(1) Patientendaten sind grundsätzlich im Krankenhaus zu verarbeiten. Eine Verarbeitung im Auftrag ist nur zulässig, wenn die Beachtung der Datenschutzbestimmungen dieses Gesetzes bei der verarbeitenden Stelle sichergestellt ist und diese sich insoweit der Kontrolle des Landesbeauftragten für den Datenschutz unterwirft.

(2) Patientendaten aus dem ärztlichen Bereich sind in jedem Fall auf physisch getrennten Dateien zu verarbeiten und dürfen nur im Rahmen der Weisungen des Krankenhauses verarbeitet werden.