Sozialgesetzbuch (SGB) Fünftes Buch (V) - Gesetzliche Krankenversicherung - (Artikel 1 des Gesetzes v. 20. Dezember 1988, BGBl. I S. 2477) – SGB 5
(1) Leistungserbringer im Sinne des Vierten Kapitels
und Kranken- und Pflegekassen sowie ihre jeweiligen Auftragsdatenverarbeiter
dürfen Sozialdaten und Gesundheitsdaten auch im Wege des
Cloud-Computing-Dienstes verarbeiten, sofern die Voraussetzungen der
Absätze 2 bis 4 erfüllt sind.
(2) Die Verarbeitung von Sozial- und Gesundheitsdaten
im Wege des Cloud-Computing-Dienstes darf nur
- 1.
-
im Inland,
- 2.
-
in einem Mitgliedstaat der Europäischen Union oder
- 3.
-
in einem diesem nach § 35 Absatz 7 des Ersten Buches gleichgestellten Staat oder, sofern ein Angemessenheitsbeschluss gemäß Artikel 45 der Verordnung (EU) 2016/679 vorliegt, in einem Drittstaat
(3) Eine Verarbeitung nach Absatz 1 ist nur zulässig,
wenn zusätzlich zu den Anforderungen des Absatzes 2
- 1.
-
nach dem Stand der Technik angemessene technische und organisatorische Maßnahmen zur Gewährleistung der Informationssicherheit ergriffen worden sind,
- 2.
-
ein aktuelles C5-Testat der datenverarbeitenden Stelle im Hinblick auf die C5-Basiskriterien für die im Rahmen des Cloud-Computing-Dienstes eingesetzten Cloud-Systeme und die eingesetzte Technik vorliegt und
- 3.
-
die im Prüfbericht des Testats enthaltenen, korrespondierenden Kriterien für Kunden umgesetzt sind.
(4) 1Bis zum 30. Juni
2025 gilt als aktuelles C5-Testat im Sinne des Absatzes 3 Nummer
2 ein C5-Typ1-Testat.
2Ab dem 1. Juli 2025 gilt als aktuelles C5-Testat im Sinne des Absatzes 3 Nummer 2 ein aktuelles C5-Typ2-Testat.
3Wird ein informationstechnisches System nach dem 30. Juni 2025 erstmalig in Verkehr gebracht, gilt als aktuelles C5-Testat im Sinne des Absatzes 3 Nummer 2 für die ersten 18 Monate nach dem Inverkehrbringen ein C5-Typ1-Testat, ab dem 19.
4Monat nach dem Inverkehrbringen ein C5-Typ2-Testat.
5Eine Verarbeitung nach Absatz 3 Nummer 2 ist ferner auch zulässig, soweit für die im Rahmen des Cloud-Computing-Dienstes eingesetzten Cloud-Systeme und die Cloud-Technik anstelle eines aktuellen C5-Testats ein Testat oder Zertifikat nach einem Standard vorliegt, dessen Befolgung ein im Vergleich zum C5-Standard vergleichbares oder höheres Sicherheitsniveau sicherstellt.
6Das Bundesministerium für Gesundheit wird ermächtigt, durch Rechtsverordnung ohne Zustimmung des Bundesrates im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik festzulegen, welche Standards die Anforderungen nach Satz 4 erfüllen.
2Ab dem 1. Juli 2025 gilt als aktuelles C5-Testat im Sinne des Absatzes 3 Nummer 2 ein aktuelles C5-Typ2-Testat.
3Wird ein informationstechnisches System nach dem 30. Juni 2025 erstmalig in Verkehr gebracht, gilt als aktuelles C5-Testat im Sinne des Absatzes 3 Nummer 2 für die ersten 18 Monate nach dem Inverkehrbringen ein C5-Typ1-Testat, ab dem 19.
4Monat nach dem Inverkehrbringen ein C5-Typ2-Testat.
5Eine Verarbeitung nach Absatz 3 Nummer 2 ist ferner auch zulässig, soweit für die im Rahmen des Cloud-Computing-Dienstes eingesetzten Cloud-Systeme und die Cloud-Technik anstelle eines aktuellen C5-Testats ein Testat oder Zertifikat nach einem Standard vorliegt, dessen Befolgung ein im Vergleich zum C5-Standard vergleichbares oder höheres Sicherheitsniveau sicherstellt.
6Das Bundesministerium für Gesundheit wird ermächtigt, durch Rechtsverordnung ohne Zustimmung des Bundesrates im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik festzulegen, welche Standards die Anforderungen nach Satz 4 erfüllen.
(5) 1Technische und
organisatorische Maßnahmen gelten als angemessen im Sinne von Absatz 3 Nummer
1, wenn folgende Anforderungen erfüllt
werden:
- 1.
-
in der vertragsärztlichen und vertragszahnärztlichen Versorgung die Voraussetzungen des § 390,
- 2.
-
in zugelassenen Krankenhäusern die Voraussetzungen des § 391 und
- 3.
-
von Krankenkassen die Voraussetzungen des Branchenspezifischen Sicherheitsstandards für gesetzliche Kranken- und Pflegeversicherer (B3S-GKV/PV).
(6) 1In allen anderen
Fällen gelten technische und organisatorische Maßnahmen als angemessen im Sinne
von Absatz
3 Nummer 1, wenn sie gleichwertig zu den
Anforderungen nach § 391 sind.
2Der Angemessenheitsmaßstab nach Satz 1 gilt nicht, soweit Verarbeiter nach Absatz 1 ohnehin als Betreiber Kritischer Infrastrukturen gemäß § 8a des BSI-Gesetzes angemessene technische Vorkehrungen zu treffen haben.
2Der Angemessenheitsmaßstab nach Satz 1 gilt nicht, soweit Verarbeiter nach Absatz 1 ohnehin als Betreiber Kritischer Infrastrukturen gemäß § 8a des BSI-Gesetzes angemessene technische Vorkehrungen zu treffen haben.
(7) 1Informationen
über die nach Absatz
3 Nummer 2 testierten Cloud-Systeme und
testierte Cloud-Technik werden von dem Kompetenzzentrum für Interoperabilität
im Gesundheitswesen auf der Plattform nach § 385 Absatz 1 Satz 2 Nummer
5 auf Antrag veröffentlicht.
2Dem Antrag nach Satz 1 ist eine Kontrollliste zu den korrespondierenden Kriterien für Kunden anzufügen.
2Dem Antrag nach Satz 1 ist eine Kontrollliste zu den korrespondierenden Kriterien für Kunden anzufügen.
(8) Die Vorschriften des Zehnten Buches und des
Bundesdatenschutzgesetzes bleiben unberührt.
Zuletzt geändert durch Art. 1 G v. 26.6.2026 I Nr.
195
Änderung durch Art. 1 G v. 24.7.2026 I Nr. 228
textlich nachgewiesen, dokumentarisch noch nicht abschließend bearbeitet
Änderung durch Art. 2 G v. 6.10.2026 I Nr. 289 ist
berücksichtigt
Bek. v. 16.9.2026 I Nr. 282 ist
berücksichtigt
Seite zuletzt aktualisiert am
20. Oktober 2026