„Wir wollen einen konformen Gastgeber.“ Dieser Satz kommt in fast allen Ausschreibungen vor. Das Problem: konsistent mit was? Der Verkäufer antwortet oft mit einem Cocktail aus Akronymen – DSGVO, HDS, SecNumCloud, ISO 27001 – als wären sie austauschbar. Das sind sie nicht.
Dieser Leitfaden dient der Entscheidungsfindung vor dem Vergleich der Blätter. Für jedes Projekt ist nur eine Frage von Bedeutung: Welche tatsächliche Verpflichtung lastet auf Ihren Daten und welches Beweisniveau sollten Sie vom Dienstleister verlangen?
Alle drei Schichten in einer Minute
| Repository | Was es abdeckt | Wer braucht es wirklich |
|---|---|---|
| DSGVO | Persönliche Daten in Europa | Fast jeder |
| HDS | Persönliche Gesundheitsdaten (Frankreich) | Redakteure für Gesundheits-, Medizin- und Sozialwesen, Patientenakten |
| SecNumCloud | Wolke des Vertrauens angesichts extraterritorialer Gesetze | Staat, OIV, sehr sensible Anklagepunkte |
Die DSGVO ist die Grundlage. Es „zertifiziert“ einen Gastgeber nicht, sondern schreibt Regeln für die Verarbeitung, Untervergabe und Dokumentation vor. Ein guter europäischer Gastgeber muss in der Lage sein, einen klaren Unterauftragsvertrag, Datenlokalisierung und eine Antwort auf die Rechte der Menschen vorzulegen.
Das HDS ist eine französische Branchenzertifizierung. Ohne den korrekten zertifizierten Umfang können Sie personenbezogene Gesundheitsdaten nicht legal hosten. Das Lesen des Ausweises reicht nicht aus: Sie müssen das Zertifikat lesen. Unsere Umfrage Wo werden Ihre Gesundheitsdaten wirklich gespeichert? geht detailliert auf diese Falle ein.
SecNumCloud, bereitgestellt von ANSSI, befasst sich hauptsächlich mit dem Risiko des extraterritorialen Zugriffs (Cloud Act und Äquivalente). Nützlich für bestimmte öffentliche oder strategische Angriffe; Als Ersatz für HDS unbrauchbar und für eine klassische E-Commerce-Seite oft übertrieben.
Fall 1 – Präsentationsseite, Blog, kleiner Laden
Sie sammeln Kundenkonten, Newsletter, Protokolle. Keine medizinischen Unterlagen, keine staatliche Anklage.
Was Sie brauchen: einen Host, der in der Lage ist, die DSGVO täglich einzuhalten – DPA (Subunternehmervertrag), Datenregion, aufgeführte Subunternehmer, Vorfallverfahren. Fordern Sie diese Dokumente bevor Sie unterschreiben, nicht erst nach der Inbetriebnahme an.
Was Sie nicht brauchen: HDS, SecNumCloud. Wenn Sie sie „aus Vorsicht“ bezahlen, wird das Projekt teurer, ohne das tatsächliche Risiko zu verringern, wenn Ihre Präsenz weiterhin die einer klassischen Website bleibt.
Um Ihre Fragen vor der Unterzeichnung zu strukturieren, lesen Sie auch DSGVO: Die richtigen Fragen vor der Unterzeichnung.
Fall 2 – Gesundheitsdaten
Patientenakte, Telekonsultation, angereichertes medizinisches Tagebuch, Gesundheitsdatenlager, Antrag auf Niederlassung: Sobald personenbezogene Gesundheitsdaten gehostet werden, gilt grundsätzlich das HDS-Rahmenwerk.
Was Sie brauchen:
- Ein gültiges HDS-Zertifikat
- Ein Umfang, der Ihren Stack abdeckt (Anwendung, Datenbank, Dateien, Backups, mögliches Outsourcing)
- Explizite Standort- und Unterauftragskette
Was nicht reicht: „Wir sind DSGVO“, „Rechenzentrum in Frankreich“, „ISO 27001“ oder eine SecNumCloud ohne HDS beim richtigen Produkt.
Hier ist die Entscheidung nicht mehr „welcher Host das schönste Abzeichen hat“, sondern „welches zertifizierte Produkt zu meiner Architektur passt“. Vergleichen Sie dann die Spieler im Verzeichnis, indem Sie die Gesundheitskonformität filtern.
Fall 3 – Öffentliche oder sehr sensible Anklage
Gemeinschaft, Betreiber von lebenswichtiger Bedeutung, Anwendung, die dem Risiko extraterritorialer Eingriffe ausgesetzt ist, kritisches Industriegeheimnis: SecNumCloud kann relevant werden – manchmal durch den Rahmen des Projekts erzwungen.
Das ist der richtige Prüfer: Die Qualifikation gilt für den genauen Dienst, die Widerrufbarkeit, den Zugang zu den Administratoren, die Zuständigkeit der Untergebenen. Ein spezieller Leitfaden: SecNumCloud: Für wen bietet diese Qualifikation eine echte Antwort?.
Wenn auch Gesundheitsdaten auf dem Spiel stehen, befreit SecNumCloud nicht von HDS. Die beiden Schichten werden kombiniert.
Das Entscheidungsraster
Bevor Sie einen Preis-Leistungs-Vergleich starten, beantworten Sie diese fünf Fragen schriftlich:
- Welche Daten verarbeiten Sie (persönliche, gesundheitliche, sensible, anonymisierte Daten)?
- Wer ist der Datenverantwortliche und wer ist der Subunternehmer?
- Wo sollen sich Produktion, Backups und Protokolle befinden?
- Ist exterritorialer Zugriff ein echtes Geschäftsrisiko oder eine Marketingangst?
- Benötigen Sie Outsourcing oder nur Infrastruktur?
| Dominante Reaktion | Level to be required |
|---|---|
| „Klassische“ personenbezogene Daten | DSGVO + Vertragsnachweise |
| Gesundheitsdaten | HDS auf dem genauen Umfang |
| Öffentliche Gebühr/kritischer ausländischer Zugang | SecNumCloud (oft + DSGVO) |
| Gesundheit und hohe Souveränität | HDS + SecNumCloud, ohne Beweise zu vermischen |
Wie man ein Angebot liest, ohne sich täuschen zu lassen
Wenn in einem Angebot mehrere Etiketten erwähnt werden, fordern Sie eine Zeile pro Etikett an:
- DSGVO → Unterauftragsvertrag, Liste der Unterauftragnehmer, Standort, Aufbewahrungsfrist für Protokolle
- HDS → Zertifikatsnummer, Datum, technischer Umfang, betroffene Produkte
- SecNumCloud → Repository/Ebene, qualifizierte Dienste, Reversibilitätsbedingungen
Wenn die kommerzielle Verbindung drei in einer Phrase („Wolke hält sich an die Gesundheit“) verschmilzt, fordern Sie die Stücke. Nicht die Folien.
Um europäische Gastgeber anhand dieser Kriterien konkret zu vergleichen, beginnen Sie mit dem Verzeichnis und den Ratgeber. Und wenn Ihr zentrales Thema der tatsächliche Speicherort von Gesundheitsdaten ist, bleibt die Umfrage Gesundheitsdaten & HDS die natürliche Ergänzung zu diesem Leitfaden.
Häufig gestellte Fragen
Benötigt eine Showcase-Site HDS?
Nein, es sei denn, es werden personenbezogene Gesundheitsdaten verarbeitet. Eine Unternehmensseite, ein Blog oder ein traditioneller Shop fällt unter die DSGVO, nicht unter das HDS.
Ersetzt SecNumCloud HDS?
Nein. SecNumCloud zielt hauptsächlich auf den Schutz vor extraterritorialem Zugriff ab. Das HDS bleibt obligatorisch, sobald Sie persönliche Gesundheitsdaten in Frankreich hosten.
Does the GDPR require a French host?
Nein. Es werden Garantien für die Verarbeitung, Untervergabe und Übermittlung festgelegt. Ein gut dokumentierter europäischer Host kann ausreichend sein – vorausgesetzt, dass der Vertrag und die Datenflüsse aufrechterhalten werden.
Wo fange ich an, wenn mein Projekt „etwas heikel“ ist?
Schreiben Sie zunächst auf, welche Daten Sie für wen verarbeiten und wo diese zirkulieren. Wählen Sie erst dann das Repository aus: DSGVO allein, HDS, SecNumCloud oder eine Kombination.
Wenn in einem Zitat das nächste Mal „konform“ steht, fragen Sie: konform mit welchen Standards, in welchem Umfang, mit welchen Nachweisen? Wenn die Antwort ein Slogan ist, handelt es sich noch nicht um ein Angebot.