Am 09.07.2025 erklärte die AMEOS Gruppe in einer Pressemitteilung lapidar: „Netzwerkstörung bei AMEOS – Eine zentrale, selbst vorgenommene Abschaltung der Netzwerke hat zu Einschränkungen bei der Verfügbarkeit digitaler Dienste in den AMEOS Einrichtungen in Deutschland geführt. Die AMEOS IT identifizierte am Montagabend einen Angriff und schaltete vorsorglich alle digitalen Systeme ab. Seitdem arbeiten die Experten der IT-Services mit höchster Priorität an der Wiederinbetriebnahme…“ Was sich so harmlos liest, hatte offensichtlich tiefgehende Auswirkungen. Nicht nur in der Versorgung von Patient*innen und Pflegeheim-Bewohner*innen sondern auch im Bezug auf deren Gesundheits- und Behandlungsdaten. Mit hoher Wahrscheinlichkeit gelang es den Betreiber*innen des Hackerangriff, auf diese Daten in großem Umfang Zugriff zu erhalten.

In der DSGVO findet sich für solche Fälle eine eindeutige Handlungsorientierung: In § 34 Abs. 1 und 2 DSGVO ist geregelt: „(1) Hat die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge, so benachrichtigt der Verantwortliche die betroffene Person unverzüglich von der Verletzung. (2) Die in Absatz 1 genannte Benachrichtigung der betroffenen Person beschreibt in klarer und einfacher Sprache die Art der Verletzung des Schutzes personenbezogener Daten und enthält zumindest die in Artikel 33 Absatz 3 Buchstaben b, c und d genannten Informationen und Maßnahmen.“

Und in Art. 33 Abs. 3 DSGVO wird festgelegt: „Die Meldung… enthält zumindest folgende Informationen: a) eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze; b) …; c) eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten; d) …“

Und wie hat der Ameos-Klinikkonzern verhalten?

Der MDR berichtet am 31.08.2025: „Ameos hat nach dem Hackerangriff wohl auch sensible Patientendaten verloren. Doch statt die Opfer zu informieren, fordert der Konzern Patienten auf, sich selbst zu melden – ein Vorgehen, das nach Einschätzung von Datenschützern gegen die DSGVO verstößt.“

Diese Nachricht wurde beim Blick auf die Homepage des Ameos-Klinikkonzern bestätigt: Ein eindeutig DSGVO-widriges Verfahren!

Quelle: Screenshot der Ameos-Homepage (Hinweis: Dieses Rückmeldeformular wurde zwischenzeitlich gelöscht)