Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten nach Artikel 9 DSGVO — die Verarbeitung ist grundsätzlich verboten, ausser ein Ausnahmetatbestand greift. Für eine Gesundheits-App wie eine Therapiebegleitung bedeutet das: ausdrückliche Einwilligung als tragende Rechtsgrundlage, Datenminimierung als Pflicht, EU-Hosting als Erwartung, und technische Massnahmen wie Verschlüsselung und Mandantentrennung als Selbstverständlichkeit.
Dieser Leitfaden ordnet Gesundheitsdaten unter Artikel 9 DSGVO in sieben Abschnitten ein: Kontext, Rahmen, die konkreten Anforderungen, die Umsetzung in der Praxis, typische Fehler, der DACH-Kontext und die nächsten Schritte.
Wir schreiben aus der Praxis: Innopulse Consulting berät DACH-Unternehmen und betreibt ein eigenes SaaS-Portfolio unter denselben Bedingungen, die wir empfehlen.
Worum es geht
Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten nach Artikel 9 DSGVO — die Verarbeitung ist grundsätzlich verboten, ausser ein Ausnahmetatbestand greift. Für eine Gesundheits-App wie eine Therapiebegleitung bedeutet das: ausdrückliche Einwilligung als tragende Rechtsgrundlage, Datenminimierung als Pflicht, EU-Hosting als Erwartung, und technische Massnahmen wie Verschlüsselung und Mandantentrennung als Selbstverständlichkeit. Die praktische Frage lautet: Was bedeutet das konkret für ein Team oder ein Produkt im DACH-Raum? Der Kern lässt sich in wenigen Punkten fassen:
- Gesundheitsdaten = besondere Kategorie, Verarbeitung grundsätzlich verboten
- Ausdrückliche Einwilligung (Art. 9(2)(a)) als häufigste Grundlage
- Datenminimierung ist bei sensiblen Daten besonders streng
- EU-Hosting und Verschlüsselung als Mindeststandard
Der rechtliche Rahmen
Die DSGVO gilt seit Mai 2018, in der Schweiz ergänzt das revDSG seit September 2023, und für KI- und Gesundheitsanwendungen kommen weitere Regime hinzu — der EU AI Act, die MDR für Medizinprodukte, sektorspezifisches Recht. Für sensible Datenkategorien wie Gesundheits- oder Finanzdaten gelten besonders strenge Anforderungen. Wir bauen Produkte unter genau diesen Vorgaben — Penday verarbeitet Gesundheitsdaten, BudgetHub Finanzdaten — und die Compliance ist keine nachträgliche Schicht, sondern Architektur-Entscheidung ab der ersten Tabelle.
Die konkreten Anforderungen
Im Zentrum von Gesundheitsdaten unter Artikel 9 DSGVO stehen die folgenden Punkte. Jeder hat unmittelbare Konsequenzen für Architektur, Prozess oder Organisation:
- Gesundheitsdaten = besondere Kategorie, Verarbeitung grundsätzlich verboten
- Ausdrückliche Einwilligung (Art. 9(2)(a)) als häufigste Grundlage
- Datenminimierung ist bei sensiblen Daten besonders streng
- EU-Hosting und Verschlüsselung als Mindeststandard
- Row-Level-Security für strikte Mandantentrennung
- Löschung und Export müssen einfach und schnell möglich sein
Umsetzung in der Praxis
Von der Theorie zur Umsetzung führt ein klarer Pfad. Für Gesundheitsdaten unter Artikel 9 DSGVO bewährt sich ein Vorgehen in drei Phasen:
- Bestandsaufnahme (1-2 Wochen): Ist-Zustand erfassen, Beteiligte identifizieren, die grössten Lücken oder Risiken benennen.
- Konzeption (2-4 Wochen): Zielbild definieren, Verantwortlichkeiten zuweisen, technische und organisatorische Massnahmen festlegen.
- Umsetzung und Betrieb (laufend): Implementieren, messen, nachsteuern. Die meisten Initiativen scheitern nicht am Start, sondern am Ausbleiben der Phase drei.
Typische Fehler
Aus der Praxis wiederholen sich dieselben Fehler:
- Gesundheitsdaten unter Artikel 9 DSGVO als einmaliges Projekt behandeln statt als laufende Disziplin
- Werkzeuge wählen, bevor der Prozess verstanden ist
- Den DACH-Kontext ignorieren und US-Vorlagen unverändert übernehmen
- Dokumentation aufschieben, bis sie unter Druck entsteht
- Erfolg an Aktivität messen statt an Wirkung
DACH-Kontext
Schweiz, Deutschland und Österreich unterscheiden sich in Recht und Marktrealität. Die Schweiz steht oft ausserhalb der EU-Regime, ist aber über Marktzugang und Datenflüsse faktisch eingebunden; Deutschland setzt am strengsten um; Österreich folgt eng den EU-Standards. Wer in allen drei Märkten arbeitet, baut sinnvollerweise nach dem strengsten gemeinsamen Nenner und passt regionale Details gezielt an.
Nächste Schritte
Der pragmatische Einstieg in Gesundheitsdaten unter Artikel 9 DSGVO ist eine ehrliche Standortbestimmung: Wo stehen wir, wo wollen wir hin, was sind die drei wirkungsvollsten nächsten Schritte? Innopulse Consulting begleitet DACH-Unternehmen bei genau diesen Fragen — von der Analyse über die Konzeption bis zur Umsetzung. Erreichbar unter info@innopulse.io. Die ersten 30 Minuten kosten nichts.