Frankreich: HDS-Zertifizierung für Gesundheitsdaten

Wer braucht eine HDS-Zertifizierung?

Art. L1111-8 des Code de la santé publique gilt für jeden, der personenbezogene Gesundheitsdaten für andere hostet: für die Ärztin, die Klinik, das Pflegeheim oder die Patientin selbst. Erfasst sind Daten, die bei Prävention, Diagnose, Behandlung oder sozialer und medizinisch-sozialer Betreuung entstehen. Wer sie digital hostet, braucht ein Konformitätszertifikat, das HDS-Zertifikat. Das Hosting braucht außerdem einen Vertrag.

Die Zertifizierung gilt je Tätigkeit. Art. R1111-9 nennt sechs:

Nr.	Tätigkeit	Beispiel
1	Bereitstellung und Betrieb physischer Standorte	Rechenzentrum
2	Bereitstellung und Betrieb der Hardware	Server, Speicher
3	Bereitstellung und Betrieb der virtuellen Infrastruktur	virtuelle Server, Container
4	Bereitstellung und Betrieb der Plattform für Anwendungen	Software-Schicht, auf der die Anwendung läuft
5	Administration und Betrieb des Informationssystems mit den Gesundheitsdaten	Betrieb aus der Ferne, Updates, Störungen
6	Externe Sicherung der Gesundheitsdaten	Backup in einem anderen Rechenzentrum

Was hat sich mit dem Referenzrahmen von 2024 geändert?

Der neue Referenzrahmen wurde mit Arrêté vom 26. April 2024 festgelegt und am 16. Mai 2024 im Journal officiel veröffentlicht. Neue Anbieter werden seit dem 16. November 2024 danach geprüft, bereits zertifizierte Anbieter mussten bis zum 16. Mai 2026 umstellen. Die wichtigsten Punkte:

• Daten im EWR: Gesundheitsdaten werden ausschließlich im Europäischen Wirtschaftsraum gehostet.
• Offenlegung gegenüber Kunden: Ist ein Zugriff aus einem Staat außerhalb der EU möglich oder unterliegt der Hoster Gesetzen eines solchen Staates, nennt der Vertrag Risiken und Gegenmaßnahmen.
• Offenlegung gegenüber der Öffentlichkeit: Der Hoster veröffentlicht eine Übersicht der Übermittlungen in Staaten außerhalb des EWR.

Die HDS-Zertifizierung schützt weniger weit gegen Zugriffe von außerhalb der EU als SecNumCloud. SecNumCloud →

Was heißt das für KI mit Gesundheitsdaten?

Jede KI, die in der Cloud eines Anbieters läuft und Gesundheitsdaten verarbeitet, hostet diese Daten zumindest kurzzeitig: Dokumente, Chatverläufe, Suchindex. Der Anbieter braucht deshalb das HDS-Zertifikat für die Tätigkeiten, die er übernimmt, ebenso jeder Unterauftragsverarbeiter, etwa das Rechenzentrum.

Läuft die KI auf einem Server in Ihrem Haus und betreibt Ihre IT ihn, hosten Sie selbst. Die Datenschutzbehörde CNIL bevorzugt diesen Weg ohnehin in der Regel, wenn personenbezogene oder vertrauliche Daten im Spiel sind. Übernimmt ein Dienstleister den Betrieb aus der Ferne, kann Tätigkeit 5 greifen.

Frage an den Anbieter	Warum
Für welche Tätigkeiten 1 bis 6 sind Sie zertifiziert, gültig bis wann?	Das Zertifikat muss zu dem passen, was der Anbieter tut
Welche Unterauftragsverarbeiter hosten Daten, und sind sie zertifiziert?	Die Kette muss lückenlos sein
Wo liegen Daten und Sicherungen?	Nur im EWR zulässig
Kann ein Staat außerhalb der EU zugreifen?	muss im Vertrag stehen

Wie geht das mit basebox?

basebox hat noch keine HDS-Zertifizierung; sie ist geplant. Bis dahin bietet basebox in Frankreich nur den Server an, den die IT Ihres Hauses selbst betreibt. Die Cloud gibt es in Frankreich nicht, ebenso wenig den Betrieb des Servers durch basebox oder einen Server im Rechenzentrum von basebox: Ein Betrieb aus der Ferne mit Zugriff auf Gesundheitsdaten wäre Tätigkeit 5 nach Art. R1111-9 (Administration und Betrieb), und dafür braucht es das Zertifikat.

Unser Hardware-Partner FAST LTA liefert den Server nach Frankreich, er steht dann in Ihrem Haus. Der Server läuft auf Wunsch ohne Internetverbindung, mit KI-Modell, Dokumenten, Apps, Rechten und Protokoll; basebox hat keinen Zugriff auf Ihre Daten. Das Backup liegt bei Ihnen, mit Ihren Werkzeugen.

Oberfläche und Support gibt es auf Deutsch und Englisch, nicht auf Französisch. Der Server →

Keine Rechtsberatung: Die Abgrenzung, wann eine Tätigkeit Hosting im Sinn von Art. L1111-8 ist, hängt vom Einzelfall ab; die Agence du numérique en santé beantwortet dazu Fragen. Stand der Recherche: 11. Oktober 2026.