BEKOM MANAGEDNextcloud im GesundheitswesenDSGVO-konforme Kollaboration

Nein. Nextcloud ist eine Kollaborations- und Datei-Plattform, kein KIS. KIS, RIS, PACS und LIS bleiben als spezialisierte Systeme bestehen. Nextcloud flankiert diese Systeme für Workflows, die heute über E-Mail, USB-Sticks oder Cloud-Dienste laufen: interne Befund-Ablage, Kommunikation mit Zuweisern, Konsil-Material, Lehr- und Verwaltungs-Dokumente. BEKOM klärt im Assessment exakt, welche Workflows zu Nextcloud passen und welche bei den spezialisierten Systemen verbleiben.

Nextcloud selbst ist keine TI-zertifizierte Komponente und ersetzt keine zertifizierten TI-Anwendungen. Workflows, die TI-Pflicht haben (z. B. ePA-Anbindung, KIM-Versand), bleiben in den dafür zertifizierten Systemen. Nextcloud kommt für Workflows zum Einsatz, die außerhalb der TI-Pflicht liegen oder als Vor- und Nachbereitung dienen. Diese Abgrenzung wird im Assessment klar dokumentiert, damit später keine Unsicherheiten in der Sektor-Compliance entstehen.

Der BEKOM-Pfad sieht vor, dass die Datenschutz-Folgenabschätzung gemeinsam mit dem internen Datenschutz-Beauftragten und – falls notwendig – einem spezialisierten Beratungs- oder Anwaltsbüro begleitet wird. BEKOM liefert die technischen Bausteine, die Verarbeitungs-Beschreibungen, das Berechtigungs-Modell und die Audit-Logs. Die rechtliche Bewertung und die Kommunikation mit der Aufsichtsbehörde bleiben beim Datenschutz-Beauftragten und der Klinikleitung.

Sicherheit entsteht aus mehreren Schichten: Verschlüsselung im Transport und im Ruhezustand, granulare Berechtigungen mit Multi-Faktor-Authentifizierung, dokumentierte Audit-Logs, segmentierte Netzwerke und regelmäßige Backup-Strategien. BEKOM betreibt die Plattform in deutschen Rechenzentren mit klar dokumentierten Datenflüssen und einem AVV nach Art. 28 DSGVO. Pauschale Sicherheits-Garantien gibt BEKOM nicht – Sicherheit ist eine Disziplin, die laufend weiterentwickelt wird.

Backup-Strategien werden im Service-Design vorab definiert: Häufigkeit, Aufbewahrungs-Klassen, Wiederherstellungs-Pfade und Verantwortlichkeiten. BEKOM betreibt Backup-Routinen in deutschen Rechenzentren und führt regelmäßige Wiederherstellungs-Tests durch, die als Audit-Nachweis dokumentiert werden. Im Notfall – etwa bei Ransomware-Vorfall oder versehentlicher Löschung – greift ein definiertes Wiederherstellungs-Verfahren mit klaren Rollen zwischen Klinik, Datenschutz-Beauftragtem und BEKOM. Wiederherstellungs-Ziele (RPO und RTO) werden je Datenklassifikation festgelegt und sind Bestandteil des Service-Levels – sektor-spezifische Vorgaben aus PDSG und Berufsordnungen werden dabei berücksichtigt.

Ja, mit klar dokumentiertem Berechtigungsmodell. Externe erhalten zeitlich befristete und auf bestimmte Inhalte begrenzte Zugänge, abgesichert über Multi-Faktor-Authentifizierung und vollständige Audit-Logs aller Aktivitäten. Vor Einbindung wird im Assessment geklärt, welche externen Gruppen mit welchen Daten arbeiten dürfen und welche datenschutzrechtlichen Vereinbarungen erforderlich sind (z. B. Zusatz-Vereinbarungen für Belegärzte, Vertraulichkeits-Erklärungen für Forscher).

Die Migration erfolgt in Stufen, geordnet nach Datenklassifikation und klinischem Risiko. Niedrige Risikoklassen (Verwaltung, Lehre, Forschung) werden zuerst migriert, sensible Bereiche (Befunde, Konsile) folgen. Daten werden strukturiert übernommen: Ordnerstruktur abgebildet, Berechtigungen neu modelliert über Keycloak, Versionsstände dokumentiert. Während der Übergangsphase laufen Quell- und Zielsystem parallel, die Quell-Systeme werden erst nach abgeschlossener Migration und Datenschutz-Freigabe abgeschaltet.

Nextcloud ist Open Source – die Daten bleiben in offenen Formaten, die Plattform kann grundsätzlich auch bei anderen Betreibern oder im Eigenbetrieb weitergeführt werden. BEKOM dokumentiert Architektur, Konfigurationen und Daten-Strukturen so, dass ein geordneter Übergang möglich ist. Eine Exit-Strategie wird im Service-Design vorab definiert und gehört zum Standard-Vertragswerk – das verhindert die Anbieter-Bindung, die viele Häuser bei Hyperscaler-Diensten als Risiko erleben.

SaaS-Lösungen sind in der Regel Standardisiert, schnell verfügbar und werden zentral durch den Hersteller betrieben. Der BEKOM-Pfad bietet Nextcloud im dedizierten Betrieb mit individuell konfigurierbaren Berechtigungs-Modellen, dokumentierter Datenresidenz in deutschen Rechenzentren und einer Vertragsstruktur, die Audit-Rechte und Exit-Pfade verankert. Damit ist der Pfad besonders für Häuser geeignet, die strukturierte Compliance-Pflichten mit individuellen Workflow-Anforderungen verbinden müssen – die Wahl bleibt eine bewusste Abwägung zwischen Standardisierung und sektor-spezifischer Anpassbarkeit.

Die Preisgestaltung für Nextcloud im Gesundheitswesen berücksichtigt den erhöhten Compliance-Aufwand durch PDSG, Berufsordnungen und sektorale Vorgaben. BEKOM kalkuliert neben der Standard-Plattform zusätzliche Services für Datenschutz-Folgenabschätzungen, Auftragsverarbeitungs-Verträge und die Integration in bestehende Krankenhaus-IT-Landschaften. Der Vertrag umfasst auch regulatorische Updates und Anpassungen bei rechtlichen Änderungen. Eine detaillierte Kostenaufstellung erhalten Sie nach dem technischen Assessment, das die spezifischen Anforderungen Ihrer Einrichtung erfasst.