Datenschutz bei Gesundheitsdaten: Was wir bei Telemedizin und Herzmonitoring wirklich beachten müssen

Als unser Team neulich eine neue EKG-App auf dem Smartphone getestet hat, war die Begeisterung zunächst groß: In wenigen Sekunden zeichnete die App unseren Herzrhythmus auf, analysierte ihn und lieferte eine erste Einschätzung. Doch dann kam die ernüchternde Frage auf: Wohin fließen diese Daten eigentlich? Auf welchem Server landen sie, wer hat Zugriff, und wie lange werden sie gespeichert? Was als harmloser Selbsttest begann, entwickelte sich schnell zu einer kleinen Lehrstunde in Sachen Datenschutz – und genau darum geht es auf dieser Seite.

Warum Datenschutz bei Gesundheitsdaten kein Nebenthema ist

Gesundheitsdaten sind in Deutschland nicht irgendwelche Daten. Sie gehören nach der Datenschutz-Grundverordnung (DSGVO) zu den besonderen Kategorien personenbezogener Daten und genießen damit einen deutlich strengeren Schutz als etwa eine E-Mail-Adresse oder ein Geburtsdatum. Wer Telemedizin nutzt oder seinen Herzrhythmus digital überwacht, vertraut einem Anbieter sehr persönliche Informationen an – und dieses Vertrauen muss rechtlich abgesichert sein.

Den Rahmen dafür bilden in Deutschland die DSGVO auf europäischer Ebene und das Bundesdatenschutzgesetz (BDSG) als nationale Ergänzung. Beide zusammen regeln, unter welchen Bedingungen Gesundheitsdaten verarbeitet werden dürfen, welche Rechte Betroffene haben und welche Pflichten Anbieter treffen. Wir halten es für wichtig, diese Grundlagen zu kennen, bevor man eine App installiert oder ein digitales EKG-Gerät kauft.

Gesundheitsdaten als besondere Kategorie nach Art. 9 DSGVO

Artikel 9 der DSGVO legt fest, dass die Verarbeitung von Daten über die Gesundheit grundsätzlich verboten ist – es sei denn, es greift eine ausdrückliche Ausnahme. Solche Ausnahmen sind etwa die Einwilligung der betroffenen Person, die Erfüllung von Pflichten im Gesundheitswesen oder ein wichtiges öffentliches Interesse. Für Telemedizin und Herzmonitoring bedeutet das: Anbieter müssen genau begründen können, warum sie welche Daten verarbeiten, und dürfen nicht einfach alles sammeln, was technisch möglich ist.

Was das für Telemedizin-Anbieter in Deutschland bedeutet

Anbieter von Telemedizin-Plattformen tragen eine hohe Verantwortung. Sie müssen Datenschutz-Folgenabschätzungen durchführen, Auftragsverarbeitungsverträge mit Dienstleistern abschließen und die Rechte der Nutzer – etwa auf Auskunft, Löschung und Berichtigung – technisch und organisatorisch gewährleisten. Wer diese Pflichten vernachlässigt, riskiert Bußgelder und vor allem das Vertrauen der Patientinnen und Patienten.

Telemedizin in Deutschland: Zwischen Fortschritt und Datenschutzbedenken

Telemedizin-Plattformen wie Doctolib, TeleClinic und Zava haben die medizinische Versorgung in Deutschland spürbar verändert. Videosprechstunden, digitale Rezepte und schnelle Rückfragen sind heute für viele Menschen Alltag. Gleichzeitig stellt sich die Frage, wie diese Plattformen mit den anvertrauten Patientendaten umgehen. Wir schauen bei unserer Arbeit genau hin, wo die Daten gespeichert werden und wer Zugriff darauf hat.

Ein zentraler Punkt ist der Serverstandort. Die EU-DSGVO verlangt, dass personenbezogene Daten innerhalb der Europäischen Union ein angemessenes Schutzniveau genießen. Werden Daten an US-Cloud-Anbieter übermittelt, ist das nicht automatisch unzulässig, aber es erfordert zusätzliche Garantien. Die Diskussion um US-Cloud-Anbieter und den EU-US Data Privacy Framework begleitet uns deshalb regelmäßig – und sie ist alles andere als abgeschlossen.

Serverstandorte und Auftragsverarbeitung: Worauf wir achten

Bei der Bewertung von Telemedizin-Plattformen prüfen wir unter anderem, ob ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO vorliegt und wo die Server stehen. Rechenzentren in Frankfurt oder Dublin sind datenschutzrechtlich anders zu bewerten als Server in Übersee. Transparenz ist hier entscheidend: Anbieter sollten klar kommunizieren, wo Daten gehalten werden und welche Subunternehmer beteiligt sind.

Einwilligung und Zweckbindung in der Praxis

Die DSGVO verlangt eine informierte Einwilligung und eine klare Zweckbindung. In der Praxis heißt das: Nutzer müssen verstehen, wofür ihre Daten verwendet werden, und sie dürfen nicht für andere Zwecke – etwa Werbung oder Forschung – weiterverwendet werden, ohne dass eine neue Rechtsgrundlage vorliegt. Wir empfehlen, die Datenschutzerklärung genau zu lesen und bei unklaren Formulierungen nachzufragen.

Herzmonitoring und EKG-Apps: Wenn der Herzschlag digital wird

Mobile EKG-Geräte wie die Apple Watch, Produkte von Withings oder der AliveCor KardiaMobile zeichnen Herzrhythmusdaten direkt am Handgelenk oder über Elektroden auf. Diese Geräte sind praktisch, aber sie erzeugen sehr sensible Daten, die übertragen, gespeichert und teilweise in der Cloud ausgewertet werden. Wir haben beim Testen festgestellt, dass die Datenschutzpraxis hier sehr unterschiedlich ausfällt.

Wie EKG-Daten übertragen und gespeichert werden

Die meisten Geräte übertragen ihre Messwerte per Bluetooth auf das Smartphone und von dort in eine Cloud. Entscheidend ist, ob die Übertragung verschlüsselt ist, ob Daten anonymisiert werden und ob Nutzer selbst entscheiden können, ob ihre Aufzeichnungen in der Cloud landen oder lokal auf dem Gerät bleiben. Eine Ende-zu-Ende-Verschlüsselung ist bei Gesundheitsdaten aus unserer Sicht ein Muss.

Risiken bei Cloud-Diensten und Drittanbieter-Apps

Ein oft unterschätztes Risiko sind Drittanbieter-Apps, die auf die Gesundheitsdaten zugreifen. Wer einer App Zugriff auf die EKG-Aufzeichnungen erlaubt, gibt die Kontrolle teilweise aus der Hand. Besonders kritisch wird es, wenn Anbieter ihre Daten in Regionen außerhalb der EU verlagern oder Nutzungsprofile erstellen. Wir raten dazu, Berechtigungen regelmäßig zu prüfen und nicht benötigte Zugriffe zu entziehen.

• Prüfen, ob die EKG-App eine Ende-zu-Ende-Verschlüsselung anbietet
• Cloud-Speicherung nur aktivieren, wenn der Serverstandort in der EU liegt
• Zugriffsberechtigungen für Drittanbieter-Apps regelmäßig kontrollieren
• Lokale Speicherung auf dem Gerät bevorzugen, wo sie möglich ist

Medizintechnik und Digital Health: Hersteller in der Verantwortung

Medizintechnik-Hersteller wie Siemens Healthineers, Philips und Biotronik entwickeln Systeme, die in Kliniken und Praxen täglich mit Gesundheitsdaten arbeiten. Diese Hersteller tragen eine besondere Verantwortung: Ihre Produkte müssen nicht nur medizinisch präzise, sondern auch datenschutzkonform sein. Wir beobachten, dass Datenschutz zunehmend als Teil der Produktqualität verstanden wird.

MDR und Datenschutz: Was Hersteller beachten müssen

Die Medical Device Regulation (MDR) regelt die Zulassung und Überwachung von Medizinprodukten in der EU. Sie verlangt unter anderem eine Risikobewertung, die auch Datenschutzaspekte umfasst. Die Benannten Stellen – also die zugelassenen Prüforganisationen – spielen dabei eine zentrale Rolle, denn sie bewerten, ob ein Produkt die Anforderungen erfüllt. Hersteller müssen also bereits vor der Zulassung nachweisen, dass ihre Geräte datenschutzrechtlich sauber sind.

Schnittstellen zu Krankenhäusern und Arztpraxen

Ein weiterer kritischer Punkt sind die Schnittstellen zwischen Medizintechnik und den IT-Systemen von Krankenhäusern und Arztpraxen. Jede Schnittstelle ist ein potenzielles Einfallstor. Wir empfehlen, auf standardisierte und verschlüsselte Protokolle zu setzen und Zugriffe streng zu begrenzen. Hersteller, die hier transparent arbeiten, erleichtern Praxen und Kliniken die Einhaltung der DSGVO erheblich.

Praktische Tipps: So schützen wir unsere Gesundheitsdaten

Datenschutz ist keine reine Anbieterpflicht – auch wir als Nutzer können eine Menge tun. Wir haben einige Empfehlungen zusammengestellt, die sich in der Praxis bewährt haben. Wichtig ist vor allem, die eigenen Rechte zu kennen und aktiv wahrzunehmen.

• Auskunftsersuchen nach DSGVO stellen, um zu erfahren, welche Daten gespeichert sind
• Datenschutzfreundliche Anbieter wählen, die Serverstandorte in der EU transparent machen
• Unsicherer WLANs vermeiden, insbesondere bei der Übertragung von EKG-Daten
• Regelmäßig prüfen, welche Berechtigungen Apps haben
• Bei Beschwerden den Bundesbeauftragten für den Datenschutz oder die zuständige Landesbehörde einschalten

Bei technischen Fragen zu Funk- und Übertragungslösungen kann auch die Bundesnetzagentur eine Anlaufstelle sein. Sie ist zwar keine Datenschutzbehörde im engeren Sinne, aber bei Fragen zur Zulassung von Funkanlagen und zur Übertragungstechnik eine wichtige Institution.

Checkliste für die Nutzung von Telemedizin-Apps

Vor der Installation einer Telemedizin- oder EKG-App lohnt sich ein kurzer Check: Gibt es eine Datenschutzerklärung in verständlicher Sprache? Ist der Serverstandort angegeben? Werden Daten nur für den angegebenen Zweck verwendet? Kann man die Einwilligung später widerrufen? Wer diese Fragen beantworten kann, ist auf der sicheren Seite.

Was tun bei Datenschutzverstößen?

Wer den Verdacht hat, dass ein Anbieter gegen die DSGVO verstößt, kann sich an die zuständige Datenschutzaufsichtsbehörde wenden. In Deutschland sind das der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit sowie die Landesdatenschutzbeauftragten. Ein Auskunftsersuchen nach Art. 15 DSGVO ist oft der erste Schritt, um Klarheit zu schaffen.

FAQ

Welche Gesetze schützen meine Gesundheitsdaten in Deutschland?

Den rechtlichen Rahmen bilden die DSGVO auf europäischer Ebene und das Bundesdatenschutzgesetz (BDSG) als nationale Ergänzung. Gesundheitsdaten gelten nach Art. 9 DSGVO als besondere Kategorien personenbezogener Daten und unterliegen daher strengeren Anforderungen.

Darf mein EKG-Gerät meine Daten in die USA übertragen?

Nicht ohne zusätzliche Garantien. Die DSGVO erlaubt Übermittlungen in Drittländer nur, wenn ein angemessenes Schutzniveau gewährleistet ist oder geeignete Garantien – etwa Standardvertragsklauseln – vorliegen. Wir empfehlen, Anbieter mit Serverstandorten in der EU zu bevorzugen.

Was kann ich tun, wenn ein Telemedizin-Anbieter meine Daten nicht löscht?

Nach der DSGVO haben Sie ein Recht auf Löschung. Stellen Sie zunächst ein schriftliches Löschungsersuchen an den Anbieter. Reagiert dieser nicht, können Sie sich an die zuständige Datenschutzaufsichtsbehörde wenden – in Deutschland etwa an den Bundesbeauftragten für den Datenschutz oder die Landesdatenschutzbeauftragten.

Welche Rolle spielt die MDR beim Datenschutz?

Die Medical Device Regulation (MDR) verlangt von Herstellern eine umfassende Risikobewertung, die auch Datenschutzaspekte einschließt. Die Benannten Stellen prüfen im Zulassungsverfahren, ob diese Anforderungen erfüllt sind. Hersteller von Medizintechnik müssen also bereits vor der Zulassung nachweisen, dass ihre Produkte datenschutzrechtlich sauber sind.

Ist die Bundesnetzagentur für Datenschutz zuständig?

Die Bundesnetzagentur ist in erster Linie für die Zulassung von Funkanlagen und die Regulierung des Telekommunikationsmarktes zuständig. Bei Fragen zum Datenschutz sind dagegen die Datenschutzaufsichtsbehörden die richtigen Ansprechpartner. Bei technischen Fragen zur Übertragungstechnik kann die Bundesnetzagentur jedoch eine wichtige Anlaufstelle sein.

Datenschutz und digitale Herzüberwachung müssen kein Widerspruch sein. Wenn wir als Nutzer genau hinschauen, unsere Rechte kennen und Anbieter ihrer Verantwortung nachkommen, lässt sich Telemedizin nutzen, ohne dass die eigenen Gesundheitsdaten aus dem Blick geraten. Wir bleiben dran – und schauen weiter genau hin, wohin die Herzrhythmusdaten fließen.