Datensouveränität im Gesundheitswesen | Inuvika

Datensouveränität im Gesundheitswesen: die Frage, die der AVV nicht beantwortet

Souveränität über Gesundheitsdaten

Der Europäische Datenschutzausschuss hat im Juni 2025 klargestellt, dass die Anordnung einer Behörde aus einem Drittstaat für sich genommen keine Grundlage dafür ist, personenbezogene Daten herauszugeben. Nach Art. 48 DSGVO ist eine solche Anordnung nur anerkennungs- oder vollstreckungsfähig, wenn ihr ein internationales Abkommen zugrunde liegt, etwa ein Rechtshilfeabkommen. Der US-amerikanische CLOUD Act verlangt von einem Anbieter, der ihm untersteht, das Gegenteil.

Ob ein Anbieter in diesem Konflikt steht, entscheidet sich an ihm selbst und nicht an seinem Standort. Der Auftragsverarbeitungsvertrag hält das nicht fest.

Datenresidenz fragt, wo Patientendaten liegen. Datensouveränität fragt, welche Behörden ihre Herausgabe anordnen können. Bei Gesundheitsdaten, die Art. 9 DSGVO als besondere Kategorie personenbezogener Daten schützt, wiegt die zweite Frage schwerer. Um sie geht es im Folgenden.

In einer VDI-Bereitstellung reicht die Kette mehrere Parteien tief: der Softwareanbieter, der Hosting-Partner, die darunterliegende Cloud, der Support-Dienstleister. Für jede dieser Parteien verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag, und nach Art. 28 Abs. 4 sind demselben Pflichtenkatalog auch alle Unterauftragsverarbeiter unterworfen. Was keiner dieser Verträge festhält, ist das Land, in dem die jeweilige Gesellschaft errichtet ist, das Recht, dem sie untersteht, oder ob eine Behörde außerhalb des Vertrags sie zur Herausgabe dessen zwingen kann, was sie hält.

Der Mechanismus

Nach dem US-amerikanischen CLOUD Act kann ein Anbieter, der US-Recht unterliegt, von US-Behörden zur Herausgabe von Daten gezwungen werden, die sich in seinem Besitz, seiner Verwahrung oder seiner Kontrolle befinden, auch wenn diese Daten außerhalb der Vereinigten Staaten gespeichert sind. Die Pflicht knüpft an den Anbieter an, nicht an den Serverstandort. Deshalb klärt ein Rechenzentrum vor Ort die Frage der Datenresidenz und lässt die der Gerichtsbarkeit offen.

Damit kollidiert der CLOUD Act frontal mit Art. 48 DSGVO. Ein Anbieter, der beiden Rechtsordnungen untersteht, muss diesen Widerspruch im Ernstfall selbst auflösen.

Eine zweite Stelle im Gesetz zeigt, wie eng der Vertrag hier greift. Art. 28 Abs. 3 lit. a DSGVO verpflichtet den Auftragsverarbeiter, ausschließlich nach dokumentierten Weisungen zu handeln, und ihn trifft eine Unterrichtungspflicht, wenn eine Rechtspflicht ihn zu etwas anderem zwingt. Diese Pflicht ist auf das Unionsrecht und das Recht der Mitgliedstaaten bezogen. Eine Anordnung aus einem Drittstaat fällt nicht darunter.

Ein Teil dieser Prüfung ist in Europa bereits formalisiert. Die Transfer-Folgenabschätzung, die auf das Schrems-II-Urteil folgte, fragt den Exporteur, ob das Recht des Ziellandes Behörden den Zugriff erlaubt, und wiegt extraterritoriale Reichweite ausdrücklich mit. Sie setzt allerdings eine Übermittlung in ein Drittland voraus, und nicht jede Bereitstellung mit einem Anbieter außerhalb der EU löst eine solche aus.

Wo das in einer VDI-Bewertung landet

Daraus folgen drei Dinge. Das erste ist eine gute Nachricht. Die beiden anderen gelten auch dann noch, wenn eine Entscheidung die Frage bereits geschlossen zu haben scheint.

  •   Das Vertragswerk besteht schon. Der Ort, an dem die Gerichtsbarkeit festgehalten wird, ist genau dieses Vertragswerk, das die DSGVO ohnehin verlangt. Ein zusätzliches Feld, kein zusätzliches Vorhaben.
  •   Der Schlüsselbesitz ist eine eigene Frage. Klären Sie für jede Partei in der Kette, wer die Schlüssel hält. Das ist eine Frage der Rechtsordnung und nicht allein eine der Sicherheit.
  •   Der Betrieb im eigenen Rechenzentrum schließt die Frage nicht automatisch. Updates, Lizenzprüfungen, Diagnosedaten und Fernwartung können jeweils Informationen aus der Umgebung heraustragen. Lassen Sie sich für jeden dieser Kanäle den Empfänger schriftlich benennen, samt der Rechtsordnung, der er untersteht.

Wir haben fünf Fragen zusammengestellt, mit denen sich die Lieferkette eines Anbieters prüfen lässt, Sie decken die beteiligten juristischen Personen ab, die Reichweite jeder einzelnen Partei und den Umgang eines Anbieters mit einer behördlichen Anordnung. Sie sind so geschrieben, dass sie unverändert in eine Ausschreibung übernommen werden können.

Wo Inuvika steht

So stehen wir zu diesen Fragen.

Wir schließen unsere Verträge aus Kanada oder dem Vereinigten Königreich und unterliegen nicht der US-Gerichtsbarkeit. Für Kunden mit Sitz in der EU ist für unsere Vertragsbedingungen Irland maßgeblich. Das deckt unsere eigene Gesellschaft ab. Wie der Rest der Kette aussieht, hängt von Ihrer Bereitstellung ab.

Beim Betrieb im eigenen Rechenzentrum erhebt OVD Enterprise keine Kundendaten (außer freiwilligen Angaben zum Ablauf des Abonnements und zu Gesamtnutzungszahlen). Das verringert erheblich, was wir überhaupt jemals herausgeben könnten. Wo eine Bereitstellung darüber hinausgehen muss, lässt sich OVD Enterprise vollständig „air-gapped“ betreiben. Wenn Sie den Betrieb lieber als Dienst beziehen möchten, liefern wir ihn über unabhängige lokale Hosting-Partner in Ihrem Land aus, statt über einen einzigen globalen Betreiber.

OVD Enterprise ist Linux-basiert, liefert Windows- und Linux-Anwendungen sowie Desktops an jedes Endgerät und arbeitet hypervisor- und cloud-unabhängig mit jedem Active Directory oder LDAP-Verzeichnis zusammen. Für dieses Thema zählt daran vor allem eines: Die Lieferkette bleibt eine Reihe von Entscheidungen, die Sie treffen, und wird nicht zu einem rechtlichen Fußabdruck, den Sie erben.

Genomics England hat uns ausgewählt, um die sichere virtualisierte Anwendungs- und Desktop-Umgebung für das 100,000 Genomes Project bereitzustellen. Canadian Health Systems liefert Anwendungen als Dienst an medizinische Praxen. Droguería DelSud, Argentiniens größter Gesundheitsdistributor, hat sein Partnernetz vom herkömmlichen VPN-Zugang auf sichere virtuelle Arbeitsplätze umgestellt.

Die Fragen oben lohnen sich für jeden Anbieter auf einer Shortlist, uns eingeschlossen. Sehen Sie, wie wir virtuelle Desktops im Gesundheitswesen bereitstellen.

Häufige Fragen

Klärt ein Auftragsverarbeitungsvertrag die Frage der Datensouveränität?

Nein. Er regelt, was eine Partei mit den Daten tun darf. Welcher Rechtsordnung diese Partei untersteht, ist eine eigene Tatsache. Sie muss aufgeschrieben werden, statt aus dem Vertrag geschlossen zu werden.

Verlangt die DSGVO, den Sitz eines Anbieters zu prüfen?

Nicht als eigenständige Pflicht. Kapitel V regelt die Übermittlung in Drittländer, und Art. 48 stellt klar, dass die Anordnung einer Drittstaatsbehörde für sich genommen keine Herausgabe rechtfertigt. Beides setzt an der Übermittlung an. Die Frage, welchem Recht ein Anbieter untersteht, ist die schärfere Fassung derselben Sache und gehört in die Risikobetrachtung.

Wir führen bereits eine Transfer-Folgenabschätzung durch. Ist das dieselbe Frage?

Sie kommt ihr am nächsten. Die Prüfung nach Schrems II fragt, ob das Recht des Ziellandes Behörden den Zugriff erlaubt, und das ist die Frage nach der Gerichtsbarkeit in anderer Form. Gebaut ist sie allerdings um Übermittlungen personenbezogener Daten aus dem EWR heraus. Eine Bereitstellung, die die Daten im Land hält, während der Anbieter oder ein Teil seiner Support-Kette außerhalb sitzt, löst sie möglicherweise nicht aus. Es lohnt sich zu prüfen, welche Ihrer Vereinbarungen sie tatsächlich erfasst.