Auf einen Blick
- Gründung
- Beratungstätigkeit seit 2011, ISDSG seit 2015 integriert
- Konzern
- Sequrio (The Digital Security & Compliance Group, Frankfurt am Main), Beitritt laut Mitteilung vom 30.09.2026
- Standorte
- Dortmund
- Zielgruppen
- Krankenhäuser, Arztpraxen und MVZ, Krankenkassen, öffentliche Verwaltung
- Schwerpunkte
- Externe Datenschutz- und Informationssicherheitsbeauftragte, ISMS, Prüfgemeinschaften, Software GAIMS, Akademie
Datenschutz und Informationssicherheit für Krankenhäuser, Arztpraxen, Krankenkassen und öffentliche Stellen sind das Arbeitsfeld der DATATREE AG aus Dortmund. Ihren Gesundheitsschwerpunkt erhielt die Beratung 2015, als das Institut für Sicherheit und Datenschutz im Gesundheitswesen (ISDSG) mit seinen Fortbildungen, einem Fachmagazin und Forschungsprojekten in die AG aufging. Laut Mitteilung vom 30. September 2026 wird das Unternehmen Teil der Sequrio, eines Verbunds von Unternehmen für Datenschutz, Informationssicherheit und Cybersecurity; die bestehenden Ansprechpartner bleiben erhalten.
Externe Datenschutzbeauftragte der AG bauen eine Datenschutz-Organisation auf, gestützt auf ein eigenes, branchenspezifisch angepasstes Managementsystem nach DSGVO und BDSG. Ebenso stellt DATATREE externe Informationssicherheitsbeauftragte. Ein Informationssicherheits-Managementsystem entsteht in fünf Schritten: Assessment, Aufbau des ISMS nach ISO/IEC 27001 und BSI-Grundschutz, Bestellung des Beauftragten, Sofortmaßnahmen und langfristige Begleitung. Beraten wird außerdem zu BSI C5, dem B3S Gesundheitsversorgung, NIS2 und den §§ 30, 31 und 39 BSIG bis zur Vorbereitung und Begleitung von Prüfungen und Zertifizierungen.
In Prüfgemeinschaften lassen Krankenhäuser beziehungsweise Krankenkassen ihre Auftragsverarbeiter gemeinsam auditieren; DATATREE prüft Prozesse, begeht die Dienstleister und schätzt Risiken ein. Der Prüfgemeinschaft der Krankenkassen gehörten nach eigenen Angaben zum Start 15 Kassen an (Stand Januar 2023). Dokumentiert wird in der selbst entwickelten Software GAIMS, die Datenschutz, Informations- und IT-Sicherheit in einem Managementsystem verknüpft. Eine Notfallhotline ist rund um die Uhr für IT-Notfälle erreichbar, auch ohne bestehenden Vertrag. Die DATATREE Akademie bietet Kongresse, Seminare und Workshops, auch als In-House-Weiterbildung in der Einrichtung.
Die Beratung in Compliance, Datenschutz und Informationssicherheit begann 2011; im selben Jahr startete die Fachtagungsreihe Update-BDSG mit dem Schwerpunkt Datenschutz in der Medizin, die in Kooperation mit öffentlichen Stellen stattfindet und im Februar 2023 ihre 24. Ausgabe in Dortmund erlebte. Ebenfalls 2023 erhielt die AG nach einer europaweiten Ausschreibung den Zuschlag einer Einkaufsorganisation für Krankenhäuser, um in den von ihr betreuten Kliniken ISMS aufzubauen. Mit der KSG Kraftwerks-Simulator-Gesellschaft besteht eine strategische Allianz zur Informationssicherheit in KRITIS-Branchen, darunter das Gesundheitswesen.
Im Oktober 2026 waren zwei Stellen in Datenschutzberatung und IMS-Koordination ausgeschrieben, dazu zwei Plätze für Praxissemester beziehungsweise Projektarbeiten.
Angebote und Leistungen
| Angebot | Leistung | Beschreibung |
|---|---|---|
| Externer Datenschutzbeauftragter | Externer Datenschutz im Gesundheitswesen | Bestellung als externer Beauftragter samt Aufbau der Datenschutz-Organisation mit eigenem Managementsystem nach DSGVO und BDSG. |
| Externer Informationssicherheitsbeauftragter | IT-Sicherheit und Datenschutz im Gesundheitswesen | Übernahme der gesetzlichen Aufgaben eines Informationssicherheitsbeauftragten und laufende Pflege des ISMS der Einrichtung. |
| ISMS-Implementierung | IT-Sicherheit und Datenschutz im Gesundheitswesen | Aufbau eines Informationssicherheits-Managementsystems nach ISO/IEC 27001 und BSI-Grundschutz in fünf Modulen. |
| Regulatorik KRITIS und Gesundheitsversorgung | IT-Sicherheit und Datenschutz im Gesundheitswesen | Beratung zu ISO 27001, BSI C5, B3S, NIS2 und BSIG bis zur Begleitung von Prüfungen. |
| Prüfgemeinschaften für Krankenhäuser und Krankenkassen | Audits und Peer Review | Gemeinsame Audits externer Auftragsverarbeiter mit Webportal, Prüfberichten und zwei Netzwerktreffen im Jahr. |
| Sichere Arztpraxis | IT-Sicherheit und Datenschutz im Gesundheitswesen | Praxispaket zur IT-Sicherheitsrichtlinie nach § 390 SGB V mit Assessment, GAIMS-Dokumentation und E-Learning. |
| GAIMS | IT-Sicherheit und Datenschutz im Gesundheitswesen | Webbasierte Eigenentwicklung, die Datenschutz und IT-Sicherheit mit BSI-Grundschutz, ISO 27001 und DSGVO verknüpft. |
| 24/7-Notfallhotline für IT-Notfälle | IT-Sicherheit und Datenschutz im Gesundheitswesen | Notfallhilfe rund um die Uhr auch ohne Vertrag, vom Schließen von Sicherheitslücken bis zum Wiederanlauf. |
| DATATREE Akademie | Führungskräfteentwicklung und Inhouse-Schulung | Kongresse, Seminare und Workshops zu Datenschutz und Informationssicherheit, auch als In-House-Weiterbildung. |
Häufige Fragen
Wie schnell reagiert die Notfallhotline von DATATREE?
Angestrebt wird eine Reaktion innerhalb von 30 Minuten; mit einem Retainer-Vertrag ist diese Reaktionszeit vertraglich zugesichert. Ohne bestehenden Vertrag gelten gesonderte Notfall-AGB. Zur Notfallhilfe gehören das Schließen von Sicherheitslücken und die Begleitung des Wiederanlaufs.
Was erhalten Krankenhäuser in der Prüfgemeinschaft?
Die Mitglieder erhalten Projektmanagement, Zugang zu einem Webportal, Prüfberichte und Follow-up-Meldungen zu den auditierten Dienstleistern. Zweimal im Jahr finden Netzwerktreffen mit Fortbildung statt. Den individuellen Prüfbericht stellt DATATREE laut eigener Angabe innerhalb von acht Wochen bereit.
Was umfasst das Paket Sichere Arztpraxis?
Das Paket richtet sich an Praxen, die die IT-Sicherheitsrichtlinie nach § 390 SGB V und den KBV-Leitfaden umsetzen. Enthalten sind ein Sicherheits-Assessment, die Dokumentation in GAIMS, monatliche Materialien, E-Learning und ein fester Ansprechpartner.
Wie arbeitet DATATREE als externer Datenschutzbeauftragter?
Die AG baut eine Datenschutz-Organisation auf, stellt Fachinformationen für Mitarbeitende bereit und ist laut eigener Angabe in festgeschriebenen Zeiträumen erreichbar. Als Nachweis für die eingeführte Beauftragtenstelle und die Awareness-Maßnahmen dient ein Website-Siegel, eingebettet in einen PDCA-Zyklus.
