Schutz von Gesundheitsdaten und DSGVO-Compliance für Fachleute

Gesundheitsdaten nehmen eine besondere Stellung in der europäischen Rechtslandschaft ein. Sie werden von der DSGVO (Artikel 9) als besondere Kategorien sensibler Daten eingestuft und unterliegen einem verstärkten Schutzsystem, das für alle Fachleute gilt, die damit umgehen: Pflegeeinrichtungen, Krankenkassen, Herausgeber von Gesundheitssoftware, Labore, Dienste für Heimbetreuung, E-Health- und Telemedizin-Anbieter. Im Jahr 2026 hat sich die Rechtslandschaft weiter verdichtet — durch die schrittweise Einführung des Europäischen Gesundheitsdatenraums (EGDR), die aktualisierten Empfehlungen der CNIL und Rekordsanktionen in der EU ist Compliance nicht mehr optional. Dieser Artikel beschreibt Punkt für Punkt die geltenden Verpflichtungen und Best Practices zum Schutz Ihrer Datenverarbeitungen.

Was ist ein Gesundheitsdatum im Sinne der DSGVO?

Die DSGVO (Verordnung Nr. 2016/679, Artikel 4 Absatz 15) definiert Gesundheitsdaten als „personenbezogene Daten, die sich auf die körperliche oder psychische Gesundheit einer natürlichen Person beziehen, einschließlich der Erbringung von Gesundheitsdienstleistungen, die Informationen über deren Gesundheitszustand offenbaren".

Ein größerer Geltungsbereich als man denkt

Diese Definition umfasst weit mehr als klassische Krankenakten. Darunter fallen:

• Krankengeschichte, Diagnosen, Verordnungen und Analyseergebnisse;
• Von verbundenen Geräten gesammelte Daten (Uhren, Glukosemessgeräte, Menstruationsverfolgungsanwendungen);
• Verwaltungsdaten, die einen Gesundheitszustand erkennen lassen (Erstattungssätze, Häufigkeit von Konsultationen);
• Sozialversicherungsnummern (NIR), wenn sie mit medizinischen Informationen verknüpft sind.

In Frankreich hat die CNIL präzisiert, insbesondere in ihrer Referenzstellungnahme zu Gesundheitsdaten-Lagern (EDS), dass der Begriff weit auszulegen ist. So fallen beispielsweise ein Foto, das eine sichtbare Behinderung zeigt, oder biometrische Daten (Netzhautabdruck) in den Geltungsbereich.

Warum ein verstärkter Schutz?

Die besondere Sensibilität von Gesundheitsdaten beruht auf ihrem Diskriminierungspotenzial. Die Offenlegung des Gesundheitszustands einer Person kann ihre Chancen auf dem Arbeitsmarkt, bei Versicherungen, Kreditvergabe beeinflussen oder ihre Privatsphäre gefährden. Die CNIL schätzte, dass 2024 Verstöße mit Gesundheitsdaten über 36 % der Meldungen ausmachten, die sie erhielt — die erste Kategorie verletzter Daten.

Spezifische Rechtsgrundlagen für die Verarbeitung von Gesundheitsdaten

Artikel 9 Absatz 1 der DSGVO legt ein Verarbeitungsverbot für sensible Daten fest, mit eng begrenzten Ausnahmen. Für Gesundheitsfachleute sind die hauptsächlich nutzbaren Rechtsgrundlagen:

Ausdrückliche Zustimmung (Art. 9 Abs. 2 a)

Die Zustimmung muss frei, spezifisch, informiert und eindeutig sein und durch klare positive Maßnahmen ausgedrückt werden. Im Gesundheitssektor ist diese Grundlage oft für Routinebehandlungen ungeeignet (Machtungleichgewicht zwischen Arzt und Patient), bleibt aber unverzichtbar für Forschung, Marketing oder Nutzung von Consumer-Health-Anwendungen.

Gute Praxis 2026: Die elektronische Signatur im Gesundheitswesen nutzen, um die Zustimmung von Patienten auf nachvollziehbare und zeitstempelversehene Weise zu erhalten, was den Nachweis bei Kontrollen erleichtert.

Behandlung und Prävention (Art. 9 Abs. 2 h)

Dies ist die Hauptrechtsgrundlage für Gesundheitsfachleute, die Daten im Rahmen der Behandlungsbeziehung verarbeiten. Sie gilt unter der Bedingung, dass die Verarbeitung durch oder unter Verantwortung eines dem Berufsgeheimnis unterliegenden Fachmanns erfolgt.

Öffentliches Interesse und Forschung (Art. 9 Abs. 2 i und j)

Verarbeitungen zu Zwecken der öffentlichen Gesundheit (epidemiologische Überwachung, Pharmakovigilanz) oder wissenschaftlicher Forschung können auf diese Ausnahmen gestützt werden. In Frankreich definieren das Informatik- und Freiheitsgesetz (Art. 65 bis 68) und die Verordnung zum Nationalen Gesundheitsdatensystem (SNDS) die Zugangsvoraussetzungen.

Konkrete Verpflichtungen der Verantwortlichen

Ob Zahnarztpraxis oder Herausgeber einer digitalen Gesundheitslösung — die Verpflichtungen gliedern sich in fünf Säulen.

1. Verzeichnis der Verarbeitungstätigkeiten (Art. 30)

Jeder Verantwortliche oder Auftragsverarbeiter muss ein Verzeichnis führen, das jede Verarbeitung dokumentiert: Zweck, Rechtsgrundlage, Datenkategorien, Aufbewahrungszeiten, Empfänger, Sicherheitsmaßnahmen. Die CNIL verlangt, dass dieses Verzeichnis aktuell ist und ohne Verzögerung bei einer Kontrolle vorgelegt werden kann.

2. Datenschutz-Folgenabschätzung (DSFA / Art. 35)

Verarbeitungen von Gesundheitsdaten in großem Umfang oder zu Profiling-Zwecken erfordern obligatorisch eine DSFA (im Englischen DPIA). Die CNIL hat eine Liste von Verarbeitungen veröffentlicht, die obligatorisch einer DSFA unterliegen, einschließlich Gesundheitsdaten-Lagern, mobilen Anwendungen zur Gesundheitsüberwachung und verbundenen Medizingeräten.

Bezüglich des Rechtswerts elektronischer Dokumente in diesem Kontext müssen Anbieter sicherstellen, dass ihre Erfassungsmechanismen Beweisanforderungen erfüllen.

3. Benennung eines Datenschutzbeauftragten (DSB)

Die Benennung eines DSB ist obligatorisch für:

• Gesundheitsfachleute in Verbünden (Krankenhäuser, Pflegeheime, Pflegeeinrichtungen mit mehr als 50 Personen);
• Krankenkassen und Versicherer;
• Herausgeber von Gesundheitssoftware, die Daten in großem Umfang verarbeiten.

Seit 2024 hat die CNIL ihre Kontrollen zur Wirksamkeit der DSB-Rolle verstärkt und überprüft insbesondere deren tatsächliche Unabhängigkeit und Ressourcen.

4. Sicherheit der Informationssysteme (Art. 32)

Technische und organisatorische Maßnahmen müssen dem Risiko entsprechend sein. Die CNIL empfiehlt insbesondere:

• Ende-zu-Ende-Verschlüsselung von gespeicherten Daten und bei der Übertragung;
• Pseudonymisierung, wenn der Zweck dies zulässt;
• Einführung strikter Zugriffskontrolle (mehrstufige Authentifizierung);
• Regelmäßige, getestete Sicherungen ohne Verbindung zum Hauptnetz;
• Ein Geschäftskontinuitätsplan (BCP) speziell für Gesundheitsdaten.

Seit Geltung der NIS-2-Richtlinie (in französisches Recht durch Gesetz vom 26. März 2025 umgesetzt) unterliegen wesentliche Einrichtungen des Gesundheitssektors — darunter Krankenhäuser, Hersteller von Medizingeräten und bestimmte Labore — noch strengeren Cybersicherheitsanforderungen, mit obligatorischer Benachrichtigung der ANSSI bei großen Zwischenfällen innerhalb von 24 Stunden.

5. Meldung von Datenschutzverletzungen (Art. 33 und 34)

Jede Verletzung von Gesundheitsdaten muss innerhalb von 72 Stunden nach deren Entdeckung der CNIL mitgeteilt werden. Falls die Verletzung ein hohes Risiko für Rechte und Freiheiten von Personen darstellt, müssen betroffene Patienten ohne unbegründete Verzögerung benachrichtigt werden.

2024 verhängte die CNIL Geldstrafen für verspätete Meldungen und verdeutlichte, dass Reaktionsschnelligkeit selbst eine Compliance-Verpflichtung ist.

Speicherung von Gesundheitsdaten: eine spezifisch französische Verpflichtung

In Frankreich schreibt das Gesetz vom 26. Januar 2016 (Art. L. 1111-8 Gesundheitskodex) vor, dass personenbezogene Gesundheitsdaten bei einem zertifizierten HDS-Anbieter (Hébergeur de Données de Santé) gehostet werden müssen. Diese Zertifizierung, ausgestellt von COFRAC-akkreditierten Stellen auf Grundlage der Norm ISO 27001 und des HDS-Referenzrahmens der ANS, deckt sechs verschiedene Aktivitäten ab.

Wer unterliegt der HDS-Zertifizierung?

Betroffen sind alle Akteure, die Systeme mit Gesundheitsdaten für Dritte hosten, verwalten oder betreiben: Cloud-Anbieter, Herausgeber von DMP (elektronische Patientenakten), Telemedizin-Plattformen und — seit 2023 — Herausgeber von Consumer-Health-Apps ab dem Moment, in dem sie personenbezogene Daten speichern.

Die Nutzung eines zertifizierten HDS-Anbieters entbindet den Verantwortlichen nicht von seinen Verpflichtungen: Er muss zwingend einen DSGVO-konformen Auftragsverarbeitungsvertrag nach Artikel 28 schließen, der die an den Anbieter erteilten Anweisungen, Sicherheitsgarantien und Prüfmodalitäten präzisiert.

Der Europäische Gesundheitsdatenraum (EGDR): Welche Auswirkungen 2026?

Die EGDR-Verordnung (verabschiedet Ende 2025, erste Bestimmungen treten bis 2027 schrittweise in Kraft) legt den Rahmen für grenzüberschreitenden Zugang zu Gesundheitsdaten für Forschung, Innovation und öffentliche Gesundheit fest. Für französische Fachleute zwei unmittelbare Auswirkungen:

1. Die Verpflichtung, das verstärkte Portabilitätsrecht (strukturiertes, maschinenlesbares Format) für Patientenakten zu beachten;
2. Das Verbot, primäre Gesundheitsdaten zu Werbezwecken zu verarbeiten, auch mit Zustimmung — eine strengere Einschränkung als die DSGVO allein.

Diese Entwicklungen machen eine Aktualisierung von Datenschutzrichtlinien und Auftragsverarbeitungsverträgen bis Ende 2026 unerlässlich. Für Fachleute, die Tools mit eIDAS-konformer elektronischer Signatur nutzen, bietet die Nachvollziehbarkeit von Zustimmungen und Genehmigungen einen erheblichen Vorteil zur Compliance-Demonstration bei einer Prüfung.

Patientenrechte und Ausübung von DSGVO-Rechten

Patienten haben alle DSGVO-Rechte (Zugang, Berichtigung, Löschung, Einschränkung, Portabilität, Widerspruch) mit einigen branchenspezifischen Abweichungen.

Das Recht auf Zugang zu Gesundheitsdaten

Ein Patient kann Zugang zu seiner gesamten Krankenakte verlangen (Art. L. 1111-7 Gesundheitskodex). Der Fachmann hat eine Frist von 8 Tagen (48 Stunden für aktuelle Daten, kürzliche Hospitalisierungen) und 2 Monate für ältere Daten. CNIL und Ombudsmann haben beide Einrichtungen sanktioniert, die diese Anfragen verweigerten oder verzögerten.

Das Recht auf Löschung und seine Grenzen

Das „Recht auf Vergessenwerden" ist durch gesetzliche Aufbewahrungszeiten begrenzt: 20 Jahre für erwachsene Krankenakten, 28 Jahre bei Maßnahmen vor der Volljährigkeit. Diese gesetzlichen Fristen gehen vor jeder vorzeitigen Löschaufforderung — der Verantwortliche muss dies dem Patienten klar erklären.

Verwaltung von Anfragen auf elektronischem Weg

Für Einrichtungen, die ihre Prozesse digitalisiert haben, können Anfragen zur Rechtsausübung über sichere Formulare übermittelt und bearbeitet werden. Der qualifizierte elektronische Zeitstempel von Anfragen und Antworten stellt eine gute Praxis dar und ermöglicht bei CNIL-Kontrollen den Nachweis der Einhaltung gesetzlicher Fristen.

Anwendbarer Rechtsrahmen zum Schutz von Gesundheitsdaten

Die Compliance von Gesundheitsfachleuten und ihren Technologiepartnern beruht auf einer Verbindung europäischer und nationaler Texte, die beherrscht werden müssen.

DSGVO — Verordnung (EU) Nr. 2016/679 vom 27. April 2016: Eckstein des Systems. Sie klassifiziert Gesundheitsdaten als sensible Daten (Art. 4 Abs. 15), verbietet deren Verarbeitung außer bei eng begrenzten Ausnahmen (Art. 9 Abs. 2), macht DSFA obligatorisch (Art. 35), DSB-Benennung (Art. 37), Meldung von Verletzungen (Art. 33-34) und verhältnismäßige Sicherheitsmaßnahmen (Art. 32). Die Sanktionen erreichen 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes — der höhere Betrag wird angewendet.

Informatik- und Freiheitsgesetz (Gesetz Nr. 78-17 vom 6. Januar 1978 in der Fassung): Setzt die DSGVO in französisches Recht um, ermächtigt die CNIL zur Verabschiedung branchenspezifischer Referenzen für den Gesundheitssektor und definiert Zugangsmodalitäten zum SNDS.

Gesundheitskodex — Art. L. 1111-7 und L. 1111-8: Begründen das Zugriffsrecht des Patienten auf seine Krankenakte und die Verpflichtung, Daten bei einem zertifizierten HDS-Anbieter zu hosten.

HDS-Referenzrahmen (Hébergeur de Données de Santé): Von der Agentur für digitale Gesundheit (ANS) veröffentlicht. Er definiert sechs Zertifizierungsaktivitäten, die physische Infrastruktur, Plattform und Anwendungssoftware abdecken.

NIS-2-Richtlinie — Richtlinie (EU) 2022/2555, in Frankreich durch Gesetz vom 26. März 2025 umgesetzt: Unterwerfen wesentliche Einrichtungen des Gesundheitssektors (Krankenhäuser mit über 30 000 Patienten/Jahr, Medizingeräte-Hersteller Klasse IIb und III, Referenzlabore) verstärkten Cybersecurity-Verpflichtungen, insbesondere Meldung an ANSSI innerhalb von 24 Stunden bei bedeutenden Zwischenfällen und Umsetzung jährlich getesteter Incident-Response-Pläne.

eIDAS-Verordnung Nr. 910/2014 und eIDAS 2.0 (Verordnung (EU) 2024/1183): Regeln den Rechtswert elektronischer Signaturen, die für Zustimmungen, digitalisierte medizinische Maßnahmen und Verträge mit Dienstleistern verwendet werden. Fortgeschrittene oder qualifizierte elektronische Signaturen werden für alle Maßnahmen empfohlen, deren Beweiskraft angefochten werden könnte.

EGDR-Verordnung (Europäische Verordnung zum Europäischen Gesundheitsdatenraum, 2025): Stärkt die Patientenrechte über ihre Primärdaten und regelt die Nutzung von Sekundärdaten zu Forschungszwecken, mit Schaffung von Gesundheitsdaten-Zugangsorganismen in jedem Mitgliedstaat.

Konkrete Rechtsrisiken: Neben CNIL-Verwaltungsbußgeldern setzen sich Verantwortliche Schadensersatzansprüchen aus (Art. 82 DSGVO), Strafverfolgung (Art. 226-17 Strafgesetzbuch, maximal 5 Jahre Freiheitsstrafe und 300 000 € Geldstrafe für juristische Personen) und Reputationsschäden aus, deren wirtschaftliche Auswirkungen die Bußgeldbeträge oft übersteigen.

Anwendungsszenarios: DSGVO-Compliance und Gesundheitsdaten in der Praxis

Szenario 1 — Ein Klinikverbund mit etwa 1 200 Betten

Ein Klinikverbund mittlerer Größe (etwa 1 200 Betten auf drei Standorte verteilt) verarbeitete Patientenzustimmungen auf Papierscheinen, die in schlecht gesicherten physischen Archiven lagerten. Bei einer internen Audit-Prüfung in Vorbereitung auf eine CNIL-Kontrolle wurden mehrere Mängel identifiziert: Unmöglichkeit, schnell eine Zustimmung von vor über zwei Jahren zu finden, fehlende Nachverfolgbarkeit für Zustimmungen zu Video-Überwachung und Übermittlung an Dritte (Versicherer, überweisende Ärzte).

Die Geschäftsleitung setzte eine qualifizierte elektronische Signaturlösung um, die in das Krankenhausinformationssystem integriert ist. Ergebnisse nach sechs Monaten: die Bearbeitungszeit für Anfragen zum Dossier-Zugang sank von 14 auf 4 Arbeitstage (Reduktion um 71 %), die Suchzeit für eine Zustimmung lag unter 2 Minuten statt vorher durchschnittlich 45 Minuten, und der Verbund erhielt seine HDS-Zertifizierung für die Anwendungsebene.

Szenario 2 — Ein Telemedizin-Softwareanbieter für Fachärzte

Ein Unternehmen, das eine Fernkonsultationsplattform für Fachärzte in Privatpraxis herausgab (etwa 4 000 aktive Ärzte), war einem großen Risiko ausgesetzt: Seine Server wurden bei einem US-amerikanischen Cloud-Anbieter ohne DSGVO-Art.-28-konformen Vertrag gehostet und ohne HDS-Zertifizierung. Die Plattform sammelte jedoch Konsultationsberichte, Verordnungen und klinische Fotos.

Nach einer Datenschutz-Folgenabschätzung (DSFA) mit externem DSB migrierte das Unternehmen zu einem zertifizierten HDS-Anbieter in Frankreich, überarbeitete alle Auftragsverarbeitungsverträge und integrierte einen zeitgestempelten, aufgeklärten Zustimmungsmechanismus vor jeder Konsultation. Es setzte auch ein internes Incident-Meldeverfahren unter 12 Stunden um, um die gesetzliche 72-Stunden-Frist zur CNIL-Meldung einzuhalten. Die Compliance-Kosten wurden auf 180 000 € geschätzt — gegenüber 400 000 € Bußgeld, das die CNIL gegen einen vergleichbaren Akteur im selben Jahr verhängte.

Szenario 3 — Ein Verbund unabhängiger Apotheken

Ein Verbund von etwa 40 unabhängigen Apotheken nutzte eine zentrale Managementsoftware zur Verarbeitung von Verordnungshistorien und Treue-Daten (verknüpft mit impliziten Gesundheitsprofilen). Ohne benannten DSB und ohne aktualisiertes Verarbeitungsverzeichnis konnte der Verbund auf eine Anfrage zur Rechtsausübung nicht innerhalb von 30 Tagen antworten.

Ein über acht Monate verteiltes Compliance-Projekt ermöglichte die Benennung eines gemeinsamen DSB (häufige und zulässige Lösung für KMU-Verbünde), die Dokumentation von 23 verschiedenen Verarbeitungen im Verzeichnis, die Überprüfung der Aufbewahrungszeiten-Politik (Treue-Daten wurden 10 Jahre ohne Rechtfertigung gelagert) und Schulung des gesamten Apotheken-Personals zu guten Praktiken bei Patientenanfragen oder Kontrollen. Das ex-ante geschätzte Bußgeldrisiko überstieg 150 000 €.

Häufig gestellte Fragen

Unterliegen von einer mobilen Anwendung gesammelte Gesundheitsdaten der DSGVO?

Ja, sobald die Anwendung Daten erfasst, die es erlauben, den Gesundheitszustand einer Person herzuleiten (Herzfrequenz, Menstruationsverfolgung, Blutzucker, Ernährung), stellen diese Daten Gesundheitsdaten im Sinne von Art. 4 Abs. 15 DSGVO dar. Der Herausgeber ist Verantwortlicher und muss ausdrückliche Zustimmung einholen, Daten bei einem zertifizierten HDS-Anbieter hosten und eine DSFA durchführen, wenn die Verarbeitung in großem Umfang erfolgt.

Muss ein allein praktizierender Arzt einen DSB benennen?

Nein, die Benennung eines DSB ist nicht obligatorisch für einen allein praktizierenden Arzt oder eine Praxis mit nur wenigen Praktizierenden, außer wenn die Verarbeitungen Gesundheitsdaten in großem Umfang betreffen. Dieser Arzt bleibt jedoch Verantwortlicher, muss ein Verarbeitungsverzeichnis führen, das Minimierungsprinzip anwenden und in der Lage sein, Anfragen zur Rechtsausübung seiner Patienten innerhalb gesetzlicher Fristen zu bearbeiten.

Welche Sanktionen kann die CNIL bei Gesundheitsdaten-Verletzungen verhängen?

Die CNIL hat umfassende Verwaltungssanktionsbefugnisse bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, der höhere Betrag wird angewendet. Über das Bußgeld hinaus kann sie eine Compliance-Anordnung mit Strafgelder oder öffentliche Bekanntgabe erlassen. Auf Strafebene sieht Art. 226-17 Strafgesetzbuch bis zu 5 Jahre Freiheitsstrafe und 300 000 € Geldstrafe für juristische Personen vor.

Haftet ein Auftragsverarbeiter (Software, Cloud) bei einer Gesundheitsdaten-Leckage?

Ja. Die DSGVO (Art. 28 und 82) begründet gemeinsame Verantwortlichkeit des Verantwortlichen und Auftragsverarbeiters gegenüber betroffenen Personen. Der Auftragsverarbeiter haftet direkt, wenn er außerhalb der Anweisungen des Verantwortlichen handelte oder seine eigenen DSGVO-Verpflichtungen nicht erfüllte. Daher ist es wesentlich, einen präzisen Auftragsverarbeitungsvertrag zu schließen und sicherzustellen, dass der Hoster für Gesundheitsdaten zertifiziert ist.

Ist HDS-Zertifizierung für alle Digital-Health-Akteure obligatorisch?

HDS-Zertifizierung ist obligatorisch für jeden Dienstleister, der Systeme mit personenbezogenen Gesundheitsdaten für Dritte hostet, verwaltet oder betreibt. Sie gilt daher für Cloud-Anbieter, SaaS-Herausgeber im Gesundheitsbereich und Telemedizin-Plattformen. Ein Gesundheitsfachmann, der seine eigenen Daten hostet (ohne sie an Dritte zu übertragen), unterliegt nicht direkt dieser Verpflichtung, muss aber weiterhin die Sicherheitsmaßnahmen von Art. 32 DSGVO erfüllen.

Fazit

Der Schutz von Gesundheitsdaten stellt 2026 einen der komplexesten und am stärksten kontrollierten Regulierungsbereiche des digitalen Sektors dar. Zwischen DSGVO, Informatik- und Freiheitsgesetz, HDS-Hosting-Verpflichtung, NIS-2-Richtlinie und Aufstieg des Europäischen Gesundheitsdatenraums müssen Fachleute permanente Wachsamkeit bewahren und ihre Compliance um fünf Säulen strukturieren: Verarbeitungsverzeichnis, DSFA, DSB, technische Sicherheit und Patientenprächteverwaltung.

Certyneo unterstützt Gesundheitsakteure bei der sicheren Digitalisierung ihrer Prozesse: zeitgestempelte Zustimmungserfassung, qualifizierte elektronische Signatur von Verträgen mit Dienstleistern, nachvollziehbarer Beweis jeder Maßnahme. Entdecken Sie, wie unsere Lösung Ihre DSGVO-Compliance stärken kann, indem Sie unseren Bereich für Gesundheitsfachleute besuchen oder kostenlos auf Certyneo starten.