DSK zu cloudbasierten digitalen Gesundheitsanwendungen

Passend zum aktuellem Trendthema des digitalisierten Gesundheitswesens hat sich neben der kürzlichen Fachtagung im rheinland-pfälzischem Landtag auch die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) mit diesem Thema beschäftigt. In einem Positionspapier vom 06.11.2023 äußert sich die DSK zu cloudbasierten digitalen Gesundheitsanwendungen (DiGA). Dabei beleuchtet sie vor allem welche datenschutzrechtlichen Anforderungen hierbei erfüllt sein müssen.

Rechtlicher Hintergrund

Zunächst kann man DiGA in zwei Kategorien untergliedern. Einerseits gibt es die erstattungsfähige digitale Gesundheitsanwendungen und andererseits alle sonstigen.

§ 4 Abs. 1 der Digitale Gesundheitsanwendungen-Verordnung (DiGAV) bestimmt, dass erstattungsfähige DiGA die gesetzlichen Vorgaben des Datenschutzes und die Anforderungen an die Datensicherheit nach dem Stand der Technik unter Berücksichtigung der Art der verarbeiteten Daten und der damit verbundenen Schutzstufen sowie des Schutzbedarfs gewährleisten müssen. Was erstattungsfähige DiGA sind, regelt das Bundesinstitut für Arzneimittel und Medizinprodukte in einem Verzeichnis (§ 139e Abs. 1 SGB V). Bislang weisen die Hersteller solcher Produkte die Erfüllung der datenschutzrechtlichen Voraussetzungen im Rahmen einer Selbsterklärung nach. Da diese Methode allerdings nicht genügend Gewähr für eine tatsächliche Einhaltung bietet, gibt es zwei gesetzliche Änderungen.

1. § 4 Abs. 7 DiGAV: Ab dem 01.01.2025 müssen die vom Bundesamt für Sicherheit in der Informationstechnik nach § 139e Abs. 10 SGB V festgelegten Anforderungen an die Datensicherheit erfüllt werden.
2. §4 Abs. 8 DiGAV: Ab dem 01.08.2024 müssen die vom Bundesinstitut für Arzneimittel und Medizinprodukte nach § 139e Abs. 11 SGB V festgelegten Prüfkriterien für die von DiGA nachzuweisenden Anforderungen an den Datenschutz umgesetzt werden.

Zudem gibt es aber auch noch eine Vielzahl DiGA, die nicht erstattungsfähig sind. Welche Voraussetzungen man bei dieser Art der DiGA beachten muss, erklärt die DSK in ihrem Positionspapier.

Wer ist verantwortlich?

Bei der Bestimmung, wer als datenschutzrechtlicher Verantwortlicher gilt, handele es sich um eine komplexe Zuordnung. Es sei eine genaue Analyse der Tätigkeiten im konkreten Kontext ist notwendig. Art. 4 der Datenschutz-Grundverordnung (DSGVO) verpflichtet Verantwortliche (Nr. 7) und Auftragsverarbeiter (Nr. 8). Potenzielle Verantwortliche seien zum Beispiel Ärzte, Hersteller oder Cloud-Betreiber. Ein Hersteller könne etwa ein Verantwortlicher sein, wenn er über die Mittel und Zwecke der Datenverarbeitung selbst bestimmt, wohingegen er Auftragsverarbeiter sei, wenn er für einen Verantwortlichen Daten verwerte. Hingegen trage er keine Verantwortlichkeit, wenn er lediglich mit der technischen Herstellung des Produkts betraut ist.

Grundsatz der datenschutzfreundlichen Gestaltung beachtet?

Die jeweilige Gesundheitsanwendung müsse entsprechend Art. 25 Abs. 1 DSGVO so gestaltet sein, dass man sie auch ohne Anlegen eines Benutzerkontos und ohne Cloudfunktion nutzen kann. Eine Ausnahme hiervon bestünde nur, wenn dies zur ordnungsgemäßen Verwendung zwingend erforderlich sei. Desweiterem müsse man den Nutzer auf die Vorteile und Gefahren der Cloudfunktion hinweisen.

Dürfen die Daten zu Forschungszwecken und zur Qualitätssicherung verwendet werden?

Die Nutzung personenbezogener Daten zu Forschungszwecken bedarf einer klaren Rechtsgrundlage, oft in Form einer ausdrücklichen Einwilligung gemäß Art. 9 Abs. 2 lit. a i. V. m. Art. 6 Abs. 1 lit. a DSGVO. Eine Ausnahme gilt nur, wenn es sich um anonymisierte Daten handelt. Für diesen Fall ist eine Datenschutz-Folgenabschätzung erforderlich, die aufzeigt, dass tatsächlich kein Personenbezug mehr existiert.

Die Verwendung von Daten, um die Pflicht der Qualitätssicherung von Medizinprodukten zu erfüllen, könne durch Art. 6 Abs. 1 lit. c i. V. m. Art. 9 Abs. 2 lit. i DSGVO und § 22 Abs. 1 Nr. 1 lit. c BDSG gerechtfertigt werden. Dabei dürfe die Datenverwertung das hierfür erforderliche Maß nicht überschreiten.

Welche Rechte haben die Nutzer?

Hersteller und Betreiber müssten Verfahren einführen, um die Erfüllung von Betroffenenrechten sicherzustellen. Dazu gehört das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit.

Ist die Verarbeitung sicher?

Wie bei sonstiger Verarbeitung personenbezogener Daten müsse man technische und organisatorische Maßnahmen (TOM) zur Risikominimierung implementieren und hierüber auch den Nachweis erbringen. Die regelmäßige Überprüfung und Bewertung dieser Maßnahmen sei im Rahmen einer Datenschutz-Folgenabschätzung erforderlich. Im Übrigen solle man die vom Bundesamt für Sicherheit in der Informationstechnik entwickelte Technische Richtlinie „Sicherheitsanforderungen an digitale Gesundheitsanwendungen“ (BSI TR-03161) beachten.

Dürfen die Daten international übertragen werden?

Ist ein internationaler Datentransfer gewünscht, müsse man sich an die Vorgaben des Kapitels V der DSGVO halten.

Fazit

Die aktuellen Entwicklungen im Datenschutz für Gesundheitsanwendungen werfen essenzielle Fragen auf, die sorgfältiger Klärung bedürfen. Nun hat sich auch die DSK zu cloudbasierten digitalen Gesundheitsanwendungen positioniert. Die Verantwortlichkeiten müssen klar definiert werden, insbesondere bei nicht unter § 139e SGB V fallenden Anwendungen. Grundsätzlich gilt, dass auch hier die Anforderungen der DSGVO streng beachtet werden müssen. Deswegen sind Unternehmen und Entwickler in diesem Bereich aufgefordert, ihre Prozesse entsprechend anzupassen, um den stetig wachsenden Anforderungen gerecht zu werden.