Kurze Antwort: Software, die mit Gesundheitsdaten arbeitet, unterliegt gleichzeitig vier Regelwerkfamilien. Datenschutz legt fest, was Sie mit persönlichen Gesundheitsdaten tun dürfen: Artikel 9 der DSGVO in der EU, HIPAA und eine Vielzahl von Landesgesetzen in den USA. Gesundheitssystemregeln legen fest, wie Daten bewegt und geteilt werden müssen: der Europäische Raum für Gesundheitsdaten (ERGA) in der EU, TEFCA, USCDI und die Regeln zur Verhinderung von Informationsblockaden in den USA. Produktsicherheit gilt, wenn die Software etwas Medizinisches tut: die Verordnung über Medizinprodukte (MDR) und die Verordnung über In-vitro-Diagnostika (IVDR) in der EU, FDA-Regeln in den USA, mit IEC 62304 und ISO 13485 als zugrundeliegenden Ingenieur- und Qualitätsstandards. Sicherheit legt die Mindestanforderungen fest, die jeder erfüllen muss: ISO 27001 und 27799, NIS2 für kritische Sektoren, die HIPAA Security Rule. Identität (eIDAS und die EU Digitale Identitätsbrieftasche, NHS Login, nationale IDs) überschneidet sich mit allen vier Bereichen.
Die Übersicht
Die Verordnungskarte für Gesundheitsdaten fasst die Regeln für Software, die mit Gesundheitsdaten umgeht, in Familien zusammen: Datenschutz (DSGVO Artikel 9, HIPAA, US-Bundesstaatsgesetze), Regeln für das Gesundheitssystem (EHDS, Cures Act, TEFCA), Produktsicherheit (MDR, IVDR, FDA), Ingenieur- und Qualitätsstandards (IEC 62304, ISO 13485), Sicherheit (ISO 27001, ISO 27799, NIS2, HIPAA Security Rule) und Identität (eIDAS 2).
| Familie | Regel | Gilt für | Was wird verlangt |
|---|---|---|---|
| Datenschutz | DSGVO, Art. 9 und Art. 35 | Jeder, der Gesundheitsdaten von EU-Bewohnern verarbeitet | Eine Rechtsgrundlage aus Art. 9 Abs. 2, eine Datenschutz-Folgenabschätzung (DSFA), einen Datenschutzbeauftragten (DSB) bei umfangreicher Verarbeitung, Rechte, Meldung von Datenschutzverletzungen innerhalb von 72 Stunden |
| Datenschutz | HIPAA (Privacy, Security, Breach Rules) | US-abgedeckte Entitäten und ihre Geschäftspartner | Erlaubte Nutzungen, Schutzmaßnahmen, Meldung von Datenschutzverletzungen; gilt nicht für die meisten Verbraucher-Apps |
| Datenschutz | US-Landesgesetze (CCPA/CPRA, Washington My Health My Data…) | Unternehmen, die Daten von Einwohnern verarbeiten | Zustimmung für Verbraucher-Gesundheitsdaten, Löschungsrechte, Einschränkungen beim Verkauf |
| Gesundheitssystem | ERGA, Verordnung (EU) 2025/327 | EHR-Systeme, Wellness-Apps, die Interoperabilität beanspruchen, Dateninhaber, Stellen für den Zugang zu Gesundheitsdaten | Patientenzugang und Portabilität im europäischen Austauschformat, obligatorisches MyHealth@EU, Genehmigungen für sekundäre Nutzung |
| Gesundheitssystem | 21st Century Cures Act, ONC HTI-Regeln, TEFCA | Zertifizierte US-Gesundheitstechnologie, Anbieter, Netzwerke | FHIR-APIs, USCDI-Daten, keine Informationsblockaden, landesweiter Austausch |
| Produktsicherheit | MDR 2017/745, IVDR 2017/746 | Software mit medizinischem Zweck für EU-Patienten | Klassifizierung, Konformitätsbewertung, klinische Bewertung, Marktüberwachung, CE-Kennzeichnung |
| Produktsicherheit | FDA (21 CFR 820/QMSR, 510(k), De Novo, PMA) | Software als Medizinprodukt für die USA | Zulassungsverfahren nach Klasse, Qualitätssystem, Cybersicherheitsdokumentation |
| Ingenieurwesen | IEC 62304, IEC 82304-1, ISO 14971 | Teams für Medizinproduktsoftware | Software-Lebenszyklus nach Sicherheitsklasse, Risikomanagement |
| Qualität | ISO 13485 | Gerätehersteller | Ein Qualitätsmanagementsystem, das Design, Produktion und Beschwerden abdeckt |
| Sicherheit | ISO/IEC 27001, ISO 27799, ISO 27701 | Jede Organisation; spezifische Leitlinien für das Gesundheitswesen | Ein Informationssicherheitsmanagementsystem, Gesundheitskontrollen, Datenschutzerweiterung |
| Sicherheit | NIS2, Richtlinie 2022/2555 | Gesundheitsdienstleister, Gerätehersteller, Cloud- und digitale Anbieter über bestimmten Größenordnungen | Risikomaßnahmen, Meldung von Vorfällen innerhalb von 24/72 Stunden, Haftung des Managements |
| Sicherheit | HIPAA Security Rule | US-abgedeckte Entitäten und Geschäftspartner | Administrative, physische und technische Schutzmaßnahmen; Risikoanalyse |
| Identität | eIDAS 2 und die EU Digitale Identitätsbrieftasche | Dienste, die die Identität von EU-Bürgern überprüfen | Akzeptanz der Brieftasche für starke Identifizierung ab 2026–2027 |
Wer ist wofür zuständig?
Welche Regeln für Gesundheitsdaten gelten, hängt davon ab, was die Software tut. Eine Verbraucher-App ohne medizinische Aussagen unterliegt der DSGVO Artikel 9, einer DPIA und Sicherheitspraktiken; mit Interpretationen wird sie zu einem Medizinprodukt unter der MDR; eine FHIR-Plattform ist ein DSGVO-Auftragsverarbeiter und manchmal unter NIS2; ein Krankenhaus unterliegt all diesen plus NIS2 als wesentliche Einrichtung.
- Eine Verbraucher-Gesundheits-App ohne medizinische Ansprüche (ein Symptomtagebuch, eine Aufzeichnung von Laborberichten): DSGVO Artikel 9 mit ausdrücklicher Zustimmung, eine DSFA, Sicherheitsstandards auf ISO 27001-Niveau und das ERGA-Label für Wellness-Apps, wenn sie behauptet, sich mit EHR-Systemen zu verbinden. Kein Medizinprodukt, solange der beabsichtigte Zweck nicht-medizinisch bleibt. In den USA: FTC-Regeln und staatliche Gesetze zum Gesundheitsschutz statt HIPAA.
- Dieselbe App mit einer Interpretationsfunktion („Ihr Ergebnis deutet darauf hin…“): ein Medizinprodukt gemäß MDR Regel 11, in der Regel Klasse IIa, mit IEC 62304 und ISO 13485 dahinter. Siehe Ist eine Gesundheits-App ein Medizinprodukt? und SaMD-Klassen.
- Ein FHIR-Plattform- oder Integrationsanbieter: DSGVO als Auftragsverarbeiter (Artikel 28 Verträge), ISO 27001, möglicherweise NIS2 als Anbieter digitaler Infrastruktur oder ICT-Dienstleister, ERGA-Verpflichtungen, wenn er Teil eines EHR-Systems ist, HIPAA als Geschäftspartner in den USA.
- Ein Krankenhaus: alles oben Genannte als Verantwortlicher und Betreiber, plus NIS2 als wesentliche Einrichtung, nationale Gesetze zu Gesundheitsakten und die ERGA-Fristen für die Anbindung an die nationale Infrastruktur.
- Eine Forschungsplattform: DSGVO Artikel 9 Abs. 2 Buchstabe j und Artikel 89, das ERGA-Kapitel zur sekundären Nutzung (Genehmigungen einer Stelle für den Zugang zu Gesundheitsdaten, sichere Verarbeitungsumgebungen) und Anonymisierungsstandards. Siehe Sekundäre Nutzung von Gesundheitsdaten.
In welcher Reihenfolge
Die Einhaltung von Gesundheitsdatenvorschriften geht am besten in einer festgelegten Reihenfolge vor: Schreiben Sie zuerst den Verwendungszweck auf, da dieser entscheidet, ob die Software ein Medizinprodukt ist; dann Datenschutz (Rechtsgrundlage, DPIA, Auftragsverarbeitungsverträge); dann eine Sicherheits-Baseline nach ISO 27001; dann Interoperabilitätsvorgaben wie FHIR und EHDS oder USCDI; dann der Weg als Medizinprodukt, falls zutreffend; schließlich grenzüberschreitende Fragen.
- Den beabsichtigten Zweck schriftlich festlegen. Er bestimmt, ob Sie ein Medizinprodukt sind, und alles andere ergibt sich daraus.
- Zuerst Datenschutz: Rechtsgrundlage, DSFA, Auftragsverarbeitungsverträge, DSB. Diese sind vor dem ersten echten Nutzer in jedem Szenario erforderlich. Siehe DSGVO Artikel 9 für Gesundheitsdaten und DSFA für eine Gesundheits-App.
- Sicherheits-Baseline: Ein ISMS nach ISO 27001, das auf die Gesundheitskontrollen von 27799 abgestimmt ist; dies erfüllt auch die meisten Anforderungen von NIS2 und der HIPAA Security Rule. Siehe ISO 27001 vs. ISO 27799 und NIS2 für Krankenhäuser und Anbieter.
- Interoperabilitätsmandate: FHIR und das Austauschformat Ihres Marktes (ERGA, USCDI/US Core), damit das Produkt nicht von der nationalen Infrastruktur ausgeschlossen wird. Siehe USCDI erklärt und TEFCA erklärt.
- Medizinprodukt-Route, falls zutreffend: Klassifizierung, Qualitätssystem, Lebenszyklus, Benannte Stelle oder FDA-Zulassung. Planen Sie ein Jahr ein.
- Grenzüberschreitend: HIPAA vs. DSGVO-Unterschiede bei der Bedienung beider Märkte (HIPAA vs. DSGVO), Übertragungsmechanismen, Hosting-Standort.
Wo Anpheros steht
Anpheros Daily ist eine persönliche Gesundheitsakte mit einem deklarierten nicht-medizinischen Verwendungszweck: Sie speichert, zeigt und teilt Daten und interpretiert oder empfiehlt nichts. Anpheros Platform ist ein FHIR R4 Backend, das Kliniken und Entwicklern als Auftragsverarbeiter gemäß DSGVO Artikel 28 angeboten wird, mit patientenkontrollierter Zustimmung und Zugriffsprotokollen. Die Verordnungsseiten in diesem Cluster beschreiben die Regeln, wie sie für jedes Produkt dieser Art gelten; die Transparenzseite beschreibt, wie Anpheros sie auf sich selbst anwendet.
Diese Seite erklärt die Regulierung für Produkt- und Ingenieurteams. Sie stellt keine Rechtsberatung dar; die unter Quellen verlinkten Texte sind maßgeblich, und Ihr Datenschutzbeauftragter, Ihre Benannte Stelle oder Ihr Anwalt entscheidet für Ihren Fall. Zuletzt überprüft: Oktober 2026.
Verwandte Seiten
- Ist eine Gesundheits-App ein Medizinprodukt? EU MDR Regel 11
- Ihre medizinischen Daten in der EU: DSGVO, ERGA und Ihre Rechte
- DSGVO Artikel 9 für Gesundheitsdaten
- DSFA für eine Gesundheits-App
- HIPAA vs. DSGVO
- NIS2 für Krankenhäuser und Health-Tech-Anbieter
- Standards für die Interoperabilität im Gesundheitswesen: die Übersicht
- DSGVO für Entwickler (Entwicklerseite)
- Nationale elektronische Gesundheitsakten in Europa und den USA
- MyHealth@EU und die grenzüberschreitende Patientenübersicht
- Der EU AI Act und KI im Gesundheitswesen
- Sekundäre Nutzung von Gesundheitsdaten
- Sicherheit und Identität in Gesundheits-Apps
Quellen
- Verordnung (EU) 2016/679 (DSGVO), EUR-Lex
- Verordnung (EU) 2025/327 (Europäischer Raum für Gesundheitsdaten), EUR-Lex
- Verordnung (EU) 2017/745 (MDR), EUR-Lex
- Verordnung (EU) 2017/746 (IVDR), EUR-Lex
- Richtlinie (EU) 2022/2555 (NIS2), EUR-Lex
- HHS: HIPAA for professionals
- ASTP/ONC: Trusted Exchange Framework and Common Agreement
- ISO/IEC 27001:2022
Häufige Fragen
Gilt die DSGVO für ein US-Unternehmen mit EU-Nutzern?
Ja, gemäß Artikel 3 Abs. 2, sobald es Dienstleistungen für Personen in der EU anbietet oder deren Verhalten überwacht, unabhängig davon, wo sich die Server befinden. Es benötigt dann einen EU-Vertreter, eine Rechtsgrundlage gemäß Artikel 9 und einen rechtmäßigen Übertragungsmechanismus.
Ist HIPAA strenger als die DSGVO?
Keine ist strenger. HIPAA ist enger gefasst (nur abgedeckte Entitäten und Geschäftspartner) und vorschreibender bezüglich Schutzmaßnahmen; die DSGVO ist breiter gefasst (jeder, der Daten von EU-Bewohnern verarbeitet), rechtebasiert und erfordert eine Rechtsgrundlage für jede Nutzung. Ein Produkt, das in beiden Märkten tätig ist, muss beide erfüllen.
Ersetzt der ERGA die DSGVO für Gesundheitsdaten?
Nein. Der ERGA baut auf der DSGVO auf und fügt Verpflichtungen für EHR-Systeme, Patientenzugang, grenzüberschreitenden Austausch und sekundäre Nutzung hinzu. Die DSGVO bleibt die Grundlage für jede Verarbeitungstätigkeit.
Wo fange ich an, wenn ich kein Compliance-Team habe?
Schreiben Sie den beabsichtigten Zweck, führen Sie eine DSFA mit einer Vorlage durch, übernehmen Sie eine Sicherheits-Baseline im Stil von ISO 27001 und verwenden Sie FHIR mit den Profilen Ihres Marktes. Diese vier Schritte decken die meisten Anforderungen ab, die bei einer ersten Prüfung oder von einem ersten Krankenhaus-Kunden gestellt werden.
Kostenlos in der Sandbox testen
Ihr erster FHIR-Aufruf in 5 Minuten. Eine HL7 FHIR R4 API mit der Zustimmung des Patienten: probieren Sie sie in der Sandbox aus und verbinden Sie dann Ihre eigene App oder Ihr Kliniksystem.
Kostenlos · 30 synthetische Patienten · keine Karte
Anpheros entwickelt eine Patientenakte, die der Patient kontrolliert und mit jeder Klinik teilen kann, auf einer HL7 FHIR R4-Plattform mit Sitz in der EU. Diese Anleitungen helfen Ihnen, Ihre Gesundheit zu verstehen und zu organisieren; sie ersetzen nicht Ihren Arzt.
Über Anpheros →