Patienten-App DSGVO: Worauf Praxen achten müssen

Eine Patienten-App ist datenschutzrechtlich beherrschbar. Sie brauchen vier Dinge: eine ausdrückliche Einwilligung für Gesundheitsdaten, sparsame Datenerhebung, einen AV-Vertrag mit einem EU-Anbieter und ein Löschkonzept, das Patienten selbst auslösen können. Dieser Beitrag zeigt, worauf Sie vor der Einführung achten sollten.

Warum App-Daten meist Gesundheitsdaten sind

Die zentrale Frage lautet: Verarbeitet die App Gesundheitsdaten? In fast allen Fällen ist die Antwort ja.

Sobald erkennbar ist, dass eine Person eine Hyaluron-Behandlung gebucht, eine Laser-Serie begonnen oder Punkte für eine Haartransplantation gesammelt hat, liegt eine Information über den Gesundheitszustand vor. Damit greift Art. 9 DSGVO. Der Artikel stuft Gesundheitsdaten als besondere Kategorie personenbezogener Daten ein.

Für diese Kategorie gilt ein grundsätzliches Verarbeitungsverbot mit Ausnahmen. Die für eine Patienten-App relevante Ausnahme ist die ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Die Behandlung selbst dürfen Sie auf Grundlage des Behandlungsvertrags dokumentieren. Ein Treueprogramm, Angebote oder Push-Nachrichten sind jedoch keine Behandlung. Sie brauchen deshalb eine eigene, freiwillige Zustimmung des Patienten.

Praktisch bedeutet das: Der Patient muss aktiv zustimmen, bevor die App seine Daten für Bindungs- oder Marketingzwecke nutzt. Die Zustimmung muss informiert, freiwillig und jederzeit widerrufbar sein. Wer die Einwilligung verweigert, darf deshalb nicht schlechter behandelt werden.

Mach den Selbsttest: Ist Ihre App DSGVO-bereit?

• Haben Sie einen schriftlichen AV-Vertrag mit dem App-Anbieter?
• Wissen Sie, wo die Server stehen und welche Unterauftragnehmer beteiligt sind?
• Holt die App eine ausdrückliche Einwilligung für Gesundheitsdaten ein?
• Kann der Patient sein Konto selbst in der App löschen?
• Gibt es eine Datenschutzerklärung speziell für die App?
• Ist die Einwilligung für Push-Nachrichten dokumentiert und widerrufbar?

Wenn Sie mehr als zwei Fragen mit Nein beantworten, sollten Sie vor dem Start nachbessern.

Datensparsamkeit: Weniger Daten, weniger Risiko

Art. 5 DSGVO verlangt, dass nur die Daten erhoben werden, die für den Zweck erforderlich sind. Eine Patienten-App braucht dafür erstaunlich wenig.

Für ein Treueprogramm reicht ein eindeutiges Merkmal, um den Patienten wiederzuerkennen, plus die Punkte- oder Guthabenhistorie. lumelle setzt hier bewusst auf Minimalismus: Der Patient scannt einen QR-Code an der Rezeption, bestätigt seine Handynummer und ist registriert. Keine E-Mail-Adresse, kein Passwort, kein Geburtsdatum als Pflichtfeld. Was der Patient darüber hinaus teilt, entscheidet er selbst.

Dieser Ansatz reduziert nicht nur das Risiko bei einem Datenvorfall. Er erleichtert auch die Dokumentation gegenüber Aufsichtsbehörden.

Prüfen Sie bei jedem Anbieter: Welche Daten erhebt die App standardmäßig? Lassen sich Felder deaktivieren? Eine Faustregel: Wenn Sie ein Datenfeld nicht in einem Satz begründen können, sollte es nicht erhoben werden.

Informationspflichten nach Art. 13 DSGVO

Bevor Daten erhoben werden, muss der Patient wissen, wer sie verarbeitet, wofür, wie lange und welche Rechte er hat. Diese Informationspflichten aus Art. 13 DSGVO gelten auch für die App.

In der Praxis gehört deshalb eine eigene Datenschutzerklärung in die App. Sie unterscheidet sich von der Datenschutzerklärung der Website.

Die Erklärung sollte mindestens enthalten:

• Name und Kontaktdaten Ihrer Praxis als Verantwortliche sowie des Datenschutzbeauftragten, falls einer benannt ist
• Zwecke der Verarbeitung: Treueprogramm, Guthaben, Terminerinnerung, Angebote
• Rechtsgrundlage je Zweck, insbesondere die Einwilligung nach Art. 9 Abs. 2 lit. a
• Empfänger der Daten, also der App-Anbieter als Auftragsverarbeiter und gegebenenfalls der Zahlungsdienstleister
• Speicherdauer und Löschregeln
• Betroffenenrechte: Auskunft, Berichtigung, Löschung, Widerruf der Einwilligung
• Beschwerderecht bei der Aufsichtsbehörde

Ein seriöser Anbieter liefert eine Vorlage, die Sie mit Ihrem Datenschutzbeauftragten anpassen. Übernehmen Sie sie nicht ungeprüft.

Auftragsverarbeitung und AV-Vertrag

Betreibt ein externer Anbieter die App, verarbeitet er Daten in Ihrem Auftrag. Sie bleiben Verantwortliche, der Anbieter wird Auftragsverarbeiter.

Art. 28 DSGVO verlangt dafür einen schriftlichen Vertrag, den sogenannten AV-Vertrag. Er regelt Weisungsbindung, Vertraulichkeit, technische Schutzmaßnahmen, Unterauftragnehmer, Unterstützung bei Betroffenenanfragen und die Löschung nach Vertragsende.

Was ein solcher Vertrag konkret enthalten sollte und welche Punkte Praxen häufig übersehen, haben wir im Beitrag AV-Vertrag: Was Praxen verlangen sollten zusammengefasst.

Wichtig für die Anbieterauswahl: Ein Anbieter, der keinen AV-Vertrag anbietet oder erst auf Nachfrage einen erstellt, ist für Gesundheitsdaten nicht geeignet.

Serverstandort und Unterauftragnehmer

Die DSGVO schreibt keinen Serverstandort vor. Sie verlangt aber, dass Datenübermittlungen in Länder außerhalb der EU nur mit besonderen Garantien stattfinden.

Für Gesundheitsdaten ist die Bewertung solcher Übermittlungen aufwendig und mit Restunsicherheit verbunden. Hosting innerhalb der EU vermeidet diese Diskussion weitgehend.

Fragen Sie den Anbieter deshalb konkret:

Push-Nachrichten laufen technisch über die Dienste der Plattformbetreiber. Das ist üblich und zulässig, sollte aber in der Datenschutzerklärung und im AV-Vertrag transparent benannt sein.

Push-Nachrichten nur mit Einwilligung

Push-Nachrichten sind ein Werbekanal. Sie unterliegen damit nicht nur der DSGVO, sondern auch dem Wettbewerbsrecht.

Eine werbliche Nachricht setzt eine aktive Einwilligung voraus. Das Betriebssystem fragt zwar beim ersten Start, ob die App Benachrichtigungen senden darf. Das ersetzt aber nicht die datenschutzrechtliche Einwilligung für die Inhalte.

Sauber gelöst wird das so: Der Patient stimmt in der App ausdrücklich zu, Angebote und Erinnerungen zu erhalten. Er kann diese Zustimmung in den Einstellungen jederzeit abschalten. Die Einwilligung wird mit Zeitpunkt und Wortlaut protokolliert.

Welche Inhalte darüber hinaus nach Heilmittelwerbegesetz erlaubt sind, lesen Sie im Beitrag Push-Nachrichten an Patienten.

Löschkonzept und Betroffenenrechte

Patienten haben das Recht, ihre Daten löschen zu lassen. Für App-Daten gibt es keine Aufbewahrungspflicht wie für die Behandlungsdokumentation.

Ein Löschkonzept legt fest, was passiert, wenn ein Patient sein Konto löscht, wenn er seine Einwilligung widerruft und wenn ein Konto über längere Zeit inaktiv bleibt.

Achten Sie darauf, dass der Patient sein Konto selbst in der App löschen kann. Das erfüllt nicht nur die DSGVO, sondern ist inzwischen auch Voraussetzung der App-Stores.

Getrennt davon bleiben Rechnungsdaten, die handels- und steuerrechtlichen Aufbewahrungsfristen unterliegen. Diese Trennung sollte der Anbieter technisch abbilden können.

Was passiert, wenn Sie nichts ändern

Ohne AV-Vertrag verarbeitet der Anbieter Ihre Patientendaten ohne rechtliche Grundlage. Das ist ein Verstoß gegen Art. 28 DSGVO. Die Aufsichtsbehörde kann Bußgelder verhängen – auch wenn bisher nichts passiert ist.

Ohne Einwilligung für Gesundheitsdaten verstoßen Sie gegen Art. 9 DSGVO. Das Risiko trägt die Praxis, nicht der Anbieter.

Ohne Löschkonzept sammeln sich inaktive Konten an. Bei einem Datenvorfall müssen Sie alle Betroffenen informieren – auch die, die längst nicht mehr Ihre Patienten sind.

Fazit

Eine Patienten-App lässt sich datenschutzkonform betreiben. Lassen Sie Datenschutzerklärung und AV-Vertrag vor dem Start von Ihrem Datenschutzbeauftragten oder Anwalt prüfen.

lumelle ist ein deutscher Anbieter, liefert den AV-Vertrag mit und arbeitet mit einer Registrierung nur per Handynummer. Wie eine DSGVO-konforme App für Ihre Praxis aussieht, sehen Sie in einem 15-minütigen Gespräch fertig eingerichtet.