Risiko.
• Vollständige Verschlüsselung: TLS 1.3 für alle Daten in Transit, AES-256 für alle Daten at Rest. Optional Ende-zu-Ende-verschlüsselte Kommunikation für besonders schützenswerte Pflegedaten.
• TI-geeignet: Nahtlose Integration in die Telematikinfrastruktur – inklusive SMC-B-Kartenleser, KIM-Nachrichtendienst und E-Rezept-Unterstützung.
• C5-Testat Typ 2: Aktuelles BSI-Testat nach C5:2026, geprüft durch unabhängige Wirtschaftsprüfer.
• DSGVO-konformer AVV: Vorgefertigter, rechtssicherer Auftragsverarbeitungsvertrag – kein Verhandlungsaufwand, keine versteckten Klauseln.
• 24/7-Überwachung: Lückenlose Protokollierung aller Zugriffe, automatische Alarmierung bei Anomalien, zertifiziertes Incident-Response-Team.
• Made for Pflege: Keine generische Cloud-Plattform, sondern eine speziell für Pflegedienste, Pflegeheime und Tagespflegen entwickelte Komplettlösung – mit Pflegedokumentation, Tourenplanung, Abrechnung und Personalmanagement aus einer Hand.

Fazit: Serverstandort Deutschland ist kein „Nice-to-have", sondern Pflicht

Die Rechtslage ist eindeutig: Wer Pflegedaten in der Cloud verarbeitet, muss die Anforderungen des § 393 SGB V erfüllen – und das bedeutet Serverstandort Deutschland oder EU/EWR, C5-Testat Typ 2, Niederlassung im Inland und einen wasserdichten AVV. Die gute Nachricht: Mit einem professionellen, auf das Gesundheitswesen spezialisierten Anbieter ist das alles kein Hexenwerk.

Die Checkliste in diesem Artikel gibt Ihnen ein praktisches Werkzeug an die Hand, um Anbieter systematisch zu vergleichen und die richtige Entscheidung für Ihre Pflegeeinrichtung zu treffen. Nehmen Sie sich die Zeit für eine gründliche Prüfung – es geht um die sensibelsten Daten, die Ihre Einrichtung verarbeitet: die Gesundheitsdaten der Ihnen anvertrauten Menschen.

Quellen

1. § 393 SGB V – Cloud-Einsatz im Gesundheitswesen; Verordnungsermächtigung
2. BSI – C5:2026 Cloud Computing Compliance Criteria Catalogue
3. BSI – C5 Kriterienkatalog (Übersicht)
4. LUTZ | ABEL – Cloud-Computing-Dienste im Gesundheitswesen: Anforderungen des § 393 SGB V
5. DSN Group – C5:2026: Der neue Kriterienkatalog ist da
6. WINHELLER – Cloud-Dienste im Gesundheitswesen: Neue Anforderungen
7. Baker Tilly – Neuer Kriterienkatalog C5:2026