Externer Datenschutzbeauftragter – Datenschutz bei Medizin- und Gesundheits-Apps

Medizin-Apps Datenschutz

Seit ein paar Jahren wandelt sich das Bewusstsein der Menschen: Fit und sportlich wollen alle sein. Hilfe, um z. B. die täglichen Schritte, Mahlzeiten, Schlafrhythmen, Herzfrequenzen oder Erinnerungen an die Einnahme von Medikamenten aufzuzeigen und auszuwerten, bieten sogenannte Medizin- und Gesundheits-Apps. Bei Ärzten und Krankenhäusern können diese Apps effektive Vernetzungsmöglichkeiten ermöglichen, um Patienten besser behandeln zu können. So ermöglichen medizinische Apps unter anderem die erleichterte Einsicht in die elektronischen Patientenakte während der Krankenhausvisite. Demzufolge ist es wahrscheinlich in naher Zukunft realisierbar, bessere Behandlungen zu ermöglichen. Mit den gesammelten Daten aus Apps dürfte spezifischer auf die gesundheitlichen Probleme des Einzelnen eingegangen und gleichzeitig Kosten im fortwährend angeschlagenen Gesundheitssystem eingespart werden können.

Trotz des unverkennbaren Nutzens bzw. Potenzials solcher Apps, stellt sich die Frage: Wie wird mit den Daten jedes einzelnen Menschen, den sogenannten personenbezogenen Daten, umgegangen und wie sicher ist ein solches System?

Ihr externer Datenschutzbeauftragter klärt Sie über den Begriff Medizin- und Gesundheits-Apps auf und erläutert Ihnen, welche Risiken mit diesen verbunden sind.

Medizin- und Gesundheits-Apps: Was ist das?

Der Markt im Bereich Fitness-, Gesundheits-, Lifestyle-, Sport- und medizinischen Apps boomt. Eine einheitliche Definition gibt es derzeit dafür nicht, dennoch weisen diese einige Gemeinsamkeiten auf. So haben alle genannten App-Kategorien einen gesundheitlichen Bezug sowie die elektronische Speicherung von Gesundheitsdaten des Nutzers. Während einige Apps die Daten auf dem Gerät (z.B. Smartphone, Smartwatch, Tracker oder Tablet) selbst speichern, existieren ebenso Apps, die die gesammelten Daten an Dritte weiterleiten.

Gesundheits-Apps sollen folglich dem Zweck dienen, eine Selbstvermessung und Selbstoptimierung des Nutzers zu ermöglichen. Neben diesem Ziel sind ebenso andere Anwendungsmöglichkeiten denkbar, beispielsweise können medizinische Apps als Hilfsmittel für Therapien eingesetzt werden, aber auch im Bereich der Gesundheitsvorsorge zur Prävention und Gesundheitsförderung im Rahmen eines Bonusprogrammes als Grundlage einer Prämienkalkulation. Ein Einsatz solcher Apps im Bereich der Forschung könnte ebenso sinnvoll sein, unter anderem, um die Ursachen von gesundheitlichen Beschwerden besser ermitteln zu können, beispielsweise zur Ermittlungen der Ursachen für Migräne.

Medizin- und Gesundheits- Apps – Ein datenschutzrechtliches Risiko?

Auch wenn solche Apps möglicherweise gesundheitsfördernde Errungenschaften sein können, sollte nicht vergessen werden, dass durch eine entsprechende Gesundheitsanalyse, sensible Daten des Nutzers erfasst werden. Besonders kritisch ist hierbei, dass die meisten Gesundheits- und medizinischen Apps unverständliche oder unzureichende Datenschutzerklärungen besitzen, was zu einer mangelhaften oder komplett fehlenden Transparenz führt.

Im Ergebnis entspricht dies gerade nicht dem, was das Bundesverfassungsgericht im Urteil des Ersten Senats vom 15. Dezember 1983, dem sogenannten „Volkszählungsurteil“ sicherstellen wollte. Hiernach sollte jeder Mensch selbst über die Preisgabe und auch Verwendung seiner persönlichen Daten, den sogenannten personenbezogenen Daten, bestimmen können.

Der Nutzer weiß also meist nicht, was mit seinen Daten geschieht oder worin er eingewilligt hat. Neben der meist nicht genau ermittelbaren Verwendung, Weiterleitung und Speicherung der erhobenen Daten ist im Regelfall keine genaue Ermittlung möglich, welche Sicherungen für die Daten bei der App vorgesehen sind. Das Auslesen von Log-Ins, die Weitergabe von sensiblen Gesundheitsdaten an Dritte sowie die Einspeisung von Schadsoftware (z.B. Trojaner) und Zweckentfremdung von personenbezogenen Daten können mögliche Konsequenz daraus sein. Ebenso fördert eine mangelhafte oder fehlerhafte Verschlüsselung, aber auch ungeschützte Kommunikationswege (wenn überhaupt keine Verschlüsselung vorliegt) den möglichen unbefugten Zugriff Dritter. Bedenklich kann mitunter auch die unberechtigte und unkontrollierte Zusammenführung und Auswertung von Daten sein. Selbst wenn eine Anonymisierung der personenbezogenen Daten vorgenommen wird, wäre es möglich, erfasste Gesundheitsdaten mit anderen Daten des Nutzers, die über eine andere Stelle frei verfügbar sind, zu kombinieren, was eine Re-Identifikation des Nutzers ermöglicht. Es könnten mit diesem Verfahren umfassende Gesundheitsprofile jedes einzelnen Nutzers erstellt werden und im Geschäftsverkehr, im Versicherungswesen oder auch in anderen Zusammenhängen ohne das Wissen des Nutzers verwendet werden.

Rechtsgrundlagen

Aufgrund des medizinischen und gesundheitsfördernden Konzepts solcher Apps können diese regelmäßig als Medizinprodukte angesehen werden.

Medizinische Produkte fallen in Deutschland unter das Medizinproduktgesetz (MPG), nach § 3 Nr. 1 MPG fällt auch etwaige Software unter die Bezeichnung Medizinprodukt. Damit eine App als Medizinprodukt eingestuft wird, ist die Zweckbestimmung der App relevant, die der Hersteller verfolgt. Nach § 3 Nr. 1 MPG muss der Hersteller der Software einen diagnostischen oder therapeutischen Zweck mit der Software verfolgen, welcher in der Norm benannt wird.

Wird die App als Medizinprodukt eingeordnet, darf diese nur in den Verkehr gebracht werden, wenn sie eine CE-Kennzeichnung besitzt, die aufzeigt, dass das Produkt den EU-Anforderungen genügt. Die grundlegende Gesundheits- und Sicherheitsanforderung verpflichtet den Hersteller dazu, entsprechende Maßnahmen zu treffen, die gewährleisten, dass die Anwendung des Medizinproduktes keine Gefährdung für den Patienten, den Anwender oder eines Dritten darstellt und ein hohes Sicherheitsniveau aufweist.

Die CE-Prüfung gibt zwar eine gewisse Sicherheit über das Produkt. Im Zusammenhang mit einer App ergeben sich jedoch andere Schutzaspekte. So gibt die CE-Kennung keinen Aufschluss über die Qualität und den Datenschutz-Standard der App, da diese innerhalb der CE-Prüfung nicht berücksichtigt werden. Ebenso werden Übertragungswege und Netzkomponenten nicht von den Regelungen des Medizinproduktgesetzes betroffen.

Gerade in diesem Bereich wäre eine Aufklärung in Form eines entsprechenden Gütesiegels oder einer anderen Form angebracht, damit eine gewisse Transparenz und Schutz für den Nutzer geschaffen werden kann, was wiederum bis dato nicht in Sicht ist. Bei AppStore-Betreibern ist allerdings immer mehr und mehr eine gewisse Tendenz zu Mindestanforderungen festzustellen, die eine App erfüllen muss um einerseits im App- bzw. PlayStore zugelassen zu werden und auch dauerhaft darin verbleiben zu dürfen. Eine der Anforderungen ist eine „ordnungsgemäße“ Datenschutzerklärung, wobei „ordnungsgemäß“ aktuell wohl eher noch ein Synonym für „oberflächlich“ ist. Aber auch hierbei dürften immer mehr Verschärfungen bei den Anforderungen zu verzeichnen sein.

Datenschutzrechtliche Regelungen

Entscheidend bei dem Einsatz von Medizin- oder Gesundheits-Apps ist die Beachtung datenschutzrechtlicher Reglementarien. Sofern ein App-Hersteller in Deutschland personenbezogenen Daten erhebt oder diese verwendet, hat dieser sich im Regelfall nach den Vorgaben des deutschen Datenschutzrechts und Telemediensrechts zu richten. Ab 2018 gilt natürlich auch die Europäische Datenschutz-Grundverordnung (DS-GVO).

Nach deutschem Datenschutzrecht zählen Gesundheitsdaten zu den personenbezogenen Daten (§ 3 BDSG), welche nur durch eine andere spezielle Reglung oder die Zustimmung des Betroffenen erhoben, verarbeitet und genutzt werden können (§ 4 BDSG). Gesundheitsdaten werden als äußerst sensibel eingestuft, weil diese den Gesundheitszustand und die Gewohnheiten des Betroffenen betreffen (z.B. Raucher oder Nichtraucher, Ernährungsgewohnheiten). Aus diesem Grund sind diese neben dem Bundesdatenschutzgesetz auch durch spezielle Regelungen geschützt:

  • E-Health Gesetz (Gesetz über sichere Digitale Kommunikation im Gesundheitswesen)
  • IT-Sicherheitsgesetz

Dieses schreibt für Hersteller, welche im Gesundheitssektor aktiv sind, einen Mindeststandard an IT-Sicherheit und eine Meldung von IT-Sicherheitsvorfällen an das BSI (Bundesamt für Sicherheit in der Informationstechnik) vor.

  • Bundesdatenschutzgesetz (BDSG)

Nach § 9 BDSG ist die verantwortliche Stelle (App-Hersteller) dazu verpflichtet, entsprechende Maßnahmen zu treffen, die die Sicherheit der Daten gewährleisten. Diese werden bei sensiblen Daten, wie Gesundheitsdaten, einem besonders hohen Maßstab unterliegen. Nach §§ 43, 44 BDSG sind unrechtmäßige Datenverarbeitungen nach BDSG zu sanktionieren.   Mit der Datenschutz-Grundverordnung steigen die Sanktionen für Verstöße gegen Datenschutz.

Sollten gesetzliche Krankenkassen Medizin- und Gesundheits-Apps anbieten, richtet sich außerdem die Zulässigkeit einer solchen App nach speziellen Regelungen des Sozialgesetzbuches (SGB). So ist eine Verarbeitung von Sozialdaten, welche nicht vom SGB gedeckt werden, unzulässig und im Regelfall auch nicht mit der Einwilligung des Betroffenen legitimiert. Private Krankenkassen haben jedoch bezüglich dieses Themas einen größeren Spielraum. Dennoch sollten diese ebenso auf den Datenschutzgrundsatz der Transparenz achten und den Nutzer über das Verfahren sowie die Nutzung seiner Daten ordentlich aufklären.

Häufig ist jedoch der App-Hersteller ein ausländisches Unternehmen, welches die erhobenen Daten in anderen Ländern speichert. Hierbei ist besonders die Drittstaatenproblematik zu beachten, da nicht alle Länder das gleiche Datenschutzniveau besitzen. Unproblematischer ist es in der Regel, wenn sich der App-Hersteller innerhalb der Europäischen Union oder des europäischen Wirtschaftsraums befindet, da innerhalb der EU/des EWR derzeit durch die Datenschutzrichtlinie 95/46/EG und im Mai 2018 durch die europäische Datenschutz-Grundverordnung (DS-GVO) das Datenschutzniveau harmoniert ist

Die DS-GVO besitzt jedoch keine spezifischen Regelungen zu Medizin- oder Gesundheits-Apps. Sie gewährt jedoch den nationalen Gesetzgebern, nach Art 9 Abs. 4 DS-GVO, entsprechende Reglungen zum Umgang mit Gesundheitsdaten zu erlassen. Weiterhin werden Anbieter und Entwickler von Medizin- und Gesundheits-Apps auf Europäischer Ebene den erarbeiteten „Code of Conduct on Privacy for Health Apps“ berücksichtigen müssen. Laut diesem sind sie dazu angehalten, Datenschutzfunktionen von Beginn an vorzusehen. Zu den entsprechenden Datenschutzfunktionen gehört vor allem eine transparente Darstellung, für was die erhobenen Daten gespeichert und übermittelt werden sollen.

Ärztliche Schweigepflicht

Werden medizinische App von Krankenhäusern oder Ärzten genutzt, ist der § 203 Abs. 1 Nr. 1 StGB zu beachten. Nach diesem unterliegen Daten, die dem Arzt in seiner beruflichen Funktion anvertraut worden sind oder die in diesem Zusammenhang sonst bekannt geworden sind, der ärztlichen Schweigepflicht. Folglich können entsprechende Daten nicht an Dritte, wie etwa dem Anbieter der medizinischen App, weitergeleitet werden.

Mit der Anwendung des § 11 BDSG könnte dieses Problem gelöst werden. Demnach wäre im oben genannten Fall eine Auftragsdatenverarbeitung vorrangig anzuwenden. Ein anderer Ansatzpunkt wäre, die Auftragsdatenverarbeiter (Apps) als berufsmäßige Gehilfen des Arztes im Sinne des § 203 Abs. 3 S. 2 StGB zu qualifizieren. So würde unter bestimmten Bedingungen die Datenweitergabe nicht in den Tatbestand des § 203 StGB fallen.

Welche Variante die richtige ist, ist derzeit ungeklärt und entsprechend des Einzelfalls abzuwägen. Daher sollten Ärzte und Krankenhäuser sich über die genauen datenschutzrechtlichen Anforderungen der jeweiligen App informieren und besonders im Hinblick auf Datenspeicherung im Ausland vorsichtig sein.

Hilfe bieten Spezialisten, z.B. Datenschutzbeauftragte, Datenschutzberater, aber auch IT-Sicherheitsbeauftragte, welche mit dem Datenschutz vertraut sind. Es ist daher empfehlenswert vor der Nutzung einer Medizin- oder Gesundheits-App, fachkundigen Rat einzuholen.

Fazit

Schon beim Herstellungsprozess einer Gesundheits- oder medizinischen App, sind Datenschutzvorgaben zu beachten. Dabei ist besonders eine Prüfung in Hinblick auf die datenschutzrechtlichen Grundsätze der Datensparsamkeit, Transparenz und Drittstaatenproblematik vorzunehmen. Gerade weil die Materie eine umfangreiche Auseinandersetzung mit einer Vielzahl von Rechtbereichen notwendig macht, sollte frühzeitig ein Beratungsgespräch mit dem Datenschutzbeauftragten, IT-Sicherheitsbeauftragten oder auch mit einem Datenschutzberater erfolgen, um möglichen Problemen aus dem Weg zu gehen, welche nicht nur Sanktionen bedeuten, sondern auch zu erhebliche Imageschäden des Unternehmen führen könnten.

Sofern Sie eine kompetente Beratung und Unterstützung bezüglich dieses Themas suchen, stehen wir, Bands Consulting, Ihnen gern als Ansprechpartner zur Seite.

Kontaktieren Sie uns und holen Sie sich ein kostenloses und unverbindliches Angebot bei uns ein.

Nützliche Dienstleistungen können z. B. sein:

Unser Dienstleistungsangebot offerieren wir:

  • Unternehmen / Firmen [Einzelunternehmen, kleine und mittelständische Unternehmen (KMU) und Konzerne]
  • Behörden und Körperschaften des öffentlichen Rechts
  • Stiftungen bzw. Gesellschaften in kirchlicher Trägerschaft [unter Anwendung des Datenschutzgesetzes der Evangelischen Kirche in Deutschland (DSG-EKD) bzw. der Anordnung über den Kirchlichen Datenschutz (KDO)]
  • Vereinen / Verbänden
  • sowie in Einzelfällen interessierten Privatpersonen.