Gesundheitsdaten und DSGVO Art. 9: Datenschutz für Health-Startups

Gesundheitsdaten sind nach Art. 9 DSGVO besonders geschützt. Ihre Verarbeitung ist grundsätzlich verboten und nur erlaubt, wenn eine der Ausnahmen des Art. 9 Abs. 2 greift. Für Health-Startups bedeutet das: Jeder Verarbeitungszweck braucht eine tragfähige Rechtsgrundlage, die Risiken müssen vorab bewertet werden, und Technik, Verträge und Prozesse müssen dem hohen Schutzniveau entsprechen. Dieser Artikel gibt einen Überblick über die wichtigsten Pflichten.

Was Gesundheitsdaten sind

Die DSGVO definiert Gesundheitsdaten als personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer Person beziehen, einschließlich der Erbringung von Gesundheitsdienstleistungen, und aus denen Informationen über deren Gesundheitszustand hervorgehen. Der Begriff ist weit. Neben Diagnosen und Befunden fallen darunter etwa Symptomangaben in einer App, Daten aus Blutzuckermessungen, die Teilnahme an einem Präventionsprogramm, die Buchung eines Termins in einer bestimmten Fachpraxis oder Rückschlüsse aus dem Nutzungsverhalten.

Neben Gesundheitsdaten nennt Art. 9 weitere besondere Kategorien, die im Gesundheitsbereich oft mitbetroffen sind, insbesondere genetische und biometrische Daten sowie Daten zum Sexualleben.

Rechtsgrundlagen nach Art. 9 Abs. 2

Für die Verarbeitung braucht es immer zwei Ebenen: eine allgemeine Rechtsgrundlage nach Art. 6 DSGVO und eine Ausnahme nach Art. 9 Abs. 2. Für Startups sind vor allem folgende Ausnahmen relevant:

In Deutschland konkretisiert das Bundesdatenschutzgesetz einige dieser Ausnahmen, etwa für Gesundheitsversorgung und Forschung. Hinzu kommen bereichsspezifische Regeln, zum Beispiel im Sozialgesetzbuch für digitale Gesundheitsanwendungen und für Leistungserbringer der gesetzlichen Krankenversicherung.

Die Einwilligung richtig gestalten

Viele Startups für Endkunden stützen sich auf die ausdrückliche Einwilligung. Sie muss freiwillig, für einen bestimmten Zweck, informiert und eindeutig sein. „Ausdrücklich“ heißt: eine aktive, gesonderte Erklärung, etwa ein eigenes Häkchen mit klarem Text, keine Klausel in den Nutzungsbedingungen. Die Einwilligung muss jederzeit widerrufbar sein, und das Startup muss sie nachweisen können. Problematisch wird es, wenn die Nutzung eines Dienstes von Einwilligungen abhängt, die für den Dienst gar nicht nötig sind, etwa für Werbung oder Datenweitergabe.

Datenschutz-Folgenabschätzung

Wer Gesundheitsdaten in größerem Umfang verarbeitet, muss vorab eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchführen. Sie beschreibt die Verarbeitung, prüft Notwendigkeit und Verhältnismäßigkeit, bewertet die Risiken für die Betroffenen und legt Schutzmaßnahmen fest. Die Datenschutzaufsichtsbehörden haben Listen veröffentlicht, bei welchen Verarbeitungen eine solche Abschätzung jedenfalls erforderlich ist. Gesundheits-Apps und umfangreiche Verarbeitungen von Gesundheitsdaten gehören typischerweise dazu.

Für Startups ist die Folgenabschätzung mehr als Pflicht: Sie zwingt dazu, Datenflüsse früh zu durchdenken, und liefert Antworten für Investoren, Kliniken und Krankenkassen, die ohnehin danach fragen.

Technische und organisatorische Maßnahmen

Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau. Bei Gesundheitsdaten ist das Risiko hoch, entsprechend streng sind die Erwartungen:

• Verschlüsselung bei Übertragung und Speicherung
• Pseudonymisierung, wo die Verarbeitung ohne direkten Personenbezug auskommt
• Rollen- und Rechtekonzept mit Zwei-Faktor-Anmeldung
• Protokollierung von Zugriffen
• regelmäßige Sicherheitstests und Datensicherungen
• Löschkonzept mit festen Fristen
• Prozess für Datenpannen, die in der Regel binnen 72 Stunden an die Aufsichtsbehörde zu melden sind

Für digitale Gesundheitsanwendungen und Software, die an die Telematikinfrastruktur angebunden wird, kommen zusätzliche Anforderungen an Informationssicherheit hinzu, die das Bundesamt für Sicherheit in der Informationstechnik in Technischen Richtlinien beschreibt.

Cloud, Dienstleister und Drittländer

Kaum ein Startup betreibt eigene Rechenzentren. Jeder Dienstleister, der Gesundheitsdaten im Auftrag verarbeitet, braucht einen Vertrag nach Art. 28 DSGVO. Bei Anbietern mit Sitz oder Konzernmutter außerhalb der EU sind Übermittlungen in Drittländer und mögliche Zugriffe ausländischer Behörden zu prüfen. Ein Angemessenheitsbeschluss wie der für zertifizierte Unternehmen in den USA kann helfen, ersetzt aber nicht die Prüfung des Einzelfalls.

Für Leistungserbringer der gesetzlichen Krankenversicherung und ihre Auftragsverarbeiter enthält das Sozialgesetzbuch seit dem Digital-Gesetz eigene Vorgaben zur Verarbeitung von Gesundheitsdaten in der Cloud. Sie verlangen unter anderem eine Verarbeitung im Inland, in der EU oder einem gleichgestellten Staat sowie ein aktuelles Testat nach dem Kriterienkatalog C5. Wer Software an Praxen, Kliniken oder Kassen verkauft, sollte prüfen, ob diese Anforderungen für das eigene Produkt gelten.

Tracking und Analyse in Gesundheits-Apps

Ein häufiger und teurer Fehler sind Analyse- und Marketingwerkzeuge in Gesundheitsanwendungen. Schon die Information, dass jemand eine bestimmte Therapie-App öffnet, kann ein Gesundheitsdatum sein. Werden solche Ereignisse an Werbenetzwerke oder Analyseanbieter übertragen, fehlt meist eine Rechtsgrundlage. Für den Zugriff auf Endgeräte gilt zusätzlich das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz. Für DiGA sind Werbung und Datenverarbeitung zu anderen Zwecken als den gesetzlich erlaubten ohnehin stark eingeschränkt. Wie das DiGA-Verfahren abläuft, beschreibt der Artikel DiGA-Zulassung im Fast-Track-Verfahren.

Weitere Pflichten im Überblick

Rechte der Betroffenen

Nutzerinnen und Patienten haben gegenüber dem Startup Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit sowie ein Widerspruchsrecht. Anfragen sind grundsätzlich innerhalb eines Monats zu beantworten. Bei Gesundheitsdaten kommt es auf Sorgfalt an: Bevor eine Auskunft mit sensiblen Inhalten herausgegeben wird, muss die Identität der anfragenden Person sicher geprüft werden. Löschanfragen können mit gesetzlichen Aufbewahrungspflichten kollidieren, etwa bei ärztlicher Dokumentation. Dann werden die Daten gesperrt statt gelöscht, und die Person wird darüber informiert. Wer diese Abläufe früh im Produkt vorsieht, etwa mit einer Exportfunktion und einer klaren Kontolöschung, spart später manuellen Aufwand.

Besondere Konstellationen

Telemedizin: Wer ärztliche Behandlung per Video anbietet, kombiniert Datenschutz mit Schweigepflicht und Berufsrecht. Die Rahmenbedingungen beschreibt der Artikel Telemedizin anbieten.

Software für Praxen: Wer Terminbuchung, Dokumentation oder Kommunikation für Arztpraxen anbietet, ist meist Auftragsverarbeiter und muss zusätzlich die Schweigepflicht vertraglich absichern. Ein Beispiel aus Sicht der Praxis zeigt der Artikel Online-Terminbuchung in der Arztpraxis.

Forschung und KI-Training: Die Nutzung von Gesundheitsdaten für Forschung oder das Training von Algorithmen ist ein eigener Zweck mit eigener Rechtsgrundlage. Daten aus der Versorgung dürfen nicht ohne Weiteres dafür weiterverwendet werden. Neue Regeln wie der Europäische Gesundheitsdatenraum und nationale Gesetze zur Gesundheitsdatennutzung schaffen hier zusätzliche Wege, die sich aber noch in der Umsetzung befinden.

Sanktionen und Haftung

Verstöße gegen die Regeln für besondere Kategorien von Daten können mit Geldbußen von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Hinzu kommen Schadensersatzansprüche Betroffener und, bei Berufsgeheimnisträgern, strafrechtliche Risiken. Für Startups wiegt oft der Vertrauensverlust schwerer als die Geldbuße.

Weitere rechtliche Grundlagen für Gründer, von der Rechtsform bis zur Haftung, bietet der Bereich Recht und Datenschutz. Dieser Artikel ersetzt keine Rechtsberatung im Einzelfall.