Apps auf Rezept?

Bereits 25 Startups haben ihre Gesundheits-Apps beim Bundesamt für Arzneimittel und Medizinprodukte (BfArM) angemeldet und weitere 71 haben sich bei der Behörde in Bonn beraten lassen. Das war beim Summit des Health Innovation Hub (HIH) zu erfahren, dem Think Tank des Bundesgesundheitsministerium für die Digitalisierung des Gesundheitswesens. Insgesamt haben 500 Startups Anfragen an das BfArM gerichtet, so ein Sprecher. In den kommenden Wochen soll die Liste mit den ersten Apps veröffentlicht werden und dann könnten erste Gesundheits-Apps auf dem Markt kommen und von Ärzten verschrieben werden – sofern der therapeutische Nutzen nachgewiesen wird, Lifestyle-Apps werden nicht erstattet.  

Nun aber droht einigen Startups ein Problem, denn der Transfer personenbezogener Daten in die USA ist nicht länger zulässig. Dies bezieht sich auf ein Urteil des Europäischen Gerichtshofs (EUGH), das am 16. Juli 2020 den Angemessenheitsbeschluss der EU-Kommission zum Privacy-Shield-Abkommen zwischen der EU und den USA für ungültig erklärt hat. Dieses Abkommen (AZ C311/18), soll den Datenaustausch zwischen den Staaten gemäß der Datenschutzgrundverordnung (DSGVO) regeln, hier die vereinfacht zusammengefasste Begründung des Urteils:

Der Schutz von personenbezogenen Daten aus Europa sei
vor dem Zugriff durch US-Behörden nicht gewährleistet.

Wenn Startups die Vorschriften der DSGVO einhalten wollen, müssen sie garantieren, dass personenbezogene Daten auch in den USA (oder einem anderen Drittland) nach EU-Standard geschützt werden und wenn sie das nicht garantieren können, verstoßen sie gegen die DSGVO. Ein Schutz ist aber nur ausgesprochen eingeschränkt gewährleistet, weil die US-Sicherheitsbehörden direkten Zugriff auf Daten der Telekommunikationsunternehmen haben – durch deren Kabel kommen die Daten in die USA. 

Amazon Web Services (AWS), der Marktführer im weltweiten Cloud-Geschäft, versucht nun, seine Kunden zu beruhigen, damit sie den Dienst weiterhin verwenden und ihre Daten DSGVO-konform von Europa in die USA und andere Länder übertragen können: „AWS-Kunden können sich auf die Standardvertragsklauseln verlassen“, so schreibt es der Chief Information Security Officer von AWS, Steve Schmidt, in einem Blogbeitrag. Dies wird zwar vom EuGH-Urteil nicht infrage gestellt, steht jedoch auf tönernen Füßen, denn der EuGH hat klargestellt, dass die Verantwortlichen, die die Standardvertragsklauseln verwenden, ihren daraus erwachsenden Pflichten nachkommen müssen.

Gesundheits-Startups bleibt deshalb – um sicherzugehen – nur ein Cloud-Provider in Europa, z.B. die Deutsche Telekom oder die Bundesdruckerei, die als Sicherheitsunternehmen des Bundes mit ihren Dienstleistungen und Technologien für den Schutz sensibler Daten und Infrastrukturen sorgt. 

DiaTec weekly – September 25, 20