Wie europäische Krankenversicherer sensible Patientendaten unter branchenspezifischen Vorgaben schützen

Europäische Krankenversicherer verwalten einige der sensibelsten personenbezogenen Daten im Finanzdienstleistungssektor. Gesetzliche Krankenversicherungen wie Deutschlands gesetzliche Krankenkassen verarbeiten Leistungsdaten von über 70 Millionen gesetzlich Versicherten. Private Krankenversicherer verfügen über detaillierte Risikobewertungen, Ergebnisse medizinischer Untersuchungen und Risikoprofile, die Informationen enthalten, die Versicherte möglicherweise weder Arbeitgebern, Familienmitgliedern noch anderen außerhalb der Arzt-Patienten-Beziehung offenbart haben.

Das regulatorische Umfeld für diese Daten hat sich grundlegend gewandelt. DORA ist seit dem 17. Januar 2025 anwendbar und macht das ICT-Risikomanagement zur Aufgabe des Vorstands aller Versicherungsunternehmen. Die EHDS-Verordnung, die im März 2025 in Kraft trat, schafft einen Rahmen für die Sekundärnutzung von Gesundheitsdaten, verbietet aber ausdrücklich deren Nutzung für Versicherungsentscheidungen. Das Spannungsfeld zwischen CLOUD Act und DSGVO-Schutz für besondere Kategorien personenbezogener Daten bleibt für alle Versicherer, die Patientendaten über US-betriebene Plattformen verarbeiten, ungelöst.

Dieser Leitfaden analysiert, wo die Datensouveränität von Krankenversicherern am stärksten gefährdet ist, wie souveräne Architektur DORA-, EHDS- und DSGVO-Anforderungen gleichzeitig adressiert und wie eine praxisnahe Umsetzung aussieht.

Executive Summary

Kernaussage: Europäische Krankenversicherer stehen vor einer Vielzahl regulatorischer Anforderungen, die die Datensouveränität über Patientendaten zu einer betrieblichen Notwendigkeit machen – nicht nur zu einer Compliance-Präferenz. Jede Plattform, über die Versicherer Patientendaten austauschen – mit Leistungserbringern, Rückversicherern, Schadensregulierern, Betrugserkennungsdiensten und digitalen Gesundheitsplattformen – muss eine nachweisbare Souveränität bieten, die vertragliche Mechanismen allein nicht gewährleisten können.

Warum das relevant ist: Krankenversicherer, die Patientendaten über Plattformen verarbeiten, die dem Zugriff ausländischer Behörden unterliegen, schaffen eine strukturelle Compliance-Lücke, die keine Auftragsverarbeitungsvereinbarung schließen kann. Versicherer, die keine architektonische Souveränität über Patientendaten nachweisen können, sind gleichzeitig DORA-, DSGVO- und neuen EHDS-Anforderungen ausgesetzt.

5 wichtige Erkenntnisse

1. DORA macht ICT-Risikomanagement zur Vorstandsaufgabe für Krankenversicherer. Seit Januar 2025 müssen Versicherungsunternehmen umfassende ICT-Risikomanagement-Rahmenwerke unterhalten, schwerwiegende ICT-Vorfälle melden, Resilienztests durchführen und alle Drittanbieterbeziehungen dokumentieren. Die Auslagerung von Dienstleistungen entbindet nicht von der Verantwortung.
2. Die EHDS verbietet die Nutzung von Sekundärdaten für Versicherungsentscheidungen und erweitert die Anforderungen an die Daten-Governance. Artikel 54 der EHDS untersagt ausdrücklich, Gesundheitsdaten aus der Sekundärnutzung zu verwenden, um Personen vom Versicherungsschutz auszuschließen, Prämien anzupassen oder andere nachteilige Entscheidungen zu treffen. Dieses Verbot gilt für alle Versicherungssparten, nicht nur für Kranken- oder Lebensversicherungen.
3. Die Datenflüsse von Krankenversicherern umfassen mehr externe Parteien als bei den meisten Finanzdienstleistern. Leistungsregulierung, Zahlungen an Leistungserbringer, Rückversicherungsvereinbarungen, Betrugserkennung und digitale Gesundheitsintegrationen erzeugen jeweils Datenbewegungen, bei denen Patientendaten über Unternehmensgrenzen hinweg durch Plattformen fließen, die die tatsächliche Governance bestimmen.
4. Rückversicherungsdatenströme schaffen besondere Souveränitätsrisiken. Wenn Erstversicherer Leistungsdaten mit Rückversicherern zum Risikomanagement teilen, fließen Patientendaten über Unternehmensgrenzen hinweg. Setzt eine Partei Kommunikationsplattformen ein, die nicht der EU-Gerichtsbarkeit unterliegen, ist kundengesteuerte Verschlüsselung die einzige Maßnahme, die Souveränität unabhängig vom Anbieter garantiert.
5. Die elektronische Patientenakte in Deutschland erhöht das Volumen digitaler Gesundheitsdaten bei Versicherern. Das Gesundheitsdatennutzungsgesetz (GDNG) und das Digitalgesetz (DigiG) verpflichten zur Einführung elektronischer Patientenakten für über 70 Millionen gesetzlich Versicherte und steigern damit das Volumen digitaler Gesundheitsdaten in den Systemen der Versicherer und die Bedeutung souveräner Plattformen.

Das regulatorische Rahmenwerk für Krankenversicherungsdaten

DORA: Digitale operationelle Resilienz für Versicherungen

Der Digital Operational Resilience Act, der seit dem 17. Januar 2025 gilt, hat die Anforderungen an das ICT-Management von Versicherungsunternehmen grundlegend verändert. Die EIOPA hat im Dezember 2024 ihre bisherigen Leitlinien zu ICT-Sicherheit und Governance zurückgezogen, um Überschneidungen mit DORA zu vermeiden. Damit ist die Verordnung der zentrale Rahmen für digitale Resilienz im europäischen Versicherungssektor.

Die fünf DORA-Säulen schaffen direkte Plattform-Souveränitätsanforderungen für Versicherer

Die DORA-Anforderungen für Versicherer gliedern sich in fünf Säulen. ICT-Risikomanagement verlangt einen umfassenden, dokumentierten Rahmen mit Vorstandsverantwortung – DORA schließt eine Delegation an technische Teams ausdrücklich aus. Das ICT-Drittparteienmanagement verpflichtet Versicherer, ein vollständiges Register aller ICT-Dienstleisterverträge zu führen, Risikoanalysen für kritische Services vor Vertragsabschluss durchzuführen, zwingende Vertragsklauseln zu Service-Standorten, Datenvertraulichkeit, Business Continuity und Vorfallmanagement zu integrieren sowie Exit-Strategien für alle kritischen ICT-Beziehungen festzulegen. Das Vorfallmanagement verlangt eine standardisierte Klassifizierung und Meldung schwerwiegender ICT-Vorfälle an die zuständigen Behörden. Die Resilienztests erfordern regelmäßige Prüfungen der ICT-Systeme, einschließlich Threat-Led Penetration Testing für systemrelevante Unternehmen.

Das DORA-Drittparteienregister erzwingt formale Dokumentation der Jurisdiktionsrisiken

Für Krankenversicherer haben die DORA-Anforderungen an das Drittparteienmanagement direkte Auswirkungen auf die Plattform-Souveränität. Bis April 2025 mussten Versicherer ihre Register mit Informationen zu ICT-Drittparteienverträgen bei den nationalen Aufsichtsbehörden einreichen. Dieses Register muss Art der Dienstleistung, Speicherorte der Daten, Subunternehmerbeziehungen und die Relevanz für kritische Funktionen dokumentieren. Versicherer, die US-betriebene Plattformen für die Verarbeitung von Patientendaten nutzen, müssen die dadurch entstehenden Jurisdiktionsrisiken nun formell dokumentieren – aus einem informellen Risiko wird eine dokumentierte Vorstandsverantwortung.

EHDS: Auswirkungen des Health Data Space auf Versicherer

Die European Health Data Space Regulation schafft Verpflichtungen und Einschränkungen, die Krankenversicherer auf besondere Weise betreffen. Als Verarbeiter elektronischer Gesundheitsdaten können Versicherer ab März 2029 als Dateninhaber eingestuft werden, die zur Sekundärnutzung verpflichtet sind. Leistungsdaten, Erstattungsunterlagen und Versicherungsinformationen fallen alle unter die breite EHDS-Definition elektronischer Gesundheitsdaten.

EHDS Artikel 54 verbietet Sekundärnutzung von Gesundheitsdaten für Versicherungsentscheidungen

Die EHDS verbietet ausdrücklich, auf Basis von Gesundheitsdaten aus der Sekundärnutzung Entscheidungen zu treffen, die Einzelpersonen oder Gruppen vom Versicherungsschutz ausschließen, Prämien anpassen oder andere nachteilige Folgen haben. Dieses Verbot gilt für alle Versicherungssparten. Es spiegelt die Einschätzung der Europäischen Kommission wider, dass die Akzeptanz der EHDS davon abhängt, dass Versicherte darauf vertrauen können, dass Gesundheitsdaten nicht gegen sie verwendet werden.

Für Krankenversicherer entsteht daraus eine Governance-Pflicht. Sie müssen nachweisen können, dass ihre Datenverarbeitungssysteme eine klare Trennung zwischen Daten für legitime Versicherungszwecke und Daten, die über EHDS-Sekundärkanäle zugänglich sind, gewährleisten. Das erfordert technische Architektur, die Governance-Grenzen durchsetzt – nicht nur Richtliniendokumentation.

DSGVO-Schutz für besondere Kategorien gilt für jeden Patientendatenaustausch

Gesundheitsdaten sind nach Artikel 9 DSGVO als besondere Kategorie eingestuft und unterliegen dem höchsten Schutzniveau. Die Verarbeitung erfordert eine ausdrückliche Rechtsgrundlage, die über die Standardvoraussetzungen hinausgeht. Für Krankenversicherer bedeutet das: Jeder Austausch von Patientendaten – ob Leistungsdaten mit Rückversicherern, Behandlungsdaten mit Leistungserbringern oder medizinische Gutachten für Underwriting-Systeme – muss die DSGVO-Anforderungen für besondere Kategorien erfüllen.

Die praktische Konsequenz für die Plattform-Souveränität ist eindeutig: Fließen besondere Kategorien von Gesundheitsdaten über eine Plattform, die von einem Anbieter mit CLOUD-Act-Pflichten betrieben wird, regeln Standardvertragsklauseln zwar die vertragliche Beziehung, können aber die gesetzlichen Verpflichtungen des Anbieters nach US-Recht nicht aushebeln. Die EDSA betont, dass ergänzende technische Maßnahmen – insbesondere Verschlüsselung, bei der der Datenimporteur keinen Zugriff auf die Schlüssel hat – erforderlich sind, wenn rechtliche Schutzmechanismen nicht ausreichen.

Wo die Datensouveränität von Krankenversicherern am meisten gefährdet ist

Schadensbearbeitungsplattformen sind der größte Souveränitätsrisikofaktor

Die Leistungsregulierung ist der größte Datenfluss bei den meisten Krankenversicherern. Gesetzliche Krankenversicherer bearbeiten jährlich Millionen von Leistungsanträgen, die Diagnoseschlüssel, Behandlungsdetails, Informationen zu Leistungserbringern und Patientendaten enthalten. Diese Anträge werden zwischen Leistungserbringern, dem Schadensmanagementsystem des Versicherers und häufig externen Dienstleistern ausgetauscht. Nutzt eine dieser Stationen eine Kommunikations- oder Filetransfer-Plattform, die einer ausländischen Gerichtsbarkeit unterliegt, ist die Souveränität jeder einzelnen Patientenakte in diesem Datenfluss gefährdet.

Auch der Datenaustausch mit Leistungserbringern geht über die reine Leistungsregulierung hinaus. Anträge auf Genehmigung, medizinische Notwendigkeitsprüfungen, Behandlungsplanfreigaben und Fallmanagement-Kommunikation beinhalten detaillierte Patientendaten, die digital zwischen Versicherern und Leistungserbringern ausgetauscht werden. Die verwendeten Plattformen bestimmen die tatsächliche Jurisdiktions-Governance der Daten – unabhängig von den vertraglichen Regelungen.

Rückversicherungsdatenströme erweitern das Souveränitätsrisiko über die Systeme des Erstversicherers hinaus

Krankenversicherer, insbesondere solche mit Deckung für teure oder seltene Behandlungen, teilen Risiken mit Rückversicherern. Dazu werden Leistungsdaten, versicherungsmathematische Analysen und teilweise auch individuelle Patientendaten an Rückversicherungspartner übermittelt. Wie die Datenschutzdokumentation von Munich Re bestätigt, erhalten Rückversicherer Antrags-, Vertrags- und Leistungsdaten vom Erstversicherer, wenn dies für die ordnungsgemäße Abwicklung des Rückversicherungsvertrags erforderlich ist.

Diese Rückversicherungsdatenströme schaffen eine Souveränitätskette. Selbst wenn der Erstversicherer für die eigenen Systeme eine souveräne Architektur nutzt, hängt die Datensouveränität davon ab, über welche Plattformen die Daten den Rückversicherer erreichen. Setzt eine Partei US-betriebene Filetransfer- oder Kollaborationsdienste ein, durchlaufen die Daten eine Infrastruktur, in der ausländische Rechtsvorschriften europäische Vertragsregelungen aushebeln können. Nach DORA muss der Erstversicherer dieses Drittparteienrisiko nun formell bewerten und dokumentieren.

Betrugserkennungs-Analytics auf Nicht-EU-Cloud-Plattformen schaffen Konzentrationsrisiken

Die Betrugserkennung in der Krankenversicherung basiert zunehmend auf Datenanalyseplattformen, die Leistungsdaten aggregieren, Muster erkennen und Anomalien identifizieren. Manche Versicherer nutzen gemeinsame Betrugsdatenbanken, in denen Informationen zwischen mehreren Unternehmen ausgetauscht werden. Diese Analytics-Umgebungen verarbeiten große Mengen an Patientendaten, oft auf cloudbasierten Plattformen, die nach Rechenleistung und nicht nach Souveränitätsmerkmalen ausgewählt werden.

Laufen diese Analysen auf Plattformen von US-Anbietern, ist der aggregierte Datensatz – potenziell mit Leistungsdaten tausender Patienten – einem Jurisdiktionsrisiko ausgesetzt. DORA verlangt die Klassifizierung von ICT-Services für kritische Funktionen, sodass Versicherer bewerten müssen, ob ihre Betrugserkennungsplattformen unzulässige Konzentrationsrisiken bei Nicht-EU-Anbietern schaffen.

Digitale Gesundheitsintegrationen führen Echtzeit-Patientendaten in Souveränitätsrisikokanäle ein

Europäische Krankenversicherer integrieren zunehmend digitale Gesundheitsplattformen für Telemedizin, Präventionsprogramme, chronische Erkrankungsbetreuung und Gesundheitsförderung. Die Vorgaben des DigiG und GDNG in Deutschland beschleunigen diese Digitalisierung, da elektronische Patientenakten für über 70 Millionen gesetzlich Versicherte nun verpflichtend sind. Jede Integration schafft einen Datenkanal, über den Patientendaten zwischen Versicherer und digitaler Gesundheitsplattform ausgetauscht werden.

Diese Integrationen sind besonders sensibel, da sie oft Echtzeit- oder nahezu Echtzeitdaten umfassen – z. B. Wearable-Daten, Telemedizin-Sitzungsprotokolle, Informationen zur Medikamentenadhärenz –, die weit über klassische Leistungsdaten hinausgehen. Fließen diese Daten über Plattformen ohne souveräne Verschlüsselungsarchitektur, sind die Governance-Pflichten des Versicherers nach DSGVO, DORA und EHDS gleichzeitig gefährdet.

Souveräne Architektur für Krankenversicherungsdaten aufbauen

Kundengesteuerte Verschlüsselung mindert Jurisdiktionsrisiken auf Architekturebene

Die wirksamste Einzelmaßnahme für Datensouveränität ist die Implementierung einer kundengesteuerten Verschlüsselung, bei der der Versicherer die Verschlüsselungsschlüssel im eigenen Hardware-Sicherheitsmodul oder Schlüsselmanagementsystem generiert, verwaltet und aufbewahrt. Der Plattformanbieter verarbeitet verschlüsselte Patientendaten, kann diese aber nicht entschlüsseln. So bleibt die Souveränität auch bei Anbieterübernahmen, Eigentümerwechseln und ausländischem Rechtszugriff gewahrt, da der Anbieter physisch keinen Zugriff auf entschlüsselte Patientendaten hat.

Dies adressiert direkt die DORA-Anforderungen an das ICT-Risikomanagement. Dokumentiert ein Versicherer im vorgeschriebenen Drittparteienregister die Nutzung kundengesteuerter Verschlüsselung, kann er nachweisen, dass Jurisdiktionsrisiken architektonisch gemindert sind – die rechtlichen Verpflichtungen des Plattformanbieters im Ausland sind irrelevant, da er keinen Zugriff auf die Daten hat. Das ist eine stärkere Compliance-Position als der alleinige Verweis auf Vertragsklauseln, die rechtlich anfechtbar sein können.

Single-Tenant-Bereitstellung in Europa verhindert Vermischung mit anderen Unternehmen

Versicherungsdaten sollten auf dedizierter Infrastruktur liegen, die ausschließlich dem Versicherer dient – nicht auf Multi-Tenant-Plattformen, auf denen Patientendaten mit Daten anderer Unternehmen unter verschiedenen Jurisdiktionen gespeichert werden. Single-Tenant-Bereitstellung stellt sicher, dass die Governance-Richtlinien, Zugriffskontrollen und Verschlüsselungsstandards des Versicherers für alle Patientendaten einheitlich gelten, ohne von den Isolationsmechanismen des Plattformanbieters abhängig zu sein.

Für gesetzliche Krankenversicherer im Rahmen nationaler Gesundheitssysteme unterstützt die Single-Tenant-Bereitstellung zudem die institutionelle Trennung, wie sie von Aufsichtsbehörden erwartet wird. Patientendaten aus dem nationalen Gesundheitssystem sollten keine Infrastruktur mit kommerziellen Unternehmen aus anderen Jurisdiktionen teilen – unabhängig von der logischen Trennung, die Multi-Tenant-Plattformen bieten.

Umfassende Audit-Trails erfüllen DORA-, DSGVO- und EHDS-Nachweispflichten gleichzeitig

DORA verlangt die Erkennung, Verwaltung, Protokollierung und Meldung von ICT-bezogenen Vorfällen. Die DSGVO fordert Nachweise für die Verarbeitung besonderer Kategorien personenbezogener Daten. Die EHDS verlangt den Nachweis der Trennung zwischen legitimen Versicherungsprozessen und Sekundärnutzungskanälen. Umfassende Audit-Protokollierung, die jeden Zugriff, jede Änderung und jede Übertragung von Patientendaten dokumentiert, liefert die Nachweisgrundlage für alle drei Regulierungen gleichzeitig.

Für Krankenversicherer erfüllen Audit-Trails eine weitere Funktion: Sie belegen gegenüber Aufsichtsbehörden, Versicherten und Öffentlichkeit, dass Patientendaten mit der gebotenen Governance behandelt werden. In einem Umfeld, in dem die EHDS explizit auf das öffentliche Vertrauen in den Umgang mit Gesundheitsdaten durch Versicherer abzielt, werden nachweisbare Souveränität und Transparenz zu Wettbewerbsvorteilen – nicht nur zu Compliance-Anforderungen.

DORA-Drittparteienmanagement: Praxisansatz

DORA verlangt von Krankenversicherern, alle ICT-Drittanbieterbeziehungen anhand dokumentierter Risikokriterien zu bewerten. Für Kommunikations- und Filesharing-Plattformen, die Patientendaten verarbeiten, sollte die Bewertung vier Fragen zur Datensouveränität direkt adressieren.

Vier Souveränitätsfragen, die jeder Krankenversicherer zu jedem ICT-Anbieter beantworten muss

Erstens: Unterliegt der Anbieter gesetzlichen Verpflichtungen nach nicht-europäischen Zugriffsrechten? Ist der Anbieter in den USA ansässig oder der US-Gerichtsbarkeit unterstellt, schafft der CLOUD Act einen Rechtsweg zur Herausgabe von Daten – unabhängig vom Serverstandort oder vertraglichen Einschränkungen. Zweitens: Unterstützt die Architektur des Anbieters eine kundengesteuerte Verschlüsselung, bei der der Versicherer die alleinige Kontrolle über die Entschlüsselungsschlüssel behält? Das ist die technische Maßnahme zur Risikominderung. Drittens: Kann der Anbieter nachweisen, dass Betrieb, Wartung und Support ausschließlich durch EU-Personal unter EU-Gerichtsbarkeit erfolgen? Operativer Zugriff auf Systeme mit Patientendaten schafft ein potenzielles Risiko, selbst wenn Verschlüsselung im ruhenden Zustand implementiert ist. Viertens: Enthält die vertragliche Vereinbarung DORA-konforme Regelungen zu Service-Standorten, Datenvertraulichkeit, Vorfallmanagement und Exit-Strategien?

Versicherer ohne positive Antworten sollten Migration priorisieren

Versicherer, die diese Bewertungen im DORA-Register dokumentieren, schaffen eine belastbare Compliance-Grundlage. Können sie diese Fragen für ihre Patientendatenplattformen nicht positiv beantworten, sollten sie die Migration zu souveränen Alternativen priorisieren – und das verpflichtende DORA-Register wirkt als Katalysator, da Lücken für die Aufsichtsbehörden sichtbar werden.

Kiteworks unterstützt europäische Krankenversicherer beim Schutz von Patientendaten unter branchenspezifischen Regulierungen

Europäische Krankenversicherer sind bei jeder Verarbeitung von Patientendaten über Plattformen, die ausländischem Behördenzugriff unterliegen, gleichzeitig DORA-, DSGVO- und EHDS-Risiken ausgesetzt. Keine Auftragsverarbeitungsvereinbarung schließt diese Lücke – nur eine souveräne Architektur kann das leisten. Die DORA-Registerpflicht ab April 2025 macht Jurisdiktionsrisiken zu einer dokumentierten Vorstandsverantwortung, nicht zu einem informellen Vertragsrisiko.

Das Private Data Network von Kiteworks bietet Krankenversicherern die souveräne Kommunikationsinfrastruktur, die sie benötigen, um Patientendaten zu schützen und gleichzeitig die gestaffelten Anforderungen von DORA, DSGVO und EHDS zu erfüllen. Kiteworks setzt auf ein kundengesteuertes Verschlüsselungsmodell, bei dem der Versicherer die Schlüssel im eigenen Schlüsselmanagementsystem generiert und verwaltet. Kiteworks hat keinen Zugriff auf entschlüsselte Patientendaten und kann ausländischen Behörden keine lesbaren Gesundheitsdaten liefern, da die Schlüssel nicht im Besitz von Kiteworks sind.

Kiteworks wird als Single-Tenant-Instanz auf dedizierter europäischer Infrastruktur betrieben, sodass Patientendaten nicht mit Daten anderer Unternehmen vermischt werden. Richtlinienbasierte Geofencing-Funktionen verhindern, dass Gesundheitsdaten die festgelegten Grenzen verlassen, und umfassende Audit-Protokollierung liefert die Nachweise, die DORA-Vorfallmanagement, DSGVO-Aufsichtsbehörden und EHDS-Governance verlangen.

Die Plattform vereint sicheres Filesharing für Leistungsdokumentation und Kommunikation mit Leistungserbringern, geschützte E-Mails für Fallmanagement und Korrespondenz mit Versicherten, Managed File Transfer für automatisierte Datenaustausche mit Rückversicherern und Schadensregulierern sowie sichere Web-Formulare für die Datenerfassung bei Versicherten – alles unter einem einheitlichen zero trust Governance-Framework. So können Krankenversicherer alle Kanäle für den Austausch von Patientendaten über eine Plattform absichern – mit durchgängiger Verschlüsselung, Zugriffskontrollen und Audit-Nachweisen für die DORA-Compliance.

Erfahren Sie mehr über den Schutz von Patientendaten unter branchenspezifischen Regulierungen – vereinbaren Sie jetzt eine individuelle Demo.

Weitere Ressourcen

• Blog Post  
  Datensouveränität: Best Practice oder regulatorische Pflicht?
• eBook  
  Datensouveränität und DSGVO
• Blog Post  
  Vermeiden Sie diese Fallstricke bei der Datensouveränität
• Blog Post  
  Best Practices für Datensouveränität
• Blog Post  
  Datensouveränität und DSGVO [Verständnis von Datensicherheit]