(1) Patientendaten sind in dem Krankenhaus selbst oder im Auftrag des Krankenhauses durch ein anderes Krankenhaus zu verarbeiten.

(2) Patientendaten dürfen im Auftrag des Krankenhauses durch ein Rechenzentrum automatisiert verarbeitet werden, wenn

1. 1.
   die für Auftraggeber und Auftragnehmer zuständige Datenschutzaufsichtsbehörde hiervon benachrichtigt wird,
2. 2.
   der Auftragnehmer seinen Mitarbeitern, soweit ihnen aus zwingenden Gründen eine Zugriffsberechtigung auf Patientendaten eingeräumt wird, eine § 203 StGB entsprechende Schweigepflicht auferlegt und
3. 3.
   die nach dem Bundesdatenschutzgesetz oder dem Landesdatenschutzgesetz für die Verarbeitung von personenbezogenen Daten im Auftrag erforderlichen technischen und organisatorischen Maßnahmen schriftlich festgelegt werden; § 3a des Landesverwaltungsverfahrensgesetzes findet keine Anwendung.

(3) Patientendaten befinden sich im ausschließlichen Gewahrsam des Krankenhauses, in dessen Auftrag sie verarbeitet werden.