HIPAA, DSGVO und EU AI Act bei Gesundheitsdaten meistern

# HIPAA, DSGVO und EU AI Act bei Gesundheitsdaten meistern

Eine einzelne Patientin, nennen wir sie Anna, nimmt an einer Kardiologiestudie teil, die von einem Biotech-Unternehmen aus Boston und einem Münchner Forschungskrankenhaus durchgeführt wird. Sie spuckt in ein Röhrchen (genomische Daten), legt eine Smartwatch an (kontinuierliche Herzfrequenz und EKG) und unterschreibt eine Einwilligungserklärung. In den nächsten 18 Monaten überquert Annas Daten sechsmal den Atlantik, speisen ein Modell zur Arrhythmie-Vorhersage und liegen in drei verschiedenen Cloud-Regionen. Jeder Sprung unterliegt einer anderen Regel. Wird einer davon falsch gemacht, drohen der Studie regulatorische Holds, Bußgelder oder ungültige Ergebnisse.

Folgen wir Annas Daten und benennen wir die Regulierung an jedem Schritt.

Die drei Regime, die Sie kennen müssen

HIPAA (Health Insurance Portability and Accountability Act, USA, 1996): regelt „protected health information“ (PHI) im Besitz von „covered entities“ (Krankenhäuser, Versicherer, Leistungserbringer) und deren „business associates“ (Dienstleister, die PHI in deren Auftrag verarbeiten). Durchgesetzt durch das HHS Office for Civil Rights (OCR).

DSGVO (Datenschutz-Grundverordnung, EU, 2018): regelt personenbezogene Daten von Personen in der EU. Gesundheits- und genetische Daten sind nach Artikel 9 Daten „besonderer Kategorien“, was strengere Regeln bedeutet. Durchgesetzt durch nationale Datenschutzbehörden (DPAs).

EU AI Act (Verordnung 2024/1689): das erste breit angelegte KI-Gesetz. Es klassifiziert KI-Systeme nach Risiko. Viele medizinische KI-Tools sind „hochriskant“ und tragen schwere Pflichten. Gestaffelte Einführung über 2026 und 2027, beaufsichtigt vom neuen European AI Office plus nationalen Behörden.

Zentrales Denkmodell: HIPAA folgt der *Einrichtung und dem Datentyp*. Die DSGVO folgt dem *Standort und Wohnsitz der Person*. Der AI Act folgt dem *Use Case und der Risikostufe*. Alle drei kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen gleichzeitig auf denselben Datensatz zutreffen.

Schritt 1: Einwilligung bei der Aufnahme

HIPAA erlaubt covered entities die Nutzung von PHI für Behandlung, Abrechnung und Betrieb ohne separate Autorisierung, für Forschung braucht es aber in der Regel eine unterschriebene HIPAA-Autorisierung plus Genehmigung durch das IRB (Institutional Review Board).

Die DSGVO verlangt eine Rechtsgrundlage nach Artikel 6, plus eine Bedingung nach Artikel 9 für Daten besonderer Kategorien. Für Forschung stützen sich Sponsoren häufig auf „ausdrückliche Einwilligung“ oder auf Regelungen zur „wissenschaftlichen Forschung“, aber nicht auf das vage „berechtigte Interesse“, das im Marketing funktioniert.

Konkrete Prüfung: Annas deutsche Einwilligungserklärung muss granular sein. Eine kombinierte Checkbox für „genomische Sequenzierung, Wearable-Monitoring, KI-Modelltraining und kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →ünftige Sekundärforschung“ ist ein klassischer DSGVO-Fehler. Datenschutzbehörden erwarten trennbare, spezifische Wahlmöglichkeiten.

Genetische Daten sind überall besonders

Unter der DSGVO sind genetische Daten ausdrücklich Daten besonderer Kategorien. In den USA ist das Bild fragmentiert: HIPAA deckt genomische Daten im Besitz von covered entities ab, GINA (Genetic Information Nondiscrimination Act) beschränkt ihre Nutzung in Beschäftigung und Krankenversicherung, und Landesgesetze (zum Beispiel das Genetik-Datenschutzgesetz von Illinois) fügen weitere Schichten hinzu. Es gibt kein einheitliches US-Bundesgesetz zum genomischen Datenschutz.

Schritt 2: Der transatlantische Transfer

Annas Daten wandern von München nach Boston. Nach DSGVO erfordert der Export personenbezogener Daten außerhalb der EU einen Transfermechanismus.

Die wichtigsten Optionen 2026:

• EU-US Data Privacy Framework (DPF): Das US-Unternehmen kann sich beim Department of Commerce selbst zertifizieren. Bei Zertifizierung gelten Übermittlungen an dieses Unternehmen als angemessen.
• Standard Contractual Clauses (SCCs): von der EU genehmigte Vertragsvorlagen, plus ein Transfer Impact Assessment, das das US-Überwachungsrisiko dokumentiert.

Hinweis: Das DPF steht weiterhin unter rechtlicher Anfechtung, ähnlich dem Schicksal seiner Vorgänger Safe Harbor und Privacy Shield (beide vom Europäischen Gerichtshof gekippt). Umsichtige Sponsoren behalten SCCs als Rückfalloption, damit ein einzelnes Urteil die Studie nicht stoppt.

Den Überblick der Europäischen Kommission zu Transferinstrumenten finden Sie hier: Commission adequacy and transfer mechanisms.

Data Mapping: das Audit, das Probleme findet

Erstellen Sie vor jedem Transfer eine Data-Flow-MapMapUsing software to automate repetitive marketing tasks and campaigns, enabling personalisation at scale across channels like email, web, and social.Vollständige Definition ansehen →. Ein einfacher Eintrag für Annas Daten:

data_element: continuous_ecg
source_region: eu-central-1 (Frankfurt)
destination: us-east-1 (Virginia)
regime: GDPR (export) + HIPAA (business associate)
lawful_basis: explicit_consent (Art 9(2)(a))
transfer_mechanism: SCCs + TIA
retention: 15 years post-trial (sponsor SOP)
pseudonymized: yes (subject_id, no direct identifiers)
ai_use: arrhythmia_prediction_model_v3

Jede Zeile ohne Rechtsgrundlage, Transfermechanismus oder Aufbewahrungsgrenze ist ein Finding, das Sie vor dem Go-live beheben, nicht nach einem Breach.

Schritt 3: Pseudonymisierung ist keine Anonymisierung

Teams sagen gern: „Die Daten sind anonymisiert, also gilt die DSGVO nicht.“ Meist falsch.

Pseudonymisierte Daten ersetzen Namen durch einen Code, behalten aber einen Schlüssel, der die Rückverknüpfung erlaubt. Sie sind nach DSGVO weiterhin personenbezogene Daten. Anonymisierte Daten kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen mit keinen nach allgemeinem Ermessen wahrscheinlichen Mitteln rückverknüpft werden, und erst dann fallen sie aus der DSGVO heraus.

Genomische Daten sind notorisch schwer wirklich zu anonymisieren. Studien haben gezeigt, dass Personen aus Genotypdaten re-identifiziert werden kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen, wenn man sie mit öffentlichen Genealogie-Datenbanken abgleicht. Behandeln Sie genomische Daten standardmäßig als personenbezogene Daten.

Unter HIPAA ist das Parallelkonzept „de-identification“, erreichbar über die Safe-Harbor-Methode (Entfernen von 18 festgelegten Identifikatoren) oder Expert Determination. HIPAA-De-Identification und DSGVO-Anonymisierung sind nicht derselbe Standard, das eine zu erfüllen erfüllt das andere also nicht.

Schritt 4: Die KI-Inferenz

Jetzt prognostiziert das Modell, dass Anna ein hohes Risiko für Vorhofflimmern hat. Zwei Regime greifen gleichzeitig.

Nach DSGVO Artikel 22 lösen Entscheidungen, die *ausschließlich* auf automatisierter Verarbeitung beruhen und rechtliche oder ähnlich erhebliche Wirkung haben, zusätzliche Rechte aus, einschließlich des Rechts auf menschliche Überprüfung. Ein Modell, das Anna zur Prüfung an eine Ärztin weiterleitet, ist sicherer als eines, das sie ohne Human in the Loop automatisch triagiert.

Nach dem EU AI Act ist ein KI-System, das als Medizinprodukt oder als Sicherheitskomponente eines solchen genutzt wird, typischerweise hochriskant. Zu den Hochrisiko-Pflichten gehören:

• Ein Risikomanagementsystem und Data GovernanceData GovernanceData governance is the set of policies, roles, and processes that ensure data is accurate, secure, well-defined, and used responsibly across an organization.Vollständige Definition ansehen → (Trainingsdaten müssen relevant und repräsentativ sein und auf Bias geprüft werden).
• Technische Dokumentation und Logging.
• Menschliche Aufsicht.
• Anforderungen an Genauigkeit, Robustheit und Cybersicherheit.

Entscheidend: Die Pflichten des AI Act kommen *zusätzlich zu* der bestehenden EU-Medizinprodukteverordnung (MDR) und der Verordnung über In-vitro-Diagnostika (IVDR). Ihr Arrhythmie-Modell wählt nicht zwischen MDR und AI Act. Es muss beides erfüllen.

Bias-Prüfung als Governance-Kontrolle

Annas Kohorte ist europäisch geprägt. Wenn das Modell bei Bevölkerungsgruppen schlechter abschneidet, auf denen es nicht trainiert wurde, ist das sowohl ein Problem der wissenschaftlichen Validität als ein Data-Governance-Verstoß nach AI Act. Eine einfache Subgruppen-Performance-Prüfung:

for group in ["female_65plus", "male_65plus", "female_under65", "male_under65"]:
    sens = sensitivity(y_true[group], y_pred[group])
    print(group, round(sens, 3))
# Jede Subgruppe markieren, deren Sensitivität deutlich
# unter die Gesamtaussage des Modells fällt.

Dokumentieren Sie das Ergebnis. „Wir haben getestet, eine Lücke gefunden, und hier ist unsere Abmilderung“ ist eine verteidigungsfähige Audit-Haltung. Schweigen ist es nicht.

Schritt 5: Wenn etwas schiefgeht

Ein Laptop mit dem Rückverknüpfungsschlüssel der Studie wird gestohlen.

DSGVO: Meldung an die zuständige Datenschutzbehörde unverzüglich und, soweit machbar, binnen 72 Stunden nach Bekanntwerden, wenn der Breach Rechte von Personen gefährdet. Betroffene Personen benachrichtigen, wenn das Risiko hoch ist.

HIPAA: Die Breach Notification Rule verlangt die Benachrichtigung betroffener Personen und des HHS. Breaches, die 500 oder mehr Personen betreffen, müssen dem HHS binnen 60 Tagen gemeldet und öffentlich im OCR-Breach-Portal offengelegt werden, manchmal „wall of shame“ genannt.

Verschiedene Uhren, verschiedene Aufsichtsbehörden, ein Vorfall. Ihr Incident-Response-Plan muss beide Spuren ab Stunde eins parallel fahren.

Strafen, als grobe Größenordnung

Dies sind die gesetzlichen Höchstwerte, nicht typische Ergebnisse, und tatsächliche Bußgelder variieren stark:

• DSGVO: bis zu 20 Millionen Euro oder 4 Prozent des globalen Jahresumsatzes, je nachdem, was höher ist.
• EU AI Act: bis zu 35 Millionen Euro oder 7 Prozent des globalen Umsatzes für die schwersten Verstöße (verbotene KI-Praktiken).
• HIPAA: gestaffelte Zivilstrafen pro Verstoß mit inflationsangepassten Jahresobergrenzen; prüfen Sie die aktuellen OCR-Zahlen statt sich auf ältere zu verlassen.

Rechenbeispiel: Ein Biotech-Unternehmen mit 500 Millionen Euro globalem Umsatz hat eine theoretische DSGVO-Obergrenze von 20 Millionen Euro (4 Prozent von 500 Millionen sind 20 Millionen, und die fixe Obergrenze liegt ebenfalls bei 20 Millionen, sie sind also gleich). In der höchsten Stufe des AI Act sind 7 Prozent von 500 Millionen 35 Millionen Euro, was der fixen Obergrenze entspricht. Die prozentuale Bemessung ist es, die diese Gesetze für größere Unternehmen scharf macht.

Governance-Checkliste, die Sie dieses Quartal abarbeiten kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen

1. Data-Flow-Map für jedes Element, mit Regime, Rechtsgrundlage, Transfermechanismus und Aufbewahrung.

2. Consent-Audit: Sind die Wahlmöglichkeiten granular und trennbar? Wird ein Widerruf downstream tatsächlich umgesetzt?

3. Prüfung des Re-Identifikationsrisikos für genomische und Wearable-Daten.

4. KI-Klassifizierungsmemo: Ist jedes Modell hochriskant nach AI Act und ein Produkt nach MDR oder IVDR?

5. Doppeltes Breach-Playbook: 72-Stunden-DSGVO-Spur und HIPAA-Spur, getestet in einer Tabletop-Übung.

Wichtigste Erkenntnisse

• Derselbe Patientendatensatz kann gleichzeitig HIPAA, DSGVO und dem EU AI Act unterliegen. Ordnen Sie jede Regel der Einrichtung, dem Standort der Person und dem KI-Use-Case zu.
• Genomische und Wearable-Daten sind schwer wirklich zu anonymisieren. Behandeln Sie sie als personenbezogene Daten, und denken Sie daran: HIPAA-De-Identification ist nicht gleich DSGVO-Anonymisierung.
• Grenzüberschreitende Transfers brauchen einen funktionierenden Mechanismus (DPF-Selbstzertifizierung oder SCCs plus Transfer Impact Assessment). Halten Sie eine Rückfalloption bereit, denn Angemessenheitsbeschlüsse wurden schon gekippt.
• Medizinische KI ist nach AI Act meist hochriskant und muss zusätzlich MDR oder IVDR erfüllen. Menschliche Aufsicht und dokumentierte Bias-Tests sind Kernkontrollen, kein Nice-to-have.
• Bauen Sie einen Incident-Plan, der die DSGVO-72-Stunden-Uhr und die HIPAA-Meldespur parallel laufen lässt.

*Diese Lektion dient der Weiterbildung und ist keine Rechts-, Medizin- oder Anlageberatung. Prüfen Sie aktuelle Schwellenwerte und Vollzugszahlen vor dem Handeln bei den primären regulatorischen Quellen.*