Kurze Antwort: Unter der DSGVO sind personenbezogene Gesundheitsdaten eine besondere Kategorie. Artikel 9 Absatz 1 verbietet deren Verarbeitung; Artikel 9 Absatz 2 listet die Ausnahmen auf, die das Verbot aufheben. Für ein Produktteam sind vier relevant: (a) ausdrückliche Einwilligung der Person, (h) Gesundheitsversorgung durch oder unter Verantwortung eines zur Verschwiegenheit verpflichteten Fachpersonals, (i) öffentliches Gesundheitswesen und (j) wissenschaftliche Forschung mit den in Artikel 89 genannten Schutzmaßnahmen. Eine Ausnahme nach Artikel 9 ist zusätzlich zu einer allgemeinen Rechtsgrundlage nach Artikel 6 erforderlich, nicht an deren Stelle. Die Verarbeitung von Gesundheitsdaten in großem Umfang löst zudem eine Datenschutz-Folgenabschätzung (DSFA) (Artikel 35) und die Benennung eines Datenschutzbeauftragten (Artikel 37) aus.
Was zählt als Gesundheitsdaten
Nach der DSGVO sind Gesundheitsdaten personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer Person beziehen, einschließlich der Erbringung von Gesundheitsdienstleistungen, die Informationen über ihren Gesundheitszustand preisgeben (Artikel 4 Absatz 15). Weit gefasst umfasst dies Laborwerte, Diagnosen, Medikamente, Termine und Krankmeldungen sowie alle Daten, aus denen auf einen Gesundheitszustand geschlossen werden kann.
Artikel 4 Absatz 15 definiert personenbezogene Gesundheitsdaten als Daten, die sich auf die körperliche oder geistige Gesundheit einer Person beziehen, einschließlich der Erbringung von Gesundheitsdienstleistungen, die Informationen über den Gesundheitszustand einer Person offenlegen. Erwägungsgrund 35 und die Rechtsprechung legen dies weit aus: ein Laborwert, eine Diagnose, ein Medikament, ein Arzttermin, eine Krankschreibung, eine Schrittzahl in Kombination mit einer Herzerkrankung, eine Suche nach einem Symptom, die mit einem Konto verknüpft ist. Daten, die den Gesundheitszustand offenlegen, sind Gesundheitsdaten, auch wenn sie nicht als solche erhoben wurden. Der Gerichtshof der Europäischen Union hat 2022 (OT, C-184/20) bestätigt, dass Daten, aus denen eine Tatsache einer besonderen Kategorie abgeleitet werden kann, selbst besondere Kategorien von Daten sind.
Die relevanten Ausnahmen
Die Ausnahmen nach Artikel 9 Absatz 2 der DSGVO, die für Gesundheitsprodukte am wichtigsten sind, sind die ausdrückliche Einwilligung (a), die von Verbraucher-Gesundheits-Apps und patientengesteuerten Aufzeichnungen verwendet wird; die Gesundheitsversorgung (h), die von Kliniken und ihren Softwarelieferanten unter Berufsgeheimnis genutzt wird; die öffentliche Gesundheit (i); die wissenschaftliche Forschung (j) mit den Schutzmaßnahmen nach Artikel 89; und ein erhebliches öffentliches Interesse (g), auf das sich der EHDS für die Sekundärnutzung stützt.
| Artikel 9 Absatz 2 | Wer nutzt es typischerweise | Bedingungen |
|---|---|---|
| (a) Ausdrückliche Einwilligung | Gesundheits-Apps für Verbraucher, Wellness-Dienste, patientengesteuerte Aufzeichnungen | Freiwillig, spezifisch, informiert, unmissverständlich, durch eine eindeutige bestätigende Handlung, so einfach zu widerrufen wie zu erteilen; nicht mit dem Dienst gebündelt, es sei denn, der Dienst benötigt die Daten |
| (c) Lebenswichtige Interessen | Notfallzugang | Nur wenn die Person physisch oder rechtlich nicht in der Lage ist, zuzustimmen |
| (h) Gesundheitsversorgung | Kliniken, Krankenhäuser, Hausärzte, deren Softwareanbieter als Auftragsverarbeiter | Notwendig für Diagnose, Pflege, Behandlung oder Verwaltung von Gesundheitssystemen, nach EU- oder nationalem Recht oder einem Vertrag mit einem Fachpersonal und unter Berufsgeheimnis (Artikel 9 Absatz 3) |
| (i) Öffentliches Gesundheitswesen | Gesundheitsbehörden, Pharmakovigilanz | Basierend auf einem Gesetz, das geeignete Maßnahmen vorsieht |
| (j) Forschung, Statistik, Archivierung | Forschungsinstitute, Register, Forschungsplattformen | Basierend auf einem Gesetz, verhältnismäßig, mit den in Artikel 89 genannten Schutzmaßnahmen (Pseudonymisierung, Datenminimierung) |
| (g) Erhebliches öffentliches Interesse | Nationale Gesundheitsdateninfrastrukturen | Basierend auf einem Gesetz; der EHDS stützt sich für die Sekundärnutzung darauf |
Eine persönliche Gesundheitsakte, die vom Patienten kontrolliert wird, basiert auf (a): Die Person entscheidet, was gespeichert und mit wem geteilt wird. Eine Klinik, die in diese Akte schreibt, basiert für ihre eigene Verarbeitung auf (h), und die Einwilligung des Patienten regelt die Weitergabe. Eine Plattform, die beides bedient, ist ein Auftragsverarbeiter für die Klinik (Artikel 28 Vertrag) und ein Verantwortlicher für das Konto, das sie der Person anbietet. Dies für jede Verarbeitungstätigkeit aufzuzeichnen, ist der Kern der in Artikel 30 geforderten Verzeichnisse.
Einwilligung, die wirklich zählt
Die ausdrückliche Einwilligung für Gesundheitsdaten nach der DSGVO ist nur dann gültig, wenn sie eine separate, spezifische Erklärung pro Zweck ist, die durch eine klare affirmative Handlung erteilt wird, über die Empfänger informiert, mit Zeit und Methode aufgezeichnet und so einfach widerrufbar ist, wie sie erteilt wurde. Vorangekreuzte Kästchen, gebündelte Zwecke und Apps, die ohne Zustimmung zu Analysen nicht nutzbar sind, wurden alle für ungültig erklärt.
Regulierungsbehörden haben Einwilligungen für Gesundheits-Apps wiederholt aus denselben Gründen für ungültig erklärt: vorab angekreuzte Kästchen; Einwilligung für alles auf einmal angefordert; keine Möglichkeit, die App zu nutzen, ohne der Analyse zuzustimmen; Einverständniserklärungen, die die Empfänger nicht nennen; kein Widerrufsweg. Eine gültige ausdrückliche Einwilligung für Gesundheitsdaten bedeutet eine separate, spezifische Erklärung ("Ich stimme zu, dass Anpheros die von mir hochgeladenen Laborergebnisse speichert"), granular nach Zweck (Speicherung; Weitergabe an eine benannte Klinik; anonymisierte Statistiken), mit einem Nachweis, wann und wie sie erteilt wurde, und einem Schalter, der sie mit sofortiger Wirkung für zukünftige Verarbeitungen widerruft. Bei Daten von Kindern ist der Inhaber der elterlichen Verantwortung erforderlich, wobei die Altersgrenzen von den einzelnen Mitgliedstaaten zwischen 13 und 16 Jahren festgelegt werden.
Berufsgeheimnis, Artikel 9 Absatz 3
Artikel 9 Absatz 3 der DSGVO legt die Bedingung des Berufsgeheimnisses für die Ausnahme der Gesundheitsversorgung fest: Gesundheitsdaten dürfen nach Artikel 9 Absatz 2 Buchstabe h nur von oder unter der Verantwortung einer Person verarbeitet werden, die einem Berufsgeheimnis nach EU- oder nationalem Recht unterliegt, oder von einer anderen Person, die einer gleichwertigen Geheimhaltungspflicht unterliegt.
Softwarelieferanten für Kliniken erfüllen dies vertraglich: Die Auftragsverarbeitungsvereinbarung legt Vertraulichkeit für das Personal mit Zugriff fest, und der Zugriff wird protokolliert.
Über Artikel 9 hinaus
Eine Ausnahme nach Artikel 9 Absatz 2 ist nicht die einzige Verpflichtung der DSGVO für Gesundheitsdaten. Die Verarbeitung erfordert auch eine Rechtsgrundlage nach Artikel 6, in der Regel eine Datenschutz-Folgenabschätzung nach Artikel 35 und einen Datenschutzbeauftragten nach Artikel 37, Beschränkungen für automatisierte Entscheidungen nach Artikel 22, ein Instrument nach Kapitel V für Übermittlungen außerhalb der EU, eine 72-stündige Benachrichtigung über Verstöße und nationale Gesetze zur Gesundheitsakte.
- Artikel 6 gilt weiterhin: Vertrag (6 Absatz 1 Buchstabe b) für die Erbringung der vom Einzelnen gewünschten Dienstleistung, Einwilligung (6 Absatz 1 Buchstabe a), rechtliche Verpflichtung, öffentliche Aufgabe oder berechtigte Interessen, die nicht dazu verwendet werden können, Artikel 9 zu umgehen.
- Artikel 35 DSFA ist für die Verarbeitung besonderer Kategorien in großem Umfang zwingend erforderlich; die meisten Gesundheits-Apps und alle Plattformen fallen darunter. Siehe DSFA für eine Gesundheits-App.
- Artikel 37 Datenschutzbeauftragter ist für Kerntätigkeiten, die in der Verarbeitung besonderer Kategorien in großem Umfang bestehen, zwingend erforderlich.
- Artikel 22 beschränkt Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und erhebliche Auswirkungen haben, wozu auch die automatisierte Triage oder Anspruchsprüfung gehört; Gesundheitsdaten dürfen dafür nur mit ausdrücklicher Einwilligung oder einer Rechtsgrundlage im Gesetz unter Einhaltung von Schutzmaßnahmen verwendet werden.
- Artikel 44 ff.: Übermittlungen außerhalb der EU erfordern Angemessenheit (das EU-US-Datenschutzabkommen für zertifizierte US-Unternehmen), Standardvertragsklauseln mit einer Folgenabschätzung für den Datentransfer oder ein anderes Instrument nach Kapitel V. Das Hosting in der EU vermeidet die Frage für die ruhenden Daten; Supportpersonal im Ausland nicht.
- Artikel 33–34: Meldung von Datenschutzverletzungen an die Aufsichtsbehörde innerhalb von 72 Stunden und an die Personen, wenn das Risiko hoch ist, was bei Gesundheitsdaten in der Regel der Fall ist.
- Nationales Recht fügt Schichten hinzu: Gesetze zur ärztlichen Schweigepflicht, Gesetze zu Krankenakten, Aufbewahrungsfristen und in einigen Ländern spezifische Regeln für Gesundheits-Apps (Frankreichs HDS-Hosting-Zertifizierung, Deutschlands DiGA-Rahmen).
Der EHDS obendrauf
Die Verordnung über den Europäischen Gesundheitsdatenraum (2025/327) ändert Artikel 9 nicht. Sie fügt Rechte auf Zugang und Übertragbarkeit von Gesundheitsdaten in einem gemeinsamen Format hinzu, Verpflichtungen für EHR-Systeme und ein Genehmigungssystem für die Sekundärnutzung, das sich auf Artikel 9 Absatz 2 Buchstaben (g), (h), (i) und (j) mit eigenen Schutzmaßnahmen und einem Opt-out stützt. Siehe Ihre Gesundheitsdaten in der EU.
Bei Anpheros
Anpheros verarbeitet Gesundheitsdaten auf der Grundlage der ausdrücklichen Einwilligung der Person für die von ihr geführte Akte (Artikel 9 Absatz 2 Buchstabe a), pro Zweck und widerrufbar in der App, und als Auftragsverarbeiter für Kliniken, die unter ihrer eigenen Rechtsgrundlage nach Artikel 9 Absatz 2 Buchstabe (h) in diese Akte schreiben. Jeder Zugriff durch eine Klinik erfordert die Zustimmung der Person für einen Umfang und eine Dauer und wird in ihrem Zugriffslogbuch aufgeführt. Siehe Plattform für Patienteneinwilligung und Wer hat meine Krankenakte eingesehen?.
Diese Seite erklärt die Regulierung für Produkt- und Ingenieurteams. Sie ist keine Rechtsberatung; die unter Quellen verlinkten Texte sind maßgeblich, und Ihr Datenschutzbeauftragter, Ihre benannte Stelle oder Ihr Rechtsberater entscheiden für Ihren Fall. Letzte Überprüfung: Oktober 2026.
Verwandte Seiten
- DSFA für eine Gesundheits-App: Checkliste und Vorlage
- Ihre Gesundheitsdaten in der EU: DSGVO, EHDS und Ihre Rechte
- HIPAA vs. DSGVO
- De-Identifizierung von Gesundheitsdaten
- Plattform für Patienteneinwilligung
- Übersicht über die Regulierung von Gesundheitsdaten
- DSGVO für Entwickler (Entwicklerseite)
Quellen
- DSGVO Artikel 9, EUR-Lex
- DSGVO Artikel 4 Absatz 15 und Erwägungsgrund 35, EUR-Lex
- EDPB: Leitlinien 05/2020 zur Einwilligung
- EuGH, C-184/20 (OT gegen Vyriausioji tarnybinės etikos komisija), 2022
- EDPB: Leitlinien zur Verarbeitung von Gesundheitsdaten für Forschungszwecke im COVID-19-Kontext (03/2020)
- Verordnung (EU) 2025/327 (EHDS), EUR-Lex
Häufige Fragen
Sind Schrittzähler Gesundheitsdaten?
Für sich genommen normalerweise nicht. In Kombination mit anderen Daten, die einen Gesundheitszustand offenlegen (eine Diagnose, ein Rehabilitationsprogramm, eine Herzerkrankung) oder zur Ableitung eines solchen verarbeitet werden, werden sie zu Gesundheitsdaten. Regulierungsbehörden betrachten den Zweck und die Ableitung, nicht nur das Rohfeld.
Kann ich berechtigte Interessen für Gesundheitsdaten nutzen?
Nein. Berechtigte Interessen ist eine Rechtsgrundlage nach Artikel 6; Gesundheitsdaten benötigen zusätzlich eine Ausnahme nach Artikel 9 Absatz 2, und keine davon ist berechtigte Interessen. Die Analyse von Gesundheitsdaten erfordert eine Einwilligung oder Anonymisierung.
Benötigt eine Klinik die Zustimmung des Patienten zur Führung von Aufzeichnungen?
Nicht unter der DSGVO: Sie verarbeitet auf der Grundlage von Artikel 9 Absatz 2 Buchstabe (h) und nationalem Gesundheitsrecht. Die Einwilligung wird relevant, wenn die Daten für etwas anderes verwendet werden (Weitergabe an eine App, Forschung, Marketing) oder wenn nationales Recht dies vorschreibt.
Wie lange dürfen Gesundheitsdaten aufbewahrt werden?
Die DSGVO besagt nicht länger als notwendig; nationale Gesetze zu Krankenakten legen konkrete Aufbewahrungsfristen für klinische Aufzeichnungen fest (oft 10 bis 30 Jahre). Eine persönliche Akte, die die Person kontrolliert, wird so lange aufbewahrt, wie sie sie wünscht, und auf Anfrage gelöscht.
Kostenlos in der Sandbox testen
Ihr erster FHIR-Aufruf in 5 Minuten. Eine HL7 FHIR R4 API mit der Zustimmung des Patienten: probieren Sie sie in der Sandbox aus und verbinden Sie dann Ihre eigene App oder Ihr Kliniksystem.
Kostenlos · 30 synthetische Patienten · keine Karte
Anpheros entwickelt eine Patientenakte, die der Patient kontrolliert und mit jeder Klinik teilen kann, auf einer HL7 FHIR R4-Plattform mit Sitz in der EU. Diese Anleitungen helfen Ihnen, Ihre Gesundheit zu verstehen und zu organisieren; sie ersetzen nicht Ihren Arzt.
Über Anpheros →