Der Europäische Gesundheitsdatenraum und die Nutzung von Gesundheitsdaten in Deutschland

Was ist der Europäische Gesundheitsdatenraum?

Der Europäische Gesundheitsdatenraum (European Health Data Space, EHDS) ist ein EU-Rahmen für die Nutzung elektronischer Gesundheitsdaten, geschaffen durch die Verordnung (EU) 2025/327. Er verfolgt zwei Hauptziele. Das erste, die sogenannte Primärnutzung, soll Einzelpersonen einen besseren Zugang zu ihren eigenen elektronischen Gesundheitsdaten und mehr Kontrolle darüber verschaffen und es ermöglichen, dass diese Daten sie für ihre Versorgung auch über Grenzen hinweg begleiten. Das zweite, die sogenannte Sekundärnutzung, soll Gesundheitsdaten über ein System von Zugangsstellen für Gesundheitsdaten und Datengenehmigungen für Forschung, Innovation, Politikgestaltung, Regulierungstätigkeiten und andere Zwecke im öffentlichen Interesse verfügbar machen.

Für Unternehmen ist der Europäische Gesundheitsdatenraum in drei Rollen von Bedeutung. Hersteller von Systemen für elektronische Gesundheitsakten (EHR-Systeme) müssen Produktanforderungen erfüllen und unterliegen einem Selbstzertifizierungssystem. Dateninhaber – Krankenhäuser, aber auch viele Unternehmen, die Gesundheitsdaten halten – können verpflichtet sein, Daten für die Sekundärnutzung bereitzustellen. Und Datennutzer – Pharmaunternehmen, Medizintechnikhersteller, KI-Entwickler und Forschende – erhalten einen strukturierten Weg zu Gesundheitsdaten in der gesamten EU.

Deutschland fängt nicht bei null an. Das Gesundheitsdatennutzungsgesetz (GDNG) von 2024 hat bereits nationale Strukturen geschaffen, die voraussichtlich in das System des EHDS hineinwachsen werden. Dieser Beitrag erläutert die Verordnung, ihren Zeitplan und den deutschen Kontext.

Zeitplan des Gesundheitsdatenraums: wann die Regeln gelten

Die Verordnung wurde am 11. Februar 2025 unterzeichnet und trat zwanzig Tage nach ihrer Veröffentlichung im Amtsblatt in Kraft. Die meisten Pflichten gelten erst später und gestaffelt. Art. 105 legt den Zeitplan fest:

Der gestaffelte Zeitplan verschafft der Branche Zeit, doch die vorbereitenden Arbeiten sind erheblich. Durchführungsrechtsakte zu technischen Spezifikationen, Datenqualitätslabels und Genehmigungsverfahren werden die Compliance prägen, und die Mitgliedstaaten müssen Zugangsstellen für Gesundheitsdaten und Behörden für digitale Gesundheit benennen. Wer früh beginnt, kann die Übergangszeit nutzen, um Datenbestände zu ordnen, Zuständigkeiten festzulegen und Investitionen zu planen, statt kurz vor den Stichtagen unter Zeitdruck zu geraten.

Primärnutzung und Anforderungen an EHR-Systeme

Nach dem Kapitel zur Primärnutzung haben Einzelpersonen das Recht, sofort und unentgeltlich in einem interoperablen Format auf ihre prioritären elektronischen Gesundheitsdaten zuzugreifen, Informationen zu ergänzen, eine Berichtigung zu verlangen, den Zugriff von Angehörigen der Gesundheitsberufe zu beschränken und die Übermittlung der Daten an andere Leistungserbringer zu veranlassen. Gesundheitsdienstleister müssen relevante Daten in einem EHR-System erfassen.

Hersteller von EHR-Systemen müssen sicherstellen, dass ihre Produkte den harmonisierten Komponenten für Interoperabilität und Protokollierung sowie den grundlegenden Sicherheitsanforderungen entsprechen. Die Verordnung führt für EHR-Systeme ein Selbstzertifizierungssystem mit EU-Konformitätserklärung und CE-Kennzeichnung ein sowie eine EU-Datenbank zur Registrierung von EHR-Systemen und Wellness-Anwendungen, die Interoperabilität für sich in Anspruch nehmen. Ist ein EHR-System zugleich ein Medizinprodukt oder ein Hochrisiko-KI-System, gelten die jeweiligen Regelwerke parallel, was eine abgestimmte Compliance-Planung erfordert.

Für Softwareunternehmen, die Krankenhäuser und Praxen in Deutschland beliefern, lautet die zentrale Frage, wie die Anforderungen des EHDS mit den nationalen Interoperabilitätsregeln und den Spezifikationen der gematik, der nationalen Agentur für digitale Gesundheitsanwendungen und Infrastruktur, zusammenwirken werden. Für Anbieter ist es deshalb sinnvoll, die Entwicklungsplanung ihrer Produkte frühzeitig an beiden Regelwerken auszurichten und Änderungen der Spezifikationen laufend zu verfolgen.

Sekundärnutzung: Datengenehmigungen und verbotene Zwecke

Die Regeln zur Sekundärnutzung bringen für die Industrie die bedeutendste Veränderung. Gesundheitsdateninhaber müssen bestimmte Kategorien elektronischer Gesundheitsdaten über nationale Zugangsstellen für Gesundheitsdaten an Gesundheitsdatennutzer bereitstellen, die eine Datengenehmigung erhalten haben. Die Kategorien sind weit gefasst und umfassen Daten aus elektronischen Gesundheitsakten, Abrechnungsdaten, genetische und andere Omics-Daten, Registerdaten, Daten aus klinischen Prüfungen und von Medizinprodukten sowie Daten aus Wellness-Anwendungen. Natürliche Personen und Kleinstunternehmen sind von den Pflichten der Dateninhaber ausgenommen (Art. 50).

Nutzer dürfen die Daten nur im Rahmen der in der Genehmigung oder in einem genehmigten Datenantrag genannten Zwecke verarbeiten. Art. 54 EHDS-Verordnung zählt verbotene Nutzungen auf, darunter für Einzelpersonen nachteilige Entscheidungen auf Grundlage ihrer Gesundheitsdaten, Entscheidungen über Stellenangebote oder ungünstigere Bedingungen für Waren und Dienstleistungen einschließlich Versicherungen oder Krediten, Werbung und Marketing gegenüber Angehörigen der Gesundheitsberufe oder Patienten, die Entwicklung von Produkten oder Dienstleistungen, die Einzelpersonen oder der Gesellschaft schaden, sowie Tätigkeiten, die ethischen Vorschriften des nationalen Rechts widersprechen.

Die Daten werden grundsätzlich in anonymisierter Form bereitgestellt oder, wenn der Zweck es erfordert, in pseudonymisierter Form innerhalb einer sicheren Verarbeitungsumgebung. Gesundheitsdatennutzer müssen ihre Ergebnisse innerhalb einer bestimmten Frist veröffentlichen und die Zugangsstelle über bedeutsame Erkenntnisse unterrichten, die für die Gesundheit von Einzelpersonen relevant sind. Für Datennutzer bedeutet dies, dass Forschungs- und Entwicklungsprojekte von Anfang an so angelegt werden sollten, dass sie diese Pflichten zuverlässig erfüllen können.

Das deutsche Gesundheitsdatennutzungsgesetz (GDNG)

Deutschland hat das GDNG im Jahr 2024 verabschiedet, um die Nutzung von Gesundheitsdaten für die Forschung und die Weiterentwicklung des Gesundheitswesens zu verbessern. Sein Zweck ist es, die Nutzung von Gesundheitsdaten für gemeinwohlorientierte Forschung und die datenbasierte Weiterentwicklung des Gesundheitswesens als lernendes System zu regeln (§ 1 GDNG). Zu den zentralen Elementen gehören:

• Zentrale Datenzugangs- und Koordinierungsstelle: Sie ist beim Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM) eingerichtet, führt einen öffentlichen Metadatenkatalog, berät Datennutzende bei der Identifizierung und Lokalisierung von Gesundheitsdaten und unterstützt Zugangsanträge (§ 3 GDNG);
• Weiterverarbeitung durch Gesundheitseinrichtungen: Datenverarbeitende Gesundheitseinrichtungen dürfen Daten, die sie rechtmäßig gespeichert haben, für Qualitätssicherung und Patientensicherheit, medizinische, rehabilitative und pflegerische Forschung sowie statistische Zwecke weiterverarbeiten, wobei die Daten so früh wie möglich zu pseudonymisieren und zu anonymisieren sind (§ 6 GDNG);
• Forschungsdatenzentrum Gesundheit: Abrechnungsdaten der gesetzlichen Krankenversicherung werden über das Forschungsdatenzentrum beim BfArM nach §§ 303a ff. des Fünften Buches Sozialgesetzbuch bereitgestellt; das GDNG hat den Zugang für Antragstellende vom Nutzungszweck statt von der Person des Antragstellers abhängig gemacht.

Das GDNG ist darauf angelegt, sich in den Europäischen Gesundheitsdatenraum einzufügen. Die Datenzugangs- und Koordinierungsstelle ist eine naheliegende Kandidatin dafür, Deutschlands Zugangsstelle für Gesundheitsdaten nach der Verordnung zu werden oder mit ihr zusammenzuarbeiten. Unternehmen, welche die deutschen Zugangswege schon heute nutzen, sammeln Erfahrungen, die sich auf das EU-System übertragen lassen. Der frühe Einstieg lohnt sich daher auch mit Blick auf die europäische Ebene und die dort noch zu schaffenden Verfahren.

Datenschutz und DSGVO

Der Europäische Gesundheitsdatenraum ersetzt die DSGVO nicht. Gesundheitsdaten sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO; ihre Verarbeitung erfordert sowohl eine Rechtsgrundlage nach Art. 6 als auch eine Ausnahme nach Art. 9 Abs. 2. Die EHDS-Verordnung schafft besondere Rechtsgrundlagen für die Bereitstellung von Daten und für die Verarbeitung auf Grundlage einer Datengenehmigung, doch Verantwortliche und Auftragsverarbeiter bleiben an die Grundsätze, die Sicherheitsanforderungen und die Betroffenenrechte der DSGVO gebunden.

Einzelpersonen haben nach der Verordnung das Recht, der Sekundärnutzung zu widersprechen (Opt-out), vorbehaltlich begrenzter Ausnahmen, welche die Mitgliedstaaten für Zwecke im öffentlichen Interesse vorsehen können. In Deutschland funktioniert die elektronische Patientenakte für alle Versicherten nach dem Opt-out-Prinzip, und Patienten können der Nutzung ihrer Daten für die Forschung widersprechen. Wie diese nationalen Widerspruchsmöglichkeiten mit dem Opt-out des EHDS in Einklang gebracht werden, ist eine der Umsetzungsfragen, die es zu beobachten gilt.

Unternehmen sollten zudem bedenken, dass die Anonymisierung nach der DSGVO ein hoher Standard ist. Pseudonymisierte Daten bleiben personenbezogene Daten, und sichere Verarbeitungsumgebungen ändern an dieser Bewertung nichts; sie verringern lediglich das Risiko. Für die Projektplanung ist diese Unterscheidung zentral, weil sie bestimmt, welche Pflichten der DSGVO im Einzelnen zu erfüllen sind.

KI-Entwicklung und Gesundheitsdaten

Das Training und die Validierung von KI-Modellen gehören zu den Zwecken, für die Gesundheitsdatennutzer nach der Verordnung Zugang beantragen können. Die Verordnung nennt die Entwicklung und Innovation von Produkten oder Dienstleistungen, die zur öffentlichen Gesundheit beitragen, einschließlich des Trainings, Testens und Bewertens von Algorithmen in Medizinprodukten und KI-Systemen. Für KI-Entwickler könnte der Gesundheitsdatenraum damit zu einer der wichtigsten Quellen hochwertiger, repräsentativer Trainingsdaten in Europa werden.

Die KI-Verordnung stellt eigene Anforderungen. Hochrisiko-KI-Systeme, zu denen viele KI-basierte Medizinprodukte gehören, müssen mit Datensätzen trainiert werden, die Qualitätskriterien in Bezug auf Relevanz, Repräsentativität und Fehlerfreiheit erfüllen, und Anbieter müssen ihre Daten-Governance dokumentieren. Der Zugang zu EHDS-Daten auf Grundlage einer Genehmigung kann helfen, diese Anforderungen zu erfüllen; die Bedingungen der Genehmigung – sichere Verarbeitungsumgebungen, Beschränkungen beim Herunterladen personenbezogener Daten und Veröffentlichungspflichten – müssen aber mit dem Entwicklungsprozess vereinbar sein. Entwickler sollten planen, wie innerhalb einer sicheren Umgebung trainierte Modelle exportiert und wie Ergebnisse dokumentiert werden.

Nach dem Digital Omnibus zur KI gelten die Pflichten der KI-Verordnung für Hochrisiko-KI in regulierten Produkten wie Medizinprodukten nun ab dem 2. August 2028, was sich recht gut mit dem Zeitplan der Sekundärnutzung im EHDS deckt.

Verträge für Kooperationen mit Gesundheitsdaten

Auch mit dem Rahmen des EHDS werden die meisten Gesundheitsdatenprojekte weiterhin auf Verträgen beruhen: Forschungskooperationen zwischen Krankenhäusern und Industrie, Datenlizenzen, Vereinbarungen über gemeinsame Verantwortlichkeit und Auftragsverarbeitungsverträge. Diese Verträge sollten die Rechtsgrundlage für jeden Verarbeitungsschritt, die Rollen der Parteien, Datensicherheit und Zugriffskontrollen, Veröffentlichungsrechte, die Rechte an Ergebnissen und den Umgang mit Zufallsbefunden festlegen.

Stammen Daten aus mehreren Mitgliedstaaten, müssen die Parteien auch Unterschiede im nationalen Recht berücksichtigen, weil die DSGVO den Mitgliedstaaten Spielraum für besondere Regeln zu Gesundheits- und genetischen Daten lässt. Ein zentraler Vertrag mit länderspezifischen Anlagen ist oft die praktikabelste Struktur. Der Europäische Gesundheitsdatenraum wird einen Teil dieser Zersplitterung verringern, doch nationale Opt-outs, ethische Anforderungen und die Praxis der Zugangsstellen dürften noch einige Zeit voneinander abweichen.

Vorbereitung auf den Europäischen Gesundheitsdatenraum

1. Bestandsaufnahme: Erfassen Sie die gehaltenen und genutzten Gesundheitsdatensätze und ordnen Sie sie den Kategorien des EHDS zu.
2. Rollenanalyse: Klären Sie, ob Sie EHR-Hersteller, Dateninhaber, Datennutzer oder mehreres davon sind.
3. Produktplanung: Planen Sie für EHR-Systeme und Wellness-Apps die Anforderungen an Interoperabilität, Protokollierung und Sicherheit und ihr Zusammenspiel mit dem Medizinprodukte- und KI-Recht.
4. Geistiges Eigentum schützen: Identifizieren Sie Geschäftsgeheimnisse und schutzrechtsbehaftete Inhalte in Datensätzen und bereiten Sie die Dokumentation vor.
5. Nationale Wege schon jetzt nutzen: Arbeiten Sie mit dem GDNG und dem Forschungsdatenzentrum, um Prozesse und Erfahrung aufzubauen.
6. Durchführungsrechtsakte verfolgen: Technische Spezifikationen werden einen Großteil des Compliance-Aufwands bestimmen.

So unterstützt TRW & Co

Wir beraten Pharma-, Medizintechnik- und Digital-Health-Unternehmen, Krankenhäuser und Forschungseinrichtungen zu Gesundheitsdaten. Wir analysieren Rollen und Pflichten nach der Verordnung über den Europäischen Gesundheitsdatenraum und dem GDNG, strukturieren Anträge auf Datenzugang und Forschungskooperationen, entwerfen Verträge über Datenweitergabe und Lizenzen und prüfen die DSGVO-Konformität der Sekundärnutzung, einschließlich Anonymisierungs- und Pseudonymisierungskonzepten. Für Hersteller von EHR-Systemen und Apps stimmen wir die Anforderungen aus EHDS, Medizinprodukterecht und KI-Verordnung aufeinander ab. Unsere Arbeit ist verbunden mit unseren Praxisbereichen Life Sciences und Gesundheitswesen und DSGVO und Datenschutz sowie mit unseren Beiträgen zu Verträgen über die Datenweitergabe und Hochrisiko-KI-Systemen. Bitte nehmen Sie Kontakt mit uns auf. Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar.