Klinik- und Praxis-IT ausmustern: Patientendaten, § 203 StGB und Restwert

Zum 31. Dezember 2026 endet die Umsetzungsfrist für die geförderten Vorhaben aus dem Krankenhauszukunftsgesetz. In vielen Häusern heißt das: Patientenportale gehen in Betrieb, die Dokumentation wird digital – und die dafür beschaffte Hardware verdrängt eine ganze Generation von Rechnern, Monitoren, Tablets und Diensthandys, die bis gestern in Ambulanz, Sekretariat und auf Station gearbeitet hat. Parallel tauschen Praxen, MVZ und Pflegeeinrichtungen ihre Arbeitsplätze, weil Windows 10 keine Sicherheitsupdates mehr erhält.

Damit stehen Einrichtungen des Gesundheitswesens vor einer Aufgabe, die es in dieser Schärfe in keiner anderen Branche gibt: Auf den ausgemusterten Geräten liegen nicht nur personenbezogene Daten, sondern Gesundheitsdaten. Deren Schutz ist nicht allein eine Frage der DSGVO, sondern zusätzlich strafbewehrt. Wer die Altgeräte trotzdem nur „abholen lässt“, verliert zweimal: den Restwert und die Kontrolle über den Nachweis. Dieser Beitrag ordnet die Praxis ein – er ersetzt keine Rechtsberatung im Einzelfall.

Warum jetzt so viele Klinik- und Praxisgeräte gleichzeitig frei werden

Weil zwei Zyklen zusammenfallen und einer davon einen harten Stichtag hat. Der Krankenhauszukunftsfonds stellt bis zu 4,3 Milliarden Euro bereit – 3 Milliarden vom Bund, bis zu 1,3 Milliarden von Ländern und Trägern – verteilt auf elf Fördertatbestände, von denen mindestens 15 Prozent in IT-Sicherheit fließen müssen. Die geförderten Maßnahmen müssen zum Jahresende 2026 umgesetzt und nachgewiesen sein, sonst drohen Rückforderungen. Das erzeugt keine gleichmäßige Erneuerung, sondern eine Welle mit Datum.

Dazu kommt der regulatorische Dauerdruck. § 75c SGB V verpflichtet seit dem 1. Januar 2022 alle Krankenhäuser, angemessene organisatorische und technische Vorkehrungen nach dem Stand der Technik zu treffen – nicht nur die KRITIS-Häuser, die ab 30.000 vollstationären Fällen im Jahr unter die BSI-Kritisverordnung fallen. Ausgemusterte Geräte, die im Nebenraum des Serverraums lagern, sind dabei der klassische blinde Fleck: Sie stehen im Asset-Verzeichnis, aber niemand kann verbindlich sagen, wo sie sind und was auf ihnen liegt.

Der wirtschaftliche Teil der Rechnung wird dabei gern übersehen: Geräte verlieren am schnellsten an Wert, solange sie ungenutzt liegen. Der Markt bewertet die Modellgeneration, nicht die Lagerzeit – was im Frühjahr ein gefragtes Business-Notebook war, ist zwei Quartale später eine Preisklasse tiefer.

Welche Geräte dürfen Sie verwerten – und welche gehören nicht in den Ankauf?

Die saubere Trennlinie verläuft zwischen Verwaltungs- und Büro-IT auf der einen Seite und Medizinprodukten samt Zubehör auf der anderen. Notebooks, Desktops, Monitore und Dockingstationen, Tablets, Diensthandys, Netzwerktechnik und Verwaltungsserver sind normale IT-Hardware. Sie lassen sich löschen, bewerten und wiedervermarkten wie in jedem anderen Unternehmen auch.

Anders liegt der Fall, sobald ein Gerät selbst Medizinprodukt oder Zubehör eines Medizinprodukts ist: die Workstation, die fest zu einem Ultraschall- oder Monitoring-System gehört, der für die Befundung zugelassene Monitor, das Tablet in einer zulassungsgebundenen Anwendung. Hier greift die EU-Medizinprodukteverordnung. Nach Artikel 16 MDR übernimmt die Pflichten des Herstellers, wer ein bereits in Verkehr befindliches Produkt unter eigenem Namen bereitstellt, dessen Zweckbestimmung ändert oder es so verändert, dass die Konformität betroffen sein kann; für die Aufbereitung gelten zusätzlich die Vorgaben der Medizinprodukte-Betreiberverordnung.

Für den Ausmusterungsprozess folgt daraus eine einfache Regel: Medizinprodukte laufen über den Medizintechnik-Kanal, Büro- und Verwaltungs-IT über den IT-Verwertungskanal. Ein Anbieter, der Ihnen beides ungefragt „aus einer Hand“ zusagt, hat die Frage nicht verstanden – und ein Anbieter, der bei einem Gerät nachfragt, wozu es gehört, hat sie verstanden.

Was § 203 StGB für Ihren IT-Verwerter bedeutet

Er wird zur „mitwirkenden Person“ – und muss ausdrücklich zur Geheimhaltung verpflichtet werden, sonst trifft das Strafrecht auch die ärztliche Leitung. § 203 StGB stellt die unbefugte Offenbarung fremder Geheimnisse durch Ärztinnen, Ärzte und weitere Berufsgeheimnisträger unter Strafe: Freiheitsstrafe bis zu einem Jahr oder Geldstrafe.

Seit der Neufassung von 2017 erlaubt Absatz 3 ausdrücklich, Geheimnisse gegenüber sonstigen Personen zu offenbaren, die an der beruflichen Tätigkeit mitwirken – soweit das für deren Inanspruchnahme erforderlich ist. Der externe Dienstleister, der Rechner abbaut, transportiert und Datenträger löscht, ist genau das. Absatz 4 zieht die Konsequenz in beide Richtungen: Die mitwirkende Person macht sich strafbar, wenn sie Geheimnisse offenbart – und der Berufsgeheimnisträger macht sich strafbar, wenn er nicht dafür Sorge trägt, dass die mitwirkende Person zur Geheimhaltung verpflichtet wird. Die Verpflichtung ist damit keine Formalie, sondern eine eigene Pflicht der Einrichtung.

Praktisch heißt das: Der Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO ist notwendig, aber nicht hinreichend. Er regelt das Datenschutzrecht – Gesundheitsdaten sind besondere Kategorien nach Artikel 9 DSGVO und verlangen entsprechend strenge technische und organisatorische Maßnahmen. Die strafrechtliche Verpflichtung nach § 203 StGB ist ein zweites, eigenständiges Dokument, und sie muss auch die Subunternehmer erfassen, die der Dienstleister einsetzt: Spediteure, Subunternehmer im Löschwerk, Techniker vor Ort.

Der Moment, der dabei am häufigsten unterschätzt wird, liegt zwischen den Stationen: Zwischen Abbau im Haus und Löschung im Werk liegt ein Transport – und in dieser Zeit sind die Daten noch auf den Geräten. Wie diese Übergabe dokumentiert wird, entscheidet darüber, ob die Kette lückenlos ist oder nur so aussieht.

Löschen oder aufbewahren? Der Zielkonflikt, den nur die Einrichtung auflösen kann

Bevor gelöscht wird, muss feststehen, dass die Daten anderswo vollständig vorliegen. Aufbewahrungspflicht und Löschpflicht zeigen in entgegengesetzte Richtungen, und diesen Konflikt kann kein Dienstleister für Sie entscheiden. § 630f Absatz 3 BGB verlangt, die Patientenakte grundsätzlich zehn Jahre nach Abschluss der Behandlung aufzubewahren, soweit nicht andere Vorschriften längere Fristen vorsehen – und die gibt es: Im Strahlenschutzrecht reichen die Fristen für bestimmte Aufzeichnungen bis zu 30 Jahre.

Ein Altgerät zu löschen, auf dem als einzige Kopie Befunde, Bilddaten oder eine lokale Praxisdokumentation liegen, ist deshalb kein Datenschutzerfolg, sondern ein Dokumentationsverlust – mit Folgen, die erst Jahre später sichtbar werden, wenn die Akte gebraucht wird. Besonders betroffen sind Einzelplatzrechner in Funktionsbereichen, übernommene Praxisrechner aus Nachfolgen und Notebooks, auf denen jahrelang lokal gearbeitet wurde.

Bewährt hat sich diese Reihenfolge: erst feststellen, was auf dem Gerät liegt; dann migrieren beziehungsweise nachweisen, dass die Daten im führenden System vollständig sind; dann eine benannte Person die Freigabe zur Löschung erteilen lassen; und erst danach das Gerät in die Verwertung geben. Für den Löschvorgang selbst gilt, was auch außerhalb des Gesundheitswesens gilt: ein anerkanntes Verfahren, ein Protokoll je Datenträger mit Seriennummer – und physische Zerstörung nur dort, wo ein Datenträger defekt oder nicht sicher löschbar ist. Jede geschredderte funktionsfähige SSD ist vernichteter Restwert.

Welche Nachweise am Ende in der Akte liegen müssen

Die Frage, an der sich ein Verwertungsprojekt im Nachhinein messen lassen muss, lautet nicht „Sind die Geräte weg?“, sondern „Können wir jederzeit belegen, was mit jedem einzelnen Gerät passiert ist?“. Diese Unterlagen gehören dazu:

• Verpflichtung zur Geheimhaltung nach § 203 StGB für den Dienstleister und seine eingesetzten Subunternehmer
• Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO mit Subunternehmerregelung und beschriebenen technischen und organisatorischen Maßnahmen
• Übergabeprotokoll mit Seriennummern, Datum, Fahrzeug und unterschreibender Person – auf beiden Seiten
• Löschprotokoll je Datenträger mit Seriennummer, Verfahren, Ergebnis und Prüfer
• Nachweis über den Verbleib nicht mehr verwertbarer Geräte über einen zertifizierten Entsorgungsfachbetrieb
• Gutschrift oder Abrechnung als Beleg der Wertrückgewinnung für Buchhaltung und Träger

Diese Sammlung ist nicht nur für die Datenschutzbeauftragte relevant. Für KRITIS-pflichtige Häuser gehört der geregelte Abgang von Assets zum Nachweis der Maßnahmen gegenüber dem BSI, und wer den Stand der Technik nach § 75c SGB V belegen soll, kommt ohne einen dokumentierten Ausmusterungsprozess nicht aus. Kommunale und kirchliche Träger brauchen zusätzlich einen sauberen Beleg über die Verwertung des Vermögensgegenstands – ein Punkt, der bei öffentlichen Einrichtungen regelmäßig die Prüfung bestimmt. Wenn Sie die Belege zusätzlich für die Nachhaltigkeitsberichterstattung brauchen, sollten Sie das vor der Abholung sagen, nicht danach.

Was die Geräte wirklich noch wert sind

Deutlich mehr als der Begriff „Elektroschrott“ nahelegt. Geschäftsgeräte aus Kliniken und Praxen sind häufig in gutem Zustand: Sie stehen in gepflegten Räumen, werden zentral betreut und selten bewegt. Preisbestimmend sind Modellgeneration, Prozessor, Arbeitsspeicher, Displayzustand und Vollständigkeit; die Bewertung erfolgt über definierte Zustandsklassen, nicht über einen pauschalen Blick auf die Palette.

Der größte Werthebel ist jedoch die Zeit: Jeder Monat zwischen Außerbetriebnahme und Bewertung kostet Marktwert. Wer die Geräte nach dem Rollout einlagert, weil „erst einmal alles laufen muss“, bezahlt diese Wartezeit mit dem Restwert.

Und der Punkt, der in Ausschreibungen am häufigsten untergeht: Ein Verwertungserlös verwandelt eine Kostenposition in einen Ertrag. Wer ausgemusterte IT entsorgen lässt, bezahlt dafür, einen Vermögenswert zu vernichten. Genau deshalb halten wir es für falsch, Recycling als erste Antwort zu behandeln: Werterhalt kommt vor Wertvernichtung, und Recycling ist der letzte Schritt, nicht der erste.

Wie ein sauberer Ablauf in Klinik und Praxis aussieht

In der Praxis hat sich dieser Ablauf bewährt – er funktioniert für 40 Geräte aus einer Gemeinschaftspraxis genauso wie für 800 aus einem Klinikverbund:

1. Inventur: Geräteliste mit Typ, Baujahr, Seriennummer und Standort – auch für die Geräte, die bereits im Lager stehen.
2. Trennen: Medizinprodukte und deren Zubehör aus der Liste herauslösen und getrennt behandeln.
3. Daten klären: pro Gerät entscheiden, ob Daten migriert werden müssen, und die Löschfreigabe schriftlich erteilen.
4. Vertragliche Grundlage: AVV und Verpflichtung nach § 203 StGB unterschrieben – vor der Abholung, nicht danach.
5. Bewertung: verbindliches Angebot auf Basis der Liste, mit klarer Aussage, was bei abweichendem Zustand passiert.
6. Abholung: versiegelte Transporteinheiten, Übergabeprotokoll mit Seriennummern, beidseitig unterschrieben.
7. Abschluss: Löschprotokolle, Verbleibsnachweise und Gutschrift – gesammelt in einer Akte, die eine Prüfung übersteht.

An Schritt fünf trennt sich der Standardprozess vom Einzelfall. Ein Massenportal nimmt Listen entgegen und rechnet nach Schema; ein Haus mit gemischten Geräten aus vier Baujahren, zwei Standorten und einem Stichtag im Dezember braucht eine verbindliche Zusage, an der sich die Projektplanung ausrichten kann – und einen Ansprechpartner, der sagt, was geht und was nicht. Genau daran entscheidet sich, ob ein Verwertungspartner trägt. Vertrauen schlägt Marketing: Eine Zusage, die hält, ist mehr wert als ein Onlinepreis, der nach der Anlieferung noch einmal „nachbewertet“ wird.

Sie planen den Austausch für 2026 und wollen wissen, was Ihre Geräte wert sind? Schicken Sie uns Ihre Geräteliste – Sie bekommen eine Einschätzung mit klaren Bedingungen, nicht nur eine Preisspanne.

Passend dazu

• Zertifizierte Datenlöschung oder Schreddern: Was wann richtig ist
• Auftragsverarbeitungsvertrag bei der IT-Verwertung: Was hineingehört
• Ausgemusterte IT in Behörden und Kommunen verwerten
• IT-Hardware nachhaltig verwerten – gemeinsam mit BKN

Häufige Fragen zur Ausmusterung von Klinik- und Praxis-IT

Dürfen wir ausgemusterte Klinik-Notebooks überhaupt verkaufen, wenn darauf Patientendaten waren?

Ja. Entscheidend ist nicht, ob Gesundheitsdaten auf dem Gerät waren, sondern ob sie nachweislich und vollständig entfernt wurden, bevor das Gerät weitergegeben wird – und ob die Kette bis dahin lückenlos dokumentiert ist. Dazu gehören die Freigabe zur Löschung durch eine benannte Person, ein seriennummerngenaues Löschprotokoll und eine gesicherte Übergabe. Nicht sicher löschbare oder defekte Datenträger werden physisch zerstört und nicht wiedervermarktet.

Reicht ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO für den IT-Verwerter aus?

Nein, im Gesundheitswesen in der Regel nicht. Der AVV regelt das Datenschutzrecht. Daneben verlangt § 203 StGB, dass die mitwirkende Person ausdrücklich zur Geheimhaltung verpflichtet wird – und dass der Berufsgeheimnisträger dafür Sorge trägt. Unterbleibt das, kann auch die ärztliche Seite strafrechtlich belangt werden. Beides sollte vor der ersten Abholung unterschrieben vorliegen, einschließlich der eingesetzten Subunternehmer.

Was ist mit Rechnern, die fest zu einem Medizinprodukt gehören?

Die gehören nicht in den regulären IT-Ankauf. Ist ein Gerät Medizinprodukt oder Zubehör eines Medizinprodukts, greifen die Medizinprodukteverordnung und die Betreiberverordnung; nach Artikel 16 MDR kann derjenige in die Herstellerpflichten rutschen, der ein solches Produkt verändert, unter eigenem Namen bereitstellt oder seine Zweckbestimmung ändert. Diese Geräte laufen über den Medizintechnik-Kanal; die Verwaltungs- und Büro-IT läuft getrennt davon.

Muss die Löschung im Haus stattfinden oder darf sie beim Dienstleister erfolgen?

Beides ist möglich, die Anforderungen unterscheiden sich aber. Löschung vor Ort verkürzt die Kette und ist bei besonders sensiblen Beständen die ruhigere Variante, kostet aber Zeit im Haus. Löschung beim Dienstleister ist effizienter, verlangt dafür versiegelte Einheiten, ein Übergabeprotokoll mit Seriennummern und die vertragliche Absicherung für die Zeit dazwischen. Was nicht funktioniert, ist die Mischung ohne Protokoll.

Lohnt sich der Aufwand auch bei kleinen Mengen, etwa in einer Einzelpraxis?

Ja, allerdings verschiebt sich die Begründung. Bei zehn bis fünfzehn Geräten steht nicht der Erlös im Vordergrund, sondern die Nachweisfähigkeit: Auch eine Einzelpraxis muss belegen können, was mit dem alten Anmeldungsrechner passiert ist. Der Erlös deckt dabei häufig die Abwicklung – womit die datenschutzkonforme Lösung weniger kostet als die Entsorgung.