(1) Der oder die Verantwortliche nach § 38 Absatz 2 darf die Verarbeitung von Patientendaten einem Auftragsverarbeiter insbesondere übertragen, wenn

1. 1.

   Störungen im Betriebsablauf insbesondere in der Patientenversorgung sonst nicht vermieden werden können, oder

2. 2.

   die Datenverarbeitung dadurch erheblich kostengünstiger gestaltet werden kann, oder

3. 3.

   die Datenverarbeitung vom Krankenhaus nicht oder nur mit einem großen Aufwand geleistet werden könnte, oder

4. 4.

   Patientenakten oder ähnliche Unterlagen in Papierform einzuscannen und zu digitalisieren sind.

(2) Der Auftragsverarbeiter hat die Datenschutzbestimmungen dieses Gesetzes und die nach § 203 Strafgesetzbuch geltende Schweigepflicht einzuhalten. Die Ausgestaltung der Datenverarbeitung durch den Auftragsverarbeiter regelt Artikel 28 der Verordnung (EU) 2016/679.