Ein Medizintechnikunternehmen aus dem Mittelstand überträgt Patientendaten an einen Cloud-Dienstleister – ohne valide Rechtsgrundlage, ohne abgeschlossenen Auftragsverarbeitungsvertrag, ohne dokumentierte Datenschutz-Folgenabschätzung. Drei Wochen später erfolgt eine behördliche Anfrage der zuständigen Datenschutzaufsichtsbehörde. Was zunächst wie ein Verwaltungsvorgang wirkt, kann sich für die Geschäftsführung schnell zu einem haftungsrechtlichen Ernstfall entwickeln.
DSGVO-Compliance für Unternehmen der Medizintechnik ist keine freiwillige Zusatzleistung, sondern unmittelbar geltendes EU-Recht. Die Datenschutz-Grundverordnung (DSGVO) verpflichtet Verantwortliche – also die Unternehmen und ihre Geschäftsführer – zur Einhaltung eines umfassenden Pflichtenprogramms: von der Dokumentation technischer und organisatorischer Maßnahmen über die Bestellung eines Datenschutzbeauftragten bis zur Meldung von Datenschutzverletzungen binnen 72 Stunden. Bei Verstößen drohen Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist.
Der nachfolgende Beitrag analysiert die datenschutzrechtliche Ausgangslage für Medizintechnikunternehmen, benennt die kritischen Pflichtfelder, ordnet die Rechtsprechung der Aufsichtsbehörden ein und zeigt auf, welche Handlungsoptionen Geschäftsführer jetzt prüfen sollten.
Warum Medizintechnik datenschutzrechtlich eine eigene Kategorie bildet
Medizintechnikunternehmen verarbeiten strukturell Daten, die nach Art. 9 DSGVO als besondere Kategorien personenbezogener Daten eingestuft sind: Gesundheitsdaten, Daten über die körperliche Verfassung, Diagnoseinformationen, Gerätedaten mit Patientenbezug. Für diese gilt ein deutlich schärferes Schutzregime als für gewöhnliche Kundendaten.
Die Verarbeitung besonderer Kategorien ist nach Art. 9 Abs. 1 DSGVO grundsätzlich verboten. Sie ist nur unter den engen Ausnahmetatbeständen des Art. 9 Abs. 2 DSGVO zulässig – etwa mit ausdrücklicher Einwilligung der betroffenen Person, zur Erfüllung von Pflichten aus dem Sozialrecht oder für Zwecke der medizinischen Versorgung. In der Mandatspraxis sehen wir regelmäßig, dass die Abgrenzung zwischen zulässiger Gerätedatenauswertung und unzulässiger Verarbeitung von Gesundheitsdaten in Unternehmen nicht hinreichend scharf gezogen wird.
Hinzu tritt das Medizinprodukterecht. Die EU-Medizinprodukteverordnung (MDR, Verordnung (EU) 2017/745) und die In-vitro-Diagnostika-Verordnung (IVDR, Verordnung (EU) 2017/746) enthalten eigene Anforderungen an Dokumentation, Nachverfolgbarkeit und IT-Sicherheit, die mit dem DSGVO-Pflichtenprogramm zu harmonisieren sind. Wer MDR-Anforderungen erfüllt, hat damit noch nicht zwingend die DSGVO-Anforderungen umgesetzt – beides muss als kohärentes System aufgebaut werden.
Für inhabergeführte Medizintechnikunternehmen bedeutet das: Die Schnittmenge aus DSGVO-Pflichten, nationalem Recht (BDSG), MDR/IVDR und ggf. sektorspezifischen Regelungen (z. B. DiGA-Verordnung für digitale Gesundheitsanwendungen) ist komplex. Eine Betrachtung nur eines dieser Regelwerke führt regelmäßig zu strukturellen Lücken im Compliance-System.
Welche Pflichten trifft die Geschäftsführung unmittelbar?
Die DSGVO adressiert den Verantwortlichen – bei einer GmbH oder AG ist das in aller Regel die Gesellschaft selbst, vertreten durch ihre Geschäftsführung. Das hat haftungsrechtliche Konsequenzen, die nicht unterschätzt werden dürfen.
Nach Art. 5 Abs. 2 DSGVO trägt der Verantwortliche die Nachweispflicht: Er muss jederzeit belegen können, dass alle Verarbeitungen den Grundsätzen des Art. 5 Abs. 1 DSGVO entsprechen (Rechtmäßigkeit, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit). Diese Rechenschaftspflicht ist keine bloße Formalität – sie ist der Maßstab, an dem die Datenschutzaufsichtsbehörden ihre Prüfungen ausrichten.
Die konkreten Pflichten der Geschäftsführung im Überblick:
- Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO): Jedes Unternehmen mit mehr als 250 Mitarbeitenden ist verpflichtet, ein vollständiges Verzeichnis zu führen. Für Medizintechnikunternehmen, die Gesundheitsdaten oder andere besondere Datenkategorien verarbeiten, gilt diese Pflicht unabhängig von der Unternehmensgröße.
- Datenschutz-Folgenabschätzung (DSFA) (Art. 35 DSGVO): Bei Verarbeitungen, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen aufweisen – wozu die Verarbeitung von Gesundheitsdaten in der Regel zählt –, ist vor der Verarbeitung eine DSFA durchzuführen.
- Technische und organisatorische Maßnahmen (TOMs) (Art. 32 DSGVO): Verschlüsselung, Zugriffskontrolle, Pseudonymisierung, Verfügbarkeit, Integrität und Belastbarkeit der Systeme sind keine Empfehlung, sondern Rechtspflicht.
- Bestellung eines Datenschutzbeauftragten (Art. 37 DSGVO, § 38 BDSG): Unternehmen, die in der Regel mindestens 20 Personen mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen, sind zur Bestellung verpflichtet. Für Unternehmen, die besondere Datenkategorien nach Art. 9 DSGVO verarbeiten, gilt diese Pflicht unabhängig von dieser Schwelle.
- Meldepflicht bei Datenpannen (Art. 33 DSGVO): Datenschutzverletzungen sind binnen 72 Stunden der zuständigen Aufsichtsbehörde zu melden, sofern die Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Die Uhr beginnt mit Kenntnis des Verantwortlichen zu laufen.
- Auftragsverarbeitungsverträge (AVV) (Art. 28 DSGVO): Jede Einschaltung eines Dienstleisters, der personenbezogene Daten im Auftrag verarbeitet (Cloud-Anbieter, IT-Dienstleister, Lohnbuchhaltungsbüros), bedarf eines schriftlichen AVV mit dem gesetzlich vorgeschriebenen Mindestinhalt.
In der Mandatspraxis sehen wir, dass insbesondere die DSFA und die AVV-Gestaltung in Medizintechnikunternehmen unterhalb der Großkonzern-Schwelle häufig nicht dem Stand entsprechen, den die Aufsichtsbehörden bei Prüfungen zugrunde legen.
Wie bewertet die Datenschutzaufsicht Verstöße im Medizintechniksektor?
Die Datenschutzaufsichtsbehörden der Länder – in Bayern etwa das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), in Berlin die Berliner Beauftragte für Datenschutz und Informationsfreiheit – haben in den vergangenen Jahren die Prüfungstätigkeit im Gesundheits- und Medizintechniksektor deutlich intensiviert. Das ist kein Zufall: Gesundheitsdaten gelten als besonders schutzwürdig, und Verstöße in diesem Bereich werden von den Behörden regelmäßig als schwerwiegend eingestuft.
Die Bußgeldrahmen sind erheblich: Bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 DSGVO) drohen bei Verstößen gegen die Grundsätze der Verarbeitung, gegen die Rechtsgrundlagen oder gegen die besonderen Anforderungen an Gesundheitsdaten. Für weniger schwerwiegende Verstöße – etwa Verstöße gegen die Pflicht zur Bestellung eines Datenschutzbeauftragten oder gegen die Dokumentationspflichten – gilt ein Bußgeldrahmen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4 DSGVO).
Hinzu tritt die zivilrechtliche Haftung: Art. 82 DSGVO gewährt betroffenen Personen einen Schadensersatzanspruch gegen den Verantwortlichen, wenn sie durch einen Datenschutzverstoß einen materiellen oder immateriellen Schaden erleiden. Die höchstrichterliche Rechtsprechung des Europäischen Gerichtshofs hat in den vergangenen Jahren den Anwendungsbereich immaterieller Schäden schrittweise konkretisiert. Der Kontrollverlust über eigene Daten kann nach gefestigter EuGH-Rechtsprechung für sich genommen einen ersatzfähigen immateriellen Schaden begründen – ohne dass ein weitergehender Folgeschaden nachgewiesen werden muss.
Für die Geschäftsführung eines Medizintechnikunternehmens bedeutet das: Datenschutzverstöße sind kein reines Verwaltungsrisiko mehr. Sie können zu einer unmittelbaren zivilrechtlichen Haftung des Unternehmens gegenüber Patientinnen und Patienten, Mitarbeitenden oder Geschäftspartnern führen. Welche Konsequenzen das für die persönliche Haftung der Geschäftsführer im Innenverhältnis nach sich zieht, ist im Einzelfall anwaltlich zu prüfen.
Welche technischen und organisatorischen Maßnahmen sind im Medizintechnikbereich erforderlich?
Art. 32 DSGVO verpflichtet zur Implementierung geeigneter technischer und organisatorischer Maßnahmen. Was „geeignet" bedeutet, bestimmt sich nach dem Stand der Technik, den Implementierungskosten, der Art, dem Umfang, den Umständen und den Zwecken der Verarbeitung sowie dem unterschiedlichen Eintrittsrisiko und der Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen.
Für Medizintechnikunternehmen ergibt sich daraus ein Pflichtenprogramm, das über die allgemeinen Informationssicherheitsanforderungen deutlich hinausgeht. Die Verarbeitung von Gesundheitsdaten erhöht per se die Risikoklasse und erfordert entsprechend schärfere Schutzmaßnahmen:
- Verschlüsselung: Gesundheitsdaten müssen sowohl bei der Übertragung als auch bei der Speicherung nach dem aktuellen Stand der Technik verschlüsselt sein. Unverschlüsselte Übertragungen – auch innerhalb vermeintlich „sicherer" Netze – sind nicht akzeptabel.
- Zugriffskontrolle und Berechtigungsmanagement: Zugriffe auf Gesundheitsdaten müssen auf das für den jeweiligen Verarbeitungszweck zwingend erforderliche Minimum beschränkt sein (Prinzip der minimalen Rechtevergabe). Jeder Zugriff sollte protokolliert werden.
- Pseudonymisierung: Wo möglich und technisch umsetzbar, sollten Patientendaten pseudonymisiert verarbeitet werden. Das reduziert das Schadensausmaß bei einem Sicherheitsvorfall erheblich.
- Backup- und Wiederherstellungskonzept: Art. 32 Abs. 1 lit. c DSGVO verlangt die Fähigkeit, die Verfügbarkeit und den Zugang zu personenbezogenen Daten bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen. Ein dokumentiertes, regelmäßig getestetes Backup-Konzept ist Pflicht.
- Regelmäßige Überprüfung: Art. 32 Abs. 1 lit. d DSGVO schreibt ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der TOMs vor. Einmalige Maßnahmen genügen nicht.
Für Unternehmen, die Medizinprodukte mit Konnektivität (connected devices) herstellen oder betreiben, kommt die IT-Sicherheit als zusätzliche Ebene hinzu: Die MDR verlangt für vernetzungsfähige Medizinprodukte den Nachweis von Cybersecurity-Maßnahmen als Teil der technischen Dokumentation. Diese Anforderung und die DSGVO-TOMs sind konzeptionell zu verzahnen.
Drittstaatentransfers: Besondere Risiken bei internationaler Lieferkette
Medizintechnikunternehmen arbeiten typischerweise mit einer internationalen Zulieferer- und Vertriebsstruktur. Datentransfers in Länder außerhalb des Europäischen Wirtschaftsraums (EWR) – etwa in die USA, nach Asien oder in andere Drittstaaten – unterliegen den strengen Anforderungen der Art. 44 ff. DSGVO.
Ein Transfer ist nur zulässig, wenn einer der folgenden Legitimationstatbestände vorliegt: ein Angemessenheitsbeschluss der Europäischen Kommission für das Empfängerland, geeignete Garantien (insbesondere EU-Standardvertragsklauseln, SCC) oder ein Ausnahmetatbestand nach Art. 49 DSGVO. Der Transfer personenbezogener Daten – erst recht von Gesundheitsdaten – ohne eine dieser Grundlagen ist ein Verstoß, der in die höchste Bußgeldkategorie fallen kann.
Für Transfers in die USA existiert seit Juli 2023 das EU-US Data Privacy Framework (DPF) als Angemessenheitsbeschluss der Europäischen Kommission. Allerdings gilt das DPF nur für US-Unternehmen, die sich aktiv zertifiziert haben. Die Zertifizierung des Empfängers ist vor jedem Transfer zu prüfen und zu dokumentieren. Nach unserer Erfahrung wird diese Prüfpflicht in der Praxis häufig vernachlässigt – insbesondere bei der Einbindung von Software-as-a-Service-Lösungen (SaaS) amerikanischer Anbieter für medizinische Dokumentation oder Gerätemanagement.
Für Transfers in andere Drittstaaten ohne Angemessenheitsbeschluss sind in aller Regel EU-Standardvertragsklauseln (in der aktuell gültigen Fassung des Durchführungsbeschlusses (EU) 2021/914) als Garantien einzusetzen. Zusätzlich ist nach der gefestigten Rechtsprechung des EuGH (Schrems II) zu prüfen, ob im Empfängerland das Schutzniveau tatsächlich dem europäischen Standard entspricht (Transfer Impact Assessment, TIA). Fehlt das TIA, ist die Transfergrundlage angreifbar.
Auftragsverarbeitung und Lieferkette: Worauf kommt es im Vertrag an?
Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO ist keine Formalie, die einmalig abgeheftet wird. Er ist das vertragliche Fundament jeder Auftragsdatenverarbeitung – und er muss inhaltlich den gesetzlichen Anforderungen genügen.
Art. 28 Abs. 3 DSGVO schreibt den Mindestinhalt zwingend vor: Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen, die Pflichten und Rechte des Verantwortlichen. Hinzu kommen konkrete Regelungen zu Weisungsbindung, Vertraulichkeit, Sicherheitsmaßnahmen, Unterauftragsverarbeitern, Unterstützungspflichten, Rückgabe oder Löschung der Daten nach Auftragsende sowie Prüfungsrechten des Verantwortlichen.
Für Medizintechnikunternehmen ist besonders relevant: Wer Cloud-basierte Lösungen für die Speicherung oder Auswertung von Gerätedaten mit Patientenbezug einsetzt, muss einen AVV abschließen, der die besondere Sensibilität dieser Daten abbildet. Standardklauseln der Anbieter entsprechen häufig nicht dem nach Art. 28 DSGVO erforderlichen Detaillierungsgrad – insbesondere im Hinblick auf Unterauftragsverarbeiter, die Auftragsdaten wiederum an Subunternehmer weitergeben.
In einem aktuellen Mandat beriet BRANDT & FALK ein mittelständisches Medizintechnikunternehmen aus Süddeutschland, das ein cloudbasiertes Wartungsmanagementsystem für seine vernetzten Diagnosegeräte eingeführt hatte. Ausgangslage: Der Vertrag mit dem SaaS-Anbieter enthielt eine Datenschutzklausel, die lediglich auf die Datenschutzrichtlinie des Anbieters verwies – ohne die nach Art. 28 DSGVO erforderlichen Regelungen zu Weisungsrechten, Unterauftragsverarbeitern und Prüfungsrechten. Eine behördliche Anfrage der Aufsichtsbehörde im Rahmen einer Branchenprüfung hatte das Defizit offenbart. Vorgehen: Die Kanzlei analysierte die bestehenden Vertragsunterlagen, identifizierte die Lücken und verhandelte mit dem Anbieter einen AVV nach Art. 28 DSGVO, ergänzt um eine Liste genehmigter Unterauftragsverarbeiter und ein Transfer Impact Assessment für den US-Unternehmensstandort des Anbieters. Ergebnis: Das Unternehmen konnte der Aufsichtsbehörde innerhalb der gesetzten Frist vollständige Nachweise vorlegen. Die Prüfung wurde ohne Bußgeldverfahren abgeschlossen.
Datenschutz-Folgenabschätzung: Wann ist sie Pflicht – und wie wird sie korrekt durchgeführt?
Die Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist bei allen Verarbeitungen durchzuführen, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen aufweisen. Die Verarbeitung von Gesundheitsdaten im großen Maßstab zählt nach Art. 35 Abs. 3 lit. b DSGVO ausdrücklich dazu.
Die deutschen Datenschutzbehörden haben gemeinsam sogenannte „Muss-Listen" veröffentlicht, die Verarbeitungstypen benennen, für die eine DSFA stets erforderlich ist. Für Medizintechnikunternehmen sind dort typischerweise erfasst: Verarbeitung von Gesundheitsdaten vernetzter Geräte, Patientendatenverwaltung, KI-gestützte Diagnoseunterstützung sowie die Übermittlung von Gesundheitsdaten an Drittstaaten.
Die DSFA muss folgende Elemente enthalten (Art. 35 Abs. 7 DSGVO): eine systematische Beschreibung der Verarbeitungsvorgänge, eine Bewertung der Notwendigkeit und Verhältnismäßigkeit, eine Bewertung der Risiken für die Rechte und Freiheiten betroffener Personen sowie Abhilfemaßnahmen. Die DSFA ist kein einmaliges Dokument, sondern muss bei wesentlichen Änderungen der Verarbeitungsvorgänge aktualisiert werden.
Ergibt die DSFA, dass die Risiken trotz geplanter Abhilfemaßnahmen nicht hinreichend gemindert werden können, ist vor Beginn der Verarbeitung die zuständige Datenschutzaufsichtsbehörde zu konsultieren (Art. 36 DSGVO). Diese Vorherige Konsultation ist keine Genehmigung – sie gibt der Behörde aber die Möglichkeit, Empfehlungen auszusprechen oder im Extremfall die Verarbeitung zu untersagen. Nach unserer Erfahrung wird die Vorherige Konsultation von Unternehmen häufig vermieden, weil man die Aufmerksamkeit der Behörde nicht auf sich lenken möchte. Das ist verständlich, aber rechtlich riskant: Wer konsultieren musste und es nicht getan hat, begeht einen eigenständigen Verstoß.
Betroffenenrechte: Prozesse und Fristen, die Geschäftsführer kennen müssen
Die DSGVO gewährt betroffenen Personen ein umfassendes Rechteregime: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Für Unternehmen der Medizintechnik, die Patientendaten, Mitarbeiterdaten und Kundendaten verarbeiten, ist die Wahrscheinlichkeit eingehender Betroffenenanfragen strukturell höher als in datenferneren Branchen.
Auskunftsanfragen nach Art. 15 DSGVO sind grundsätzlich binnen eines Monats zu beantworten (Art. 12 Abs. 3 DSGVO). Bei Komplexität kann diese Frist um bis zu zwei weitere Monate verlängert werden – aber nur bei unverzüglicher Mitteilung an den Anfragenden. Eine vollständige, kostenfreie und verständliche Auskunft ist Pflicht.
Wer keine funktionierenden Prozesse für die Bearbeitung von Betroffenenanfragen hat, riskiert neben Bußgeldern auch reputationsrelevante Beschwerden bei der Aufsichtsbehörde – und in Branchen wie der Medizintechnik kann eine Beschwerdehäufung behördliche Prüfverfahren auslösen. Die Implementierung eines strukturierten Anfragenmanagements – mit definierten Verantwortlichkeiten, Vorlagen und Eskalationswegen – ist daher kein optionaler „Best Practice", sondern Teil des rechtlich geforderten organisatorischen Rahmens.
Was sollte die Geschäftsführung jetzt konkret veranlassen?
Eine DSGVO-Compliance-Überprüfung im Medizintechnikbereich folgt einer klaren Handlungslogik:
- Verarbeitungsverzeichnis prüfen und aktualisieren: Liegt ein vollständiges Verzeichnis aller Verarbeitungstätigkeiten nach Art. 30 DSGVO vor? Sind alle Datenflüsse – insbesondere Gesundheitsdaten, Gerätedaten mit Patientenbezug, HR-Daten – erfasst und korrekt beschrieben?
- Rechtsgrundlagen konsolidieren: Ist für jede Verarbeitungstätigkeit eine valide Rechtsgrundlage nach Art. 6 und ggf. Art. 9 Abs. 2 DSGVO dokumentiert? Beruht die Einwilligung auf einem DSGVO-konformen Einwilligungsmanagement?
- AVV-Bestand auditieren: Liegen für alle externen Auftragsverarbeiter (Cloud-Dienstleister, IT-Dienstleister, Subunternehmer) abgeschlossene, inhaltlich Art-28-konforme Auftragsverarbeitungsverträge vor?
- DSFA-Pflicht prüfen: Welche Verarbeitungsvorgänge erfordern eine DSFA? Sind diese durchgeführt, dokumentiert und aktuell?
- Drittstaatentransfers identifizieren: Werden Daten – auch über Software-Dienste – in Drittstaaten übertragen? Liegt für jeden Transfer eine valide Rechtsgrundlage (Angemessenheitsbeschluss, SCC + TIA) vor?
- Datenschutzbeauftragten bestellen oder Bestellung prüfen: Besteht eine Bestellungspflicht nach Art. 37 DSGVO oder § 38 BDSG? Ist der Datenschutzbeauftragte ordnungsgemäß bestellt, bei der Aufsichtsbehörde gemeldet und mit ausreichenden Ressourcen ausgestattet?
- Incident-Response-Prozess implementieren: Gibt es einen dokumentierten Prozess für den Umgang mit Datenpannen, der sicherstellt, dass die 72-Stunden-Meldefrist nach Art. 33 DSGVO eingehalten werden kann?
Für Medizintechnikunternehmen empfehlen wir zusätzlich die Überprüfung der Schnittstelle zwischen DSGVO-Dokumentation und MDR-Technischer Dokumentation. Insbesondere für Klasse-II- und Klasse-III-Medizinprodukte ist die Kohärenz beider Dokumentationswerke bei behördlichen Prüfungen ein häufig kritischer Punkt.
Die vorstehende Darstellung betrifft die Regelfälle der DSGVO-Compliance im Medizintechnikbereich. Ihr konkreter Fall erfordert die Prüfung Ihrer spezifischen Verarbeitungsvorgänge, bestehender Vertragsunterlagen und der anwendbaren nationalen Besonderheiten. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zur DSGVO-Compliance für Medizintechnikunternehmen
Gilt die DSGVO auch für kleine Medizintechnikunternehmen mit weniger als 50 Mitarbeitenden?
Ja. Die DSGVO enthält keine generelle Bereichsausnahme für kleine Unternehmen. Allerdings sind einzelne Pflichten – wie die Pflicht zur Führung eines Verarbeitungsverzeichnisses nach Art. 30 DSGVO – für Unternehmen mit weniger als 250 Mitarbeitenden grundsätzlich eingeschränkt. Diese Einschränkung gilt jedoch nicht für Unternehmen, die Gesundheitsdaten oder andere besondere Datenkategorien nach Art. 9 DSGVO verarbeiten – und das tun Medizintechnikunternehmen strukturell. Kleine und mittlere Unternehmen in der Medizintechnik müssen daher faktisch das volle DSGVO-Pflichtenprogramm erfüllen. Die Bestellungspflicht für einen Datenschutzbeauftragten gilt nach § 38 BDSG ab regelmäßig 20 mit automatisierter Datenverarbeitung beschäftigten Personen.
Was genau sind „Gesundheitsdaten" im Sinne der DSGVO?
Gesundheitsdaten sind nach Art. 4 Nr. 15 DSGVO personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person beziehen, einschließlich der Erbringung von Gesundheitsdienstleistungen, und aus denen Informationen über deren Gesundheitszustand hervorgehen. Im Medizintechnikbereich fallen darunter regelmäßig Patientendaten aus vernetzten Geräten (z. B. Herzmonitore, Blutzuckermessgeräte, Beatmungsgeräte), Diagnosedaten, Gerätekonfigurationen mit Patientenbezug sowie Daten aus digitalen Gesundheitsanwendungen (DiGA). Die Einordnung als Gesundheitsdatum hängt nicht vom Format ab, sondern vom inhaltlichen Bezug zur körperlichen oder geistigen Gesundheit einer bestimmbaren Person.
Muss für jeden Cloud-Dienstleister ein separater AVV abgeschlossen werden?
Ja. Art. 28 DSGVO verlangt für jeden Auftragsverarbeiter – also jeden Dienstleister, der im Auftrag des Verantwortlichen personenbezogene Daten verarbeitet – einen schriftlichen Vertrag mit dem gesetzlich vorgeschriebenen Mindestinhalt. Das gilt unabhängig davon, ob der Dienstleister ein großer internationaler Cloud-Anbieter oder ein kleines regionales IT-Unternehmen ist. Standardisierte Datenschutzerklärungen oder allgemeine AGB ersetzen den AVV nicht. Viele Cloud-Anbieter stellen standardisierte AVV bereit – diese müssen jedoch inhaltlich auf DSGVO-Konformität geprüft werden, bevor sie akzeptiert werden.
Wie lange haben wir nach einer Datenpanne Zeit, die Aufsichtsbehörde zu informieren?
Art. 33 Abs. 1 DSGVO schreibt vor, dass Datenschutzverletzungen der zuständigen Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden zu melden sind, nachdem der Verantwortliche von der Verletzung Kenntnis erlangt hat. Die 72-Stunden-Frist beginnt mit dem Moment, in dem das Unternehmen oder seine Mitarbeitenden von dem Vorfall erfahren. Erfolgt die Meldung nach Ablauf der 72 Stunden, ist der Grund für die Verzögerung beizufügen. Entscheidend ist also ein funktionierender interner Meldeprozess, der sicherstellt, dass Sicherheitsvorfälle unverzüglich an die zuständigen Personen eskaliert werden.
Was droht konkret, wenn kein Datenschutzbeauftragter bestellt wurde, obwohl eine Pflicht bestand?
Das Unterlassen einer gesetzlich vorgeschriebenen Bestellung eines Datenschutzbeauftragten ist ein eigenständiger DSGVO-Verstoß, der nach Art. 83 Abs. 4 DSGVO mit einem Bußgeld von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden kann. In der behördlichen Praxis führt ein festgestelltes Defizit in diesem Bereich regelmäßig zu einer formellen Anordnung mit Fristsetzung. Wird die Anordnung nicht befolgt, können weitere Zwangsmittel eingesetzt werden. Hinzu treten mögliche zivilrechtliche Folgen, wenn durch das Fehlen eines Datenschutzbeauftragten Datenschutzverstöße nicht erkannt und verhindert wurden.
Ist eine Datenschutz-Folgenabschätzung auch für ältere Verarbeitungsvorgänge nachzuholen?
Ja. Die DSGVO gilt für alle zum Zeitpunkt ihrer Anwendung (25. Mai 2018) bereits bestehenden Verarbeitungsvorgänge. Wer seither keine DSFA für Hochrisikoverarbeitungen durchgeführt hat, hat eine seit Jahren bestehende Compliance-Lücke. Aufsichtsbehörden prüfen bei Verdachtslagen oder im Rahmen von Querschnittsprüfungen regelmäßig auch die DSFA-Dokumentation. Die nachträgliche Erstellung einer DSFA für bestehende Verarbeitungen ist zwar nicht rückwirkend möglich, zeigt der Behörde aber den ernsthaften Willen zur Compliance – und kann im Rahmen der Bußgeldbemessung als mildernder Umstand berücksichtigt werden.
Die vorstehende Darstellung bildet den allgemeinen Rechtsrahmen ab. Ihr konkretes Compliance-Vorhaben erfordert die Sichtung Ihrer bestehenden Verträge, internen Prozesse und Verarbeitungsverzeichnisse. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.