Passgenaue Lösungen für Healthtech-Unternehmen
Wer Software für Patientinnen, Ärzte oder Kliniken entwickelt, verarbeitet besonders schützenswerte Daten. Kunden im Gesundheitswesen fragen nach Zertifikaten und Cloud-Testaten, Hersteller von Medizinprodukten können unter NIS2 fallen. Sightadel führt durch Datenschutz, ISO 27001, NIS2 und BSI C5 und hält die Nachweise auf einer gemeinsamen Grundlage.
Ausgangslage
Healthtech-Unternehmen arbeiten mit Daten, die die DSGVO als besondere Kategorie behandelt. Gesundheitsdaten dürfen nach Art. 9 DSGVO nur verarbeitet werden, wenn eine der dort genannten Ausnahmen greift, etwa eine ausdrückliche Einwilligung. Dazu kommt fast immer eine Datenschutz-Folgenabschätzung, weil die Verarbeitung voraussichtlich ein hohes Risiko für die Betroffenen hat.
Die Kunden sind anspruchsvoll. Krankenhäuser, Praxen und Krankenkassen prüfen Anbieter gründlich. Nach § 393 SGB V dürfen Leistungserbringer und Krankenkassen Gesundheitsdaten nur in der Cloud verarbeiten lassen, wenn ein aktuelles C5-Testat vorliegt. Für Software als Dienst heißt das oft: Die Frage nach dem Testat kommt im Vertrieb.
Ist Ihre Software ein Medizinprodukt, gelten zusätzlich die Medizinprodukte-Verordnung und ihre Anforderungen an IT-Sicherheit. Hersteller von Medizinprodukten stehen außerdem in Anlage 2 des BSIG und sind ab mittlerer Größe wichtige Einrichtungen. Sightadel bildet die Medizinprodukte-Verordnung nicht ab. Die Informationssicherheit dahinter führen Sie mit ISO 27001 auf derselben Grundlage wie alles andere.
Warum jetzt
Seit dem 1. Juli 2025 verlangt § 393 SGB V grundsätzlich ein C5-Testat vom Typ 2. Für neue Systeme, die nach dem 30. Juni 2025 auf den Markt kommen, genügt in den ersten 18 Monaten Typ 1.
Krankenhäuser und Krankenkassen setzen ISO 27001 oder vergleichbare Nachweise häufig als Bedingung. Ohne Zertifikat bleibt man außen vor.
Mit der Zweckbestimmung kann aus einer App ein Medizinprodukt werden. Dann gehört das Unternehmen als Hersteller zu Anlage 2 des BSIG, ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und Bilanzsumme.
Hersteller digitaler Gesundheitsanwendungen weisen seit dem 1. Januar 2025 die Datensicherheit mit einem Zertifikat des BSI nach und seit dem 1. August 2024 den Datenschutz mit einem Zertifikat nach Art. 42 DSGVO.
Jede neue Verarbeitung braucht eine Rechtsgrundlage nach Art. 9 DSGVO und meist eine Folgenabschätzung, bevor sie live geht.
In der Due Diligence fragen Investoren und Pharmapartner nach Datenschutz, Zertifikaten und Vorfällen. Ein gepflegtes ISMS beantwortet das ohne Sonderschicht.
Relevante Frameworks
In eigenen Worten zusammengefasst, keine Rechtsberatung. Maßgeblich ist der Originaltext in der geltenden Fassung.
Gesundheitsdaten sind besondere Kategorien nach Art. 9 DSGVO. Es braucht eine Ausnahme vom Verarbeitungsverbot, eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO bei umfangreicher Verarbeitung und meist einen Datenschutzbeauftragten. Als Auftragsverarbeiter von Praxen oder Kliniken kommen Verträge nach Art. 28 DSGVO hinzu.
Zum Framework →Der übliche Nachweis für Informationssicherheit gegenüber Kliniken, Kassen und Partnern. Ein ISMS nach ISO 27001 ist zugleich eine gute Grundlage für C5, NIS2 und die Sicherheitsanforderungen an Medizinprodukte-Software.
Zum Framework →Nach § 393 SGB V für Cloud-Verarbeitungen von Gesundheits- und Sozialdaten durch Leistungserbringer und Krankenkassen vorgesehen. Betreiben Sie Ihre Software als Cloud-Dienst für diese Kunden, wird ein eigenes Testat oft verlangt. Das Testat stellt ein Wirtschaftsprüfer nach ISAE 3000 aus.
Zum Framework →Hersteller von Medizinprodukten und In-vitro-Diagnostika stehen in Anlage 2 des BSIG und sind ab mittlerer Größe wichtige Einrichtungen. Software kann selbst ein Medizinprodukt sein. Anbieter von Cloud-Diensten gehören zur digitalen Infrastruktur in Anlage 1. Die Einordnung ist eine Rechtsfrage für Ihre Beratung.
Zum Framework →Für Anbieter, deren Produkt KI nutzt, etwa zur Auswertung von Befunden. Ein Managementsystem nach ISO 42001 beschreibt, wie Modelle ausgewählt, Daten genutzt und Risiken bewertet werden, und hat dieselbe Struktur wie ISO 27001.
Zum Framework →Empfohlene Reihenfolge
Welche Gesundheitsdaten verarbeiten Sie, wofür und auf welcher Grundlage nach Art. 9 DSGVO? Sind Sie Verantwortlicher oder Auftragsverarbeiter? Daraus folgen Folgenabschätzung, Verträge und Informationspflichten.
Ist Ihre Software ein Medizinprodukt? Fallen Sie unter NIS2? Verlangen Ihre Kunden ein C5-Testat? Die Antworten bestimmen die Reihenfolge. Die rechtliche Bewertung bleibt bei Ihrer Beratung.
Risikoanalyse, Richtlinien, Zugriffe, sichere Entwicklung, Protokollierung, Datensicherung und Vorfallbehandlung. Das ISMS trägt später C5, NIS2 und die Kundenanforderungen.
Für ein C5-Testat vom Typ 2 zählt, dass Kontrollen über Monate wirksam waren. Zugriffsprüfungen, Änderungen und Schulungen brauchen fortlaufend Belege.
Zertifikat, Testat und Datenschutzunterlagen kommen von unabhängigen Stellen. Danach zeigen Sie den Stand im Trust Center, damit Kliniken und Partner die Antworten selbst finden.
Schwerpunkt
Bei Gesundheitsdaten fragen Aufsicht, Kunden und Patientinnen genauer nach. Vier Punkte sollten vor dem Start geklärt und festgehalten sein.
Ausdrückliche Einwilligung, Behandlungsvertrag oder eine gesetzliche Grundlage: Für jede Verarbeitung von Gesundheitsdaten steht fest, welche Ausnahme nach Art. 9 DSGVO greift. Das gilt auch für Analysen und Produktverbesserung.
Neue Funktionen mit Gesundheitsdaten bekommen vor dem Start eine Datenschutz-Folgenabschätzung. Sie liegt als Nachweis mit Datum vor und wird bei Änderungen überprüft.
Wo liegen die Daten, wer kann darauf zugreifen, welche Testate haben die Dienstleister? Kliniken stellen diese Fragen, bevor sie unterschreiben. Das Modul Anbieter hält die Antworten mit Nachweisen bereit.
Ein Vorfall kann Meldungen an die Datenschutzaufsicht, an Kunden und bei NIS2-Pflicht an das BSI auslösen. Der Ablauf mit Fristen und Zuständigkeiten steht vorher fest.
So hilft Sightadel
DSGVO, ISO 27001, C5 und NIS2 werden Frage für Frage durchgearbeitet. Wo sich Anforderungen decken, hängt ein Nachweis an mehreren Frameworks.
Mehr erfahren →Folgenabschätzungen, Verträge, Schulungen und technische Belege liegen mit Version und Ablaufdatum im Nachweis-Archiv. Für den Prüfzeitraum eines C5-Testats fehlt so kein Beleg.
Mehr erfahren →Cloud-Plattform, Hosting und weitere Dienstleister stehen mit Standort, Vertrag, Testaten und Risiko in einer Liste. Abgelaufene Nachweise fallen auf, bevor ein Kunde danach fragt.
Mehr erfahren →Zertifikate, Testate, freigegebene Dokumente und Unterauftragnehmer auf einer eigenen Seite. Kliniken und Partner finden die Antworten selbst.
Mehr erfahren →Lücken aus Assessments und Folgenabschätzungen werden zu Aufgaben mit Frist und verantwortlicher Person, auch für Entwicklung und Betrieb.
Mehr erfahren →Anforderungen, für die es kein fertiges Modul gibt, etwa Kriterien aus Ihrem DiGA-Antrag oder Kataloge von Klinikverbünden, legen Sie als eigenes Framework an.
Mehr erfahren →Aufwand und Dauer
Die Spannen sind Erfahrungswerte, keine Zusage. Den größten Einfluss haben die Zahl der Verarbeitungen mit Gesundheitsdaten, die Größe des Geltungsbereichs und ob Ihre Software als Medizinprodukt eingestuft ist.
Was Sie lizenzieren · typisch Professional
Ein typisches Healthtech-Unternehmen führt ISO 27001 und DSGVO in der Edition Professional. Sie umfasst zehn Nutzer, zehn Assets und 25 Lieferanten, genug für Entwicklung, Betrieb, Datenschutz und Leitung. Lizenz für ISO 27001: ab 750 € im Monat. Ist ISO 27001 dabei, kosten DSGVO und C5 dauerhaft weniger. BSI C5 nehmen Sie hinzu, wenn Kunden aus dem Gesundheitswesen es verlangen.
Lizenz je Framework, Mindestlaufzeit ein Jahr, monatlich oder jährlich zahlbar. Alle Preise, Rabatte und einen Rechner finden Sie auf der Preisseite. Kosten einer Zertifizierungs- oder Prüfstelle kommen getrennt hinzu.
Nein. Diese Seite richtet sich an Unternehmen, die Software für das Gesundheitswesen entwickeln oder betreiben. Für Praxen und MVZ gibt es eine eigene Lösungsseite zu § 390 SGB V, Datenschutz und NIS2.
Das hängt von Ihren Kunden und Ihrer Architektur ab. § 393 SGB V richtet sich an Leistungserbringer und Krankenkassen, die Gesundheitsdaten in der Cloud verarbeiten lassen. Betreiben Sie dafür einen Cloud-Dienst, fragen diese Kunden nach Ihrem Testat. Das Testat Ihres Hosting-Anbieters deckt nur dessen Teil ab.
Das entscheidet die Zweckbestimmung des Herstellers nach der Medizinprodukte-Verordnung. Software, die etwa zur Diagnose, Überwachung oder Behandlung von Krankheiten bestimmt ist, kann ein Medizinprodukt sein. Die Einstufung klären Sie mit Ihrer regulatorischen Beratung. Sightadel bildet die Medizinprodukte-Verordnung nicht als Framework ab.
Nach § 139e SGB V weisen Hersteller die Datensicherheit seit dem 1. Januar 2025 mit einem Zertifikat des BSI nach, Grundlage ist die Technische Richtlinie TR-03161. Den Datenschutz belegen sie seit dem 1. August 2024 mit einem Zertifikat nach Art. 42 DSGVO. Sightadel stellt keine dieser Zertifikate aus. Ein ISMS nach ISO 27001 hilft, die Prüfungen vorzubereiten.
Hersteller von Medizinprodukten und In-vitro-Diagnostika stehen in Anlage 2 des BSIG. Ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und Bilanzsumme sind sie wichtige Einrichtungen. Ist Ihre Software kein Medizinprodukt, kann eine Einordnung als Cloud-Dienst infrage kommen. Die Bewertung im Einzelfall klären Sie mit Ihrer Beratung.
Nicht immer. Art. 9 DSGVO nennt mehrere Ausnahmen, etwa die ausdrückliche Einwilligung oder die Verarbeitung für Zwecke der Gesundheitsversorgung auf Grundlage des Rechts oder eines Vertrags mit Angehörigen eines Gesundheitsberufs. Welche Ausnahme greift, hängt von der Verarbeitung ab und gehört in Ihr Verzeichnis.
Viele Anforderungen überschneiden sich, etwa zu Zugriffen, Verschlüsselung, Protokollierung und Lieferanten. In Sightadel hängt ein Nachweis an beiden Frameworks. Zertifikat und Testat bleiben getrennte Prüfungen mit eigenen Prüfern.
14 Tage, voller Zugriff, keine Zahlungsdaten. Was Sie anlegen, bleibt im bezahlten Plan erhalten.
