Unsere Haltung zu Patientendaten
Datenschutz ist nicht egal.
Die Rechtslage zeigt: DSGVO-konform ist nicht automatisch datensouverän, wenn Patientendaten über US-Cloud-Anbieter laufen. OTpilot läuft deshalb in Deutschland — im ISO-27001-zertifizierten Rechenzentrum, ohne US-Cloud.
Warum das Sanitätshäuser betrifft
Patientendaten sind besonders geschützt — aus gutem Grund.
Diagnose, Therapie, Medikation: Gesundheitsdaten fallen unter Art. 9 DSGVO, die höchste Schutzkategorie. Vier Fakten zur Rechtslage, die jede Cloud-Entscheidung berühren.
CLOUD Act (2018)
US-Behörden können US-Unternehmen zur Herausgabe von Daten verpflichten — auch wenn die Server in der EU stehen. Ein „Rechenzentrum in Frankfurt" eines US-Anbieters schützt davor nicht. Entscheidend ist, wem die Infrastruktur gehört, nicht wo sie steht.
FISA Section 702
FISA 702 erlaubt US-Geheimdiensten den Zugriff auf Kommunikation von Nicht-US-Bürgern bei US-Diensten — ohne richterliche Einzelfallprüfung. Die Befugnis wurde 2024 vom US-Kongress verlängert. Für EU-Patientendaten bei US-Anbietern bleibt das ein struktureller Zugriffsweg.
Schrems I & II
Der Europäische Gerichtshof hat zwei EU-US-Datenabkommen nacheinander für ungültig erklärt — beide Male, weil US-Recht den EU-Datenschutz unterläuft. Das aktuelle Nachfolge-Abkommen (Data Privacy Framework) steht aus denselben Gründen erneut unter rechtlicher Kritik.
§ 203 StGB — Schweigepflicht
Gesundheitsberufe unterliegen der strafrechtlichen Schweigepflicht. Wer Patientendaten an einen Dienstleister weitergibt, der wiederum US-Behörden Zugriff ermöglichen könnte, bewegt sich in einer rechtlichen Grauzone — selbst wenn alle DSGVO-Verträge formal stimmen.
Der gemeinsame Nenner: Die Rechtsgrundlage für Patientendaten bei US-Anbietern ist seit Jahren ein bewegliches Ziel. Wir bauen OTpilot so, dass diese Frage für Ihre Patientendaten gar nicht erst entsteht.
Unsere Antwort
Gehostet in Deutschland. Ohne US-Mutterkonzern.
Wir verzichten bewusst auf US-Hyperscaler. Die gesamte Verarbeitung von Patientendaten läuft in ISO-27001-zertifizierten Rechenzentren in Deutschland — bei deutschen Anbietern, ohne US-Mutterkonzern, ohne CLOUD-Act-Pflicht.
C5-Testat — ohne Ausnahme.
Jeder Anbieter, der im Datenpfad von Patientendaten liegt, muss ein aktuelles C5-Testat des BSI vorweisen. Das ist unsere Grundvoraussetzung für die Zusammenarbeit — wir machen davon keine Ausnahmen.
Patientendaten bleiben in Deutschland.
Verarbeitung ausschließlich in ISO-27001-zertifizierten Rechenzentren in Deutschland, DSGVO Art. 9 für besondere Kategorien personenbezogener Daten.
Kein US-Mutterkonzern.
Wir sind Digital Hoch X GmbH, Sitz Osnabrück, deutsches Unternehmen — und auch unser Hosting-Anbieter ist deutsch. Kein CLOUD Act, kein FISA-702-Zugriffsrecht.
Kein KI-Training mit Ihren Daten.
Ihre Korrekturen schärft unser QM-Team in der Anleitung nach — die KI selbst lernt nicht aus Ihren Daten.
Kein Audio gespeichert.
Nur die Abschrift wird verarbeitet, dann gelöscht. Kein Mitschnitt, kein Archiv.
MDR-konform durch Fachkraft-Freigabe.
Die Fachkraft prüft jede Versorgungsdokumentation vor der Freigabe und signiert per Touch. OTpilot ist Assistent, kein Medizinprodukt.
Diese Sicherheit ist im Preis enthalten — ohne Token-Abrechnung, ohne Preisschocks: fester Preis pro Mitarbeiter →
Unsere Messlatte für Partner
C5-Testat. Ohne Ausnahme.
Wir arbeiten nur mit Anbietern zusammen, die ein aktuelles C5-Testat des BSI vorweisen — dem Kriterienkatalog, den das Bundesamt für Sicherheit in der Informationstechnik für Cloud-Dienste definiert hat.
Jeder Anbieter im Datenpfad.
Transkription, KI-Verarbeitung, Hosting — wer Patientendaten berührt, muss uns ein aktuelles C5-Testat nachweisen. Von dieser Anforderung machen wir keine Ausnahmen.
Kundenkriterien umgesetzt.
Ein Testat allein genügt nicht: Jeder Prüfbericht nennt auch Kriterien, die der Kunde umsetzen muss. Diese Hausaufgabe machen wir bei unseren Anbietern — nicht Sie.
Verarbeitung im Inland.
Ihre Patientendaten werden ausschließlich in Deutschland verarbeitet — und die Digital Hoch X GmbH sitzt mit ihrer Niederlassung ebenfalls hier, in Osnabrück.
Fragen Ihre Verbund- oder IT-Verantwortlichen nach den Testaten unserer Anbieter oder nach dem AVV? Wir legen alles offen: Unterlagen anfordern →
Realitäts-Hinweis
Wir lösen die Versorgungsdokumentation — nicht Ihre ganze IT.
Für ERP, Krankenkassen-Wege oder weitere Drittsysteme gelten weiterhin die Konditionen Ihrer dortigen Anbieter. Welche Schnittstellen wir aktuell bauen und welche wir pro Anfrage besprechen, steht auf der Schnittstellen-Seite.
Wer für Patientendaten am Point of Care die Sprach-Dokumentation nutzen möchte, ohne sie über US-Cloud zu schicken — dafür sind wir da.
Sprechen Sie mit uns über Ihr Setup.
30 Minuten persönlich, am echten Beispielformular. Keine Vertriebsshow — wir hören Ihren Ist-Stand an und sagen direkt, ob OTpilot in Ihre Datenschutz-Anforderungen passt.