{"id":37774,"date":"2026-07-31T09:30:45","date_gmt":"2026-07-31T13:30:45","guid":{"rendered":"https:\/\/www.inuvika.com\/?p=37774"},"modified":"2026-07-31T09:30:45","modified_gmt":"2026-07-31T13:30:45","slug":"souveranitat-uber-gesundheitsdaten-uber-den-baa-hinaus","status":"publish","type":"post","link":"https:\/\/www.inuvika.com\/de\/healthcare-data-sovereignty-beyond-the-baa\/","title":{"rendered":"Datensouver\u00e4nit\u00e4t im Gesundheitswesen: die Frage,\ndie der AVV nicht beantwortet"},"content":{"rendered":"

Der Europ\u00e4ische Datenschutzausschuss<\/a> hat im Juni 2025 klargestellt, dass die Anordnung einer Beh\u00f6rde aus einem Drittstaat f\u00fcr sich genommen keine Grundlage daf\u00fcr ist, personenbezogene Daten herauszugeben. Nach Art. 48 DSGVO ist eine solche Anordnung nur anerkennungs- oder vollstreckungsf\u00e4hig, wenn ihr ein internationales Abkommen zugrunde liegt, etwa ein Rechtshilfeabkommen. Der US-amerikanische CLOUD Act verlangt von einem Anbieter, der ihm untersteht, das Gegenteil.<\/p>\n

Ob ein Anbieter in diesem Konflikt steht, entscheidet sich an ihm selbst und nicht an seinem Standort. Der Auftragsverarbeitungsvertrag h\u00e4lt das nicht fest.<\/p>\n

Datenresidenz fragt, wo Patientendaten liegen. Datensouver\u00e4nit\u00e4t fragt, welche Beh\u00f6rden ihre Herausgabe anordnen k\u00f6nnen. Bei Gesundheitsdaten, die Art. 9 DSGVO<\/a> als besondere Kategorie personenbezogener Daten sch\u00fctzt, wiegt die zweite Frage schwerer. Um sie geht es im Folgenden.<\/p>\n

In einer VDI-Bereitstellung reicht die Kette mehrere Parteien tief: der Softwareanbieter, der Hosting-Partner, die darunterliegende Cloud, der Support-Dienstleister. F\u00fcr jede dieser Parteien verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag, und nach Art. 28 Abs. 4 sind demselben Pflichtenkatalog auch alle Unterauftragsverarbeiter unterworfen. Was keiner dieser Vertr\u00e4ge festh\u00e4lt, ist das Land, in dem die jeweilige Gesellschaft errichtet ist, das Recht, dem sie untersteht, oder ob eine Beh\u00f6rde au\u00dferhalb des Vertrags sie zur Herausgabe dessen zwingen kann, was sie h\u00e4lt.<\/p>\n

Der Mechanismus<\/h3>\n

Nach dem US-amerikanischen CLOUD Act kann ein Anbieter, der US-Recht unterliegt, von US-Beh\u00f6rden zur Herausgabe von Daten gezwungen werden, die sich in seinem Besitz, seiner Verwahrung oder seiner Kontrolle befinden, auch wenn diese Daten au\u00dferhalb der Vereinigten Staaten gespeichert sind. Die Pflicht kn\u00fcpft an den Anbieter an, nicht an den Serverstandort. Deshalb kl\u00e4rt ein Rechenzentrum vor Ort die Frage der Datenresidenz und l\u00e4sst die der Gerichtsbarkeit offen.

\n\nDamit kollidiert der CLOUD Act frontal mit Art. 48 DSGVO. Ein Anbieter, der beiden Rechtsordnungen untersteht, muss diesen Widerspruch im Ernstfall selbst aufl\u00f6sen.

\nEine zweite Stelle im Gesetz zeigt, wie eng der Vertrag hier greift. Art. 28 Abs. 3 lit. a DSGVO verpflichtet den Auftragsverarbeiter, ausschlie\u00dflich nach dokumentierten Weisungen zu handeln, und ihn trifft eine \nUnterrichtungspflicht, wenn eine Rechtspflicht ihn zu etwas anderem zwingt. Diese Pflicht ist auf das Unionsrecht und das Recht der Mitgliedstaaten bezogen. Eine Anordnung aus einem Drittstaat f\u00e4llt nicht darunter.<\/p>\n

Ein Teil dieser Pr\u00fcfung ist in Europa bereits formalisiert. Die Transfer-Folgenabsch\u00e4tzung, die auf das Schrems-II-Urteil<\/a> folgte, fragt den Exporteur, ob das Recht des Ziellandes Beh\u00f6rden den Zugriff erlaubt, und wiegt extraterritoriale Reichweite ausdr\u00fccklich mit. Sie setzt allerdings eine \u00dcbermittlung in ein Drittland voraus, und nicht jede Bereitstellung mit einem Anbieter au\u00dferhalb der EU l\u00f6st eine solche aus.<\/p>\n

Wo das in einer VDI-Bewertung landet<\/h3>\n

Daraus folgen drei Dinge. Das erste ist eine gute Nachricht. Die beiden anderen gelten auch dann noch, wenn eine Entscheidung die Frage bereits geschlossen zu haben scheint.<\/p>\n