Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten nach Artikel 9 DSGVO — die Verarbeitung ist grundsätzlich verboten, ausser ein Ausnahmetatbestand greift. Für eine Gesundheits-App wie eine Therapiebegleitung bedeutet das: ausdrückliche Einwilligung als tragende Rechtsgrundlage, Datenminimierung als Pflicht, EU-Hosting als Erwartung, und technische Massnahmen wie Verschlüsselung und Mandantentrennung als Selbstverständlichkeit.
Dieser Leitfaden ordnet Gesundheitsdaten unter Artikel 9 DSGVO in sieben Abschnitten ein: Kontext, Rahmen, die konkreten Anforderungen, die Umsetzung in der Praxis, typische Fehler, der DACH-Kontext und die nächsten Schritte.
Warum Gesundheitsdaten gesondert behandelt werden
Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten nach Artikel 9 DSGVO — die Verarbeitung ist grundsätzlich verboten, ausser ein Ausnahmetatbestand greift. Für eine Gesundheits-App wie eine Therapiebegleitung bedeutet das: ausdrückliche Einwilligung als tragende Rechtsgrundlage, Datenminimierung als Pflicht, EU-Hosting als Erwartung, und technische Massnahmen wie Verschlüsselung und Mandantentrennung als Selbstverständlichkeit. Die praktische Frage lautet: Was bedeutet das konkret für ein Team oder ein Produkt im DACH-Raum? Der Kern lässt sich in wenigen Punkten fassen:
- Gesundheitsdaten = besondere Kategorie, Verarbeitung grundsätzlich verboten
- Ausdrückliche Einwilligung (Art. 9(2)(a)) als häufigste Grundlage
- Datenminimierung ist bei sensiblen Daten besonders streng
- EU-Hosting und Verschlüsselung als Mindeststandard
Der Grundsatz des Verbots und seine Ausnahmen
Wann eine Einwilligung trägt und wann nicht
Im Zentrum von Gesundheitsdaten unter Artikel 9 DSGVO stehen die folgenden Punkte. Jeder hat unmittelbare Konsequenzen für Architektur, Prozess oder Organisation:
- Gesundheitsdaten = besondere Kategorie, Verarbeitung grundsätzlich verboten
- Ausdrückliche Einwilligung (Art. 9(2)(a)) als häufigste Grundlage
- Datenminimierung ist bei sensiblen Daten besonders streng
- EU-Hosting und Verschlüsselung als Mindeststandard
- Row-Level-Security für strikte Mandantentrennung
- Löschung und Export müssen einfach und schnell möglich sein
Technische Trennung und Zugriffsbeschränkung
Von der Theorie zur Umsetzung führt ein klarer Pfad. Für Gesundheitsdaten unter Artikel 9 DSGVO bewährt sich ein Vorgehen in drei Phasen:
Die Fehler, die am häufigsten auffallen
- Gesundheitsdaten unter Artikel 9 DSGVO als einmaliges Projekt behandeln statt als laufende Disziplin
- Werkzeuge wählen, bevor der Prozess verstanden ist
- Den DACH-Kontext ignorieren und US-Vorlagen unverändert übernehmen
- Dokumentation aufschieben, bis sie unter Druck entsteht
- Erfolg an Aktivität messen statt an Wirkung
Besonders schützenswerte Daten nach Schweizer Recht
Eine Verarbeitung sauber aufsetzen
Der pragmatische Einstieg in Gesundheitsdaten unter Artikel 9 DSGVO ist eine ehrliche Standortbestimmung: Wo stehen wir, wo wollen wir hin, was sind die drei wirkungsvollsten nächsten Schritte? Innopulse Consulting begleitet DACH-Unternehmen bei genau diesen Fragen — von der Analyse über die Konzeption bis zur Umsetzung. Erreichbar unter info@innopulse.io.