Ein Medizintechnik-Unternehmen aus dem Mittelstand erhält eine Anfrage der zuständigen Landesdatenschutzbehörde: Patientendaten aus klinischen Studien seien ohne ausreichende Rechtsgrundlage an einen US-amerikanischen Cloud-Dienstleister übermittelt worden. Die Geschäftsführung hat drei Tage Zeit, Stellung zu nehmen – und keine vollständige Dokumentation. Dieses Szenario ist kein Ausnahmefall; in der Mandatspraxis sehen wir es mit zunehmender Regelmäßigkeit.
DSGVO-Compliance für Unternehmen der Medizintechnik bedeutet: strukturierte Erfüllung der Datenschutz-Grundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG), ergänzt durch sektorspezifische Anforderungen aus dem Medizinprodukterecht. Verstöße können Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes auslösen (Art. 83 DSGVO) sowie persönliche Haftungsrisiken für die Geschäftsführung begründen. Dieser Leitfaden zeigt in sieben Schritten, welche Maßnahmen für Mittelständler in der Medizintechnik unverzüglich, welche mittelfristig und welche dauerhaft zu verankern sind.
Der folgende Leitfaden führt Sie vom Bestandsaufnahme-Audit über die Implementierung technisch-organisatorischer Maßnahmen bis zur Vorbereitung auf Behördenanfragen – mit konkreten Normhinweisen und praxiserprobten Handlungsempfehlungen.
Schritt 1: Rechtsrahmen verstehen – warum Medizintechnik besonderer Sorgfalt bedarf
Die Medizintechnik verarbeitet strukturell mehr besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO als die meisten anderen Branchen – Gesundheitsdaten, genetische Daten, Daten über Behinderungen. Für diese gilt ein verschärfter Schutzstandard: Verarbeitung ist grundsätzlich verboten, sofern kein ausdrücklicher Erlaubnisgrund greift.
Einschlägige Erlaubnisgründe für Medizintechnik-Unternehmen sind Art. 9 Abs. 2 lit. h DSGVO (medizinische Versorgung, Behandlung, Gesundheitsdienstleistung), Art. 9 Abs. 2 lit. j DSGVO (wissenschaftliche Forschung) sowie – bei klinischen Prüfungen – § 26 BDSG in Verbindung mit dem jeweiligen Landesrecht. Hinzu treten die Anforderungen der Verordnung (EU) 2017/745 über Medizinprodukte (MDR) und der Verordnung (EU) 2017/746 über In-vitro-Diagnostika (IVDR), die eigene Anforderungen an die Dokumentation, Vigilanz und Rückverfolgbarkeit begründen und datenschutzrechtliche Pflichten überlagern.
Aus dieser Schichtung ergibt sich ein Compliance-Rahmen, den in der Mandatspraxis viele mittelständische Hersteller unterschätzen: DSGVO, BDSG und MDR/IVDR müssen als integriertes System verstanden werden. Wer nur den Datenschutz isoliert betrachtet, übersieht Wechselwirkungen – etwa bei der Zweckbindung von Vigilanzdaten oder der Weitergabe von Anwenderdaten an benannte Stellen.
Was bedeutet das für die Haftung der Geschäftsführung? Verstöße gegen Art. 9 DSGVO können Bußgelder bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes auslösen – je nachdem, welcher Betrag höher ist. Daneben drohen zivilrechtliche Schadensersatzansprüche nach Art. 82 DSGVO, die Patienten, Prüfungsteilnehmer oder Beschäftigte geltend machen können. Intern greift die Haftung der Geschäftsführung gegenüber der Gesellschaft, wenn Compliance-Strukturen trotz erkennbaren Risikos unterlassen wurden.
Schritt 2: Bestandsaufnahme – Datenflüsse kartieren und Verzeichnis führen
Eine DSGVO-konforme Compliance beginnt mit vollständiger Transparenz über die eigenen Verarbeitungstätigkeiten. Das Verzeichnis der Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO ist für Unternehmen mit mehr als 250 Beschäftigten verpflichtend; für Unternehmen darunter gilt die Pflicht, sobald Verarbeitungen ein Risiko für die Rechte und Freiheiten von Personen darstellen oder besondere Kategorien nach Art. 9 DSGVO betroffen sind – was im Medizintechnik-Bereich die Regel ist.
In der Mandatspraxis sehen wir regelmäßig VVT-Dokumente, die entweder veraltet sind, externe Verarbeiter nicht vollständig erfassen oder die Rechtsgrundlage fehlerhaft zuordnen. Dabei ist das VVT nicht bloße Dokumentationspflicht; es ist das operative Instrument zur Steuerung von Risiken. Jede neue Produktlinie, jede neue Cloud-Anwendung, jeder neue Dienstleister erfordert eine Aktualisierung.
Für Medizintechnik-Unternehmen empfehlen wir folgende Kartierungsebenen: erstens interne Verarbeitungen (Produktentwicklung, klinische Studie, Vigilanz, HR); zweitens Auftragsverarbeiter (Rechenzentren, CRM-Anbieter, QM-Softwareanbieter); drittens gemeinsame Verantwortlichkeiten (Joint Controllership nach Art. 26 DSGVO, etwa bei Forschungskooperationen mit Krankenhäusern); viertens Drittlandtransfers (USA, Asien – relevant bei global genutzten Softwareplattformen).
Wie gehen Sie vor, wenn Sie nicht wissen, welche Drittlandsübermittlungen tatsächlich stattfinden? Die Antwort liegt in einer technischen Analyse: Netzwerkprotokollierung, Auswertung von SaaS-Verträgen auf Subprozessoren, Review von Lizenzverträgen mit Übersee-Bezug. Fehlt das VVT bei einer Behördenanfrage, stellt dies einen eigenständigen Verstoß nach Art. 83 Abs. 4 DSGVO dar, der separat bußgeldbewehrt ist.
Schritt 3: Rechtsgrundlagen verankern – Einwilligung, Vertrag, berechtigtes Interesse
Die Wahl der richtigen Rechtsgrundlage entscheidet über die Wirksamkeit der gesamten Verarbeitungsarchitektur. In der Medizintechnik sind die Konstellationen vielschichtig: Patienten, Probanden, Beschäftigte, Kunden (Kliniken, Ärzte), Lieferanten und Entwicklungspartner sind gleichzeitig betroffene Personen mit unterschiedlichen Rechtsgrundlagen.
Für klinische Prüfungen ist die Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO in Verbindung mit den Vorgaben der MDR und ggf. der Deklaration von Helsinki maßgebend. Die Einwilligung muss freiwillig, informiert, eindeutig und widerrufbar sein. Besonderes Augenmerk gilt der Dokumentation: Wann wurde die Einwilligung erteilt, in welcher Form, für welchen Zweck, durch wen erklärt? Fehlt diese Dokumentation, ist die Verarbeitung rechtsgrundlos – auch wenn die Person tatsächlich eingewilligt hat.
Für Vigilanzmeldungen an Behörden (§ 85 MPDG, Art. 87 MDR) greift Art. 9 Abs. 2 lit. i DSGVO (öffentliches Interesse im Bereich der öffentlichen Gesundheit). Hier ist keine gesonderte Einwilligung der betroffenen Person erforderlich; die Verarbeitung muss jedoch auf das für den Zweck Notwendige beschränkt bleiben. Nach unserer Erfahrung ist genau diese Verhältnismäßigkeitsprüfung in Vigilanz-Prozessen häufig undokumentiert.
Beim berechtigten Interesse (Art. 6 Abs. 1 lit. f DSGVO) ist für Gesundheitsdaten Zurückhaltung geboten: Art. 9 DSGVO erlaubt berechtigtes Interesse nicht als Rechtsgrundlage für besondere Kategorien; hier ist stets ein spezifischer Erlaubnisgrund erforderlich. Diese Verwechslung ist ein typischer Fehler mittelständischer Medizintechnik-Unternehmen, die ihren allgemeinen Datenschutzansatz unkritisch auf Produktionsdaten mit Personenbezug übertragen.
Schritt 4: Technisch-organisatorische Maßnahmen implementieren
Art. 25 DSGVO (Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen, „Privacy by Design / Privacy by Default") und Art. 32 DSGVO (Sicherheit der Verarbeitung) verlangen angemessene technisch-organisatorische Maßnahmen (TOM). Was „angemessen" bedeutet, richtet sich nach dem Risiko für die betroffenen Personen – und dieses Risiko ist in der Medizintechnik systemisch erhöht.
Konkret bedeutet Privacy by Design für ein Medizintechnik-Unternehmen: Datenschutzanforderungen fließen bereits in die Produktarchitektur ein, nicht erst nach Abschluss der Entwicklung. Welche Daten muss das Gerät tatsächlich erheben? Welche können lokal verbleiben, welche müssen in die Cloud? Können Patienten-IDs pseudonymisiert übertragen werden, ohne dass die Diagnosequalität leidet? Diese Fragen müssen im Product-Development-Prozess beantwortet und dokumentiert werden – idealerweise über ein Data Protection Impact Assessment (DSFA, Art. 35 DSGVO).
Eine DSFA ist zwingend, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt (Art. 35 Abs. 1 DSGVO). Für die Medizintechnik hat die Konferenz der Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) in ihrer Positivliste klargestellt, dass die Verarbeitung von Gesundheitsdaten im großen Maßstab regelmäßig einer DSFA bedarf. Dies gilt für vernetzte Medizinprodukte, telemedizinische Anwendungen und KI-gestützte Diagnosesoftware.
Organisatorisch empfehlen wir: Zugriffskonzept (Need-to-know-Prinzip), Protokollierung von Zugriffen auf besondere Kategorien, Schulungsnachweis für alle Mitarbeitenden mit Datenzugang, regelmäßige Überprüfung der TOM auf dem Stand der Technik. Bei vernetzten Medizinprodukten tritt die Cybersecurity-Anforderung der MDR (Anhang I Nr. 17.2 MDR) hinzu – eine technische Anforderung, die nahezu vollständig mit den DSGVO-Anforderungen aus Art. 32 konvergiert.
Schritt 5: Auftragsverarbeitung und Drittlandtransfers rechtssicher gestalten
Kein Medizintechnik-Unternehmen verarbeitet Daten vollständig im eigenen Rechenzentrum. Dienstleister für Qualitätsmanagementsoftware, Labor-Informations-Systeme, Remote-Service-Plattformen für Geräte und Cloud-Infrastruktur sind typische Auftragsverarbeiter. Mit jedem dieser Dienstleister ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO abzuschließen.
Der AVV muss mindestens die in Art. 28 Abs. 3 DSGVO vorgeschriebenen Inhalte enthalten: Gegenstand, Dauer, Art und Zweck der Verarbeitung, Kategorie personenbezogener Daten, Weisungsbindung, Datensicherheitsmaßnahmen, Unterauftragsverhältnisse und Unterstützungspflichten. Ein AVV, der lediglich eine Standardformulierung eines US-amerikanischen Software-as-a-Service-Anbieters übernimmt, ohne die spezifischen Anforderungen der Gesundheitsdatenverarbeitung zu berücksichtigen, ist in aller Regel nicht ausreichend.
Drittlandtransfers – insbesondere in die USA – sind nach dem Wegfall des Privacy Shield durch den EuGH (Schrems II, 2020) durch geeignete Garantien nach Art. 46 DSGVO abzusichern. Derzeit anerkannt sind die Standardvertragsklauseln (SCC) der EU-Kommission (Beschluss vom 4. Juni 2021) sowie für US-Anbieter das EU-U.S. Data Privacy Framework (DPF, seit Juli 2023). Für letzteres: Die Zertifizierung des US-Anbieters ist vor Vertragsschluss zu prüfen und regelmäßig zu verifizieren – die Liste auf dataprivacyframework.gov ist maßgebend. Bei Gesundheitsdaten empfehlen wir zusätzlich einen Transfer Impact Assessment (TIA), der das Schutzniveau im Empfängerland bewertet.
Nach unserer Erfahrung fehlen in vielen Medizintechnik-Unternehmen für mindestens ein Drittland entweder der AVV oder die geeignete Garantie. Dies ist eines der häufigsten Feststellungen bei behördlichen Prüfungen – und eines der am einfachsten zu behebenden Defizite, wenn man es frühzeitig adressiert.
Aus der Mandatspraxis: In einem aktuellen Mandat beriet die Kanzlei einen mittelständischen Hersteller chirurgischer Instrumente mit Sitz in Süddeutschland. Ausgangslage: Das Unternehmen nutzte eine US-amerikanische Cloud-Plattform für den Remote-Support vernetzter Operationsroboter, ohne dass ein wirksamer AVV oder SCC vorlagen. Im Rahmen einer Behördenanfrage der zuständigen Landesdatenschutzbehörde musste Stellung genommen werden. Vorgehen: Die Kanzlei kartierte die Datenflüsse, identifizierte die betroffenen Subprozessoren und gestaltete AVV-Ergänzungen sowie einen TIA unter Berücksichtigung des DPF-Zertifizierungsstatus des US-Anbieters. Ergebnis: Die Behörde stellte das Verfahren ohne Bußgeldbescheid ein; das Unternehmen verfügt nun über ein dokumentiertes Drittlandstransfer-Framework für alle Produktlinien. (Sachverhalt anonymisiert und vereinfacht.)
Schritt 6: Datenpannen erkennen, melden und dokumentieren
Verletzungen des Schutzes personenbezogener Daten – Datenpannen im Sinne von Art. 4 Nr. 12 DSGVO – müssen binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde gemeldet werden (Art. 33 DSGVO), sofern die Verletzung voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Für Medizintechnik-Unternehmen ist diese Schwelle regelmäßig überschritten, sobald Gesundheitsdaten betroffen sind.
Die 72-Stunden-Frist beginnt mit dem Zeitpunkt, zu dem das Unternehmen – nicht zwingend die Geschäftsführung – von der Verletzung Kenntnis erlangt. Das bedeutet: Ein Sicherheitsvorfall, der dem IT-Administrator um 9:00 Uhr bekannt wird und erst am Folgetag intern eskaliert, hat die interne Frist bereits teilweise aufgezehrt. Deshalb ist ein schriftlich dokumentierter Meldeprozess mit klar definierten Eskalationsstufen unerlässlich.
Im Meldeprozess sind zu dokumentieren: Art der Verletzung, Kategorien und ungefähre Anzahl betroffener Datensätze und Personen, wahrscheinliche Folgen, ergriffene und geplante Abhilfemaßnahmen sowie Kontaktdaten des Datenschutzbeauftragten (DSB). Ergibt die interne Prüfung, dass kein Risiko für betroffene Personen besteht, entfällt die Behördenmeldung – die Entscheidung ist jedoch zu dokumentieren (Art. 33 Abs. 5 DSGVO). Besteht ein hohes Risiko, tritt zusätzlich die Benachrichtigungspflicht der betroffenen Personen nach Art. 34 DSGVO ein.
Wie bereiten Sie Ihr Unternehmen auf dieses Szenario vor? Praktisch bewährt hat sich ein Datenpannen-Playbook: ein maximal zweiseitiges Dokument mit Checkliste, Meldevorlage und Kontaktdaten der zuständigen Behörde. Für Bayern etwa ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), für bundesweit tätige Unternehmen richtet sich die örtliche Zuständigkeit nach dem Sitz der Hauptniederlassung (Art. 56 DSGVO).
Schritt 7: Datenschutzbeauftragter, Behördenbeziehung und kontinuierliche Governance
Für Unternehmen, die Gesundheitsdaten im großen Maßstab verarbeiten, ist die Bestellung eines Datenschutzbeauftragten (DSB) nach Art. 37 Abs. 1 lit. c DSGVO zwingend. Viele mittelständische Medizintechnik-Unternehmen erfüllen dieses Kriterium allein aufgrund ihrer Produktkategorie. Der DSB muss über Fachwissen im Datenschutzrecht verfügen, zuverlässig sein und keine Interessenkonflikte aufweisen. Er kann intern bestellt oder extern mandatiert werden – die externe Lösung bietet häufig mehr Unabhängigkeit und aktuelleres Fachwissen.
Neben der formalen Bestellung kommt es auf die operative Einbindung des DSB an. Er muss frühzeitig in alle Vorhaben einbezogen werden, die Datenschutzrelevanz haben – das gilt insbesondere für neue Produktentwicklungen, IT-Projekte und Kooperationsverträge. Ein DSB, der nur nachgelagert informiert wird und keine ressourcenmäßige Unterstützung erhält, kann seine Funktion nicht wirksam ausüben.
Die Beziehung zur Datenschutzbehörde sollte proaktiv gestaltet werden. Behörden – Landesdatenschutzbehörden, der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) sowie für berufsständische Verarbeitungen ggf. spezifische Aufsichtsbehörden – reagieren auf transparente, kooperative Kommunikation deutlich anders als auf verschleppende oder ausweichende Stellungnahmen. Nach unserer Erfahrung lassen sich durch frühzeitige anwaltliche Begleitung von Behördenanfragen nicht nur die Inhalte der Stellungnahme optimieren, sondern auch Verfahrensführung und Fristsetzung aktiv mitgestalten.
Für die dauerhafte Governance empfehlen wir ein jährliches DSGVO-Audit: VVT aktualisieren, DSFA für neue Verarbeitungen prüfen, TOM auf den Stand der Technik überprüfen, Schulungsstand der Belegschaft erheben, Unterauftragnehmer-Liste aktualisieren, Drittlandstransfer-Garantien verifizieren. Dieser Audit-Zyklus ist kein regulatorischer Aufwand ohne Mehrwert – er ist Risikosteuerung in dem einzigen Moment, in dem Gegensteuerung noch keine Kosten verursacht.
- VVT vollständig und aktuell: alle Verarbeitungstätigkeiten inkl. Auftragsverarbeiter und Drittlandstransfers erfasst
- Rechtsgrundlagen dokumentiert: für jede Verarbeitungstätigkeit, insbesondere Art. 9-Verarbeitungen
- DSFA durchgeführt: für Gesundheitsdaten im großen Maßstab und vernetzte Medizinprodukte
- AVV abgeschlossen: mit allen Auftragsverarbeitern, Art. 28 Abs. 3 DSGVO-konform
- Drittlandtransfer-Garantien: SCC oder DPF-Zertifizierung geprüft und dokumentiert
- Datenpannen-Playbook: Meldeprozess mit Eskalationsstufen und 72-Stunden-Frist verankert
- DSB bestellt: mit ausreichenden Ressourcen und frühzeitiger Einbindung
- Jährlicher Audit-Zyklus: terminiert und verantwortlich zugewiesen
Die vorstehende Darstellung betrifft die Regelfälle der DSGVO-Compliance in der Medizintechnik. Ihr konkreter Fall erfordert die Prüfung Ihrer Verarbeitungsarchitektur, Ihrer Dienstleisterverträge und der einschlägigen Fristen. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen: DSGVO-Compliance für Medizintechnik-Unternehmen
Ab welcher Unternehmensgröße ist ein Datenschutzbeauftragter in der Medizintechnik Pflicht?
Die Pflicht zur Bestellung eines Datenschutzbeauftragten knüpft in der Medizintechnik nicht primär an die Unternehmensgröße, sondern an den Verarbeitungsgegenstand. Wer Gesundheitsdaten im großen Maßstab verarbeitet – was für die meisten Medizintechnik-Unternehmen gilt –, ist nach Art. 37 Abs. 1 lit. c DSGVO zur Bestellung verpflichtet. Daneben gilt nach § 38 BDSG die Pflicht für Unternehmen, bei denen in der Regel mehr als 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Im Zweifel ist die Bestellung anzuraten.
Was droht bei einer fehlenden Datenschutz-Folgenabschätzung (DSFA)?
Das Unterlassen einer zwingend erforderlichen DSFA ist ein eigenständiger Verstoß nach Art. 83 Abs. 4 lit. a DSGVO und kann mit einem Bußgeld von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes sanktioniert werden. Darüber hinaus ist eine Verarbeitung ohne vorherige Konsultation der Aufsichtsbehörde in den Fällen des Art. 36 DSGVO rechtswidrig. In der Praxis erhöht das Fehlen einer DSFA auch das Risiko, dass im Fall einer Datenpanne keine Schutzargumente gegenüber der Behörde vorgebracht werden können.
Genügen Standardvertragsklauseln (SCC) bei US-Cloud-Dienstleistern für Gesundheitsdaten?
SCC allein sind nicht in jedem Fall ausreichend. Nach der Schrems-II-Entscheidung des EuGH und den Leitlinien des Europäischen Datenschutzausschusses (EDSA) ist zusätzlich ein Transfer Impact Assessment (TIA) durchzuführen, das das tatsächliche Schutzniveau im Empfängerland bewertet. Für US-Anbieter, die dem EU-U.S. Data Privacy Framework (DPF) beigetreten sind, besteht ein Angemessenheitsbeschluss. Bei Gesundheitsdaten empfehlen wir dennoch, die DPF-Zertifizierung des Anbieters aktiv zu verifizieren und die Prüfung zu dokumentieren.
Wie lange gilt die 72-Stunden-Meldefrist bei einer Datenpanne, und wann beginnt sie zu laufen?
Die Frist von 72 Stunden nach Art. 33 Abs. 1 DSGVO beginnt, sobald der Verantwortliche – also das Unternehmen, nicht notwendigerweise die Geschäftsführung – von der Verletzung Kenntnis erlangt. Kenntnis eines Mitarbeiters oder einer beauftragten IT-Abteilung ist der Gesellschaft zuzurechnen. Bei Zweifeln über den tatsächlichen Umfang der Verletzung kann eine erste Meldung mit Vorbehalt erfolgen, die nachträglich vervollständigt wird (Art. 33 Abs. 4 DSGVO).
Müssen Vigilanzdaten aus der MDR gesondert datenschutzrechtlich abgesichert werden?
Ja. Die Weitergabe von Vigilanzdaten (schwerwiegende Vorkommnisse und Sicherheitskorrektive Maßnahmen im Feld, Art. 87 MDR) an nationale Behörden wie das Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM) stützt sich auf Art. 9 Abs. 2 lit. i DSGVO – öffentliches Interesse im Bereich der öffentlichen Gesundheit. Die Verarbeitung muss auf das für den Meldevorgang Notwendige beschränkt bleiben (Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO). In Kooperationsverträgen mit Krankenhäusern, die Vorkommnismeldungen koordinieren, ist die Verantwortlichkeitsstruktur (alleinige Verantwortlichkeit oder Joint Controllership nach Art. 26 DSGVO) ausdrücklich zu regeln.
Die vorstehende Darstellung betrifft die Regelfälle der DSGVO-Compliance für Medizintechnik-Unternehmen. Ihr konkreter Fall erfordert die Prüfung Ihrer Unterlagen, Ihrer Verarbeitungsarchitektur und der aktuell geltenden Fristen. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.