Gesundheitsdaten-Hosting für Psychotherapeuten: HDS, DSGVO

Die Website von My International Therapy, ihr Dashboard für Therapeutinnen und Therapeuten und die zugehörigen Daten werden bei Amazon Web Services (AWS) in der Region Europa (Stockholm, Schweden) gehostet. AWS gibt auf seiner öffentlichen Seite an, die Zertifizierung HDS (französisch „hébergeur de données de santé“, Referenzrahmen Version 2) für alle sechs Tätigkeiten des Referenzrahmens zu halten, und nennt Stockholm unter den abgedeckten Regionen. Die Zertifizierung betrifft den Hosting-Anbieter, nicht My International Therapy.

Diese Seite richtet sich an Psychotherapeutinnen, Psychotherapeuten, Psychologinnen und Psychologen, die wissen möchten, wie die Daten ihrer Patientinnen und Patienten gehostet werden. HDS ist eine französische Zertifizierung und gilt in Deutschland nicht als Pflicht. Die Seite erklärt, was HDS ist, welche Regeln in Deutschland stattdessen zählen, was das Hosting von My International Therapy umfasst und wie Sie einen Hosting-Anbieter selbst prüfen. Sie gibt allgemeine Informationen und ersetzt keine Rechtsberatung.

Was die HDS-Zertifizierung ist

HDS steht für „hébergeur de données de santé“, den französischen Begriff für einen Hoster von Gesundheitsdaten. Artikel L.1111-8 des französischen Gesundheitsgesetzbuchs (Code de la santé publique) regelt das Hosting personenbezogener Gesundheitsdaten, die bei Prävention, Diagnose, Behandlung oder sozialer und medizinisch-sozialer Begleitung erhoben werden, wenn es im Auftrag der Erzeuger dieser Daten oder der Patientin beziehungsweise des Patienten erfolgt. Wer solche Daten digital hostet, braucht ein Konformitätszertifikat einer akkreditierten Zertifizierungsstelle. Der aktuelle Referenzrahmen, die „Version 2“, wurde mit dem Erlass vom 26. April 2024 genehmigt und am 16. Mai 2024 im französischen Amtsblatt veröffentlicht. Das Verfahren ist auf der Seite der französischen Agentur für digitale Gesundheit (ANS) beschrieben.

Die sechs Tätigkeiten des Referenzrahmens

Der Referenzrahmen unterscheidet sechs Hosting-Tätigkeiten. Ein Hoster ist für alle oder für einen Teil davon zertifiziert:

Bereitstellung und Betrieb der physischen Standorte;
Bereitstellung und Betrieb der Hardware-Infrastruktur;
Bereitstellung und Betrieb der virtuellen Infrastruktur;
Bereitstellung und Betrieb der Hosting-Plattform für Anwendungen;
Administration und Betrieb des Informationssystems, das die Gesundheitsdaten enthält;
ausgelagerte Datensicherung.

Was die Zertifizierung nicht abdeckt

Die Zertifizierung bezieht sich auf den Hoster und seinen Geltungsbereich. Sie zertifiziert weder eine Software noch eine Praxis noch eine Therapeutin oder einen Therapeuten. Ein Plattformbetreiber, der auf einen zertifizierten Hoster setzt, bleibt für die Nutzung dieser Infrastruktur verantwortlich, und die Therapeutin oder der Therapeut bleibt als Verantwortliche beziehungsweise Verantwortlicher für die Daten der Patientinnen und Patienten im Sinne der DSGVO zuständig. AWS weist selbst darauf hin: Nach dem Modell der geteilten Verantwortung bewertet jeder Kunde seine eigenen Pflichten.

Gilt HDS in Deutschland?

HDS ist französisches Recht. Das deutsche Recht kennt keine Pflicht, einen HDS-zertifizierten Hoster zu wählen. Für Praxen in Deutschland zählen die DSGVO, die ärztliche und psychotherapeutische Schweigepflicht und, je nach Praxis, die Vorgaben des Sozialgesetzbuchs für den Cloud-Einsatz (siehe unten).

Das Zertifikat hat trotzdem einen Nutzen: Es ist ein öffentlich nachprüfbarer Nachweis, dass ein Hoster einen anspruchsvollen Referenzrahmen für Gesundheitsdaten erfüllt. Wer Patientinnen und Patienten in Frankreich behandelt oder dort niedergelassen ist, sollte zusätzlich prüfen, ob französisches Recht eine Rolle spielt. Das klären die ANS, die französische Datenschutzbehörde CNIL oder eine Rechtsberatung. Nach unserem Kenntnisstand hat keine offizielle Stelle ausdrücklich geregelt, wie sich die HDS-Pflicht auf Psychologinnen und Psychotherapeuten auswirkt.

Welche Regeln in Deutschland zählen

DSGVO: Gesundheitsdaten nach Artikel 4 und 9

Gesundheitsdaten sind nach Artikel 4 Nummer 15 DSGVO Daten, die sich auf die körperliche oder geistige Gesundheit einer Person beziehen. Eine Psychotherapie betrifft die geistige Gesundheit und fällt darunter. Artikel 9 verbietet die Verarbeitung solcher Daten grundsätzlich und erlaubt sie für die Gesundheitsversorgung, wenn sie durch Fachpersonal erfolgt, das dem Berufsgeheimnis unterliegt (Artikel 9 Absatz 2 Buchstabe h und Absatz 3).

Für Ihren Hoster oder Ihre Praxissoftware bedeutet das: Sie brauchen einen Vertrag zur Auftragsverarbeitung (Artikel 28), ein Verzeichnis der Verarbeitungstätigkeiten (Artikel 30) und angemessene Sicherheitsmaßnahmen (Artikel 32).

Schweigepflicht: § 203 StGB

Wer als Angehörige oder Angehöriger eines Heilberufs mit staatlich geregelter Ausbildung oder als Berufspsychologe mit staatlich anerkannter wissenschaftlicher Abschlussprüfung ein fremdes Geheimnis unbefugt offenbart, macht sich nach § 203 Absatz 1 Nummer 1 und 2 des Strafgesetzbuchs strafbar. Dienstleister dürfen als „mitwirkende Personen“ eingebunden werden. Nach § 203 Absatz 4 ist aber strafbar, wer nicht dafür Sorge trägt, dass eine solche Person zur Geheimhaltung verpflichtet wurde. Prüfen Sie deshalb, ob der Vertrag mit Ihrem Anbieter eine Verpflichtung zur Geheimhaltung enthält.

§ 393 SGB V: Cloud-Einsatz im Gesundheitswesen

§ 393 des Fünften Buches Sozialgesetzbuch regelt, wann Leistungserbringer im Sinne des Vierten Kapitels, Kranken- und Pflegekassen und ihre Auftragsverarbeiter Sozial- und Gesundheitsdaten in einem Cloud-Dienst verarbeiten dürfen. Unter anderem verlangt die Vorschrift:

Verarbeitung im Inland, in einem Mitgliedstaat der Europäischen Union, in einem gleichgestellten Staat oder in einem Drittstaat mit Angemessenheitsbeschluss, und eine Niederlassung der datenverarbeitenden Stelle im Inland;
dem Stand der Technik entsprechende Sicherheitsmaßnahmen;
ein aktuelles C5-Testat der datenverarbeitenden Stelle, seit dem 1. Juli 2025 vom Typ 2 (für neu in Verkehr gebrachte Systeme gilt in den ersten 18 Monaten Typ 1).

C5 ist der Kriterienkatalog des Bundesamts für Sicherheit in der Informationstechnik (BSI) für Cloud-Dienste. Ob die Vorschrift für Ihre Praxis gilt, hängt davon ab, ob Sie Leistungserbringer im Sinne des Vierten Kapitels sind, also an der Versorgung der gesetzlichen Krankenversicherung teilnehmen. Ob eine Praxis erfasst ist, die ausschließlich privat abrechnet, ist im Einzelfall zu klären.

Wo Ihre Daten bei My International Therapy liegen

Amazon Web Services, Region Europa (Stockholm)

Die Website von My International Therapy, das Dashboard der Therapeutinnen und Therapeuten und ihre Daten werden bei Amazon Web Services in der Region Europa (Stockholm) in Schweden gehostet, also innerhalb der Europäischen Union. Auf seiner öffentlichen Seite zu HDS gibt AWS an, die HDS-Zertifizierung in Version 2 für die sechs Tätigkeiten zu halten, und führt Stockholm unter den Regionen des Europäischen Wirtschaftsraums auf, die für alle sechs infrage kommen. Für die Tätigkeiten 1, 2 und 6 (physische Standorte, Hardware-Infrastruktur, ausgelagerte Datensicherung) verlangt der Referenzrahmen laut AWS eine Speicherung ausschließlich in diesem Raum. Auf seiner öffentlichen C5-Seite nennt AWS außerdem Stockholm unter den Regionen im Geltungsbereich des C5. Welche Dienste und welcher Testat-Typ gelten, erfragen Sie beim Anbieter. Das Impressum der Website nennt die Vertragspartei des Hosters.

Was das Hosting umfasst

Die Datenbank und die Datenträger sind im Ruhezustand verschlüsselt, und die Datenbank ist nicht öffentlich erreichbar.
Die Website und das Dashboard werden über HTTPS ausgeliefert.
Automatische Sicherungen entstehen jede Nacht und werden sieben Tage aufbewahrt.
Administrationsvorgänge im Hosting-Konto werden protokolliert.
Therapeutinnen und Therapeuten melden sich mit einem Passwort an und können optional einen Sicherheitsschlüssel (WebAuthn) hinzufügen.

Was das Dashboard leistet

Das Dashboard umfasst das öffentliche Profil der Therapeutin oder des Therapeuten, den Kalender mit den Verfügbarkeiten, die Online-Buchung durch die Patientin oder den Patienten, Videositzungen mit einem signierten Sitzungslink ohne Aufzeichnung, eine Akte je Patient mit privaten Notizen, die Patientinnen und Patienten nie sehen, eine Nachrichtenfunktion sowie Zahlungen und Rechnungen. Patientinnen und Patienten haben einen eigenen Bereich, um zu buchen, ihre Termine zu verfolgen und mit ihrer Therapeutin oder ihrem Therapeuten zu schreiben. Um die Plattform kennenzulernen, besuchen Sie das Therapeutenverzeichnis oder machen Sie als Therapeutin oder Therapeut mit.

Was diese Seite nicht aussagt

Die HDS-Zertifizierung betrifft den Hosting-Anbieter. My International Therapy wird nicht als „HDS-zertifiziert“ dargestellt.
Diese Seite behauptet nicht, dass das Hosting die Anforderungen des § 393 SGB V für Ihre Praxis erfüllt. Das hängt vom Einzelfall ab.
Einige ergänzende Dienste, etwa Videositzungen, Online-Zahlung oder Benachrichtigungs-E-Mails, laufen über andere Anbieter. Sie sind von der Zertifizierung des Hosters nicht erfasst, und diese Seite beschreibt nicht, wo sie gehostet werden.
Das Hosting steht in Schweden, nicht in Frankreich, und AWS gehört zu einem US-Konzern. Laut der öffentlichen Seite von AWS verschärft Version 2 des Referenzrahmens die Transparenzanforderungen zu Unterauftragnehmern und zur möglichen Exposition gegenüber nichteuropäischer Gesetzgebung.

So prüfen Sie einen Hosting-Anbieter

Ob Sie sich für My International Therapy oder ein anderes Werkzeug entscheiden: Die Prüfung dauert nur wenige Minuten.

Fragen Sie nach dem genauen Namen des Hosters, der Vertragspartei und dem Ort, an dem die Daten gespeichert werden.
Lassen Sie sich einen Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO geben und fragen Sie nach der Liste der Unterauftragsverarbeiter.
Prüfen Sie, ob der Vertrag eine Verpflichtung zur Geheimhaltung nach § 203 StGB enthält.
Fragen Sie nach einem aktuellen C5-Testat (Typ, Geltungsbereich, Datum), falls § 393 SGB V für Ihre Praxis gilt.
Falls der Anbieter mit HDS wirbt: Suchen Sie die genannte Gesellschaft in der öffentlichen Liste zertifizierter Hoster der ANS. Prüfen Sie Referenzrahmen-Version (Version 2.0), abgedeckte Tätigkeiten und Zertifizierungsstelle. Steht der Name aus Ihrem Vertrag dort nicht, fragen Sie nach, welche Gesellschaft der Gruppe zertifiziert ist.
Ein Hinweis wie „HDS-konform“ auf einer Software sagt nur etwas aus, wenn der Hoster oder der Anbieter in der Liste der ANS steht.

Häufige Fragen

Was ist die HDS-Zertifizierung?

Es ist das Konformitätszertifikat, das in Frankreich jeder Hoster braucht, der personenbezogene Gesundheitsdaten aus Prävention, Diagnose, Behandlung oder sozialer und medizinisch-sozialer Begleitung digital hostet (Artikel L.1111-8 des französischen Gesundheitsgesetzbuchs). Es wird von einer akkreditierten Zertifizierungsstelle auf Grundlage eines per Erlass genehmigten Referenzrahmens ausgestellt.

Brauche ich als Psychotherapeutin oder Psychotherapeut in Deutschland einen HDS-zertifizierten Hoster?

HDS ist französisches Recht. Das deutsche Recht kennt keine entsprechende Pflicht. Für Ihre Praxis gelten die DSGVO, die Schweigepflicht nach § 203 StGB und, je nach Praxis, § 393 SGB V. Wer Patientinnen und Patienten in Frankreich behandelt oder dort niedergelassen ist, klärt die Lage zusätzlich mit der ANS, der CNIL oder einer Rechtsberatung.

Was bedeutet das C5-Testat nach § 393 SGB V?

C5 ist der Kriterienkatalog des Bundesamts für Sicherheit in der Informationstechnik für Cloud-Dienste. Nach § 393 SGB V brauchen Leistungserbringer im Sinne des Vierten Kapitels, die Sozial- und Gesundheitsdaten in einem Cloud-Dienst verarbeiten, ein aktuelles C5-Testat der datenverarbeitenden Stelle, seit dem 1. Juli 2025 vom Typ 2. Ob die Vorschrift für Ihre Praxis gilt, klären Sie im Einzelfall.

Wo werden die Daten von My International Therapy gehostet?

Bei Amazon Web Services in der Region Europa (Stockholm) in Schweden. AWS gibt auf seiner öffentlichen Seite an, die HDS-Zertifizierung in Version 2 für die sechs Tätigkeiten zu halten, wobei Stockholm zu den infrage kommenden Regionen zählt.

Ist My International Therapy HDS-zertifiziert?

Die HDS-Zertifizierung betrifft den Hoster Amazon Web Services, nicht My International Therapy. Die Plattform nutzt dieses Hosting und stellt sich nicht als HDS-zertifiziert dar.

Wie prüfe ich einen Hosting-Anbieter für Gesundheitsdaten?

Fragen Sie nach dem genauen Namen des Hosters und dem Speicherort, lassen Sie sich einen Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO geben, prüfen Sie die Geheimhaltungsverpflichtung nach § 203 StGB und fragen Sie, falls nötig, nach einem aktuellen C5-Testat. Wirbt der Anbieter mit HDS, suchen Sie ihn in der öffentlichen Liste der ANS.

Ersetzt die HDS-Zertifizierung die DSGVO?

Nein. HDS betrifft den Hoster. Die DSGVO gilt zusätzlich für die Therapeutin oder den Therapeuten als Verantwortliche: die Ausnahme für die Gesundheitsversorgung nach Artikel 9, der Vertrag zur Auftragsverarbeitung (Artikel 28), die Sicherheitsmaßnahmen (Artikel 32) und das Verzeichnis der Verarbeitungstätigkeiten (Artikel 30).

Gibt es in anderen Ländern eine vergleichbare Zertifizierung?

HDS ist eine französische Besonderheit. In den übrigen Ländern der Europäischen Union gilt die DSGVO mit nationalen Ergänzungen. In Deutschland ist das für den Cloud-Einsatz im Gesundheitswesen unter anderem § 393 SGB V mit dem C5-Testat.

Offizielle Quellen

Für Therapeutinnen und Therapeuten

Sie sind Therapeutin oder Therapeut und möchten die Plattform näher kennenlernen? Besuchen Sie das Therapeutenverzeichnis oder machen Sie bei My International Therapy mit.

Gesundheitsdaten-Hosting für Psychotherapeuten und Psychologen: HDS, DSGVO und C5