(1) Der Verantwortliche darf die Verarbeitung von personenbezogenen Daten von Patientinnen und Patienten einem Auftragnehmer übertragen, wenn

1. 1.

   Störungen im Betriebsablauf sonst nicht vermieden werden können,

2. 2.

   die Datenverarbeitung dadurch erheblich kostengünstiger gestaltet werden kann oder

3. 3.

   das Krankenhaus seinen Betrieb einstellt.

Dem Auftragnehmer dürfen Patientendaten nur insoweit offenbart werden, als dies für die Auftragserfüllung erforderlich ist.

(2) Eine über drei Monate hinausgehende Speicherung von Patientendaten durch einen Auftragnehmer ist außerhalb des Krankenhauses nur zulässig, wenn die Patientendaten auf getrennten Datenträgern gespeichert sind, die der Auftragnehmer für den Krankenhausträger verwahrt.

(3) Soweit die Auftragsverarbeitung nicht auf eine ausdrückliche Einwilligung der Patientinnen und Patienten gestützt werden kann, ist die Verarbeitung im Auftrag nur durch Personen zulässig, die einem Berufsgeheimnis nach § 203 Absatz 1 und 2 des Strafgesetzbuches unterliegen oder nach § 203 Absatz 4 des Strafgesetzbuches zur Verschwiegenheit verpflichtet sind.

(4) Übernimmt ein Auftragnehmer nach einer Betriebseinstellung eines Krankenhauses den gesamten Bestand der Patientendaten, gelten für ihn als verantwortliche Stelle hinsichtlich der Verarbeitung dieser Daten die Vorschriften dieses Abschnitts. Bei der Übernahme ist vertraglich sicherzustellen, dass die Patientinnen und Patienten für die Dauer von zehn Jahren nach Abschluss der Behandlung oder Untersuchung auf Verlangen in gleicher Weise wie bisher beim Krankenhaus Auskunft und Einsicht erhalten.

(5) Eine Auftragsverarbeitung außerhalb des Geltungsbereichs des Grundgesetzes ist nur zulässig, wenn die Patientin oder der Patient in die Auftragsverarbeitung im Ausland ausdrücklich eingewilligt hat oder der Auftragsverarbeiter nach dem Recht seines Sitzlandes selbst einer gesetzlichen Geheimhaltungspflicht unterliegt.