# DSGVO und Gesundheitsdaten für Entwickler > Artikel 9 Gesundheitsdaten als technische Aufgaben: Rechtsgrundlage, Auftragsverarbeitung, EU-Residenz, Sicherheit, Zugriff und Löschung, DSFA — abgebildet auf das, was Anpheros abdeckt. HIPAA: BAA auf Anfrage. Keine Rechtsberatung. Source: https://developers.anpheros.com/de/guides/gdpr-health-data-developers **Gemäß der DSGVO sind Gesundheitsdaten eine besondere Kategorie personenbezogener Daten (Artikel 9): Ihre Verarbeitung ist verboten, es sei denn, eine von wenigen Bedingungen trifft zu, wie die ausdrückliche Einwilligung der Person oder die Erbringung von Gesundheitsleistungen, und sie erfordern stärkere Schutzmaßnahmen als gewöhnliche personenbezogene Daten.** Für Softwareteams wird dies zu konkreten Designentscheidungen: eine dokumentierte Rechtsgrundlage, eine Auftragsverarbeitungsvereinbarung mit jedem Anbieter, der auf die Daten zugreift, EU-Datenresidenz oder eine rechtmäßige Übermittlung, Zugriffskontrolle und Protokollierung sowie Möglichkeiten, Personen ihre Daten zur Verfügung zu stellen und diese zu löschen. Diese Seite bildet diese Anforderungen auf die technische Arbeit ab und zeigt, welche Teile eine Gesundheitsdatenplattform wie Anpheros bereits abdeckt. Dies ist technische Anleitung, keine Rechtsberatung. ## Die Anforderungen als technische Aufgaben | GDPR-Anforderung | Was es in Code und Betrieb bedeutet | In Anpheros | |---|---|---| | Artikel 9 Rechtsgrundlage | Entscheiden und aufzeichnen, warum Sie Gesundheitsdaten verarbeiten (explizite Zustimmung, Gesundheitswesen, öffentliche Gesundheit, Forschung…) | Zu entscheiden und zu dokumentieren; der Zugriff durch andere Apps erfolgt über explizite OAuth-Zustimmung, und jede Gewährung zeichnet den vom App deklarierten Zweck auf | | Artikel 28 Auftragsverarbeitervereinbarung | Unterzeichnen Sie eine Datenverarbeitungsvereinbarung mit jedem Auftragsverarbeiter | Produktionszugriff erfordert eine unterzeichnete DPA | | Kapitel V Übermittlungen | Daten in der EU/EWR aufbewahren oder einen rechtmäßigen Übermittlungsmechanismus verwenden | In der EU gespeichert und verarbeitet (Google Cloud `europe-west4`, Niederlande) | | Artikel 32 Sicherheit | Verschlüsselung, Zugriffskontrolle, Isolierung, Protokollierung, Ausfallsicherheit | Pro-Projekt-Isolierung, paarweise Patienten-IDs, verschlüsselte Dokumente mit einem kundenseitig verwalteten Schlüssel, ein Zugriffsprotokoll | | Artikel 15 Auskunftsrecht | Der Person eine Kopie ihrer Daten zur Verfügung stellen | `Patient/$everything` (vollständiger FHIR-Datensatz) und `$summary` (IPS) | | Artikel 17 Recht auf Löschung | Löschen, wenn die Grundlage endet oder die Person dies verlangt | Löschung über die API; Löschungen sind "soft" und Versionen werden zur Überprüfung aufbewahrt – planen Sie, wie Ihre Aufbewahrungsrichtlinie damit umgeht | | Artikel 25 Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen | Nur das sammeln, was Sie benötigen; einschränken, wer es sehen kann | SMART-Scopes und Kategorie-Filter begrenzen, was jede App liest | | Artikel 30 Verzeichnis von Verarbeitungstätigkeiten | Dokumentieren, was Sie verarbeiten und warum | Herkunftsnachweis bei jedem Schreibvorgang: Autor, Organisation, Quellsystem | | Artikel 33 Meldung einer Datenschutzverletzung | Innerhalb von 72 Stunden erkennen und melden | Ihr Vorfallprozess; die Plattform protokolliert jeden Zugriff | | Artikel 35 DSFA | Hochrisikoreiche Verarbeitung bewerten, bevor Sie beginnen | Zu Ihrer Erstellung; die Plattform dokumentiert ihre eigenen Maßnahmen | ## Einwilligung ist nicht die einzige Rechtsgrundlage Explizite Einwilligung (Artikel 9 Absatz 2 Buchstabe a) ist für Patienten-Apps üblich, aber Kliniken verlassen sich normalerweise auf die Erbringung von Gesundheitsleistungen (Artikel 9 Absatz 2 Buchstabe h) und Forschungsprojekte auf Artikel 9 Absatz 2 Buchstabe j) in Verbindung mit nationalem Recht. Wählen Sie die Grundlage pro Zweck, dokumentieren Sie diese und bitten Sie nicht um eine Einwilligung, die Sie nicht einhalten werden: Die Einwilligung muss ebenso einfach zu widerrufen wie zu erteilen sein. In Anpheros widerruft eine Person den Zugriff einer Anwendung auf der Einwilligungs-Seite, und die nächste Anfrage schlägt fehl. ## Der European Health Data Space ergänzt die DSGVO Die Verordnung (EU) 2025/327 (EHDS) behält die DSGVO bei und fügt Rechte und Formate hinzu: Personen erhalten elektronischen Zugang zu ihren vorrangigen Daten (Patientenkurzakten, Rezepte, Laborergebnisse, Bilder, Entlassungsberichte) und können diese teilen, und EHR-Systeme müssen das europäische Austauschformat unterstützen. Siehe [EHDS für Entwickler](https://developers.anpheros.com/de/guides/ehds-for-developers). ## Und HIPAA? Die DSGVO gilt für Personen in der EU; HIPAA gilt für abgedeckte Entitäten und deren Geschäftspartner in den USA. Anpheros ist für die DSGVO und die EU-Datenresidenz konzipiert, und dieselben Kontrollen dienen HIPAA: Anpheros agiert als Geschäftspartner für US-Kliniken, mit einer Geschäftspartnervereinbarung (BAA) und einer US-Datenregion, die für Produktionskunden auf Anfrage verfügbar ist. Die HIPAA-Schutzmaßnahmen sind auf der [Sicherheitsseite](https://developers.anpheros.com/de/guides/security) aufgeführt. ## Häufig gestellte Fragen ### Sind Gesundheitsdaten besondere Kategorien von Daten gemäß der DSGVO? Ja. Artikel 9 listet Daten, die sich auf die Gesundheit beziehen, unter den besonderen Kategorien auf; deren Verarbeitung erfordert eine der Bedingungen nach Artikel 9 Absatz 2 zusätzlich zu einer Rechtsgrundlage nach Artikel 6. ### Benötige ich eine ausdrückliche Einwilligung zur Verarbeitung von Gesundheitsdaten? Nicht immer. Die ausdrückliche Einwilligung ist eine Bedingung; andere Bedingungen umfassen die Bereitstellung von Gesundheits- oder Sozialfürsorge, öffentliche Gesundheit und wissenschaftliche Forschung nach nationalem Recht. Wählen und dokumentieren Sie diejenige, die für jeden Zweck gilt. ### Müssen Gesundheitsdaten in der EU gespeichert werden? Die DSGVO schreibt keine Speicherung in der EU vor, aber Übermittlungen außerhalb des EWR erfordern einen rechtmäßigen Mechanismus (eine Angemessenheitsentscheidung oder geeignete Garantien). Die Daten in der EU zu belassen, vermeidet diese Frage; einige nationale Vorschriften sind strenger. ### Ist Anpheros DSGVO-konform? Anpheros ist für die DSGVO konzipiert: EU-Datenresidenz, eine Datenverarbeitungsvereinbarung für die Produktion, vom Patienten kontrollierte Einwilligungen, Isolation zwischen Anwendungen und ein Zugriffsprotokoll, das der Patient einsehen kann. Die Konformität Ihres Produkts hängt auch von Ihrer eigenen Rechtsgrundlage, Dokumentation und Ihren Prozessen ab. ## Verwandte Themen - [Sicherheit, Datenschutz und Datenresidenz](https://developers.anpheros.com/de/guides/security) - [European Health Data Space (EHDS) für Entwickler](https://developers.anpheros.com/de/guides/ehds-for-developers) - [Patienteneinwilligungsplattform für Gesundheits-Apps](https://developers.anpheros.com/de/guides/patient-consent-platform) - [Medizinische Datenherkunft erklärt](https://developers.anpheros.com/de/guides/medical-data-provenance) - [EHR API und API für medizinische Akten](https://developers.anpheros.com/de/guides/ehr-api)