Datenschutz in der Pflege

So einfach, sicher und alltagstauglich wie möglich.

Auftragsverarbeitung im Sanitätshaus: AV-Verträge mit Abrechnungszentren, Kostenträgern und Softwareanbietern

11.07.2026 von Dominic

Kaum ein Sanitätshaus verarbeitet seine Daten allein: Abrechnungszentren rechnen mit den Krankenkassen ab, Branchensoftware läuft in der Cloud, IT-Dienstleister warten die Systeme per Fernzugriff, Kostenvoranschläge laufen über Kassenportale. Bei jedem dieser Dienstleister fließen Gesundheitsdaten von Patienten und Kunden, also Daten der sensibelsten Kategorie nach Art. 9 DSGVO. Die DSGVO verlangt dafür eine klare vertragliche Absicherung, in den meisten Fällen einen Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO. In der Praxis fehlen diese Verträge häufig, sind veraltet oder mit dem falschen Rollenverständnis geschlossen. Dieser Beitrag klärt, wer Auftragsverarbeiter ist, wer eigenständig verantwortlich bleibt und wie Sanitätshäuser ihre Dienstleisterbeziehungen in fünf Schritten sauber dokumentieren.

Was Auftragsverarbeitung ist und warum sie im Sanitätshaus überall steckt

Auftragsverarbeitung liegt vor, wenn ein externer Dienstleister personenbezogene Daten weisungsgebunden für das Sanitätshaus verarbeitet (Art. 4 Nr. 8 DSGVO). Der Dienstleister entscheidet dabei nicht selbst, wofür die Daten genutzt werden; er führt aus, was der Auftraggeber vorgibt. Für diese Konstellation schreibt Art. 28 Abs. 3 DSGVO einen Vertrag mit festgelegten Mindestinhalten vor. Ohne diesen Vertrag ist die Weitergabe der Daten rechtswidrig, und zwar unabhängig davon, wie sicher der Dienstleister tatsächlich arbeitet. Der fehlende AVV ist damit einer der am leichtesten feststellbaren DSGVO-Verstöße überhaupt: Aufsichtsbehörden müssen nur danach fragen.

Für Sanitätshäuser wiegt das Thema doppelt schwer, weil nahezu alle ausgelagerten Prozesse Gesundheitsdaten betreffen: Verordnungen, Diagnosen, Versorgungs- und Abrechnungsdaten. Welche datenschutzrechtlichen Grundpflichten für Sanitätshäuser insgesamt gelten, haben wir in unserem Grundlagenbeitrag zum Datenschutz im Sanitätshaus zusammengefasst. Mit der anstehenden TI-Anbindung und dem E-Rezept für Hilfsmittel kommen weitere Dienstleister hinzu; auch dazu finden Sie bei uns einen eigenen Beitrag.

Rollenklärung: Auftragsverarbeiter, eigener Verantwortlicher oder gemeinsam verantwortlich?

Der häufigste Fehler in der Praxis ist nicht der fehlende Vertrag, sondern der falsche: Es wird ein AVV geschlossen, wo gar keine Auftragsverarbeitung vorliegt, oder es wird auf den AVV verzichtet, weil man den Dienstleister irrtümlich für eigenständig verantwortlich hält. Entscheidend ist die Frage, wer über Zwecke und Mittel der Verarbeitung bestimmt.

  • Auftragsverarbeiter: Der Dienstleister handelt weisungsgebunden und verfolgt keine eigenen Zwecke mit den Daten. Typische Beispiele im Sanitätshaus: gehostete Branchensoftware, Cloud-Speicher, IT-Fernwartung mit Zugriffsmöglichkeit auf Echtdaten, externe Aktenvernichtung, E-Mail- und Website-Hosting. Hier ist der AVV nach Art. 28 DSGVO Pflicht.
  • Eigenständiger Verantwortlicher:Der Empfänger verarbeitet die Daten zu eigenen Zwecken oder unterliegt eigenen gesetzlichen Pflichten. Klassische Beispiele: Krankenkassen und andere Kostenträger, Ärzte, Steuerberater, Rechtsanwälte. Hier ist kein AVV zu schließen; stattdessen braucht die Übermittlung selbst eine Rechtsgrundlage, im GKV-Bereich etwa die Abrechnungsvorschriften des § 302 SGB V.
  • Gemeinsam Verantwortliche: Bestimmen zwei Stellen gemeinsam über Zwecke und Mittel, verlangt Art. 26 DSGVO eine Vereinbarung über die gemeinsame Verantwortlichkeit. Im Sanitätshaus-Alltag kommt das seltener vor, etwa bei gemeinsamen Versorgungsprojekten mit Partnern oder bei bestimmten Marketing-Konstellationen wie Social-Media-Fanpages.

Die typischen Dienstleister im Check

  • Abrechnungszentren und Rechenzentren: Rechnet ein Dienstleister die Leistungen des Sanitätshauses nach § 302 SGB V mit den Kassen ab und handelt dabei weisungsgebunden, ist er Auftragsverarbeiter; der AVV ist Pflicht. Anders liegt der Fall beim echten Factoring: Kauft der Dienstleister die Forderungen an und zieht sie im eigenen Namen ein, verfolgt er eigene Zwecke und wird regelmäßig zum eigenständigen Verantwortlichen. Dann trägt nicht der AVV die Datenübermittlung, sondern eine eigene Rechtsgrundlage, und die Versicherten sind entsprechend zu informieren. Welche Konstellation vorliegt, ergibt sich aus dem Vertrag mit dem Abrechnungsdienstleister, und genau dort lohnt der prüfende Blick.
  • Kostenträger und eKV-Portale: Krankenkassen sind keine Auftragsverarbeiter des Sanitätshauses, sondern eigenständig Verantwortliche mit eigenen gesetzlichen Aufgaben. Mit ihnen wird kein AVV geschlossen. Differenzierter sind die Portale für den elektronischen Kostenvoranschlag: Deren Betreiber arbeiten in der Regel im Auftrag der Kassen, nicht im Auftrag des Sanitätshauses. Das Sanitätshaus schließt hier meist einen Nutzungsvertrag, keinen AVV. Prüfen sollte man dennoch, welche Daten über das Portal fließen und ob die eigene Datenschutzinformation diese Empfänger nennt.
  • Branchensoftware und Cloud-Lösungen: Bei gehosteter Software (SaaS) liegt fast immer Auftragsverarbeitung vor: Der Anbieter speichert und verarbeitet Versorgungsdaten auf seinen Servern. Erforderlich sind ein AVV, dokumentierte technische und organisatorische Maßnahmen, ein Serverstandort in der EU oder eine tragfähige Drittlandlösung sowie eine transparente Liste der Unterauftragnehmer. Läuft die Software lokal im Haus, ist der Hersteller zunächst kein Auftragsverarbeiter; sobald aber Wartung oder Support mit Zugriff auf Echtdaten möglich ist, entsteht auch hier eine Auftragsverarbeitung.
  • IT-Dienstleister und Fernwartung: Der externe IT-Betreuer, der per Fernzugriff auf Systeme mit Kundendaten zugreifen kann, ist Auftragsverarbeiter, selbst wenn der Datenzugriff nur die theoretische Nebenfolge der Wartung ist. Der AVV sollte Fernwartungssitzungen, Protokollierung und Vertraulichkeitsverpflichtungen ausdrücklich regeln.
  • Weitere Kandidaten: Aktenvernichtung, externer Scan-Dienst, E-Mail-Marketing-Tools und Hosting-Anbieter sind typische Auftragsverarbeiter. Steuerberater und Lohnabrechnung durch den Steuerberater gelten dagegen als eigenständig verantwortlich, hier ist kein AVV erforderlich. Reine Post- und Paketdienste fallen ebenfalls nicht unter Art. 28 DSGVO.

Was in den AV-Vertrag gehört: Die Pflichtinhalte nach Art. 28 Abs. 3 DSGVO

Ein AVV ist kein Freitext, sondern hat gesetzlich definierte Mindestinhalte: Gegenstand und Dauer der Verarbeitung, Art und Zweck, Kategorien der Daten und der betroffenen Personen, die Weisungsbindung des Dienstleisters, Vertraulichkeitsverpflichtungen, die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die Regelung zu Unterauftragnehmern inklusive Informations- und Widerspruchsrechten, Unterstützungspflichten bei Betroffenenrechten und Datenpannen, die Löschung oder Rückgabe der Daten nach Vertragsende sowie Nachweis- und Kontrollrechte des Auftraggebers.

Zwei Punkte verdienen im Sanitätshaus besondere Aufmerksamkeit. Erstens die Unterauftragnehmer: Viele Softwareanbieter setzen ihrerseits Cloud-Infrastruktur großer Anbieter ein. Das Sanitätshaus muss wissen, wer in dieser Kette tatsächlich Zugriff auf Gesundheitsdaten hat. Zweitens der Drittlandtransfer: Sitzt ein Anbieter oder dessen Unterauftragnehmer außerhalb der EU, müssen die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sein, etwa über einen Angemessenheitsbeschluss oder Standardvertragsklauseln mit ergänzenden Maßnahmen. Bei US-Anbietern ist eine dokumentierte Prüfung Pflicht.

Checkliste: In fünf Schritten zur sauberen AVV-Dokumentation

  • 1. Bestandsaufnahme: Alle externen Dienstleister auflisten, die mit personenbezogenen Daten in Berührung kommen, von der Abrechnung über Software und IT bis zur Aktenvernichtung. Das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO ist dafür der natürliche Ausgangspunkt.
  • 2. Rollenklärung: Für jeden Dienstleister bestimmen: Auftragsverarbeiter, eigenständiger Verantwortlicher oder gemeinsam verantwortlich? Maßstab ist, wer über Zwecke und Mittel entscheidet.
  • 3. Vertragsprüfung: Vorhandene AVV auf die Pflichtinhalte des Art. 28 Abs. 3 DSGVO, aktuelle TOMs, Unterauftragnehmerlisten und Drittlandregelungen prüfen. Verträge aus der Anfangszeit der DSGVO sind häufig veraltet.
  • 4. Lücken schließen:Fehlende Verträge nachverhandeln, bei eigenständig Verantwortlichen die Rechtsgrundlage der Übermittlung dokumentieren und die Datenschutzinformationen nach Art. 13 DSGVO um die tatsächlichen Empfänger ergänzen.
  • 5. Laufende Pflege: AVV-Dokumentation jährlich prüfen, Änderungen bei Unterauftragnehmern nachhalten und bei jedem neuen Dienstleister die Rollenfrage vor Vertragsschluss klären, nicht danach.

Wann externe Unterstützung sinnvoll ist

Die Rollenabgrenzung zwischen Auftragsverarbeitung, eigener Verantwortlichkeit und gemeinsamer Verantwortlichkeit ist juristisch anspruchsvoll, und die Verträge der Anbieter sind selten zugunsten des Sanitätshauses formuliert. Ein strukturierter Dokumenten-Review schafft hier in kurzer Zeit Klarheit: zweiplus prüft bestehende AV-Verträge, Abrechnungs- und Softwareverträge auf datenschutzrechtliche Lücken, klärt die Rollenverteilung je Dienstleister und liefert rechtssichere Muster für Nachverhandlungen, TÜV-zertifiziert und mit Branchenerfahrung im Gesundheitswesen. Für KMU besteht zudem die Möglichkeit, Beratungsleistungen im Bereich Datenschutz über das Förderprogramm der BAFA bezuschussen zu lassen. Ob eine Förderung in Frage kommt, klären wir im Erstgespräch.

Fazit: Ohne saubere AV-Verträge steht die gesamte Dienstleisterkette auf rechtlich dünnem Eis

Sanitätshäuser lagern ihre sensibelsten Datenprozesse an Dritte aus: Abrechnung, Software, IT. Jede dieser Beziehungen braucht das passende rechtliche Fundament, sei es ein AVV nach Art. 28 DSGVO, eine dokumentierte Rechtsgrundlage für die Übermittlung an eigenständig Verantwortliche oder in Sonderfällen eine Vereinbarung nach Art. 26 DSGVO. Fehlende oder falsche Verträge sind für Aufsichtsbehörden leicht festzustellen und mit Bußgeldern von bis zu 10 Millionen Euro oder 2 % des Jahresumsatzes bewehrt. Die gute Nachricht: Mit einer Bestandsaufnahme, klarer Rollenzuordnung und einem strukturierten Vertragsreview lässt sich das Thema in überschaubarer Zeit abräumen. Wer dabei Unterstützung möchte, findet in zweiplus einen Partner mit nachgewiesener Erfahrung im Gesundheitswesen. Nehmen Sie Kontakt auf und lassen Sie Ihre Dienstleisterverträge unverbindlich prüfen.

FAQs – Häufig gestellte Fragen zur Auftragsverarbeitung im Sanitätshaus

Ein AVV ist der nach Art. 28 DSGVO vorgeschriebene Vertrag zwischen einem Verantwortlichen und einem Dienstleister, der personenbezogene Daten weisungsgebunden für ihn verarbeitet. Er regelt unter anderem Gegenstand und Dauer der Verarbeitung, Weisungsbindung, technische und organisatorische Maßnahmen, Unterauftragnehmer und die Löschung der Daten nach Vertragsende.

In der Regel ja, wenn es die Leistungen weisungsgebunden im Namen des Sanitätshauses mit den Kassen abrechnet. Dann ist ein AVV Pflicht. Kauft der Dienstleister die Forderungen dagegen im Wege des echten Factorings an, wird er regelmäßig eigenständiger Verantwortlicher; dann trägt eine eigene Rechtsgrundlage die Übermittlung, nicht der AVV.

Nein. Krankenkassen und andere Kostenträger sind eigenständig Verantwortliche mit eigenen gesetzlichen Aufgaben. Die Datenübermittlung an sie stützt sich auf sozialrechtliche Vorschriften wie § 302 SGB V, nicht auf einen Auftragsverarbeitungsvertrag.

Meist nicht: Die Betreiber der Portale für den elektronischen Kostenvoranschlag arbeiten in der Regel im Auftrag der Krankenkassen, nicht im Auftrag des Sanitätshauses. Üblich ist ein Nutzungsvertrag. Prüfen sollte man dennoch, welche Daten über das Portal fließen und ob die eigenen Datenschutzinformationen diese Empfänger nennen.

Für den reinen Softwarekauf nicht. Sobald der Hersteller oder ein IT-Dienstleister aber Wartung oder Support mit Zugriffsmöglichkeit auf Echtdaten leistet, etwa per Fernwartung, liegt Auftragsverarbeitung vor und ein AVV ist erforderlich.

Die Pflichtinhalte ergeben sich aus Art. 28 Abs. 3 DSGVO: Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenkategorien und betroffene Personen, Weisungsbindung, Vertraulichkeit, technische und organisatorische Maßnahmen, Unterauftragnehmer-Regelung, Unterstützungspflichten, Löschung oder Rückgabe nach Vertragsende sowie Kontroll- und Nachweisrechte.

Drittlandtransfers sind nur unter den Voraussetzungen der Art. 44 ff. DSGVO zulässig, etwa auf Basis eines Angemessenheitsbeschlusses oder von Standardvertragsklauseln mit ergänzenden Maßnahmen. Bei Gesundheitsdaten sollte die Prüfung besonders sorgfältig erfolgen und dokumentiert werden; ein EU-Serverstandort ist die deutlich robustere Lösung.

Nein. Steuerberater gelten aufgrund ihrer eigenständigen beruflichen Pflichten als eigenständig Verantwortliche, auch bei der Lohnabrechnung. Ein AVV ist hier nicht erforderlich.

Verstöße gegen Art. 28 DSGVO können mit Bußgeldern von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden. Hinzu kommt: Ohne AVV ist die Datenübermittlung an den Dienstleister selbst rechtswidrig, was weitere Ansprüche und Beanstandungen nach sich ziehen kann. Der fehlende Vertrag ist für Aufsichtsbehörden besonders leicht festzustellen.

Spätestens wenn unklar ist, welche Verträge überhaupt existieren, wenn Verträge aus der Anfangszeit der DSGVO nie aktualisiert wurden oder wenn neue Dienstleister wie Cloud-Software oder TI-Anbieter hinzukommen. Ein strukturierter Review klärt Rollen, deckt Lücken auf und liefert verhandlungsfähige Muster, meist in deutlich kürzerer Zeit als der interne Aufbau dieses Spezialwissens.

Über uns

Unsere Kerntätigkeit ist die Bestellung als externe Datenschutzbeauftragte für kleine und mittelständische Unternehmen, kommunale Dienstleister und Gemeinden bis hin zur wirtschaftsprüfungspflichtigen Unternehmen.