Microsoft 365 Backup für Arztpraxen: §203 StGB und KV-Prüfung sicher meistern

Microsoft 365 in der Arztpraxis ist erlaubt, aber nur unter strengen Bedingungen. §203 StGB verlangt die strafrechtliche Schweigepflicht-Wahrung, die KBV-IT-Sicherheitsrichtlinie nach §390 SGB V schreibt seit der Aktualisierung im April 2025 konkrete Backup- und C5-Testat-Standards vor, und die DSGVO fordert eine saubere Auftragsverarbeitung mit Sub-Prozessoren-Liste. Patientendaten müssen mindestens 10 Jahre aufbewahrt werden, in haftungs-sensitiven Fällen bis zu 30 Jahre. Welche Backup-Lösungen diese Anforderungen tatsächlich erfüllen und worauf die Praxis-Geschäftsführung beim Vendor-Audit achten muss, erklärt dieser Artikel im Detail.

Das Wichtigste zum Microsoft 365 Backup für Arztpraxen in Kürze

• §203 StGB strafrechtlich, nicht nur DSGVO: Wer als Praxisinhaberin oder Praxisinhaber Patientengeheimnisse unbefugt offenbart, riskiert Geldstrafe oder bis zu einem Jahr Freiheitsstrafe (bei Bereicherungsabsicht bis zwei Jahre).
• KBV-IT-Sicherheitsrichtlinie verlangt C5-Testat: Die Fassung vom 1. April 2025 schreibt konkrete Backup-Standards vor und fordert für Cloud-Dienste ein C5-Testat des BSI. Die meisten Cloud-Anbieter erfüllen das nicht ohne Weiteres.
• Souveräne Anbieter wie dc2share ohne CLOUD-Act-Risiko: US-Cloud-Anbieter mit CLOUD-Act-Exposition sind für Arztpraxen problematisch, weil sie potenziell zur Datenherausgabe an US-Behörden verpflichtet werden können. Deutsche Anbieter wie dc2share aus Wagenfeld ohne US-Mutter sind hier strukturell sicher.
• 10-Jahres-Aufbewahrung Pflicht, 30 Jahre empfohlen: Patientendaten müssen 10 Jahre aufbewahrt werden (§630f Abs. 3 BGB, §57 Abs. 2 BMV-Ä, Berufsordnung). Aus Haftungs-Gründen empfehlen Ärztekammern 30 Jahre. Bei Röntgen- und Blutproduktdaten gelten gesonderte Fristen.
• PVS, SMC-B und M365-Backup sind drei verschiedene Themen: Praxisverwaltungssystem, SMC-B-Karte und M365-Backup sind getrennt zu betrachten. Backup ersetzt weder das PVS noch die Telematikinfrastruktur-Anbindung.

Darf eine Arztpraxis Microsoft 365 nutzen?

Die kurze Antwort lautet: Ja, aber nur unter klar definierten Auflagen. Die längere Antwort braucht eine Trennung zwischen drei Rechtsebenen: §203 StGB (strafrechtlich), DSGVO (datenschutzrechtlich) und KBV-IT-Sicherheitsrichtlinie (berufsständisch und sozialrechtlich).

§203 StGB als gesetzlicher Rahmen

§203 StGB stellt die unbefugte Offenbarung fremder Geheimnisse durch Angehörige bestimmter Berufe unter Strafe. Ärztinnen und Ärzte sind in Absatz 1 Nummer 1 ausdrücklich erfasst. Ein Geheimnis im Sinne der Norm ist jede Tatsache aus der Behandlung, die nur einem begrenzten Personenkreis bekannt ist und an deren Geheimhaltung die Patientin oder der Patient ein schutzwürdiges Interesse hat. Das ist regelmäßig der gesamte Behandlungsverlauf, Diagnosen, Befunde und alle weiteren in der Patientenakte erfassten Daten.

Die Berufshelfer-Klausel von 2017

Mit dem Gesetz vom 30. Oktober 2017 wurde §203 StGB neu geordnet. Seitdem ist die Einbindung externer Dienstleister, etwa IT-Provider, Cloud-Anbieter oder Schreibbüros, ausdrücklich erlaubt, allerdings unter zwei harten Bedingungen. Erstens: die Offenbarung an den Dienstleister muss erforderlich sein (Need-to-Know-Prinzip). Es reicht nicht, dass es einfacher ist, dem Dienstleister Zugang zu gewähren. Zweitens: der Dienstleister unterliegt nach Absatz 4 selbst einer strafrechtlich sanktionierten Schweigepflicht. Das gilt insbesondere für Mitarbeitende des Cloud-Anbieters.

Wann eine Auftragsverarbeitung nach DSGVO ausreicht

Die DSGVO-Auftragsverarbeitung nach Artikel 28 allein reicht für Arztpraxen nicht. §203 StGB ist die strafrechtliche, schärfere Norm. Ein gültiger AVV mit dem Cloud-Anbieter ist Voraussetzung, aber er ersetzt nicht die Prüfung, ob die Offenbarung erforderlich ist und der Anbieter selbst die Schweigepflicht-tauglich aufgestellt ist.

Brauchst Du einen Praxis-Audit für Deine Backup-Architektur? dc2share macht für Arztpraxen und Systemhäuser einen kostenlosen 30-minütigen Audit der bestehenden Backup-Architektur, mit Fokus auf §203-StGB-Konformität und KBV-IT-Sicherheitsrichtlinie. Beratung anfragen.

Die KBV-IT-Sicherheitsrichtlinie: was tatsächlich geprüft wird

Die Kassenärztliche Bundesvereinigung (KBV) hat die IT-Sicherheitsrichtlinie nach §390 SGB V (ehemals §75b SGB V) am 1. April 2025 aktualisiert. Die meisten Neuerungen sind seit 1. Oktober 2025 vollständig umzusetzen. Sie schreibt für jede Praxis Mindeststandards vor, gestaffelt nach Praxisgröße in fünf Anlagen.

Welche Anlage für welche Praxis gilt

Anlage 1 gilt für alle Praxen. Anlage 2 zusätzlich für mittlere Praxen ab sechs Personen mit ständiger Datenverarbeitung. Anlage 3 zusätzlich für große Praxen mit mehr als 20 Personen oder umfangreicher Datenverarbeitung. Anlage 4 für Praxen mit medizinischen Großgeräten wie CT oder MRT. Anlage 5 für die Telematikinfrastruktur, gilt für alle Praxen mit TI-Anbindung.

Konkrete Backup-Anforderungen aus Anlage 1

Anlage 1 Nummer 21 fordert von jeder Praxis eine regelmäßige Datensicherung auf Endgeräten mit einem dokumentierten Plan, der festlegt, welche Daten wie oft gesichert werden. Die Funktionsfähigkeit der Sicherungen muss regelmäßig überprüft werden. Das ist nicht nur Backup-Erstellung, sondern auch Wiederherstellungs-Test, in der Praxis oft der unterschätzte Teil der Pflicht.

C5-Testat als Cloud-Pflicht

Mit der Aktualisierung 2025 hat die KBV klargestellt: Praxen dürfen nur Cloud-Dienste von Anbietern nutzen, die über ein C5-Testat des Bundesamts für Sicherheit in der Informationstechnik (BSI) verfügen. Der C5-Kriterienkatalog (Cloud Computing Compliance Criteria Catalogue) ist der deutsche Standard für sichere Cloud-Dienste und besonders im öffentlichen Sektor und im Gesundheitswesen relevant. Anbieter ohne C5-Testat sind seit Oktober 2025 für Praxen praktisch nicht mehr zulässig, es sei denn sie greifen auf die C5-Gleichwertigkeits-Verordnung zurück.

Microsoft-Cloud-Synchronisierung deaktivieren

Eine subtile, aber wirkmächtige Anforderung der KBV-Richtlinie 2025: Praxen müssen die Synchronisierung von Nutzerdaten mit Microsoft-Cloud-Diensten deaktivieren. In der Praxis heißt das: OneDrive-Sync, automatische Telemetrie und Cloud-basierte Office-Funktionen werden auf Praxis-Rechnern abgestellt. Das macht ein separates, getrennt verwaltetes Microsoft-365-Backup-System erforderlich, weil die Standard-Microsoft-Cloud-Lösungen für die Praxis nicht direkt genutzt werden dürfen.

Stichprobenprüfungen durch die KV

Die Kassenärztlichen Vereinigungen führen Stichprobenprüfungen durch. Im Verstoßfall gibt es zwar laut SGB V keine direkten Konsequenzen aus der Richtlinie selbst, aber die Missachtung kann eine Sanktion nach DSGVO auslösen, die Cyber-Versicherung in Bedrängnis bringen und im Schadensfall die Beweis-Position der Praxis erheblich schwächen.

KBV-Anforderungen und M365-Backup-Funktionen im Abgleich

Die wichtigsten Anforderungen der KBV-IT-Sicherheitsrichtlinie 2025 und die Backup-Funktion, die jeweils geprüft werden sollte.

KBV-Anforderungen und passende M365-Backup-Funktionen, Stand Mai 2026.

Was Arztpraxen beim Backup wirklich brauchen

Über die KBV-Mindestanforderungen hinaus haben Arztpraxen vier praktische Anforderungen, die im Vendor-Vergleich oft den Ausschlag geben.

3-2-1-Backup-Regel auch in der Praxis

Drei Kopien der Daten, auf zwei verschiedenen Medien, davon eine extern. Die 3-2-1-Backup-Regel ist auch in der Arztpraxis der Goldstandard. Für Microsoft 365 heißt das konkret: die Original-Daten in der Microsoft-Cloud, eine Backup-Kopie beim spezialisierten Backup-Vendor und gegebenenfalls eine zweite, geografisch getrennte Kopie.

Aufbewahrungsfristen für Patientendaten

§630f Abs. 3 BGB schreibt 10 Jahre nach Abschluss der Behandlung vor. §57 Abs. 2 Bundesmantelvertrag-Ärzte und §10 Abs. 3 der (Muster-)Berufsordnung bestätigen diese Frist. Aus Haftungs-Gründen empfehlen die meisten Ärztekammern eine Aufbewahrung von 30 Jahren, weil zivilrechtliche Schadensersatzansprüche nach §199 Abs. 2 BGB erst nach 30 Jahren absolut verjähren. Für Röntgen- und Strahlenanwendungen schreibt §85 Abs. 2 Nr. 1 StrlSchG 30 Jahre vor, bei Blutprodukten gelten je nach Konstellation 15 oder 30 Jahre (§14 TFG).

Wiederherstellungs-Zeit (RTO) für den Praxis-Notfall

Eine durchschnittliche Arztpraxis kann nicht 48 Stunden ohne IT-Zugriff arbeiten, ohne erhebliche Patient-Auswirkungen zu haben. Recovery Time Objective (RTO) im Backup-Vertrag sollte daher unter vier Stunden für kritische Daten liegen, im Idealfall unter einer Stunde. Vendoren, die RTO nicht zusichern oder mit „24 Stunden“ arbeiten, sind für Praxis-Notfall-Szenarien zu langsam.

Verschlüsselung mit Praxis-eigenen Schlüsseln

Die Verschlüsselung der Backup-Daten muss so erfolgen, dass der Cloud-Anbieter selbst keinen Klartext-Zugriff hat (Zero-Knowledge-Architektur) oder mit Praxis-eigenen Schlüsseln (Bring Your Own Key, BYOK). Das ist ein subtiler, aber für §203 StGB relevanter Punkt: wenn der Vendor selbst nicht entschlüsseln kann, ist die Erforderlichkeit der Offenbarung an den Vendor sauberer zu argumentieren.

BSI-C5-Testat und §203-StGB-Verpflichtung, wie ist die Lage bei DC2Share? dc2share betreibt Container-Rechenzentren in Wagenfeld, Niedersachsen, mit deutscher Eigentümerstruktur (dc2s GmbH & Co. KG). Die Mitarbeitenden sind nach §203 StGB Abs. 4 verpflichtet, die AVV-Kaskade ist für Arztpraxen vorbereitet, und das C5-Testat-Verfahren läuft. Compliance-Übersicht ansehen.

Was bei Microsoft 365 in der Praxis konkret zu sichern ist

Microsoft 365 ist kein einzelner Datenraum, sondern vier Workloads mit unterschiedlichen Sicherungsanforderungen.

Exchange Online, Patientenkommunikation und Befunde

E-Mail-Kommunikation mit Patienten, Befundübermittlung zwischen Praxis und Krankenhaus, Konsile mit Fachkollegen. Diese Mails enthalten oft besonders sensible Patientendaten. Ein Backup von Exchange Online ist die wichtigste Komponente, weil Mail-Verlust durch Konto-Übernahme oder Ransomware besonders verbreitet ist.

OneDrive for Business, Praxis-Dokumente

Persönliche Dokumente der Praxisinhaberin oder des Praxisinhabers und der Mitarbeitenden, oft inklusive Patient-bezogener Notizen, Befunden oder Abrechnungs-Vorlagen. Die KBV-Richtlinie verlangt zwar, die Sync-Funktion zu deaktivieren, das schließt aber Server-seitige Backups nicht aus, sondern verlangt sie geradezu.

SharePoint, Praxis-Teamablagen

Gemeinsame Dokumente, Praxis-Handbuch, Qualitätsmanagement-Dokumentation, Vertrags-Ablagen. SharePoint-Daten werden in der Microsoft-Cloud gespeichert und brauchen ein separates Backup, weil Microsoft selbst nur Verfügbarkeit garantiert, nicht den Schutz vor versehentlichem oder böswilligem Löschen.

Teams, interne Kommunikation und Konsile

Chat-Verläufe, Konsil-Notizen, Datei-Anhänge aus Teams-Gesprächen. Teams-Daten haben besondere Herausforderungen im Backup, weil die Chat-Inhalte mit den persönlichen Mailboxen der Teilnehmer verknüpft sind. Gute M365-Backup-Lösungen sichern auch diese Chat-Verläufe nachvollziehbar.

Warum US-Cloud-Anbieter für Arztpraxen strukturell problematisch sind

Die Diskussion um US-Anbieter ist nicht nur ein Souveränitäts-Streitthema, sondern berührt die strafrechtliche Schweigepflicht direkt.

CLOUD-Act-Risiko für Patientendaten

Der CLOUD Act verpflichtet US-Unternehmen, US-Behörden auf Anfrage Zugang zu Daten zu gewähren, unabhängig davon, wo die Daten gespeichert sind. Für US-Cloud-Anbieter mit Datenhaltung in Deutschland heißt das: eine Anfrage des US-Justizministeriums kann theoretisch zum Datenzugriff auf Patientendaten führen. Dass dies in der Praxis bisher selten passiert, ändert nichts am rechtlichen Risiko.

§203-StGB-Konflikt bei US-Sub-Prozessoren

Wenn der Cloud-Anbieter US-Mutterkonzern hat oder seine Sub-Prozessoren in den USA sitzen, ist die §203-StGB-Argumentation schwierig. Eine Offenbarung von Patientengeheimnissen an einen Auftragsverarbeiter ist nur dann gerechtfertigt, wenn dieser selbst zur Schweigepflicht verpflichtet werden kann. Das ist bei US-Mitarbeitenden eines Hyperscalers strukturell anders zu bewerten als bei deutschen Mitarbeitenden eines deutschen Anbieters.

Microsoft EU Data Boundary, was sie leistet und was nicht

Microsoft hat 2024 die EU Data Boundary für Microsoft 365 abgeschlossen. Das ist ein wichtiger Schritt, weil Daten und Logs jetzt in der EU verbleiben können. Es ist aber kein vollständiger Schutz vor CLOUD-Act-Zugriffen, weil Microsoft als US-Konzern weiterhin US-Recht unterliegt. Microsoft hat selbst öffentlich erklärt, US-Behörden-Anfragen nicht pauschal abzulehnen, sondern sie rechtlich anzufechten. Diese Rechtsfrage ist nicht abschließend geklärt.

Praxisverwaltungssystem (PVS) und M365-Backup, zwei verschiedene Themen

Eine häufige Verwechslung im Praxis-IT-Gespräch ist die Annahme, das Praxisverwaltungssystem ersetze ein Microsoft-365-Backup. Das ist nicht der Fall.

Was das PVS abdeckt

Das PVS verwaltet Patientenakten, Abrechnung, Terminkalender und KV-relevante Daten. Anbieter wie Medatixx, CompuGroup oder doctolib (für Termine) decken die ärztlich-medizinische Dokumentation ab. Diese Daten liegen oft in einer separaten Datenbank, die meist on-premises beim Praxis-Server oder beim PVS-Anbieter verwaltet wird.

Warum Microsoft 365 separat zu sichern ist

Microsoft 365 ist die produktive Office-Suite der Praxis: E-Mail, Briefe, Tabellenkalkulationen, Teams-Chats. Diese Daten sind nicht im PVS, sondern in der Microsoft-Cloud, und Microsoft sichert nur die Plattform, nicht die Daten. Wer kein separates M365-Backup hat, verliert bei einem Ransomware-Angriff oder versehentlichem Löschen genau die Daten, die nicht im PVS stehen.

Schnittstellen PVS, Microsoft 365 und Backup-Vendor

In gut aufgestellten Praxen sind die drei Systeme klar getrennt. Das PVS lebt unabhängig vom Microsoft-Konto. Microsoft 365 hostet die Office-Workloads. Der Backup-Vendor sichert die Microsoft-365-Daten ohne das PVS zu berühren. Diese Trennung ist nicht nur technisch sauber, sie ist auch im Audit nachweisbar leichter zu erklären.

Empfohlene Backup-Anbieter für Arztpraxen

Vier Anbieter sind 2026 im DACH-Markt für Arztpraxen mit Microsoft-365-Backup-Bedarf relevant. Die Bewertung erfolgt entlang von Souveränität, §203-StGB-Tauglichkeit und M365-Spezialisierung.

dc2share

dc2share: dc2s data center 2 share GmbH & Co. KG, Sitz Wagenfeld, Niedersachsen. Deutsche Eigentümerstruktur, Container-Rechenzentren mit 100 % Ökostrom und hohem Eigenerzeugungs-Anteil (rund 70 % aus eigener PV-Anlage am Standort, rund 30 % zertifizierter Netz-Ökostrom mit Herkunftsnachweis). Mitarbeitende sind nach §203 StGB Abs. 4 zur Schweigepflicht verpflichtet, AVV-Kaskade vorbereitet, C5-Testat in Vorbereitung. Tarife BASIC 5,99 Euro, STANDARD 6,79 Euro, ENTERPRISE 7,59 Euro pro Postfach und Monat. Der ENTERPRISE-Tarif enthält alle vier Workloads (Exchange, OneDrive, SharePoint, Teams) sowie Audit-Logs.

euBackups

euBackups aus Berlin mit deutscher GmbH-Struktur. Bietet M365- und Google-Workspace-Backup. Strukturell ähnlich zu dc2share in Souveränität und Channel-Orientierung, eigener Stromerzeugungs-USP fehlt. Für Praxen, die einen klaren EU-Anbieter ohne Nachhaltigkeits-Pitch suchen, eine valide Option.

Keepit

Keepit aus Kopenhagen, M365-Backup-Spezialist mit Blockchain-verifizierter Speicherung. EU-Souveränität gegeben. Schwächer bei Channel-Programmen für DACH-Systemhäuser als die deutschen Anbieter, dafür stärker bei der internationalen Skalierung. Für größere MVZ oder Praxis-Verbünde mit internationaler Präsenz interessant.

Wortmann TERRA Cloud

Wortmann AG aus Hüllhorst (NRW) bietet TERRA Cloud Backup. Datenhaltung in Deutschland, breites Distributoren-Netzwerk. Wichtige Einschränkung: das Backup-Backend nutzt Veeam-Software. Für Praxen, die einen reinen EU-Anbieter ohne US-Software-Stack suchen, ist das ein Diskussions-Punkt. Für die meisten Praxen aber kein Knock-out-Kriterium.

Anbieter-Vergleich für Arztpraxen im Kurzüberblick

Bewertung der vier wichtigsten Anbieter entlang der für Arztpraxen besonders relevanten Kriterien.

Anbieter-Vergleich für Arztpraxen, Stand Mai 2026. Stand jeweils zum Zeitpunkt der Veröffentlichung, Änderungen vorbehalten.

Praxis-IT-Begriffe, die im Backup-Gespräch wichtig sind

Vier Begriffe tauchen in jeder Praxis-IT-Diskussion auf. Sie sind nicht das Backup, helfen aber das Gesamtbild zu sortieren.

SMC-B-Karte

Die SMC-B-Karte ist die Praxis-Identitätskarte für die Telematikinfrastruktur (TI). Sie ist Pflicht für die Anbindung an die TI und für die Nutzung der elektronischen Patientenakte (ePA), hat aber nichts mit dem Backup direkt zu tun. Wichtig zur Abgrenzung: die Backup-Lösung muss die SMC-B-gestützte Authentifizierung nicht ersetzen und nicht stören.

FHIR

Fast Healthcare Interoperability Resources ist der internationale Standard für den Austausch von Gesundheitsdaten. Er ist relevant, wenn die Praxis strukturierte Patientendaten mit Krankenhäusern, anderen Praxen oder der ePA austauscht. Beim Microsoft-365-Backup geht es um die Sicherung der zugrundeliegenden Dateien und Mails, nicht um den FHIR-Endpoint selbst.

Doctolib und vergleichbare SaaS-Anbieter

Patientendaten in Terminbuchungs-Systemen wie Doctolib sind ein separates Risiko. Diese Daten liegen weder im PVS noch in Microsoft 365, sondern beim externen SaaS-Anbieter. Die Backup-Strategie für die Praxis muss prüfen, welche Daten dort liegen und ob ein regelmäßiger Export möglich ist. Eine M365-Backup-Lösung deckt diese SaaS-Daten nicht ab.

§203 StGB im internationalen Vergleich

In den USA regelt HIPAA (Health Insurance Portability and Accountability Act) die Schweigepflicht im Gesundheitswesen. §203 StGB ist das deutsche Pendant, aber strenger: HIPAA arbeitet primär mit zivilrechtlichen Bußgeldern, §203 ist strafrechtlich mit Freiheitsstrafe-Androhung. Das heißt im Cloud-Vendor-Audit: HIPAA-Konformität allein reicht in Deutschland nicht. Wer als US-Anbieter HIPAA als Argument anführt, hat die deutsche Rechtslage nicht verstanden.

Wir helfen Dir beim Vendor-Audit. Wenn Du als Praxis-Geschäftsführung oder als Systemhaus für Arzt-Mandanten den Wechsel des Backup-Anbieters prüfst: dc2share macht ein kostenloses Erstgespräch, in dem die KBV-Anforderungen, §203-StGB-Konformität und Migrations-Optionen besprochen werden. Beratung anfragen.

Was Systemhäuser bei Arzt-Kunden beachten müssen

Systemhäuser, die Arztpraxen als Kunden haben, brauchen drei besondere Sorgfaltspunkte. Mehr zum allgemeinen Channel-Geschäft im Artikel zu M365-Backup für Systemhäuser.

AVV-Kaskade mit Sub-Prozessoren-Liste

Bei Arztpraxen ist die DSGVO-Auftragsverarbeitungs-Kaskade besonders sensibel. Der AVV zwischen Praxis (Verantwortlicher) und Systemhaus (Auftragsverarbeiter) muss eine ausdrückliche Genehmigung des Backup-Vendors als Sub-Auftragsverarbeiter enthalten. Die Sub-Processor-Liste muss zudem für die Praxis transparent einsehbar sein. Ohne diese Klarheit drohen sowohl DSGVO-Sanktionen als auch §203-StGB-Risiko.

Beratungs-Argumente gegenüber Praxis-Inhabern

Praxis-Inhaberinnen und -Inhaber kaufen Backup nicht aus IT-Begeisterung, sondern aus rechtlicher Notwendigkeit. Die starken Verkaufs-Argumente sind: §203-StGB-Konformität (Strafrechts-Risiko), KBV-Audit-Sicherheit (KV-Honorar-Risiko) und Ransomware-Schutz (Praxis-Stillstand-Risiko). Wer mit diesen drei Argumenten arbeitet, verkauft Compliance, nicht Software.

Migrations-Pfad Schritt für Schritt

Der Wechsel von einem nicht-konformen Backup-Anbieter zu einer §203-StGB-konformen Lösung läuft in vier Phasen. Phase 1: Bestandsaufnahme der aktuellen Backup-Architektur und Vertragslage. Phase 2: Parallel-Phase mit neuem Vendor (zwei bis vier Wochen). Phase 3: Cutover und Funktionsprüfung. Phase 4: vollständige Stilllegung des Alt-Vendors mit dokumentierter Datenlöschung. Die ganze Migration sollte mit dem KV-Berichts-Turnus abgestimmt werden, damit kein Audit in die Übergangsphase fällt.

Quellen und weiterführende Informationen

• §203 StGB, Verletzung von Privatgeheimnissen. Gesetzestext mit allen acht Absätzen.
• §630f BGB, Dokumentation der Behandlung. Aufbewahrungsfrist für Patientenakten.
• KBV, IT-Sicherheitsrichtlinie nach §390 SGB V. Aktuelle Fassung vom 1. April 2025 mit allen fünf Anlagen.
• DSGVO Artikel 28, Auftragsverarbeiter. Rechtsgrundlage für AVV-Kaskade.
• DC2Share Blog, der CLOUD Act erklärt. Hintergrund zur US-Anbieter-Problematik.
• DC2Share Blog, M365-Backup-Anbieter-Vergleich. Funktionaler Marktüberblick.