SOC 2, ISO 27001, C5: Welcher Nachweis zählt für Krankenhaus und Verwaltung?

Was ist SOC 2?

SOC 2 steht für „System and Organization Controls 2“. Den Standard hat der US-Wirtschaftsprüferverband AICPA festgelegt. Ein Wirtschaftsprüfer prüft, ob ein Dienstleister Kontrollen nach den „Trust Services Criteria“ eingerichtet hat: Sicherheit immer, dazu nach Wahl Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz.

• Typ I: Die Kontrollen sind zu einem Stichtag beschrieben und angemessen.
• Typ II: Die Kontrollen haben über einen Zeitraum gewirkt, meist sechs bis zwölf Monate.

Das Ergebnis ist ein Bericht, kein Zertifikat. Er wird meist nur unter Vertraulichkeitsvereinbarung weitergegeben, ein öffentliches Register gibt es nicht. Ein Siegel „SOC 2“ auf einer Website sagt deshalb wenig: Aussagekräftig sind erst der Bericht, sein Zeitraum, die geprüften Kriterien und die Ausnahmen, die der Prüfer festgestellt hat.

Verlangt ein Gesetz in Deutschland oder der EU SOC 2?

Nein. Weder die DSGVO noch NIS2, das BSI-Gesetz oder die KI-Verordnung nennen SOC 2. Eine Zertifizierung nach Art. 42 DSGVO ist SOC 2 ebenfalls nicht.

Für Gesundheitsdaten in der Cloud ist die Lage eindeutig. § 393 SGB V verlangt vom Cloud-Dienst ein aktuelles C5-Testat; seit 1. Juli 2025 ist das ein Testat vom Typ 2. Übergangsweise erkennt die C5-Gleichwertigkeitsverordnung drei andere Nachweise an, jeweils nur mit einem Maßnahmenplan bis zum C5-Testat:

• ISO/IEC 27001
• ISO 27001 auf der Basis von IT-Grundschutz
• Cloud Controls Matrix 4.0

SOC 2 steht nicht in dieser Liste. Ein SOC-2-Bericht allein erfüllt § 393 SGB V also nicht.

Welche Nachweise zählen dann?

Nachweis	Herausgeber	Was es ist	Was geprüft wird	Bedeutung in Deutschland
ISO/IEC 27001	ISO, international	Zertifikat einer akkreditierten Stelle	Managementsystem für Informationssicherheit der Organisation	Üblicher Nachweis; mit Maßnahmenplan Übergang nach § 393 SGB V
BSI C5	Bundesamt für Sicherheit in der Informationstechnik	Testat eines Wirtschaftsprüfers, Typ 1 oder Typ 2	Sicherheit eines Cloud-Dienstes	Von § 393 SGB V für Gesundheitsdaten in der Cloud verlangt
SOC 2	AICPA, USA	Prüfbericht eines Wirtschaftsprüfers, Typ I oder Typ II	Kontrollen eines Dienstleisters	Kein vorgeschriebener Nachweis

Daneben zählen die Verträge: der Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO und, für Berufsgeheimnisträger, eine Vereinbarung nach § 203 StGB. Kein Zertifikat ersetzt sie.

Ist SOC 2 dann wertlos?

Nein. SOC 2 Typ II ist eine ernsthafte Prüfung durch unabhängige Wirtschaftsprüfer, und die Kontrollen überschneiden sich weit mit ISO 27001 und C5. Prüfer verbinden eine C5-Prüfung oft mit einer SOC-2-Prüfung. Ihr Datenschutzbeauftragter kann einen SOC-2-Bericht als einen Beleg für die technischen und organisatorischen Maßnahmen des Anbieters nach Art. 32 DSGVO heranziehen.

Der Bericht beantwortet aber die Fragen nicht, die für Patienten-, Bürger- und Sozialdaten entscheiden:

• Wo werden die Daten verarbeitet? SOC 2 legt keinen Ort fest.
• Gilt der US Cloud Act? Das hängt vom Sitz des Anbieters und seiner Unterauftragsverarbeiter ab, nicht vom Prüfbericht.
• Gibt es AVV und Vereinbarung nach § 203 StGB? Das regeln die Verträge.
• Trainiert der Anbieter mit Ihren Daten? Auch das steht im Vertrag, nicht im Bericht.

Wie prüfen Sie einen Anbieter, der mit SOC 2 wirbt?

1. Fragen Sie nach dem ISO-27001-Zertifikat mit Geltungsbereich und nach dem Stand beim C5-Testat, wenn Gesundheitsdaten in die Cloud gehen.
2. Lassen Sie sich den SOC-2-Bericht selbst zeigen, nicht nur das Siegel: Typ, Zeitraum, geprüfte Kriterien, Ausnahmen.
3. Klären Sie Datenstandort, Unterauftragsverarbeiter und deren Sitz.
4. Prüfen Sie AVV und Vereinbarung nach § 203 StGB.

Mehr Prüffragen stehen in der Checkliste für die Bewertung von KI-Anbietern.

Welche Nachweise hat basebox?

Die basebox GmbH ist nach ISO 27001 zertifiziert. Für die Cloud ist das Testat BSI C5 Typ 1 in Arbeit, danach folgt Typ 2. Beim Server in Ihrem Haus ist C5 nicht nötig, dort gelten Ihre eigenen Vorgaben. AVV und Vereinbarung nach § 203 StGB stehen zum Herunterladen auf Vertrag und Anlagen. Einen SOC-2-Bericht hat basebox nicht. Die Einzelheiten finden Sie auf Sicherheit und in den Antworten für Ihre Sicherheitsprüfung.