Die Digitalisierung des Gesundheitswesens schreitet mit großen Schritten voran und verändert die Art und Weise der Gesundheitsversorgung. Neben den klassischen Behandlungsmethoden kommen immer häufiger auch sog. Digital Health Apps, wie z.B. Online-Videoberatung und digitales Medikamentenmanagement, zum Einsatz und bilden damit eine neue Säule der Gesundheitsversorgung. 

Daneben treten zahlreiche Fitnesstracker, die einen gesunden Lebensstil fördern sollen. Kalorien und Schritte zählen, Schlafphasen tracken, Fitnessprogramme, Ernährungspläne, Achtsamkeits- und Wohlfühl-Apps – damit ist nur ein Bruchteil möglicher Dienste von Digital Health Apps genannt.

Allen Digital Health Apps ist gemein, dass sie eine große Menge an Gesundheitsdaten erzeugen und verarbeiten. Der Einhaltung des Datenschutzrechts kommt daher eine besondere Bedeutung zu. Nur so können die damit verbundenen Datenschutzrisiken begrenzt und das Vertrauen der Nutzerinnen und Nutzer in die datenschutzkonforme Nutzung von Digital Health Apps gestärkt werden. Bei Verstößen gegen die Vorgaben der Datenschutz-Grundverordnung („DSGVO“) drohen Imageschäden sowie finanzielle Belastungen – etwa in Form von datenschutzrechtlichen Bußgeldern und Schadensersatzansprüchen.

Die nachfolgende Übersicht soll Anbieter von Digital Health Apps dabei unterstützen, einen DSGVO-konformen Einsatz von Digital Health Apps sicherzustellen.

Allgemeine Datenschutzvorgaben der DSGVO

Privacy by design & privacy by default schon zu Beginn der App-Entwicklung

Bereits in der Anfangsphase der App-Entwicklung müssen die datenschutzrechtlichen Anforderungen gemäß Art. 25 DSGVO berücksichtigt und rechtskonform umgesetzt werden („privacy by design“). Standardmäßig sind die Datenschutzeinstellungen auf die höchste Stufe zu setzen („privacy by default“). Die Verwendung datenschutzfreundlicher Voreinstellungen und schutzbedarfs- bzw. risikoorientierter Technologien ist der erste und entscheidende Schritt bei der Gestaltung einer DSGVO-konformen Digital Health App.

Durchführung von Datenschutz-Folgenabschätzungen in Bezug auf beabsichtigte Datenverarbeitungen

Datenschutz-Folgenabschätzungen sind für viele Digital Health Apps bereits gemäß Art. 35 DSGVO vorgeschrieben. Selbst dort, wo sie nicht verpflichtend sind, sind sie nützlich, um potenzielle Risiken für Nutzer bei der geplanten Datenverarbeitung zu identifizieren und Wege zu finden, diesen Risiken nutzerfreundlich zu begegnen. Zudem sind Datenschutz-Folgenabschätzungen unerlässlich, um der nach Art. 5 Abs. 2 DSGVO vorgegebenen Rechenschaftspflicht nachzukommen und die erforderliche DSGVO-Compliance nachzuweisen. Datenschutz-Folgenabschätzungen sind deshalb zu dokumentieren und regelmäßig zu überprüfen.

Datenverarbeitung nur mit passender Rechtsgrundlage und Zweckbestimmung

Jede Datenverarbeitung muss auf eine taugliche Rechtsgrundlage gestützt werden. Weil Digital Health Apps oft Gesundheitsdaten und damit „besondere Datenkategorien“ zum Gegenstand haben, muss die Verarbeitung in Übereinstimmung mit Art. 9 Abs. 2 DSGVO erfolgen.

Für die Verarbeitung von Gesundheitsdaten mittels Digital Health Apps ist in der Regel die ausdrückliche Einwilligung des Nutzers erforderlich (Art. 9 Abs. 2 lit. a) DSGVO). Für besondere Datenverarbeitungen, wie z.B. zu Forschungszwecken, können – neben der klassischen Einwilligung – spezialgesetzliche Verarbeitungsgrundlagen einschlägig sein (z.B. Art. 9 Abs. 2 lit. j) DSGVO).

Schließlich gilt es zu beachten , dass die Daten nach ihrer Erhebung nicht für einen anderen Zweck verarbeitet werden dürfen, der mit dem ursprünglichen Zweck, für den sie erhoben wurden, unvereinbar ist (Art. 5 Abs. 1 lit. b) DSGVO). Sofern neben der reinen Bereitstellung und Nutzung der App noch weitere Datenverarbeitungszwecke, wie z. B. zur Datenspende oder zu Forschungs- und Entwicklungszwecken, beabsichtigt werden, müssen diese Zwecke bei der Datenerhebung ebenfalls festgelegt und durch geeignete Rechtsgrundlagen legitimiert werden. 

Datenschutzerklärungen als zentraler Baustein für Transparenz

Von besonderer Bedeutung ist eine transparente und nutzerfreundliche Datenschutzerklärung (Art. 13 und 14 DSGVO), um das Vertrauen des Nutzers in eine DSGVO-konforme Datenverarbeitung zu stärken. Dabei sollte die Datenverarbeitung so konkret und App-spezifisch wie möglich beschrieben werden. Auch der Zeitpunkt spielt eine Rolle: Die Datenschutzerklärung muss frühzeitig und „bei Erhebung“, d.h. unmittelbar mit dem Zugriff auf personenbezogene Daten bereitgestellt werden – in der Regel also bereits auf der Download-Plattform, z. B. dem App-Store. Schließlich sollte die Datenschutzerklärung auch in der Digital Health App selbst platziert und für den Nutzer jederzeit leicht zugänglich und auffindbar sein.

Die Datenverarbeitung auf das notwendige Maß beschränken

Welche Daten sind für den Betrieb der App tatsächlich erforderlich und welche Daten müssen wirklich mit einer identifizierbaren Person verknüpft werden? Jede rechtmäßige Datenverarbeitung setzt voraus, dass sie für den Zweck angemessen ist und auf das für die Verarbeitung notwendige Maß beschränkt wird (Art. 5 Abs. 1 lit. c) DSGVO).

Hierbei kommt es stets auf die konkrete App an: Werden maßgeschneiderte Behandlungstherapien verfolgt, ist die Verarbeitung von personenbezogenen Gesundheitsdaten wohl stets erforderlich. Stehen dagegen allgemeinere Themen im Fokus, wie z. B. die Datenspende oder die Datennutzung zu Forschungs- und Entwicklungszwecken, stellt sich die Frage, ob die Verarbeitung der personenbezogenen Daten tatsächlich notwendig ist. Gerade die Möglichkeit der Anonymisierung oder zumindest der Pseudonymisierung muss hier im Blick behalten werden. Mittels Pseudonymisierung können personenbezogene Daten ohne Hinzuziehung zusätzlicher Informationen einer bestimmten Person nicht mehr zugeordnet werden. Im Gegensatz zu anonymen Daten unterfallen pseudonymisierte Daten aber weiterhin der DSGVO, da der Personenbezug mittels Zuordnungsregel wiederhergestellt werden kann. Bei der Anonymisierung ist das nicht mehr der Fall, weshalb die Vorschriften der DSGVO nicht anwendbar und in der Folge nicht zu berücksichtigen sind (EWG 26 S. 5 DSGVO).

Daten vorzugswürdig auf dem lokalen Gerät des Nutzers speichern

Einige Digital Health Apps wählen einen dezentralen Ansatz, wonach die gesammelten personenbezogenen Daten auf dem Gerät des Nutzers verbleiben. Die Daten werden somit nicht extern gehostet (über einen Server oder eine Cloud), was zugleich das Missbrauchsrisiko erheblich mindert. Ein dezentraler Ansatz stärkt zudem das Vertrauen der Nutzer in eine datenschutzfreundliche und missbrauchssichere Infrastruktur der jeweiligen Digital Health App. Ist es dagegen notwendig, die Daten gesammelt auf einem Server/einer Cloud zu speichern, müssen die Daten in hinreichend verschlüsselter Form übermittelt und gespeichert werden, um die Datensicherheit zu gewährleisten.

Datensicherheit ist zu wahren

Je sensibler die Art der verarbeiteten Daten, desto höher muss das Sicherheitsniveau sein (Art. 32 DSGVO). Zwar kann jede Datenschutzverletzung die Aufmerksamkeit der Aufsichtsbehörden auf sich ziehen und der eigenen Reputation schaden – bei sensiblen Gesundheitsdaten besteht aber die erhöhte Wahrscheinlichkeit, dass Aufsichtsbehörden bei Anzeichen der Verletzung des Schutzes personenbezogener Daten Untersuchungen einleiten und empfindliche Bußgelder verhängen können. Das Einspielen von sicherheitsrelevanten Patches und Updates, Mindeststandards bei Passwörtern, automatische Log-Outs und verschlüsselte Datenübertragungen sind der Schlüssel zu einer datenschutzkonformen Gestaltung.

Das Vertrauen der Nutzer gewinnen und wahren

Um ein gewisses Misstrauen gegenüber dem Einsatz von Digital Health Apps zu vermeiden, muss die Datenverarbeitung transparent und nachvollziehbar gestaltet sein. Der Nutzer sollte zudem jederzeit in der Lage sein, zu kontrollieren, welche Gesundheitsdaten über ihn gesammelt werden. Zugleich bietet es sich an, dem Nutzer durch eine transparente Benutzeroberfläche die Änderung seiner Datenschutzeinstellungen jederzeit und ohne Hindernisse zu ermöglichen.

Betroffenenrechte erleichtern

Nutzer müssen die Kontrolle über ihre Daten haben. Das umfasst etwa die Möglichkeit, auf die Daten zuzugreifen, sie zu korrigieren oder zu löschen. Eine transparente und benutzerfreundliche Umsetzung dieser Möglichkeiten stärkt den Datenschutz und das Vertrauen des Nutzers in die App. Bereits bei der App-Entwicklung muss also darauf geachtet werden, dass die Anbieter durch die Gestaltung der App den Rechten der betroffenen Nutzer auch entsprechen können.

Zur eigenen Verantwortung stehen

Es reicht nicht aus, die Vorgaben der DSGVO einzuhalten und umzusetzen. Vielmehr muss der Verantwortliche in der Lage sein, die Umsetzung der DSGVO im Rahmen der erfolgten Datenverarbeitungsprozesse gegenüber den Aufsichtsbehörden nachzuweisen (Art. 5 Abs. 2 DSGVO). Das setzt klare Strukturen, interne Richtlinien, Prozesse und Audits voraus. Hand in Hand geht damit die bereits genannte Datenschutz-Folgenabschätzung.

Vorsicht bei Datenübermittlungen

Besondere Aufmerksamkeit ist beim Thema „Datenübermittlungen“ geboten. Dies gilt nicht nur dann, wenn die Daten die Europäische Union verlassen. Vielmehr muss stets kritisch geprüft werden, wem Zugriff auf personenbezogene Daten gewährt wird und warum. Besondere Vorsicht ist insbesondere geboten, wenn in der Digital Health App etwa Tracker von externen Dienstleistern, z.B. zur Produktverbesserung, verbaut werden, die das Nutzerverhalten auswerten. Hierbei ist stets ein besonderer Blick auf die Rechtmäßigkeit der Datenverarbeitung sowie auf die Zweckbindung geboten, um den datenschutzrechtlichen Anforderungen hinreichend Rechnung zu tragen.

Bei der Beauftragung von Auftragsverarbeitern muss stets der Abschluss einer geeigneten Vereinbarung über die Auftragsverarbeitung sichergestellt werden (Art. 28 DSGVO), damit der Anbieter auch weiterhin die Kontrolle über die Datenverarbeitung behält.

Bei der Übermittlung von personenbezogenen Daten außerhalb der Europäischen Union sind ferner die Vorgaben zu Datenübermittlungen in Drittländer gemäß Art. 44 bis 50 DSGVO zu berücksichtigen. Internationale Datenübermittlungen stehen besonders im Fokus der europäischen Aufsichtsbehörden. Daher ist für angemessene Datenübermittlungsmechanismen zu sorgen.

Zudem muss in der Datenschutzerklärung in transparenter Weise über die Datenempfänger und den Ort der Datenverarbeitung informiert werden.

Datenspeicherung nicht länger als notwendig!

Personenbezogene Daten dürfen nicht länger gespeichert werden, als es für den Zweck, für den sie erhoben wurden, erforderlich ist (Art. 5 Abs. 1 lit. e) DSGVO). Mit dem Grundsatz der Datensparsamkeit geht einher, dass der Personenbezug von Daten nur so lange bestehen darf, wie es für den konkreten Zweck erforderlich ist. Hier zeigt sich ein weiterer Vorteil der Anonymisierung: Sind Daten anonymisiert, gilt mangels Anwendbarkeit der DSGVO keine zeitliche Begrenzung der Datenspeicherung.

Besondere Datenschutzvorgaben bei erstattungsfähigen Digital Health Apps

Steht die Verschreibung von Digital Health Apps „auf Rezept“ im Raum, müssen die App-Anbieter einen Nachweis zur Erfüllung der Anforderungen an den Datenschutz und der Anforderungen an die Datensicherheit nach dem Stand der Technik erbringen (§§ 33a, 139e Abs. 2 S. 2 Nr. 2 Sozialgesetzbuch Fünftes Buch, „SGB V“). Dies erfolgt nach Maßgabe der Digitale Gesundheitsanwendungen-Verordnung („DiGAV“) durch Selbsterklärung des App-Anbieters gegenüber dem Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM). Hierzu füllt der App-Anbieter einen Fragebogen aus, der als Anlage 1 der DiGAV beigefügt ist. App-Anbieter müssen selbstständig bewerten, ob sie die Vorgaben erfüllen und tragen ebenso das Risiko einer Falscheinschätzung. Das BfArM stellt als Hilfestellung einen allgemeinen Leidfaden für DiGA-Anbieter zur Verfügung.

Zu beachten ist, dass die DiGAV über die zu wahrenden Vorgaben der DSGVO hinausgeht. Die DiGAV sieht z.B. vor, dass die Datenverarbeitung allein auf Grundlage einer ausdrücklichen Einwilligung des Nutzers zulässig ist. Zudem zählt sie die zulässigen Zwecke der Datenverarbeitung abschließend auf. Danach ist eine Verarbeitung auf versorgungsrelevante Zwecke (z.B. bestimmungsgemäßer Gebrauch, Nachweis positiver Versorgungseffekte) und die Gewährleistung der technischen Funktionsfähigkeit und Weiterentwicklung der digitalen Gesundheitsanwendungen beschränkt. Eine Verarbeitung zu anderen Zwecken, gerade zu Werbezwecken, ist ausdrücklich verboten. Der Ort der Datenspeicherung ist auf Länder innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums und Drittländer mit einem wirksamen Angemessenheitsbeschuss gem. Art. 45 DSGVO beschränkt. 

Anbieter von Digital Health Apps „auf Rezept“ haben damit neben den allgemeinen Datenschutzvorgaben vor allem auch die besonderen Datenschutzvorgaben der DiGAV zu beachten. Einen detaillierten Überblick über die besonderen Datenschutzvorgaben der DiGAV finden Sie hier.

Fazit

Digital Health Apps sind Grundlage für neue innovative Behandlungsmöglichkeiten und Dienste im Gesundheitswesen. Angesichts der Bedeutung von Gesundheitsdaten ist die Versuchung groß, möglichst viele Daten zu möglichst vielen Zwecken zu sammeln. Diese Datenverarbeitung muss dabei stets im Einklang mit der DSGVO erfolgen. 

Um die Akzeptanz zum Einsatz von Digital Health Apps weiter zu steigern, bedarf es zudem vertrauensbildender Datenschutzmaßnahmen. Wirtschaftliche Interessen der App-Anbieter müssen dabei vor allem an den Vorgaben der DSGVO (und ggf. denen von SGB V und DiGAV) ausgerichtet sein. Die Umsetzung der vorstehenden To-Do’s bietet einen ersten Überblick für App-Anbieter, wie sie einen datenschutzkonformen Einsatz ihrer Digital Health Apps gewährleisten können.