Medizintechnikunternehmen verarbeiten täglich Gesundheitsdaten von Patienten, Probanden und medizinischem Personal – Datenkategorien, die nach der Datenschutz-Grundverordnung (DSGVO) dem strengsten Schutzregime unterfallen. Wer als Geschäftsführer eines mittelständischen Medizintechnikherstellers oder -vertreibers glaubt, die Einführung eines CE-Konformitätsbewertungsverfahrens nach MDR decke bereits alle regulatorischen Anforderungen ab, übersieht eine eigenständige, bußgeldbewehrte Pflichtendimension.
DSGVO-Compliance für Unternehmen der Medizintechnik bedeutet: Jede Verarbeitung von Gesundheitsdaten – ob in der Produktentwicklung, in der klinischen Bewertung oder im Kundendienst – erfordert eine ausdrückliche Rechtsgrundlage nach Art. 6 und Art. 9 DSGVO, ein vollständiges Verzeichnis von Verarbeitungstätigkeiten sowie gegebenenfalls eine Datenschutz-Folgenabschätzung (DSFA). Verstöße können mit Bußgeldern von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes geahndet werden. Dieser Branchenreport zeigt, welche DSGVO-Pflichten in der Medizintechnik besondere Relevanz haben, wo Datenschutzbehörden erfahrungsgemäß prüfen und welche Schritte Sie als Geschäftsführer priorisieren sollten.
Der Bericht behandelt zunächst die regulatorische Gemengelage aus DSGVO, BDSG und MDR, beleuchtet dann die branchenspezifischen Verarbeitungsszenarien, erörtert die Pflicht zur Datenschutz-Folgenabschätzung, die Anforderungen an Auftragsverarbeitungsverträge, die Meldepflichten bei Datenpannen, die persönliche Haftung der Geschäftsführung sowie konkrete Handlungsempfehlungen für die Praxis.
Regulatorische Gemengelage: DSGVO, BDSG und Medizinprodukteverordnung im Zusammenspiel
Medizintechnikunternehmen operieren in einem regulatorischen Dreieck aus europäischem Datenschutzrecht, nationalem Ausführungsrecht und Medizinprodukteregulierung – und jedes dieser Rechtsregime stellt eigenständige Anforderungen, die sich nicht gegenseitig ersetzen.
Die DSGVO schützt natürliche Personen bei der Verarbeitung personenbezogener Daten und enthält in Art. 9 ein grundsätzliches Verbot der Verarbeitung besonderer Kategorien, zu denen Gesundheitsdaten ausdrücklich zählen. Das Bundesdatenschutzgesetz (BDSG) konkretisiert dieses Schutzniveau auf nationaler Ebene und erlaubt in § 22 BDSG die Verarbeitung von Gesundheitsdaten unter engen Voraussetzungen, insbesondere für Zwecke der medizinischen Diagnostik, Gesundheitsversorgung oder der Arbeitssicherheit. Die EU-Medizinprodukteverordnung (MDR 2017/745) hingegen regelt Sicherheit und Leistungsfähigkeit von Medizinprodukten und enthält eigene Dokumentationspflichten, die regelmäßig zur Erhebung personenbezogener Daten verpflichten – etwa im Rahmen der Post-Market Surveillance oder klinischer Nachbeobachtungsstudien (PMCF).
Das Zusammenspiel dieser Regime erzeugt eine Pflichtenkollision: Die MDR verpflichtet den Hersteller zur kontinuierlichen Sammlung und Auswertung von Felddaten. Die DSGVO verlangt hierfür eine tragfähige Rechtsgrundlage, eine Zweckbindung und eine Speicherbegrenzung. In der Mandatspraxis sehen wir regelmäßig, dass Unternehmen die MDR-seitige Dokumentationspflicht sorgfältig erfüllen, aber versäumen, das zugehörige Verarbeitungsverzeichnis nach Art. 30 DSGVO vollständig zu führen oder eine DSFA nach Art. 35 DSGVO durchzuführen. Datenschutzbehörden nehmen diese Lücke zunehmend ins Visier.
Für Geschäftsführer bedeutet das: Die Beauftragung eines Regulatory-Affairs-Teams für die MDR entlastet Sie datenschutzrechtlich nicht. DSGVO-Compliance erfordert eine eigenständige Steuerungsebene – und die persönliche Verantwortung bleibt bei der Geschäftsführung.
Welche Verarbeitungsszenarien in der Medizintechnik besonderes Risiko tragen
Nicht jede Datenverarbeitung in der Medizintechnik ist gleich risikoreich. Die branchenspezifische Besonderheit liegt darin, dass selbst scheinbar technische Vorgänge – Produktfehleranalysen, Software-Updates von vernetzten Medizingeräten, Schulungen für Endanwender – den Schutzbereich der DSGVO berühren können.
Die folgenden Verarbeitungsszenarien begegnen uns in der Beratung besonders häufig und weisen ein überdurchschnittliches Bußgeldrisiko auf:
- Klinische Bewertung und PMCF-Studien: Die MDR verlangt die systematische Erhebung von Leistungs- und Sicherheitsdaten aus dem Markt. Sobald dabei Patientenidentifikation oder Diagnosemerkmale verarbeitet werden, liegt eine Verarbeitung nach Art. 9 DSGVO vor. Die Rechtsgrundlage muss explizit nachgewiesen werden – regelmäßig eine informierte Einwilligung oder eine spezialgesetzliche Erlaubnisnorm.
- Vernetztes Medizingerät (Connected Medical Device / IoT): Software as a Medical Device (SaMD) und vernetzte Implantate übertragen kontinuierlich Vitaldaten. Die datenschutzrechtliche Klassifikation dieser Datenströme, die Frage der gemeinsamen Verantwortlichkeit (Art. 26 DSGVO) zwischen Hersteller, Krankenhaus und Cloud-Provider sowie die technischen Schutzmaßnahmen sind in vielen Unternehmen noch unzureichend geregelt.
- Field Corrective Actions und Rückrufmanagement: Wenn ein Medizintechnikunternehmen im Rahmen einer Field Safety Corrective Action (FSCA) personenbezogene Daten von Patienten oder Betreibern verarbeitet, muss es hierfür eine Rechtsgrundlage nachweisen können. Vielfach fehlt es am dokumentierten Nachweis.
- Vertrieb an Kliniken und die Einbindung von Handelsvertretern: Die Weitergabe von Kundendaten zwischen Hersteller, Vertriebsgesellschaft und Handelsvertretern ist datenschutzrechtlich zu bewerten und ggf. vertraglich zu fassen – als Auftragsverarbeitung oder als eigenständige Verarbeitung unter Verantwortlichkeit.
- Mitarbeiterdaten bei Schulungen und Zertifizierungen: Produktschulungen für medizinisches Personal, die Zertifizierungsnachweise mit Personenidentifikation speichern, begründen eigene Verarbeitungstatbestände nach Art. 6 Abs. 1 BDSG/DSGVO.
Jedes dieser Szenarien erfordert eine Einzelbewertung. Ein pauschales Datenschutzkonzept, das nicht auf die spezifischen Verarbeitungsvorgänge des Unternehmens zugeschnitten ist, genügt dem Rechenschaftsprinzip des Art. 5 Abs. 2 DSGVO nicht.
Wann ist eine Datenschutz-Folgenabschätzung in der Medizintechnik verpflichtend?
Die Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist für Medizintechnikunternehmen in einer Vielzahl von Szenarien keine Kür, sondern gesetzliche Pflicht – und ihr Fehlen ist eines der meistbeanstandeten Defizite in Aufsichtsbehördenprüfungen.
Eine DSFA ist zwingend erforderlich, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Art. 35 Abs. 3 DSGVO nennt als Regelbeispiele die systematische und umfangreiche Verarbeitung besonderer Datenkategorien sowie die umfangreiche Verarbeitung von Gesundheitsdaten. Die deutsche Datenschutzkonferenz (DSK) hat in ihrer Muss-Liste für DSFAs explizit die Verarbeitung von Gesundheitsdaten durch Medizinprodukte und Gesundheits-Apps benannt. Für die Mehrzahl der vernetzten Medizintechnikprodukte ist eine DSFA damit obligatorisch – nicht fakultativ.
In der Mandatspraxis begegnen uns drei typische Fehler beim DSFA-Prozess: Erstens wird die DSFA einmalig zu Produkteinführung durchgeführt und danach nicht mehr aktualisiert, obwohl Art. 35 Abs. 11 DSGVO eine regelmäßige Überprüfung verlangt. Zweitens wird der Datenschutzbeauftragte (DSB) nicht in den Prozess einbezogen, obwohl Art. 35 Abs. 2 DSGVO dessen Hinzuziehung vorschreibt. Drittens fehlt eine nachvollziehbare Risikoabwägung; stattdessen werden Textbausteine verwendet, die keinen Bezug zur konkreten Verarbeitungssituation haben.
Stellt die Datenschutzbehörde im Rahmen einer Prüfung fest, dass keine oder eine unvollständige DSFA vorliegt, ist das für sich allein bereits ein bußgeldbewehrter Verstoß gegen Art. 83 Abs. 4 DSGVO. Dabei kommt es nicht auf einen eingetretenen Schaden an. Für inhabergeführte Medizintechnikunternehmen, die einer behördlichen Prüfung ausgesetzt sind, kann allein dieser Mangel zu einer erheblichen Bußgeldbelastung führen.
Wir empfehlen, die DSFA als lebendiges Dokument im Qualitätsmanagement zu verankern – mit definierten Überprüfungsintervallen und klarer Zuständigkeit in der Geschäftsführung.
Auftragsverarbeitung und gemeinsame Verantwortlichkeit: Wo liegen die Fallstricke?
Medizintechnikunternehmen arbeiten typischerweise mit einer Vielzahl externer Dienstleister zusammen: Cloud-Anbieter für die Speicherung von Gerätedaten, CROs (Contract Research Organizations) für klinische Studien, IT-Dienstleister für Fernwartung vernetzter Geräte, Lohnfertiger, die Produktionsdaten mit Patientenbezug verarbeiten. Jede dieser Konstellationen erfordert eine datenschutzrechtliche Qualifikation und ggf. den Abschluss eines Auftragsverarbeitungsvertrags (AVV) nach Art. 28 DSGVO.
Fehlt ein wirksamer AVV, haftet der Auftraggeber als Verantwortlicher für jeden Verstoß des Auftragsverarbeiters wie für einen eigenen Verstoß. Diese Haftungserweiterung wird von vielen Geschäftsführern unterschätzt. Nach unserer Erfahrung in der Beratung von Medizintechnikunternehmen fehlen AVVs besonders häufig bei Fernwartungsdienstleistungen und bei der Nutzung internationaler Cloud-Dienste – gerade dort, wo Drittlandübermittlungen in die USA oder nach Asien stattfinden.
Bei Drittlandübermittlungen ist seit dem Schrems-II-Urteil des EuGH ein Transfer Impact Assessment (TIA) erforderlich, das die Schutzwürdigkeit der Daten im Empfängerland individuell bewertet. Das EU-US-Datenschutzrahmenwerk (Data Privacy Framework, DPF) erleichtert seit 2023 Übermittlungen in die USA für zertifizierte Anbieter, hebt die TIA-Pflicht für die Risikoabwägung im Übrigen aber nicht vollständig auf.
Besondere Aufmerksamkeit verdient die Konstellation der gemeinsamen Verantwortlichkeit nach Art. 26 DSGVO. Diese liegt vor, wenn zwei Unternehmen gemeinsam über Zwecke und Mittel der Verarbeitung entscheiden – etwa wenn Hersteller und Krankenhaus gemeinsam eine Datenplattform betreiben, auf der Patientendaten zur Produktverbesserung ausgewertet werden. In diesem Fall sind die Pflichten aus der Vereinbarung nach Art. 26 DSGVO bindend, und die Nichterfüllung ist bußgeldbewehrt. Eine sorgfältige Abgrenzung zwischen Auftragsverarbeitung und gemeinsamer Verantwortlichkeit ist daher für jedes Kooperationsmodell unverzichtbar.
Für die Vertragsgestaltung gilt: Ein AVV ist kein Formularwerk, das sich mit wenigen Klicks generieren lässt und branchenunabhängig passt. Im medizintechnischen Umfeld muss er die spezifischen Verarbeitungsvorgänge, die Sicherheitsanforderungen nach Art. 32 DSGVO und ggf. sektorspezifische Anforderungen aus der MDR widerspiegeln.
Was gilt bei Datenpannen: Meldepflichten und die 72-Stunden-Frist
Eine Datenpanne – ob durch Cyberangriff, versehentliche Offenbarung oder Verlust eines unverschlüsselten Datenträgers mit Patientendaten – löst für Medizintechnikunternehmen unmittelbare Handlungspflichten aus, bei denen die Zeit kritisch ist.
Nach Art. 33 DSGVO muss eine Verletzung des Schutzes personenbezogener Daten binnen 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde gemeldet werden, sofern die Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Bei Gesundheitsdaten ist dieses Risiko in der Regel anzunehmen. Eine Meldung an die Aufsichtsbehörde genügt nicht: Sofern ein hohes Risiko für die Betroffenen besteht, ist nach Art. 34 DSGVO zusätzlich die unverzügliche Benachrichtigung der betroffenen Personen erforderlich.
Die 72-Stunden-Frist beginnt zu laufen, sobald das Unternehmen hinreichende Gewissheit hat, dass eine meldepflichtige Verletzung vorliegt. In der Praxis führt das zu erheblichem Handlungsdruck: Forensische Aufklärung, rechtliche Bewertung, Abstimmung mit dem Datenschutzbeauftragten und Meldungserstellung müssen parallel bewältigt werden. Wer keinen eingespielten Incident-Response-Prozess hat, riskiert eine verspätete Meldung – und die Verspätung selbst ist ein eigenständiger Bußgeldtatbestand.
Besonders gravierend ist die Situation, wenn ein vernetztes Medizingerät Ziel eines Cyberangriffs wird. Dann überlagern sich DSGVO-Meldepflichten, MDR-seitige Vigilanzpflichten gegenüber Behörden wie dem BfArM und ggf. Meldepflichten nach dem IT-Sicherheitsgesetz bzw. dem KRITIS-Regelwerk. Die Koordination dieser parallelen Meldestränge muss vorab definiert sein – nicht im Ernstfall ad hoc.
Nach unserer Erfahrung verfügen weniger als die Hälfte der mittelständischen Medizintechnikunternehmen über einen dokumentierten und geübten Incident-Response-Plan, der alle drei Meldestränge abdeckt. Das ist ein strukturelles Risiko, das durch eine halbtägige Planungsrunde erheblich reduziert werden kann.
Persönliche Haftung der Geschäftsführung: Unterschätzte Dimension der DSGVO
Die DSGVO richtet sich formal an Unternehmen als Verantwortliche. Die persönliche Haftung der Geschäftsführer folgt jedoch aus dem GmbH-Recht, dem Ordnungswidrigkeitenrecht und – bei strafbewehrten Tatbeständen – aus dem Strafrecht.
Im GmbH-Recht gilt: Jeder Geschäftsführer ist nach § 43 Abs. 1 GmbHG verpflichtet, die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden. DSGVO-Compliance ist heute keine freiwillige Managementaufgabe, sondern Teil dieser Sorgfaltspflicht. Verstöße können zur persönlichen Innenhaftung gegenüber der Gesellschaft führen, wenn durch die Nichterfüllung von Datenschutzpflichten ein Bußgeld verhängt wird oder die Gesellschaft Schadensersatz nach Art. 82 DSGVO leisten muss.
Art. 82 DSGVO begründet einen verschuldensunabhängigen Schadensersatzanspruch betroffener Personen gegenüber dem Verantwortlichen – und in der deutschen Rechtsprechung hat sich ein Trend zu immateriellen Schadenersatzansprüchen auch bei geringen Datenschutzverstößen etabliert. Die Summe einzelner Ansprüche kann bei einer Datenpanne mit vielen Betroffenen rasch wirtschaftlich erhebliche Dimensionen erreichen.
Hinzu kommt: Datenschutzbehörden haben in Deutschland zunehmend direkte Verfahren gegen verantwortliche Geschäftsführer eingeleitet, wenn ein behördliches Bußgeldverfahren gegen das Unternehmen läuft und der persönliche Tatbeitrag der Leitungsebene belegt ist. Das Ordnungswidrigkeitenrecht (§ 30 OWiG, § 130 OWiG) erlaubt die Verhängung von Bußgeldern gegen natürliche Personen, wenn Aufsichtspflichten verletzt wurden.
Für Geschäftsführer inhabergeführter Medizintechnikunternehmen bedeutet das: DSGVO-Compliance ist keine Delegationsaufgabe, die mit der Bestellung eines Datenschutzbeauftragten erledigt ist. Die Geschäftsführung muss sich regelmäßig über den Stand der Compliance informieren und Defizite abstellen – und das dokumentieren. Nur wer nachweisen kann, dass er geeignete organisatorische und technische Maßnahmen angeordnet und deren Umsetzung überwacht hat, kann einer persönlichen Haftung entgegenwirken.
Datenschutzbeauftragter in der Medizintechnik: Pflicht oder Kür?
Für viele mittelständische Medizintechnikunternehmen ist die Bestellung eines Datenschutzbeauftragten (DSB) keine unternehmerische Entscheidung, sondern gesetzliche Pflicht – und die Nichtbestellung ist ihrerseits bußgeldbewehrt.
Nach Art. 37 DSGVO in Verbindung mit § 38 BDSG ist ein DSB zwingend zu bestellen, wenn die Kerntätigkeit des Unternehmens in der umfangreichen Verarbeitung besonderer Datenkategorien besteht. Bei Medizintechnikunternehmen, die Gesundheitsdaten systematisch verarbeiten – was auf nahezu alle Hersteller und viele Vertriebsorganisationen zutrifft –, liegt diese Voraussetzung regelmäßig vor. Die Schwelle „umfangreich" ist dabei nicht auf Großunternehmen beschränkt; sie kann auch bei mittelständischen Herstellern mit einigen Hundert Geräten im Feld erfüllt sein.
Der DSB kann intern oder extern bestellt werden. Interne DSBs sind kosteneffizient, aber nur geeignet, wenn die Person fachlich hinreichend qualifiziert ist und keine Interessenkonflikte bestehen – was bei IT-Leitern, die gleichzeitig Systeme verantworten, oft problematisch ist. Externe DSBs bieten Unabhängigkeit und aktuelle Fachkenntnisse, erfordern aber klare Aufgaben- und Berichtspflichten.
Häufig anzutreffendes Missverständnis: Der DSB ist kein Datenschutzverantwortlicher, sondern ein interner Kontrolleur und Berater. Er überwacht die Einhaltung der DSGVO, berät die Geschäftsführung und ist Ansprechpartner für die Aufsichtsbehörde und Betroffene. Die Verantwortung für Compliance liegt nicht beim DSB, sondern bei der Geschäftsführung.
Ist der DSB nicht ordnungsgemäß bestellt, nicht hinreichend qualifiziert oder wird ihm keine ausreichende Ressourcen- und Datenzugang gewährt, kann die Aufsichtsbehörde dies als Verstoß gegen Art. 37–39 DSGVO werten. Nach unserer Erfahrung ist die unzureichende Einbindung des DSB in unternehmerische Entscheidungen – etwa bei der Produktentwicklung oder der Einführung neuer IT-Systeme – ein typischer Befund in behördlichen Prüfungen von Medizintechnikunternehmen.
Branchenspezifisches Bußgeldrisiko: Wie prüfen Datenschutzbehörden in der Medizintechnik?
Die deutschen Aufsichtsbehörden haben in den vergangenen Jahren ihre sektorspezifische Prüfungspraxis intensiviert. Medizintechnik steht dabei aufgrund der besonders schutzbedürftigen Datenkategorien im Fokus. Behörden wie der Bayerische Landesbeauftragte für den Datenschutz (BayLfD) oder die Berliner Beauftragte für Datenschutz und Informationsfreiheit haben öffentlich kommuniziert, dass die Verarbeitung von Gesundheitsdaten durch technische Systeme einen Prüfungsschwerpunkt darstellt.
Typische Prüfungsanlässe in der Medizintechnik sind: gemeldete Datenpannen, Beschwerden von Patienten oder medizinischem Personal, Hinweise von Mitarbeitern, Prüfungen im Zuge von MDR-Konformitätsbewertungen sowie anlassunabhängige Prüfungen auf Basis von Risikoeinschätzungen der Behörde. Bußgelder bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes können bei schwerwiegenden Verstößen verhängt werden – wobei die Behörden die Schwere des Verstoßes, Kooperationsbereitschaft und Abhilfemaßnahmen des Unternehmens in die Bemessung einbeziehen.
Was schützt in einer behördlichen Prüfung? Erstens: vollständige und aktuelle Dokumentation (Verarbeitungsverzeichnis, DSFAs, AVVs, Löschkonzept). Zweitens: nachweisbare organisatorische Maßnahmen (DSB-Bestellung, Schulungsnachweise, Incident-Response-Plan). Drittens: proaktive Kooperation mit der Behörde – Unternehmen, die Defizite selbst erkennen und beheben, bevor die Behörde prüft, stehen regelmäßig besser da als solche, die Mängel erst auf Druck abstellen.
Wie sieht eine solche Prüfung in der Praxis aus? Behörden fordern zunächst schriftliche Auskünfte gemäß Art. 58 DSGVO – eine Antwortfrist von regelmäßig zwei bis vier Wochen ist typisch. Wer zu diesem Zeitpunkt keine strukturierte Dokumentation hat, kommt in erheblichen Zeitdruck. Die vorherige Klärung, welche Unterlagen vorhanden sind und was möglicherweise nachzubessern ist, ist daher einer der wichtigsten präventiven Schritte.
Mikro-Fall aus der Mandatspraxis
In einem aktuellen Mandat beriet die Kanzlei einen mittelständischen Hersteller von vernetzten Infusionspumpen aus Bayern. Ausgangslage: Das Unternehmen hatte im Zuge der MDR-Zertifizierung ein umfangreiches Qualitätsmanagementsystem aufgebaut, das Post-Market-Surveillance-Daten aus dem Klinikeinsatz erfasste. Ein externer Hinweis beim zuständigen Landesbeauftragten für Datenschutz führte zu einer behördlichen Anfrage nach Art. 58 DSGVO. Vorgehen: Die Kanzlei prüfte zunächst das Verarbeitungsverzeichnis auf Vollständigkeit, identifizierte fehlende DSFAs für drei Verarbeitungsvorgänge und überarbeitete die bestehenden AVVs mit den Krankenhäusern, bei denen bislang keine Vereinbarungen nach Art. 26 DSGVO für die Datenplattform vorlagen. Parallel wurde eine strukturierte Antwort an die Behörde erarbeitet, die den Stand der Nachbesserungen dokumentierte. Ergebnis: Die Behörde schloss das Verfahren ohne Bußgeld ab und würdigte die nachgewiesenen Abhilfemaßnahmen ausdrücklich. Das Unternehmen hat seitdem DSGVO-Compliance als regulären Tagesordnungspunkt in Geschäftsführungssitzungen verankert.
Praktische Handlungsempfehlungen: Was Geschäftsführer in der Medizintechnik jetzt prüfen sollten
DSGVO-Compliance ist kein Projekt mit definiertem Abschlusstermin, sondern ein fortlaufender Steuerungsprozess. Nach unserer Erfahrung lassen sich die wirksamsten Maßnahmen in drei Prioritätsstufen einteilen.
Priorität 1 – Sofortmaßnahmen (innerhalb von vier Wochen):
- Verarbeitungsverzeichnis nach Art. 30 DSGVO auf Vollständigkeit prüfen: Erfasst es alle Verarbeitungsvorgänge mit Gesundheitsdaten, einschließlich der MDR-bedingten Datenerhebungen?
- Bestehende AVVs sichten: Sind alle Dienstleister, die Gesundheitsdaten verarbeiten, durch wirksame AVVs gebunden? Bestehen Drittlandübermittlungen ohne hinreichende Safeguards?
- Datenschutzbeauftragten-Status klären: Ist ein DSB bestellt? Ist er ordnungsgemäß in die Entscheidungsprozesse eingebunden?
- Incident-Response-Prozess überprüfen: Gibt es ein dokumentiertes Verfahren für Datenpannen mit klarer Zuständigkeit und Einhaltung der 72-Stunden-Frist?
Priorität 2 – Mittelfristige Strukturmaßnahmen (innerhalb von drei Monaten):
- DSFA für alle risikobehafteten Verarbeitungsvorgänge durchführen oder aktualisieren – insbesondere für vernetzte Produkte, PMCF-Studien und Cloud-Plattformen.
- Löschkonzept erstellen: Für jede Datenkategorie muss die zulässige Aufbewahrungsfrist definiert und technisch umgesetzt werden.
- Schulungsnachweis sicherstellen: Mitarbeiter, die Gesundheitsdaten verarbeiten, sind regelmäßig zu schulen; Nachweise sind aufzubewahren.
- Art.-26-DSGVO-Vereinbarungen prüfen: Bestehen Kooperationen mit Kliniken oder anderen Stellen, bei denen eine gemeinsame Verantwortlichkeit vorliegen könnte?
Priorität 3 – Langfristige Governance (laufend):
- DSGVO-Compliance als festen Tagesordnungspunkt in Geschäftsführungssitzungen verankern.
- Privacy by Design und Privacy by Default nach Art. 25 DSGVO in die Produktentwicklung integrieren: Neue Produkte und Features sind datenschutzrechtlich zu bewerten, bevor sie in Entwicklung gehen, nicht danach.
- Regelmäßige interne Audits durchführen und dokumentieren – nicht erst, wenn eine Behörde anklopft.
Welche dieser Maßnahmen in Ihrem Unternehmen noch fehlen? Und wie lange würde es dauern, bis Sie in einer behördlichen Prüfungssituation die erforderliche Dokumentation vorlegen können? Diese Fragen sollten Sie sich heute stellen – nicht am Tag, an dem die Behörde ihre Anfrage stellt.
Die vorstehende Darstellung betrifft die typischen Regelfälle in der Medizintechnikbranche. Ihr konkreter Fall erfordert die Prüfung Ihrer spezifischen Verarbeitungsvorgänge, bestehenden Verträge, Fristen und der einschlägigen Rechtsprechung. Für eine erste Durchsicht Ihrer Unterlagen – Verarbeitungsverzeichnis, AVVs, DSFAs – erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zur DSGVO-Compliance in der Medizintechnik
Müssen Medizintechnikunternehmen zwingend einen Datenschutzbeauftragten bestellen?
Für Medizintechnikunternehmen, deren Kerntätigkeit die umfangreiche Verarbeitung von Gesundheitsdaten umfasst, ist die Bestellung eines Datenschutzbeauftragten nach Art. 37 DSGVO in Verbindung mit § 38 BDSG gesetzlich vorgeschrieben. Dies trifft auf nahezu alle Hersteller und viele Vertriebsorganisationen in der Medizintechnik zu. Die Nichtbestellung ist selbst bußgeldbewehrt. Der DSB kann intern oder als externer Dienstleister bestellt werden. Entscheidend ist die fachliche Qualifikation und die strukturelle Unabhängigkeit von operativen Interessen.
Was passiert, wenn die 72-Stunden-Meldepflicht bei einer Datenpanne nicht eingehalten wird?
Die Verletzung der Meldepflicht nach Art. 33 DSGVO ist ein eigenständiger Bußgeldtatbestand nach Art. 83 Abs. 4 DSGVO. Eine verspätete oder unterlassene Meldung kann unabhängig vom zugrundeliegenden Datenschutzverstoß sanktioniert werden. Bußgelder bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes sind für Verstöße gegen Art. 33 DSGVO möglich. Darüber hinaus kann eine verspätete Meldung das Bußgeldrisiko für den eigentlichen Vorfall verschärfen, da Behörden die Kooperationsbereitschaft in die Bemessung einbeziehen.
Gilt die DSGVO auch für Gesundheitsdaten, die im Rahmen der MDR-Nachbeobachtung erhoben werden?
Ja. Die MDR verpflichtet Hersteller zur Post-Market Surveillance und zur Durchführung klinischer Nachbeobachtungsstudien (PMCF). Sofern dabei personenbezogene Daten – insbesondere Gesundheitsdaten von Patienten – verarbeitet werden, gilt die DSGVO vollumfänglich. MDR und DSGVO ergänzen sich; die MDR-seitige Dokumentationspflicht begründet keine eigenständige DSGVO-Rechtsgrundlage. Für jeden MDR-bedingten Verarbeitungsvorgang mit Personenbezug ist eine Rechtsgrundlage nach Art. 6 und Art. 9 DSGVO sowie eine Eintragung im Verarbeitungsverzeichnis erforderlich.
Wann liegt eine gemeinsame Verantwortlichkeit zwischen Medizintechnikhersteller und Krankenhaus vor?
Eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO liegt vor, wenn Hersteller und Krankenhaus gemeinsam über Zwecke und Mittel der Verarbeitung entscheiden. Das ist typischerweise der Fall, wenn beide Parteien eine gemeinsame Datenplattform betreiben, auf der Patientendaten zu Produktverbesserungszwecken ausgewertet werden. Liegt gemeinsame Verantwortlichkeit vor, sind die Pflichten aus einer Art.-26-DSGVO-Vereinbarung bindend. Die Abgrenzung zur Auftragsverarbeitung ist im Einzelfall zu prüfen und hat erhebliche Auswirkungen auf die Haftungsverteilung.
Welche Konsequenzen drohen Geschäftsführern persönlich bei DSGVO-Verstößen?
Geschäftsführer haften nach § 43 Abs. 1 GmbHG persönlich gegenüber der Gesellschaft, wenn durch die Vernachlässigung von DSGVO-Pflichten ein Bußgeld verhängt wird oder die Gesellschaft Schadensersatz nach Art. 82 DSGVO zu leisten hat. Darüber hinaus können Datenschutzbehörden im Rahmen des Ordnungswidrigkeitenrechts (§ 130 OWiG) bei nachgewiesener Verletzung von Aufsichtspflichten direkte Bußgeldbescheide gegen natürliche Personen erlassen. Wer dokumentiert, dass er geeignete Maßnahmen angeordnet und deren Umsetzung überwacht hat, mindert dieses persönliche Haftungsrisiko erheblich.
Muss für jedes neue vernetzte Medizinprodukt eine Datenschutz-Folgenabschätzung durchgeführt werden?
Für vernetzte Medizinprodukte, die Gesundheitsdaten umfangreich verarbeiten, ist eine DSFA nach Art. 35 DSGVO in aller Regel verpflichtend. Die DSK hat die Verarbeitung von Gesundheitsdaten durch Medizinprodukte ausdrücklich in ihre Muss-Liste für DSFAs aufgenommen. Die DSFA ist kein einmaliger Vorgang: Art. 35 Abs. 11 DSGVO verpflichtet zur regelmäßigen Überprüfung, insbesondere wenn sich Verarbeitungsvorgänge oder das Risikoumfeld ändern – etwa durch Software-Updates oder neue Kooperationspartner.
Die vorstehende Darstellung betrifft die Regelfälle der DSGVO-Compliance in der Medizintechnik. Ihr konkreter Fall erfordert die Prüfung Ihrer Unterlagen, der einschlägigen Verarbeitungsvorgänge und der geltenden Fristen. Für eine erste Durchsicht Ihrer Unterlagen – Verarbeitungsverzeichnis, DSFA-Dokumentation, bestehende Verträge – wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.