Rechteck – Antworten auf ihre Rechtsfragen: Sind Basalraten oder Pumpenboli personenbezogene Daten?

Rechtsanwalt Oliver Ebert erklärt, warum Pumpenboli und Basalraten als personenbezogene Daten gelten können. Entscheidend ist, ob sich Insulingaben einer Person zuordnen lassen, etwa über ein Cloud-Konto. Auch die Offline-Nutzung wird rechtlich eingeordnet.

Die Antwort von Oliver Ebert

Ja, auch Basalraten oder Pumpenboli können personenbezogene Daten sein, sofern diese Insulingaben einer Person zugeordnet werden könn(t)en. Dies dürfte aber fast immer der Fall sein, beispielsweise weil die Daten zusammen mit der Seriennummer der Pumpe erhoben werden, diese ist aber ja in der Regel bei Hersteller oder möglicherweise auch Krankenkasse registriert. Ein Personenbezug liegt auch vor, wenn die Daten in ein Cloud-Konto geladen werden, bei dem man sich einloggen muss.

Selbst ein als „anonym“ behaupteter Upload der isolierten Insulingaben muss nicht zwingend tatsächlich anonym sein – denn möglicherweise lässt sich aufgrund eines Mustervergleichs mit einem bereits vorhandenen Datenbestand (z. B. bei sehr auffälligen Ausreißern oder Datenkonstellationen) dann doch wieder ein Personenbezug herstellen. Dies dürfte vor allem in Kombination mit CGM-Daten relevant sein – hier reichen bereits wenige Messwerte eines einzigen Tages, um einen Abgleich zu einer bestimmten Person im Datenbestand herzustellen.

Was die Offline-Software angeht: Nach meiner Einschätzung ist es unzulässig, wenn ein von der Krankenkasse bezahltes System nur dann vollständig genutzt werden kann, solange man seine Gesundheitsdaten an einen Dritten übermittelt.

Juristisch gesehen stellt dies einen erheblichen Mangel des Produkts dar, der grundsätzlich zu Gewährleistungsansprüchen berechtigt. Auch datenschutzrechtlich ist es unzulässig, die vollumfängliche Nutzung eines rtCGM bzw. einer Insulinpumpe von der Einwilligung in die geschäftliche Nutzung der damit erhobenen Gesundheitsdaten abhängig zu machen.

Wenn der Hersteller nur eine Cloud-Lösung zur Datenauswertung anbietet, dann ist das allein noch nicht unzulässig. Der Patient muss dann aber eine echte Wahl haben, ob er die geschäftliche Nutzung seiner Gesundheitsdaten durch den Anbieter bzw. Dritte akzeptiert oder nicht. Für den Fall, dass er nicht einverstanden ist, dürfen ihm keine Nachteile bei der Produktnutzung entstehen.

Soweit ich das überblicken kann, erfüllt aber keine einzige der momentan kommerziell angebotenen Cloud-Lösungen diese Voraussetzungen – es wird vom Patienten immer abverlangt, seine Gesundheitsdaten für geschäftliche Zwecke nutzen zu dürfen.

von Oliver Ebert

Oliver Ebert ist Fachanwalt für IT-Recht, Datenschutzbeauftragter und -auditor und Hochschullehrbeauftragter für Datenschutz- und Internetrecht. Zudem ist er Geschäftsführer der mediaspects GmbH sowie Fachjournalist für Medizin, Datenschutz & Patientenrechte. Seit vielen Jahren befasst er sich mit dem Thema Diabetes und unterstützt Patienten, Angehörige und Ärzte in juristischen Belangen. Er war langjähriger Vorsitzender des DDG-Ausschusses Soziales und ist Co-Koordinator/Mitautor der europaweit ersten S2e-Leitlinie: „Diabetes & Straßenverkehr“

Erschienen in: Diabetes-Journal, 2020; 69 (4) Seite 50