§ 393 SGB V: seit dem 1. Juli 2025 zählt nur noch das C5-Typ-2-Testat, mit einer 18-Monats-Ausnahme

Wichtige Erkenntnisse

• § 393 Abs. 1 SGB V erlaubt Leistungserbringern im Sinne des Vierten Kapitels, Kranken- und Pflegekassen sowie ihren Auftragsdatenverarbeitern die Verarbeitung von Sozial- und Gesundheitsdaten im Wege des Cloud-Computing-Dienstes nur, „sofern die Voraussetzungen der Absätze 2 bis 4 erfüllt sind“.
• § 393 Abs. 2 SGB V beschränkt den Verarbeitungsort auf das Inland, EU-Mitgliedstaaten, gleichgestellte Staaten nach § 35 Abs. 7 SGB I oder Drittstaaten mit Angemessenheitsbeschluss nach Art. 45 DSGVO, und verlangt in jedem Fall, dass „die datenverarbeitende Stelle über eine Niederlassung im Inland verfügt“.
• § 393 Abs. 3 Nr. 2 SGB V verlangt „ein aktuelles C5-Testat der datenverarbeitenden Stelle im Hinblick auf die C5-Basiskriterien“; Nr. 3 verlangt, dass „die im Prüfbericht des Testats enthaltenen, korrespondierenden Kriterien für Kunden umgesetzt sind“. Das Testat allein reicht nicht, die Kundenseite muss ihren Teil belegen.
• § 393 Abs. 4 Satz 3 SGB V: „Wird ein informationstechnisches System nach dem 30. Juni 2025 erstmalig in Verkehr gebracht, gilt als aktuelles C5-Testat im Sinne des Absatzes 3 Nummer 2 für die ersten 18 Monate nach dem Inverkehrbringen ein C5-Typ1-Testat, ab dem 19. Monat nach dem Inverkehrbringen ein C5-Typ2-Testat.“
• § 393 Abs. 4 Satz 4 SGB V lässt anstelle des C5-Testats ein Testat oder Zertifikat nach einem Standard zu, „dessen Befolgung ein im Vergleich zum C5-Standard vergleichbares oder höheres Sicherheitsniveau sicherstellt“; welche Standards das sind, kann das Bundesministerium für Gesundheit durch Rechtsverordnung festlegen.
• § 393 Abs. 5 und 6 SGB V knüpfen die „angemessenen“ technischen und organisatorischen Maßnahmen nach Abs. 3 Nr. 1 an § 390 (vertragsärztliche Versorgung), § 391 (zugelassene Krankenhäuser) und den B3S-GKV/PV (Krankenkassen); in allen anderen Fällen gilt Gleichwertigkeit zu § 391.

Eine Erlaubnisnorm mit drei Bedingungen und einem Datum

§ 393 SGB V ist keine Verbotsnorm und keine Bestellpflicht. Er ist eine Erlaubnis mit Bedingungen: Leistungserbringer und Kassen „dürfen Sozialdaten und Gesundheitsdaten auch im Wege des Cloud-Computing-Dienstes verarbeiten, sofern die Voraussetzungen der Absätze 2 bis 4 erfüllt sind“ (§ 393 Abs. 1 SGB V). Die Bedingungen betreffen den Ort (Abs. 2), die Sicherheit (Abs. 3) und den Nachweis der Sicherheit (Abs. 4). Das Datum, das den Nachweis verändert hat, ist der 1. Juli 2025, und es ist inzwischen mehr als ein Jahr alt. Dieser Beitrag liest die Vorschrift in der Fassung, die gesetze-im-internet.de am 15. September 2026 ausweist.

Adressaten sind nach Abs. 1 „Leistungserbringer im Sinne des Vierten Kapitels und Kranken- und Pflegekassen sowie ihre jeweiligen Auftragsdatenverarbeiter“. Das Vierte Kapitel des SGB V umfasst die Beziehungen der Krankenkassen zu den Leistungserbringern, also unter anderem Vertragsärzte, Zahnärzte, zugelassene Krankenhäuser, Apotheken und Heilmittelerbringer. Der Softwarehersteller, dessen Praxisverwaltungssystem in der Cloud läuft, ist als Auftragsdatenverarbeiter mitadressiert.

Absatz 2: der Ort der Verarbeitung

§ 393 Abs. 2 SGB V lautet: „Die Verarbeitung von Sozial- und Gesundheitsdaten im Wege des Cloud-Computing-Dienstes darf nur 1. im Inland, 2. in einem Mitgliedstaat der Europäischen Union oder 3. in einem diesem nach § 35 Absatz 7 des Ersten Buches gleichgestellten Staat oder, sofern ein Angemessenheitsbeschluss gemäß Artikel 45 der Verordnung (EU) 2016/679 vorliegt, in einem Drittstaat erfolgen und sofern die datenverarbeitende Stelle über eine Niederlassung im Inland verfügt.“ Die Niederlassung im Inland ist eine Bedingung zusätzlich zum Ort: Ein Anbieter, der ausschließlich in einem EU-Rechenzentrum verarbeitet, aber keine Niederlassung in Deutschland hat, erfüllt Abs. 2 nicht.

Absatz 3: Maßnahmen, Testat und die Kundenseite

§ 393 Abs. 3 SGB V lautet: „Eine Verarbeitung nach Absatz 1 ist nur zulässig, wenn zusätzlich zu den Anforderungen des Absatzes 2 1. nach dem Stand der Technik angemessene technische und organisatorische Maßnahmen zur Gewährleistung der Informationssicherheit ergriffen worden sind, 2. ein aktuelles C5-Testat der datenverarbeitenden Stelle im Hinblick auf die C5-Basiskriterien für die im Rahmen des Cloud-Computing-Dienstes eingesetzten Cloud-Systeme und die eingesetzte Technik vorliegt und 3. die im Prüfbericht des Testats enthaltenen, korrespondierenden Kriterien für Kunden umgesetzt sind.“

Nr. 3 wird in der Praxis übersehen. Der Kriterienkatalog C5 des Bundesamts für Sicherheit in der Informationstechnik enthält neben den Anforderungen an den Cloud-Anbieter korrespondierende Kriterien, die der Kunde umsetzen muss, etwa bei der Verwaltung von Zugriffsrechten oder der Konfiguration von Verschlüsselung. Das Testat des Anbieters deckt seine Seite ab. Ob die Kundenseite umgesetzt ist, muss der Leistungserbringer selbst belegen können, und genau dafür verlangt Abs. 7 für die Veröffentlichung testierter Systeme eine „Kontrollliste zu den korrespondierenden Kriterien für Kunden“.

Absatz 4: Typ 1, Typ 2 und die 18 Monate

§ 393 Abs. 4 Satz 1 und 2 SGB V lauten: „Bis zum 30. Juni 2025 gilt als aktuelles C5-Testat im Sinne des Absatzes 3 Nummer 2 ein C5-Typ1-Testat. Ab dem 1. Juli 2025 gilt als aktuelles C5-Testat im Sinne des Absatzes 3 Nummer 2 ein aktuelles C5-Typ2-Testat.“ Der Unterschied zwischen den Typen liegt im Prüfgegenstand: Ein Typ-1-Testat bestätigt die Angemessenheit der Kontrollen zu einem Stichtag, ein Typ-2-Testat bestätigt zusätzlich ihre Wirksamkeit über einen Prüfzeitraum. Seit dem 1. Juli 2025 verlangt die Norm die zweite Aussage. Ein Typ-1-Testat, das im Frühjahr 2025 ausgestellt wurde, trägt die Verarbeitung deshalb seit diesem Datum nicht mehr, gleichgültig wie jung es ist.

Satz 3 enthält die Ausnahme: „Wird ein informationstechnisches System nach dem 30. Juni 2025 erstmalig in Verkehr gebracht, gilt als aktuelles C5-Testat im Sinne des Absatzes 3 Nummer 2 für die ersten 18 Monate nach dem Inverkehrbringen ein C5-Typ1-Testat, ab dem 19. Monat nach dem Inverkehrbringen ein C5-Typ2-Testat.“ Die Ausnahme knüpft an das System, nicht an den Anbieter: Ein Anbieter, der ein neues Cloud-System im Oktober 2025 erstmalig in Verkehr bringt, kann es bis zum Ablauf des 18. Monats, also bis in den April 2027, mit einem Typ-1-Testat betreiben und braucht ab dem 19. Monat Typ 2. Für ein System, das vor dem 1. Juli 2025 in Verkehr war, gibt es diese Frist nicht. Wer die Ausnahme in Anspruch nimmt, muss deshalb das Datum des erstmaligen Inverkehrbringens belegen können.

Satz 4 öffnet die Norm für andere Standards: „Eine Verarbeitung nach Absatz 3 Nummer 2 ist ferner auch zulässig, soweit für die im Rahmen des Cloud-Computing-Dienstes eingesetzten Cloud-Systeme und die Cloud-Technik anstelle eines aktuellen C5-Testats ein Testat oder Zertifikat nach einem Standard vorliegt, dessen Befolgung ein im Vergleich zum C5-Standard vergleichbares oder höheres Sicherheitsniveau sicherstellt.“ Satz 5 ermächtigt das Bundesministerium für Gesundheit, im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik durch Rechtsverordnung festzulegen, welche Standards das sind. Solange eine solche Verordnung nicht vorliegt, trägt der Verarbeiter die Darlegung der Vergleichbarkeit selbst.

Absätze 5 und 6: was „angemessen“ nach Nr. 1 heißt

§ 393 Abs. 5 SGB V lautet: „Technische und organisatorische Maßnahmen gelten als angemessen im Sinne von Absatz 3 Nummer 1, wenn folgende Anforderungen erfüllt werden: 1. in der vertragsärztlichen und vertragszahnärztlichen Versorgung die Voraussetzungen des § 390, 2. in zugelassenen Krankenhäusern die Voraussetzungen des § 391 und 3. von Krankenkassen die Voraussetzungen des Branchenspezifischen Sicherheitsstandards für gesetzliche Kranken- und Pflegeversicherer (B3S-GKV/PV).“ Abs. 6 Satz 1 ergänzt: „In allen anderen Fällen gelten technische und organisatorische Maßnahmen als angemessen im Sinne von Absatz 3 Nummer 1, wenn sie gleichwertig zu den Anforderungen nach § 391 sind.“ Für Apotheken, Heilmittelerbringer oder Pflegeeinrichtungen, die weder unter § 390 noch unter § 391 fallen, ist damit der Krankenhausmaßstab des § 391 die Referenz.

Was ein Leistungserbringer heute vorhalten muss

Aus dem Wortlaut folgen vier Belege, die im Fall einer Prüfung durch die Aufsicht vorliegen müssen. Erstens der Verarbeitungsort und die inländische Niederlassung des Anbieters nach Abs. 2. Zweitens das C5-Testat des Anbieters nach Abs. 3 Nr. 2, seit dem 1. Juli 2025 als Typ 2, oder das Datum des erstmaligen Inverkehrbringens des Systems, wenn die 18-Monats-Frist des Abs. 4 Satz 3 in Anspruch genommen wird. Drittens die Umsetzung der korrespondierenden Kundenkriterien nach Abs. 3 Nr. 3. Viertens die eigenen Maßnahmen nach Abs. 3 Nr. 1, gemessen an § 390, § 391 oder dem B3S-GKV/PV.

Testate laufen ab, und ein Typ-2-Testat deckt einen Prüfzeitraum, nicht die Zukunft. In CIVAC lassen sich Ablaufdatum und Prüfzeitraum jedes Anbietertestats als wiederkehrende Aufgabe führen, die Kontrollliste der Kundenkriterien als Dokument ablegen und für jedes nach dem 30. Juni 2025 in Verkehr gebrachte System der 19. Monat als Termin setzen. Für die Pflicht selbst ändert das nichts; § 393 SGB V verlangt keine Bestellung einer Person, sondern Nachweise, die zum Prüfungszeitpunkt vollständig sind.

Wo dieser Beitrag endet

CIVAC ist keine Rechtsanwaltskanzlei und erbringt keine Rechtsdienstleistung im Sinne des Rechtsdienstleistungsgesetzes. Dieser Beitrag gibt § 393 SGB V im Wortlaut wieder. Ob ein bestimmter Dienst ein Cloud-Computing-Dienst im Sinne der Vorschrift ist, ob ein bestimmtes Zertifikat nach Abs. 4 Satz 4 ein vergleichbares oder höheres Sicherheitsniveau sicherstellt, wann ein System erstmalig in Verkehr gebracht wurde und ob die Maßnahmen eines konkreten Leistungserbringers gleichwertig zu § 391 sind, entscheidet nicht dieser Text, sondern der Verarbeiter gegenüber seiner Aufsichtsbehörde.

Häufige Fragen

Reicht ein C5-Typ-1-Testat für die Cloud-Verarbeitung von Gesundheitsdaten noch aus?

Seit dem 1. Juli 2025 grundsätzlich nicht mehr. § 393 Abs. 4 Satz 2 SGB V bestimmt, dass ab diesem Datum als aktuelles C5-Testat ein aktuelles C5-Typ2-Testat gilt. Die einzige Ausnahme steht in Satz 3: Für ein informationstechnisches System, das nach dem 30. Juni 2025 erstmalig in Verkehr gebracht wird, genügt ein Typ-1-Testat für die ersten 18 Monate nach dem Inverkehrbringen.

Für wen gilt § 393 SGB V?

Nach § 393 Abs. 1 SGB V für Leistungserbringer im Sinne des Vierten Kapitels des SGB V, für Kranken- und Pflegekassen und für ihre jeweiligen Auftragsdatenverarbeiter, soweit sie Sozial- und Gesundheitsdaten im Wege des Cloud-Computing-Dienstes verarbeiten. Der Cloud-Anbieter als Auftragsdatenverarbeiter ist damit ebenso adressiert wie die Praxis oder das Krankenhaus, die seinen Dienst nutzen.

Darf die Cloud in den USA stehen?

§ 393 Abs. 2 Nr. 3 SGB V lässt die Verarbeitung in einem Drittstaat zu, „sofern ein Angemessenheitsbeschluss gemäß Artikel 45 der Verordnung (EU) 2016/679 vorliegt“, und in jedem Fall nur, „sofern die datenverarbeitende Stelle über eine Niederlassung im Inland verfügt“. Ob für einen bestimmten Drittstaat ein Angemessenheitsbeschluss besteht und was er umfasst, ist zum Zeitpunkt der Verarbeitung zu prüfen.

Was sind die korrespondierenden Kriterien für Kunden?

Der C5-Kriterienkatalog des Bundesamts für Sicherheit in der Informationstechnik enthält neben den Anforderungen an den Anbieter Kriterien, die der Cloud-Kunde selbst umsetzen muss. § 393 Abs. 3 Nr. 3 SGB V macht deren Umsetzung zur Voraussetzung der Verarbeitung, und § 393 Abs. 7 SGB V verlangt für die Veröffentlichung eines testierten Systems auf der Plattform des Kompetenzzentrums für Interoperabilität eine Kontrollliste zu diesen Kriterien.

Gibt es Alternativen zum C5-Testat?

§ 393 Abs. 4 Satz 4 SGB V lässt ein Testat oder Zertifikat nach einem Standard zu, dessen Befolgung ein im Vergleich zum C5-Standard vergleichbares oder höheres Sicherheitsniveau sicherstellt. Welche Standards das sind, kann das Bundesministerium für Gesundheit nach Satz 5 im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik durch Rechtsverordnung festlegen.